Patch management w MŚP: dlaczego zaniedbane aktualizacje to najtańsza droga do ransomware

· 8 min czytania · Zespół SilverData

Większość włamań do MŚP, na które jeździmy, nie wchodzi przez genialnego hakera ani zero-daya z pierwszych stron portali branżowych. Wchodzi przez lukę, której łatka była publicznie dostępna od ośmiu, jedenastu, czasem siedemnastu miesięcy — tylko nikt jej nie zainstalował.

Patch management brzmi nudno. Jest nudny. I właśnie dlatego nikt się tym nie zajmuje w sposób uporządkowany, dopóki nie zadzwoni telefon o szóstej rano z hasłem „cała firma stoi". W tym tekście chcemy pokazać, jak utrzymać sensowny rytm aktualizacji w 10–50-osobowej firmie — bez kupowania drogich narzędzi, bez wdrożeń trwających pół roku i bez paraliżu zespołu, który nagle musi pracować na komputerze restartującym się trzy razy dziennie.

Dlaczego „aktualizujemy raz na kwartał" już nie wystarcza

Najczęstszą polityką patchowania w MŚP, na jaką trafiamy, jest „aktualizujemy, jak coś przestaje działać". Drugą najczęstszą — „raz na kwartał, podczas przeglądu". Obie były rozsądne piętnaście lat temu. Dziś są niewystarczające z trzech powodów.

Po pierwsze, czas między publikacją łatki a publicznie dostępnym exploitem skrócił się drastycznie. Krytyczna podatność w Microsoft Exchange, VPN-ie SonicWall czy Fortinecie zwykle ma działający exploit w obiegu w ciągu 48–72 godzin od oficjalnego CVE. Kwartał to dla atakującego cała era.

Po drugie, ransomware-as-a-service znormalizował skanowanie internetu pod kątem niezałatanych systemów. Twój publiczny serwer poczty lub firewall jest skanowany kilkadziesiąt razy dziennie, nie dlatego, że ktoś Cię nienawidzi, tylko dlatego, że jest na liście IP. Niezałatany serwer Exchange w 30-osobowej firmie wygląda tak samo atrakcyjnie jak w korporacji.

Po trzecie, sami producenci zmienili rytm. Microsoft co miesiąc wydaje Patch Tuesday, dostawcy firewalli publikują pilne łatki out-of-band, a producenci NAS-ów i drukarek wydają firmware częściej niż kiedyś. „Raz na kwartał" oznacza, że Twoja sieć średnio przez sześć tygodni biega z lukami, dla których łatka leży już na półce.

Konkretny przypadek — 30-osobowa hurtownia i niezałatany Exchange

U jednego z naszych klientów — 30-osobowej hurtowni części samochodowych z Wielkopolski — atak ransomware wszedł przez serwer Exchange wystawiony do internetu (dla zdalnego dostępu do poczty), na którym brakowało krytycznej łatki bezpieczeństwa sprzed 11 miesięcy. Konkretna podatność była opisana w prasie branżowej, łatka była dostępna od dawna, ale „nie było okna na restart serwera".

Atakujący zaszyfrował serwer plików, bazę Comarch Optima oraz — co najbardziej zabolało — backupy na NAS-ie, do którego serwer miał stały dostęp przez SMB. Firma stanęła na 3 dni robocze. Łączny koszt — według wewnętrznych szacunków właściciela — przekroczył 80 000 zł: utracone zamówienia, nadgodziny zespołu, praca konsultantów (w tym nasza), nowy sprzęt i nowe licencje. Ransom nie został zapłacony — odbudowa odbyła się z offline'owej kopii sprzed dwóch tygodni i z dokumentów księgowych w PDF-ach po mailach.

Po incydencie wdrożyliśmy z nimi prosty proces patch managementu: comiesięczne okno (czwartek 7:00–8:00), priorytet dla łatek krytycznych w ciągu 72 godzin, automatyczne aktualizacje stacji roboczych, ręczny przegląd serwerów. Koszt narzędzi — 0 zł (wszystko na wbudowanym WSUS plus skrypt PowerShell). Czas pracy administratora — około 4 godzin miesięcznie. W kolejnym roku liczba krytycznych podatności w sieci spadła z 47 do 3 (mierzone darmowym skanerem zewnętrznym).

To nie jest historia o magii. To historia o tym, że godzina raz w miesiącu kosztuje 12 godzin rocznie, a niezałatany serwer kosztuje 80 tysięcy złotych i tydzień nerwów.

Co naprawdę trzeba aktualizować w MŚP

W typowej 30-osobowej firmie warstw, które wymagają patchowania, jest więcej, niż się wydaje. Warto je sobie nazwać, bo każda ma inny rytm i inną metodę.

To wygląda na dużo, ale w praktyce trzy z tych warstw (stacje robocze, serwery, firewall) generują 90% ryzyka. Pozostałe można dołączyć stopniowo.

Patch management bez drogich narzędzi

Dostawcy chętnie sprzedadzą Ci dedykowaną platformę za 30–60 tys. zł rocznie. W 30-osobowej firmie to przerost formy nad treścią. Wystarczają cztery rzeczy, które kosztują razem mniej niż jedna licencja entry-poziomu.

To wszystko da się postawić w jeden dzień. Dalej już chodzi tylko o utrzymanie dyscypliny.

Okno aktualizacyjne, żeby zespół Cię nie znienawidził

Najczęstszy powód, dla którego patch management się rozpada, nie jest techniczny — jest organizacyjny. Pracownik, którego komputer trzeci raz w tygodniu mówi „aktualizuję, nie wyłączaj", po prostu wyłączy automatyczne aktualizacje albo zacznie ignorować restarty. Trzeba dać zespołowi przewidywalny rytm.

Co działa w praktyce w MŚP:

Dyscyplina komunikacji w okolicach restartów jest częścią patch managementu, której nikt nie uczy na żadnym kursie technicznym, a właśnie ona decyduje, czy proces przetrwa drugi miesiąc.

Co robić ze starymi systemami, których nie da się załatać

W każdym MŚP-produkcyjnym, którym się zajmowaliśmy, było co najmniej jedno urządzenie, którego nie da się zaktualizować. Sterownik CNC na Windows XP. Stary serwer aplikacji księgowej, której producent zniknął z rynku. Skaner medyczny z firmware'em z 2012 roku. Te systemy nie znikną — i często nie da się ich wymienić ani jutro, ani w tym kwartale.

Strategia jest jedna: odizolować zamiast aktualizować. Konkretnie:

To nie jest idealne. To jest rozsądne. Patch management w MŚP nie polega na tym, żeby wszystko było zawsze aktualne. Polega na tym, żeby wiedzieć, co nie jest, i mieć tego świadomie odizolowane.

Plan na pierwsze 30 dni

Jeśli właśnie czytasz to z niepokojem, bo Twoja firma „chyba nie ma" patch managementu, dobra wiadomość: w 30 dni można dojść do zupełnie sensownego stanu wyjściowego.

  1. Tydzień 1 — inwentaryzacja. Lista wszystkiego, co ma adres IP. Co to za system, kto się tym zajmuje, kiedy ostatnio było aktualizowane.
  2. Tydzień 2 — skan. Darmowy skaner podatności na zewnętrznym i wewnętrznym IP. Raport. Lista priorytetowa: co jest krytyczne, co ważne, co kosmetyczne.
  3. Tydzień 3 — pierwsze okno. Załatanie 10 najpoważniejszych podatności z listy. Pierwsze prawdziwe okno aktualizacyjne dla serwerów. Komunikacja do zespołu.
  4. Tydzień 4 — proces. Wpisanie okna w kalendarz na kolejne 12 miesięcy. Opis procesu w jednej kartce A4. Wyznaczenie odpowiedzialnego.

Po 30 dniach nie masz idealnego stanu. Masz coś znacznie cenniejszego — listę, rytm i odpowiedzialnego człowieka. Reszta jest powtarzaniem.

Jeśli chcesz przejść przez to z kimś, kto robi takie rzeczy regularnie w 10–50-osobowych firmach — pomagamy MŚP ustawiać patch management w sposób, który nie wymaga zatrudniania administratora na pełny etat. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.

Większość ataków na MŚP nie wykorzystuje genialnych technik. Wykorzystuje łatki, które leżały na półce od jedenastu miesięcy.

← Wróć na blog