En kritisk säkerhetssårbarhet har just blivit känd, och angripare testar den redan i det vilda. Det är kärnan i en färsk rapport som beskriver en ny nolldagssårbarhet med exploateringsförsök igång innan en patch ens har rullats ut fullt ut. För stora företag med dedikerade säkerhetsoperationscenter är den här typen av händelse störande men hanterbar. För små och medelstora företag kan den vara existentiell. Det är precis därför skydd mot nolldagssårbarheter för små och medelstora företag har blivit en av de mest brådskande, och minst diskuterade, prioriteringarna för mindre organisationer med slimmade IT-team.

Vad som gör nolldagsexploateringar särskilt farliga för mindre företag

En nolldagssårbarhet är en brist som blir offentlig, eller aktivt utnyttjas, innan leverantören har en fix redo eller innan den fixen har tillämpats brett. I samma stund som angripare får veta att ett system är exponerat agerar de snabbt, ofta genom att automatisera skanningar över internet för att hitta varje sårbar enhet innan försvarare kan reagera. Större företag har vanligtvis säkerhetsteam som övervakar hotunderrättelseströmmar dygnet runt och kan trycka ut akuta åtgärder inom timmar. Små och medelstora företag har sällan den lyxen. IT hanteras ofta av en enda generalist, eller läggs ut på en leverantör av hanterade tjänster som jonglerar dussintals kunder. Det gapet i övervakningskapacitet, inte någon teknisk svaghet i programvaran i sig, är ofta det som förvandlar ett avslöjande av en nolldagssårbarhet till ett faktiskt intrång för mindre organisationer.

Insatserna är också annorlunda. Ett stort företag kan vanligtvis absorbera några dagars störning medan man patchar system på ett kontrollerat sätt. Ett litet företag med en handfull servrar, ett kassasystem eller en kunddatabas har kanske inte inbyggd redundans. Om utpressningstrojaner eller datastöld följer på en nolldagsexploatering kan återställningskostnader och ryktesskador bli proportionellt mycket allvarligare för ett företag med begränsade kontantreserver och ingen dedikerad incidenthanteringspersonal.

Hur angripare utnyttjar patchgapet innan fixar driftsätts

Perioden mellan att en sårbarhet blir känd och att en organisation faktiskt tillämpar fixen kallas ofta patchgapet, och det är där större delen av den verkliga skadan sker. När en brist är offentlig, vare sig det sker genom en leverantörsrådgivning, en säkerhetsforskares avslöjande eller läckt exploitkod, reverse-engineerar angripare den snabbt och börjar skanna efter exponerade system. Automatiserade verktyg innebär att detta kan ske inom dagar, ibland timmar.

Små företag tenderar att hamna på efterkälken i detta fönster av några förutsägbara skäl: patchar testas och driftsätts inte enligt ett fast schema, kritiska system kan inte tas offline under kontorstid, eller så är ingen specifikt ansvarig för att följa nya rådgivningar. Infrastruktur för fjärråtkomst, inklusive VPN-gateways och tjänster för fjärrskrivbord, är ett särskilt attraktivt mål under detta fönster eftersom en enda komprometterad ingångspunkt kan ge angripare fotfäste i hela det interna nätverket.

Praktiska åtgärder: segmentering, åtkomstkontroller för VPN och patcharbetsflöden

Det finns inget sätt att helt eliminera risken för nolldagsexploatering, men små och medelstora företag kan minska sitt exponeringsfönster avsevärt med några konkreta steg. Nätverkssegmentering är en av de mest effektiva: att separera kritiska system (finansiella data, kundregister, säkerhetskopior) från allmänna kontorsnätverk innebär att även om angripare tar sig in i ett segment kan de inte röra sig fritt till allt annat.

VPN-konfiguration förtjänar särskild uppmärksamhet, eftersom den ofta är ytterdörren för distansarbete. Företag bör tvinga fram multifaktorautentisering på alla VPN-konton, inaktivera oanvända eller äldre protokoll, begränsa VPN-åtkomst till endast de användare och enheter som verkligen behöver den, och logga anslutningsförsök så att ovanlig aktivitet blir synlig snabbt. En felkonfigurerad eller alltför tillåtande VPN kan förvandla en enda stulen inloggningsuppgift till full nätverksåtkomst, vilket är precis den typ av lateral rörelse som angripare förlitar sig på efter att ha utnyttjat en nolldagssårbarhet.

När det gäller patchning gynnas små och medelstora företag av att ha ett definierat, om än enkelt, patcharbetsflöde: en utsedd person eller leverantör som ansvarar för att övervaka leverantörsrådgivningar, en regel om att kritiska patchar tillämpas inom ett bestämt antal dagar, och en reservplan (som att tillfälligt begränsa åtkomsten till en sårbar tjänst) för situationer där en patch ännu inte är tillgänglig.

Att bygga en incidenthanteringsplan innan nästa nolldagssårbarhet slår till

Att vänta tills en attack pågår med att lista ut vem som gör vad är ett kostsamt misstag. En grundläggande incidenthanteringsplan behöver inte vara invecklad: den bör identifiera vem som meddelas först, hur system isoleras från nätverket, var rena säkerhetskopior förvaras, och vem som hanterar kommunikation med kunder eller myndigheter om data påverkas. Att testa planen även bara en gång om året, genom en enkel skrivbordsövning, gör enorm skillnad när en verklig händelse inträffar under tidspress.

Vad detta innebär för dig

Om du sköter IT för ett litet företag är lärdomen från den här typen av avslöjande inte att få panik över en specifik brist. Det är att inse att mönstret, kritisk sårbarhet tillkännages, attacker följer nästan omedelbart, kommer att upprepas om och om igen. Din motståndskraft beror mindre på någon enskild patch och mer på hur snabbt du kan upptäcka exponering och begränsa skadan. Att se över din fjärråtkomstkonfiguration nu, snarare än efter en attack, är den enskilt mest effektiva åtgärden som står till buds för de flesta mindre organisationer.

Viktiga slutsatser

  • Granska din VPN- och fjärråtkomstkonfiguration nu: tvinga fram MFA, begränsa åtkomst efter roll och ta bort oanvända konton.
  • Segmentera ditt nätverk så att ett enda komprometterat system inte exponerar allt.
  • Tilldela tydligt ansvar för att följa leverantörers säkerhetsrådgivningar och tillämpa kritiska patchar snabbt.
  • Utforma en enkel incidenthanteringsplan och testa den innan du behöver den.

Nolldagssårbarheter försvinner inte, och mindre företag kommer att fortsätta möta dem utan resurserna hos ett stort företags säkerhetsteam. Att stärka grunderna, särskilt säkerheten för fjärråtkomst, ger dig en verklig chans att kämpa under det farliga fönstret mellan avslöjande och patch.