Fala aktualizacji utrudnia cyberobronę w firmach

W 2015 r. w internetowej bazie luk bezpieczeństwa IT (CVE) odnotowano ponad 6 tys. nowych podatności ułatwiających cyberataki na niechronione systemy. Gdyby firmowej sieci dotyczyła tylko jedna dziesiąta tych luk, to w skali roku jej administrator miałby do załatania 630 podatności - minimum 2 luki na każdy dzień roboczy. Sam Windows 7 miał w 2015 roku 120 aktualizacji, przy czym liczba poprawek bezpieczeństwa dla wszystkich produktów z rodziny Windows wyniosła 2804, nieznacznie tylko ustępując systemowi Red Hat Enterprise Linux (2859 poprawek) - wylicza firma Anzena.

Problemem jest to, że specjaliści IT w firmach nie do końca radzą sobie ze wzbierającą falą aktualizacji. Potwierdzają to wyniki ankiety firmy Tripwire, która zapytała informatyków z dużych firm (od blisko 500 do ponad 10 tys. stacji roboczych) o preferencje dotyczące otrzymywania aktualizacji oraz strategie ich wdrażania.

Mimo, że zarządzanie aktualizacjami jest kluczowe dla obniżania ryzyka bezpieczeństwa IT w rozległych sieciach, to blisko 20 proc. organizacji nie wykorzystuje do tego celu odpowiedniego oprogramowania. Co drugi ankietowany uważa, że tempo publikowania kolejnych aktualizacji jest przytłaczające, a 67 proc. badanych przyznaje, że nie zawsze ma pewność, którego systemu dotyczy czekająca na wdrożenie poprawka. Przeważająca większość respondentów (86 proc.) twierdzi też, że aktualizacje niektórych produktów np. Adobe Flash publikowane razem z aktualizacjami Google Chrome utrudniają śledzenie wpływu poprawek na funkcjonowanie łatanych systemów.

Anzena zauważa, że związek między lukami, a eliminującymi je poprawkami jest dość złożony, bo sytuacja, w której poprawka usuwa tylko i wyłącznie daną lukę zdarza się stosunkowo rzadko. Znacznie częściej wgranie aktualizacji neutralizuje (w całości lub częściowo) szereg podatności na różnych platformach. Administrator musi więc nieustannie śledzić zarówno bieżące poprawki korygujące wykryte podatności, jak i regularne aktualizacje oprogramowania udostępniane przez producenta. Nie jest to proste, bo często oba typy aktualizacji mogą w różnym stopniu ingerować w zazębiające się luki.