Czy instalacja poprawek oprogramowania jest w twojej firmie priorytetem?

7.3.2002
ArticleID: 1225

Administratorzy systemów zabezpieczeń nie mają łatwego życia. Pomiędzy aktualizacją systemów, archiwizacją danych na serwerach, monitorowaniem systemów wykrywania włamań i wieloma innymi pracami muszą jeszcze znaleźć czas, by wykonywać kolejne, niezwykle ważne zadanie: instalowanie poprawek do oprogramowania.

Szacuje się, że w samym tylko 2001 r. odkryto 3 tys. nowych luk w systemach zabezpieczeń, a w 2002 r. liczba ta ma jeszcze wzrosnąć. Większość niszczycielskich wirusów i robaków internetowych wykrytych w 2001 r. rozprzestrzeniała się poprzez wykorzystanie znanych luk w zabezpieczeniach. Takiemu stanowi rzeczy można było zapobiec, jednak na wielu serwerach nie zainstalowano poprawek, a tym samum pozostawiono otwarte drzwi, przez które wirusy przedostały się do systemów na całym świecie.

Instalowanie poprawek eliminujących luki w systemach zabezpieczeń jest praktyką niedrogą, która jednak pozwala uniknąć potencjalnie bardzo kosztownych szkód zarówno w zakresie budżetu, jak i reputacji firm.

Znaczenie instalowania poprawek

Z raportu Centrum Koordynacyjnego CERT w Carnegie Mellon wynika, że 99 proc. zgłaszanych włamań „dokonano przez wykorzystanie znanych luk lub błędów konfiguracyjnych, którym można było przeciwdziałać ogólnodostępnymi środkami". Można założyć, że wiele ze środków zaradczych wspomnianych przez CERT to poprawki publikowane przez dostawców oprogramowania.

Poprawki eliminujące znane luki udostępniane są w serwisach internetowych producentów oprogramowania są jednak często pomijane lub zostają przeoczone. Jest to swego rodzaju dylemat – instalowanie poprawek uznaje się za zadanie zbyt czasochłonne i skomplikowane, nierzadko też administratorzy nie doceniają jego znaczenia. Jednak wdrożenie sprawdzania dostępności i instalacji poprawek w rytm codziennych zadań może nie tylko zapewnić ich stosowanie, ale też ograniczyć poświęcany na to czas.

Skąd biorą się luki

Luki powstają, gdy zastosowane technologie nie współpracują poprawnie. Nierzadko ich przyczyną są też błędy w oprogramowaniu, wynikające z przeoczenia producenta. Każda luka stanowi potencjalny cel włamania lub innych niebezpiecznych działań. W celu uniknięcia zagrożenia należy odpowiednio wcześnie stosować poprawki, zanim włamywacz skorzysta ze sposobności, by uzyskać dostęp do systemu przedsiębiorstwa.

Rozpoznając luki, nie wolno zapominać o systemach, nie mających krytycznego znaczenia dla działalności firmy. Wielu włamań dokonano właśnie poprzez urządzenia uznawane za mniej ważne, a tym samym słabiej zabezpieczone. Uzyskując dostęp do takiego urządzenia, włamywacz tworzy przyczółek, z którego może zaatakować znacznie istotniejsze aplikacje. Należy stosować zasadę, że każdy element wystawiony na ataki ma kluczowe znaczenie dla działania systemu.

Bez stosowania poprawek komputery nie są chronione nawet przed najczęściej spotykanymi rodzajami ataków. W roku 2001 internetowa społeczność odczuła boleśnie skutki ataku robaka Sadmind, a także niszczycielskich zagrożeń internetowych Code Red i Nimda. Zagrożenia te, jak i wiele innych, rozprzestrzeniają się niezwykle szybko, po części z powodu znanych, lecz nie załatanych luk.

Niełatwo jest się ukryć

Do wyszukiwania luk w systemach włamywacze wykorzystują coraz bardziej wyrafinowane i jednocześnie coraz łatwiej dostępne narzędzia. Dysponując szczegółową wiedzą na temat danej luki w zabezpieczeniach, mogą za pomocą posiadanych narzędzi i technik przeskanować setki tysięcy komputerów podłączonych do Internetu w poszukiwaniu tych, na których nie wyeliminowano luk. Potencjalnie więc każdy komputer może być celem ataku.

Włamywacze często wybierają cel z uwagi na atrakcyjność lub powszechną znajomość przedsiębiorstwa. Jeśli któremuś z nich uda się uzyskać dostęp do zasobów firmy, może wyrządzić ogromne szkody, nie tylko w zakresie utraconych przychodów, ale i kosztów związanych z przerwami w pracy, potencjalnym spadkiem udziału w rynku lub innym rodzajem uszczerbku na reputacji firmy.

Instalowanie poprawek powinno być regułą

Jeśli przedsiębiorstwo korzysta z różnorodnego oprogramowania, należy dopilnować, by dla każdego z nich zainstalowane były najnowsze poprawki, na wszystkich serwerach. Bardzo duże znaczenie ma uznanie instalowania poprawek za nieodzowny element działalności i włączenie tej czynności do ogólnej strategii zabezpieczeń. Zdarza się jednak, że publikowane są ostrzeżenia o lukach, dla których nie udostępniono jeszcze poprawek. W takim wypadku jedynym rozwiązaniem może się okazać ograniczenie dostępu do serwera, na którym występuje luka.

Zarządzanie poprawkami

Stworzenie strategii zarządzania poprawkami jest dobrym sposobem na jasne i czytelne nakreślenie pożądanego sposobu postępowania, a także zabezpieczenie się przed ewentualnymi przeoczeniami. Poniżej przedstawiono niektóre z działań, jakie powinny znaleźć się w takiej strategii:

• Subskrypcja list dyskusyjnych oferujących porady i ostrzeżenia – zapewnia szybkie powiadamianie publikowanych aktualizacjach i poprawkach do oprogramowania. Więcej informacji można uzyskać w następujących miejscach:
• serwisy internetowe producentów – wielu producentów oprogramowania obsługuje listy, umożliwiające powiadamianie klientów, informacje takie są dostępne w ich serwisach internetowych;
• niezależne organizacje zajmujące się wyszukiwaniem błędów – warto zarejestrować się na liście porad Centrum Koordynacji CERT, liście mailingowej BugTraq lub regularnie odwiedzać stronę Security Focus.
• Dokumentowanie zdarzeń – zaleca się dokumentowanie wszystkich czynności wykonywanych podczas analizowania, wdrażania i testowania poprawek. Pozwoli to dokładnie prześledzić cały proces w przypadku zakwestionowania jego przebiegu.
• Określenie znaczenia i wagi luki – należy zapoznać się z otrzymywanymi poradami i ostrzeżeniami w ciągu 24 godzin od ich otrzymania i ocenić, czy mają zastosowanie w działalności firmy; jeśli tak, należy natychmiast określić wagę problemu.
• Analizę poprawek i ich instalowanie powinny przeprowadzać dwie różne osoby – osoba zapoznająca się z poradami i oceniająca konieczność zastosowania poprawki nie powinna odpowiadać za jej instalację. Powierzenie obu zadań jednej osobie wiąże się z ryzykiem nieobiektywnej oceny. Osoba odpowiedzialna za instalacje poprawki może mieć skłonność do ignorowania ostrzeżeń, wiedząc, że w przypadku wykrycia poważnego ryzyka będzie musiała poświęcić czas na rozwiązanie problemu. Powierzenie analizy osobie nie związanej z procesem instalacji znacznie zwiększa obiektywizm oceny.
• Testowanie poprawki przez instalacją – zdarzają się sytuacje, w których sama poprawka może spowodować dodatkowe, nieprzewidziane problemy w zakresie bieżącego działania i bezpieczeństwa przedsiębiorstwa. Poprawkę należy najpierw zastosować w bezpiecznym środowisku testowym, które pozwoli ocenić, czy nie spowoduje ona powstania nowej luki lub nie zakłóci ciągłości działania firmy.

Co jeszcze można zrobić?

Spośród pracowników firmy należy wyznaczyć jedną osobę, której zadaniem będzie stałe wyszukiwanie nowych poprawek, śledzenie grup dyskusyjnych, instytucji clearingowych w zakresie zabezpieczeń oraz innych organizacji regularnie publikujących informacje o lukach w zabezpieczeniach. Pozwoli to szybko przeciwdziałać zagrożeniom. Oprócz bieżącej aktualizacji poprawek zaleca się stosowanie filtrów w bramach pocztowych, które zapewniają dodatkowe zabezpieczenie, a także częstą aktualizację programów antywirusowych. Obecnie dostępne są na rynku pakiety oprogramowania, które automatycznie kontrolują systemy całego przedsiębiorstwa pod kątem instalacji właściwych poprawek i rozpoznają komputery wymagające instalacji poprawek.

Skuteczny system zabezpieczeń informacji obejmuje zarówno skuteczne technologie, jak i dobrze opracowany sposób działania. Nie należy popełniać błędu, polegającego na ograniczeniu się do stałej modernizacji technologii zabezpieczeń. Nowe luki będą bowiem zawsze powstawały, bez względu na to, jak aktualne jest oprogramowanie na serwerach. Dlatego też stała aktualizacja systemów poprzez instalowanie najnowszych poprawek jest jedną z najlepszych inwestycji. Jest to stosunkowo porty sposób na uniknięcie poważnych problemów.

• Więcej informacji na temat systemu Symantec Enterprise Security Manager.
• Symantec Enterprise Security Manager automatyzuje proces wykrywania luk w systemach zabezpieczeń i naruszeń strategii zabezpieczeń w aplikacjach i serwerach o kluczowym znaczeniu dla działalności firmy oraz steruje tym procesem z jednego stanowiska.
• Więcej informacji na temat rozwiązań Symantec Enterprise Security można znaleźć pod adresem Enterprise Security Resource Center.