Programinės įrangos saugos naujiniai: išsamus sistemų apsaugos vadovas

„Informatec Digital“ » Ištekliai » Programinės įrangos saugumo naujiniai: išsamus sistemų apsaugos vadovas

Kasdieniame gyvenime lengva spustelėti „priminti vėliau“, kai kompiuteryje, telefone ar net išmaniajame televizoriuje pasirodo atnaujinimo pranešimas. Tačiau šių atnaujinimų atidėliojimas neribotam laikui yra viena rimčiausių saugumo klaidų , kurias galite padaryti tiek namuose, tiek versle, paliekant savo įrenginius neapsaugotus.

Tai, ką daugelis žmonių laiko nepatogumu, iš tikrųjų yra kritinė kliūtis nuo kibernetinių atakų, duomenų vagysčių ir našumo problemų. Operacinių sistemų, programų, programinės įrangos ir įmonės įrankių atnaujinimas nėra gamintojų užgaida, o bet kurios rimtos kibernetinio saugumo strategijos pagrindinė sudedamoji dalis.

Kas yra programinės įrangos atnaujinimai ir kodėl jie yra daug daugiau nei „versijų keitimas“?

Kalbėdami apie programinės įrangos atnaujinimą, turime omenyje esamos operacinės sistemos, programos ar taikomosios programos modifikacijų, pataisymų ar patobulinimų diegimą , nereikalaujant visiškai pakeisti produkto. Kitaip tariant, atnaujinimas iš „Windows 10“ į „Windows 11“ (didelis šuolis arba atnaujinimas ) nėra tas pats, kas mėnesinių „Windows 10“ saugos pataisų diegimas.

Šie atnaujinimai gali būti sutelkti į tris pagrindines sritis: saugumą, našumo patobulinimus ir naujas funkcijas . Dažnai visos trys yra derinamos, tačiau pagrindinis veiksnys, ypač profesionalioje aplinkoje, paprastai yra saugumas.

Svarbu suprasti, kad programinė įranga gali būti visiškai atnaujinta, net jei ji nėra naujausia rinkoje esanti versija . Pavyzdžiui, daugelis organizacijų vis dar naudoja „Windows 10“, o ne „Windows 11“, tačiau tol, kol „Microsoft“ išleidžia pataisas ir jos įdiegiamos nedelsiant, ta sistema gali išlikti saugi ir palaikoma.

Šiandieninėje aplinkoje, kurioje dirbame pakaitomis su kompiuteriais, mobiliaisiais telefonais, planšetiniais kompiuteriais, žaidimų konsolėmis, išmaniaisiais televizoriais ir daiktų interneto įrenginiais , visus šiuos įrenginius sieja bendra realybė: jų programinė įranga turi klaidų ir jai reikia reguliarių pataisymų . Nepaisydami šio atnaujinimų ciklo, durys atviros kiekvienam, turinčiam tinkamų įgūdžių.

Kas kuria ir skelbia saugos naujinimus ir pataisas

Už kiekvieno atnaujinimo slypi reikšmingas operacinių sistemų gamintojų, programų kūrėjų ir aparatinės įrangos tiekėjų darbas. Jie yra tie, kurie aptinka pažeidžiamumus, ištaiso klaidas ir supakuoja pataisymus , kurie vėliau pasiekia vartotojus per „Windows Update“, „App Store“, „Google Play“ ar panašius mechanizmus.

Aptikus rimtą saugumo spragą, procesas sutrumpėja. Gamintojai gali išleisti skubius pataisymus per kelias valandas ar dienas, kad kuo greičiau pašalintų pažeidžiamumą. Šiuo laikotarpiu kiekvienas, žinantis apie pažeidžiamumą, gali juo pasinaudoti, todėl laikas tiksi prieš tuos, kurie neatnaujina programų.

Įmonėse, be gamintojų, naudojami pataisų valdymo įrankiai ir vidinės IT komandos arba valdomų paslaugų teikėjai , kurie yra atsakingi už šių atnaujinimų kontroliuojamą platinimą šimtams ar tūkstančiams įrenginių, prioritetizuodami pagal kritiškumą.

Skirtumas tarp saugos pataisų ir bendrųjų atnaujinimų

Kibernetinio saugumo pasaulyje paprastai skiriami pataisymai ir atnaujinimai , nors vartotojo požiūriu abu jie gaunami panašiu pranešimu.

Pataisa paprastai yra labai konkretus pataisymas, skirtas pažeidžiamumui, klaidai ar trūkumui pašalinti . Paprastai ji yra maža, skubi ir skirta aiškiai apibrėžtai problemai. Saugumo pataisos iš tikrųjų yra pirmoji gynybos linija nuo žinomų atakų.

Platesni atnaujinimai yra ambicingesni: jie apima našumo patobulinimus, naujas funkcijas, sąsajos pakeitimus, suderinamumo koregavimus ir dažnai integruotus saugos pataisymus . Todėl jie užima daugiau vietos, reikalauja išsamesnio testavimo ir yra išleidžiami pagal labiau suplanuotą grafiką (kas mėnesį, kas ketvirtį, kas pusmetį ir pan.).

Valdymo lygmeniu svarbiausi saugumo pataisymai paprastai turi aukščiausią prioritetą ir turėtų būti įdiegti kuo greičiau , o didesni atnaujinimai kartais planuojami techninės priežiūros laikotarpiu, siekiant nesutrikdyti veiklos.

Programinės įrangos tipai, kuriuos būtinai reikia atnaujinti

Organizacijoje, taip pat ir namuose, nepakanka galvoti tik apie „kompiuterį“. Yra įvairių lygių ir tipų programinės įrangos, kurią reikia nuolat stebėti, jei norite palaikyti gerą saugumo higieną.

Pirmiausia atsiranda operacinė sistema : „Windows“ ir jos leidimai , „macOS“, „Linux“ („Ubuntu“, „Red Hat“...), „Android“, „iOS“ ir kt. Tai yra pamatinis sluoksnis, ir jei jis pažeidžiamas, užpuolikas gali įgyti didelę įrenginio kontrolę . Saugumo atnaujinimai čia nediskutuotini.

Virš jų yra kasdien naudojamos programos , ypač tos, kurios veikia visą dieną: žiniatinklio naršyklės, biuro programų paketai, el. pašto klientai, komunikacijos priemonės ir bet kokia programinė įranga, kuri apdoroja dokumentus ar išorines nuorodas.

• Individuali arba įmonės sukurta programinė įrangaJis nėra be pažeidžiamumų. Jei naudojate trečiųjų šalių bibliotekas (frameworks, modulius, SDK), tai yra privaloma. taip pat stebėti tų skyrių atnaujinimus.
• Programos su padidintomis teisėmisViskas, kas veikia kaip administratorius arba root, turi būti ypač gerai pataisyta, nes Jo veikimas suteikia visišką prieigą prie sistemos..

Kitas dažnai nepastebimas aspektas yra programinė-aparatinė įranga – žemo lygio programinė įranga, valdanti maršrutizatorius, komutatorius, „Wi-Fi“ prieigos taškus, spausdintuvus, IP kameras, kompiuterio BIOS / UEFI ir kitus įrenginius. Atnaujinant programinę-aparatinę įrangą ištaisomos klaidos, kurios tiesiogiai veikia aparatinės įrangos valdymą ir dėl to bendrą tinklo saugumą.

Atnaujinimų svarba šiuolaikiniame kibernetiniame saugume

Kibernetiniai nusikaltėliai tiesiogine prasme užsidirba pragyvenimui ieškodami saugumo spragų. Kiekvieną kartą išleidus pataisų biuletenį, jame taip pat viešai skelbiama, kuris pažeidžiamumas buvo ištaisytas . Tai reiškia, kad nuo tos akimirkos kiekvienas gali tyrinėti trūkumą ir sukurti jam išnaudojimo būdą.

Jei organizacija netaikys šio pataisymo, ji išliks pažeidžiama atakų, kurioms jau yra sprendimų . Daugelį išpirkos reikalaujančių programų incidentų ir duomenų nutekėjimo galima paaiškinti tiesiog pasenusios programinės įrangos buvimu kai kuriose sistemose.

Be to, atnaujinimai padeda blokuoti dažniausiai pasitaikančius atakų vektorius, sumažinti kenkėjiškų programų riziką ir apsaugoti slaptus duomenis (asmeninius, finansinius, įmonės duomenis). Reguliuojamoje aplinkoje, pavyzdžiui, toje, kurioje asmens duomenys tvarkomi pagal BDAR, pataisų neįdiegimas gali būti laikomas akivaizdžiu aplaidumu.

Tokie atvejai kaip „WannaCry“ parodė, kad mėnesius ignoruojamas saugumo pataisymas gali kainuoti milijonus nuostolių, pakenkti reputacijai ir sukelti prastovų . Pažeidžiamumas buvo ištaisytas, tačiau tūkstančiai įmonių nebuvo atnaujinusios programų. Štai kodėl svarbu įdiegti tokias priemones kaip apsauga nuo išpirkos reikalaujančių programų.

Papildomi privalumai: našumas, stabilumas ir suderinamumas

Ne vien tik saugumas. Atnaujinimai taip pat suteikia labai apčiuopiamos naudos kasdieniame naudojime. Jie pagerina našumą, sumažina klaidų skaičių ir padidina programų stabilumą , o tai reiškia mažiau strigčių, mažiau pagalbos užklausų ir didesnį produktyvumą.

Svarbu nepamiršti, kad technologijų ekosistema nuolat vystosi : atsiranda nauja techninė įranga, naujos kitų programų versijos, keičiasi debesijos paslaugos, naršyklės, protokolai ir pan. Be atnaujinimų programinė įranga pasensta ir pradeda kilti suderinamumo problemų.

Dažnai paprastas atnaujinimas ištaiso erzinančias klaidas, nuo kurių vartotojai kenčia jau ilgą laiką (atsitiktinės klaidos, našumo praradimas, keistas elgesys) ir kurios yra ištaisomos, kai gamintojas gauna ataskaitas.

Todėl programinės įrangos atnaujinimas yra ir efektyvumo bei paslaugų kokybės sprendimas , o ne tik kibernetinio saugumo ar atitikties reglamentams klausimas.

Atnaujinimai kompiuteriuose: „Windows“ ir „macOS“

Darbalaukio pasaulyje „Windows“ ir „macOS“ pasirinko šiek tiek skirtingus kelius, kai kalbama apie programų atnaujinimų valdymą. „Windows“ labai priklauso nuo to, ar kiekviena programa įdiegia savo atnaujinimo mechanizmą ; įmonių aplinkoje „Windows Pro“ sauga prideda valdiklius, kurie palengvina centralizuotą valdymą, o „macOS“ sistemoje „App Store“ šį procesą centralizuoja daug labiau.

„Windows“ sistemoje operacinė sistema atnaujinama pasirinkus Nustatymai > Naujinimas ir sauga > „Windows“ naujinimas . Čia tvarkomi ir saugos pataisymai, ir kaupiamieji naujinimai. Tačiau daugelis trečiųjų šalių programų atnaujinamos tik tada, kai vartotojas atidaro programą ir priima pranešimą arba jei naudojami specialūs pataisų valdymo įrankiai.

„macOS“ sistemoje, be sistemos atnaujinimų, gaunamų iš Sistemos nuostatos > Programinės įrangos naujinimas , dauguma iš „App Store“ įdiegtų programų atnaujinamos centralizuotai. Programos, atsisiųstos ne iš „App Store“, paprastai turi savo sistemą, skirtą vartotojams pranešti ir naujoms versijoms atsisiųsti.

Tiems, kurie nori žengti dar vieną žingsnį, yra tokių programų kaip „MacUpdater“ sistemoje „macOS“ arba tokių sprendimų kaip „Patch My PC“ sistemoje „Windows“, kurios analizuoja visą įdiegtą programinę įrangą ir nurodo, kurios programos turi laukiančias versijas , leisdamos jas atnaujinti masiškai.

Įrankiai ir strategijos mažoms įmonėms atnaujinti

Mažoje įmonėje tikrinti, ar yra atnaujinimų kiekviename įrenginyje, yra nepraktiška. Pataisų valdymui reikalingas tam tikras automatizavimas ir išsamus vaizdas apie tai, kas įdiegta ir kokia versija.

Aplinkose, kuriose yra nedaug „Windows“ kompiuterių, užduotį labai palengvina lengvi įrankiai, tokie kaip „Patch My PC“ . Jie aptinka pasenusią programinę įrangą ir tyliai paleidžia atnaujinimus , neužkraudami vartotojo iššokančiaisiais langais, taip sumažindami trintį.

Augant įrenginių skaičiui (biurams su 10, 20 ar daugiau įrenginių), atsiranda išsamesnių platformų, tokių kaip „ManageEngine“ „Patch Manager Plus“ ar panašūs sprendimai . Jos leidžia:

• Platinkite pataisų agentus „Windows“, „macOS“ ir „Linux“ sistemoseper „Active Directory“ arba rankiniu būdu diegiant.
• Apibrėžkite politiką, pagal kurią taikomi pataisymai, kurioms komandoms ir kada..
• Centralizuokite atnaujinimų atsisiuntimą, kad sutaupytumėte pralaidumo tinkluose su daugybe įrenginių.

Šios priemonės suteikia įmonei aiškų viso parko atnaujinimo būsenos vaizdą , o tai yra labai svarbu reaguojant į saugumo auditus ar norminius reikalavimus, tokius kaip PCI DSS ar vidiniai standartai.

Mobiliųjų įrenginių atnaujinimai: „iOS“ ir „Android“

Mobilieji telefonai tapo tikrais kišeniniais kompiuteriais, suteikiančiais prieigą prie įmonės el. pašto, bankininkystės programų ir slaptų dokumentų; išmaniesiems telefonams verslo aplinkoje reikia skirti ypatingą dėmesį. Nepaisyti išmaniųjų telefonų atnaujinimų – tai tarsi atverti tiesiogines duris į organizacijos tinklą ir duomenis.

„iPhone“ įrenginyje procesas paprastas: Nustatymai > Bendrieji > Programinės įrangos atnaujinimas . „iOS“ praneša apie naujas versijas, o „Apple“ paprastai palaiko senesnius įrenginius keletą metų su saugos pataisomis.

„Android“ sistemoje teorija panaši („Nustatymai“ > „Sistema“ > „Programinės įrangos atnaujinimas“), tačiau realybė labai priklauso nuo įrenginio gamintojo ir modelio . Daugelis telefonų iš „Google“ saugos pataisas gauna tik dvejus ar trejus metus, todėl senesni įrenginiai lieka neapsaugoti nuo naujų pažeidžiamumų.

Norėdami patikrinti būseną, naudinga peržiūrėti „saugos pataisos lygį“ „Android“ nustatymuose . Jei ši data yra gerokai pasenusi ir neišleidžiami jokie atnaujinimai, turėtumėte rimtai apsvarstyti, ar įrenginys vis dar tinkamas naudoti jautriai aplinkai, ar geriausia jį pakeisti.

Kalbant apie programas, tiek „iOS“, tiek „Android“ palaiko nuolatinį kanalą su atitinkamomis parduotuvėmis („App Store“ ir „Play Store“) . Automatiniai atnaujinimai paprastai įjungiami, kai įrenginys prisijungia prie „Wi-Fi“, tačiau verta patikrinti, ar nėra neįdiegtų programų.

Programinės įrangos ir atnaujinimų diegimo iš nepatikimų šaltinių rizika

Ne visi internete randami „atnaujinimai“ yra teisėti. Daug piratinių ar abejotinų atsisiuntimo svetainių siūlo manipuliuotus diegimo failus , kuriuose yra kenkėjiškų programų, net jei jie teigia esantys naujausia populiarios programos versija.

Kibernetiniai nusikaltėliai išnaudoja žmonių paieškas, kai ieškoma nulaužtų programų, nemokamų licencijų ar pigių mokamų programinės įrangos versijų, kad slapta į sistemą patektų Trojos arkliai, išpirkos reikalaujančios programinės įrangos versijos ar slapta pasiekiamos prieigos prie sistemos . Tokiose situacijose tariamas „atnaujinimas“ iš tikrųjų yra užkrato pernešėjas.

Štai kodėl labai svarbu programinę įrangą ir pataisas atsisiųsti tik iš oficialių kanalų : gamintojų svetainių, patikrintų saugyklų, oficialių programėlių parduotuvių arba pripažintų platinimo platformų.

Be to, kai programa prašo padidintų leidimų ar privilegijų, labai svarbu atidžiai peržiūrėti, ko ji prašo . Jei žibintuvėlio programa prašo prieigos prie kontaktų, SMS žinučių ir vietos nustatymo fone, atrodo, kad kažkas negerai. Leidimų sumažinimas iki minimalaus pagrįsto lygio sumažina poveikį saugumo pažeidimo atveju.

Pažeidžiamumų atnaujinimas ir valdymo planas įmonėms

Organizacijose, turinčiose kelis serverius, darbo stotis ir mobiliuosius įrenginius, improvizacija nėra išeitis. Aiškiai apibrėžtas sistemos atnaujinimo planas yra būtinas norint išlaikyti kontrolę ir nustatyti prioritetus pagal riziką.

Pirmasis žingsnis – išsamus įdiegtos aparatinės ir programinės įrangos inventorizavimas , įskaitant versijas ir palaikymo pabaigos datas. Jei gamintojas nebepalaiko produkto, tai reiškia, kad po tam tikro laiko jis nebegaus pataisų, net jei bus aptikta naujų pažeidžiamumų.

Pažeidžiamumų analizės procesas grindžiamas šiuo inventoriumi , naudojant automatinius įrankius arba sekant specializuotų organizacijų saugos įspėjimus. Tikslas – nustatyti, kurie trūkumai paveikia kurias sistemas ir koks jų rimtumas.

Nustačius pažeidžiamumus, rizika ir mažinimo priemonės yra klasifikuojamos . Kritinis gedimas serveryje, prijungtame prie interneto, nėra tas pats, kas nedidelė problema izoliuotame kompiuteryje. Ši informacija naudojama pataisų prioritetams nustatyti ir priežiūros laikotarpiams nustatyti.

Prieš diegiant masinį atnaujinimą, patartina atlikti kontroliuojamus testus ikigamybinėje aplinkoje arba su nedidele komandų grupe . Tai padeda aptikti nesuderinamumus, poveikį verslo programoms ar nepageidaujamus pakeitimus.

Toliau atliekamas suplanuotas pataisų diegimas , pasinaudojant, pavyzdžiui, naktiniais laikotarpiais ar savaitgaliais, siekiant kuo mažiau sutrikdyti darbą. Baigus šį procesą, būtina iš naujo įvertinti išteklius ir patikrinti, ar pažeidžiamumas iš tiesų buvo ištaisytas ir ar sistemos toliau veikia taip, kaip numatyta.

Automatizavimas, stebėjimas ir geriausia praktika pataisų valdymui

Augant įrenginių skaičiui, rankinis valdymas tampa nepraktiškas. Atnaujinimų aptikimo, atsisiuntimo ir diegimo automatizavimas yra labai svarbus siekiant išvengti kiekvieno vartotojo spustelėjimo „įdiegti dabar“.

Profesionalūs pataisų valdymo sprendimai leidžia apibrėžti politikas pagal kritiškumą (kritiniai saugos pataisymai taikomi nedelsiant, kiti grupuojami periodiškai), taip pat generuoti atitikties ataskaitas, kad žinotumėte, kurios komandos yra atnaujintos, o kurios ne.

Kita gera praktika – organizacijoje nustatyti oficialią pataisų valdymo politiką : peržiūrų dažnumą, maksimalų diegimo laiką pagal sunkumą, atsakingas šalis, testavimo procedūras, atnaujinimų planus ir kt.

Be techninių aspektų, labai svarbu mokyti darbuotojus ir didinti jų informuotumą . Daugelis vartotojų linkę ignoruoti atnaujinimų pranešimus dėl patogumo. Pasenusios programinės įrangos poveikio paaiškinimas realiais pavyzdžiais padeda pakeisti šį požiūrį.

Galiausiai, patartina atidžiai sekti gamintojų ir oficialių įstaigų saugumo biuletenius, kad būtų galima stebėti kylančias grėsmes ir naujai išleistus svarbius pataisymus, į kuriuos reikia greitai reaguoti.

Kada prasminga naudotis profesionalių atnaujinimo paslaugų paslaugomis?

Nors daugelis atnaujinimų yra gana paprasti, sudėtingos aplinkos gali sukelti suderinamumo problemų, sistemos priklausomybių, reguliavimo reikalavimų arba labai ribotų paslaugų teikimo laikotarpių. Tokiais atvejais pataisų valdymo delegavimas specialistams gali būti labai ekonomiškas.

Profesionali paslauga paprastai apima suderinamumo analizę, išankstinį testavimą, diegimo planavimą ir stebėjimą po jo , taip sumažinant tikimybę, kad atnaujinimas sukels kritinį sutrikimą.

Be to, šios komandos paprastai dirba su centralizuotomis platformomis, kurios derina nuotolinį įrenginių valdymą ir automatizuotą pataisymų diegimą , leidžiančią paskirstytiems tinklams, nuotoliniams darbuotojams ar nuotoliniams biurams nuolat atnaujinti savo įrangą be nuolatinių kelionių.

Daugeliui įmonių šios dalies perdavimas išorės tiekėjams leidžia sutelkti dėmesį į pagrindinę veiklą, kartu užtikrinant tinkamą infrastruktūros ir programinės įrangos apsaugą ir optimizavimą , o tai ypač vertinga, jei jos neturi didelio IT skyriaus.

Operacinių sistemų, programų ir programinės įrangos atnaujinimas, pataisų diegimas per pagrįstą laiką, nepatikimų šaltinių vengimas ir patikimų pataisų valdymo įrankių bei politikų (tiek techninių, tiek organizacinių) naudojimas yra tai, kas lemia skirtumą tarp pakankamai apsaugotos infrastruktūros ir aplinkos, kurioje gausu kibernetinių atakų, prieinamumo incidentų ir atitikties reguliavimo problemoms.