Zero-day zraniteľnosť

Čo to znamená

Zero-day zraniteľnosť je bezpečnostná chyba v softvéri alebo hardvéri, o ktorej výrobca ešte nevie, alebo o nej vie, ale ešte nevydal opravu. Názov vyjadruje, že výrobca mal na nápravu nula dní. Útok, ktorý takúto chybu zneužíva, sa nazýva zero-day exploit. Keďže oprava neexistuje, bežné aktualizácie pred ním nechránia.

Zero-day zraniteľnosti sú cenné, a preto ich využívajú najmä sofistikovaní útočníci, organizované skupiny a štátni aktéri, často na cielené útoky. Po zverejnení chyby a vydaní opravy sa však rýchlo šíria aj k bežným útočníkom, ktorí napádajú systémy, ktoré ešte neboli aktualizované. Najväčšie riziko pre firmy preto často nastáva až po zverejnení.

Obrana nemôže stáť na jedinej vrstve. Keďže samotnú chybu nemožno opraviť, dôležité je obmedziť, čo útočník dokáže po jej zneužití, a čo najskôr útok odhaliť. Preto sa kombinujú viaceré vrstvy ochrany, princíp zero trust, segmentácia siete, minimálne oprávnenia a dohľad cez SIEM a EDR.

Ako to funguje v praxi

Pre firmu je kľúčové rýchlo nasadzovať opravy, keď ich výrobca vydá. Dobrý patch management zahŕňa prehľad o všetkom softvéri, sledovanie bezpečnostných upozornení, testovanie a nasadenie kritických opráv v dňoch, nie v mesiacoch. Najviac ohrozené sú zariadenia dostupné z internetu, napríklad VPN brány, firewally či poštové servery.

Kým oprava nie je k dispozícii, výrobcovia a bezpečnostné autority často zverejnia dočasné opatrenia: vypnutie zraniteľnej funkcie, obmedzenie prístupu či pravidlo pre WAF. Tieto odporúčania treba sledovať a urýchlene zaviesť. V SR vydáva varovania Národný bezpečnostný úrad a jeho jednotka CSIRT.

Pripravenosť na incident je rovnako dôležitá ako prevencia. Firma by mala mať plán reakcie na incident, zálohy oddelené od siete a otestovanú obnovu. Ak sa ukáže, že systém bol zneužitý, treba ho izolovať, preskúmať a obnoviť z čistého stavu, a pri úniku osobných údajov posúdiť povinnosť hlásenia.

Na čo si dať pozor

Najčastejšou chybou je odkladanie aktualizácií z obavy, že niečo prestane fungovať. Útočníci po zverejnení opravy analyzujú, čo opravuje, a v priebehu dní vytvoria útok na nezaktualizované systémy. Okno medzi vydaním opravy a jej nasadením je preto najrizikovejším obdobím.

Pozor na zabudnuté a nepodporované systémy. Staré servery, zariadenia či aplikácie, ktoré výrobca už neaktualizuje, zostanú zraniteľné natrvalo. Ich zoznam treba viesť a plánovať ich výmenu alebo aspoň izoláciu. Kybernetické poistenie môže pri zanedbaní aktualizácií odmietnuť plnenie.