Zero-day napadi: neznana napaka, znane posledice

Deli

Izraz zero-day ste gotovo že zasledili. V varnostnih novicah se pojavlja vse pogosteje, vendar se pogosto uporablja kot bližnjica za „nov virus“ ali „napad, proti kateremu ni mogoče storiti ničesar“. Obe predstavi sta nenatančni: zero-day je predvsem problem neznane ali še neodpravljene napake, pri kateri ima branilec manj časa, manj informacij in pogosto nobenega pripravljenega popravka.

Težava ni neznan virus, ampak neznana napaka

Zero-day napad ni posebna, skoraj čarobna kategorija malwarea. Natančneje gre za napad, ki izkorišča ranljivost, še preden je ta javno znana ali preden ima uporabnik na voljo popravek. NIST zero-day napad opredeljuje kot napad, ki izkorišča prej neznano strojno, firmware ali programsko ranljivost. Google Threat Intelligence Group v svojih pregledih uporablja podoben praktičen okvir: kot zero-day obravnava ranljivost, ki je bila zlonamerno izkoriščena v praksi, še preden je bil javno dostopen popravek.

To razlikovanje je pomembno. Ko govorimo o zero-day napadu, ne gre samodejno za virus, trojanskega konja ali ransomware. Gre za napako, prek katere se lahko napadalec prebije naprej. Šele nato lahko namesti malware, spyware, orodje za oddaljeno upravljanje, ransomware ali si ustvari trajen dostop do sistema.

Praktična težava je v časovnem vidiku. Pri običajni znani ranljivosti že obstajajo javne informacije, varnostna pravila, indikatorji kompromitacije, priporočena omilitev in pogosto tudi popravek. Pri zero-day napadu to na začetku ne velja. Branilec morda ne ve, da napaka obstaja, v katerem izdelku je prisotna, kako se izkorišča ali po čem naj išče sledi napada.

Priporočeno

Zato ni dovolj vprašanje, ali imate antivirus. Pomembnejše vprašanje je: kaj se zgodi, če napadalcu kljub zaščiti uspe priti v sistem? Bo to kdo hitro opazil? Ima kam nadaljevati? Ima uporabnik ali podjetje varnostne kopije? So skrbniški računi ločeni od običajnih? Je kritična storitev brez razloga izpostavljena internetu?

Ranljivost, exploit, napad in payload niso isto

V razpravah o kibernetski varnosti se pogosto mešajo pojmi, ki označujejo različne dele iste verige. Pri zero-day napadih jih je smiselno razlikovati, saj sicer nastane napačen občutek, da lahko eno samo varnostno orodje reši celoten problem.

Ranljivost je napaka v programski opremi, strojni opremi, firmwareu ali konfiguraciji. Lahko gre za napačno preverjanje dostopa, napako pri obdelavi pomnilnika, nezadostno validacijo vnosa ali slabo privzeto nastavitev storitve. Sama ranljivost še ni napad. Je šibka točka.

Exploit je način, kako to šibko točko izkoristiti. Lahko je kos kode, posebej pripravljena zahteva, dokument, slika, omrežni paket ali kombinacija več korakov. Pri dragocenih tarčah je exploit pogosto del verige, v kateri ena napaka odpre prva vrata, druga pa zviša pravice ali zaobide sandbox.

Zero-day napad je dejanska uporaba exploita, preden je napaka znana ali odpravljena. Payload je tisto, kar napadalec izvede po uspešnem vdoru: ukrade podatke, šifrira datoteke, ustvari nov račun, se premakne v drug del omrežja, prisluškuje komunikaciji ali pripravi sabotažo.

Preprosto povedano: ranljivost je napaka, exploit je orodje ali postopek za njeno izkoriščanje, napad je njegova uporaba, payload pa praktična posledica po vdoru. Veriga je videti tako: ranljivost → exploit → vdor → payload → vpliv.

Zakaj so zero-day napadi še vedno aktualni

Zero-day napadi ne sodijo med najpogostejše oblike kibernetske kriminalitete. Za številne napadalce je še vedno ceneje izkoriščati stare, znane in nepopravljene ranljivosti, šibka gesla, phishing ali slabo nastavljene račune v oblaku. To pa ne pomeni, da so zero-day napadi obrobna tema.

Google Threat Intelligence Group je identificiral 90 zero-day ranljivosti, izkoriščenih v resničnih napadih v letu 2025. V medletni primerjavi to pomeni rast v primerjavi z 78 primeri v letu 2024, čeprav je ločena analiza za leto 2024 prvotno navajala 75 primerov. Razlika je povezana s tem, da GTIG sproti posodablja podatke glede na pozneje odkrite incidente. Pomembnejši od same razlike v številu je trend: zero-day exploitacija se stabilno ohranja na visoki ravni in se premika proti infrastrukturi, ki ima za napadalce večji strateški pomen.

Skoraj polovica spremljanih ranljivosti v letu 2025, natančneje 43 primerov oziroma 48 %, je prizadela enterprise tehnologije. To je pomembno. Javna predstava o zero-day napadu je pogosto okužen prenosnik po odprtju priponke. Resničnost je širša. Sodoben napad se lahko začne na VPN prehodu, požarnem zidu, virtualizacijski platformi, varnostnem applianceu ali drugi napravi na robu omrežja.

Za posameznika ostajajo pomembni operacijski sistemi, mobilne naprave, brskalniki in komunikacijske aplikacije. V letu 2025 so končne platforme in izdelki predstavljali 52 % spremljanih zero-day primerov. Operacijski sistemi so bili najpogostejša kategorija z 39 ranljivostmi, mobilni operacijski sistemi pa so narasli na 15 primerov. Brskalniki so se znižali pod 10 % spremljane aktivnosti, kar lahko kaže na učinkovitejše ukrepe hardeninga. Hkrati pa je treba upoštevati, da lahko boljša operativna varnost napadalcev del exploitacije naredi manj viden.

Za podjetja je najpomembnejši premik k edge in varnostnim napravam. Te so privlačne zato, ker stojijo na meji med internetom in internim omrežjem, imajo visoke pravice in pogosto nimajo enake ravni EDR vidljivosti kot običajni strežniki ali prenosniki. Če napadalec kompromitira napravo, ki naj bi varovala omrežje, težava ni omejena na en sistem. Pridobi lahko ugodno točko za nadaljnje spremljanje, premikanje ali ponovni vstop.

Kako zero-day napad običajno poteka

Tipičen zero-day napad ni nujno videti dramatično. Napadalec ali raziskovalec odkrije napako. Če jo odkrije raziskovalec in jo prijavi proizvajalcu, lahko sledi usklajena objava in popravek. Če jo odkrije napadalec ali pride na trg exploitov, lahko ranljivost nekaj časa ostane skrivnost in se uporablja selektivno.

Napadalec nato pripravi exploit ali kupi obstoječi exploit. Tarča je lahko konkretna organizacija, konkretna oseba ali široko uporabljen izdelek. Po uspešnem vdoru poskuša pridobiti višje pravice, ohraniti dostop, spoznati topologijo omrežja in doseči poslovni ali obveščevalni cilj.

Šele ko proizvajalec, varnostna skupnost ali incident response ekipa napako odkrije, se začne druga faza: popravek, omilitev, detekcijska pravila in preiskava vpliva. V tem trenutku se zero-day postopoma spremeni v znano tveganje. Paradoksalno se lahko takrat poveča število napadov na sisteme, ki popravka niso namestili. Iz prvotno ekskluzivne zmogljivosti nastane navodilo, dostopno širšemu krogu napadalcev.

Ni vsak zero-day napad množičen. Najdražji in najdragocenejši exploiti se pogosto uporabljajo previdno, ker razkritje zmanjša njihovo vrednost. Pri množični kibernetski kriminaliteti napadalci pogosto raje izkoriščajo znane, a nepopravljene ranljivosti. So cenejše, zanesljivejše in pri šibkem patch managementu še vedno delujejo.

Kdo je običajno tarča

Običajen uporabnik ni zunaj tveganja, vendar je verjetnost ciljanega zero-day napada pri njem nižja kot pri ljudeh s politično, finančno, pravno ali informacijsko vrednostjo. Večje tveganje imajo novinarji, aktivisti, politiki, odvetniki, menedžerji, razvijalci, administratorji, kriptoinvestitorji in ljudje z dostopom do občutljivih sistemov ali dokumentov.

Tu vstopa v igro tudi trg komercialnega spywarea. Dobavitelji komercialne nadzorne programske opreme in njihovi naročniki po navedbah GTIG sodijo med pomembne uporabnike zero-day exploitov. Leta 2025 jim je Google prvič pripisal več zero-day exploitacije kot tradicionalnim državno podprtim vohunskim skupinam. V praksi to pomeni, da najbolj tvegani uporabniki svoje varnosti ne bi smeli graditi samo na običajnih potrošniških priporočilih.

Mala in srednje velika podjetja pogosto niso tarča zato, ker bi bila sama po sebi strateško pomembna. Zanimiva so zaradi podatkov, dostopa do strank, dobavne verige, e-poštnih računov, fakturiranja ali šibkih javno dostopnih storitev. Velike organizacije in državne institucije imajo večje tveganje vohunjenja, dolgoročnega spremljanja, sabotaže ali priprav na poznejši konflikt.

Kritična infrastruktura je posebna kategorija. Pri energetiki, prometu, zdravstvu, vodi, javnih storitvah ali telekomunikacijah ne gre samo za uhajanje podatkov. Incident lahko vpliva na delovanje storitev, varnost ljudi in zaupanje v osnovne družbene sisteme.

Zakaj antivirus, požarni zid ali same posodobitve niso dovolj

Antivirus je še vedno uporaben, vendar ni univerzalen odgovor. Pri zero-day napadu morda ne obstaja signatura, znan detekcijski vzorec ali preprost indikator, po katerem bi bilo mogoče napad zanesljivo ustaviti. Sodobna varnostna orodja uporabljajo tudi vedenjsko detekcijo, reputacijo, izolacijo in hevristiko, vendar tudi to ne zagotavlja zaznave vsake exploitacije.

Požarni zid pomaga zmanjšati napadalno površino, vendar ne reši težave, če je ranljiva storitev namerno izpostavljena internetu ali če je ranljiv sam edge izdelek. Prav to je neprijeten paradoks sodobne infrastrukture: naprave, ki naj bi varovale omrežje, so lahko hkrati privlačna vstopna točka.

Posodobitve so osnova, vendar pri zero-day napadu popravek pogosto še ne obstaja. Ko že obstaja, odločata hitrost namestitve in sposobnost ugotoviti, kje se ranljiva komponenta uporablja. Organizacija, ki ne ve, katere sisteme ima, kaj je izpostavljeno internetu in kdo je za to odgovoren, bo imela težave tudi ob dobro napisani varnostni objavi proizvajalca.

Tudi izobraževanje uporabnikov ni dovolj. Pomaga pri phishingu in socialnem inženiringu, ne reši pa tehnične napake v VPN prehodu, knjižnici, operacijskem sistemu ali skrbniškem vmesniku. Izobraževanje je pomembna plast, ni pa nadomestilo za tehnične in procesne ukrepe.

Kaj naj stori posameznik

Za običajnega uporabnika ima najboljše razmerje med naporom in koristjo osnovna higiena. Ne zagotavlja ničelnega tveganja, vendar bistveno zmanjša verjetnost običajnih incidentov in omeji škodo, če gre kaj narobe.

Uporabljajte podprt operacijski sistem, brskalnik, mobilno napravo in aplikacije. Stara naprava, ki ne prejema več varnostnih posodobitev, je dolgoročen operativni dolg, ne ugoden prihranek. Vklopite samodejne posodobitve tam, kjer je to smiselno, in ne odlašajte s posodobitvami brskalnika, mobilne naprave in komunikacijskih aplikacij.

Vklopite večfaktorsko preverjanje predvsem za e-pošto, oblak, bančništvo, družbena omrežja, službene račune in upravitelja gesel. Skrbniškega računa ne uporabljajte za vsakdanje delo, če to omogočajo operacijski sistem in vaše navade. Omejite število razširitev v brskalniku in odstranite aplikacije, ki jih ne uporabljate.

Podatke varnostno kopirajte tako, da kopija preživi izgubo ali šifriranje naprave. Doma je to lahko kombinacija sinhronizacije v oblaku in zunanje varnostne kopije. Pri občutljivih podatkih sta pomembna tudi šifriranje in nadzor nad tem, kdo ima dostop do varnostnih kopij.

Ljudje z višjim profilom tveganja bi morali razmisliti o strožjih ukrepih: ločeni napravi za občutljivo komunikacijo, varnostnih načinih tipa Lockdown Mode ali Advanced Protection, previdnosti pri nepričakovanih povezavah in hitrem posvetu s strokovnjaki ob sumljivih zrušitvah aplikacij, sporočilih ali poskusih prijave.

Kaj naj stori malo podjetje

Malo podjetje pogosto ne potrebuje dragega varnostnega programa, potrebuje pa red. Prvi korak je inventar: katere naprave, račune, storitve v oblaku, domene, e-pošto, VPN, NAS, spletna mesta in skrbniške vmesnike podjetje uporablja. Brez inventarja tveganja ni mogoče upravljati, temveč ga je mogoče le ocenjevati.

Drugi korak je ugotoviti, kaj je izpostavljeno internetu. Veliko incidentov se ne začne s sofisticiranim zero-day napadom, temveč s storitvijo, ki nikoli ne bi smela biti javno dostopna, ali z napravo, ki je leta ni nihče posodobil. Pri javno dostopnih sistemih mora biti jasno, kdo jih upravlja, kako se posodabljajo in kaj se zgodi, ko proizvajalec objavi kritično ranljivost.

MFA bi moral biti obvezen za e-pošto, administracijo, storitve v oblaku, VPN in računovodstvo. Običajne račune je treba ločiti od skrbniških. Dostop nekdanjih zaposlenih in zunanjih sodelavcev mora imeti jasen postopek ukinitve. Varnostne kopije morajo biti bodisi offline bodisi immutable, da jih napadalec ne more preprosto izbrisati skupaj s produkcijskimi podatki.

Malo podjetje potrebuje tudi preprost incident response načrt. Ni nujno, da ima 80 strani. Dovolj je vedeti, kdo odloča, koga poklicati, kje so varnostne kopije, kako odklopiti kritičen sistem, kdo komunicira s strankami in kje so shranjeni dostopi do domen, hostinga in storitev v oblaku. Med incidentom se improvizacija hitro spremeni v drago napako.

Kaj naj stori večja organizacija

Večja organizacija mora zero-day tveganje obravnavati kot sistemski problem. Ni dovolj kupiti EDR ali SIEM in domnevati, da je s tem tema rešena. Ta orodja so lahko koristna, vendar samo, če obstaja ekipa, ki razume njihove signale, ima dovolj logov in zna ukrepati.

Ključen je attack surface management: vedeti, kaj je dostopno od zunaj, kateri sistemi so kritični, kdo jih ima v lasti in kako hitro jih je mogoče izolirati ali popraviti. Centralizirano beleženje in korelacija dogodkov sta pomembna zlasti zato, ker so lahko edge naprave zunaj običajne endpoint vidljivosti. Če omrežni prehod nima EDR agenta, morajo obstajati drugi viri dokazov: omrežni logi, avtentikacijski logi, spremembe konfiguracije, anomalije pri dostopu in integriteta naprave.

Segmentacija omrežja in least privilege zmanjšujeta vpliv vdora. Če kompromitiran VPN prehod ali uporabniški račun samodejno odpre pot do domenskih krmilnikov, varnostnih kopij in produkcijskih podatkovnih baz, težava ni samo v ranljivosti. Težava je v arhitekturi.

Vulnerability management mora znati ločiti običajen popravek od stanja, ko je treba zaobiti standardni change management. Pri kritični exploitaciji v praksi ni vedno smiselno čakati na naslednje načrtovano okno. Organizacija potrebuje proces nujne omilitve: začasno izklopitev storitve, omejitev dostopa, omrežna pravila, izolacijo komponente ali hitro namestitev popravka.

Enako pomembno je testirati obnovitev. Varnostna kopija, ki je ni nihče nikoli obnovil, je hipoteza. Tabletop vaje pomagajo ugotoviti, ali ljudje vedo, kaj morajo storiti, kdo ima pristojnost odločanja in kje je proces odvisen od ene osebe, ki morda ne bo dosegljiva.

Zero Trust brez marketinških iluzij

Zero Trust ne pomeni kupiti enega izdelka in preimenovati VPN. Je operativno načelo: nikomur in ničemur se ne zaupa samodejno samo zato, ker je „znotraj omrežja“. Dostop se preverja glede na identiteto, napravo, kontekst, pravice in tveganje.

V praksi to pomeni MFA za administratorje, pogojni dostop, ločitev skrbniških računov, preverjanje stanja naprave pred dostopom, minimalne pravice, segmentacijo in revizijo dostopov. Dober Zero Trust zmanjša implicitno zaupanje in omeji lateralno gibanje po vdoru.

Trade-off je kompleksnost. Slabo implementiran Zero Trust lahko upočasni uporabnike, ustvari veliko izjem, poveča obremenitev helpdeska in vodstvu da lažen občutek nadzora. Najslabša različica je tista, ki doda nove prijavne ovire, vendar ne spremeni pravic, segmentacije ali monitoringa.

Zato je smiselno začeti pri najbolj tveganih dostopih: administratorji, oddaljeni dostop, administracija oblaka, produkcijski sistemi, varnostne kopije in identitete. Šele nato je smiselno reševati širšo transformacijo.

PrintNightmare: ko običajna tiskalniška storitev odpre velik problem

PrintNightmare je dober zgodovinski opomnik, da kritična ranljivost ni nujno povezana z eksotičnim sistemom. Povezana je bila s storitvijo Windows Print Spooler in tveganjem oddaljenega izvajanja kode. V okoljih Windows domen je bila tiskalniška infrastruktura običajen, pogosto premalo vprašljiv del delovanja.

Microsoft je julija 2021 izdal izredne varnostne posodobitve za CVE-2021-34527 in opozoril, da so imela pomembno vlogo tudi nastavitve Point and Print. Pri nezavarovani konfiguraciji so lahko organizacije ostale izpostavljene tveganju tudi potem, ko se je problem že javno obravnaval.

Poanta ni v tem, da je vsaka tiskalniška storitev izjemno nevarna. Poanta je širša: varnostni popravek ni samo tehnično vprašanje. Lahko spremeni delovanje, administracijo, uporabniško udobje in stroške IT oddelka. Če popravek vpliva na namestitev gonilnikov, workflow helpdeska ali pravice uporabnikov, mora podjetje hkrati reševati varnost in operativni vpliv.

PrintNightmare je hkrati pokazal, zakaj je nevarno govoriti o „samodejni pridobitvi pravic domenskega administratorja“ brez konteksta. Dejanski vpliv je bil odvisen od konfiguracije, pravic, dostopnosti storitve in arhitekture okolja. Natančneje je govoriti o možnosti oddaljenega izvajanja kode, eskalaciji pravic in tveganju širše kompromitacije glede na konkretne pogoje.

Nov poudarek: edge naprave in enterprise infrastruktura

Najpomembnejši premik zadnjih let je napad na infrastrukturo, ki je bila dolgo razumljena kot zaščitna plast. VPN prehodi, požarni zidovi, aplikacijski prehodi, varnostni appliancei, virtualizacijske platforme in identitetni sistemi so za napadalce privlačni zato, ker združujejo tri lastnosti: so izpostavljeni, so pomembni in pogosto omogočajo visoko raven dostopa.

Pri endpointih so podjetja že vlagala v EDR, hardening, samodejne posodobitve in detekcijo. Edge naprave pa pogosto delujejo kot zaprti appliancei z omejeno možnostjo namestitve agentov, slabšo forenzično vidljivostjo in manj udobnim beleženjem. Ko se ranljivost pojavi prav tam, ima lahko branilec težave ugotoviti, ali je bila že izkoriščena.

To spreminja prioritete varnostnih ekip. Ni dovolj spremljati prenosnikov in strežnikov. Treba je vedeti, katere naprave varujejo rob omrežja, katero različico firmwarea uporabljajo, kdo jih administrira, kako se varnostno kopirajo konfiguracije, kam pošiljajo loge in kako hitro jih je mogoče izolirati.

AI kot pospeševalnik, ne čudežno orožje

AI sodi v temo zero-day, vendar previdno. Ni razloga trditi, da bo sama ustvarila povsem novo varnostno vesolje. Realističneje je, da bo pospešila obstoječe dejavnosti: izvidovanje, iskanje ranljivosti, analizo kode, izdelavo exploitov, razvrščanje tarč in avtomatizacijo napadov.

GTIG pričakuje, da bo AI leta 2026 pospeševala tekmo med napadalci in branilci. Napadalcem lahko skrajša čas, potreben za izvidovanje, odkrivanje ranljivosti in razvoj exploitov. Branilci jo lahko uporabijo za izboljšanje varnostnega delovanja, zgodnejše iskanje napak in hitrejši odziv.

Praktičen sklep pa ni „kupimo varnostno orodje z AI“. Organizacija, ki ne ve, kaj ima v lasti, kaj ima izpostavljeno internetu, kdo ima kakšne pravice in kje ima loge, od AI ne bo imela velike koristi. AI lahko poveča zmogljivost dobro nastavljenega procesa. Slabega procesa pa sama ne popravi.

Praktičen checklist

Za posameznika je smiselno začeti s temi koraki:

  • Posodobite operacijski sistem, brskalnik, mobilno napravo in pomembne aplikacije.

  • Uporabljajte samo podprto programsko opremo in naprave.

  • Vklopite večfaktorsko preverjanje za najpomembnejše račune.

  • Ne uporabljajte skrbniškega računa za vsakdanje delo, če to ni nujno.

  • Varnostno kopirajte pomembne podatke in preverite, da jih je mogoče obnoviti.

  • Omejite število razširitev v brskalniku in neuporabljenih aplikacij.

  • Bodite previdni pri nepričakovanih priponkah, povezavah in pozivih za prijavo.

Za malo podjetje so prednostni ti ukrepi:

  • Imeti inventar naprav, računov, storitev in javno dostopnih sistemov.

  • Vedeti, kaj je izpostavljeno internetu in kdo je za to odgovoren.

  • Redno posodabljati strežnike, prenosnike, omrežne naprave in storitve v oblaku.

  • Zahtevati MFA za e-pošto, administracijo, oblak in VPN.

  • Ločiti običajne račune od skrbniških.

  • Uporabljati offline ali immutable varnostne kopije.

  • Imeti preprost incident response načrt in kontakte za tehnično pomoč.

Za večjo organizacijo je osnova sistemski pristop:

  • Attack surface management za zunanja in interna sredstva.

  • Centralizirano beleženje in korelacija dogodkov.

  • EDR ali XDR tam, kjer ima realno vidljivost in operativni smisel.

  • Segmentacija omrežja in omejevanje lateralnega gibanja.

  • Least privilege in hardening identitetne infrastrukture.

  • Hitro ocenjevanje kritičnih CVE in proces nujne omilitve.

  • Varna konfiguracija edge naprav in redno preverjanje njihovih logov.

  • Test obnove iz varnostnih kopij in redne tabletop vaje incidentov.

Cilj ni ničelno tveganje, ampak manjši vpliv

Zero-day napadov ni mogoče popolnoma preprečiti. Prav to je njihovo bistvo: izkoriščajo napako, za katero branilec morda ne ve ali za katero še ne obstaja popravek. Iz tega pa ne izhaja, da je obramba nesmiselna.

Resnična obramba ne temelji na enem izdelku. Temelji na zmanjševanju napadalne površine, hitri detekciji, omejevanju pravic, segmentaciji, varnostnih kopijah in sposobnosti odločanja pod pritiskom. Antivirus, požarni zid in posodobitve ostajajo pomembni, vendar kot samostojen odgovor na zero-day grožnje niso dovolj.

Najbolj praktičen način razmišljanja o tej temi je preprost: ne vemo, kje bo naslednja napaka, lahko pa zmanjšamo število mest, kjer nas lahko zadene. Lahko skrajšamo čas, v katerem lahko napadalec deluje neopaženo. In lahko zmanjšamo škodo, če pride v sistem. To ni marketinška obljuba ničelnega tveganja. Je realistično upravljanje varnosti.

Blog Drugi zanimivi članki
Vaša nakupovalna košarica
Nakupovalna košarica ne vsebuje izdelkov
TonerDepot.si
Prijava
Nimate računa? Registrirajte se zdaj
Meni