V menšej firme má aktualizácie na starosti často jeden správca alebo externý dodávateľ. Popri ďalšej práci sa ľahko stane, že sa aktualizuje nárazovo. Windows sa možno aktualizujú samy, ale prehliadače, čítačky PDF, klienti VPN či firmvér routera už toľko pozornosti nedostanú. Cieľom nie je dokonalosť, ale predvídateľný rytmus.
Americký inštitút NIST v publikácii SP 800-40 Rev. 4 opisuje patch management ako preventívnu údržbu technológií. Tento pohľad pomáha. Aktualizácie nie sú mimoriadna akcia, ale bežná súčasť prevádzky. Pravidelnosť navyše uľahčuje komunikáciu. Používatelia vedia, kedy rátať s reštartom, a vedenie vidí, že proces funguje.
Začnite inventárom
Nemôžete aktualizovať to, o čom neviete. Prvým krokom je prehľad zariadení a softvéru. Nemusí byť dokonalý, ale mal by byť aktuálny.
Do inventára patria:
- počítače, notebooky a servery vrátane verzie operačného systému,
- aplikácie, najmä tie dostupné z internetu alebo pracujúce s dokumentmi,
- sieťové zariadenia, firewally, brány VPN a ich firmvér,
- cloudové služby a nastavenia, ktoré spravujete vy,
- zariadenia a systémy, ktoré aktualizovať nemožno alebo nesmiete.
Pri každej položke si poznačte vlastníka a spôsob aktualizácie. Systémy bez podpory výrobcu označte osobitne. Potrebujú iné riešenie, napríklad oddelenie od zvyšku siete alebo plán výmeny.
Inventár nemusí začínať drahým nástrojom. Na prvý krok stačí export z konzoly na správu zariadení, ručne doplnený o sieťové zariadenia. Dôležitejšie než forma je, aby ho niekto pravidelne aktualizoval.
Priorita podľa zneužiteľnosti, nie len podľa skóre
Nie všetky aktualizácie sú rovnako naliehavé. Skóre CVSS opisuje technickú závažnosť zraniteľnosti. Samo však nepovie, či ju niekto skutočne zneužíva. Preto sa oplatí sledovať aj ďalšie zdroje.
Americká agentúra CISA vedie katalóg Known Exploited Vulnerabilities, teda zraniteľností, pri ktorých existujú dôkazy o zneužívaní. CISA odporúča používať ho ako jeden zo vstupov pri stanovovaní priorít. Katalóg však nie je úplný. To, že v ňom zraniteľnosť chýba, neznamená, že je bezpečná. Doplnkom môže byť model EPSS od organizácie FIRST, ktorý odhaduje pravdepodobnosť zneužitia.
Rovnako dôležitý je kontext. Zraniteľnosť na bráne VPN dostupnej z internetu je naliehavejšia než rovnaká chyba na izolovanom počítači. NIST odporúča vopred rozlíšiť niekoľko situácií a mať pre každú pripravený postup:
- Bežné aktualizácie v pravidelnom, napríklad mesačnom cykle.
- Naliehavé aktualizácie pre zneužívané zraniteľnosti, najmä na systémoch dostupných z internetu. Tie nečakajú na ďalší cyklus.
- Dočasné opatrenia, keď oprava zatiaľ neexistuje, napríklad vypnutie funkcie alebo obmedzenie prístupu.
- Systémy, ktoré aktualizovať nemožno, s trvalým oddelením alebo plánom výmeny.
Postupné nasadenie vo vlnách
Aktualizácia môže výnimočne niečo pokaziť. To však nie je dôvod ju odkladať. Riešením je nasadzovať postupne, vo vlnách:
- Pilotná skupina. Niekoľko zariadení IT a ochotných kolegov dostane aktualizáciu ako prvé.
- Široké nasadenie. Ak sa po dohodnutom čase neobjaví problém, aktualizácia ide na väčšinu zariadení.
- Kritické systémy. Servery a stroje s citlivou prevádzkou prichádzajú na rad v plánovanom okne, so zálohou a postupom návratu.
Veľkosť vĺn a dĺžku čakania prispôsobte svojmu prostrediu. Pri naliehavých opravách sa cyklus skracuje. Pilotná skupina by mala zahŕňať aj ľudí, ktorí používajú menej bežné aplikácie. Zapíšte si, kto rozhoduje o zastavení nasadenia a ako sa používatelia ozvú, keď niečo nefunguje. Krátka cesta na hlásenie problémov zrýchli celú vlnu.
Nezabudnite na aplikácie tretích strán
Operačný systém je len časť. Zraniteľnosti sa pravidelne objavujú aj v prehliadačoch a ich doplnkoch, kancelárskych balíkoch, čítačkách PDF, nástrojoch na vzdialený prístup či v behových prostrediach. Tieto aplikácie majú vlastné aktualizačné mechanizmy a vlastné tempo.
Pomôcť môže nástroj, ktorý inventár aj aktualizácie riadi centrálne. Jednou z možností je napríklad Heimdal Patch & Asset Management, ktorý APPSEC dodáva a podporuje. Podobné funkcie majú aj iné nástroje na správu zariadení. Pri výbere je dôležité, ktoré systémy a aplikácie nástroj skutočne pokrýva a ako prehľadne ukáže, čo sa nepodarilo nainštalovať.
Rozoslanie aktualizácie však ešte neznamená, že je nainštalovaná. Pravidelne kontrolujte, ktoré zariadenia aktualizáciu skutočne majú a ktoré zostali pozadu. Jednoduchý mesačný prehľad pre vedenie môže obsahovať stav aktualizácií, otvorené výnimky a systémy čakajúce na výmenu.
Kontrolný zoznam pre pravidelný rytmus
- Inventár zariadení a softvéru existuje a má svojho vlastníka.
- Systémy bez podpory výrobcu sú označené a majú plán.
- Pre bežné aktualizácie je stanovený pravidelný termín.
- Existuje postup pre naliehavé opravy mimo bežného cyklu.
- Priority zohľadňujú zneužívanie, napríklad katalóg KEV, aj dostupnosť z internetu.
- Aktualizácie sa nasadzujú vo vlnách s pilotnou skupinou.
- Aplikácie tretích strán a firmvér sú súčasťou procesu.
- Úspešnosť inštalácie sa pravidelne kontroluje a výnimky sú zapísané.
Ak chcete aktualizácie vo firme postaviť na pevný základ alebo zvažujete nástroj na ich správu, môžeme s vami prejsť súčasný stav a navrhnúť realistický postup. Dohodnite si konzultáciu.
