Критична вразливість у сфері безпеки щойно стала відома, і зловмисники вже тестують її в реальних умовах. У цьому суть нещодавнього звіту, який описує нову zero-day вразливість із спробами експлуатації, що тривають ще до повного розгортання патча. Для великих підприємств із виділеними центрами безпеки така подія є руйнівною, але керованою. Для малого та середнього бізнесу вона може бути екзистенційною. Саме тому захист МСБ від zero-day вразливостей став одним із найнагальніших і найменш обговорюваних пріоритетів для менших організацій із невеликими ІТ-командами.

Що робить zero-day експлуатації особливо небезпечними для менших підприємств

Zero-day вразливість — це недолік, який стає публічним або активно експлуатується до того, як постачальник підготував виправлення або до того, як це виправлення було широко застосовано. Щойно зловмисники дізнаються, що система вразлива, вони діють швидко, часто автоматизуючи сканування всього інтернету, щоб знайти кожен вразливий пристрій до того, як захисники встигнуть відреагувати. Більші компанії зазвичай мають команди безпеки, які цілодобово відстежують потоки розвідки про загрози та можуть запровадити екстрені заходи протягом годин. Малий і середній бізнес рідко має таку розкіш. ІТ часто веде один універсальний фахівець або передається на аутсорс керованому провайдеру, який обслуговує десятки клієнтів. Саме ця прогалина в спроможності моніторингу, а не будь-яка технічна слабкість самого програмного забезпечення, часто перетворює розкриття zero-day на реальний злом для менших організацій.

Ставки також інші. Велике підприємство зазвичай може пережити кілька днів порушення роботи, поки воно патчить системи контрольованим чином. Малий бізнес, який керує кількома серверами, системою точок продажу або базою даних клієнтів, може не мати вбудованої надлишковості. Якщо за zero-day експлуатацією підуть програми-вимагачі або крадіжка даних, витрати на відновлення та репутаційні збитки можуть бути пропорційно набагато серйознішими для компанії з обмеженими грошовими резервами та без виділеного персоналу з реагування на інциденти.

Як зловмисники використовують прогалину в патчах до розгортання виправлень

Період між тим, як вразливість стає відомою, і тим, як організація фактично застосовує виправлення, часто називають прогалиною в патчах, і саме там відбувається більшість реальних збитків. Щойно недолік стає публічним, чи через повідомлення постачальника, розкриття дослідником безпеки або витік коду експлуатації, зловмисники швидко його реверс-інжинірять і починають сканування відкритих систем. Автоматизовані інструменти означають, що це може статися протягом днів, іноді годин.

Малий бізнес, як правило, відстає в цьому вікні з кількох передбачуваних причин: патчі не тестуються та не розгортаються за фіксованим графіком, критичні системи не можна вимикати в робочий час, або ніхто конкретно не відповідає за відстеження нових повідомлень. Інфраструктура віддаленого доступу, включаючи VPN-шлюзи та служби віддаленого робочого столу, є особливо привабливою ціллю протягом цього вікна, оскільки одна скомпрометована точка входу може дати зловмисникам опору в усій внутрішній мережі.

Практичне пом'якшення: сегментація, контроль доступу VPN і робочі процеси патчів

Немає способу повністю усунути ризик zero-day експлуатації, але МСБ можуть значно скоротити вікно вразливості за допомогою кількох конкретних кроків. Сегментація мережі є одним із найефективніших: відокремлення критичних систем (фінансові дані, записи клієнтів, резервні копії) від загальних офісних мереж означає, що навіть якщо зловмисники зламають один сегмент, вони не зможуть вільно переміщатися до всього іншого.

Конфігурація VPN заслуговує на особливу увагу, оскільки вона часто є вхідними дверима для віддаленої роботи. Бізнес має запровадити багатофакторну автентифікацію для всіх VPN-акаунтів, вимкнути невикористовувані або застарілі протоколи, обмежити доступ до VPN лише тими користувачами та пристроями, які дійсно його потребують, і реєструвати спроби підключення, щоб незвичайна активність була швидко помітна. Неправильно налаштований або надто дозвільний VPN може перетворити один викрадений обліковий запис на повний доступ до мережі — саме той тип бокового переміщення, на який розраховують зловмисники після експлуатації zero-day.

Щодо патчів, МСБ виграють від наявності визначеного, навіть простого, робочого процесу патчів: призначена особа або провайдер, відповідальний за моніторинг повідомлень постачальників, правило, що критичні патчі застосовуються протягом встановленої кількості днів, і запасний план (наприклад, тимчасове обмеження доступу до вразливої служби) для ситуацій, коли патч ще недоступний.

Побудова плану реагування на інциденти до наступного zero-day

Чекати, поки атака почнеться, щоб з'ясувати, хто що робить, — дорога помилка. Базовий план реагування на інциденти не повинен бути складним: він має визначати, кого повідомляють першим, як системи ізолюються від мережі, де зберігаються чисті резервні копії та хто відповідає за комунікацію з клієнтами або регуляторами, якщо дані постраждали. Тестування цього плану навіть раз на рік через просту настільну вправу робить величезну різницю, коли реальна подія відбувається в умовах часового тиску.

Що це означає для вас

Якщо ви керуєте ІТ для малого бізнесу, урок із цього типу розкриття — не панікувати через конкретний недолік. А визнати, що ця закономірність — оголошення критичної вразливості, атаки майже одразу після цього — повторюватиметься знову і знову. Ваша стійкість залежить менше від будь-якого окремого патча і більше від того, як швидко ви можете виявити вразливість і обмежити збитки. Перегляд налаштувань віддаленого доступу зараз, а не після атаки, — це єдина найефективніша дія, доступна більшості менших організацій.

Ключові висновки

  • Перевірте конфігурацію VPN і віддаленого доступу зараз: запровадьте MFA, обмежте доступ за ролями та видаліть невикористовувані акаунти.
  • Сегментуйте мережу, щоб одна скомпрометована система не відкривала все.
  • Призначте чітку відповідальність за відстеження повідомлень постачальників про безпеку та швидке застосування критичних патчів.
  • Складіть простий план реагування на інциденти та протестуйте його до того, як він знадобиться.

Zero-day вразливості не зникають, і менший бізнес продовжуватиме стикатися з ними без ресурсів великої команди безпеки підприємства. Зміцнення основ, особливо безпеки віддаленого доступу, дає вам реальний шанс на боротьбу протягом того небезпечного вікна між розкриттям і патчем.