Patch management

Čo to znamená

Patch management je riadený proces, ktorým firma pravidelne inštaluje bezpečnostné aktualizácie, teda záplaty, do operačných systémov, aplikácií, sieťových zariadení a firmvéru. Zahŕňa prehľad o tom, čo vo firme beží, sledovanie nových záplat, ich otestovanie a nasadenie v rozumnom čase.

Význam procesu vyplýva z praxe útokov. Veľká časť úspešných prienikov, vrátane útokov typu ransomware, zneužíva zraniteľnosti, na ktoré výrobca vydal opravu už pred týždňami či mesiacmi. Firma bola zraniteľná len preto, že aktualizáciu nenainštalovala.

Patch management je jednou zo základných požiadaviek kybernetickej hygieny a pre subjekty spadajúce pod smernicu NIS2 aj súčasťou povinných bezpečnostných opatrení. Dopĺňa ho ochrana koncových zariadení typu EDR, ktorá zachytí útok, ak sa niekde záplata oneskorí.

Ako to funguje v praxi

V malej firme začíname súpisom zariadení a softvéru. Bez neho sa nedá povedať, čo treba aktualizovať, a často sa pritom objaví aj shadow IT, teda programy a služby, o ktorých vedenie nevedelo. Potom nastavíme automatické aktualizácie všade, kde je to bezpečné.

Pre systémy, kde by aktualizácia mohla niečo rozbiť, napríklad účtovný softvér alebo server s databázou, dohodneme pravidelné okno údržby. Pred ním overíme, že funguje zálohovanie, aby sa dalo v prípade problému vrátiť k predchádzajúcemu stavu.

Kritické záplaty, ktoré opravujú aktívne zneužívané chyby, nečakajú na plánované okno. Pre ne má byť dopredu určené, kto rozhoduje o okamžitom nasadení a ako sa postupuje, ak už mohlo dôjsť k prieniku, čo nadväzuje na plán reakcie na incident.

Na čo si dať pozor

Najčastejšie zabudnutými zariadeniami sú routery, tlačiarne, kamery a sieťové úložiská. Bežia roky bez pozornosti a ich firmvér sa neaktualizuje sám. Práve cez ne sa útočníci často dostávajú do inak dobre chránenej siete.

Samostatným rizikom je softvér, ktorý už výrobca nepodporuje. Na starú verziu operačného systému či aplikácie záplaty neprídu vôbec a jediným riešením je prechod na podporovanú verziu. Tento výdavok treba plánovať v rozpočte, nie odkladať do prvého incidentu.