Actualizări și software învechit

Modulul 5: Dispozitive, software și rețea · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea să instituiți o politică de actualizare pentru sisteme de operare, aplicații, plugin-uri, routere și alte dispozitive și să explicați ce înseamnă "sfârșitul suportului" și ce faceți atunci.
Noțiuni cheie: vulnerabilitate, patch, zero-day, actualizări automate, firmware, plugin, inventar, sfârșitul suportului (end of life), dispozitiv de margine (edge device)

O actualizare este o broască suplimentară pe care o montați

Software-ul conține erori. Unele erori sunt doar incomode (un buton care nu funcționează), altele reprezintă o vulnerabilitate: o eroare prin care un atacator poate face ceva ce nu era intenționat, cum ar fi autentificarea fără parolă sau executarea propriului cod. Producătorul rezolvă acest lucru printr-un patch, care ajunge la dumneavoastră sub formă de actualizare.

Partea periculoasă stă în ordinea evenimentelor. Odată ce o actualizare apare, vulnerabilitatea devine practic publică. Atacatorii compară versiunea veche cu cea nouă, observă ce a fost reparat și construiesc un atac pe baza acestui lucru. Apoi scanează automat întregul internet în căutarea dispozitivelor care nu au primit încă actualizarea. Acesta este exact atacul oportunist din lecția 1.1: nu vă caută pe dumneavoastră în mod specific, caută pe oricine a rămas în urmă.

O zero-day este o vulnerabilitate care este deja exploatată înainte de a exista un patch. Puteți face puține lucruri în această privință, în afară de a urma recomandările producătorului și de a limita pagubele (copii de siguranță, drepturi minime). Însă marea majoritate a intruziunilor la întreprinderile mici se produc prin vulnerabilități pentru care actualizarea era deja disponibilă de mult timp.

Fostul Digital Trust Center, acum parte a NCSC-ului olandez, a constatat în 2024, în cadrul verificării sale de securitate cibernetică, că peste una din trei întreprinderi mici (36%) nu avea actualizări automate activate pe toate dispozitivele sale conectate la internet. Recomandarea NCSC-ului olandez este simplă: nu amânați actualizarea și activați actualizările automate acolo unde este posibil.

Ce dețineți de fapt? Inventarul

Nu puteți actualiza ceea ce ați uitat că aveți. Majoritatea întreprinderilor se gândesc, atunci când vine vorba de actualizări, la laptopuri și telefoane, dar dispozitivele cele mai periculoase sunt adesea cele tăcute:

Dispozitivele conectate direct la internet și accesibile din exterior (router, server VPN, NAS cu acces de la distanță, cameră) se numesc dispozitive de margine (edge devices). Acestea sunt cel mai adesea ținta atacurilor, deoarece un atacator poate ajunge la ele fără niciun clic din partea unui angajat. Un exemplu anonimizat: un cabinet de contabilitate avea un NAS cu "acces de oriunde" activat. Producătorul a lansat o actualizare de securitate, cabinetul nu a instalat-o, iar câteva săptămâni mai târziu toate fișierele de pe NAS erau criptate. Nimeni nu dăduse clic pe nimic.

O politică de actualizare în cinci reguli

O politică nu trebuie să fie un document de zece pagini. Pentru o întreprindere mică funcționează aceste reguli:

1. Automat acolo unde este posibil. Activați actualizările automate pentru sistemele de operare, browsere, aplicații și, acolo unde este posibil, pentru CMS, plugin-uri și pentru firmware-ul routerului și al NAS-ului.
2. Repornirea face parte din proces. Multe actualizări funcționează abia după o repornire. Stabiliți ca toată lumea să repornească cel puțin o dată pe săptămână și nu amânați o repornire săptămâni întregi.
3. Dispozitivele de margine mai întâi. Pentru dispozitivele accesibile din exterior: verificați dumneavoastră înșivă dacă există actualizări, de exemplu o dată pe lună, și instalați o actualizare de securitate în câteva zile. Dacă producătorul sau autoritatea națională de securitate cibernetică avertizează despre exploatare activă, atunci în aceeași zi.
4. Un singur responsabil per dispozitiv. În inventar, fiecare linie indică cine îl actualizează: dumneavoastră înșivă, un coleg, firma dumneavoastră IT sau dezvoltatorul site-ului. Dacă nu apare nimeni, nu o face nimeni.
5. Ce nu mai este necesar, se elimină. Un plugin pe care nu îl folosiți, un laptop vechi din dulap care încă se conectează la rețea, un site de testare pe un subdomeniu: eliminați-l, astfel nu mai trebuie să îl actualizați nici pe acesta.

Vă întrebați dacă o actualizare ar putea strica ceva? Faceți mai întâi o copie de siguranță (modulul 6) și apoi actualizați. A nu instala o actualizare de teama problemelor este aproape întotdeauna riscul mai mare.

Sfârșitul suportului: când nu mai apar actualizări

Fiecare versiune de software sau firmware are o dată de expirare. După aceasta, producătorul nu mai oferă actualizări de securitate. Aceasta se numește sfârșitul suportului (end of life, EOL). Dispozitivul continuă să funcționeze normal, iar tocmai acesta este aspectul înșelător: nimeni nu observă nimic, în timp ce fiecare vulnerabilitate nouă rămâne deschisă pentru totdeauna.

Exemple:

• Windows 10. Suportul normal s-a încheiat la 14 octombrie 2025. După această dată apar doar actualizări de securitate prin programul ESU al Microsoft, cu date de expirare care diferă de la caz la caz. Consultați site-ul Microsoft pentru a vedea ce se aplică dispozitivelor dumneavoastră și planificați trecerea la o versiune suportată sau la un alt dispozitiv.
• PHP și alte limbaje pentru site-uri web. Fiecare versiune PHP primește actualizări de securitate timp de câțiva ani. Dacă site-ul dumneavoastră rulează pe o versiune veche, serverul poate fi sigur, dar site-ul nu.
• Routere, NAS și camere. Dispozitivele ieftine primesc uneori actualizări de firmware doar câțiva ani, uneori niciodată. Autoritatea națională de securitate cibernetică recomandă să verificați, înainte de achiziție, cât timp producătorul oferă suport pentru dispozitiv și să înlocuiți dispozitivele care nu mai primesc actualizări.
• Plugin-uri și teme. Un plugin al cărui dezvoltator s-a oprit nu mai primește remedieri. Căutați un înlocuitor.

Dacă nu puteți înlocui ceva imediat, limitați riscul: deconectați-l de la internet, puneți-l într-o rețea separată (lecția 5.3) și nu îi dați acces la date importante.

Actualizare în siguranță: doar prin canalul oficial

Atacatorii abuzează și de cuvântul "actualizare". O fereastră pop-up pe un site web "Browserul dumneavoastră este învechit, descărcați actualizarea aici" sau un e-mail "instalați actualizarea de securitate din atașament" este aproape întotdeauna malware. Actualizările reale vin prin sistemul de operare, magazinul de aplicații, funcția de actualizare din programul însuși sau site-ul web al producătorului. Niciodată printr-un link dintr-un e-mail sau o fereastră pop-up de pe un site oarecare.

În practică: cum arată acest lucru

La un pachet de găzduire cu DirectAdmin, precum cel de la WebOké, alegeți versiunea PHP a site-ului dumneavoastră prin Select PHP version. Dacă doriți să faceți mai întâi o copie de siguranță înainte de a actualiza site-ul sau plugin-urile, puteți face acest lucru, de exemplu, în Installatron cu butonul Back-up, după care, în caz de probleme, restaurați versiunea anterioară. La alți furnizori funcționează similar: căutați "versiune PHP" și funcția de copie de siguranță sau de staging a CMS-ului dumneavoastră.

Pentru calculatoare și telefoane, funcția de actualizare se află în setările sistemului de operare. Pentru routerul dumneavoastră, verificați pagina de administrare (adresa se află în manual sau pe eticheta routerului) sau aplicația furnizorului dumneavoastră.

Rezumat

• O actualizare închide o vulnerabilitate cunoscută; după apariția acesteia, atacatorii scanează internetul în căutarea celor care au rămas în urmă.
• Realizați un inventar, inclusiv al routerului, NAS-ului, imprimantei, camerelor, site-ului web și plugin-urilor, cu un responsabil pentru fiecare linie.
• Actualizare automată acolo unde este posibil, repornirea face parte din proces, dispozitivele de margine mai întâi și rapid.
• Sfârșitul suportului înseamnă: nu mai există actualizări de securitate. Înlocuiți sau deconectați și izolați.
• Actualizări doar prin canalul oficial, niciodată printr-o fereastră pop-up sau un e-mail.

Test

Exercițiu

Exercițiul D5.1: Inventarul dumneavoastră de actualizări. Realizați o listă cu toate dispozitivele și software-ul dumneavoastră, inclusiv router, NAS, imprimantă, camere, site web și plugin-uri. Notați pentru fiecare linie versiunea, dacă actualizările automate sunt activate, cine este responsabilul și dacă mai este încă suportat. Actualizați ce a rămas în urmă și răspundeți la întrebările de reflecție.

Lecturi suplimentare

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Manual DirectAdmin 14.1: Alegerea versiunii de PHP (Select PHP version)
• Manual DirectAdmin 13.6: Creare și restaurare de backupuri în Installatron
• NCSC-ul olandez, O treime din întreprinderile mici nu folosesc actualizări automate: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• NCSC-ul olandez, Instituiți gestionarea patch-urilor: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• NCSC-ul olandez, Măsuri de securitate de bază pentru dispozitive inteligente: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, ciclul de viață al Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro