Meltdown a Spectre: Co víme po prvním měsíci

Doporučení analytiků společnosti Gartner pro podniky a provozovatele cloudových služeb.

V uplynulých týdnech se ukázalo, že bezpečnostní zranitelnosti Meltdown a Spectre, jejichž podrobnosti byly zveřejněny počátkem ledna 2018, se týkají všech výrobců moderních mikroprocesorů a většiny výpočetních zařízení.

Bezprostředně po zveřejnění podrobností o slabinách v procesorech jsme publikovali  doporučení analytika Nika Simpsona, viceprezidenta výzkumu pro infrastrukturní oblast, pro podniky a poskytovatele cloudových služeb (původní text online). S odstupem čtyř týdnů přinášíme shrnutí aktualizovaných doporučení a předpovědí analytiků. Máte-li předplatné služeb Gartner, doporučujeme věnovat pozornost studii „Microprocessor Security Vulnerabilities Require Measured Mitigation Response“ publikované 26. ledna 2018 (online), z níž jsme pro toto stručné shrnutí také čerpali.

Podle analytiků společnosti Gartner se jedná o problém s mírnou úrovní rizika, ale potenciálně značným dopadem v oblastech bezpečnosti, výkonu a složitosti správy infrastruktury v závislosti na používaném typu aplikací a pracovních zátěží. Jeho potlačení vyžaduje aktualizaci celého softwarového stacku zahrnujícího firmware, hypervisory, operační systémy a prohlížeče, v některých případech i ovladačů a antivirového software. Útoky využívající tyto slabiny se v budoucnu mohou vyvíjet a vyžádají si tak další aktualizace a monitorování případných útoků typu zero-day.

Meltdown a Spectre: předpovědi analytiků

• Do konce roku 2019 budou zveřejněny nové varianty útoků využívajících spekulativní provádění instrukcí a vyžádají si nová opatření.
• Do roku 2019 se díky novým verzím oprav sníží dopad na výkon pod 5 %.

Shrnutí doporučení analytiků Gartner:

• Nařiďte inventarizaci a prioritizaci bezpečnostních oprav pro systémy vystavené nevyššímu riziku – tedy ty, na nichž je provozován neprověřený kód a/nebo jsou přístupné z internetu. Tedy PC a instance v neřízených cloudových prostředích sdílených více zákazníky. V některých případech může být s ohledem na možná rizika správným rozhodnutím opravy neinstalovat.
• Ujistěte se, že zaměstnanci odpovídajícím způsobem řeší dopad na výkon, testování oprav před jejich aplikací v plné šíři a případně, je-li třeba, vyčkávají na kvalitnější opravy.
• Dbejte na prosazování nastavených bezpečnostních pravidel a postupů zaměstnanci a připravte se na možné budoucí útoky – zdokumentujte stávající inventář a postupy.

Zákazníci společnosti Gartner naleznou podrobnější informace včetně schématu míry rizika a dopadů zranitelností Meltdown a Spectre na aplikace a výpočetní úlohy/systémy ve studii společnosti Gartner „Microprocessor Security Vulnerabilities Require Measured Mitigation Response“ , publikované 26. ledna 2018 (online).