Je hebt een kritieke kwetsbaarheid in je beveiligingssysteem ontdekt én er is een patch beschikbaar. Het installeren ervan betekent echter stilstand of uitgebreid testen. Twee scenario's die eigenlijk te veel tijd in beslag gaan nemen. Neem je het risico op een storing door een update overhaast uit te voeren, of riskeer je een beveiligingslek door niets te doen?
Wat als er een derde optie is?
Virtual patching biedt een krachtige oplossing door als een onmiddellijk beschermingsschild te fungeren. Het blokkeert bedreigingen die misbruik proberen te maken van de kwetsbaarheid, zonder het kwetsbare systeem zelf aan te passen. Dit geeft je de ruimte om een permanente oplossing goed te plannen en te implementeren, terwijl je bedrijfsactiviteiten doorgaan en je bedrijfsmiddelen beveiligd blijven.
In deze blog leggen we uit wat virtual patching is, hoe het werkt als een essentiële beveiligingslaag en waarom het een onmisbare aanpak is geworden om alles, van verouderde systemen tot kritieke infrastructuur, te beschermen tegen de meest geavanceerde cyberdreigingen van vandaag.
Virtual patching uitgelegd
Virtual patching, soms ook wel een 'soft patch' genoemd, is een beveiligingsmethode die softwarekwetsbaarheden snel kan beschermen tegen misbruik. Een virtuele patch is een externe beveiligingsmaatregel die een softwarekwetsbaarheid kan beperken door kwaadaardig verkeer dat gericht is op het kwetsbare onderdeel te filteren of te blokkeren, zonder de kwetsbare software zelf aan te passen.
In essentie wordt op netwerkniveau een beveiligingsbeleid of signature toegepast om pogingen tot misbruik te blokkeren voordat ze het kwetsbare systeem bereiken. Deze aanpak biedt onmiddellijke bescherming zonder ingrijpende aanpassingen en geeft je IT- en beveiligingsteams de tijd die ze nodig hebben om een permanente oplossing toe te passe
Hoe werkt virtual patching?
Virtual patching werkt door een beveiligingsregel, signature of beleid te implementeren waarmee kwaadaardig verkeer wordt onderschept en geblokkeerd voordat het een kwetsbare applicatie kan bereiken. Dit proces kan doorgaans worden uitgevoerd door een netwerkbeveiligingsoplossing, zoals een Next-Generation Firewall (NGFW) of een Intrusion Prevention System (IPS).
Het proces is eenvoudig en effectief:
- Een kwetsbaarheid wordt geïdentificeerd: eerst wordt een beveiligingsfout ontdekt in software. Dit kan een webapplicatie zijn, het besturingssysteem van een server of een netwerkapparaat.
- Er wordt een specifieke regel opgesteld: beveiligingsexperts of geautomatiseerde systemen analyseren het aanvalspatroon. Vervolgens kan een specifieke beveiligingsregel, signature of beleid worden opgesteld of toegepast om pogingen tot misbruik van de kwetsbaarheid te detecteren. Deze beveiligingsregel of beschermingsmaatregel wordt opgesteld of toegepast als de 'virtuele patch'.
- De beveiligingsoplossing blokkeert de dreiging: de bescherming wordt geïmplementeerd via een beveiligingsoplossing, zoals een NGFW of IPS. De oplossing inspecteert het netwerkverkeer en kan verkeer blokkeren dat overeenkomt met een bekend aanvalspatroon, zodat de aanval het kwetsbare systeem niet bereikt. Deze externe beschermingslaag helpt de kwetsbaarheid te beperken totdat gepatchte software is geïnstalleerd.
4 belangrijke voordelen van virtual patching
Virtual patching biedt een strategisch voordeel op het gebied van snelheid, efficiëntie en operationele continuïteit. Het stelt organisaties in staat om over te stappen van een reactieve naar een proactieve beveiligingsaanpak.
Misbruik door AI-gestuurde en zero-day-dreigingen voorkomen
Cybercriminelen gebruiken steeds vaker AI om kwetsbaarheden te ontdekken en aanvallen uit te voeren met een ongekende snelheid. Daarbij richten ze zich vaak op 'zero-day'-kwetsbaarheden waarvoor nog geen officiële patch beschikbaar is.
Omdat een virtuele patch snel kan worden ontwikkeld en geïmplementeerd, kan deze bescherming bieden tegen bekende pogingen tot misbruik voordat een traditionele softwarepatch beschikbaar is.
Verouderde en end-of-life-systemen (EOL) beschermen
Veel organisaties zijn afhankelijk van kritieke software of hardware die niet langer door de oorspronkelijke leverancier wordt ondersteund. Deze verouderde en end-of-life-systemen vormen een aanzienlijk beveiligingsrisico, omdat nieuwe kwetsbaarheden mogelijk geen officiële beveiligingspatches of updates meer ontvangen.
Stilstand verminderen zonder systemen opnieuw op te starten
Het verhelpen van kwetsbaarheden door middel van updates vereist doorgaans dat systemen offline worden gehaald en opnieuw worden opgestart, wat leidt tot operationele stilstand.
Virtual patching daarentegen vereist over het algemeen geen ingrijpende aanpassingen aan het beschermde systeem. Omdat de patch wordt toegepast via een externe beveiligingsoplossing, zoals een IPS of NGFW, zijn er geen wijzigingen aan de onderliggende software nodig.
Snel onmiddellijke bescherming implementeren
Wanneer een kritieke kwetsbaarheid wordt ontdekt, kunnen aanvallers snel in actie komen. Door binnen enkele minuten een virtuele patch te implementeren, kun je deze dreigingen voor zijn.
Hierdoor kunnen beveiligingsteams snel reageren door centraal beheerd beveiligingsbeleid toe te passen om kwetsbare bedrijfsmiddelen te beschermen. Dit kan de periode verkorten waarin systemen worden blootgesteld aan bekende pogingen tot misbruik en het algemene beveiligingsrisico verlagen.
Hoe Axis en Palo Alto Networks samenwerken om risico's te beperken
Het strategische belang van virtual patching komt het duidelijkst naar voren bij de toepassing ervan voor de bescherming van kritieke infrastructuur. Axis en Palo Alto Networks erkennen de noodzaak van proactieve bescherming tegen opkomende dreigingen en zijn daarom een krachtige samenwerking aangegaan.
Het proces begint met Axis, dat proactief informatie over kwetsbaarheden met een hoge prioriteit deelt met Palo Alto Networks. Dankzij deze vroegtijdige informatie kan Palo Alto Networks beschermingsmaatregelen op netwerkniveau ontwikkelen die misbruik helpen beperken voordat een traditionele software-update beschikbaar is.
Dit initiatief vormt een belangrijk onderdeel van het Frontier AI Critical Defense Program, waarvan Axis een van de oprichtende partners is. Het programma heeft als doel essentiële diensten en kritieke infrastructuur te helpen beschermen tegen opkomende geautomatiseerde en AI-gestuurde cyberdreigingen.
Deze samenwerking brengt de diepgaande expertise van Palo Alto Networks op het gebied van netwerkbeveiliging samen met de leidende positie van Axis op het gebied van intelligente edge-apparaten.
In een omgeving waarin AI de tijd tussen het ontdekken van een kwetsbaarheid en het misbruik ervan verkort, is samenwerking essentieel.
Sebastian Hultqvist, Manager Platform Solutions, Axis Communications.
"Door ons als oprichtende partner bij dit initiatief aan te sluiten, bieden we onze klanten een proactief vangnet. Deze samenwerking beschermt niet alleen onze klanten vandaag, maar levert ons ook waardevolle inzichten op waarmee we onze beveiligingsaanpak voortdurend kunnen verbeteren."
Dankzij dit partnerschap profiteren gezamenlijke klanten van een dynamisch en veerkrachtig beveiligingsmodel met meerdere beschermingslagen (defense-in-depth). Wanneer nieuwe dreigingen ontstaan, zorgt deze nauwe samenwerking ervoor dat virtuele patches snel kunnen worden ontwikkeld en geïmplementeerd om kwetsbare systemen in het hele netwerk te helpen beschermen, van de kerninfrastructuur tot edge-apparaten.
"Frontier AI heeft het mogelijk gemaakt dat cyberdreigingen softwarefouten sneller kunnen vinden en aanvallen dan traditionele patchmethoden kunnen bijhouden", aldus Qiang Huang, Vice President Product Management bij Palo Alto Networks. "Door samen te werken met technologieleiders zoals Axis biedt ons programma proactieve bescherming aan onze gezamenlijke klanten door dreigingen op netwerkniveau te blokkeren. Hierdoor krijgen beheerders van kritieke infrastructuur de tijd die ze nodig hebben om permanente oplossingen veilig te implementeren, terwijl ze tegelijkertijd sterke bedrijfsresultaten kunnen realiseren met verbonden apparaten van de volgende generatie."
Conclusie
Door het 'risicovenster' bij zero-day-dreigingen te verkleinen, is virtual patching een essentiële strategie geworden binnen moderne cybersecurity. Het helpt organisaties om over te stappen van een reactieve patchcyclus naar een proactievere en beter beheersbare beveiligingsaanpak.
Door onmiddellijke bescherming te bieden zonder ingrijpende aanpassingen, geeft virtual patching beveiligingsteams de cruciale tijd die ze nodig hebben om permanente oplossingen te testen en te implementeren zonder de bedrijfsactiviteiten te onderbreken.
In een omgeving waarin dreigingen zich steeds sneller ontwikkelen, is het vermogen om snel te reageren een echt strategisch voordeel. Het toepassen van virtual patching is een belangrijke stap naar een veiligere en veerkrachtigere organisatie.
FAQs
Frequently asked questions about virtual patching.
Is ‘virtual patching’ hetzelfde als IPS of NGFW?
Nee, ze staan wel met elkaar in verband, maar zijn niet hetzelfde. Een IPS of NGFW is de beveiligingsoplossing die het handhavingspunt vormt, terwijl ‘virtual patching’ de beveiligingsaanpak is die wordt gebruikt om een kwetsbaarheid te verhelpen zonder het kwetsbare systeem zelf aan te passen.
Hoe effectief is virtuele patching tegen door AI aangestuurde bedreigingen?
Virtuele patches zijn vooral nuttig tegen door AI versnelde bedreigingen. Aangezien aanvallers AI gebruiken om kwetsbaarheden op machinesnelheid op te sporen en te misbruiken, wordt de tijdspanne voor traditionele patches steeds korter. Virtuele patches kunnen veel sneller worden geïmplementeerd dan codecorrecties en bieden zo snelle tijdelijke bescherming terwijl er aan een permanente oplossing wordt gewerkt.
Wat is het Frontier AI Critical Defense-programma?
Het Frontier AI Critical Defense Program is een initiatief van Palo Alto Networks, met Axis Communications als een van de oprichtende partners. Het programma heeft als doel kritieke infrastructuur te beschermen tegen geavanceerde, door AI versnelde cyberdreigingen door middel van virtuele patches op netwerkniveau. Het programma bundelt de expertise van toonaangevende spelers op het gebied van beveiliging en apparatuur om een proactieve verdediging voor essentiële diensten te realiseren.
Maakt virtuele patching het updaten van AXIS OS overbodig?
Nee, dat is niet het geval. Virtuele patching is een krachtige compenserende beveiligingsmaatregel die snelle bescherming kan bieden tegen pogingen tot misbruik, maar mag niet worden beschouwd als vervanging voor permanente software-updates. Het is een aanbevolen werkwijze om altijd te updaten naar de nieuwste versie van AXIS OS, met het oog op de veiligheid en de goede werking van het systeem op de lange termijn. Virtuele patching biedt cruciale bescherming in de periode tussen het ontdekken van een kwetsbaarheid en het moment waarop een permanente oplossing is getest en toegepast.
Wat is een handtekening in de context van virtuele patching?
Bij virtuele patching is een handtekening een regel die netwerkverkeer identificeert dat overeenkomt met een bekende kwetsbaarheid of een bekend exploitpatroon. Een beveiligingsapparaat gebruikt deze regel om pogingen om die kwetsbaarheid te misbruiken te detecteren en, afhankelijk van de configuratie, te blokkeren, zonder de kwetsbare software zelf te wijzigen.
Een handtekening kan zoeken naar een specifieke reeks in een verzoek, ongebruikelijk protocolgedrag of andere aanwijzingen voor een exploit. Deze is doorgaans gekoppeld aan een specifieke kwetsbaarheid, zodat deze kan helpen systemen te beschermen terwijl een permanente softwarepatch wordt voorbereid of geïmplementeerd.
