Съветите на NCSC за справяне с тенденцията за експлоатиране за кратък период от време на множество уязвимости в рамките на един продукт
Главеният архитект по сигурността Дейвид С публикува в блога на Националния център за киберсигурност NCSC поговорката, че ако чакаш дълго автобус, след това идват няколко наведнъж.
Според него нараства тенденцията експлоатацията на критична уязвимост в даден продукт, да се последва скоро след това от допълнителни критични уязвимости в същия продукт.
Търсач на уязвимост (или изследовател по сигурността, набиращ материал за публикация или конференция), трябва само да намери една-единствена уязвимост в даден продукт. Няма стимул за търсене на други в същия продукт. Продуктите и услугите са много сложни и е малко вероятно доставчиците или изследователите на бъгове да открият всички възможни пропуски в сигурността.
Когато отговарят на масова експлоатация (или когато доставчиците разполагат само с фиксиран период от време за отстраняване на недостатък преди наложен краен срок), те трябва да се съсредоточат върху коригирането на непосредствения проблем, а не върху задълбочено отстраняване на по-фундаментални недостатъци. Коригирането на тези основни проблеми – да се надяваме – започва успоредно, но може да отнеме месеци работа….
Когато уязвимостта с голямо въздействие е масово експлоатирана и влезе в новините, това предполага, че софтуерът съдържа други пропуски, които могат да се експлоатират. След това изследователите по сигурността или участниците в заплахата могат да решат, че си струва допълнително проучване. Те може да се запознаят с технологията и да продължат с откриването на нови проблеми със сигурността … Това може да доведе до нова вълна на експлоатация. В някои случаи една организация може да не бъде засегната в първата вълна, но по-късно е компрометирана, когато се появи втората (или третата) уязвимост….
Ефективен начин за защита на софтуера е да се намали повърхността на атаката чрез изключване или ограничаване на функционалността на софтуера. Това може да включва изключване на интерфейси или протоколи, които не се използват; където е възможно – да се скрият от интернет интерфейсите на администратора; деактивиране на наследени компоненти или настройки; надграждане или подмяна на наследен софтуер, когато пачовете вече не са налични; ограничаване на мрежовия трафик към и от устройството; преглед на удостоверяването и оторизацията за устройството; пачването се случва веднага щом е практически възможно; и най-важното – ensuring that the system isn’t unpatchable in the first place.
Авторът успокоява, че например проблемите на „Proxyshell“ в Microsoft Exchange Server или уязвимостта, засягаща Apache Log 4j 2, предизвикват значителен интерес от страна на шефовете, вземащи решения в организацията. Това може да даде тласък за финансиране на по-бавни, но важни дългосрочни проекти за сигурност, които може да са по-трудни за „продажба“ при нормални обстоятелства.