«Вторник Патчей»: 12 января Microsoft выпустит новые обновления для Windows 10

Смещение фокуса в сторону безопасности — вот что мы можем ожидать в первый «Вторник Патчей» 2021 года. 2020 год был не похож ни на один другой, но 2021 год тоже выглядит уникальным.

Год начался с продолжения расследования причин взлома программного обеспечения SolarWinds Orion. Многие прогнозы указывали на высокую вероятность еще одной крупной кибератаки в 2021 году, но никто не мог предвидеть данный тип атаки и ее влияние на индустрию. Данная атака привлекла внимание к проблемам безопасности и разработки ПО.

Атака была реализована с помощью трояна удаленного доступа, который был встроен в программное решение SolarWinds Orion. Данный тип атаки обычно называют «атака на цепь поставок» (supply chain attack), потому что вредоносное ПО добавляется и компилируется в надежный продукт от известной компании. После того, как скомпрометированное ПО устанавливалось на конечной точке, троян отправлял сообщение в удаленную сеть, а потом организовывался доступ к конечной точке. Злоумышленник удаленно мог читать и изменять файлы в скомпрометированной системе, не опасаясь обнаружения. Данный сценарий отличается от типичной атаки, когда хакер пытается обманным путем, с помощью фишинга и социальной инженерии, заставить жертву установить вредоносное ПО.

Киберпреступники, задействованные в атаке SolarWinds, имели гарантированное подключение ко всем управляемым продуктом системам, тогда как при фишинговых атаках злоумышленники получают доступ к случайной системе жертвы, которая установила вредоносное ПО. Как упоминалось ранее, атака SolarWinds была эффективно скрыта как часть надежного известного продукта, в то время как фишинговые атаки могут быть обнаружены различными методами, в том числе антивирусными программами.

В процессе расследования инцидента было установлено, что вредоносное ПО было добавлено в продукт SolarWinds еще в марте 2020 года и с тех пор было включено во все обновления продукта. По мере того, как клиенты обновляли свои системы новыми версиями SolarWinds Orion, они оставались уязвимыми для удаленного доступа и компрометации. Неудивительно, что на специализированных форумах по безопасности впоследствии появились интересные вопросы и обсуждения.

Инцидент с SolarWinds ставит под сомнение общие методы обеспечения безопасности при разработке ПО, принятые в индустрии, включающие такие процедуры, как установка исправлений для машин разработки, аутсорсинг разработки кода, контроль и понимание функциональности кода на фоне слияния компаний и текучести кадров, проверки кода и другие методы выявления проблем безопасности.

Последствия компрометации SolarWinds заставляют многие компании пересматривать и переориентировать внимание как на безопасность, так и на юридические аспекты процесса разработки программного обеспечения.

Смещение фокуса в сторону безопасности — вот что мы можем ожидать в первый «Вторник Патчей» 2021 года. В 2020 года мы увидели рекордное количество исправленных уязвимостей, и похоже данный тренд сохранится и в этом году, потому что компании будут сосредоточены на повышении безопасности своих продуктов.

• В январе Microsoft обычно выпускает немного релизов, поэтому стоит ожидать небольшое количество обновлений и исправленных уязвимостей. Помимо пакетов для операционных систем Windows 10, Windows 7 и Windows 8.1 будут выпущены обновления для Office, Microsoft 365 и серверов Sharepoint. Не забудьте также поискать последние обновления сервисного стека (SSU) — каждый месяц появляется несколько новых обновлений. Напомним, что для систем Windows 10, версия 2004 и новее, обновления сервисного стека включены в накопительные обновления.
• «Вторник Патчей» от 12 января 2021 года завершает первый год расширенных обновлений безопасности (ESU) для Windows 7 и Windows Server 2008. Microsoft заявила, что предоставит как минимум еще два года поддержки на платной основе.
• Adobe не предоставила предварительной информации о релизах, но в декабрьский «Вторник Патчей» компания выпустила обновления для Acrobat и Reader, а в январе можно ждать еще один раунд обновлений. Помните, что жизненный цикл Adobe Flash Player завершился. Удалите старые версии продукта. Для доступа к Flash-контенту можно использовать Flash Games Preservation Project, Internet Archive или расширение Ruffle.
• Apple выпустила обновления безопасности для macOS Big Sur 11 незадолго до праздников – 14 декабря. На этот раз ожидаются обновления безопасности для iCloud и iTunes для Windows.
• Google Chrome обновлен до версии 87.0.4280.141, в которой было исправлено 16 ошибок безопасности, 15 из которых получили высокий рейтинг опасности. Выход новых патчей на этой неделе маловероятен.
• На прошлой неделе Mozilla выпустила небольшое обновление безопасности для Firefox 84 и Firefox ESR 78. На этой неделе крупное обновление не стоит ждать.