Atnaujinimai ir pasenusi programinė įranga

5 modulis: Įrenginiai, programinė įranga ir tinklas · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite sudaryti atnaujinimų politiką operacinėms sistemoms, programėlėms, papildiniams, maršrutizatoriams ir kitiems įrenginiams bei paaiškinti, ką reiškia "palaikymo pabaiga" ir ką tuomet daryti.
Pagrindinės sąvokos: pažeidžiamumas, pataisa (patch), nulinės dienos (zero-day) pažeidžiamumas, automatiniai atnaujinimai, integruotoji programinė įranga (firmware), papildinys (plugin), inventorius, palaikymo pabaiga (end of life), kraštinis įrenginys (edge device)

Atnaujinimas yra lyg papildoma spyna

Programinėje įrangoje būna klaidų. Vienos klaidos tik trukdo (neveikia mygtukas), kitos yra pažeidžiamumas: klaida, kuria pasinaudodamas užpuolikas gali padaryti tai, kas nenumatyta, pavyzdžiui, prisijungti be slaptažodžio arba paleisti savo kodą. Kūrėjas tai ištaiso pataisa (patch), kuri Jums atkeliauja kaip atnaujinimas.

Klastingiausia yra pati seka. Vos tik atnaujinimas išleidžiamas, pažeidžiamumas iš esmės tampa viešas. Užpuolikai palygina seną ir naują versiją, pamato, kas buvo ištaisyta, ir sukuria tam ataką. Po to jie automatiškai nuskaito visą internetą ieškodami įrenginių, kurie dar neatsinaujino. Tai lygiai ta pati oportunistinė ataka iš 1.1 pamokos: jie ieško ne Jūsų, o visų, kurie atsilieka.

Nulinės dienos (zero-day) pažeidžiamumas yra pažeidžiamumas, kuriuo jau naudojamasi dar prieš atsirandant pataisai. Tuo atveju padaryti galima nedaug, nebent sekti kūrėjo patarimus ir riboti žalą (atsarginės kopijos, minimalios teisės). Tačiau didžioji dalis įsilaužimų į mažas įmones įvyksta per pažeidžiamumus, kuriems atnaujinimas jau seniai buvo paruoštas.

Buvęs Digital Trust Center, dabar priklausantis Nyderlandų NCSC, 2024 m. per savo CyberVeilig Check patikrą nustatė, kad daugiau nei kas trečia maža įmonė (36 %) nebuvo įjungusi automatinių atnaujinimų visuose savo interneto įrenginiuose. Nyderlandų NCSC patarimas paprastas: nedelskite atnaujinti ir įjunkite automatinius atnaujinimus visur, kur tai įmanoma.

Ką iš tikrųjų turite? Inventorius

Negalite atnaujinti to, apie ką pamiršote. Dauguma įmonių, kalbėdamos apie atnaujinimus, galvoja apie nešiojamus kompiuterius ir telefonus, tačiau pavojingiausi įrenginiai dažnai yra tylieji:

Įrenginius, kurie tiesiogiai prijungti prie interneto ir pasiekiami iš išorės (maršrutizatorius, VPN serveris, NAS su nuotoline prieiga, kamera), vadiname kraštiniais įrenginiais (edge devices). Jie dažniausiai tampa taikiniu, nes užpuolikas gali juos pasiekti be darbuotojo paspaudimo. Anonimintas pavyzdys: buhalterinė įmonė turėjo NAS su įjungta "prieiga iš bet kur" funkcija. Gamintojas išleido saugumo atnaujinimą, įmonė jo neįdiegė, ir po kelių savaičių visi NAS esantys failai buvo užšifruoti. Niekas nieko nepaspaudė.

Atnaujinimų politika penkiais susitarimais

Politika nebūtinai turi būti dešimties puslapių dokumentas. Mažai įmonei veikia šie susitarimai:

1. Automatiškai, kur tik įmanoma. Įjunkite automatinius atnaujinimus operacinėms sistemoms, naršyklėms, programėlėms, o kur įmanoma, ir TVS bei papildiniams, taip pat maršrutizatoriaus ir NAS integruotajai programinei įrangai.
2. Perkrovimas yra būtinas. Daugelis atnaujinimų pradeda veikti tik po perkrovimo. Susitarkite, kad kiekvienas bent kartą per savaitę perkrautų įrenginį, ir neatidėliokite perkrovimo savaitėmis.
3. Pirmiausia kraštiniai įrenginiai. Įrenginiams, pasiekiamiems iš išorės: patys patikrinkite, ar yra atnaujinimų, pavyzdžiui, kartą per mėnesį, ir saugumo atnaujinimą įdiekite per kelias dienas. Jei gamintojas ar Nyderlandų NCSC įspėja apie aktyvų piktnaudžiavimą, tą pačią dieną.
4. Vienas atsakingas asmuo kiekvienam įrenginiui. Inventoriuje prie kiekvienos eilutės nurodykite, kas jį atnaujina: Jūs pats, kolega, Jūsų IT įmonė ar svetainės kūrėjas. Jei niekas nenurodytas, niekas to ir nedarys.
5. Kas nebereikalinga, pašalinama. Papildinys, kurio nenaudojate, senas nešiojamas kompiuteris spintoje, vis dar prisijungęs prie tinklo, bandomoji svetainė subdomene: pašalinkite tai, tuomet nereikės to nė atnaujinti.

Abejojate, ar atnaujinimas kažką sugadins? Pirmiausia pasidarykite atsarginę kopiją (6 modulis), o tada atnaujinkite. Neįdiegti atnaujinimo bijant problemų beveik visada yra didesnė rizika.

Palaikymo pabaiga: kai atnaujinimų nebelieka

Kiekviena programinės ar integruotosios įrangos versija turi pabaigos datą. Po jos gamintojas nebeišleidžia saugumo atnaujinimų. Tai vadinama palaikymo pabaiga (end of life, EOL). Įrenginys toliau veikia kaip veikęs, ir būtent tai yra klastinga: niekas nieko nepastebi, o kiekvienas naujas pažeidžiamumas lieka neuždengtas visam laikui.

Pavyzdžiai:

• Windows 10. Įprastas palaikymas baigėsi 2025 m. spalio 14 d. Po to saugumo atnaujinimai teikiami tik per Microsoft ESU programą, kurios pabaigos datos skiriasi priklausomai nuo situacijos. Patikrinkite Microsoft svetainėje, kas galioja Jūsų įrenginiams, ir planuokite perėjimą prie palaikomos versijos ar kito įrenginio.
• PHP ir kitos svetainių kalbos. Kiekviena PHP versija gauna saugumo atnaujinimus kelerius metus. Jei Jūsų svetainė veikia senoje versijoje, serveris gali būti saugus, bet Jūsų svetainė, ko gero, ne.
• Maršrutizatoriai, NAS ir kameros. Pigūs įrenginiai kartais gauna integruotosios programinės įrangos atnaujinimus tik kelerius metus, kartais niekada. Nyderlandų NCSC rekomenduoja prieš perkant išsiaiškinti, kiek laiko gamintojas palaikys įrenginį, ir pakeisti įrenginius, kurie nebegauna atnaujinimų.
• Papildiniai ir šablonai. Papildinys, kurio kūrėjas nebeveikia, nebegauna pataisų. Ieškokite pakaitalo.

Jei kažko negalite iš karto pakeisti, bent sumažinkite riziką: atjunkite nuo interneto, perkelkite į atskirą tinklą (5.3 pamoka) ir neleiskite prieiti prie svarbių duomenų.

Saugus atnaujinimas: tik oficialiu keliu

Užpuolikai piktnaudžiauja ir pačiu žodžiu "atnaujinimas". Iššokantis langas svetainėje "Jūsų naršyklė pasenusi, atsisiųskite atnaujinimą čia" arba laiškas "įdiekite saugumo atnaujinimą iš priedo" beveik visada yra kenkėjiška programa. Tikri atnaujinimai ateina per operacinę sistemą, programėlių parduotuvę, atnaujinimo funkciją pačioje programoje arba gamintojo svetainę. Niekada per nuorodą laiške ar iššokantį langą atsitiktinėje svetainėje.

Praktikoje: taip tai atrodo

Talpinimo pakete su DirectAdmin, kaip, pavyzdžiui, WebOké, svetainės PHP versiją pasirenkate per Select PHP version. Jei prieš atnaujindami svetainę ar papildinius norite pirmiausia pasidaryti atsarginę kopiją, tai galima padaryti, pavyzdžiui, Installatron su mygtuku Back-up, po kurio, kilus problemoms, galėsite atkurti ankstesnę versiją. Pas kitus tiekėjus tai veikia panašiai: ieškokite "PHP versijos" ir Jūsų TVS atsarginių kopijų ar bandomosios (staging) funkcijos.

Kompiuteriams ir telefonams atnaujinimo funkcija yra operacinės sistemos nustatymuose. Maršrutizatoriui žiūrėkite administravimo puslapyje (adresas nurodytas instrukcijoje arba ant maršrutizatoriaus lipduko) arba Jūsų tiekėjo programėlėje.

Santrauka

• Atnaujinimas uždengia žinomą pažeidžiamumą; jam pasirodžius, užpuolikai nuskaito internetą ieškodami atsiliekančiųjų.
• Sudarykite inventorių, įtraukdami maršrutizatorių, NAS, spausdintuvą, kameras, svetainę ir papildinius, su atsakingu asmeniu kiekvienai eilutei.
• Atnaujinkite automatiškai, kur tik įmanoma, perkrovimas yra būtinas, kraštiniai įrenginiai pirmiausia ir greitai.
• Palaikymo pabaiga reiškia: saugumo atnaujinimų nebebus. Pakeiskite arba atjunkite ir apsaugokite.
• Atnaujinimus diekite tik oficialiu keliu, niekada per iššokantį langą ar laišką.

Testas

Užduotis

Užduotis D5.1: Jūsų atnaujinimų inventorizacija. Sudarykite visų Jūsų įrenginių ir programinės įrangos sąrašą, įskaitant maršrutizatorių, NAS, spausdintuvą, kameras, svetainę ir papildinius. Prie kiekvienos eilutės nurodykite versiją, ar įjungti automatiniai atnaujinimai, kas yra atsakingas asmuo ir ar jis vis dar palaikomas. Atnaujinkite tai, kas atsilieka, ir atsakykite į apmąstymo klausimus.

Papildomai paskaityti

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; pas kitus tiekėjus tai veikia panašiai.

• DirectAdmin vadovas 14.1: PHP versijos pasirinkimas (Select PHP version)
• DirectAdmin vadovas 13.6: Atsarginių kopijų kūrimas ir atkūrimas naudojant Installatron
• Nyderlandų NCSC, Kas trečia maža įmonė nenaudoja automatinių atnaujinimų: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Nyderlandų NCSC, Sutvarkykite pataisų valdymą: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Nyderlandų NCSC, Pagrindinės išmaniųjų įrenginių apsaugos priemonės: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, Windows 10 gyvavimo ciklas: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro