Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Okno na załatanie luki się kurczy. Bezpieczeństwo potrzebuje nowej warstwy kontroli
Czas między ujawnieniem podatności a jej wykorzystaniem przez atakujących stale się skraca.
Sama widoczność luk i priorytetyzacja poprawek nie zmniejszają natychmiast ekspozycji.
Kontrole sieciowe mogą ograniczać ryzyko, zanim poprawka zostanie przetestowana i wdrożona.
Sieć może stać się adaptacyjną warstwą ochrony, która kupuje czas na bezpieczną remediację.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Przez lata zarządzanie podatnościami opierało się na założeniu, że obrońcy mają wystarczająco dużo czasu, aby zareagować przed atakującymi. Luka była ujawniana, zespoły bezpieczeństwa oceniały zakres problemu, testowały dostępną poprawkę, uzgadniały okno zmian i wdrażały aktualizację w środowisku produkcyjnym. Po zakończeniu tego procesu ryzyko miało zostać zamknięte. Ten model nadal jest potrzebny, ale coraz częściej nie odpowiada warunkom, w jakich działają współczesne organizacje.
Dlaczego tradycyjny model przestaje wystarczać
Przedsiębiorstwa korzystają dziś z tysięcy powiązanych systemów, aplikacji, baz danych, kontenerów i zasobów sieciowych działających w środowiskach hybrydowych oraz wielochmurowych. Część z nich obsługuje usługi generujące przychody, doświadczenia klientów albo kluczowe procesy operacyjne. Nie można ich po prostu wyłączyć w chwili udostępnienia aktualizacji. Poprawka musi zostać sprawdzona pod kątem zgodności z aplikacjami, zależnościami technicznymi i wymaganiami organizacji. W środowiskach regulowanych mogą być potrzebne dodatkowe testy, zatwierdzenia i uzgodnienia.
Jednocześnie informacje o nowych podatnościach rozchodzą się szybciej niż wcześniej. Publiczne komunikaty, badania bezpieczeństwa, przykładowe koncepcje wykorzystania luk i dane o zagrożeniach mogą być analizowane na całym świecie w ciągu kilku godzin. Microsoft wskazuje, że luka ujawniona rano może jeszcze tego samego dnia stać się przedmiotem aktywnego skanowania lub prób wykorzystania. Nie oznacza to, że każda podatność zostanie natychmiast zaatakowana, ale skraca czas, w którym organizacja może bezpiecznie przeprowadzić pełną remediację.
Obrońcy muszą ocenić, które systemy są podatne i jak zmiana wpłynie na ich działanie.
Poprawki trzeba często przetestować przed wdrożeniem do środowiska produkcyjnego.
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Aplikacje krytyczne mogą wymagać zaplanowanego okna zmian albo czasowego ograniczenia działania.
Procesy zatwierdzania są ważnym zabezpieczeniem operacyjnym, ale mogą trwać dłużej niż przygotowanie ataku.
Największe ryzyko powstaje przed wdrożeniem poprawki
Różnica między tempem obrony i ataku tworzy szczególnie niebezpieczny okres, czyli okno między ujawnieniem a remediacją. Organizacja może już wiedzieć, że konkretne systemy są narażone, lecz nie mieć możliwości natychmiastowego wdrożenia aktualizacji. Dotyczy to między innymi aplikacji biznesowych wymagających szerokiej walidacji, systemów produkcyjnych, których nie można zatrzymać w godzinach pracy, oraz środowisk, w których każda zmiana musi przejść formalną ścieżkę akceptacji.
Sama widoczność problemu nie zmniejsza ekspozycji. Narzędzia do wykrywania podatności, dane o zagrożeniach, analityka i priorytetyzacja są niezbędne, ponieważ pomagają ustalić, gdzie znajduje się ryzyko i które działania powinny mieć pierwszeństwo. Nie rozwiązują jednak sytuacji, w której zespół zna podatny system, ale nie może go jeszcze bezpiecznie zaktualizować. Wtedy potrzebny jest dodatkowy mechanizm, który ograniczy możliwość wykorzystania luki podczas trwania właściwego procesu naprawczego.
Presję na skrócenie tego okna może zwiększać także sztuczna inteligencja. Według Microsoftu narzędzia wspierane przez AI mogą przyspieszać analizę komunikatów o podatnościach, wskazywanie prawdopodobnych ścieżek ataku, ocenę zależności technicznych i porządkowanie złożonych informacji. Te same możliwości mogą być wykorzystywane zarówno przez obrońców, jak i przez napastników. Obrońcy odpowiadają za całą infrastrukturę, natomiast atakujący potrzebują znaleźć tylko jedną skuteczną drogę wejścia.
Sieć jako warstwa ochrony tymczasowej
W tej sytuacji Microsoft wskazuje na sieć jako miejsce, w którym można zastosować kontrole kompensacyjne przed zakończeniem aktualizacji. Kontrole działające na poziomie sieci chronią obciążenia z zewnątrz, zamiast wymagać natychmiastowych zmian w każdej aplikacji lub instalowania nowej funkcji na każdym urządzeniu. Sieć ma już informacje o sposobie komunikacji systemów, wymaganych połączeniach, relacjach zaufania i przepływach ruchu. Dzięki temu może ograniczać wybrane interakcje bez modyfikowania samego oprogramowania.
Celem nie jest zastąpienie poprawek ani rezygnacja z zarządzania podatnościami. Chodzi o stworzenie dodatkowej warstwy ochrony na czas, gdy aktualizacja jest testowana, zatwierdzana lub wdrażana. Takie podejście może pomóc ograniczyć ekspozycję dużej liczby systemów w sposób spójny, także wtedy, gdy infrastruktura obejmuje różne platformy i usługi chmurowe. Ochrona sieciowa ma kupować czas potrzebny do bezpiecznego usunięcia problemu, a nie utrwalać tymczasowe zabezpieczenie jako zamiennik poprawki.
Ograniczanie komunikacji między konkretnymi obciążeniami i usługami.
Zawężanie ruchu do połączeń potrzebnych do prawidłowego działania aplikacji.
Ograniczanie zachowania, od którego zależy wykorzystanie określonej podatności.
Kontrolowanie nietypowych wzorców połączeń przy zachowaniu legalnego ruchu.
Od prostych blokad do ochrony uwzględniającej kontekst
Skuteczność takiej warstwy zależy od precyzji. Proste reguły oparte na adresach IP, portach albo sygnaturach mogą być użyteczne, lecz nie zawsze pozwalają odróżnić zachowanie szkodliwe od prawidłowego. Jako przykład Microsoft podaje podatność prowadzącą do odmowy usługi w HTTP/2. Całkowite wyłączenie tego protokołu mogłoby ograniczyć ryzyko, ale jednocześnie wpłynąć na dostępność lub wydajność aplikacji. Bardziej selektywna ochrona może zamiast tego ograniczać parametry połączeń, tempo żądań albo inne zachowania związane z podatnością, pozostawiając usługę dostępną dla prawidłowego ruchu.
Takie podejście zmienia rolę sieci. Nie jest ona już wyłącznie warstwą łączności, lecz może stać się powszechną płaszczyzną egzekwowania reguł ochrony. Jej znaczenie wynika z położenia na drodze komunikacji, widoczności obejmującej różne rodzaje obciążeń oraz możliwości stosowania zasad w wielu systemach jednocześnie. W praktyce organizacja może szybciej ograniczyć ekspozycję, zamiast czekać, aż każda aplikacja, agent punktu końcowego i proces wdrażania zostaną dostosowane do nowego zagrożenia.
