Главная мысль
Установка исправления не отменяет расследование возможной прежней компрометации. Выбирайте меры по подверженности и доказательствам, выполняя их в рамках полномочий плана реагирования.
Что означает zero-day
Атака нулевого дня использует ранее неизвестную уязвимость ПО, оборудования или встроенного ПО. Это не означает, что о дефекте не знает никто: атакующий может знать о нём. Уязвимость — дефект системы; эксплойт — использующий его способ или код. Последствия могут включать несанкционированный доступ, выполнение кода, потерю данных или нарушение сервиса. Операционные системы, приложения, облачные платформы и подключённые устройства образуют разные поверхности атаки.
Уязвимость раскрыта, исправлена или эксплуатируется?
Обнаружение, уведомление производителя, публичное раскрытие, выпуск исправления и эксплуатация в атаке — отдельные факты, а не фиксированная последовательность. Не каждая запись CVE сразу публична, и не для каждого раскрытого дефекта уже есть патч. Долгое существование дефекта вроде Heartbleed само по себе не устанавливает время эксплуатации. В отчёте разделяйте событие и подтверждающие его сведения.
| Сведения | Что они показывают | Чего не доказывают |
|---|---|---|
| Публичное уведомление или CVE | Дефект задокументирован | Эксплуатацию в вашей среде |
| Патч производителя | Для указанных версий доступно исправление | Установку или устранение уже произошедшей компрометации |
| Наблюдаемая эксплуатация | Есть доказательства использования дефекта атакующими | Что каждая установка затронута или скомпрометирована |
Чему учат известные инциденты
Stuxnet (2010) использовал несколько уязвимостей Windows. Атаки на локальные серверы Microsoft Exchange в 2021 году начались до выпуска исправлений и продолжились против необновлённых систем. Heartbleed — дефект раскрытия памяти процесса; его наличие не устанавливает, была ли эксплуатация до раскрытия. Случаи эксплуатации Chrome напоминают о своевременном обновлении пользовательских приложений. Свяжите эти примеры с планом обновлений и расследования подозрительной активности.
Обнаружение и сдерживание
База сигнатур может не распознать неизвестный эксплойт. Необычные команды приложения, доступ к чувствительным файлам, изменение прав и внешние соединения — сигналы для расследования; сопоставляйте их с устройством, учётной записью, сетью и хронологией. Наблюдения изолированной среды анализа могут быть неполными и требуют сравнения с другими доказательствами. Не открывайте подозрительный файл на обычном рабочем устройстве: передайте его в утверждённый процесс анализа. Уполномоченная группа реагирования выбирает соразмерное сдерживание по плану инцидента и сохраняет относящиеся к делу доказательства.
Сократите окно для атаки
Выдавайте пользователям и сервисным аккаунтам только необходимые права, ограничивайте доступ к службам, разделяйте сеть по границам доверия и отдельно защищайте резервные копии. Оцените временные меры производителя; доступное исправление устанавливайте своевременно после проверки и согласования изменения. Если патча нет, согласуйте с владельцем риска отключение службы или изменение конфигурации. Установка патча не заменяет расследование подозреваемой прежней компрометации.