Uuendused ja aegunud tarkvara

Moodul 5: Seadmed, tarkvara ja võrk · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda õppetundi oskad koostada uuenduspoliitika operatsioonisüsteemidele, rakendustele, pluginatele, ruuteritele ja muudele seadmetele ning selgitada, mida tähendab "toe lõpp" ja mida siis ette võtta.
Põhimõisted: haavatavus, paikapanek (patch), zero-day, automaatsed uuendused, püsivara (firmware), plugin, inventuur, toe lõpp (end of life), servaseade (edge device)

Uuendus on lukk, mille sa juurde paigaldad

Tarkvaras on vigu. Mõni viga on ainult tüütu (nupp, mis ei tööta), teine on haavatavus: viga, mille abil ründaja saab teha midagi, mida ei peaks saama, näiteks logida sisse ilma paroolita või käivitada oma koodi. Looja lahendab selle paikapanekuga (patch), mis jõuab sinuni uuendusena.

Kurja juur peitub järjekorras. Niipea kui uuendus ilmub, on haavatavus sisuliselt avalik. Ründajad võrdlevad vana ja uut versiooni, näevad, mida parandati, ja ehitavad selle peale ründe. Seejärel skaneerivad nad automaatselt kogu internetti, otsides seadmeid, mis uuendust veel saanud ei ole. See on täpselt see oportunistlik rünne, millest juttu oli õppetunnis 1.1: nad ei otsi sind, nad otsivad kõiki, kes on maha jäänud.

Zero-day on haavatavus, mida kasutatakse ära juba enne, kui paikapanek on olemas. Selle vastu saad teha vähe, peale looja soovituste järgimise ja kahju piiramise (varukoopiad, minimaalsed õigused). Kuid valdav osa väikeettevõtete murdmistest toimub haavatavuste kaudu, millele uuendus oli juba ammu olemas.

Hollandi endine Digital Trust Center, mis nüüd kuulub Hollandi NCSC alla, nägi oma 2024. aasta CyberVeilig Check uuringus, et rohkem kui iga kolmas väikeettevõte (36%) ei olnud kõigil oma internetiseadmetel automaatseid uuendusi sisse lülitanud. Hollandi NCSC soovitus on lihtne: ära oota uuendamisega ja lülita automaatsed uuendused sisse, kus võimalik.

Mis sul tegelikult on? Inventuur

Sa ei saa uuendada seda, mille oled unustanud. Enamik ettevõtteid mõtleb uuenduste peale eelkõige sülearvutite ja telefonide puhul, kuid kõige ohtlikumad on sageli vaiksed seadmed:

Seadmeid, mis on otse internetiga ühendatud ja väljastpoolt ligipääsetavad (ruuter, VPN-server, kaugligipääsuga NAS, kaamera), nimetame servaseadmeteks (edge devices). Need on kõige sagedamini sihtmärgiks, sest ründaja pääseb neile ligi ilma töötaja klikita. Anonüümitud näide: raamatupidamisbüroo pidas NAS-i, millel oli sisse lülitatud "ligipääs igalt poolt". Tootja andis välja turvauuenduse, büroo ei paigaldanud seda ja mõne nädala pärast olid kõik NAS-i failid krüpteeritud. Keegi polnud millelegi klikkinud.

Uuenduspoliitika viies kokkuleppes

Poliitika ei pea olema kümneleheküljeline dokument. Väikeettevõttele sobivad need kokkulepped:

1. Automaatselt, kus võimalik. Lülita automaatsed uuendused sisse operatsioonisüsteemidele, brauseritele, rakendustele ning võimaluse korral CMS-ile ja pluginatele ning ruuteri ja NAS-i püsivarale.
2. Taaskäivitamine käib asja juurde. Paljud uuendused hakkavad tööle alles pärast taaskäivitust. Lepi kokku, et kõik taaskäivitavad oma seadme vähemalt korra nädalas, ja ära lükka taaskäivitust nädalateks edasi.
3. Servaseadmed esimesena. Seadmete puhul, mis on väljastpoolt ligipääsetavad: kontrolli ise, kas on uuendusi, näiteks kord kuus, ja paigalda turvauuendus mõne päeva jooksul. Kui tootja või Hollandi NCSC hoiatab aktiivse ärakasutamise eest, siis samal päeval.
4. Üks omanik seadme kohta. Inventuuris on iga rea juures kirjas, kes seda uuendab: sina ise, kolleeg, sinu IT-ettevõte või sinu veebiarendaja. Kui keegi pole kirjas, siis ei tee seda ka keegi.
5. Mida enam vaja pole, kaob ära. Plugin, mida sa ei kasuta, vana sülearvuti kapis, mis ikka veel võrku pääseb, testsait alamdomeenil: eemalda see, siis pole vaja seda ka uuendada.

Kahtled, kas uuendus lõhub midagi? Tee kõigepealt varukoopia (moodul 6) ja uuenda seejärel. Uuenduse paigaldamata jätmine probleemide kartuse tõttu on peaaegu alati suurem risk.

Toe lõpp: kui uuendusi enam ei tule

Igal tarkvara või püsivara versioonil on lõpptähtaeg. Pärast seda ei anna tootja enam turvauuendusi. Seda nimetatakse toe lõpuks (end of life, EOL). Seade töötab endiselt tavapäraselt ja just see teebki asja ohtlikuks: keegi ei märka midagi, samal ajal kui iga uus haavatavus jääb igaveseks avatuks.

Näited:

• Windows 10. Tavapärane tugi lõppes 14. oktoobril 2025. Pärast seda tulevad turvauuendused ainult Microsofti ESU-programmi kaudu, mille lõppkuupäevad on olukorrati erinevad. Vaata Microsofti veebilehelt, mis kehtib sinu seadmete puhul, ja planeeri üleminek toetatud versioonile või teisele seadmele.
• PHP ja muud veebikeeled. Iga PHP versioon saab mõne aasta jooksul turvauuendusi. Kui sinu veebileht töötab vanal versioonil, siis server võib-olla on turvaline, kuid sinu veebileht mitte.
• Ruuterid, NAS-id ja kaamerad. Odavamad seadmed saavad mõnikord vaid paar aastat püsivara uuendusi, mõnikord üldse mitte. Hollandi NCSC soovitab enne ostu uurida, kui kaua tootja seadet toetab, ning asendada seadmed, mis enam uuendusi ei saa.
• Pluginad ja teemad. Plugin, mille looja on lõpetanud tegevuse, enam parandusi ei saa. Otsi asendus.

Kui sa ei saa midagi kohe asendada, piira riski: eemalda see internetist, pane see eraldi võrku (õppetund 5.3) ja ära anna sellele juurdepääsu olulistele andmetele.

Turvaline uuendamine: ainult ametlikku teed pidi

Ründajad kuritarvitavad ka sõna "uuendus". Veebilehel olev hüpikaken "Sinu brauser on aegunud, laadi uuendus siit alla" või kiri "paigalda manuses olev turvauuendus" on peaaegu alati pahavara. Päris uuendused tulevad operatsioonisüsteemi, rakenduste poe, programmi enda uuendusfunktsiooni või tootja veebilehe kaudu. Mitte kunagi kirjas oleva lingi või suvalisel veebilehel oleva hüpikakna kaudu.

Praktikas: nii see välja näeb

DirectAdmin majutuspaketis, nagu WebOké juures, valid oma veebilehe PHP versiooni funktsiooniga Select PHP version. Kui soovid enne veebilehe või pluginate uuendamist teha varukoopia, saad seda näiteks Installatronis teha nupuga Back-up, misjärel saad probleemide korral eelmise versiooni taastada. Teiste teenusepakkujate juures töötab see sarnaselt: otsi "PHP versioon" ja oma CMS-i varukoopia- või staging-funktsiooni.

Arvutite ja telefonide puhul asub uuendusfunktsioon operatsioonisüsteemi seadetes. Ruuteri puhul vaata halduslehte (aadress on kirjas kasutusjuhendis või ruuteri kleebisel) või oma teenusepakkuja rakendust.

Kokkuvõte

• Uuendus sulgeb teadaoleva haavatavuse; pärast selle ilmumist skaneerivad ründajad internetti, otsides, kes on maha jäänud.
• Koosta inventuur, kaasa arvatud ruuter, NAS, printer, kaamerad, veebileht ja pluginad, iga rea juures omanikuga.
• Uuenda automaatselt, kus võimalik, taaskäivitamine käib asja juurde, servaseadmed esimesena ja kiiresti.
• Toe lõpp tähendab: enam turvauuendusi ei tule. Asenda, või lahuta võrgust ja piira ligipääsu.
• Uuendused ainult ametlikku teed pidi, mitte kunagi hüpikakna või kirja kaudu.

Test (quiz)

Ülesanne

Ülesanne D5.1: Sinu uuenduste loend. Koosta nimekiri kõigist oma seadmetest ja tarkvarast, sealhulgas ruuter, NAS, printer, kaamerad, veebileht ja pluginad. Märgi iga rea juures versioon, kas automaatsed uuendused on sisse lülitatud, kes on omanik ja kas seadmel on veel tugi olemas. Uuenda see, mis on maha jäänud, ja vasta järelemõtlemisküsimustele.

Lisalugemist

WebOké artiklites olevad sammud kehtivad WebOké keskkonnas; teiste teenusepakkujate juures töötab see sarnaselt.

• DirectAdmin juhend 14.1: PHP-versiooni valimine (Select PHP version)
• DirectAdmin juhend 13.6: Varukoopiate tegemine ja taastamine Installatronis
• Hollandi NCSC, Iga kolmas väikeettevõte ei kasuta automaatseid uuendusi: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Hollandi NCSC, Korralda paikade haldust (patchmanagement): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Hollandi NCSC, Nutikate seadmete baasturvameetmed: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, Windows 10 elutsükkel: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro