Illusionen om beskyttelse: Derfor overser sikkerheden ofte legacy-systemer

Moderne cybersikkerhed bygger ofte på en antagelse om, at næste generations sikkerhedsløsninger i kerneinfrastrukturen beskytter hele organisationen. Men virkeligheden er mere kompleks.

År med hurtig digital transformation har efterladt mange virksomheder med en fragmenteret IT-arkitektur. Mens moderne workloads er beskyttet med avanceret telemetri og overvågning, kan kritiske sikkerhedsrisici i legacy-systemer fortsat være skjult. Det skaber blinde vinkler, som moderne endpoint-agenter hverken kan se eller beskytte imod.

Sikkerhedsteams fokuserer naturligt på at beskytte de nyeste og mest synlige aktiver. Angribere leder derimod efter den vej, der giver mindst modstand.

Når forældede platforme betragtes som for sårbare at røre ved eller umulige at opgradere, er de ikke længere kun teknisk gæld. De kan blive en åben indgang til netværket.

For at forhindre det må organisationer gentænke, hvordan de beskytter systemer, der ikke kan beskytte sig selv, og bevæge sig fra blinde vinkler til et mere proaktivt forsvar.

Håndtering af sikkerhedsrisici i legacy-systemer

Virksomheder investerer rekordstore beløb i sikkerhedsløsninger og platforme. Alligevel lykkes det fortsat angribere at trænge ind i virksomheders netværk på meget kort tid.

I moderne cloud- og hybridmiljøer skyldes sikkerhedsbrud ikke nødvendigvis sofistikerede zero-day-angreb. Angribere vælger ofte den langt enklere vej: det ubeskyttede og upatchede legacy-system, der stadig kører i et hjørne af datacenteret.

Samtidig med at sikkerhedsleverandørerne lancerer stadig mere avanceret og AI-baseret endpoint-beskyttelse, er manglen på synlighed i hybride IT-miljøer blevet en væsentlig udfordring.

Moderne EDR-platforme, Endpoint Detection and Response, er udviklet til nutidens operativsystemer. Det betyder, at moderne sikkerhedsværktøjer ikke altid kan anvendes på ældre softwarestacks, udfasede platforme og specialudviklede applikationer, der ikke længere vedligeholdes.

Dermed består de kritiske sikkerhedsrisici i legacy-systemerne.

“Cirka 80 procent af de indledende angrebsveje kan spores tilbage til ubeskyttede legacy-systemer,” forklarer Björn Björkman, Cybersecurity Solution Advisor hos NetNordic. “Sikkerhedsplatformene fokuserer på moderne miljøer, fordi det er her leverandørernes prioriteringer ligger. Men angribere angriber ikke dér, hvor du er stærkest. De leder efter de svage punkter, hvor du ikke kan installere en agent, og bruger en enkelt forsømt server til at få fodfæste og derfra tage kontrol over domænet.”

Angrebshastigheden i en flad verden

For ti år siden kunne det tage dage eller uger for en angriber, der havde fået adgang til et netværk, at kortlægge miljøet og bevæge sig videre gennem infrastrukturen.

I dag har automatiserede værktøjer og scripts reduceret den tid markant.

Når penetrationstestere undersøger organisationer med legacy-systemer og betydelig teknisk gæld, kan det i nogle tilfælde tage helt ned til 50 minutter at opnå fuld kontrol over et domæne.

Den grundlæggende årsag er ofte arkitektonisk.

Mange ældre miljøer blev etableret på et tidspunkt, hvor sikkerheden primært var bygget omkring perimeteren. Netværkene var flade og kun i begrænset omfang segmenteret, fordi udgangspunktet var, at det, der befandt sig inden for virksomhedens firewall, kunne betragtes som sikkert.

Så snart en angriber overtager et legacy-system uden sikkerhedsopdateringer og endpoint-agent, kan manglen på interne barrierer blive kritisk.

Uden interne firewalls, VLAN-grænser eller mikro-segmentering kan en angriber potentielt bevæge sig fra eksempelvis en glemt Windows Server 2008-maskine til forretningskritiske databaser og moderne identitetsplatforme.

Den menneskelige faktor: Hvorfor legacy-teknologien lever videre

Hvorfor eksisterer den sårbare infrastruktur stadig, når sikkerhedsrisiciene er kendte?

Årsagerne er ofte både operationelle og kulturelle. Fire problemstillinger går igen:

• Misforståelsen om sikkerhedsnettet

I forbindelse med modernisering og cloud-migrering lader teams nogle gange ældre systemer køre videre “for en sikkerheds skyld”, hvis den nye applikation skulle give problemer. Måneder bliver til år. Afviklingen bliver udskudt, og den midlertidige backup bliver til en permanent og måske endda udokumenteret del af infrastrukturen.

• Tab af viden

Legacy-systemer kan være konfigureret af specialister, der for længst har forladt organisationen. Det nuværende IT-team undgår måske at patche, migrere eller ligefrem genstarte systemet, fordi ingen med sikkerhed ved, om det vil få kritiske applikationer til at stoppe.

• Den evigt udskudte deadline

Systemer, der skal udfases “næste kvartal”, bliver nogle gange undtaget fra almindelig patching og andre sikkerhedstiltag. Når migreringen efterfølgende bliver forsinket igen og igen, ender systemerne med at stå ubeskyttede i længere tid end forventet.

• Kommunikationskløften

Teknisk gæld kan være vanskelig at kommunikere til den øverste ledelse. Budgethensyn eller frygten for at fremstå som om, organisationen ikke har haft tilstrækkelig kontrol over infrastrukturen, kan betyde, at problemets reelle omfang ikke bliver tydeliggjort. Konsekvenserne handler heller ikke kun om selve infrastrukturen. Legacy-systemer kan efterlade gamle servicekonti, administratorprofiler uden multifaktorgodkendelse og statiske loginoplysninger gemt direkte i applikationsdatabaser. Det kan potentielt give en angriber meget omfattende rettigheder.

Reguleringspresset: Hvorfor “accepteret risiko” ikke længere er nok

I mange år har organisationer kunnet betragte upatchede legacy-systemer som en “accepteret risiko”.

Systemet kunne ikke opdateres, det var vanskeligt eller dyrt at udskifte, risikoen blev dokumenteret, og driften fortsatte.

Med øgede krav til cybersikkerhed og risikostyring er den tilgang i dag langt vanskeligere at forsvare.

NIS2 har skærpet fokus på organisationernes arbejde med blandt andet risikostyring, hændelseshåndtering og sikkerhed i forsyningskæden.

Det afgørende er derfor ikke alene, om et system er gammelt eller nyt. Hvis det er en del af virksomhedens infrastruktur, skal organisationen kende risikoen og forholde sig aktivt til, hvordan systemet beskyttes.

Sådan beskytter I det, der ikke kan patches

Hvis tekniske afhængigheder betyder, at et legacy-system ikke kan opdateres eller udskiftes med det samme, må sikkerhedsstrategien tilpasses. Hvis endpoint-beskyttelse ikke kan installeres direkte på enheden, skal beskyttelsen i stedet etableres omkring systemet. Tre tiltag er centrale:

• 1. Passiv og automatiseret identifikation af aktiver

Man kan ikke beskytte det, man ikke kan se. Organisationen bør derfor løbende kortlægge sin infrastruktur og identificere eksterne angrebsflader, shadow IT samt glemte aktiver, der fortsat er forbundet til netværket eller internettet. Her er det ikke tilstrækkeligt alene at anvende agentbaserede scannere, fordi netop legacy-systemerne kan befinde sig uden for deres rækkevidde.

• 2. Arkitektonisk isolation

Legacy-systemer bør isoleres gennem effektiv segmentering og mikrosegmentering. Indgående og udgående trafik begrænses til de nødvendige porte og forbindelser, workloads isoleres i separate netværkssegmenter, og ældre webapplikationer kan placeres bag moderne web application firewalls, der eksempelvis understøtter virtual patching. Målet er ikke kun at forhindre et kompromis, men også at sikre, at et kompromitteret legacy-system ikke bliver springbræt til resten af organisationen.

• 3. Netværksbaseret detektion

Når det ikke er muligt at køre en sikkerhedsagent på endpointet, må detektionen i stedet flyttes ud i netværket. Network Detection and Response, NDR, kan analysere blandt andet netværksflows, DNS-forespørgsler og anden netværkstelemetri for at identificere afvigende adfærd, brute-force-angreb og misbrug af credentials. Det gør det muligt at opdage mistænkelig aktivitet på systemer, selv når operativsystemet er så gammelt, at moderne endpoint-sikkerhed ikke understøttes.

Den operationelle virkelighed: Fordelen ved SOC

Det er ikke nok at konstatere, at sikkerhedsrisiciene eksisterer. At håndtere legacy-systemer kræver kontinuerlig overvågning og operationel beredskab. En årlig penetrationstest eller et automatiseret dashboard kan identificere svagheder, men opdager ikke nødvendigvis en aktiv angriber, der udnytter dem i realtid.

“Da vi onboardede en kunde i vores Managed SOC, opdagede vi allerede den første dag en aktiv angriber, som havde fået adgang til deres infrastruktur,” fortæller Torbjörn Marnell, rådgiver inden for cybersikkerhedsløsninger hos NetNordic. “Angriberen havde kompromitteret en ikke-manageret legacy-server og var ved at forberede lateral bevægelse. Hvis angrebet var forblevet uopdaget yderligere 24 timer, kunne angriberen potentielt have lammet produktionsinfrastrukturen. De operationelle og økonomiske konsekvenser kunne have været katastrofale.”

At opdage angreb på dette stadie kræver ikke nødvendigvis, at alle ældre operativsystemer bliver udskiftet fra den ene dag til den anden.

Sådan hjælper NetNordic med at sikre komplekse legacy-miljøer

Organisationer behøver ikke vælge mellem en urealistisk plan om at modernisere alt på én gang og at acceptere en alvorlig risiko for sikkerhedsbrud.

Ved at kombinere målrettede kompenserende sikkerhedskontroller med kontinuerlig overvågning døgnet rundt via NetNordics Security Operations Center kan virksomheder identificere hidtil usynlige sårbarheder, styrke deres sikkerhed og reagere på trusler, før angribere når frem til forretningskritiske systemer.

NetNordic hjælper organisationer med at finde balancen mellem håndteringen af teknisk gæld og behovet for moderne cybersikkerhed.

Med dyb netværkssynlighed, Managed SOC og en robust sikkerhedsarkitektur kan vi hjælpe med at beskytte de aktiver, der ikke længere kan opdateres, lukke kritiske blinde vinkler og styrke organisationens modstandsdygtighed over for et trusselsbillede i konstant forandring.