Modul 5 · 5.1
Frissítések és elavult szoftverek
Modul 5: Eszközök, szoftverek és hálózat · Olvasási idő: 10 perc
Tanulási cél: E lecke után képes lesz frissítési szabályzatot kialakítani operációs rendszerekhez, alkalmazásokhoz, bővítményekhez, routerekhez és egyéb eszközökhöz, valamint elmagyarázni, mit jelent a "támogatás vége", és ilyenkor mit kell tenni.
Kulcsfogalmak: sebezhetőség, javítás (patch), zero-day, automatikus frissítés, firmware, bővítmény (plugin), leltár, a támogatás vége (end of life), peremeszköz (edge device)
A frissítés olyan, mint egy újabb zár
A szoftverek hibákat tartalmaznak. Egyes hibák csak kellemetlenek (egy gomb, ami nem működik), mások sebezhetőséget jelentenek: olyan hibát, amellyel egy támadó valami olyat tehet, ami nem lenne szabad, például jelszó nélkül bejelentkezni vagy saját kódot futtatni. A gyártó ezt egy javítással (patch) oldja meg, amely frissítés formájában érkezik.
A dolog alattomos oldala a sorrendben rejlik. Amint egy frissítés megjelenik, a sebezhetőség gyakorlatilag nyilvánossá válik. A támadók összehasonlítják a régi és az új verziót, meglátják, mit javítottak ki, és erre építik a támadásukat. Utána automatikusan végigpásztázzák az egész internetet olyan eszközök után kutatva, amelyeken még nincs telepítve a frissítés. Ez pontosan az 1.1. leckében megismert opportunista támadás: nem Önt keresik, hanem bárkit, aki lemaradt.
A zero-day olyan sebezhetőség, amelyet már kihasználnak, mielőtt még javítás készülne rá. Ez ellen keveset tehet, leszámítva a gyártó tanácsainak követését és a kár korlátozását (biztonsági mentések, minimális jogosultságok). A kisvállalkozásokat érő betörések túlnyomó többsége azonban olyan sebezhetőségeken keresztül történik, amelyekhez a frissítés már régóta elérhető volt.
A korábbi Digital Trust Center, amely ma a holland NCSC részét képezi, 2024-es CyberVeilig Check felmérésében azt tapasztalta, hogy minden harmadik kisvállalkozás közül több mint egynél (36%) nem volt bekapcsolva az automatikus frissítés az összes internetre csatlakozó eszközön. A holland NCSC tanácsa egyszerű: ne várjon a frissítéssel, és kapcsolja be az automatikus frissítést, ahol csak lehet.
Mije is van valójában? A leltár
Amiről megfeledkezett, azt nem tudja frissíteni. A legtöbb vállalkozás a frissítésekről a laptopokra és telefonokra gondol, pedig a legveszélyesebb eszközök gyakran a csendesek:
| Típus | Példák | Hogyan szokott frissülni |
|---|---|---|
| Számítógépek és telefonok | Windows, macOS, Linux, Android, iOS | Automatikusan, ha bekapcsolja, és nem halasztja végtelenül az újraindítást |
| Programok és alkalmazások | Böngésző, irodai programcsomag, pdf-olvasó, könyvelőalkalmazás | Gyakran automatikusan; önálló programoknál néha nem |
| Weboldal | CMS, bővítmények, sablonok, PHP-verzió | Részben automatikusan; a bővítmények és sablonok gyakran kézzel |
| Hálózati eszközök | Router, modem, wifi-pontok, tűzfal, VPN-szerver | Firmware, gyakran kézzel vagy a szolgáltatón keresztül |
| Peremeszközök | NAS, hálózati nyomtató, IP-kamera, okoscsengő, riasztórendszer, kasszarendszer | Firmware, gyakran kézzel, néha soha |
| Felhőalapú szolgáltatások | E-mail, könyvelés, webáruház platform | A szolgáltató frissíti; Ön a beállításokat kezeli |
Azokat az eszközöket, amelyek közvetlenül csatlakoznak az internethez és kívülről elérhetők (router, VPN-szerver, távoli hozzáférésű NAS, kamera), peremeszközöknek (edge devices) nevezzük. Ezek a leggyakoribb célpontok, mivel a támadó egy munkatárs kattintása nélkül is hozzáférhet. Egy anonimizált példa: egy könyvelőirodának volt egy NAS-a, amelyen be volt kapcsolva a "bárhonnan elérhető hozzáférés". A gyártó kiadott egy biztonsági frissítést, az iroda nem telepítette, és néhány héttel később a NAS összes fájlja titkosítva lett. Senki nem kattintott semmire.
Frissítési szabályzat öt megállapodásban
Egy szabályzatnak nem kell tízoldalas dokumentumnak lennie. Egy kisvállalkozás számára ezek a megállapodások működnek:
- Automatikusan, ahol csak lehet. Kapcsolja be az automatikus frissítést az operációs rendszereknél, böngészőknél, alkalmazásoknál, és ahol lehetséges, a CMS-nél, a bővítményeknél, valamint a router és a NAS firmware-énél.
- Az újraindítás is hozzátartozik. Sok frissítés csak újraindítás után lép életbe. Állapodjon meg abban, hogy mindenki legalább hetente egyszer újraindítja a gépét, és ne halassza az újraindítást hetekig.
- Előbb a peremeszközök. A kívülről elérhető eszközöknél: ellenőrizze saját maga, hogy van-e frissítés, például havonta egyszer, és egy biztonsági frissítést néhány napon belül telepítsen. Ha a gyártó vagy az NKI aktív visszaélésre figyelmeztet, akkor még aznap.
- Eszközönként egy felelős. A leltárban minden sornál szerepeljen, ki frissíti: Ön maga, egy kolléga, az informatikai vállalkozása vagy a weboldal készítője. Ha senki nincs megjelölve, akkor senki nem fogja megtenni.
- Ami már nem kell, azt távolítsa el. Egy nem használt bővítmény, egy szekrényben porosodó régi laptop, ami még csatlakozik a hálózatra, egy tesztoldal egy aldomainen: távolítsa el, így nem is kell frissítenie.
Nem biztos benne, hogy egy frissítés elront valamit? Készítsen előbb biztonsági mentést (6. modul), majd frissítsen. Egy frissítés elmaradása a problémáktól való félelem miatt szinte mindig a nagyobb kockázat.
A támogatás vége: amikor már nem érkeznek frissítések
Minden szoftver- vagy firmware-verziónak van egy végdátuma. Ezután a gyártó már nem ad ki biztonsági frissítéseket. Ezt nevezzük a támogatás végének (end of life, EOL). Az eszköz továbbra is működik, és éppen ez a veszélyes benne: senki nem vesz észre semmit, miközben minden új sebezhetőség örökre nyitva marad.
Példák:
- Windows 10. A szokásos támogatás 2025. október 14-én ért véget. Ezután már csak a Microsoft ESU-programján keresztül érkeznek biztonsági frissítések, helyzetenként eltérő végdátumokkal. Nézze meg a Microsoft oldalán, mi vonatkozik az Ön eszközeire, és tervezze meg az áttérést egy támogatott verzióra vagy másik eszközre.
- PHP és egyéb weboldal-nyelvek. Minden PHP-verzió néhány évig kap biztonsági frissítéseket. Ha a weboldala régi verzión fut, a szerver talán biztonságos, de az oldala nem.
- Routerek, NAS-ok és kamerák. Az olcsó eszközök néha csak néhány évig kapnak firmware-frissítést, néha soha. A holland NCSC azt tanácsolja, hogy vásárlás előtt derítse ki, meddig támogatja a gyártó az eszközt, és cserélje le azokat az eszközöket, amelyek már nem kapnak frissítést.
- Bővítmények és sablonok. Egy olyan bővítmény, amelynek készítője felhagyott a fejlesztéssel, már nem kap javításokat. Keressen helyette másikat.
Ha valamit nem tud azonnal lecserélni, korlátozza a kockázatot: vegye le az internetről, helyezze külön hálózatba (5.3. lecke), és ne adjon neki hozzáférést fontos adatokhoz.
Biztonságos frissítés: csak a hivatalos úton
A támadók visszaélnek a "frissítés" szóval is. Egy felugró ablak egy weboldalon: "A böngészője elavult, töltse le itt a frissítést", vagy egy e-mail: "telepítse a csatolt biztonsági frissítést", szinte mindig kártevő szoftver. A valódi frissítések az operációs rendszeren, az alkalmazásboltban, a program saját frissítési funkcióján vagy a gyártó weboldalán keresztül érkeznek. Soha ne egy e-mailben lévő linken vagy egy tetszőleges oldal felugró ablakán keresztül.
A gyakorlatban: így néz ki
Egy DirectAdmin alapú tárhelycsomagnál, mint amilyen a WebOké-nál is van, a weboldala PHP-verzióját a Select PHP version funkcióban választhatja ki. Ha előbb biztonsági mentést szeretne készíteni, mielőtt a weboldalát vagy a bővítményeit frissítené, erre például az Installatronban van lehetőség a Back-up gombbal, amely után probléma esetén visszaállíthatja az előző verziót. Más szolgáltatóknál hasonlóan működik: keresse a "PHP-verzió" beállítást, valamint a CMS-e biztonsági mentés- vagy staging-funkcióját.
Számítógépeknél és telefonoknál a frissítési funkció az operációs rendszer beállításaiban található. A routerénél nézze meg a kezelőfelületet (a cím a kézikönyvben vagy a router matricáján található), vagy a szolgáltatója alkalmazását.
Összefoglalás
- Egy frissítés egy ismert sebezhetőséget zár be; megjelenése után a támadók végigpásztázzák az internetet, hogy kik maradtak le.
- Készítsen leltárt, beleértve a routert, a NAS-t, a nyomtatót, a kamerákat, a weboldalt és a bővítményeket, soronként egy felelőssel.
- Frissítsen automatikusan, ahol csak lehet, az újraindítás is hozzátartozik, a peremeszközök előbb és gyorsan.
- A támogatás vége azt jelenti: nincs több biztonsági frissítés. Cserélje le, vagy válassza le és zárja el a hálózattól.
- Frissítsen csak a hivatalos úton, soha felugró ablakon vagy e-mailen keresztül.
Kvíz
Feladat
D5.1 feladat: A frissítési leltára. Készítsen listát minden eszközéről és szoftveréről, beleértve a routert, a NAS-t, a nyomtatót, a kamerákat, a weboldalt és a bővítményeket. Jegyezze fel soronként a verziót, hogy be van-e kapcsolva az automatikus frissítés, ki a felelős, és hogy még támogatott-e. Frissítse azt, ami lemaradt, és válaszoljon a reflexiós kérdésekre.
D5.1. feladat: A frissítési leltára
Így kezdjen hozzá: (1) Készítsen táblázatot a következő oszlopokkal: eszköz vagy szoftver, típus (számítógép, telefon, program, weboldal, hálózat, perifériás eszköz, felhőszolgáltatás), verzió, automatikus frissítés (igen/nem/nem lehetséges), felelős (ki dolgozik vele), még támogatott-e (igen/nem/ismeretlen), kívülről elérhető-e (igen/nem). A feladatnál letölthető sablon (csv vagy táblázat) található. (2) Nézze át az irodáját és az otthoni munkahelyeket. Ne felejtse el: a routert és a modemet, a wifi-pontokat, a NAS-t, a hálózati nyomtatót, az IP-kamerákat, az okoscsengőt vagy riasztót, a kasszarendszert, a szekrényben lapuló régi laptopot, a weboldalát a CMS-sel, a bővítményekkel és a sablonokkal együtt, valamint a tárhelycsomagja PHP-verzióját. (3) Nézze meg minden eszköznél a gyártó weboldalán, meddig kap frissítéseket. Windows 10 esetén nézze meg a Microsoft életciklus-oldalán, hogy mi vonatkozik az Ön eszközeire. (4) Kapcsolja be az automatikus frissítést, ahol lehet. Telepítse a függőben lévő frissítéseket, elsőként a perifériás eszközöknél. Ezután indítsa újra az eszközöket. (5) Jelölje meg mindazt, ami már nem kap frissítést, és soronként döntse el: cserélje le (dátummal), kapcsolja le az internetről, vagy helyezze külön hálózatra (5.3. lecke).
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
Továbbolvasás
A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- DirectAdmin útmutató 14.1: A PHP-verzió kiválasztása (Select PHP version)
- DirectAdmin útmutató 13.6: Biztonsági mentés készítése és visszaállítása az Installatronban
- A holland NCSC: Minden harmadik kisvállalkozás közül egy nem alkalmaz automatikus frissítést: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- A holland NCSC: Alakítsa ki a javításkezelést (patchmanagement): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- A holland NCSC: Alapvető biztonsági intézkedések okoseszközökhöz: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, a Windows 10 életciklusa: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro