Publicēta jauna ievainojamība. Vai tā skar jūsu mājaslapu?
Drošības pētnieki un programmatūras ražotāji katru nedēļu publicē ziņojumus par vājām vietām plaši lietotā programmatūrā. Laiku pa laikam kāds no tiem nonāk ziņās, un vadītājs uzdod loģisku jautājumu: vai tas skar mūs? Šeit paskaidrots, kas ir šādā ziņojumā un kā uz šo jautājumu atbildēt ātri.
Kas ir ievainojamības ziņojums
Ievainojamība ir kļūda programmatūrā, ko kāds var izmantot, lai pārsniegtu sev paredzētās tiesības: nolasītu vai mainītu datus, pārņemtu kontu vai palaistu savu kodu serverī.
Apstiprināta ievainojamība parasti saņem CVE identifikatoru formā CVE-gads-numurs. CVE ir saīsinājums no angļu Common Vulnerabilities and Exposures. Tas ir atsauces numurs, lai visi, kas runā par šo kļūdu, domātu vienu un to pašu.
Ziņojumā parasti norādīts:
- kurš produkts un kuras versijas ir skartas,
- ko uzbrucējs varētu izdarīt,
- kādos apstākļos, piemēram, vai vispirms jāpieslēdzas,
- vai ir pieejama labota versija vai pagaidu risinājums.
Daudziem ziņojumiem ir arī CVSS novērtējums no 0 līdz 10. Tas raksturo kļūdas nopietnību vispārīgi, un to, cik tā svarīga tieši jums, nosaka jūsu konkrētā vide. Novērtējums 9,8 funkcijā, kuru esat izslēguši, jums var būt mazāk svarīgs nekā 6,5 jūsu pieteikšanās lapā.
Četri jautājumi, kas izšķir, vai jārīkojas
1. Vai mēs to lietojam?
Izklausās vienkārši, un daudziem uzņēmumiem atbildei vajag sarakstu. Mājaslapa balstās uz satura vadības sistēmu, spraudņiem, tēmu, tīmekļa serveri, datubāzi, programmēšanas valodu un daudzām bibliotēkām, ko tie paņem līdzi. Kļūda nelielā bibliotēkā var skart jūs arī tad, ja tās nosaukums jums ir jauns. Ja ir aktuāls saraksts ar visu, ko lietojat, katru ziņojumu var ātri pārbaudīt.
2. Kura versija?
Ziņojumā norādīts skarto versiju diapazons. Ja jums jau ir versija ar labojumu, viss kārtībā. Ja vecāka, svarīgi kļūst nākamie jautājumi. Ņemiet vērā, ka Linux distribūcijas un daži ražotāji drošības labojumus iestrādā arī vecākos versiju numuros (to sauc par backport). Tāpēc versijas numurs viens pats var dot nepilnu ainu, un vērts paskatīties arī distribūcijas vai ražotāja paziņojumu.
3. Vai ievainojamā daļa ir sasniedzama?
Pārbaudiet, vai skartā funkcija tiek lietota un kas tai var piekļūt. Kļūda administrēšanas rīkā, kas pieejams tikai no biroja tīkla, ir mazāks risks nekā tā pati kļūda publiskā lapā. Kļūda, kurai vajadzīgs pieslēdzies lietotājs, ir nopietnāka, ja jūsu lapā kontu var izveidot ikviens.
4. Vai ir labojums un ko prasa tā ieviešana?
Bieži atbilde ir vienkāršs atjauninājums. Ja kopš pēdējā atjauninājuma pagājis ilgs laiks un sakrājušās daudzas versijas, atjauninājums var ietekmēt arī citas lapas daļas. Līdz brīdim, kad pieejama labota versija, pareizais solis ir pagaidu risinājums: izslēgt funkciju, ierobežot piekļuvi tai vai pievienot filtrēšanas noteikumu lapas priekšā. Retos gadījumos uzturētāji skartās komponentes izstrādi ir beiguši, un ilgtermiņa risinājums ir nomainīt šo moduli.
Cik ātri rīkoties
Ja atbildes ir “jā, skarta versija, publiski sasniedzama”, rīkojieties steidzami, īpaši tad, ja ziņojumā minēts, ka kļūdu jau izmanto uzbrukumos. Ja skartā daļa ir nesasniedzama vai labojums jau ir uzstādīts, pierakstiet to un ejiet tālāk. Īsa piezīme par to, ko pārbaudījāt, ietaupīs laiku, kad tas pats produkts atkal parādīsies ziņās.
Padariet pirmo jautājumu vieglu
Visvairāk laika parasti prasa pirmais solis: noskaidrot, ko jūs patiesībā lietojat. Mūsu pakalpojums Drošības uzraudzība uztur šo sarakstu jūsu vietā, automātiski salīdzina to ar jauniem publiskiem ievainojamību ziņojumiem un, ja kaut kas no jūsu programmatūras ir skarts, nosūta saprotamu labošanas plānu.