Zero-day-sårbarhed

En zero-day-sårbarhed er en sikkerhedsfejl i software eller hardware, som producenten endnu ikke kender til. Navnet henviser til, at producenten har haft nul dage til at rette fejlen, når den bliver udnyttet. Der findes ingen opdatering at installere, og de fleste sikkerhedsprodukter har ingen signatur at genkende angrebet på.

Tre begreber, der ofte blandes sammen

Zero-day-sårbarheden er selve fejlen i koden: en fejlagtig hukommelseshåndtering, en manglende adgangskontrol, en parser der kan narres.

Zero-day-exploitet er det stykke kode, der omsætter fejlen til reel adgang. Sårbarheder findes hele tiden, men langt fra alle kan udnyttes pålideligt i praksis.

Zero-day-angrebet er den konkrete anvendelse mod et mål. Det er først her, der sker skade.

Skelnen er ikke akademisk. En organisation kan ikke gøre noget ved sårbarheder, den ikke kender, men den kan gøre en del ved, hvor let et exploit får fat, og hvor langt et angreb når.

Sårbarhedens livscyklus

1. 1Fejlen introduceres i koden, ofte år før nogen opdager den
2. 2Nogen finder den — en sikkerhedsforsker, producenten selv, en kriminel gruppe eller en statslig aktør
3. 3Vinduet hvor fejlen kendes af finderen, men ikke af producenten. Det er her, den er en zero-day
4. 4Offentliggørelse og patch, hvor producenten udsender en rettelse og typisk et CVE-nummer
5. 5N-day-fasen, hvor fejlen er offentligt kendt og rettet, men hvor systemer stadig står uopdaterede

Fase 5 er den farligste for de fleste danske organisationer. Når en patch udkommer, indeholder den en beskrivelse af, hvad der blev rettet, og angribere bruger den beskrivelse til at bygge exploits inden for få dage. De fleste vellykkede angreb udnytter ikke ægte zero-days, men kendte fejl, ingen nåede at lukke.

Hvem finder dem, og hvad sker der så

Der er tre veje ud af en opdaget sårbarhed, og de betaler vidt forskelligt.

Koordineret sårbarhedsoffentliggørelse er den ansvarlige vej: finderen underretter producenten, aftaler en frist og offentliggør først, når rettelsen er ude. Mange producenter betaler via bug bounty-programmer, typisk i størrelsesordenen tusinder til hundredtusinder af kroner.

Exploit-mæglere køber fungerende exploits og videresælger dem til efterretningstjenester og myndigheder. Priserne for pålidelige exploits mod fuldt opdaterede mobiltelefoner ligger i millionklassen, hvilket er grunden til, at de bedste zero-days sjældent når frem til producenten.

Det kriminelle marked handler exploits til ransomware-grupper, hvor et enkelt hul i en meget udbredt filoverførselsløsning kan omsættes til hundredvis af ofre på få dage.

Kendte eksempler

Stuxnet (2010) brugte flere Windows-zero-days samtidig til at ramme industrielle styresystemer og regnes som det første offentligt dokumenterede tilfælde af en zero-day brugt som statsligt våben.

Log4Shell (CVE-2021-44228) ramte et logbibliotek, som stort set alt Java-baseret software brugte. Det illustrerede et centralt problem: de fleste organisationer vidste ikke, om de brugte komponenten, fordi den lå dybt i tredjepartssoftware.

MOVEit Transfer (CVE-2023-34362) blev udnyttet som zero-day af ransomware-gruppen Cl0p mod filoverførselssystemer og ramte et stort antal europæiske organisationer, herunder danske, gennem deres leverandører.

Fællestrækket er, at ofrene ikke blev ramt gennem deres eget kodearbejde, men gennem software, de havde købt eller arvet.

Forsvar, når der ikke findes en patch

Du kan ikke patche dig ud af en zero-day. Du kan derimod gøre den dyrere at udnytte og billigere at overleve.

Reducér angrebsfladen. Et system, der ikke er eksponeret mod internettet, kan ikke rammes af et internetbaseret exploit. Fjernadgangsløsninger, filoverførselssystemer og VPN-koncentratorer er de hyppigst ramte kategorier, netop fordi de per definition er eksponerede.

Segmentér netværket. Zero-day'en giver angriberen ét fodfæste. Segmentering afgør, om det fodfæste bliver til én kompromitteret server eller til hele domænet.

Overvåg adfærd, ikke signaturer. Et ukendt exploit har ingen signatur, men den efterfølgende adfærd — nye processer, uventet netværkstrafik, privilegieeskalering — ligner den, alle angreb har. Det er derfor EDR og logning virker mod trusler, ingen har set før.

Kend dine komponenter. En softwarestykliste (SBOM) er forskellen på at kunne svare på "bruger vi det her?" på en time frem for på en uge.

Hav en opdateringscyklus, der kan køre hurtigt. Evnen til at rulle en kritisk patch ud inden for døgn frem for uger er det, der afgør N-day-fasen.

Rammer og krav i Danmark

Sårbarheder registreres internationalt som CVE-numre og vurderes efter CVSS-skalaen, der giver en score fra 0 til 10. Scoren siger noget om fejlens tekniske alvor, men intet om din risiko: en kritisk fejl i software, du ikke bruger, er irrelevant, mens en middelsvær fejl i din eksponerede fjernadgang kan være akut.

Den amerikanske myndighed CISA fører et katalog over sårbarheder, der beviseligt udnyttes aktivt. Det katalog er et mere brugbart prioriteringsværktøj end CVSS-scoren alene, fordi det skelner mellem teoretisk og faktisk risiko.

Under NIS2-direktivet skal omfattede organisationer have processer for håndtering og offentliggørelse af sårbarheder, og direktivet pålægger EU-agenturet ENISA at drive en europæisk sårbarhedsdatabase. Center for Cybersikkerhed anbefaler koordineret sårbarhedsoffentliggørelse og udsender varsler om aktivt udnyttede sårbarheder i produkter, der er udbredte i Danmark.

En vigtig præcisering til danske sikkerhedsforskere: det er strafbart efter straffelovens § 263 at teste systemer, du ikke har skriftlig tilladelse til at teste. Fund af en sårbarhed er ikke i sig selv en lovlig adgangsbillet.