5. modulis · 5.1
Atjauninājumi un novecojusi programmatūra
5. modulis: Ierīces, programmatūra un tīkls · Lasīšanas laiks: 10 minūtes
Mērķis: Pēc šīs nodarbības Jūs varēsiet izveidot atjauninājumu politiku operētājsistēmām, lietotnēm, spraudņiem, maršrutētājiem un citām ierīcēm, un izskaidrot, ko nozīmē "atbalsta beigas" un ko tad darīt.
Pamatjēdzieni: ievainojamība, ielāps (patch), nulles dienas ievainojamība (zero-day), automātiskie atjauninājumi, aparātprogrammatūra (firmware), spraudnis, inventarizācija, atbalsta beigas (end of life), malas ierīce (edge device)
Atjauninājums ir papildu slēdzene, ko Jūs uzliekat
Programmatūrā ir kļūdas. Dažas kļūdas ir tikai neērtas (poga, kas nestrādā), citas ir ievainojamība: kļūda, ar kuras palīdzību uzbrucējs var izdarīt kaut ko, kas nav paredzēts, piemēram, pieteikties bez paroles vai izpildīt savu kodu. Ražotājs to novērš ar ielāpu (patch), kas Jums nonāk kā atjauninājums.
Nelabvēlīgākais ir secība. Tiklīdz atjauninājums ir izlaists, ievainojamība praktiski kļūst publiska. Uzbrucēji salīdzina veco un jauno versiju, redz, kas ir salabots, un uz tā pamata izveido uzbrukumu. Pēc tam viņi automātiski skenē visu internetu, meklējot ierīces, kurām atjauninājums vēl nav uzstādīts. Tas ir tieši tas pats oportūnistiskais uzbrukums, par kuru bija runa 1.1. nodarbībā: viņi nemeklē tieši Jūs, viņi meklē visus, kas atpaliek.
Nulles dienas ievainojamība (zero-day) ir ievainojamība, ko jau izmanto, pirms ir izveidots ielāps. Pret to maz ko var darīt, izņemot sekot ražotāja ieteikumiem un ierobežot kaitējumu (rezerves kopijas, minimālas tiesības). Taču lielākā daļa ielaušanās gadījumu mazos uzņēmumos notiek caur ievainojamībām, kurām atjauninājums jau sen bija pieejams.
Bijušais Digital Trust Center, tagad daļa no Nīderlandes NCSC, 2024. gadā savā CyberVeilig Check pārbaudē konstatēja, ka vairāk nekā katrs trešais mazais uzņēmums (36%) nebija ieslēdzis automātiskos atjauninājumus visām savām internetam pieslēgtajām ierīcēm. Nīderlandes NCSC ieteikums ir vienkāršs: negaidiet ar atjaunināšanu un ieslēdziet automātisko atjaunināšanu, kur vien tas iespējams.
Kas Jums īsti ir? Inventarizācija
Jūs nevarat atjaunināt to, par ko esat aizmirsuši. Lielākā daļa uzņēmumu, domājot par atjaunināšanu, iedomājas klēpjdatorus un telefonus, taču bīstamākās ierīces bieži ir klusās:
| Veids | Piemēri | Kā parasti notiek atjaunināšana |
|---|---|---|
| Datori un telefoni | Windows, macOS, Linux, Android, iOS | Automātiski, ja Jūs to ieslēdzat un nebezgalīgi neatliekat pārstartēšanu |
| Programmas un lietotnes | Pārlūkprogramma, biroja pakete, pdf lasītājs, grāmatvedības lietotne | Bieži automātiski; atsevišķas programmas dažreiz nē |
| Tīmekļa vietne | CMS, spraudņi, tēmas, PHP versija | Daļēji automātiski; spraudņi un tēmas bieži manuāli |
| Tīkla aprīkojums | Maršrutētājs, modems, wifi punkti, ugunsmūris, VPN serveris | Aparātprogrammatūra (firmware), bieži manuāli vai caur pakalpojumu sniedzēju |
| Malas ierīces | NAS, tīkla printeris, IP kamera, viedais durvju zvans, trauksmes sistēma, kases sistēma | Aparātprogrammatūra, bieži manuāli, dažreiz nekad |
| Mākoņa pakalpojumi | Pasts, grāmatvedība, tiešsaistes veikala platforma | Piegādātājs atjaunina; Jūs pārvaldāt iestatījumus |
Ierīces, kas ir tieši pieslēgtas internetam un pieejamas no ārpuses (maršrutētājs, VPN serveris, NAS ar attālo piekļuvi, kamera), sauc par malas ierīcēm (edge devices). Tās visbiežāk ir mērķis, jo uzbrucējs tām var piekļūt bez darbinieka klikšķa. Anonimizēts piemērs: grāmatvedības birojam bija NAS ar ieslēgtu "piekļuvi no jebkurienes". Ražotājs izlaida drošības atjauninājumu, birojs to neuzstādīja, un pēc dažām nedēļām visi faili uz NAS bija šifrēti. Neviens nebija nekur uzklikšķinājis.
Atjauninājumu politika piecos noteikumos
Politikai nav jābūt desmit lappušu dokumentam. Mazam uzņēmumam der šādi noteikumi:
- Automātiski, kur vien iespējams. Ieslēdziet automātiskos atjauninājumus operētājsistēmām, pārlūkprogrammām, lietotnēm un, kur iespējams, arī CMS un spraudņiem, kā arī maršrutētāja un NAS aparātprogrammatūrai.
- Pārstartēšana ir daļa no tā. Daudzi atjauninājumi sāk darboties tikai pēc pārstartēšanas. Vienojieties, ka ikviens vismaz reizi nedēļā pārstartē ierīci, un neatlieciet pārstartēšanu uz nedēļām.
- Vispirms malas ierīces. Ierīcēm, kas ir pieejamas no ārpuses: paši pārbaudiet, vai ir pieejami atjauninājumi, piemēram, reizi mēnesī, un uzstādiet drošības atjauninājumu dažu dienu laikā. Ja ražotājs vai CERT.LV brīdina par aktīvu izmantošanu, tad tajā pašā dienā.
- Viens atbildīgais par katru ierīci. Inventarizācijā katrai rindai jānorāda, kurš to atjaunina: Jūs pats, kolēģis, Jūsu IT uzņēmums vai Jūsu vietnes izstrādātājs. Ja nav norādīts neviens, to nedara neviens.
- Kas vairs nav vajadzīgs, tiek izņemts. Spraudnis, ko Jūs neizmantojat, vecs klēpjdators skapī, kas joprojām pieslēgts tīklam, testa vietne apakšdomēnā: izdzēsiet to, tad Jums tas arī nebūs jāatjaunina.
Šaubāties, vai atjauninājums kaut ko sabojās? Vispirms izveidojiet rezerves kopiju (6. modulis) un tad atjauniniet. Neatjaunināt kaut ko no bailēm par problēmām gandrīz vienmēr ir lielāks risks.
Atbalsta beigas: kad atjauninājumi vairs nav pieejami
Katrai programmatūras vai aparātprogrammatūras versijai ir beigu datums. Pēc tam ražotājs vairs neizlaiž drošības atjauninājumus. To sauc par atbalsta beigām (end of life, EOL). Ierīce joprojām darbojas, un tas arī ir viltīgais: neviens neko nepamana, kamēr katra jauna ievainojamība paliek atvērta uz visiem laikiem.
Piemēri:
- Windows 10. Parastais atbalsts beidzās 2025. gada 14. oktobrī. Pēc tam drošības atjauninājumi ir pieejami tikai caur Microsoft ESU programmu, ar beigu datumiem, kas atšķiras atkarībā no situācijas. Pārbaudiet Microsoft vietnē, kas attiecas uz Jūsu ierīcēm, un plānojiet pāreju uz atbalstītu versiju vai citu ierīci.
- PHP un citas tīmekļa valodas. Katra PHP versija saņem drošības atjauninājumus dažus gadus. Ja Jūsu vietne darbojas vecā versijā, serveris, iespējams, ir drošs, bet Jūsu vietne nav.
- Maršrutētāji, NAS un kameras. Lētas ierīces dažreiz saņem aparātprogrammatūras atjauninājumus tikai dažus gadus, dažreiz nekad. Nīderlandes NCSC iesaka pirms iegādes noskaidrot, cik ilgi ražotājs atbalsta ierīci, un nomainīt ierīces, kas vairs nesaņem atjauninājumus.
- Spraudņi un tēmas. Spraudnis, kura ražotājs ir pārtraucis darbību, vairs nesaņem labojumus. Meklējiet aizstājēju.
Ja kaut ko nevarat uzreiz nomainīt, ierobežojiet risku: atvienojiet to no interneta, ievietojiet to atsevišķā tīklā (5.3. nodarbība), un neļaujiet tai piekļūt svarīgiem datiem.
Droša atjaunināšana: tikai pa oficiālo ceļu
Uzbrucēji ļaunprātīgi izmanto arī vārdu "atjauninājums". Uznirstošais logs tīmekļa vietnē "Jūsu pārlūkprogramma ir novecojusi, lejupielādējiet atjauninājumu šeit" vai e-pasts "uzstādiet drošības atjauninājumu pielikumā" gandrīz vienmēr ir ļaunprogrammatūra. Īsti atjauninājumi nāk caur operētājsistēmu, lietotņu veikalu, programmas pašas atjaunināšanas funkciju vai ražotāja tīmekļa vietni. Nekad caur saiti e-pastā vai uznirstošu logu nejaušā vietnē.
Praksē: kā tas izskatās
Mitināšanas paketē ar DirectAdmin, piemēram, WebOké gadījumā, Jūsu vietnes PHP versiju varat izvēlēties, izmantojot Select PHP version. Ja pirms vietnes vai spraudņu atjaunināšanas vēlaties izveidot rezerves kopiju, to varat izdarīt, piemēram, Installatron ar pogu Back-up, pēc kuras problēmu gadījumā varat atjaunot iepriekšējo versiju. Pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: meklējiet "PHP versija" un Jūsu CMS rezerves kopiju vai staging funkciju.
Datoriem un telefoniem atjaunināšanas funkcija atrodas operētājsistēmas iestatījumos. Jūsu maršrutētājam skatieties pārvaldības lapā (adrese norādīta rokasgrāmatā vai uz maršrutētāja uzlīmes) vai Jūsu pakalpojumu sniedzēja lietotnē.
Kopsavilkums
- Atjauninājums novērš zināmu ievainojamību; pēc tā izlaišanas uzbrucēji skenē internetu, meklējot tos, kas atpaliek.
- Izveidojiet inventarizāciju, iekļaujot arī maršrutētāju, NAS, printeri, kameras, tīmekļa vietni un spraudņus, ar atbildīgo par katru rindu.
- Atjauniniet automātiski, kur vien iespējams, pārstartēšana ir daļa no tā, malas ierīces pirmās un ātri.
- Atbalsta beigas nozīmē: vairs nav drošības atjauninājumu. Nomainiet, vai atvienojiet un norobežojiet.
- Atjauniniet tikai pa oficiālo ceļu, nekad caur uznirstošu logu vai e-pastu.
Tests
Uzdevums
Uzdevums D5.1: Jūsu atjauninājumu uzskaite. Izveidojiet sarakstu ar visām Jūsu ierīcēm un programmatūru, ieskaitot maršrutētāju, NAS, printeri, kameras, tīmekļa vietni un spraudņus. Katrai rindai pierakstiet versiju, vai ir ieslēgti automātiskie atjauninājumi, kurš ir atbildīgais un vai tā joprojām tiek atbalstīta. Atjauniniet to, kas atpaliek, un atbildiet uz pārdomu jautājumiem.
Uzdevums D5.1: Jūsu atjauninājumu uzskaite
Kā rīkoties: (1) Izveidojiet tabulu ar kolonnām: ierīce vai programmatūra, veids (dators, telefons, programma, vietne, tīkls, perifērijas ierīce, mākoņa pakalpojums), versija, automātiskie atjauninājumi (jā/nē/nevar), atbildīgais (kas pie tā strādā), vai joprojām tiek atbalstīts (jā/nē/nezināms), vai ir sasniedzams no ārpuses (jā/nē). Lejupielādējama veidne (csv vai izklājlapa) ir pieejama pie uzdevuma. (2) Apejiet savu biroju un attālinātās darba vietas. Neaizmirstiet: maršrutētāju un modemu, Wi-Fi piekļuves punktus, NAS, tīkla printeri, IP kameras, viedo durvju zvanu vai signalizāciju, kases sistēmu, veco klēpjdatoru skapī, savu vietni ar CMS, spraudņiem un tēmām, Jūsu mitināšanas pakotnes PHP versiju. (3) Katrai ierīcei ražotāja vietnē noskaidrojiet, līdz kuram laikam tā saņem atjauninājumus. Windows 10 gadījumā apskatiet Microsoft dzīves cikla lapu, kas attiecas uz Jūsu ierīcēm. (4) Ieslēdziet automātiskos atjauninājumus, kur tas ir iespējams. Instalējiet neinstalētos atjauninājumus, vispirms perifērijas ierīcēm. Pēc tam restartējiet. (5) Atzīmējiet visu, kas vairs nesaņem atjauninājumus, un katrai rindai nosakiet: nomainīt (ar datumu), atvienot no interneta, vai izveidot atsevišķu tīklu (nodarbība 5.3).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Lasiet arī
Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem process ir līdzīgs.
- DirectAdmin rokasgrāmata 14.1: PHP versijas izvēle (Select PHP version)
- DirectAdmin rokasgrāmata 13.6: Rezerves kopiju izveide un atjaunošana Installatron
- Nīderlandes NCSC, Katrs trešais mazais uzņēmums neizmanto automātiskos atjauninājumus: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- Nīderlandes NCSC, Ieviesiet ielāpu pārvaldību: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- Nīderlandes NCSC, Pamata drošības pasākumi viedajām ierīcēm: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, Windows 10 dzīves cikls: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro