Máte 974 problémů. Tohle jsou ty 3, na které skutečně záleží
To číslo by vás mělo děsit (ale ne ze důvodu, který vás napadá)
Dejme tomu číslo: 974. Přesně tolik bezpečnostních chyb Microsoft opravil během jediného zářijového dne. přes sto z nich bylo označeno jako kritických. Firma letos celkem zalátala víc než 2700 zranitelností — a ještě není ani konec roku.
Tady je ale to, co nenechává v klidu spát mě: dvě z těch zářijových chyb už před tím, než vůbec existovaly záplaty, zneužívali útočníci. A co ještě horší — ani jedna nebyla označena jako kritická. Obě dostaly pouze štítek „důležité".
Jedna se schovávala v komponentě Windows Update Stack. Druhá seděla v něčem, co se jmenuje Advanced Local Procedure Call. Obě umožňovaly útočníkovi, který už měl přístup k vašemu počítači, povýšit se na admina s úplnými pravomocemi. Kdybyste se spolehli na Microsoftí hodnocení závažnosti, obě byste nejspíš odsunuli na později.
Takže jaké je to skutečné ponaučení? Nejde o to, jestli zvládnete absorbovat tisíc záplat měsíčně. Většina malých firem nezvládne — buďme k sobě upřímní. Otázka je jednodušší a zároveň těžší: Víte vůbec, co všechno máte?
Proč najednou plní inbox výzvy k aktualizacím
Tady je něco, co mě překvapilo, když jsem o tom poprvé četl. Software není horší. Ty chyby nevznikly kvůli tomu, že by programátoři zlenivěli. Spousta z nich seděla v kódu roky — některé dokonce desítky let.
Co se změnilo? Umělá inteligence.
Microsoft, Google, Adobe, Cisco, Mozilla i Oracle používají AI nástroje k tomu, aby procházely miliony řádků kódu a hledaly bezpečnostní díry. A nacházejí je tempem, které lidským researcherům nikdy nedá sbohem. Googlovský AI pipeline sám opravil přes tisíc bezpečnostních bugů během dvou verzí Chromu — víc než za předchozí dva roky dohromady.
Dustin Childs ze Zero Day Initiative to nazývá „novým normálem" — a upřímně řečeno, myslím, že má pravdu. Nečekejte, že tato čísla klesnou zpátky na to, co jsme považovali za normální ještě před pár lety.
Je to špatná zpráva? Většinou ne. Více děr se nachází a opravuje je správnou stranou — to je výhra. Příliv záplat zatím nekoreluje s přílivem útoků — aspoň ne teď. Ale tady je háček: když už se něco zneužije, okno mezi zveřejněním zranitelnosti a začátkem jejího aktivního zneužívání se neustále zkracuje. Dřív jste měli čas záplatu nasadit. Teď stěží stačí dopít kávu.
Problém s viditelností, o kterém nikdo nemluví
Dovolte mi to rozebrat. Je úterý záplatový den (nebo kterýkoli den, kdy se Microsoft rozhodne pustit svůj měsíční balíček). Otevřete konzoli pro správu a vidíte padesát aktualizací. Možná sto. Možná víc. Jaká je vaše strategie?
Když jste jako většina malých firem, pravděpodobně začnete těmi kritickými, pak pracujete dál a doufáte v to nejlepší. Možná jste všechno nastavili na automatickou aktualizaci a říkáte si, že je to vyřešené.
Tady je problém s tímto přístupem: kritická neznamená „určitě vám ublíží" a důležitá neznamená „je jedno jak to dopadne".
Slabost DNS ve Windows Serveru je katastrofální, pokud provozujete Windows Server. Naprosto irelevantní, pokud ne. Ale když nevíte, jestli vůbec nějaké Windows Servery máte — a upřímně, kolik majitelů malých firem dokáže odpovědět bez toho, aby se šli podívat — hrajete v podstatě bezpečnostní whack-a-mole poslepu.
Většina malých firem, se kterými mluvím, nemá spolehlivý přehled o tom, co vlastně vlastní. Kolik laptopů je aktuálně v oběhu? Které z nich ještě dostávají bezpečnostní aktualizace a které jedou na operačních systémech, které nikdo nepodporuje od roku 2017? Jaký serverový software běží a kdy se ho někdo naposledy dotkl? Nejsou někde zapomenuté staré telefony s přístupem k firemnímu emailu?
Když bylo záplat málo, hrubé pokrytí se dalo přežít. Mohli jste se spolehnout na odhady, protože čísla byla natolik malá, že býthrubě aktuální bylo skoro totéž co být skutečně aktuální.
Když přijde tisíc oprav za měsíc, odhadování přestává fungovat. Nemůžete třídit jehlu v kupě sena, kterou jste nikdy nezměřili.
Inventura, o které se nikomu nechce mluvit
Tady je to nezajímavé řešení celého tohohle marasmu: napište seznam.
Vím, vím. Není to zrovna kyberbezpečnostní ekvivalent superhrdinského pláště. Ale poslouchejte.
Soupis majetku zní nudně — dokud si neuvědomíte, co pro vás může udělat. Přemění nezvladatelné číslo (974 záplat tento měsíc!) v malé číslo (tři záplaty, které se týkají vaší skutečné konfigurace). Každé další bezpečnostní rozhodnutí zlevní, protože už nehádáte.
Nepotřebujete žádný sofistikovaný nástroj. Začněte jednoduše. Jaká zařízení se připojují k vaší síti? Jaký software na nich běží? Co se skutečně používá versus co se jen nainstalovalo a zapomnělo? Když říkám „jednoduše", myslím to vážně. Tabulka stačí. Zdokumentovaná obchůzka kanceláře stačí. Důležité je, abyste to skutečně udělali — a aktualizovali, když se něco změní.
Firmy, které si s novou realitou poradí, nejsou ty, co nejvíc chrlí záplaty. Jsou to ty, které dokážou odpovědět na základní otázku: Co provozujeme a kde to sedí?
Vaše AI nástroje jsou teď taky součástí útočné plochy
Tady je něco, o čem bych vsadil, že jste nepřemýšleli: vaše AI asistenti jsou software. Software má chyby. Chyby se dají zneužít.
Pomyslete na to, k čemu některé z těchto nástrojů mají přístup. Copilot, který vidí váš inbox, soubory, zákaznickou databázi — to je úplně jiný bezpečnostní profil než tabulkový procesor. Tyto nástroje můžou číst vaše maily, psát odpovědi vaším jménem a čím dál častěji provádět akce na základě toho, co najdou.
Malé firmy přijaly AI nástroje téměř organicky. Někdo nainstaloval užitečný prohlížečový doplněk. Někdo připojil meeting note-taker k firemnímu kalendáři. Někdo dal asistentovi přístup ke sdílenému disku, aby ušetřil odpoledne práce.
Každé z těchto rozhodnutí dávalo v tu chvíli naprostý smysl.
Co zaostávalo, bylo jakékoli zaznamenání toho, že se to stalo. Zeptejte se většiny majitelů firem, jaké AI nástroje používají a k jakým datům mají přístup — a čeká vás velmi dlouhá pauza na přemýšlení.
To je shadow AI — a je to ta mezera ve viditelnosti s vaším jménem na vizitce.
Řešení není panikařit a AI nástroje zakázat — některé jsou skutečně užitečné a vaše konkurence je nejspíš taky používá. Řešení je přidat je do té nudné tabulky, o které jsme mluvili. Jaké nástroje jsou propojené s čím? Co vidí?
Co to znamená pro vás
Dovolte mi to všechno shrnout něčím praktickým.
Příliv záplat nezmizí. AI-asistované odhalování zranitelností tu zůstane — a to je většinou dobrá zpráva. Více děr se zaceluje než kdy dřív. Ale mění to pravidla hry pro to, jak musejí malé firmy přistupovat k bezpečnosti.
Nemůžete se prochrápat přes to množstvím. Nemůžete číst každý bezpečnostní bulletin a rozhodovat se o všech informovaně. Den nemá tolik hodin a upřímně — většina z nás nejsou bezpečnostní researcheři.
Co ale můžete dělat, je brát vážně poznání toho, co vlastníte. Vybudujte ten soupis majetku. Nemusí být složitý. Musí prostě existovat.
Jakmile budete vědět, co provozujete, najednou se ten záplavový proud změní ve zvládnutelný potok. Můžete ignorovat zranitelnosti, které se vás netýkají, a skutečně se soustředit na ty, které ano.
Nemůžete záplatovat to, co nevidíte. Je to ta nejstarší rada v kyberbezpečnosti — a nějak se stalo, že nikdy nebyla aktuálnější než právě teď.
Kupy sena jsou čím dál větší. A to znamená, že sázky za to vědět, kde jsou vaše jehly, nikdy nebyly vyšší.
Štítky: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']