Jesteśmy zdani na siebie? Hakerzy są już szybsi od zespołów bezpieczeństwa

Jeszcze niedawno firmy mogły liczyć na to, że od momentu ujawnienia podatności do jej wykorzystania przez cyberprzestępców miną dni, a czasem nawet tygodnie. Ten zapas czasu szybko się kurczy. Microsoft alarmuje, że w przypadku części luk atakujący potrafią przejść od informacji o błędzie do próby jego wykorzystania w ciągu zaledwie kilku godzin.

Dla administratorów oznacza to coraz trudniejsze zadanie. Samo wydanie poprawki nie wystarcza, ponieważ organizacje muszą ją jeszcze przetestować, zatwierdzić i wdrożyć w swoich środowiskach. W tym samym czasie przestępcy mogą już szukać sposobu na wykorzystanie podatnego systemu.

Okno na załatanie luk dramatycznie się skraca

Igor Sachnow, wiceprezes i dyrektor generalny Azure Networking w Microsofcie, uważa, że tradycyjny model zarządzania podatnościami przestaje odpowiadać tempu współczesnych ataków. Przez lata specjaliści ds. bezpieczeństwa mieli względnie komfortową sytuację: najpierw pojawiało się publiczne ujawnienie błędu, następnie analiza, przygotowanie poprawki i jej wdrożenie.

Dzisiaj kolejne etapy potrafią następować niemal jeden po drugim. Badania bezpieczeństwa, publiczne informacje o podatnościach, exploity typu proof-of-concept i dane dotyczące zagrożeń mogą zostać rozpowszechnione w ciągu kilku godzin.

„Tradycyjne zarządzanie podatnościami opierało się na założeniu, że obrońcy mogą działać szybciej niż atakujący” – napisał Sachnow na blogu Microsoftu.

Według przedstawiciela firmy powstaje w ten sposób szczególnie niebezpieczna sytuacja. Organizacje nadal potrzebują czasu na przeprowadzenie zmian, podczas gdy osoby atakujące coraz częściej mogą automatyzować analizę nowych podatności.

AI pomaga obu stronom

Jednym z powodów przyspieszenia jest sztuczna inteligencja. Technologie AI mogą pomagać administratorom w identyfikowaniu zagrożonych systemów i sprawniejszym przygotowywaniu działań naprawczych. Ta sama technologia może jednak zostać wykorzystana przez cyberprzestępców.

Dla atakujących automatyzacja oznacza możliwość szybszego analizowania informacji o nowych błędach i poszukiwania podatnych celów. Tradycyjna przewaga obrońców, oparta na czasie potrzebnym napastnikowi na przygotowanie ataku, staje się coraz mniej pewna.

Microsoft zwraca uwagę, że nie każdą lukę da się natychmiast załatać. Duże przedsiębiorstwa często korzystają z tysięcy systemów, aplikacji i urządzeń. Aktualizacja jednego elementu może wymagać testów, akceptacji oraz zaplanowania okna serwisowego.

Microsoft wskazuje rozwiązanie, które nie wymaga czekania na patch

Zdaniem Sachnowa organizacje powinny mocniej wykorzystywać zabezpieczenia sieciowe jako warstwę ochronną działającą jeszcze przed instalacją poprawki. Ograniczenie dostępu do podatnych systemów może zmniejszyć możliwość ich wykorzystania przez napastników.

Istotna jest także segmentacja sieci. Jeżeli atakujący uzyska dostęp do jednego urządzenia, odpowiednie podzielenie infrastruktury może utrudnić mu przemieszczanie się do kolejnych systemów.

Takie mechanizmy nie zastępują aktualizacji oprogramowania. Mają przede wszystkim kupić administratorom czas potrzebny na bezpieczne wdrożenie poprawek.

Firmy muszą reagować inaczej niż kilka lat temu

Microsoft nie twierdzi, że klasyczne łatanie podatności przestało mieć znaczenie. Problemem jest tempo. Jeżeli atakujący potrzebuje kilku godzin, a organizacja kilku dni na przeprowadzenie całego procesu, przewaga zaczyna należeć do pierwszej strony.

Sachnow przekonuje, że branża bezpieczeństwa potrzebuje dodatkowych mechanizmów pozwalających szybko ograniczyć ryzyko. W praktyce oznacza to większe znaczenie kontroli dostępu, segmentacji oraz innych zabezpieczeń sieciowych, które można wdrożyć niezależnie od harmonogramu aktualizacji.

Dla firm coraz ważniejsza staje się więc nie tylko odpowiedź na pytanie „czy mamy poprawkę?”, lecz także „jak zabezpieczymy system, zanim będziemy mogli ją zainstalować?”. W świecie, w którym luka może zostać wykorzystana kilka godzin po jej ujawnieniu, właśnie te godziny mogą decydować o tym, czy podatność pozostanie problemem technicznym, czy przerodzi się w prawdziwy incydent.