Модул 5 · 5.1
Актуализации и остарял софтуер
Модул 5: Устройства, софтуер и мрежа · Време за четене: 10 минути
Цел на урока: След този урок ще можете да изградите политика за актуализации на операционни системи, приложения, плъгини, рутери и други устройства и да обясните какво означава „край на поддръжката“ и какво да правите тогава.
Основни понятия: уязвимост, пач, zero-day, автоматични актуализации, фърмуер, плъгин, инвентаризация, край на поддръжката (end of life), гранично устройство (edge device)
Актуализацията е ключалка, която поставяте допълнително
Софтуерът съдържа грешки. Някои грешки са само досадни (бутон, който не работи), други представляват уязвимост: грешка, чрез която нападател може да направи нещо непредвидено, например да влезе в системата без парола или да изпълни собствен код. Производителят решава това с пач, който стига до Вас под формата на актуализация.
Коварството е в последователността. Веднага щом излезе дадена актуализация, уязвимостта на практика става публично известна. Нападателите сравняват старата и новата версия, виждат какво е било поправено и изграждат атака въз основа на това. След това автоматично сканират целия интернет за устройства, които все още нямат актуализацията. Това е точно опортюнистичната атака от урок 1.1: те не търсят конкретно Вас, те търсят всеки, който изостава.
Zero-day е уязвимост, която вече се използва, преди да съществува пач за нея. Срещу това можете да направите малко, освен да следвате препоръките на производителя и да ограничите щетите (резервни копия, минимални права). Но огромната част от пробивите при малките предприятия се случват чрез уязвимости, за които актуализацията отдавна е била налична.
Бившият Digital Trust Center, сега част от нидерландския NCSC, установи през 2024 г. в своята проверка CyberVeilig Check, че над едно на всеки три малки предприятия (36%) не е имало включени автоматични актуализации на всички свои интернет устройства. Препоръката на нидерландския NCSC е проста: не чакайте с актуализирането и включвайте автоматичните актуализации, където е възможно.
Какво всъщност имате? Инвентаризацията
Не можете да актуализирате нещо, за което сте забравили. Повечето предприятия мислят за лаптопи и телефони, когато става дума за актуализации, но най-опасните устройства често са тихите:
| Вид | Примери | Как обикновено се актуализира |
|---|---|---|
| Компютри и телефони | Windows, macOS, Linux, Android, iOS | Автоматично, ако го включите и не отлагате безкрайно рестартирането |
| Програми и приложения | Браузър, офис пакет, четец на pdf, счетоводно приложение | Често автоматично; отделните програми понякога не |
| Уебсайт | CMS, плъгини, теми, версия на PHP | Частично автоматично; плъгините и темите често ръчно |
| Мрежово оборудване | Рутер, модем, Wi-Fi точки, защитна стена, VPN сървър | Фърмуер, често ръчно или чрез доставчика |
| Гранични устройства | NAS, мрежов принтер, IP камера, умен звънец, алармена система, касова система | Фърмуер, често ръчно, понякога никога |
| Облачни услуги | Поща, счетоводство, платформа за онлайн магазин | Доставчикът актуализира; Вие управлявате настройките |
Устройствата, които са директно свързани с интернет и достъпни отвън (рутер, VPN сървър, NAS с отдалечен достъп, камера), наричаме гранични устройства (edge devices). Те са най-честата цел, защото нападателят може да достигне до тях без клик от служител. Анонимизиран пример: счетоводна кантора имала включен NAS с „достъп отвсякъде“. Производителят издал актуализация за сигурност, кантората не я инсталирала и няколко седмици по-късно всички файлове на NAS били криптирани. Никой не бил кликнал върху нищо.
Политика за актуализации в пет правила
Политиката не трябва да бъде документ от десет страници. За малко предприятие работят следните правила:
- Автоматично, където е възможно. Включете автоматични актуализации за операционни системи, браузъри, приложения и, където е възможно, за CMS и плъгини, както и за фърмуера на рутера и NAS.
- Рестартирането е част от процеса. Много актуализации заработват едва след рестартиране. Договорете се всеки да рестартира поне веднъж седмично и не отлагайте рестарта със седмици.
- Граничните устройства са приоритет. За устройства, достъпни отвън: проверявайте сами за актуализации, например веднъж месечно, и инсталирайте актуализация за сигурност в рамките на няколко дни. Ако производителят или нидерландският NCSC предупреждава за активна злоупотреба, направете го в същия ден.
- Един отговорник за всяко устройство. В инвентаризацията за всеки ред е посочено кой го актуализира: Вие самите, колега, Вашата ИТ фирма или Вашият уеб разработчик. Ако никой не е посочен, никой не го прави.
- Това, което вече не е нужно, се премахва. Плъгин, който не използвате, стар лаптоп в шкафа, който все още се свързва с мрежата, тестов сайт на поддомейн: премахнете го, тогава не се налага и да го актуализирате.
Съмнявате се дали дадена актуализация ще развали нещо? Първо направете резервно копие (модул 6) и тогава актуализирайте. Неинсталирането на актуализация от страх пред проблеми почти винаги е по-големият риск.
Край на поддръжката: когато вече няма актуализации
Всяка версия на софтуер или фърмуер има крайна дата. След нея производителят вече не издава актуализации за сигурност. Това се нарича край на поддръжката (end of life, EOL). Устройството продължава да работи нормално и точно в това е коварството: никой не забелязва нищо, докато всяка нова уязвимост остава завинаги отворена.
Примери:
- Windows 10. Обичайната поддръжка приключи на 14 октомври 2025 г. След това има само актуализации за сигурност чрез програмата ESU на Microsoft, с крайни дати, които се различават според случая. Проверете на сайта на Microsoft какво важи за Вашите устройства и планирайте прехода към поддържана версия или друго устройство.
- PHP и други езици за уебсайтове. Всяка версия на PHP получава актуализации за сигурност в продължение на няколко години. Ако Вашият уебсайт работи на стара версия, сървърът може да е сигурен, но сайтът Ви не е.
- Рутери, NAS и камери. Евтините устройства понякога получават актуализации на фърмуера само за няколко години, понякога никога. Нидерландският NCSC препоръчва преди покупка да проверите колко дълго производителят поддържа устройството и да замените устройствата, които вече не получават актуализации.
- Плъгини и теми. Плъгин, чийто производител е спрял дейност, вече не получава поправки. Потърсете заместител.
Ако не можете да замените нещо веднага, ограничете риска: отстранете го от интернет, поставете го в отделна мрежа (урок 5.3) и не му давайте достъп до важни данни.
Безопасно актуализиране: само по официалния път
Нападателите злоупотребяват и с думата „актуализация“. Изскачащ прозорец на уебсайт „Вашият браузър е остарял, изтеглете актуализацията тук“ или имейл „инсталирайте актуализацията за сигурност в прикачения файл“ почти винаги е злонамерен софтуер. Истинските актуализации идват чрез операционната система, магазина за приложения, функцията за актуализация в самата програма или сайта на производителя. Никога чрез връзка в имейл или изскачащ прозорец на произволен сайт.
На практика: ето как изглежда
При хостинг пакет с DirectAdmin, какъвто е при WebOké, избирате версията на PHP за Вашия сайт чрез Select PHP version. Ако искате първо резервно копие, преди да актуализирате сайта или плъгините си, това може да стане например в Installatron с бутона Back-up, след което при проблеми връщате предишната версия. При други доставчици работи по подобен начин: потърсете „версия на PHP“ и функцията за резервно копие или staging на Вашата CMS.
За компютри и телефони функцията за актуализация се намира в настройките на операционната система. За Вашия рутер проверете в административната страница (адресът е посочен в ръководството или на стикера на рутера) или в приложението на Вашия доставчик.
Обобщение
- Актуализацията затваря известна уязвимост; след нейното излизане нападателите сканират интернет за тези, които изостават.
- Направете инвентаризация, включително на рутер, NAS, принтер, камери, уебсайт и плъгини, с отговорник за всеки ред.
- Актуализирайте автоматично, където е възможно, рестартирайте редовно, граничните устройства са с приоритет и трябва да се актуализират бързо.
- Край на поддръжката означава: няма повече актуализации за сигурност. Заменете или изолирайте и ограничете достъпа.
- Актуализациите само по официалния път, никога чрез изскачащ прозорец или имейл.
Тест (quiz)
Задача
Задача D5.1: Вашата инвентаризация на актуализациите. Направете списък на всичките си устройства и софтуер, включително рутер, NAS, принтер, камери, уебсайт и плъгини. Отбележете за всеки ред версията, дали автоматичните актуализации са включени, кой е отговорникът и дали все още се поддържа. Актуализирайте това, което изостава, и отговорете на въпросите за размисъл.
Задача D5.1: Вашата инвентаризация на актуализациите
Подходете по следния начин: (1) Направете таблица с колоните: устройство или софтуер, вид (компютър, телефон, програма, уебсайт, мрежа, периферно устройство, облачна услуга), версия, автоматични актуализации (да/не/не може), собственик (кой работи с него), все още поддържано (да/не/неизвестно), достъпно отвън (да/не). Шаблон за изтегляне (csv или електронна таблица) има при задачата. (2) Обходете офиса си и работните места у дома. Не забравяйте: рутер и модем, wifi точки, NAS, мрежов принтер, IP камери, умен звънец или аларма, касова система, старият лаптоп в шкафа, Вашия уебсайт с CMS, плъгини и теми, PHP версията на Вашия хостинг пакет. (3) За всяко устройство проверете на сайта на производителя докога ще получава актуализации. За Windows 10: вижте страницата за жизнения цикъл на Microsoft, за да разберете какво важи за Вашите устройства. (4) Включете автоматичните актуализации, където е възможно. Инсталирайте чакащите актуализации, първо на периферните устройства. След това рестартирайте. (5) Отбележете всичко, което вече не получава актуализации, и определете за всеки ред: замяна (с дата), изключване от интернет, или отделна мрежа (урок 5.3).
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Препоръчано четиво
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.
- Ръководство за DirectAdmin 14.1: Избор на версия на PHP (Select PHP version)
- Ръководство за DirectAdmin 13.6: Създаване и възстановяване на резервни копия в Installatron
- Нидерландски NCSC, Едно на всеки три малки предприятия не прилага автоматични актуализации: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- Нидерландски NCSC, Организирайте управлението на пачове: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- Нидерландски NCSC, Основни мерки за сигурност на интелигентните устройства: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, жизнен цикъл на Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro