Per kelias paras pasaulio kibernetinio saugumo institucijos ir didžiosios technologijų bendrovės skubėjo reaguoti į kritines PHP spragas, kurios paveikė didelę dalį interneto. Situaciją paaštrino tai, kad spragos detalės viešumoje pasirodė anksčiau nei buvo pilnai paruošti visi pataisymai, todėl dalis organizacijų pasirinko drastišką kelią ir laikinai išjungė sistemas.
PHP yra viena plačiausiai naudojamų serverio pusės programavimo kalbų, o jos ekosistema sudaro pagrindą daugybei turinio valdymo sistemų, elektroninių parduotuvių ir vidinių organizacijų portalų. Dėl to net ir viena rimta pažeidžiamumo grandinė gali sukelti grandininę reakciją, kai rizika persiduoda per tiekimo grandinę, prieglobos paslaugas ir priklausomybes.
Kas nutiko per 72 valandas
Spragas aptikti padėjo DI įrankiai, o informacija apie jų šalinimą buvo dalijama taikant derinto atskleidimo principą, kai detalės ribotam ratui pateikiamos iš anksto, kad būtų laiko parengti pataisas. Tačiau vienos kibernetinio saugumo bendrovės sprendimas paskelbti informaciją anksčiau laiko, anot dalies bendruomenės, sulaužė embargą ir sukėlė sumaištį.
„Tai yra pilkoji zona, kai reikia nuspręsti, kiek įrodymų pakanka embargui nutraukti“, – sakė vienos incidentą komentavusios kibernetinio saugumo bendrovės vadovas.
Kai detalės išplito, valstybinės ir privačios organizacijos susidūrė su dilema: laukti oficialių pataisų visose aplinkose ar mažinti riziką nedelsiant, net jeigu tai reiškia paslaugų stabdymą. Dėl didelio neapibrėžtumo ir baimės, kad pažeidžiamumai gali būti išnaudoti automatizuotai, kai kur buvo renkamasi saugesnė, bet vartotojams skausminga taktika.
Kodėl DI pakeitė žaidimo taisykles
Esminis pokytis tas, kad DI sumažina laiką nuo spragos atradimo iki jos praktinio išnaudojimo. Jei anksčiau atakoms parengti dažnai reikėdavo daugiau rankinio darbo, dabar automatizuotos priemonės gali sparčiau analizuoti kodą, kurti išnaudojimo scenarijus ir masiškai skenuoti pažeidžiamas sistemas.
„Dabar svarbiausia yra diegti pataisas kuo greičiau. Pataisyti, pataisyti ir dar kartą pataisyti“, – sakė Europos kibernetinio saugumo institucijos atstovas, pabrėžęs, kad techninė disciplina tampa kritiškesnė nei bet kada.
Tuo pačiu DI padeda ir gynėjams: greičiau aptinkamos anomalijos, efektyviau prioritetizuojami pažeidžiamumai, o kai kuriais atvejais įmanoma automatiškai pritaikyti laikinus apsaugos filtrus. Vis dėlto ši situacija parodė, kad net ir gerai išdirbtos procedūros stringa, kai informacija pasklinda per anksti ir atsiranda skirtingai interpretuojamų signalų apie realų išnaudojimą.
Ką turi daryti organizacijos
Praktinis atsakas į tokio masto incidentus paprastai susideda iš kelių lygių: skubaus pataisų diegimo, prieigos ribojimo, žurnalų peržiūros ir papildomo stebėjimo. Ypač svarbu įvertinti ne tik pačius PHP serverius, bet ir aplikacijas, kurios remiasi trečiųjų šalių paketais, bei infrastruktūrą, kuri gali būti naudojama atakos plitimui.
Incidentas taip pat išryškino, kad vien techninių priemonių neužtenka, kai sutrinka derintas atskleidimas. Organizacijoms tampa būtina turėti aiškų reagavimo planą, iš anksto sutartus sprendimų priėmimo kriterijus ir galimybę greitai komunikuoti su tiekėjais, prieglobos partneriais bei nacionalinėmis kibernetinio saugumo institucijomis.
Nors šiuo atveju plačiai patvirtintos masinės žalos ženklų iš pradžių nebuvo, pats incidento scenarijus tapo iliustracija, kaip DI eroje trumpėja reakcijos langas. Kibernetinės rizikos dabar labiau priklauso ne tik nuo spragos rimtumo, bet ir nuo to, kaip greitai viešumas, įrankiai ir automatizacija paverčia ją realia ataka.