Aktualizácie a zastaraný softvér

Modul 5: Zariadenia, softvér a sieť · Čas čítania: 10 minút

Cieľ lekcie: Po tejto lekcii dokážete zostaviť politiku aktualizácií pre operačné systémy, aplikácie, pluginy, routery a ďalšie zariadenia a vysvetliť, čo znamená „koniec podpory“ a čo v takom prípade robiť.
Kľúčové pojmy: zraniteľnosť, patch, zero-day, automatické aktualizácie, firmvér, plugin, inventár, koniec podpory (end of life), hraničné zariadenie (edge device)

Aktualizácia je zámka, ktorú si dodatočne nasadíte

Softvér obsahuje chyby. Niektoré chyby len prekážajú (tlačidlo, ktoré nefunguje), iné predstavujú zraniteľnosť: chybu, vďaka ktorej môže útočník urobiť niečo, čo nemal, napríklad prihlásiť sa bez hesla alebo spustiť vlastný kód. Výrobca to rieši patchom, ktorý k vám príde ako aktualizácia.

Zákerné je poradie udalostí. Hneď ako aktualizácia vyjde, zraniteľnosť sa fakticky stáva verejnou. Útočníci porovnajú starú a novú verziu, zistia, čo sa opravilo, a postavia na tom útok. Potom automaticky skenujú celý internet a hľadajú zariadenia, ktoré aktualizáciu ešte nemajú. Presne to je oportunistický útok z lekcie 1.1: nehľadajú vás, hľadajú každého, kto zaostáva.

Zero-day je zraniteľnosť, ktorá sa zneužíva už predtým, než existuje patch. S tým sa dá robiť málo, okrem toho, že nasledujete odporúčania výrobcu a obmedzíte škody (zálohy, minimálne oprávnenia). Väčšina prienikov do malých firiem sa však deje cez zraniteľnosti, na ktoré aktualizácia už dávno existovala.

Bývalé Digital Trust Center, dnes súčasť holandského NCSC, zistilo v roku 2024 vo svojej kontrole CyberVeilig Check, že vyše tretiny malých firiem (36 %) nemalo na všetkých svojich internetových zariadeniach zapnuté automatické aktualizácie. Odporúčanie holandského NCSC je jednoduché: s aktualizáciou neváhajte a zapnite automatické aktualizácie všade, kde je to možné.

Čo vlastne máte? Inventár

Nemôžete aktualizovať to, na čo ste zabudli. Väčšina firiem si pri aktualizáciách spomenie na notebooky a telefóny, no najnebezpečnejšie zariadenia bývajú tie tiché:

Zariadenia, ktoré sú priamo pripojené na internet a dostupné zvonka (router, VPN server, NAS so vzdialeným prístupom, kamera), nazývame hraničné zariadenia (edge devices). Tie sú najčastejším cieľom, pretože útočník sa k nim dostane bez toho, aby zamestnanec na čokoľvek klikol. Anonymizovaný príklad: účtovnícka kancelária mala zapnutý NAS s „prístupom odkiaľkoľvek“. Výrobca vydal bezpečnostnú aktualizáciu, kancelária ju nenainštalovala a o pár týždňov boli všetky súbory na NAS zašifrované. Nikto na nič neklikol.

Politika aktualizácií v piatich pravidlách

Politika nemusí byť desaťstranový dokument. Pre malú firmu fungujú tieto pravidlá:

1. Automaticky, kde sa dá. Zapnite automatické aktualizácie pre operačné systémy, prehliadače, aplikácie a kde je to možné, aj pre CMS, pluginy a firmvér routera a NAS.
2. Reštart patrí k veci. Mnohé aktualizácie začnú fungovať až po reštarte. Dohodnite sa, že sa zariadenie reštartuje aspoň raz týždenne, a neodkladajte reštart celé týždne.
3. Hraničné zariadenia najprv. Pri zariadeniach dostupných zvonka: sami kontrolujte, či sú dostupné aktualizácie, napríklad raz mesačne, a bezpečnostnú aktualizáciu nainštalujte do pár dní. Ak výrobca alebo SK-CERT varuje pred aktívnym zneužívaním, urobte to v ten istý deň.
4. Jeden vlastník na zariadenie. V inventári má byť pri každom riadku uvedené, kto ho aktualizuje: vy sami, kolega, vaša IT firma alebo tvorca webu. Ak tam nie je nikto, neurobí to nikto.
5. Čo už nepotrebujete, zrušte. Plugin, ktorý nepoužívate, starý notebook v skrini, ktorý sa ešte pripája na sieť, testovacia stránka na subdoméne: odstráňte to, potom to nemusíte ani aktualizovať.

Neviete, či aktualizácia niečo pokazí? Najprv si urobte zálohu (modul 6) a potom aktualizujte. Neinštalovať aktualizáciu zo strachu z problémov je takmer vždy väčšie riziko.

Koniec podpory: keď už aktualizácie neprichádzajú

Každá verzia softvéru alebo firmvéru má svoj koniec. Potom výrobca už nevydáva bezpečnostné aktualizácie. Volá sa to koniec podpory (end of life, EOL). Zariadenie bežne funguje ďalej, a práve to je zákerné: nikto si nič nevšimne, pričom každá nová zraniteľnosť zostáva navždy otvorená.

Príklady:

• Windows 10. Bežná podpora skončila 14. októbra 2025. Potom prichádzajú už len bezpečnostné aktualizácie v rámci programu ESU od Microsoftu, s konečnými dátumami, ktoré sa líšia podľa situácie. Pozrite si na stránke Microsoftu, čo platí pre vaše zariadenia, a naplánujte prechod na podporovanú verziu alebo iné zariadenie.
• PHP a iné jazyky webových stránok. Každá verzia PHP dostáva bezpečnostné aktualizácie len niekoľko rokov. Ak vaša stránka beží na starej verzii, server môže byť bezpečný, ale vaša stránka nie.
• Routery, NAS a kamery. Lacné zariadenia niekedy dostávajú aktualizácie firmvéru len pár rokov, niekedy vôbec. Holandské NCSC odporúča pred kúpou zistiť, ako dlho výrobca zariadenie podporuje, a zariadenia, ktoré už aktualizácie nedostávajú, vymeniť.
• Pluginy a témy. Plugin, ktorého tvorca prestal pracovať, už nedostáva opravy. Nájdite náhradu.

Ak niečo nemôžete hneď vymeniť, obmedzte riziko: odpojte to od internetu, umiestnite do oddelenej siete (lekcia 5.3) a nedávajte tomu prístup k dôležitým údajom.

Bezpečná aktualizácia: len oficiálnou cestou

Útočníci zneužívajú aj slovo „aktualizácia“. Vyskakovacie okno na webovej stránke „Váš prehliadač je zastaraný, stiahnite si aktualizáciu tu“ alebo mail „nainštalujte bezpečnostnú aktualizáciu v prílohe“ je takmer vždy malvér. Skutočné aktualizácie prichádzajú cez operačný systém, obchod s aplikáciami, funkciu aktualizácie v samotnom programe alebo stránku výrobcu. Nikdy cez odkaz v maili alebo vyskakovacie okno na náhodnej stránke.

V praxi: ako to vyzerá

Pri hostingovom balíku s DirectAdmin, ako je to pri WebOké, zvolíte verziu PHP vašej stránky cez Select PHP version. Ak chcete pred aktualizáciou stránky alebo pluginov najprv zálohu, dá sa to napríklad v Installatron tlačidlom Back-up, po čom pri problémoch obnovíte predchádzajúcu verziu. U iných poskytovateľov to funguje podobne: hľadajte „verzia PHP“ a funkciu zálohy alebo staging vo vašom CMS.

Pri počítačoch a telefónoch nájdete funkciu aktualizácie v nastaveniach operačného systému. Pri routeri sa pozrite do administrátorskej stránky (adresa je v návode alebo na nálepke routera) alebo do aplikácie vášho poskytovateľa.

Zhrnutie

• Aktualizácia zatvára známu zraniteľnosť; po jej vydaní útočníci skenujú internet a hľadajú, kto zaostáva.
• Vytvorte inventár, vrátane routera, NAS, tlačiarne, kamier, webovej stránky a pluginov, s vlastníkom pri každom riadku.
• Automaticky aktualizujte, kde sa dá, reštart patrí k veci, hraničné zariadenia najprv a rýchlo.
• Koniec podpory znamená: už žiadne bezpečnostné aktualizácie. Vymeňte, alebo odpojte a izolujte.
• Aktualizácie len oficiálnou cestou, nikdy cez vyskakovacie okno alebo mail.

Kvíz

Úloha

Úloha D5.1: Váš prehľad aktualizácií. Vytvorte zoznam všetkých vašich zariadení a softvéru vrátane routera, NAS, tlačiarne, kamier, webovej stránky a pluginov. Pri každom riadku uveďte verziu, či sú zapnuté automatické aktualizácie, kto je vlastníkom a či je produkt ešte podporovaný. Aktualizujte to, čo zaostáva, a odpovedzte na reflexné otázky.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Návod na DirectAdmin 14.1: Voľba verzie PHP (Select PHP version)
• Návod na DirectAdmin 13.6: Vytváranie a obnova záloh v Installatrone
• Holandské NCSC, Jedna z troch malých firiem nerobí automatické aktualizácie: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Holandské NCSC, Zaveďte riadenie aktualizácií (patch management): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Holandské NCSC, Základné bezpečnostné opatrenia pre smart zariadenia: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, životný cyklus Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro