Tworzenie exploitów zero-day zawsze było dość kosztowne, głównie ze względu na nakłady pracy i umiejętności, które są potrzebne do wykrywania luk. Pracę ludzkich rąk i inteligencji ludzkiego umysłu da się do pewnego stopnia zautomatyzować, więc nie powinniśmy się dziwić, że najlepsze efekty daje połączenie twórczości człowieka, szybkości i dokładności maszyny. Tak zwanym „fuzzingiem” posiłkują się specjaliści ds. zagrożeń w celu wykrywania luk w zabezpieczeniach sprzętu i oprogramowania. To technika, która jest stosowana w środowiskach laboratoryjnych, także wykorzystywana przez hakerów – uczenie maszynowe pozwala szybciej wykrywać nowe luki oraz zwiększyć liczbę ataków typu zero-day, wymierzonych w różne programy, platformy i usługi dla przedsiębiorstw.
Eksperci Check Point Research, używając specjalnych fuzzerów, zgłosili firmie Microsoft szereg podatności w jednym z komponentów pakietu Microsoft Office, który ma wpływ na pogorszenie bezpieczeństwa wielu produktów i całego ekosystemu Windows, używanego w firmowych i domowych komputerach. A to dopiero początek pracy ekspertów Check Pointa.
Microsoft dnia 8 czerwca 2021 roku opublikował na stronie internetowej szczegóły techniczne o pakiecie aktualizacji bezpieczeństwa w ramach comiesięcznego Patch Tuesday. Wydano łącznie 50 poprawek bezpieczeństwa. Pięć oznaczono jako krytyczne. Załatano też aż 6 luk zero-day!
Liczne luki w produktach Microsoft
Analiza zaledwie pojedynczego składnika pakietu Microsoft Office zaowocowała znalezieniem luk w zabezpieczeniach wielu produktów tego samego ekosystemu. Wynikiem badań są pliki używane przez programy Microsoftu, które potencjalnie można użyć do uruchomienia złośliwego kodu. Jeżeli więc specjaliści od testowania zabezpieczeń wiedzą więcej niż administratorzy zatrudnieni w firmach, to z pewnością hakerzy też mają nad nimi przewagę.
Zadajemy więc pytania: Jak to jest, że eksperci z niewielkim trudem wyszukują błędy projektowe w produktach Microsoftu, ujawniając szereg niebezpiecznych sposobów atakowania firm? O ilu lukach jeszcze nie wiemy? W jaki sposób firmy w Polsce mogą chronić się przed tym, co nieuniknione – lukami, które już teraz istnieją, lecz nikt jeszcze oficjalnie o nich nie mówi?
Fundacji AVLab dla Cyberbezpieczeństwa odpowiedział Yaniv Balmas, szef Działu Badań Cybernetycznych w Check Point Software.
Łatanie: Zdecydowanie zbyt często ataki przenikają przez luki w zabezpieczeniach, dla których istnieje poprawka, ale nie została ona zastosowana. Organizacje powinny dążyć do zapewnienia, że we wszystkich systemach i oprogramowaniu są utrzymywane aktualne poprawki zabezpieczeń.
Zapobieganie a nie wykrywanie: Tradycyjni dostawcy cyberbezpieczeństwa często twierdzą, że ataki będą miały miejsce i nie ma sposobu, aby ich uniknąć, a zatem jedyne, co pozostaje do zrobienia, to zainwestować w technologie, które wykrywają atak, gdy ktoś lub coś naruszyło sieć, i jak najszybciej złagodzić szkody. Ataki można nie tylko wykrywać, ale także im zapobiegać, w tym atakom typu zero-day. Dzięki odpowiednim technologiom większości ataków, nawet najbardziej zaawansowanym, można zapobiec bez zakłócania normalnego przepływu działalności.
Wykorzystanie kompletnej zjednoczonej architektury: Wiele firm próbuje zbudować swoje zabezpieczenia, korzystając z kilku produktów jednofunkcyjnych, pochodzących od wielu dostawców. Takie podejście zwykle zawodzi: skutkuje rozłącznymi technologiami, które nie współpracują – tworząc luki w zabezpieczeniach. Ponadto wprowadza ogromne obciążenie związane z pracą z wieloma systemami i dostawcami. W wyniku tego nieefektywnego podejścia wielu atakom nie udaje się zapobiec, co zmusza organizacje do większych inwestycji w działania po infekcji i łagodzenie naruszeń. Aby osiągnąć kompleksowe bezpieczeństwo, firmy powinny przyjąć ujednolicone, wielowarstwowe podejście, które chroni wszystkie elementy IT – sieci, punkty końcowe, chmurę i urządzenia mobilne, korzystające z tej samej architektury prewencyjnej i tej samej analizy zagrożeń.
Yaniv Balmas
Szef Działu Badań Cybernetycznych w Check Point Software
Head of Cyber Research w firmie Check Point słusznie wspomina o problemie fragmentacji produktów bezpieczeństwa, które wymagają ciągłego szkolenia i obsługiwania kilku konsol jednocześnie. Co więcej korelacja cyfrowych zdarzeń z chronionych punktów końcowych przez rozwiązania różnych dostawców jest trudne, ponieważ nie ma wspólnego podłoża technicznego, aby w łatwy sposób umożliwić firmom wizualizację śladów włamań i raportowanie o problemach.
Zasugerujemy firmom to, co powiedział szef Działu Badań Cybernetycznych w Check Point Software – warto korzystać z ujednoliconej architektury bezpieczeństwa i na bieżąco wdrażać nowe wersje programów i systemów, aby przeciwdziałać atakom zero-day na luki, które jeszcze nie są powszechnie znane i załatane przed dostawców systemów IT.
