Vaš firewall i VPN su ulazna vrata: napadi ciljaju ono što je izloženo internetu

Napadač u toj priči ne bira vašu firmu. On skenira ceo internet, automatski, non stop, i traži uređaje sa poznatim ranjivostima. Kada nađe pogodak, svejedno mu je da li iza njega stoji banka ili knjigovodstvena agencija sa osam zaposlenih. Meta niste vi. Meta je sve što viri napolje i kasni sa zakrpama.

Šta znači biti izložen internetu

Svaki servis kome možete pristupiti od kuće bez posebne zaštite vidljiv je i napadaču. Kod tipične male i srednje firme to su:

• Firewall ili ruter sa upravljačkim interfejsom dostupnim spolja
• VPN pristup za rad od kuće
• Server elektronske pošte ili stari fajl server u kancelariji
• Interne aplikacije koje su "privremeno" otvorene ka internetu i tako ostale
• Kamere, štampači i NAS uređaji sa javnom adresom

Svaka od ovih tačaka je ulaz. Ne potencijalni ulaz nekad u budućnosti, nego adresa koju automatizovani skeneri obilaze svakog dana.

Ironija: bezbednosni uređaji kao mesto upada

Najneugodnija istina poslednjih godina je da se ozbiljni upadi često dešavaju upravo kroz opremu koja je kupljena radi zaštite. Firewall i VPN gateway su po prirodi posla izloženi internetu, i kada se u njima pronađe ranjivost, napadači je iskoriste brže nego što većina firmi stigne da instalira zakrpu.

Ovih dana to gledamo uživo. Microsoft je objavio zakrpu za kritičnu ranjivost SharePoint servera, označenu kao CVE-2026-58644 sa CVSS ocenom 9.8, koja omogućava izvršavanje tuđeg koda na serveru. Američka agencija CISA potvrdila je da se ranjivost aktivno koristi u napadima na SharePoint instance izložene internetu i naložila državnim institucijama hitno krpljenje, uz slične rokove za dve kritične ranjivosti Fortinet uređaja. Istraživači istovremeno upozoravaju na baze ukradenih VPN pristupnih podataka koje kruže među napadačima.

Poruka iz tih vesti nije "SharePoint je loš" ili "Fortinet je loš". Poruka je da ranjivosti u izloženoj opremi izlaze stalno, kod svih proizvođača, i da presudno nije koji uređaj imate, nego koliko brzo stižete zakrpe i da li uopšte znate šta vam je izloženo.

Zašto male firme ovde najviše kasne

Velike organizacije imaju timove koji prate bezbednosna obaveštenja i rokove za krpljenje. Pa opet, i njima regulatori moraju da nameću rokove. Mala firma nema nikoga ko to prati. Firewall je podešen pre tri godine, "radi", i niko ga ne dira. VPN je uključio bivši administrator. Stari server u ćošku drži jednu aplikaciju bez koje se ne može, a operativni sistem na njemu odavno ne dobija ispravke.

Tako nastaje najopasnija kombinacija: uređaj izložen internetu, sa poznatom ranjivošću, bez ikoga ko zna da ranjivost postoji. Napadaču za takav ulaz ne treba ni phishing mejl ni saradnja zaposlenog. Treba mu samo skener i strpljenje, a ima i jedno i drugo.

Kako se ova vrata zatvaraju

Dobra vest je da ovo nije pitanje budžeta nego discipline. Koraci su poznati i izvodljivi za svaku firmu:

• Popis izloženosti: tačna lista svega što je iz vaše mreže vidljivo sa interneta. Bez tog popisa sve ostalo je nagađanje.
• Gašenje nepotrebnog: servisi koji ne moraju biti javni sklanjaju se iza VPN-a ili se isključuju. Najbezbedniji ulaz je onaj koji ne postoji.
• Redovno krpljenje sa rokom: zakrpe za izložene uređaje ne čekaju "kad bude vremena". Kritične ispravke imaju rok u danima, ne u mesecima.
• MFA na svemu što je spolja dostupno: VPN i administratorski pristup bez druge potvrde identiteta su otvorena vrata, jer ukradene lozinke već kruže.
• Zamena opreme bez podrške: uređaj koji više ne dobija ispravke od proizvođača ne sme ostati izložen internetu, ma koliko "još uvek radio".
• Spoljni sken i nadzor: povremena provera iz ugla napadača, plus praćenje koje javi kada se nešto promeni.

Ovo je posao koji se radi stalno, ne jednom

Popis izloženosti napravljen prošle godine ne vredi mnogo ako je u međuvremenu neko otvorio novi port "na brzinu". Zakrpa instalirana danas ne pokriva ranjivost koja izlazi sledećeg meseca. Zato ovo nije projekat sa početkom i krajem, nego proces: nadzor, obaveštenja proizvođača, rokovi za krpljenje i dokumentovana odgovornost, tačno se zna ko šta radi i dokle.

Upravo to je razlika između IT podrške koja se javlja kad nešto pukne i upravljanog IT sistema. U prvom modelu za ranjivost saznate kada je neko već iskoristi. U drugom je zakrpa instalirana pre nego što je vaša firma ikome bila zanimljiva. Ako ne znate šta je iz vaše mreže trenutno vidljivo sa interneta, to je prvo pitanje koje treba da postavite, sebi ili nama.