Уязвимость нулевого дня

Что это значит

Уязвимость нулевого дня - ошибка безопасности в программном или аппаратном обеспечении, о которой производитель ещё не знает или знает, но ещё не выпустил исправление. Название означает, что у производителя было ноль дней на исправление. Атака, использующая такую ошибку, называется эксплойтом нулевого дня. Поскольку исправления нет, обычные обновления от неё не защищают.

Уязвимости нулевого дня ценны, поэтому их используют прежде всего изощрённые злоумышленники, организованные группы и государственные акторы, часто для целевых атак. Но после раскрытия ошибки и выпуска исправления они быстро распространяются и среди обычных злоумышленников, атакующих ещё не обновлённые системы. Наибольший риск для фирм поэтому часто наступает уже после раскрытия.

Защита не может держаться на одном уровне. Поскольку саму ошибку исправить нельзя, важно ограничить, что злоумышленник сможет сделать после её использования, и как можно раньше обнаружить атаку. Поэтому сочетают несколько уровней защиты, принцип zero trust, сегментацию сети, минимальные права и мониторинг через SIEM и EDR.

Как это работает на практике

Для фирмы ключевое - быстро устанавливать исправления, когда производитель их выпускает. Хороший patch management включает обзор всего программного обеспечения, отслеживание уведомлений безопасности, тестирование и установку критических исправлений за дни, а не месяцы. Наиболее уязвимы устройства, доступные из интернета, например VPN-шлюзы, межсетевые экраны или почтовые серверы.

Пока исправления нет, производители и органы безопасности часто публикуют временные меры: отключение уязвимой функции, ограничение доступа или правило для WAF. Эти рекомендации нужно отслеживать и оперативно внедрять. В Словакии предупреждения выпускает Национальное управление безопасности и его подразделение CSIRT.

Готовность к инциденту так же важна, как профилактика. У фирмы должен быть план реагирования на инцидент, резервные копии, отделённые от сети, и проверенное восстановление. Если выяснится, что система скомпрометирована, её нужно изолировать, исследовать и восстановить из чистого состояния, а при утечке персональных данных оценить обязанность уведомления.

На что обратить внимание

Самая частая ошибка - откладывание обновлений из опасения, что что-то перестанет работать. Злоумышленники после публикации исправления анализируют, что оно исправляет, и за несколько дней создают атаку на необновлённые системы. Окно между выпуском исправления и его установкой поэтому самый рискованный период.

Осторожно с забытыми и неподдерживаемыми системами. Старые серверы, устройства или приложения, которые производитель больше не обновляет, остаются уязвимыми навсегда. Их список нужно вести и планировать замену или хотя бы изоляцию. Киберстраховщик при пренебрежении обновлениями может отказать в выплате.