მთავარი დასკვნა
გამოსწორების დაყენება შესაძლო წარსული კომპრომეტაციის გამოკვლევის საჭიროებას არ ხსნის. ზომები დაუცველობისა და მტკიცებულებების მიხედვით შეარჩიეთ, ინციდენტის გეგმით განსაზღვრული უფლებამოსილების ფარგლებში.
რას ნიშნავს ნულოვანი დღე
ნულოვანი დღის შეტევა პროგრამული უზრუნველყოფის, აპარატურის ან ჩაშენებული პროგრამის ადრე უცნობ მოწყვლადობას იყენებს. ეს არ ნიშნავს, რომ ხარვეზის შესახებ არავინ იცის: თავდამსხმელმა მისი არსებობა შეიძლება იცოდეს. მოწყვლადობა სისტემის დეფექტია; ექსპლოიტი მისი გამომყენებელი მეთოდი ან კოდია. შედეგები შეიძლება მოიცავდეს უნებართვო წვდომას, კოდის შესრულებას, მონაცემთა დაკარგვას ან სერვისის შეფერხებას. ოპერაციულ სისტემებს, აპლიკაციებს, ღრუბლოვან პლატფორმებსა და დაკავშირებულ მოწყობილობებს შეტევის სხვადასხვა ზედაპირი აქვს.
გამჟღავნება, პატჩი და ექსპლუატაცია სხვადასხვა მდგომარეობაა
აღმოჩენა, მომწოდებლის ინფორმირება, საჯარო გამჟღავნება, გამოსწორების გამოშვება და შეტევაში ექსპლუატაცია ცალკეული ფაქტებია და არა ფიქსირებული ქრონოლოგია. CVE‑ის ყველა ჩანაწერი დაუყოვნებლივ საჯარო არ არის და ყველა გამჟღავნებულ ხარვეზს უკვე პატჩი არ აქვს. Heartbleed‑ის მსგავსი ხარვეზის ხანგრძლივი არსებობა თავისთავად არ ადგენს, როდის მოხდა ექსპლუატაცია. ანგარიშებში მოვლენა მის დამადასტურებელ მტკიცებულებას გამიჯნეთ.
| ინფორმაცია | რას ადასტურებს | რას არ ადასტურებს |
|---|---|---|
| საჯარო შეტყობინება ან CVE | ხარვეზი დოკუმენტირებულია | ექსპლუატაცია თქვენს გარემოში |
| მომწოდებლის პატჩი | გამოსწორება ხელმისაწვდომია მითითებული ვერსიებისთვის | დაყენება ან არსებული კომპრომეტაციის აღმოფხვრა |
| დაკვირვებული ექსპლუატაცია | არსებობს მტკიცებულება, რომ თავდამსხმელებმა ხარვეზი გამოიყენეს | რომ ყველა ინსტალაცია დაზიანებულია ან კომპრომეტირებულია |
რას გვიჩვენებს წარსული ინციდენტები
Stuxnet‑მა (2010) Windows‑ის რამდენიმე მოწყვლადობა გამოიყენა. 2021 წელს ადგილობრივ Microsoft Exchange სერვერებზე ექსპლუატაცია გამოსწორებების გამოშვებამდე დაიწყო და დაუპატჩავ სისტემებზე გაგრძელდა. Heartbleed მეხსიერების გამჟღავნების ხარვეზია; მისი არსებობა არ ადგენს, მოხდა თუ არა ექსპლუატაცია გამჟღავნებამდე. Chrome‑ის ექსპლუატაციის შემთხვევები მომხმარებლის აპლიკაციების სწრაფი განახლების საჭიროებას უსვამს ხაზს. ეს მაგალითები განახლებისა და საეჭვო აქტივობის გამოკვლევის გეგმებს დაუკავშირეთ.
აღმოჩენა და შეკავება
სიგნატურების ბაზამ უცნობი ექსპლოიტი შეიძლება ვერ ამოიცნოს. აპლიკაციის მოულოდნელი ბრძანებები, მგრძნობიარე ფაილებზე წვდომა, პრივილეგიების ცვლილებები და გამავალი კავშირები გამოკვლევის სიგნალებია; შეაჯერეთ ისინი მოწყობილობის, ანგარიშის, ქსელისა და ქრონოლოგიის კონტექსტთან. იზოლირებულ საცდელ გარემოში დაკვირვებები შეიძლება არასრული იყოს და სხვა მტკიცებულებებთან შედარებას საჭიროებდეს. საეჭვო ფაილი ჩვეულებრივ სამუშაო მოწყობილობაზე არ გახსნათ; გადაამისამართეთ დამტკიცებულ ანალიზის პროცესში. უფლებამოსილმა რეაგირების პირებმა ინციდენტის გეგმის შესაბამისად პროპორციული შეკავება უნდა აირჩიონ და შესაბამისი მტკიცებულებები შეინარჩუნონ.
შეამცირეთ ზემოქმედების შესაძლებლობა
მომხმარებლისა და სერვისულ ანგარიშებს მხოლოდ აუცილებელი პრივილეგიები მიანიჭეთ, შეზღუდეთ სერვისზე წვდომა, ქსელები ნდობის საზღვრებთან დაყავით და სარეზერვო ასლები ცალკე დაიცავით. შეაფასეთ მომწოდებლის შემარბილებელი ზომები; ხელმისაწვდომი გამოსწორებები სწრაფად დანერგეთ გადამოწმებისა და ცვლილების კონტროლის გავლით. თუ პატჩი არ არსებობს, რისკზე პასუხისმგებელ პირთან შეათანხმეთ ზომები, მაგალითად სერვისის გათიშვა ან კონფიგურაციის ცვლილება. პატჩის დაყენება სავარაუდო წარსული კომპრომეტაციის გამოკვლევას არ ცვლის.