Вразливість нульового дня

Що це означає

Уразливість нульового дня - помилка безпеки в програмному чи апаратному забезпеченні, про яку виробник ще не знає або знає, але ще не випустив виправлення. Назва означає, що виробник мав нуль днів на виправлення. Атаку, що використовує таку помилку, називають експлойтом нульового дня. Оскільки виправлення немає, звичайні оновлення від неї не захищають.

Уразливості нульового дня цінні, тому їх використовують передусім витончені зловмисники, організовані групи й державні актори, часто для цільових атак. Але після розкриття помилки й випуску виправлення вони швидко поширюються й серед звичайних зловмисників, які атакують ще не оновлені системи. Найбільший ризик для фірм тому часто настає вже після розкриття.

Захист не може триматися на одному рівні. Оскільки саму помилку виправити не можна, важливо обмежити, що зловмисник зможе зробити після її використання, і якомога раніше виявити атаку. Тому поєднують кілька рівнів захисту, принцип zero trust, сегментацію мережі, мінімальні права й моніторинг через SIEM та EDR.

Як це працює на практиці

Для фірми ключове - швидко встановлювати виправлення, коли виробник їх випускає. Добрий patch management охоплює огляд усього програмного забезпечення, відстеження повідомлень безпеки, тестування й установлення критичних виправлень за дні, а не місяці. Найвразливіші пристрої, доступні з інтернету, наприклад VPN-шлюзи, міжмережеві екрани чи поштові сервери.

Доки виправлення немає, виробники й органи безпеки часто публікують тимчасові заходи: вимкнення вразливої функції, обмеження доступу чи правило для WAF. Ці рекомендації треба відстежувати й оперативно впроваджувати. У Словаччині попередження випускає Національне управління безпеки та його підрозділ CSIRT.

Готовність до інциденту так само важлива, як профілактика. Фірма має мати план реагування на інцидент, резервні копії, відокремлені від мережі, і перевірене відновлення. Якщо з'ясується, що систему скомпрометовано, її треба ізолювати, дослідити й відновити з чистого стану, а в разі витоку персональних даних оцінити обов'язок повідомлення.

На що звернути увагу

Найчастіша помилка - відкладання оновлень через побоювання, що щось перестане працювати. Зловмисники після публікації виправлення аналізують, що воно виправляє, і за кілька днів створюють атаку на неоновлені системи. Вікно між випуском виправлення та його встановленням тому найризикованіший період.

Обережно із забутими й непідтримуваними системами. Старі сервери, пристрої чи застосунки, які виробник більше не оновлює, залишаються вразливими назавжди. Їх перелік треба вести й планувати заміну чи хоча б ізоляцію. Кіберстраховик у разі нехтування оновленнями може відмовити у виплаті.