Microsoft 972 pataisos: saugumo skola nebepraeina per vieną vakarą
Microsoft rugsėjo pataisų paketas užlopė apie 972 pažeidžiamumus, iš jų 112 kritinių. DI laikais saugumo darbai pradeda panašėti į maratoną be finišo.
Šiame straipsnyje · 4 dalys
- Kodėl DI svarbus kibernetiniam saugumui? DI gali greitinti pažeidžiamumų analizę ir gynybą, bet taip pat gali padėti greičiau rengti atakas.
- Ką įmonėms daryti pirmiausia? Susidaryti svarbiausių sistemų sąrašą, turėti atnaujinimų ritmą ir aiškų atsakingą žmogų už kritines pataisas.
Microsoft 972 pataisos skamba kaip IT administratoriaus pirmadienis, kuris niekaip nesibaigia. Ars Technica rašo, kad rugsėjį Microsoft užlopė rekordinį kiekį pažeidžiamumų, o 112 iš jų įvertinti kaip kritiniai.
Čia ne vien Microsoft istorija. Tai ženklas, kad programinės įrangos saugumas įžengė į kitą tempą. Pažeidžiamumų daugėja, įrankiai juos randa greičiau, o DI gali padėti ir gynėjams, ir puolėjams.
Atvirai? „Atnaujinsim kada nors“ šitame žaidime jau skamba kaip planas pralaimėti.
Kodėl skaičius toks didelis
Didelis pataisų skaičius nebūtinai reiškia, kad viskas griūva. Kartais tai reiškia, kad daugiau klaidų randama, dokumentuojama ir taisoma. Bet įmonei, kuri turi šimtus kompiuterių, serverių ir debesų paslaugų, skirtumas mažas.
Reikia suprasti, ką atnaujinti pirmiausia. Reikia patikrinti, ar pataisa nesulaužys darbo. Reikia turėti atsarginį planą. Ir visa tai vyksta tada, kai komanda jau turi kitų darbų.
DI čia įneša papildomą spaudimą. Automatizuota pažeidžiamumų paieška ir atakų paruošimas mažina laiką tarp klaidos paskelbimo ir bandymo ja pasinaudoti.
Saugumas tampa procesu
Seniau dalis įmonių gyveno paprastai: kartą per mėnesį ateina pataisos, kas nors jas sudeda, viskas. Dabar toks ritmas per lėtas. Ypač ten, kur naudojama daug debesų paslaugų, integracijų ir DI įrankių.
Įmonėms reikia ne tik antivirusinės. Reikia inventoriaus: kokias sistemas turime, kas jose sukasi, kas atsakingas, kaip greitai galime užlopyti kritinę skylę.
Tai nuobodus darbas. Kaip treniruotė bazėje. Bet be jos varžybų dieną nepadės nei gražūs batai, nei motyvacinė citata.
Ką daryti praktiškai
Pirmas žingsnis – susidėti kritiškiausių sistemų sąrašą. Ne viską pasaulyje, o tai, kas sustabdytų pardavimus, gamybą, klientų aptarnavimą ar finansus.
Antras žingsnis – aiškus atnaujinimų langas ir žmogus, kuris atsako už sprendimą. Trečias – testas po atnaujinimo. Nes pataisa, kuri tyliai sustabdo procesą, irgi yra rizika.
DI gali padėti rūšiuoti įspėjimus, skaityti ataskaitas ir ruošti santraukas. Bet atsakomybės jis nepasiima. Kol kas sąskaita vis tiek ateina į žmogaus el. paštą.
Rašome apie dirbtinį intelektą lietuviškai. Kiekvienas straipsnis parengtas pagal nurodytą šaltinį, o nuorodą į originalą rasite kortelėje „Šaltinis“.
