NCSC: Προειδοποιεί για εμφάνιση κρυφών ευπαθειών σε λογισμικά

Οι οργανισμοί, σε όλο τον κόσμο, καλούνται να δράσουν άμεσα και να εφαρμόσουν ενημερώσεις ασφαλείας στα συστήματά τους, καθώς οι εξελίξεις στην τεχνητή νοημοσύνη (AI) θα μπορούσαν να αποκαλύψουν γρήγορα μακροχρόνιες αδυναμίες σε δημοφιλή λογισμικά. Η προειδοποίηση έρχεται από το Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) του Ηνωμένου Βασιλείου, το οποίο αναφέρει ότι οι επιχειρήσεις πρέπει να δράσουν τώρα για να ενισχύσουν τα περιβάλλοντά τους.

Σε ένα blog, ο Chief Technology Officer Ollie Whitehouse τόνισε ότι τα χρόνια συσσωρευμένου τεχνικού χρέους αποτελούν πλέον σημαντικό κίνδυνο για την κυβερνοασφάλεια. Το τεχνικό χρέος αναφέρεται σε άλυτα ελαττώματα και συμβιβασμούς στο λογισμικό που προκύπτουν όταν οι οργανισμοί δίνουν προτεραιότητα στην ταχύτητα ή την παράδοση βραχυπρόθεσμων λύσεων έναντι της μακροπρόθεσμης ανθεκτικότητας.

Σύμφωνα με τον Whitehouse, η τεχνητή νοημοσύνη επιταχύνει το πρόβλημα. Οι ικανοί επιτιθέμενοι είναι όλο και περισσότερο σε θέση να χρησιμοποιούν εργαλεία AI για να εντοπίζουν και να εκμεταλλεύονται ευπάθειες σε μεγάλη κλίμακα, αναγκάζοντας τους οργανισμούς να προχωρήσουν άμεσε σε αυτό που το NCSC περιγράφει ως “διόρθωση” σε ολόκληρο το οικοσύστημα της τεχνολογίας. Αυτό αναμένεται να προκαλέσει ένα κύμα επιδιορθώσεων ευπαθειών, με μεγάλο όγκο ενημερώσεων ασφαλείας που επηρεάζουν πλατφόρμες ανοικτού κώδικα, εμπορικές, ιδιόκτητες και software-as-a-service.

Δείτε επίσης: AI vs hackers: Ποιος κερδίζει τη μάχη της ασφάλειας;

Προτεραιότητα στις Εξωτερικές Επιφάνειες Επίθεσης

Ως μέρος της προετοιμασίας για το κύμα επιδιορθώσεων ευπαθειών, το NCSC συμβουλεύει τους οργανισμούς να επικεντρωθούν πρώτα στις εξωτερικές επιφάνειες επίθεσης. Τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο, οι υπηρεσίες cloud και οι εκτεθειμένες υποδομές παρουσιάζουν τον υψηλότερο κίνδυνο όταν αποκαλύπτονται νέες ευπάθειες.

Η καθοδήγηση προτείνει μια προσέγγιση “perimeter-first”. Οι οργανισμοί πρέπει να ασφαλίσουν τις τεχνολογίες που είναι στραμμένες προς τα έξω, πριν προχωρήσουν βαθύτερα στα εσωτερικά συστήματα. Αυτό μειώνει την πιθανότητα οι επιτιθέμενοι να εκμεταλλευτούν τις νεοανακαλυφθείσες αδυναμίες.

Όπου οι πόροι είναι περιορισμένοι, πρέπει να δοθεί προτεραιότητα στην επιδιόρθωση συστημάτων που είναι άμεσα εκτεθειμένα στο διαδίκτυο. Η κρίσιμη υποδομή ασφαλείας πρέπει να ακολουθήσει. Ωστόσο, το NCSC προειδοποιεί ότι η επιδιόρθωση από μόνη της δεν θα λύσει κάθε πρόβλημα.

Τα συστήματα παλαιού τύπου και αυτά που έχουν φτάσει στο τέλος της ζωής τους παραμένουν μια σημαντική ανησυχία. Πολλές από αυτές τις τεχνολογίες δεν λαμβάνουν πλέον ενημερώσεις ασφαλείας, αφήνοντας τους οργανισμούς ευάλωτους ακόμη και κατά τη διάρκεια ενός κύματος επιδιορθώσεων ευπαθειών. Σε τέτοιες περιπτώσεις, οι επιχειρήσεις μπορεί να χρειαστεί να αντικαταστήσουν παρωχημένα συστήματα ή να τα επαναφέρουν σε υποστηριζόμενα περιβάλλοντα, ειδικά αν είναι εξωτερικά προσβάσιμα.

Προετοιμασία για Ταχύτερη και Μεγάλης Κλίμακας Επιδιόρθωση

Το αναμενόμενο κύμα επιδιορθώσεων ευπαθειών θα απαιτήσει από τους οργανισμούς να επανεξετάσουν τον τρόπο με τον οποίο διαχειρίζονται τις ενημερώσεις. Το NCSC προτρέπει τις επιχειρήσεις να προετοιμαστούν για ταχύτερη, πιο συχνή και μεγάλης κλίμακας ανάπτυξη επιδιορθώσεων ασφαλείας, συμπεριλαμβανομένων των αλυσίδων εφοδιασμού.

Δείτε επίσης: Οι πιο επικίνδυνες εφαρμογές που πρέπει να διαγράψεις τώρα

Προτείνονται αρκετά βασικά μέτρα:

– Ενεργοποίηση αυτόματων ενημερώσεων, όπου είναι δυνατόν, για τη μείωση του λειτουργικού φόρτου

– Υιοθέτηση ασφαλούς “hot patching” για την εφαρμογή διορθώσεων χωρίς διακοπή υπηρεσίας

– Διασφάλιση ότι οι εσωτερικές διαδικασίες υποστηρίζουν ταχείες και μεγάλης κλίμακας ενημερώσεις

– Χρήση μοντέλων προτεραιοποίησης βάσει κινδύνου, όπως το Stakeholder Specific Vulnerability Categorisation (SSVC)

Ο Whitehouse σημείωσε ότι οι οργανισμοί πρέπει να είναι έτοιμοι να επιταχύνουν τα χρονοδιαγράμματα επιδιόρθωσης, όταν γίνεται ενεργή εκμετάλλευση σοβαρών ευπαθειών.

Στον πυρήνα αυτής της προσέγγισης βρίσκεται μια πολιτική “ενημέρωσης από προεπιλογή“. Αυτό σημαίνει την εφαρμογή ενημερώσεων λογισμικού το συντομότερο δυνατό, ιδανικά μέσω αυτοματοποιημένων διαδικασιών. Αν και αυτό μπορεί να μην είναι πάντα εφικτό, το NCSC αναφέρει ότι πρέπει να αποτελέσει το θεμέλιο των σύγχρονων στρατηγικών διαχείρισης ευπαθειών.

Αντιμετώπιση Συστημικών Κινδύνων

Το NCSC τονίζει ότι το κύμα επιδιορθώσεων ευπαθειών είναι μόνο μέρος μιας ευρύτερης πρόκλησης κυβερνοασφάλειας. Η επιδιόρθωση αντιμετωπίζει άμεσους κινδύνους, αλλά δεν εξαλείφει τις υποκείμενες αιτίες του τεχνικού χρέους.

Οι προμηθευτές τεχνολογίας ενθαρρύνονται να δημιουργούν πιο ασφαλή συστήματα από την αρχή. Αυτό περιλαμβάνει την υιοθέτηση τεχνολογιών ασφαλείας μνήμης και περιορισμού, όπως το CHERI, που μπορούν να μειώσουν την πιθανότητα εκμεταλλεύσιμων ευπαθειών.

Δείτε επίσης: Cyber attacks σε ενεργειακά δίκτυα: Μπορεί να πέσει μια χώρα χωρίς πόλεμο;

Για οργανισμούς που λειτουργούν κρίσιμες υπηρεσίες, η ενίσχυση των βασικών στοιχείων της κυβερνοασφάλειας είναι εξίσου σημαντική. Frameworks όπως το Cyber Essentials και μοντέλα ανθεκτικότητας ανά τομέα μπορούν να βοηθήσουν στη μείωση των επιπτώσεων των παραβιάσεων και στη βελτίωση της συνολικής στάσης ασφαλείας.

Το NCSC έχει καταστήσει σαφές ότι η προετοιμασία δεν μπορεί να καθυστερήσει. Το αναμενόμενο κύμα επιδιορθώσεων ευπαθειών αναμένεται να επηρεάσει οργανισμούς όλων των μεγεθών και τομέων.

Οι επιχειρήσεις καλούνται να αναθεωρήσουν τις διαδικασίες διαχείρισης ευπαθειών, να αξιολογήσουν την έκθεσή τους και να διασφαλίσουν ότι οι αλυσίδες εφοδιασμού τους είναι επίσης έτοιμες να ανταποκριθούν. Ιδιαίτερα οι μεγαλύτεροι οργανισμοί ενθαρρύνονται να αναζητήσουν διαβεβαιώσεις από εμπορικούς και ανοικτού κώδικα συνεργάτες.

Όπως κατέληξε ο Whitehouse, η ετοιμότητα θα εξαρτηθεί από τον προληπτικό σχεδιασμό, τα ισχυρά θεμέλια και την ικανότητα να ανταποκρίνονται γρήγορα σε μεγάλη κλίμακα.

Πηγή: thecyberexpress.com