Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.
Talos som är ett av världens största hotintelligens företag lyfter i sin årsrapport för 2023 olika tillvägagångssätt för hotaktörerna att få åtkomst till organisationerna de attackerar, så kallade attackvektorer. Exploatering av sårbarheter i system som är nåbara på Internet eller publikt tillgängliga, står för hela 28 procent av alla intrång. Det är den vanligaste vägen in för hotaktörerna i Talos kartläggning.
Många hotaktörer övervakar de säkerhetsuppdateringar som leverantörer publicerar, för att kunna utnyttja dessa innan deras måltavlor hunnit uppdatera. Därför är det viktigt att installera säkerhetsuppdateringar så snart det är möjligt. Automation och AI gör att tidsfönstret krymper från det att en leverantör informerat om en sårbarhet till att den utnyttjas av hotaktörer.
Min erfarenhet är att svenska företag är mycket bra på säkerhetsuppdateringar av Microsoft baserade system, inte lika duktiga på Linux baserade system, IoT enheter eller nätutrustning, vilket kan bli vägen in för en angripare.
I flera fall av de senaste cyberangreppen i Sverige så har utpressningsmjukvaran Akira använts. Finska motsvarigheten till nationellt center för cybersäkerhet, TRAFICOM, rapporterade att de fall som de fått kännedom om i Finland, så har Akira i synnerhet utnyttjat sårbarheter i Ciscos nätutrustning.
Så utan att veta säkert, så är exploatering av kända sårbarheter i system nåbara på Internet, ett troligt tillvägagångssätt även i Sverige, i de fall där Akira använts av hotaktörerna.
Varför är det så att säkerhetsuppdateringar inte installeras direkt när de publiceras av leverantörerna? Finns flera skäl, men för nätutrustning kan detta vara skälen:
- Inte prioriterat.
- Ett tankesätt är att ”don’t fix things that aren’t broken”.
- Förändring och uppdateringar har historiskt inneburit risk för avbrott. Åtskilliga gånger genom åren har jag varit med om att uppdateringar har lagts på och funktioner har slutat att fungera.
- Servicefönster, många organisationer uppdaterar enbart nätutrustning och brandväggar under ett servicefönster.
- Resurser, den personal som utför uppdateringarna finns inte tillgänglig förrän om en vecka eller två.
Tack och lov har leverantörerna blivit bättre på att säkerställa att uppdateringar är säkrare att installera, även om det inte gäller i 100 procent av fallen.
När leverantörer publicerar information om en sårbarhet, så sätts en klassificering som beskriver hur allvarlig sårbarheten är, en allvarlighetsgrad. Systemet för klassificering heter CVSS, Common Vulnerability Scoring System.
Många gånger så blir fokus på att säkerhetsuppdatera det som har en hög allvarlighetsgrad, vilket i sig är bra, men det förstår också angriparna, vilket gör att de kan rikta in sig på att utnyttja sårbarheter med lägre allvarlighetsgrad. Tänk på att du vet inte vad hotaktörerna har för förmåga.
Rekommendationer:
- Följ information från leverantörer.
- Prenumerera på CERT SEs blixtmeddelande varningsutskick.
- Lägg på säkerhetsuppdateringar så fort det är möjligt.
- Använd allvarlighetsgraden för hur kritisk en sårbarhet är, för att prioritera, men glöm inte att hotaktörerna också utnyttjar sårbarheter med lägre allvarlighetsgrad.
- Använd CERT SEs automatiska notifieringar avseende tekniska sårbarheter (ANTS) tjänst, så de övervakar era publik IP adresser och meddelar när de ser sårbarheter.
Antal sårbarheter som publiceras och blir kända har ökat och trenden pekar på att det kommer fortsätta, med allt fler enheter och funktioner uppkopplade, så blir våra företag och hela vårt samhälle mer sårbart.
Med det så sagt, så är min uppmaning: Inga sårbarheter på system som är nåbara på Internet eller publikt tillgängliga – ha en fanatisk inställning till säkerhetsuppdateringar!
