Exploit: hvad det betyder, at en svaghed kan udnyttes

Ordet exploit dukker op i rapporter, nyheder og leverandørbreve, ofte i sætninger som der findes et offentligt exploit eller sårbarheden blev udnyttet under testen. For en køber er spørgsmålet ikke, hvordan det sker, men hvad det betyder for beslutningen: en svaghed, der kan bruges i praksis, skal som regel behandles hurtigere end en, der kun er mulig på papiret.

Et exploit er en metode eller et stykke kode, der bruger en sårbarhed til at få et system til at gøre noget, det ikke burde. Det kan være at give adgang, vise data eller standse en tjeneste. At en svaghed kan udnyttes, betyder, at der findes en praktisk vej fra svagheden til en følge. Det er den vej, der gør en teknisk fejl til et reelt problem.

Fra svaghed til udnyttelse

En sårbarhed er en svaghed i et system. Den kan være mere eller mindre tilgængelig, og den kan kræve særlige forudsætninger for at blive brugt. Et exploit er det næste led: den konkrete måde, svagheden kan bruges på. Forskellen mellem svaghed, fund og risiko er beskrevet i → Sårbarhed, fund og risiko

Ikke alle sårbarheder har et kendt exploit. Nogle er svære at bruge, fordi de kræver adgang, som en udefrakommende ikke har. Andre kan kun bruges under bestemte forhold, fx en bestemt opsætning eller en bestemt brugerhandling. Det betyder ikke, at de kan ignoreres, men det påvirker, hvor hurtigt de skal håndteres.

To begreber går ofte igen. Et proof of concept er en demonstration af, at en svaghed kan bruges, uden at den nødvendigvis er gjort let eller pålidelig at gentage. En kæde betyder, at flere svagheder bruges efter hinanden, så en mindre fejl åbner for den næste. Kæder er vigtige for køberen, fordi de kan gøre to fund med lav alvor til et samlet problem med høj betydning. Bed rapporten forklare sådanne sammenhænge i tekst, så de ikke forsvinder i en liste over enkeltfund.

Teoretisk, påvist eller udnyttet i praksis

Det er nyttigt at skelne mellem tre grader, når et fund skal vurderes:

Teoretisk mulig · svagheden findes, men der er ikke vist en praktisk vej til at bruge den.
Påvist i testen · testeren har under kontrollerede forhold vist, at svagheden kan bruges i jeres miljø.
Udnyttet i praksis · der er kendskab til, at svagheden bliver brugt i angreb mod andre.

En god rapport siger, hvilken grad et fund har. Et fund, som testeren har påvist i kundeportalen, giver et stærkere grundlag end en antagelse ud fra et versionsnummer. Omvendt kan et fund være vigtigt, selv om testeren af gode grunde stoppede før en påvisning.

Den tredje grad ligger uden for testen. Den kommer fra viden om, hvad der sker i omverdenen, og den kan ændre sig fra uge til uge. FIRST har i CVSS v4.0 en egenskab i trusselsgruppen, der beskriver, hvor moden udnyttelsen af en sårbarhed er, fx om der er kendskab til angreb eller kun en demonstration. → CVSS-score

Hvor langt skal testeren gå?

En penetrationstest adskiller sig fra en scanning ved, at testeren forsøger at vise, om en svaghed kan bruges. Men påvisningen skal ske inden for aftalte rammer. Det kan være forsvarligt at vise, at en bruger kan se en anden kundes ordrer i webshoppen. Det er sjældent nødvendigt at hente alle kunders oplysninger for at bevise det.

Aftal derfor på forhånd, hvor langt påvisningen må gå, særligt i produktionsmiljøer. Må testeren ændre data, oprette brugere eller bruge en adgang videre ind i kontornettet? Skal testeren stoppe og spørge, før en svaghed bruges mod et system, der kan blive ustabilt? Svarene hører hjemme i spillereglerne. → Rules of engagement

Valget af miljø påvirker også, hvor meget der kan vises. I et testmiljø kan testeren ofte gå længere uden at risikere drift eller rigtige data, men resultatet skal så holdes op mod produktionen. → Penetrationstest i produktion eller testmiljø

Exploit og prioritering

Om en svaghed kan udnyttes, er et af de vigtigste spørgsmål, når rettelser skal prioriteres. En påvist svaghed i et forretningskritisk system bør normalt ligge højt. En svaghed med et kendt exploit, der bruges i angreb, kræver ofte handling, før den næste planlagte opdatering.

Prioriteringen skal dog også tage højde for, hvad systemet betyder for jer. Et påvist fund på en intern testserver uden data kan vente, mens et teoretisk fund i ERP-systemets økonomidel kan kræve hurtig afklaring. Spørg testeren, hvad der skal til, for at svagheden kan bruges, og hvad følgen kan blive. → Prioritering af rettelser

Når et fund er både påvist og alvorligt, kan det være klogt at handle med det samme frem for at vente på den samlede plan. → Kritiske fund: de første skridt

Når der findes et offentligt exploit

Et offentligt exploit betyder, at fremgangsmåden er tilgængelig for mange. Det sænker tærsklen for at bruge svagheden, også for personer uden særlig indsigt. For virksomheden er det et signal om, at tiden mellem offentliggørelse og forsøg på angreb kan være kort.

Det er her, patchstyring og penetrationstest mødes. Kendte svagheder med offentlige exploits skal helst lukkes gennem faste rutiner for opdatering, før en tester finder dem. Hvis testen alligevel finder dem, siger det noget om rutinerne og ikke kun om det enkelte system. → Patchstyring og pentest

Det skal I lade være med

At afvise et fund, fordi det ikke blev udnyttet · testeren kan have stoppet af hensyn til drift eller data.
At give lov til ubegrænset påvisning · aftal, hvor langt testeren må gå, særligt i produktion.
At forveksle påvist med udnyttet af andre · det første er testens resultat; det andet er viden om omverdenen.
At lade et offentligt exploit vente på næste test · kendte svagheder skal ind i de faste opdateringer.
At bede om tekniske detaljer, I ikke kan bruge · bed om følgen og løsningen, ikke om fremgangsmåden.

Hvad kan og ikke kan konkluderes

Et påvist exploit i testen kan underbygge, at en svaghed kunne bruges i det undersøgte miljø, på det tidspunkt og under de aftalte forhold. Det er et stærkt grundlag for at prioritere rettelsen.

At en svaghed ikke blev udnyttet i testen, kan ikke tolkes som bevis for, at den ikke kan udnyttes. Testeren kan have stoppet bevidst, mangle tid eller mangle forudsætninger, som en anden kunne have.