Kada i alat za ažuriranje postane meta: zašto proaktivno ažuriranje i monitoring više nisu opcija
Postoji uvrežena predstava da se firma zaštiti tako što instalira antivirus i to je to. Realnost je znatno drugačija. Jedan od najozbiljnijih napada u prethodnoj godini pogodio je upravo alat čiji je posao da vas štiti, server za distribuciju Windows ažuriranja. Priča je odlična ilustracija zašto bezbednost mora da bude proces, a ne jednokratna kupovina.
Šta se desilo sa WSUS-om
WSUS (Windows Server Update Services) je servis koji mnoge firme koriste da centralno distribuiraju Microsoft zakrpe na sve računare u mreži, praktičan i standardan alat. U oktobru 2025. otkrivena je kritična ranjivost CVE-2025-59287, koja je napadaču omogućavala daljinsko izvršavanje koda bez ikakve prijave, dakle potpuni pristup serveru bez lozinke.
Ranjivost je bila toliko ozbiljna da je Microsoft izbacio vanrednu zakrpu van redovnog ciklusa, 23. oktobra 2025, jer prvobitna ispravka nije bila dovoljna. Ubrzo su usledili napadi u divljini, gde su napadači preko ranjivih servera pokretali PowerShell komande, mapirali mrežu i izvlačili podatke. Ranjivost je završila i na CISA listi aktivno eksploatisanih pretnji.
Pouka nije da je WSUS loš, jer WSUS je koristan alat. Pouka je da svaki softver može imati ranjivost, uključujući i onaj koji vas štiti. A kada se ranjivost pojavi, meri se u satima ko će prvi da reaguje, vi ili napadač.
Zašto „ažuriraćemo kad stignemo“ ne funkcioniše
Kod ovakvih kritičnih propusta, između objave zakrpe i prvih masovnih napada često prođe svega nekoliko dana, ponekad i sati. Ako se ažuriranja rade ručno, kad neko stigne, taj prozor se lako propusti. Napadači automatizovano skeniraju internet u potrazi za neažuriranim sistemima. Ne biraju žrtvu po veličini, biraju je po tome ko je ostao otvoren.
Zato ozbiljno ažuriranje, odnosno patch management, podrazumeva da neko sistematski prati koje ranjivosti se pojavljuju, procenjuje koliko su hitne, i primenjuje zakrpe planirano i brzo, bez da poremeti rad firme.
Monitoring: razlika između „znali smo odmah“ i „saznali smo prekasno“
Drugi ključni sloj je monitoring, odnosno stalni nadzor infrastrukture. Bez njega, upad se često primeti tek kada nešto vidno pukne, kada se pojavi ransomware poruka ili kada podaci već procure. Sa monitoringom, sumnjivo ponašanje, poput neuobičajenih komandi, čudnog mrežnog saobraćaja ili servisa koji radi ono što ne bi trebalo, pali alarm dok se napad još odvija, kada se još može zaustaviti.
Razlika je suštinska. Reaktivan pristup znači da čistite posledice, a proaktivan znači da sprečavate incident ili ga presecate u začetku. Prvi se meri danima zastoja i izgubljenim podacima, drugi jednim alarmom u pravom trenutku.
Kako Konekto to radi umesto vas
Za većinu firmi, problem nije nedostatak volje, nego nedostatak vremena i ljudi da neko svaki dan prati ranjivosti, zakrpe i alarme. Upravo to preuzimamo na sebe.
Radimo redovno i planirano ažuriranje sistema i servera, uz praćenje kritičnih ranjivosti čim se objave i brzu reakciju na one hitne. Držimo monitoring kompletne IT infrastrukture, dakle servera, mreže i ključnih servisa, sa alarmima kada nešto odstupi od normalnog. I primenjujemo princip koji se pokazao tačnim u WSUS priči, da interni servisi ne treba da budu izloženi ka internetu ako za to nema stvarne potrebe, jer svaka izložena tačka je potencijalna ulazna vrata.
Zaključak
WSUS incident je podsetnik da bezbednost nije proizvod koji se kupi jednom, nego stanje koje se održava svakog dana. Firme koje proaktivno ažuriraju i nadziru svoju infrastrukturu ovakve vesti dočekaju mirno, jer su već zaštićene pre nego što napad krene. One druge saznaju za problem tek kada je kasno.
Iskoristite besplatnu procenu i saznajte koliko su vaši sistemi ažurni i gde ste izloženi, pre nego što to otkrije napadač. Dobijate konkretan plan prioriteta, bez obaveze.
Javite se na 0677 420 420 ili 032 420 420, ili preko kontakt stranice, da vaša mreža bude spremna pre sledećeg hitnog slučaja, a ne posle njega.
