Σήμερα, τα πραγματικά zero days exploits είναι σπάνια και δαπανηρά. Συνήθως δεν σπαταλούνται σε στόχους χαμηλής αξίας. Αντιθέτως, συνήθως συνδυάζονται με άλλες αδυναμίες, όπως διανύσματα επίθεσης που βασίζονται στη ταυτότητα, παραδίδονται μέσω αξιόπιστων οδών και εκτελούνται με ακρίβεια και μυστικότητα.
Τα κράτη και τα κορυφαία συνδικάτα κυβερνοεγκλήματος δεν «καίνε» τα zero days απερίσκεπτα. Τα χρησιμοποιούν μόνο όταν η απόδοση της επένδυσης δικαιολογεί το κόστος ανάπτυξης και το ρίσκο να εκτεθούν δημοσίως. Μόλις η ευπάθεια αποκαλυφθεί και επιδιορθωθεί, το πλεονέκτημα της ως όπλο χάνεται. Αυτή και μόνο η πραγματικότητα δείχνει πόσο προσεκτικοί πρέπει να είμαστε όταν επικαλούμαστε τον όρο.
Η σωστή κατανόηση των zero days αλλάζει επίσης τη συζήτηση γύρω από την κυβερνοάμυνα.
Δεν μπορείτε να επιδιορθώσετε (patch) κάτι που δεν γνωρίζετε ότι υπάρχει. Ακριβώς για αυτόν τον λόγο η αποκάλυψη αποτελεί μέρος του ορισμού.
Παρόλα αυτά, μπορείτε να μειώσετε τον αντίκτυπο αυτών που δεν μπορείτε να διορθώσετε ή των απειλών που δεν έχουν αποκαλυφθεί, μέσω των βέλτιστων πρακτικών κυβερνοασφάλειας:
- Χρήση της αρχής του ελάχιστου προνομίου (Least Privilege): Περιορίζει το με τι μπορεί να αλληλοεπιδράσει ο κώδικας εκμετάλλευσης ή το κακόβουλο λογισμικό σε επίπεδο λειτουργικού συστήματος και εφαρμογών.
- Τμηματοποίηση (Segmentation): Αποτρέπει την πλευρική μετακίνηση (lateral movement) μετά την αρχική εκμετάλλευση του κενού ασφαλείας ή της ευπάθειας.
- Μηχανισμοί ελέγχου της ταυτότητας (Identity Controls): Περιορίζουν την ικανότητα ενός επιτιθέμενου να υποδυθεί νόμιμους χρήστες.
Αυτά δεν είναι απλώς θεωρητικά μέτρα μετριασμού, αλλά η διαφορά μεταξύ ενός περιστατικού που έχει περιοριστεί και μιας συστημικής αποτυχίας όταν μία ευπάθεια μηδενικής ημέρας αποτελεί αντικείμενο ενεργής εκμετάλλευσης εντός ενός περιβάλλοντος.
Η ορθή απόδοση του ορισμού επιβάλλει επίσης ειλικρίνεια στην ανάλυση μετά το περιστατικό. Αυτά τα ερωτήματα είναι άβολα, αλλά απαραίτητα αν οι οργανισμοί αναζητούν να ωριμάσουν αντί απλώς να επαναλαμβάνουν παρεξηγημένους όρους:
- Ήταν πραγματικά άγνωστη η ευπάθεια κατά τη στιγμή της εκμετάλλευσης ή ήταν γνωστή αλλά υποβαθμισμένη σε προτεραιότητα;
- Έχει επιβεβαιωθεί η εκμετάλλευση ή έχει απλώς υποτεθεί;
- Ποια ήταν η βασική αιτία; Η απουσία κάποιας επιδιορθωτικής έκδοσης ή η απουσία αντισταθμιστικών μηχανισμών ελέγχου;
Το κόστος του εντυπωσιασμού
Γιατί εξακολουθεί να υπάρχει αυτή η σύγχυση και γιατί οι επαγγελματίες του κλάδου της κυβερνοασφάλειας και τα μέσα ενημέρωσης εξακολουθούν να κάνουν το ίδιο λάθος;
Για να το πούμε με απλά λόγια, ο όρος «zero day» ακούγεται καταστροφικός. Υποδηλώνει μια αναπόφευκτη κατάσταση που τροφοδοτεί τον εντυπωσιασμό. Για τα μέσα ενημέρωσης, υπονοεί ότι καμία άμυνα δεν θα μπορούσε να λειτουργήσει με στόχο τη δημιουργία μίας αίσθησης ακραίας επείγουσας ανάγκης για να προσελκύσουν το ενδιαφέρον. Για τους οργανισμούς που παρέχουν εξηγήσεις για μία παραβίαση, ενδεχομένως ακούγεται ως άφεση αμαρτιών – μία δικαιολογία ότι τίποτα δεν θα μπορούσε να είχε αποτρέψει την επίθεση και τις επακόλουθες συνέπειες των παραβιάσεων. Για τους προμηθευτές που πωλούν εργαλεία, δημιουργεί μια τεχνητή απόλυτη ανάγκη για την ασφάλιση των συγκεκριμένων λύσεων τους ανεξάρτητα από τη χρονική στιγμή.
Για τους επαγγελματίες της κυβερνοασφάλειας, το κόστος αυτής της κατάχρησης δεν είναι ακαδημαϊκό. Όταν ο όρος χρησιμοποιείται με δόση υπερβολής, οι πραγματικές ευπάθειες μηδενικής ημέρας στερούνται τον χαρακτήρα του κατεπείγοντος και τη χρηματοδότηση -της επιδιόρθωσης- τους. Οι ομάδες ασφαλείας απευαισθητοποιούνται και χάνουν τη συγκέντρωση και τον στόχο τους. Τα διοικητικά συμβούλια θα αρχίσουν να υποθέτουν ότι οι παραβιάσεις είναι αναπόφευκτα φυσικά φαινόμενα και όχι αποτυχίες ελέγχου, υγιεινής των συστημάτων ή ιεράρχησης προτεραιοτήτων. Και οι ρυθμιστικές αρχές με τη σειρά τους θα δυσκολευτούν να διακρίνουν την πραγματική αμέλεια από τον απρόβλεπτο κίνδυνο. Με την πάροδο του χρόνου, ο όρος χάνει το νόημά του.
Η σαφήνεια αποτελεί αμυντική ικανότητα
Πρέπει να πειθαρχήσουμε. Κρατήστε τον όρο «zero day» για αυτό που πραγματικά είναι -μία ευπάθεια που είναι τόσο άγνωστη στον κατασκευαστή όσο και στους οργανισμούς και η οποία τυγχάνει ενεργής εκμετάλλευσης, με μηδενικές ημέρες για την επιδιόρθωση της, επειδή δεν υπάρχει ακόμα σχέδιο αντιμετώπισης της.
Κάθε άλλη κατάσταση έχει το δικό της όνομα και ορολογία: γνωστή ευπάθεια, μη επιδιορθωμένη ευπάθεια, εσφαλμένη παραμετροποίηση, υπερπρονομιακή πρόσβαση ή προηγμένη επίμονη απειλή (APT) κ.ά. Μπορεί τα παραπάνω να ακούγονται λιγότερο δραματικά, αλλά είναι ακριβή ως προς τον προσδιορισμό της κατάστασης μιας απειλής.
Στην κυβερνοασφάλεια, η σαφήνεια αποτελεί αμυντική ικανότητα. Οι παράγοντες απειλής ευδοκιμούν στη σύγχυση και στη συσκότιση, είτε αυτή είναι τεχνική, επιχειρησιακή ή ακόμα και γλωσσική. Αν δεν μπορούμε να ορίσουμε με ακρίβεια τις απειλές μας, δεν μπορούμε να τις ιεραρχήσουμε έξυπνα και να επικοινωνήσουμε σωστά τα αποτελέσματα στα ενδιαφερόμενα μέρη. Αν αντιδρούμε έντονα σε λάθος πράγματα, αναπόφευκτα θα αγνοήσουμε τους κινδύνους που έχουν και τη μεγαλύτερη κρισιμότητα.
Ο ορισμός του zero day δεν είναι μια σημασιολογική άσκηση. Αποτελεί τη διαχωριστική γραμμή μεταξύ του εντυπωσιασμού και της αποτελεσματικής ιεράρχησης προτεραιοτήτων.
Πηγή: BeyondTrust
