Əsas fikir
Düzəlişin quraşdırılması əvvəlki komprometi araşdırmaq ehtiyacını aradan qaldırmır. Tədbirləri məruzqalma və sübutlara görə seçin, insident planına uyğun səlahiyyətlə icra edin.
Zero-day nə deməkdir
Sıfır gün hücumu əvvəllər məlum olmayan proqram, avadanlıq və ya mikroproqram zəifliyindən istifadə edir. Bu, qüsur barədə heç kimin bilmədiyi demək deyil: hücumçu onun mövcudluğunu bilə bilər. Zəiflik sistemdəki qüsurdur; eksploit ondan istifadə edən üsul və ya koddur. Nəticə icazəsiz giriş, kodun icrası, məlumat itkisi və ya xidmətin pozulması ola bilər. Əməliyyat sistemləri, tətbiqlər, bulud platformaları və bağlı cihazlar fərqli hücum səthləri yaradır.
Açıqlandı, düzəliş edildi, yoxsa istismar olunur?
Aşkarlama, istehsalçıya bildiriş, ictimai açıqlama, düzəlişin buraxılması və hücumda istismar ayrı faktlardır; onlar sabit ardıcıllıq yaratmır. Hər CVE qeydi dərhal ictimai olmur və açıqlanmış hər qüsurun hazır düzəlişi olmur. Heartbleed kimi qüsurun uzun müddət mövcud olması istismarın nə vaxt baş verdiyini təkbaşına göstərmir. Hesabatda hadisəni onu təsdiqləyən sübutdan ayırın.
| Məlumat | Nəyi göstərir | Nəyi sübut etmir |
|---|---|---|
| İctimai bildiriş və ya CVE | Qüsur sənədləşdirilib | Sizin mühitdə istismarı |
| İstehsalçının düzəlişi | Göstərilən versiyalar üçün düzəliş mövcuddur | Quraşdırılmanı və ya mövcud komprometin aradan qaldırılmasını |
| Müşahidə edilmiş istismar | Hücumçuların qüsurdan istifadə etdiyinə dair sübut var | Hər quraşdırmanın təsirləndiyini və ya kompromet olunduğunu |
Tarixi hadisələrdən öyrənilənlər
Stuxnet (2010) bir neçə Windows zəifliyindən istifadə etmişdi. Yerli Microsoft Exchange serverlərinə 2021-ci il hücumları düzəlişlərdən əvvəl başlamış, yenilənməmiş sistemlərə qarşı isə sonradan da davam etmişdi. Heartbleed proses yaddaşını açıqlaya bilən qüsurdur; onun mövcudluğu açıqlamadan əvvəl istismarın olub-olmadığını müəyyən etmir. Chrome üzrə istismar halları istifadəçi tətbiqlərinin də vaxtında yenilənməli olduğunu göstərir. Bu nümunələri yeniləmə və şübhəli aktivliyin araşdırılması planına bağlayın.
Aşkarlama və məhdudlaşdırma
Naməlum eksploit imza bazasında tanınmaya bilər. Qeyri-adi tətbiq əmrləri, həssas fayllara giriş, səlahiyyət dəyişikliyi və xarici bağlantılar araşdırma siqnallarıdır; onları cihaz, hesab, şəbəkə və zaman ardıcıllığı ilə əlaqələndirin. İzolə edilmiş analiz mühitinin müşahidələri natamam ola bilər və digər sübutlarla müqayisə edilməlidir. Şübhəli faylı adi iş cihazında açmayın; onu təsdiqlənmiş analiz prosesinə ötürün. Səlahiyyətli cavab qrupu insident planına uyğun mütənasib məhdudlaşdırma seçməli və aidiyyəti sübutları qorumalıdır.
İstismar pəncərəsini daraldın
İstifadəçi və xidmət hesablarına yalnız lazım olan səlahiyyətləri verin, xidmətlərə çıxışı məhdudlaşdırın, şəbəkəni etibar sərhədləri üzrə ayırın və ehtiyat nüsxələri ayrıca qoruyun. İstehsalçının müvəqqəti tədbirlərini qiymətləndirin; düzəliş mövcud olduqda onu yoxlama və dəyişiklik qaydası ilə vaxtında tətbiq edin. Düzəliş yoxdursa, xidmətin söndürülməsi və ya konfiqurasiya dəyişikliyi kimi tədbiri risk sahibi ilə razılaşdırın. Düzəlişin quraşdırılması şübhəli əvvəlki komprometin araşdırılmasını əvəz etmir.