Patch Tuesday, Exploit Wednesday
expressãosegurançacultura de operações
O ritmo da segurança no Windows: as correções saem na segunda terça-feira, e os ataques de engenharia reversa chegam em dias.
A cadência previsível da Microsoft deu uma agenda aos defensores - e deu aos atacantes um diff para reverter em exploits funcionais antes que as organizações lentas apliquem o patch. A janela entre a publicação e a implantação da correção é o jogo inteiro.
Terça de correção, quarta de exploração descreve a consequência de calendários previsíveis de publicação. A Microsoft publica correções na segunda terça-feira do mês, e atacantes fazem engenharia reversa dessas correções para achar a vulnerabilidade que elas fecham, e então atacam a população que ainda não aplicou.
O mecanismo merece ser entendido porque é contraintuitivo. Uma correção é a descrição de uma vulnerabilidade: comparar o binário corrigido com o anterior revela o que mudou e, portanto, o que estava errado, e essa análise é rotineira e rápida. Publicar a correção dá a largada numa corrida em que o defensor precisa implantar num parque inteiro e o atacante precisa de um único alvo sem correção.
A troca do calendário é genuína dos dois lados. Datas previsíveis permitem às organizações planejar testes e janelas de mudança, o que aumenta de forma mensurável quantas correções são de fato aplicadas; também dão aos atacantes um tiro de largada conhecido. Publicações fora de ciclo para casos graves são a válvula de escape. A resposta prática é encurtar a janela, e não desejar que o calendário não exista: priorize por explorabilidade, e não apenas por nota de severidade, e trate os dias seguintes a uma publicação como o período de risco elevado que comprovadamente são.
Também conhecido como: Patch Tuesday