Kommer ni ihåg Code Red? Inte den från filmen – A Few Good Men!, Code Red som ökänt plågade internet den 15 juli 2001. Omfattningen av störningarna som denna datormask skapade var sådan att det ledde till att Microsoft började patcha mjukvarusårbarheter. Innan Code Red handlade patchhantering helt om IT, inte cybersäkerhet. Samtidigt fortsatte datormaskar sina attacker. Slutligen, i maj 2017, kom den ökända ransomware-kryptormen – WannaCry. Den orsakade verkligen en hel del problem för säkerhets- och IT-teamen på Microsoft. Den gjorde också organisationer medvetna om att patchhantering inte bara är en bra-att-ha-process – det är en absolut nödvändighet!
I takt med att tekniken och ekonomierna växte blev små livsmedelsbutiker stormarknader och nu stormarknader. Marknadsförings-, försäljnings- och kundframgångsspecialister gick från personalisering till hyperpersonalisering. Nästa kapitel i patchhantering för varje organisation är alltså enkelt – automatisering, snarare hyperautomatisering.
Patch Management: Nuvarande tillstånd
Ingen tvekan om att OS-tillverkare har lärt sig av tidigare attacker på företagsnivå och har utvecklats. Men hotaktörer i dessa dagar är också utvecklade och rasar 24*7. De livnär sig på sårbarheter i mjukvara och appar. Du ger dem en tum och de kommer att göra en mil. Tro det eller ej SaaS-folk, det finns verksamhet på gång som cyberbrottslighet-som-en-tjänst och ransomware-som-en-tjänst.
Det nuvarande tillståndet för patchhantering som de flesta CIO:er håller med om kretsar kring riskanalys. Säkerhetsteam analyserar OS- och app-sårbarheter och prioriterar dem och IT-team implementerar patchar för att åtgärda dessa sårbarheter eller buggar. Om inte dessa risker prioriteras och kommuniceras i förväg, kommer din IT att vara ovilliga att implementera patchar.
För närvarande är den största smärtpunkten för IT-team när de proaktivt utfärdar patchar är enhetens tillgänglighet och lyhördhet. Så om det inte finns någon röd varning för en viss patch kommer IT-team inte att skicka dem till enheter. Och de har ett starkt fall – enhetens driftstopp. Till exempel kan den bärbara datorn för din säljare som är mitt uppe i en viktig mötespresentation inte plötsligt visa meddelandet "uppdaterar enhet, var god vänta". Detta är i stort sett vad som händer i de flesta organisationer. Det är en gungbräda mellan enhetens stilleståndstid och enhetens säkerhet. Jämvikt är inte lätt att fastställa. Sedan kommer matematiken – sannolikhetsblandningen av sårbarheter – eftersom inte alla sårbarheter har allvarliga exploateringsimplikationer från hotaktörer.
Hotaktörer strövar runt jämvikten som just nämnts ovan. Säkerhetspersonal runt om i världen är medvetna om hot om ransomware. Det finns ransomware-as-a-service (låt oss säga RaaS) gäng som Conti som jagar där ute på webben. Cyberkriminella älskar luckorna eller silorna som kan smyga sig in bland dina IT- och säkerhetsavdelningar. I september 2021 drog ett gemensamt initiativ mellan FBI och CISA slutsatsen att Conti RaaS ledde till över 400 attacker mot globala och USA-baserade organisationer.
Det aktuella läget för patchhanteringsfrågor kanske inte håller mark i framtiden. IT- och cybersäkerhetsteam behöver förbättrat samarbete eftersom bara prioriterade riskanalyser för patchuppdateringar inte kommer att räcka under de kommande åren.
Kartläggning av vägen framåt
Att besegra RaaS-spelares obevekliga tillvägagångssätt som Conti och andra individuella hotaktörer är inte en promenad i parken. IT- och cybersäkerhetsteam i organisationer måste vara mer sammansvetsade än någonsin tidigare. Deras gemensamma agenda måste vara att bekämpa attacker. Att minska tiden för att patcha enheter måste toppa deras prioritetslista. När angripare inte har tillräckligt med tid för att utnyttja sårbarheter är det mest sannolikt att de avstår från och går bort från att tycka om din organisation.
Balanseringen mellan enhetens stilleståndstid och att minska tiden för att patcha samtidigt som enhetens säkerhet hålls i framkant måste fulländas. Som nämnts tidigare är inte alla sårbarheter exploaterbara; bara 10 % av dem är det. Detta visar att det inte är tillrådligt att jaga varenda liten patch. Samtidigt betyder det inte heller att de övriga 90 % ska ignoreras – men de kan vänta. Riskanalysen behöver ha en tydlig kartläggning av hotens sammanhang och effekter. Att få insikter om patchar och relaterade sårbarheter är absolut nödvändigt för att inse vilka som är beväpnade, mottagliga för RaaS och exploaterbara.
Rätt blandning av patchinsikter och riskanalys av sårbarheter är avgörande för prioritering av patchhantering baserat på skadeutsikterna för hot.
Into the Future med Hyperautomation
Under de kommande 5-10 åren kommer patchhantering att centraliseras till två aspekter – bästa cybersäkerhetspraxis och utveckling av säkra koder. Koder måste kontrolleras för säkerhetsbortfall i utvecklingsstadiet och inte när de är nedströms i appen eller programvaran. Detta kommer att vara väsentligt för enhetens driftstopp och lapptidsbalans vi pratade om tidigare.
Opatchade, exploateringsbara sårbarheter är den främsta orsaken till de flesta dataintrång eller ransomware som kryper in i system och enheter. Att helt enkelt automatisera patchinsikter eller intelligens skulle inte vara tillräckligt i framtiden. Varför? Det finns starka skäl. För det första fortsätter arbetsmodeller på distans och hybrider att sträva efter även i den post-pandemiska världen. För att stödja sådana modeller kommer fler organisationer att fortsätta använda molnbaserad verksamhet. Redan IT-team tycker att patchhantering är komplex och med tanke på fjärr-/hybridarbete och det snabba skiftet till moln blir denna komplexitet inte lättare i framtiden.
Svaret på alla patchhanterings- och processutmaningar ligger i nästa nivå av automatisering – hyperautomation. De flesta UEM-lösningar (unified endpoint management) erbjuder idag automatiserad patchhantering men även de skulle behöva göra en snabb övergång till hyperautomation i framtiden. Det är dags för IT- och säkerhetsteam att vara mer proaktiva och förutsäga sårbarheter i realtid. Hotanalys måste tas till nästa nivå för att upptäcka, förstå och reagera på riskmönster för patchar. Det är det enda genomförbara alternativet för att hålla sig synkroniserad med hotaktörernas komplexa verksamhetsmönster. Mänsklig inblandning måste minimeras så mycket som möjligt. Naturligtvis kommer det i slutskedet att finnas ett inslag av mänskligt baserat arbitrage. Hela scenariot kan låta överväldigande men organisationer måste hitta ett sätt att uppnå hyperautomatisering av patchhantering med hjälp av UEM.
Vägen till hyperautomation
Så hur säkerställer en CIO/CISO/CSO att hyperautomation blir en integrerad del av patchhantering i en organisation? Dagens riskbaserade patchhantering kom in i bilden från 2018 och framåt. Ja, det är ett år efter WannaCry (2017). Medan riskanalys och patchintelligens idag kan automatiseras via en UEM-lösning, väntar organisationer på att ytterligare en storskalig attack ska gå över till hyperautomation? Vill de att Conti ska slå tungt? Ingen rätt? Vi måste hålla ett öga på hela UEM-utrymmet för utveckling och innovationer inom patchhantering. Och innovationer skulle vara nyckeln till att anta hyperautomation.
Den innovativa vägen till hyperautomatisk patchhantering kommer att börja med att bädda in fler kodbaserade säkerhetskontroller i programvara, inklusive säkerhets-, utvecklar- och policykoder. Samma kodbaserade kontroll kommer att gälla för patchar, exponering och sårbarheter. Enkelt uttryckt kommer patchhyperautomatisering att handla om inkluderande och inbäddad kodning.
Stänger den
Varianterna av Code Red och WannaCry kommer att fortsätta att storma attacker mot företagssäkerhet och RaaS-gäng som Conti kommer att fortsätta hitta sina vägar in i system. Icke desto mindre behöver och kommer framtiden alltid att ha "Några goda män".
Det enda sättet att försvara sig mot hotaktörer är att ligga steget före dem och följa med innovationsvågorna. Automatisering av skanning och analys av sårbarheter kommer att lägga grunden för hyperautomatiserad patchhantering. Utvecklingen av UEM kommer också att vara en nyckelfaktor för hyperautomatisering av patchhantering. Eftersom framtiden för patchning kan vara komplex måste IT- och cybersäkerhetsteam förenas för att göra övergången till hyperautomation verklighet, och enhetlig slutpunktshantering kommer att ha en viktig roll i framtiden.
