Zero-Day-уязвимости считаются одной из самых опасных категорий киберугроз, поскольку злоумышленники начинают использовать их еще до появления официального исправления. В такой ситуации нельзя просто установить обновление и закрыть проблему — сначала необходимо вовремя заметить признаки атаки, ограничить ее развитие и правильно провести расследование. Кибер Медиа разбирает, как работают уязвимости нулевого дня, по каким признакам можно заподозрить их эксплуатацию и что делать после компрометации, чтобы избежать повторного инцидента.

Содержание

Что такое уязвимость нулевого дня и почему она опасна

Уязвимость нулевого дня — это ошибка в программном обеспечении, о которой разработчик еще не знает или не успел выпустить исправление. Пока патча нет, злоумышленники могут использовать такую брешь для атак, а средства защиты — не распознавать эксплуатацию из-за отсутствия сигнатур и правил обнаружения.

Главное отличие Zero-Day от обычной уязвимости заключается во времени. Для известных уязвимостей уже существуют обновления, рекомендации по защите и, как правило, механизмы обнаружения. В случае с Zero-Day защитникам приходится реагировать практически вслепую, опираясь на поведенческий анализ, телеметрию и признаки компрометации.

Типичный сценарий выглядит так: атакующий находит неизвестную ошибку, разрабатывает эксплойт и использует его для получения первоначального доступа. После проникновения в систему он может повысить привилегии, закрепиться в инфраструктуре, перемещаться между узлами сети и похищать данные. Только после обнаружения проблемы производитель выпускает патч, а поставщики средств защиты начинают добавлять сигнатуры и правила детектирования.

Чаще всего целью становятся продукты, компрометация которых открывает путь к другим системам или большому количеству устройств:

  • операционные системы (Windows, Linux, macOS);
  • браузеры и их движки;
  • VPN-шлюзы и средства удаленного доступа;
  • серверное и почтовое ПО;
  • гипервизоры и платформы виртуализации;
  • сетевые устройства (маршрутизаторы, межсетевые экраны);
  • облачные сервисы и корпоративные приложения.

Для ИБ-специалистов Zero-Day — это прежде всего проверка зрелости процессов безопасности. Когда патча еще нет, на первый план выходят непрерывный мониторинг, контроль аномалий и готовность быстро локализовать атаку, не дожидаясь официального исправления.

Как понять, что система скомпрометирована

Главная сложность Zero-Day-атак заключается в том, что они редко оставляют очевидные следы. Пока производитель не знает об уязвимости, антивирусы и другие средства защиты могут не распознавать эксплойт как вредоносный. Поэтому ИБ-специалистам приходится искать не саму уязвимость, а последствия ее эксплуатации — аномалии в поведении системы и признаки компрометации.

Заподозрить атаку стоит, если наблюдаются один или несколько из следующих признаков:

  • появление неизвестных процессов, служб или задач в планировщике;
  • необычные исходящие соединения с внешними IP-адресами;
  • попытки повышения привилегий или использование нетипичных учетных записей;
  • изменения системных файлов, реестра или конфигурации без санкционированных действий администратора;
  • всплески сетевой активности, не характерные для конкретного узла;
  • отключение журналирования, средств защиты или изменение их настроек;
  • запуск подозрительных команд через PowerShell, WMI, SSH или другие инструменты удаленного администрирования.

При этом ни один из этих признаков сам по себе не доказывает эксплуатацию Zero-Day-уязвимости. Многие из них могут быть следствием ошибок администрирования, легитимной активности пользователей или других типов атак. Поэтому выводы всегда делают на основе совокупности событий, сопоставляя данные из журналов, сетевой телеметрии и средств мониторинга.

Олег Скулкин
Руководитель BI.ZONE Threat Intelligence

Важно понимать, что эксплойты, пусть и для уязвимостей нулевого дня, — это инструменты в руках злоумышленника, а никакая не магия. Они могут позволить атакующему решить ту или иную задачу: получить первоначальный доступ, повысить привилегии, продвинуться по сети и т. п. Тем не менее вы едва ли встретите атаку, которая целиком будет состоять из последовательности эксплуатации таких уязвимостей. Это означает, что, в зависимости от уязвимости, фокусироваться стоит на том, что происходит до и после ее эксплуатации. Например, создание файлов в подозрительных директориях, коммуникации с подозрительной сетевой инфраструктурой, запуск командных интерпретаторов от нетипичных процессов и т. п.

При расследовании подобных инцидентов особую ценность приобретают индикаторы компрометации (IoC) — артефакты, которые свидетельствуют о том, что злоумышленник уже выполнил определенные действия в системе. Это могут быть хэши файлов, IP-адреса, доменные имена, ключи реестра, следы выполнения процессов, изменения в журналах событий или необычные сетевые соединения. Однако в случае с Zero-Day классические IoC появляются далеко не всегда, поскольку инфраструктура атаки может быть уникальной и ранее нигде не встречалась.

Поэтому современные SOC все чаще делают ставку на поведенческие индикаторы (IoA). Например, если рабочая станция неожиданно начинает выгружать учетные данные, выполнять нетипичные команды или устанавливать соединения с неизвестными внешними узлами, это повод начать расследование даже при отсутствии известных сигнатур.

Антон Прокофьев
Директор центра разработки решений по контролю безопасности ПО Solar appScreener
Модуль SCS (Supply Chain Security) позволяет выявить потенциальные проблемы, например, если автор библиотеки внедрил закладку в другую библиотеку. Если он также является автором этой библиотеки, это уже вызывает подозрения и может указывать на прямой риск. Также мы можем находить прочие аномальные активности в системах, которые могут указывать на попытки эксплуатации уязвимостей.

При подозрении на компрометацию важно не ограничиваться проверкой одного компьютера. Если злоумышленнику удалось получить первоначальный доступ, он, вероятно, уже пытался закрепиться в инфраструктуре и распространиться на другие узлы. Поэтому анализ должен охватывать журналы событий, телеметрию EDR/XDR, данные SIEM, сетевые логи и активность учетных записей. Именно корреляция событий из разных источников чаще всего позволяет выявить атаку еще до появления официальной информации об эксплуатируемой уязвимости.

Как защититься до выхода патча

Если для Zero-Day-уязвимости еще не выпущено исправление, это не означает, что система остается беззащитной. Задача ИБ-специалистов в этот период — максимально сократить поверхность атаки, ограничить возможные векторы эксплуатации и усилить мониторинг. Даже если полностью исключить риск нельзя, выигранное время может оказаться критически важным.

Первым делом стоит определить, используются ли в инфраструктуре затронутые продукты, доступны ли они из интернета и можно ли временно ограничить их работу без ущерба для бизнеса. Для этого можно сверить версии установленного ПО с информацией в бюллетенях безопасности производителя, проверить список затронутых версий и определить, доступны ли уязвимые сервисы извне. Чем раньше будет проведена такая оценка, тем выше шансы предотвратить успешную эксплуатацию уязвимости.

До выхода официального патча обычно применяют следующие меры:

  • виртуальный патчинг с помощью IPS, WAF или других средств защиты;
  • использование EDR/XDR для обнаружения попыток эксплуатации и быстрого реагирования;
  • ограничение доступа к уязвимой системе через ACL, VPN или межсетевые экраны.

Набор мер зависит от характера уязвимости и архитектуры инфраструктуры. Например, если проблема обнаружена в веб-приложении, основной акцент обычно делают на WAF и виртуальном патчинге. Если же уязвимость затрагивает сервис удаленного доступа, эффективнее временно ограничить доступ к нему или изолировать его от внешней сети.

Владислав Шелепов
Аналитик угроз GSOC компании «Газинформсервис»
До выхода исправлений надо ограничить путь атакующего к уязвимому сервису. Если сервис не должен быть доступен из интернета, его лучше закрыть с внешней стороны; если доступ нужен администраторам или партнерам — оставить вход через настроенные шлюзы по списку разрешенных IP-адресов. Если проблема в отдельном модуле или функции, желательно временно их отключить.

WAF и IDS/IPS (СОВ) помогают выиграть время, когда уже есть понимание примерного вида вредного запроса. Еще одна эффективная мера — сегментация. Если атакующий вошел через внешний сервис, он не должен сразу видеть и иметь доступ к домену, базам данных и файловым хранилищам.

Не менее важно усилить наблюдение за инфраструктурой. Пока официального исправления нет, вероятность успешной эксплуатации остается высокой, поэтому стоит увеличить глубину журналирования, настроить дополнительные правила корреляции в SIEM и оперативно проверять любые нетипичные события. На этом этапе скорость обнаружения зачастую важнее, чем попытки полностью исключить риск.

Артур Гильмутдинов
Системный архитектор ГК «Умные решения»
Высокую эффективность также демонстрируют сегментация сети, применение принципа минимальных привилегий, ограничение доступа к критическим ресурсам и использование многофакторной аутентификации. Даже если злоумышленнику удастся воспользоваться уязвимостью, такие меры существенно затрудняют развитие атаки внутри инфраструктуры.

Отдельно стоит отметить возможности современных средств защиты конечных точек и сетевого мониторинга. Поведенческий анализ, контроль запуска приложений, технологии изоляции процессов и оперативное обновление правил обнаружения позволяют существенно сократить окно риска до выхода официального патча.

В последние годы особую роль начинает играть искусственный интеллект, который помогает быстрее выявлять аномалии и формировать временные сценарии обнаружения новых угроз на основе косвенных признаков атаки.

Следует помнить, что все перечисленные меры носят временный характер. После выхода официального исправления необходимо как можно быстрее протестировать его, установить на затронутые системы и убедиться, что временные ограничения можно безопасно снять без снижения уровня защиты.

Что делать, если Zero-Day уже использовали

Если есть признаки успешной эксплуатации Zero-Day-уязвимости, главное — не усугубить ситуацию. Поспешная перезагрузка сервера, удаление подозрительных файлов или установка патча до начала расследования могут привести к потере важных цифровых следов.

Конкретная последовательность действий может различаться в зависимости от инфраструктуры, характера атаки и внутренних регламентов организации. Однако практически все специалисты сходятся во мнении, что сохранение доказательной базы должно быть одним из приоритетов, поскольку утраченные артефакты невозможно восстановить позже.

Константин Янсон
Ведущий системный архитектор ICL Services

Каждое действие по нейтрализации атаки разрушает артефакты. Сбор доказательств, скорость реагирования и блокировки атаки должны быть сбалансированы, так как слишком долгий поиск «доказательств» и уведомление атакующего своими действиями, может привести к разрушению атакуемой системы.

В приоритетном порядке, до изоляции хоста, следует снять дамп оперативной памяти, так как большинство действий по изоляции приведет к потере важных артефактов, таких как активные сетевые соединения, запущенные процессы, копии выполнимых файлов и др.

В общем виде рекомендации по сбору артефактов сводятся к приоритизации — следует двигаться от более изменчивых к менее изменчивым:

1. Регистры, кэш, оперативная память.
2. Таблица маршрутизации, ARP-кэш, таблица процессов, статистика ядра.
3. Временные файловые системы.
4. Диск.
5. Данные удаленного сбора событий и мониторинга, относящиеся к рассматриваемой системе.
6. Физическая конфигурация, сетевая топология.
7. Архивные носители.

После локализации инцидента важно полностью удалить последствия компрометации. Для этого недостаточно удалить обнаруженные вредоносные файлы или установить патч. Необходимо проверить систему на наличие механизмов закрепления, удалить несанкционированные службы и задачи, сменить скомпрометированные учетные данные, установить официальное исправление и выполнить повторную проверку инфраструктуры. Если невозможно гарантировать целостность системы, безопаснее восстановить ее из доверенной резервной копии.

Только после этого стоит убедиться, что злоумышленник не сохранил доступ к инфраструктуре. Для этого повторно анализируют журналы событий, телеметрию EDR/XDR и активность учетных записей.

Какие ошибки допускают при устранении последствий

Реагирование на Zero-Day-инцидент — это всегда баланс между скоростью и аккуратностью. С одной стороны, необходимо как можно быстрее остановить атаку. С другой — любое необдуманное действие может уничтожить цифровые следы, исказить картину произошедшего или оставить злоумышленнику возможность повторно получить доступ к инфраструктуре.

Особенно сложно действовать в ситуации, когда причина компрометации еще не до конца понятна. Специалисты одновременно пытаются локализовать инцидент, восстановить работоспособность сервисов и собрать информацию для расследования. Именно на этом этапе чаще всего принимаются решения, которые впоследствии усложняют анализ атаки или увеличивают ущерб.

Иван Бурмистров
Пресейл-инженер UDV Group
Самые частые фатальные ошибки:

- Преждевременное выключение питания. Инженеры в панике выключают зараженный сервер, чтобы остановить атаку. Это приводит к потере данных в оперативной памяти и лишает возможности понять, как именно произошло проникновение.

- Восстановление из «грязного» бэкапа. Если бэкап был создан после проникновения злоумышленника, восстановление из него может вернуть злоумышленника обратно в систему. В случае Zero-Day нельзя «слепо» доверять самым свежим бэкапам.

- Игнорирование резервных копий с защитой от изменений. Если бэкапы хранятся на доступных для записи носителях в той же сети, что и атакованные системы, злоумышленник может их зашифровать или удалить вместе с остальными данными.

- Включение систем без полной смены паролей. Заменить только вредоносный файл недостаточно. Нужно сменить пароли от всех учётных записей с высокими привилегиями.

Даже после локализации инцидента работу нельзя считать завершенной. Важно убедиться, что устранены не только последствия, но и причина компрометации: проверены все потенциально затронутые узлы, удалены механизмы закрепления, обновлены учетные данные и пересмотрены меры защиты. В противном случае злоумышленник может сохранить доступ к инфраструктуре или повторно использовать аналогичный вектор атаки.

Федор Скворцов
Руководитель BI.ZONE DFIR

Самая частая и критическая ошибка — недорасследование. А именно ложное предположение, что вредоносная активность ограничена тем хостом, на котором была обнаружена эксплуатация уязвимости. Компания фиксирует факт компрометации уязвимости системы, устраняет его — патчит, переустанавливает, меняет учетные данные — и считает инцидент закрытым.

На практике уязвимый хост часто служит лишь точкой входа. Получив первоначальный доступ через 0-day, атакующий, как правило, не останавливается. Он закрепляется, продвигается дальше по инфраструктуре и может успеть оказаться в совершенно других системах, прежде чем активность будет замечена. Если расследование охватывает только исходную точку компрометации, все дальнейшие шаги атакующего остаются незамеченными, а значит, и закрепления, оставленные им в других частях инфраструктуры.

Именно поэтому необходимо восстановить полную хронологию, куда именно смог продвинуться атакующий, какие учетные данные были скомпрометированы и какие закрепления оставлены за пределами первоначальной точки входа. Только после такой проверки можно говорить о завершении инцидента.

Итогом любого инцидента должны стать не только восстановленные системы, но и выводы, которые помогут усилить защиту. Анализ произошедшего, обновление процедур реагирования и корректировка настроек средств безопасности снижают вероятность того, что аналогичная атака окажется успешной в будущем.

Как снизить риск Zero-Day-атак в будущем

Полностью защититься от Zero-Day-уязвимостей нельзя: невозможно заранее устранить проблему, о существовании которой разработчик еще не знает. Однако можно существенно снизить вероятность успешной эксплуатации и ограничить последствия даже в случае компрометации.

Основа такой защиты — не отдельное средство безопасности, а комплексный подход. В него входят:

  • регулярное управление уязвимостями и своевременная установка обновлений сразу после их выхода;
  • принцип минимальных привилегий, который ограничивает возможности злоумышленника после получения первоначального доступа;
  • непрерывный мониторинг событий безопасности с использованием SIEM, EDR/XDR и других средств обнаружения;
  • резервное копирование критически важных данных и регулярная проверка возможности их восстановления;
  • контроль приложений и запуск только доверенного программного обеспечения, чтобы снизить риск выполнения вредоносного кода.

Zero-Day-атаки останутся одной из самых сложных угроз для специалистов по информационной безопасности. Но на практике успех злоумышленников чаще определяется не самой уязвимостью, а тем, насколько быстро организация обнаруживает аномальную активность, локализует инцидент и выстраивает процессы реагирования. Чем выше зрелость этих процессов, тем меньше шансов, что неизвестная уязвимость приведет к серьезным последствиям для инфраструктуры.