Ažuriranja i zastarjeli softver

Modul 5: Uređaji, softver i mreža · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete postaviti politiku ažuriranja za operacijske sustave, aplikacije, dodatke (plugine), routere i druge uređaje, te objasniti što znači "kraj podrške" i što tada treba učiniti.
Ključni pojmovi: ranjivost, zakrpa (patch), zero-day, automatska ažuriranja, firmware, dodatak (plugin), inventar, kraj podrške (end of life), rubni uređaj (edge device)

Ažuriranje je bravica koju dodatno postavljate

Softver sadrži pogreške. Neke su pogreške tek neugodne (gumb koji ne radi), druge su ranjivost: pogreška pomoću koje napadač može učiniti nešto što nije predviđeno, poput prijave bez lozinke ili pokretanja vlastitog koda. Proizvođač to rješava zakrpom (patch), koja do Vas stiže kao ažuriranje.

Opasnost leži u redoslijedu. Čim ažuriranje izađe, ranjivost je zapravo javno poznata. Napadači uspoređuju staru i novu verziju, vide što je popravljeno i na temelju toga grade napad. Zatim automatski skeniraju cijeli internet tražeći uređaje koji to ažuriranje još nemaju. To je upravo oportunistički napad iz lekcije 1.1: ne traže Vas, traže svakoga tko kasni.

Zero-day je ranjivost koja se već zlorabi prije nego što postoji zakrpa. Protiv toga malo toga možete učiniti, osim slijediti savjete proizvođača i ograničiti štetu (sigurnosne kopije, minimalna prava pristupa). No velika većina upada kod malih poduzeća događa se putem ranjivosti za koje je ažuriranje već odavno bilo dostupno.

Nekadašnji nizozemski Digital Trust Center, danas dio nizozemskog NCSC-a, u svojoj je provjeri CyberVeilig Check u 2024. ustanovio da nešto više od jedne trećine malih poduzeća (36%) nema uključena automatska ažuriranja na svim svojim internetskim uređajima. Preporuka nizozemskog NCSC-a jednostavna je: ne čekajte s ažuriranjem i uključite automatsko ažuriranje gdje god je to moguće.

Što zapravo imate? Inventar

Ne možete ažurirati ono čega ste se zaboravili sjetiti. Većina poduzeća kod ažuriranja misli na prijenosna računala i telefone, no najopasniji uređaji često su oni tihi:

Uređaje koji su izravno povezani na internet i dostupni izvana (router, VPN poslužitelj, NAS s udaljenim pristupom, kamera) nazivamo rubnim uređajima (edge devices). Oni su najčešća meta jer napadač do njih može doći bez ijednog klika zaposlenika. Anonimizirani primjer: jedan je računovodstveni ured imao NAS uređaj s uključenim "pristupom odasvud". Proizvođač je objavio sigurnosno ažuriranje, ured ga nije instalirao, a nekoliko tjedana poslije sve su datoteke na NAS-u bile šifrirane. Nitko nije kliknuo ni na što.

Politika ažuriranja u pet dogovora

Politika ne mora biti dokument od deset stranica. Za malo poduzeće vrijede ovi dogovori:

1. Automatski, gdje god je moguće. Uključite automatska ažuriranja za operacijske sustave, preglednike, aplikacije te, gdje je moguće, za CMS i dodatke i za firmware routera i NAS-a.
2. Ponovno pokretanje je dio procesa. Mnoga ažuriranja djeluju tek nakon ponovnog pokretanja. Dogovorite da se svatko ponovno pokrene barem jednom tjedno i ne odgađajte ponovno pokretanje tjednima.
3. Rubni uređaji prvi. Za uređaje dostupne izvana: sami provjeravajte ima li ažuriranja, na primjer jednom mjesečno, i instalirajte sigurnosno ažuriranje u roku od nekoliko dana. Ako proizvođač ili nizozemski NCSC upozori na aktivnu zlouporabu, učinite to isti dan.
4. Jedan vlasnik po uređaju. U inventaru svaki redak sadrži podatak tko ga ažurira: Vi osobno, kolega, Vaša IT tvrtka ili izrađivač Vaše web stranice. Ako nitko nije naveden, nitko to neće ni učiniti.
5. Ono što više nije potrebno, uklanja se. Dodatak koji ne koristite, staro prijenosno računalo u ormaru koje se još uvijek spaja na mrežu, testna stranica na poddomeni: uklonite to, pa ga ni ne morate ažurirati.

Niste sigurni hoće li ažuriranje nešto pokvariti? Prvo napravite sigurnosnu kopiju (modul 6), a zatim ažurirajte. Neinstaliranje ažuriranja iz straha od problema gotovo je uvijek veći rizik.

Kraj podrške: kad ažuriranja više ne stižu

Svaka verzija softvera ili firmvera ima krajnji datum. Nakon toga proizvođač više ne objavljuje sigurnosna ažuriranja. To se naziva kraj podrške (end of life, EOL). Uređaj i dalje normalno radi, i upravo je to podmuklo: nitko ništa ne primjećuje, dok svaka nova ranjivost ostaje zauvijek otvorena.

Primjeri:

• Windows 10. Redovita podrška prestala je 14. listopada 2025. Nakon toga sigurnosna ažuriranja dostupna su samo putem Microsoftovog ESU programa, s krajnjim datumima koji ovise o situaciji. Provjerite na Microsoftovoj stranici što vrijedi za Vaše uređaje i planirajte prelazak na podržanu verziju ili drugi uređaj.
• PHP i drugi jezici za web stranice. Svaka verzija PHP-a dobiva sigurnosna ažuriranja tijekom nekoliko godina. Ako Vaša web stranica radi na staroj verziji, poslužitelj možda jest siguran, ali Vaša stranica nije.
• Routeri, NAS uređaji i kamere. Jeftiniji uređaji ponekad dobivaju ažuriranja firmvera samo nekoliko godina, a ponekad nikad. Nizozemski NCSC preporučuje da prije kupnje provjerite koliko dugo proizvođač podržava uređaj te da zamijenite uređaje koji više ne dobivaju ažuriranja.
• Dodaci i teme. Dodatak čiji je proizvođač prestao s radom više ne dobiva ispravke. Potražite zamjenu.

Ako nešto ne možete odmah zamijeniti, ograničite rizik: uklonite ga s interneta, stavite ga u zasebnu mrežu (lekcija 5.3) i ne dajte mu pristup važnim podacima.

Sigurno ažuriranje: samo službenim putem

Napadači zloupotrebljavaju i riječ "ažuriranje". Skočni prozor na web stranici "Vaš je preglednik zastario, preuzmite ažuriranje ovdje" ili poruka e-pošte "instalirajte sigurnosno ažuriranje iz privitka" gotovo je uvijek zlonamjerni softver. Prava ažuriranja dolaze putem operacijskog sustava, trgovine aplikacijama, funkcije ažuriranja unutar samog programa ili službene web stranice proizvođača. Nikad putem poveznice u poruci e-pošte ili skočnog prozora na nasumičnoj stranici.

U praksi: ovako to izgleda

Kod hosting paketa s DirectAdmin sučeljem, poput onoga u WebOké, verziju PHP-a za svoju stranicu birate putem Select PHP version. Želite li prije ažuriranja web stranice ili dodataka najprije napraviti sigurnosnu kopiju, to je moguće, primjerice, u Installatronu pomoću gumba Back-up, nakon čega u slučaju problema možete vratiti prethodnu verziju. Kod drugih pružatelja usluga postupak je sličan: potražite "verzija PHP-a" i funkciju sigurnosne kopije ili staginga u svom CMS-u.

Za računala i telefone funkcija ažuriranja nalazi se u postavkama operacijskog sustava. Za svoj router pogledajte na upravljačkoj stranici (adresa se nalazi u priručniku ili na naljepnici routera) ili u aplikaciji Vašeg pružatelja internetske usluge.

Sažetak

• Ažuriranje zatvara poznatu ranjivost; nakon njegova objavljivanja napadači skeniraju internet tražeći one koji kasne.
• Napravite inventar, uključujući router, NAS, pisač, kamere, web stranicu i dodatke, s vlasnikom za svaki redak.
• Automatsko ažuriranje gdje god je moguće, ponovno pokretanje je dio procesa, rubni uređaji prvi i brzo.
• Kraj podrške znači: više nema sigurnosnih ažuriranja. Zamijenite uređaj ili ga odvojite od mreže i zaštitite.
• Ažuriranja samo službenim putem, nikad putem skočnog prozora ili poruke e-pošte.

Kviz

Zadatak

Zadatak D5.1: Vaš inventar ažuriranja. Napravite popis svih svojih uređaja i softvera, uključujući router, NAS, pisač, kamere, web stranicu i dodatke. Za svaki redak zabilježite verziju, jesu li uključena automatska ažuriranja, tko je vlasnik te je li još uvijek podržano. Ažurirajte ono što kasni i odgovorite na pitanja za razmišljanje.

Dodatna literatura

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 14.1: Odabir PHP verzije (Select PHP version)
• DirectAdmin priručnik 13.6: Izrada i vraćanje sigurnosnih kopija u Installatronu
• Nizozemski NCSC, Jedno od tri mala poduzeća ne provodi automatska ažuriranja: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Nizozemski NCSC, Uspostavite upravljanje zakrpama: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Nizozemski NCSC, Osnovne sigurnosne mjere za pametne uređaje: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, životni ciklus sustava Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro