Illusionen av skydd: Varför säkerhetsåtgärder ofta missar legacy-system

Dagens cybersäkerhet i företag bygger på antagandet om att nästa generations skyddslösningar i kärninfrastrukturen skyddar hela organisationen. Men i själva verket har år av snabb digital omvandling lämnat efter sig en fragmenterad arkitektur. Medan moderna arbetsbelastningar är förstärkta med sofistikerad telemetri, förblir kritiska säkerhetsrisker i äldre system dolda – vilket skapar mörka fläckar som moderna slutpunktsagenter varken kan se eller försvara mot.

De som skyddar sina system fokuserar naturligtvis på att säkra sina nyaste och mest synliga tillgångar, men angripare letar alltid efter den väg som innebär minst motstånd. När föråldrade plattformar anses vara för sårbara för att röras eller omöjliga att uppgradera är de inte längre enbart en teknisk skuld utan blir istället en öppen ingång till nätverket. För att förhindra detta måste organisationer ompröva hur de skyddar tillgångar som inte kan skydda sig själva; gå från blinda fläckar till proaktivt försvar.

Att hantera säkerhetsrisker i legacy-system

Företag lägger rekordstora summor på säkerhetslösningar och -plattformar, men ändå lyckas angripare fortfarande ta sig in i företagsnätverk på mindre än en timme. I moderna molnmiljöer beror säkerhetsbristerna sällan på sofistikerade zero-day-attacker. Istället bryter sig angriparna konsekvent in via den mycket enklare vägen: Det obevakade, opatchade äldre systemet som tyst surrar i ett hörn av datacentret.

Samtidigt som säkerhetsleverantörer marknadsför AI-drivet skydd med fokus på slutpunkter har bristen på insyn ökat i hybrid-IT-miljöer. Moderna EDR-plattformar (Endpoint Detection and Response) är utformade för dagens operativsystem, vilket innebär att moderna verktyg inte kan köras på äldre mjukvarustackar och de kritiska säkerhetsriskerna med äldre system förblir. Såsom utfasade plattformar och skräddarsydda applikationer som inte längre underhålls – i grunden helt oskyddade.

”Cirka 80 procent av de initiala intrångsvägarna kan spåras tillbaka till obevakade äldre system”, förklarar Björn Björkman, cybersecurity solution advisor på NetNordic. ”Säkerhetsplattformar fokuserar på moderna miljöer eftersom det är där leverantörernas prioriteringar ligger. Men angripare attackerar inte där du är som starkast. De letar efter de svaga punkterna där du inte kan installera en agent och använder enskilda försummade servrar för att få fotfäste och därifrån ta kontroll över domänen.”

Anfallshastigheten i en platt värld

För tio år sedan kunde det ta dagar eller veckor för en angripare som fått inledande åtkomst till nätverket att kartlägga miljön och utföra lateral rörelse. Idag har automatiserade verktyg och skriptautomatisering kortat ner den tiden till några minuter. 

När teamen som utför penetrationstestning utvärderar organisationer med legacy-system och teknisk skuld tar det ofta så lite som 50 minuter att uppnå komplett kontroll av domänen. Den grundläggande orsaken är arkitektonisk; de äldre miljöerna byggdes upp under en tid då försvaret enbart baserades på perimetern. Nätverken byggdes upp som platta och osegmenterade, utifrån antagandet att allt som befann sig innanför företagets brandvägg i sig var pålitligt.

Så snart en angripare har tagit kontroll över en äldre dator utan säkerhetsuppdateringar och utan en endpoint-agent finns det inga interna barriärer. Utan interna brandväggar, VLAN-gränser eller mikrosegmentering, kan en angripare utan problem ta sig vidare från en bortglömd Windows Server 2008-dator direkt till verksamhetskritiska databaser och moderna identitetsleverantörer.

Den mänskliga faktorn: Hur traditionell teknik lever kvar

Varför fortsätter sårbar infrastruktur att existera när säkerhetsriskerna med äldre system är så påtagliga? Den grundläggande orsaken är av operativ och kulturell karaktär och beror vanligen på fyra återkommande fallgropar:

• Missuppfattningen om skyddsnätet: Vid modernisering och övergång till molnplattformar låter team ofta gamla system vara igång ”för säkerhets skull”, ifall den nya applikationen skulle krångla. Månader blir till år, ärenden om avveckling hamnar i kö, och den tillfälliga reservlösningen blir en permanent, odokumenterad belastning.
• Förlust av institutionellt minne: Äldre, legacy-system har ibland konfigurerats av ingenjörer som hunnit lämna organisationen. Det nuvarande IT-teamet undviker att installera uppdateringar, migrera eller ens starta om datorn på grund av osäkerheten om det kan leda till att kritiska system slutar fungera.
• Den uppskjutna tidsplanen: System som ska tas ur drift ”nästa kvartal” undantas från rutinmässiga säkerhetsuppdateringar och säkerhetsåtgärder. När migreringarna drar ut på tiden blir dessa system helt oskyddade.
• Kommunikationsklyftan: Inom IT-branschen finns det en utbredd ovilja att redogöra för den tekniska skuldens fulla omfattning inför den högsta ledningen. Av budgetmässiga skäl eller, ännu värre, rädsla för att framstå som oansvariga hoppas teamen på det bästa istället för att be om hjälp utifrån.

Denna kulturella friktion påverkar direkt hanteringen av identiteter. Äldre system lämnar ofta efter sig övergivna tjänstekonton, administratörsprofiler utan multifaktorautentisering (MFA) och statiska inloggningsuppgifter som lagras direkt i oövervakade applikationsdatabaser – vilket ger administratörsbehörighet till den som råkar stöta på dem.

Regleringshammaren: Varför ”accepterad risk” blivit ett föråldrat begrepp

Under många år betraktade riskhanteringskommittéerna äldre system utan säkerhetsuppdateringar som en ”accepterad risk”. Mot bakgrund av ökade krav från europeiska tillsynsmyndigheter är detta argument inte längre godtagbart.

Införnandet av NIS2-direktivet innebär strikta rättsliga skyldigheter för nordiska och europeiska organisationer att granska sina leverantörskedjor, tillämpa programvaruförteckningar (Software Bills of Materials – SBOM) och aktivt åtgärda kända sårbarheter. Tillsynsmyndigheterna upphäver skillnaden mellan aktiva produktionssystem och bortglömda backoffice-servrar. Om en resurs ansluts till nätverket ingår även ansvaret för dess säkerhet.

Att säkra det som inte går att patcha: Handboken för kompenserande kontrollåtgärder

När tekniska beroenden gör att en äldre plattform inte kan uppdateras eller bytas ut omedelbart måste organisationerna anpassa sin strategi. Om verktygen för skydd av slutpunkter inte kan installeras direkt på själva enheten måste skyddet utvidgas utåt i koncentriska operativa ringar.

• Passiv och automatiserad identifiering av tillgångar: Man kan inte skydda det man inte ser. Därför är det viktigt att införa system som kontinuerligt kartlägger externa attackytor, skugg-IT och bortglömda resurser som är anslutna till internet. I stället för att enbart förlita sig på agentbaserade skannrar.
• Arkitektonisk isolering: Omge legacy-värddatorer med aggressiv mikrosegmentering. Begränsa inkommande och utgående trafik till bara de nödvändiga portarna, isolera arbetsbelastningar i separata undernät och placera äldre webbapplikationer bakom moderna webbapplikationsbrandväggar som stöder virtuell patchning.
• Telemetribaserad nätverksdetektering: I de fall där agentprogram inte kan köras på slutpunkterna måste detekteringen istället ske via Network Detection and Response (NDR). Genom att analysera laterala nätverksflöden, DNS-förfrågningar och pakettelemetri kan säkerhetsanalytiker upptäcka avvikande beteenden, brute force-försök och missbruk av inloggningsuppgifter. Även på operativsystem som släpptes för två decennier sedan.

Verksamhetens verklighet: Fördelarna med SOC

För att överbrygga klyftan med legacy-system krävs ett kontinuerligt, människostyrt operativt försvar. Årliga penetrationstester och automatiserade översiktspaneler bekräftar endast att det finns säkerhetsrisker i legacy-systemen, men de upptäcker inte hotaktörer som utnyttjar dessa i realtid.

”När vi onboardade en kund i vår managerade SOC upptäckte vi redan den första dagen en aktiv angripare som hade trängt in i deras infrastruktur”, säger Torbjörn Marnell, rådgivare för cybersäkerhetslösningar på NetNordic. ”De hade komprometterat en icke-managerad legacy-server och förberedde sig för lateral rörelse. Om det här intrånget hade förblivit oupptäckt i 24 timmar till kunde angriparen ha lamslagit deras produktionsinfrastruktur. De operativa och ekonomiska konsekvenserna skulle ha varit katastrofala.”

För att upptäcka attacker i det skedet behöver man inte byta ut alla äldre operativsystem över en natt. Men det kräver kontinuerlig insyn, ingående nätverksövervakning och den operativa kapaciteten att reagera så fort onormal aktivitet registreras i nätverket.

Hur NetNordic bidrar till att säkra komplexa äldre systemmiljöer

Organisationer behöver inte välja mellan en omöjlig moderniseringsplan och en katastrofal risk för dataintrång. Genom att kombinera strikta kompenserande kontroller med kontinuerlig övervakning dygnet runt via NetNordics security operations center (SOC), kan företag identifiera tidigare oupptäckta sårbarheter, uppfylla stränga lagkrav och oskadliggöra angripare långt innan de når kärnverksamhetens arbetsbelastningar. 

Att navigera i denna känsliga balansgång mellan att hantera ärvd teknisk skuld och upprätthålla modern driftsäkerhet är NetNordic en pålitlig partner. Vi tillhandahåller den djupgående nätverksinsynen, expertisen inom Managed SOC och den robusta försvarsarkitekturen som krävs för att skydda tillgångar som inte kan uppdateras. Dessutom kan vi täppa till kritiska insynsluckor och se till att hela företaget förblir motståndskraftigt mot ständigt föränderliga hot.

Författare

Björn Björkman

Cybersecurity Solution Advisor

About Björn Björkman

Björn Björkman är cybersäkerhetsspecialist och lösningsrådgivare på NetNordic, med gedigen expertis inom penetrationstestning och säkerhetsutvärdering. Han har omfattande erfarenhet av att utvärdera organisationers säkerhetsläge ur både ett tekniskt och strategiskt perspektiv, och hjälper kunder att identifiera sårbarheter och förbättra sin motståndskraft mot avancerade cyberhot. Hans arbete spänner över flera branscher och fokuserar på att göra säkerhetstestning till en kontinuerlig, värdedriven del av moderna cyberförsvarsstrategier.