Powiadomienie o aktualizacji często pojawia się w najmniej odpowiednim momencie. Trwa spotkanie, trzeba wysłać dokument albo dokończyć zamówienie, więc wybieramy „przypomnij później”. Jedno przesunięcie terminu zwykle nie jest problemem. Gorzej, gdy odkładanie poprawek staje się regułą, a w firmie nikt nie sprawdza, które komputery, programy i strony nadal korzystają ze starszych wersji. Zobacz, przed czym chronią aktualizacje i jak instalować je bez niepotrzebnego ryzyka.
Co właściwie dają aktualizacje?
Nie każda aktualizacja służy temu samemu celowi. Niektóre rozwijają program: dodają funkcje, zmieniają wygląd albo usprawniają jego działanie. Inne dotyczą bezpieczeństwa. Usuwają błędy, które mogłyby zostać wykorzystane do przeprowadzenia ataku. Jedna aktualizacja może oczywiście zawierać oba rodzaje zmian.
Program komputerowy składa się z dużej liczby instrukcji określających, jak ma reagować na działania użytkownika i informacje otrzymywane z innych systemów. Czasem okazuje się, że w określonej sytuacji reaguje nieprawidłowo. Taki błąd może jedynie utrudniać pracę, na przykład powodować zamknięcie aplikacji. Zdarza się też jednak, że tworzy podatność, czyli słaby punkt pozwalający osobie z zewnątrz zrobić coś, do czego nie powinna mieć dostępu.
W zależności od rodzaju podatności przestępca może próbować odczytać dane, przejąć konto, uruchomić szkodliwy kod albo uzyskać dostęp do kolejnych systemów. Gdy producent odkryje taki problem, przygotowuje poprawkę i udostępnia ją użytkownikom w ramach aktualizacji bezpieczeństwa. Jej zainstalowanie usuwa błąd lub blokuje możliwość jego wykorzystania.
Jeśli firma nie zainstaluje poprawki, program może nadal wyglądać i działać zupełnie normalnie. Podatność jednak nie znika. Brak widocznej awarii nie oznacza więc, że używana wersja jest bezpieczna.
Dlaczego po wydaniu poprawki trzeba reagować sprawnie?
Luka może zostać odkryta na kilka sposobów. Czasem znajduje ją badacz bezpieczeństwa i zgłasza producentowi, zanim informacja stanie się publiczna. Dzięki temu twórcy oprogramowania mają czas na przygotowanie poprawki, a użytkownicy mogą ją zainstalować, zanim pojawią się dokładne informacje o błędzie.
Nie zawsze jednak kolejność jest tak korzystna. Zdarza się, że błąd jako pierwsi odkrywają przestępcy i zaczynają go wykorzystywać, zanim producent w ogóle się o nim dowie i zdąży go naprawić. Taki przypadek określa się jako podatność zero-day, czyli lukę, na którą nie ma jeszcze publicznie dostępnej poprawki. Do czasu jej wydania pozostają działania ograniczające ryzyko, na przykład czasowe wyłączenie podatnej funkcji, ograniczenie dostępu do systemu lub zastosowanie rozwiązania wskazanego przez twórców programu.
Ryzyko nie znika w chwili opublikowania aktualizacji. Wtedy rozpoczyna się kolejny etap. Przestępcy mogą analizować różnice między starą a poprawioną wersją, aby ustalić, gdzie znajdował się błąd i jak można go wykorzystać. Następnie automatyczne narzędzia przeszukują internet, aby znaleźć urządzenia i strony, na których nadal działa podatna wersja. Atakujący nie musi wcześniej znać danej firmy ani wybierać jej ręcznie. Niezabezpieczony system może zostać znaleziony podczas masowego skanowania.
Pokazuje to niedawny przypadek WordPressa opisany przez Sekurak. Próby wykorzystania krytycznej luki zauważono zaledwie kilka godzin po opublikowaniu aktualizacji. Wszystko wskazywało na to, że atakujący przeanalizowali wprowadzoną zmianę i zaczęli szukać stron, na których nadal działała podatna wersja.
Samo udostępnienie poprawki nie zabezpiecza jeszcze używanego systemu. Trzeba ją zainstalować, a jeśli podatność była wcześniej wykorzystywana, również ustalić, czy nie doszło już do ataku. Dlatego aktualizacji nie można zostawiać przypadkowi. Należy regularnie kontrolować ich dostępność, oceniać pilność i upewniać się, że rzeczywiście zostały wdrożone we wszystkich używanych systemach.
Aktualizacji wymagają nie tylko komputery pracowników
Komputer zwykle sam informuje, że dostępna jest nowa wersja systemu lub przeglądarki. W przypadku wielu innych elementów firmowego środowiska nie zawsze jest to jednak takie oczywiste. Serwer, router, program księgowy czy system monitoringu również korzystają z oprogramowania, które wymaga poprawek. Jeśli nikt regularnie nie kontroluje ich stanu, mogą przez długi czas działać w nieaktualnej wersji. Aktualizować trzeba między innymi:
systemy operacyjne komputerów, telefonów i serwerów,
przeglądarki internetowe,
aplikacje używane do codziennej pracy,
programy księgowe, magazynowe, sprzedażowe i produkcyjne,
systemy CMS, wtyczki, motywy, frameworki, biblioteki i integracje wykorzystywane przez firmowe strony internetowe,
routery, zapory sieciowe, urządzenia VPN i systemy monitoringu,
oprogramowanie antywirusowe i inne narzędzia ochronne, w tym ich bazy sygnatur oraz reguły wykrywania zagrożeń,
bazy danych, biblioteki i inne elementy, z których zbudowane są firmowe aplikacje.
Każdy z tych elementów może zawierać podatności. Routery albo urządzenia VPN są szczególnie ważne, ponieważ obsługują połączenia między firmową siecią a internetem. Z kolei jedna nieaktualna wtyczka może osłabić bezpieczeństwo całej strony, nawet jeśli sam WordPress został już zaktualizowany.
Nie oznacza to, że właściciel firmy musi samodzielnie sprawdzać wersję każdej biblioteki czy urządzenia. Powinien jednak wiedzieć, kto za to odpowiada. Bez przypisanej odpowiedzialności najłatwiej przeoczyć właśnie te elementy, które działają w tle i na co dzień nie wymagają uwagi.
Skoro aktualizacje są tak ważne, dlaczego nie zawsze warto instalować każdą natychmiast?
Aktualizacja usuwa błędy lub dodaje nowe możliwości, ale jednocześnie zmienia działające oprogramowanie. Nowa wersja może wymagać ponownego uruchomienia urządzenia, zmienić dotychczasowe ustawienia albo przestać współpracować ze starszym dodatkiem, sterownikiem czy innym programem. Czasem również sama zawiera błąd, który wychodzi na jaw dopiero po instalacji.
Dlatego przy każdej aktualizacji warto odpowiedzieć na dwa pytania: jak szybko należy ją zainstalować oraz jak zrobić to bezpiecznie. Na termin wpływa przede wszystkim powód wydania nowej wersji. O sposobie wdrożenia decydują natomiast znaczenie danego systemu, jego powiązania z innymi rozwiązaniami i skutki ewentualnej awarii.
Jeżeli poprawka usuwa poważną podatność, którą przestępcy już wykorzystują, reakcja powinna być szybka. Aktualizacja wprowadzająca jedynie nowe funkcje może poczekać na zaplanowany termin. Sytuacja komplikuje się wtedy, gdy pilna zmiana dotyczy systemu potrzebnego do obsługi zamówień, produkcji, płatności albo całej firmowej sieci. Zdarza się, że nowa wersja nie współpracuje ze starszą wtyczką lub integracją, a wymagany restart może czasowo wyłączyć usługę. Nie należy więc odkładać poprawki bez końca, ale jej instalację trzeba przygotować tak, aby nie zatrzymała pracy firmy.
Dlatego sposób działania powinien być przemyślany wcześniej. Na komputerach pracowników wiele poprawek można instalować automatycznie, a ponowne uruchomienie urządzeń planować poza godzinami pracy. W przypadku serwera, routera, systemu sprzedażowego czy oprogramowania obsługującego stronę trzeba najpierw sprawdzić zgodność z pozostałymi elementami, wykonać aktualną kopię danych i konfiguracji oraz ustalić sposób przywrócenia wcześniejszej wersji. Jeśli firma ma środowisko testowe, zmianę warto najpierw sprawdzić właśnie tam.
Gdy zainstalowanie pilnej poprawki nie jest możliwe od razu, należy zastosować rozwiązania tymczasowe wskazane przez producenta. Może to oznaczać wyłączenie zagrożonej funkcji, ograniczenie dostępu do systemu albo odizolowanie go od internetu. Takie działania nie zastępują aktualizacji. Zmniejszają ryzyko tylko do czasu jej bezpiecznego wdrożenia.
Sprawna reakcja nie polega więc na instalowaniu każdej nowej wersji natychmiast. Polega na szybkim rozpoznaniu zagrożenia, wyborze odpowiedniego sposobu wdrożenia i sprawdzeniu, czy po zmianie wszystko działa prawidłowo. Żeby było to możliwe, firma musi najpierw wiedzieć, z jakich systemów korzysta i kto za nie odpowiada.
Od czego zacząć porządkowanie aktualizacji?
Pierwszy krok nie wymaga specjalistycznych narzędzi. Trzeba ustalić, z jakich urządzeń, programów i usług firma rzeczywiście korzysta. Jeśli nie ma ich listy, nie da się sprawdzić, czy wszystkie otrzymują poprawki. Przy każdym ważnym elemencie warto zapisać:
do czego służy i kto z niego korzysta,
kto odpowiada za jego utrzymanie,
jaka wersja jest obecnie zainstalowana,
czy system jest dostępny bezpośrednio z internetu,
czy producent nadal zapewnia mu wsparcie,
co przestanie działać, jeśli aktualizacja się nie powiedzie,
gdzie znajduje się kopia danych i jak można przywrócić działanie.
Taka lista pozwala znaleźć rzeczy, o których łatwo zapomnieć: stary komputer sterujący maszyną produkcyjną, nieużywaną wtyczkę na stronie, zapasowy laptop pracownika albo router skonfigurowany kilka lat temu. Pomaga też wykryć systemy, za które nikt faktycznie nie odpowiada.
Sama lista jednak nie wystarczy. Kolejnym krokiem powinno być ustalenie, które aktualizacje mogą poczekać na zaplanowany termin, a które wymagają jak najszybszej reakcji.
Które aktualizacje są najpilniejsze?
Nie każda poprawka dotyczy równie poważnego problemu. Jedna usuwa drobny błąd wyświetlania, a druga zamyka lukę pozwalającą przejąć kontrolę nad systemem bez znajomości hasła. Dlatego samo powiadomienie „dostępna nowa wersja” nie mówi jeszcze, jak szybko należy działać. Przy ocenie pilności warto odpowiedzieć sobie na kilka pytań:
Czy poprawka usuwa poważną lukę bezpieczeństwa? Producent zwykle opisuje, czego dotyczy błąd i jakie mogą być skutki jego wykorzystania.
Czy są już obserwowane ataki? Jeżeli luka jest aktywnie wykorzystywana, czas na reakcję wyraźnie się skraca.
Czy system jest dostępny z internetu? Publiczna strona, brama VPN albo serwer pocztowy są łatwiejsze do znalezienia niż program działający wyłącznie w odizolowanej sieci.
Do czego atakujący mógłby uzyskać dostęp? Znaczenie ma nie tylko sam komputer, ale też przechowywane na nim dane, uprawnienia i połączenia z innymi usługami.
Co się stanie, jeśli system przestanie działać? Im ważniejszy jest dla firmy, tym lepiej trzeba przygotować instalację, ale nie jest to powód, aby rezygnować z poprawki.
Takie podejście pomaga ustalić kolejność. Krytyczna luka na publicznej stronie wymaga innej reakcji niż niewielka poprawka funkcjonalna w programie używanym raz w miesiącu.
Jak przygotować aktualizację ważnego systemu?
W przypadku zwykłego laptopa aktualizacja może sprowadzać się do zapisania pracy i zaplanowania restartu na koniec dnia. Przy firmowej stronie internetowej, serwerze czy aplikacji obsługującej zamówienia potrzebne jest jednak dokładniejsze przygotowanie.
Sprawdź, co zmienia nowa wersja
Przed instalacją trzeba przeczytać informację producenta i sprawdzić, czy nowa wersja ma dodatkowe wymagania. W przypadku strony może to oznaczać konieczność aktualizacji wtyczki lub motywu. W systemie firmowym trzeba zweryfikować, czy nadal będzie współpracował z innymi używanymi programami.
Zadbaj o możliwość przywrócenia działania
Przed zmianą należy wykonać aktualną kopię danych i konfiguracji. Sam komunikat „kopia zakończona” nie wystarcza. Trzeba wiedzieć, gdzie zapisano pliki, kto ma do nich dostęp i jak długo potrwa ich przywracanie.
Warto też przygotować plan powrotu do poprzedniej wersji. Dzięki temu nie trzeba wymyślać procedury podczas ewentualnej awarii, gdy pracownicy czekają na uruchomienie systemu.
Sprawdź aktualizację na mniejszą skalę
Jeśli firma ma testową kopię strony lub systemu, aktualizację warto najpierw sprawdzić właśnie na niej. Nie korzystają z niej klienci ani pracownicy, więc ewentualny błąd nie zatrzyma normalnej pracy. Dopiero gdy logowanie, formularze, płatności i połączenia z innymi programami działają prawidłowo, zmianę można wprowadzić w używanym systemie.
Kiedy nie ma takiego środowiska, dobrym pomysłem będzie wdrożenie poprawki najpierw na kilku komputerach – w ramach testu. Jeżeli wszystko działa prawidłowo, mogą otrzymać ją kolejne urządzenia. To prostszy sposób na wykrycie ewentualnych problemów, zanim dotkną całej firmy.
Zaplanuj odpowiedni moment
Nie każda aktualizacja wymaga przerwy, ale jeśli może być potrzebny restart, warto wybrać spokojniejszą porę i uprzedzić użytkowników. Jednocześnie trzeba ustalić, kto wykonuje zmianę, kto sprawdza rezultat i w jakiej sytuacji zapada decyzja o przywróceniu poprzedniej wersji.
Co sprawdzić po aktualizacji?
Sam komunikat o zakończeniu aktualizacji nie wystarczy. Nawet jeśli nowa wersja została zainstalowana prawidłowo, nie wszystko może działać, jak należy. Dlatego po każdej zmianie trzeba sprawdzić najważniejsze funkcje systemu.
Po aktualizacji strony internetowej warto wysłać formularz testowy, sprawdzić logowanie, płatności, wiadomości e-mail i połączenia z zewnętrznymi usługami. W programie księgowym lub sprzedażowym należy wykonać najważniejsze codzienne operacje. Po zmianie na urządzeniu sieciowym trzeba potwierdzić, że pracownicy nadal mają dostęp do potrzebnych systemów, a połączenia z zewnątrz działają zgodnie z założeniami.
Warto również sprawdzić, czy aktualizacja dotarła do wszystkich urządzeń. Komputer, który przez kilka tygodni pozostawał wyłączony albo działał poza firmową siecią, mógł jej nie otrzymać.
Na koniec dobrze jest zapisać datę, zainstalowaną wersję, objęte systemy i zauważone problemy. Taka krótka historia zmian pomaga później ustalić, co wydarzyło się przed awarią albo które urządzenia mogły być narażone podczas incydentu.
Automatyczne aktualizacje są pomocne, jeśli wiadomo, czy zadziałały
Automatyczne instalowanie poprawek ogranicza zależność od pamięci pracowników. Jest szczególnie przydatne w przypadku systemów operacyjnych, przeglądarek i popularnych aplikacji. Użytkownik nie musi za każdym razem podejmować decyzji, a poprawki nie czekają tygodniami na dogodny moment.
Samo włączenie tej funkcji nie zamyka jednak tematu. Urządzenie może nie mieć wolnego miejsca, pozostawać wyłączone w czasie instalacji albo zgłaszać błąd. Bywa też, że program wymaga ponownego uruchomienia, które użytkownik stale odkłada.
Dlatego nie wystarczy ustalić, czy aktualizacje są automatyczne. Trzeba również wiedzieć, czy rzeczywiście zostały zainstalowane na wszystkich urządzeniach. W małej firmie może to być regularny przegląd kilku komputerów. Przy większej liczbie urządzeń lepiej wykorzystać centralne zarządzanie, które pokazuje wersje i stan ochrony w jednym miejscu.
Taką kontrolę zapewnia między innymi Bitdefender GravityZone. Przejrzysty panel pozwala sprawdzić, czy firmowe komputery są prawidłowo chronione i wskazuje te, na których zabezpieczenia są wyłączone, nieaktualne albo od dłuższego czasu nie pobierają informacji o nowych zagrożeniach. Dostępne jest też dodatkowe rozszerzenie Patch Management, które ułatwia zarządzanie aktualizacjami systemów operacyjnych i obsługiwanych aplikacji.
Co oznacza koniec wsparcia producenta?
Producenci nie rozwijają każdej wersji programu bez końca. Po upływie określonego czasu kończą jej wsparcie i przestają wydawać poprawki bezpieczeństwa. Samo oprogramowanie zwykle nadal działa, dlatego łatwo przeoczyć tę zmianę. Problem pojawia się wtedy, gdy zostanie w nim odkryta kolejna podatność, a poprawka dla używanej wersji już nie powstanie.
Do takiej sytuacji lepiej przygotować się wcześniej. Informacja o zbliżającym się końcu wsparcia powinna być sygnałem do zaplanowania aktualizacji, wymiany programu lub przejścia na inne rozwiązanie. Czekanie do pierwszej awarii albo poważnego ostrzeżenia może postawić firmę przed koniecznością podejmowania decyzji pod presją czasu.
Nie zawsze da się przeprowadzić taką zmianę od razu. Starszy system może być potrzebny do obsługi maszyny lub specjalistycznej aplikacji, która nie działa na nowszym oprogramowaniu. Do czasu jego wymiany trzeba ograniczyć możliwe skutki ataku: odseparować urządzenie od pozostałej sieci, wyłączyć niepotrzebne usługi, dopuścić tylko niezbędne połączenia i zawęzić dostęp administracyjny. To rozwiązanie tymczasowe. Zmniejsza ryzyko, ale nie zastępuje poprawek i nie przywraca zakończonego wsparcia.
Jak uporządkować aktualizacje w firmie?
Regularne aktualizacje nie powinny zależeć od tego, czy ktoś zauważy powiadomienie i znajdzie czas, żeby na nie zareagować. Firma potrzebuje prostych zasad określających, kto śledzi dostępne poprawki, które z nich wymagają szybkiej reakcji, jak należy je wdrażać i co sprawdzić po instalacji. Podstawą takiego procesu mogą być następujące działania:
Spisz urządzenia i oprogramowanie, o które trzeba dbać. Uwzględnij komputery, telefony, serwery i urządzenia sieciowe, a także programy używane przez pracowników, oprogramowanie antywirusowe oraz system CMS, wtyczki i motywy firmowej strony.
Ustal, kto odpowiada za każdy z tych elementów. Może to być pracownik działu IT, administrator, firma zapewniająca opiekę techniczną albo dostawca konkretnego rozwiązania. Ważne, aby było wiadomo, kto sprawdza dostępność poprawek, podejmuje decyzję o instalacji i weryfikuje jej wynik.
Sprawdź, czy używane wersje nadal otrzymują poprawki bezpieczeństwa. Jeśli producent zakończył wsparcie, zaplanuj przejście na nowszą wersję lub inne rozwiązanie. Nie czekaj z decyzją do pierwszej awarii albo ostrzeżenia o nowej podatności.
Włącz automatyczne aktualizacje tam, gdzie można zrobić to bezpiecznie. Zwykle sprawdza się to na komputerach pracowników, w przeglądarkach i programach antywirusowych. Ustal też, kiedy urządzenia mogą się ponownie uruchomić, aby użytkownicy nie odkładali restartu przez kolejne tygodnie.
Oddziel zwykłe aktualizacje od pilnych poprawek. Rutynowe zmiany można instalować w stałym terminie. Informacja o poważnej podatności wymaga szybkiej oceny: czy dotyczy używanej wersji, czy trwają już ataki i jak szybko można bezpiecznie wdrożyć naprawę.
Zabezpiecz ważne systemy przed aktualizacją. Wykonaj kopię danych i konfiguracji, sprawdź możliwość przywrócenia poprzedniej wersji i przetestuj zmianę, jeśli system jest potrzebny do codziennej pracy firmy.
Po aktualizacji sprawdź rezultat. Potwierdź, że nowa wersja trafiła na wszystkie objęte nią urządzenia. Następnie sprawdź najważniejsze funkcje, na przykład logowanie, formularze, płatności, wysyłkę wiadomości i połączenia z innymi programami.
Takie podejście pozwala szybciej reagować na poważne zagrożenia, a jednocześnie zmniejsza ryzyko, że źle przygotowana zmiana przerwie pracę firmy.
Potrzebujesz wsparcia technicznego?
Nie w każdej firmie jest osoba, która na bieżąco śledzi informacje o nowych podatnościach, sprawdza dostępność poprawek i pilnuje, czy zostały prawidłowo wdrożone. Jeśli nie wiesz, które urządzenia i programy są aktualne, kto za nie odpowiada albo czy po nieudanej zmianie uda się szybko przywrócić ich działanie, warto zacząć od przeglądu obecnej sytuacji.
W ZanReal możemy sprawdzić, z jakich wersji oprogramowania korzysta firma, wskazać zaległe aktualizacje i rozwiązania, które nie otrzymują już wsparcia. Pomożemy też ustalić priorytety, przygotować bezpieczny sposób wdrażania poprawek i dobrać narzędzia do centralnego zarządzania urządzeniami. Jeśli firma nie ma własnego zespołu IT, możemy objąć jej strony, systemy i infrastrukturę bieżącą opieką techniczną. Zapraszamy do współpracy!
