Modul 5 · 5.1
Oppdateringer og utdatert programvare
Modul 5: Enheter, programvare og nettverk · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du lage en oppdateringspolicy for operativsystemer, apper, plugins, rutere og andre enheter, og forklare hva «slutt på support» betyr og hva du gjør da.
Nøkkelbegreper: sårbarhet, patch, zero-day, automatiske oppdateringer, firmware, plugin, inventar, slutt på support (end of life), randenhet (edge device)
En oppdatering er en ekstra lås du setter på
Programvare inneholder feil. Noen feil er bare plagsomme (en knapp som ikke virker), andre er en sårbarhet: en feil som gjør at en angriper kan gjøre noe han ikke skal, som å logge inn uten passord eller kjøre egen kode. Leverandøren løser dette med en patch, som kommer til deg som en oppdatering.
Det lumske ligger i rekkefølgen. Så snart en oppdatering kommer ut, er sårbarheten i praksis offentlig kjent. Angripere sammenligner den gamle og den nye versjonen, ser hva som er reparert og bygger et angrep på det. Deretter skanner de automatisk hele internett etter enheter som ennå ikke har fått oppdateringen. Det er akkurat det opportunistiske angrepet fra leksjon 1.1: de leter ikke etter deg spesielt, de leter etter alle som henger etter.
En zero-day er en sårbarhet som allerede blir utnyttet før det finnes en patch. Da kan du gjøre lite annet enn å følge rådene fra leverandøren og begrense skaden (sikkerhetskopier, minimale rettigheter). Men de aller fleste innbrudd hos små bedrifter skjer via sårbarheter der oppdateringen har ligget klar lenge.
Det tidligere nederlandske Digital Trust Center, nå en del av det nederlandske NCSC, så i 2024 i sin CyberVeilig Check at over en av tre små bedrifter (36 %) ikke hadde automatiske oppdateringer på for alle sine internettilkoblede enheter. Rådet fra det nederlandske NCSC er enkelt: ikke vent med å oppdatere, og slå på automatisk oppdatering der det er mulig.
Hva har du egentlig? Inventaret
Du kan ikke oppdatere det du har glemt. De fleste bedrifter tenker på bærbare datamaskiner og telefoner når de hører «oppdatering», men de farligste enhetene er ofte de stille:
| Type | Eksempler | Hvordan den vanligvis oppdateres |
|---|---|---|
| Datamaskiner og telefoner | Windows, macOS, Linux, Android, iOS | Automatisk, hvis du slår det på og ikke utsetter omstarten i det uendelige |
| Programmer og apper | Nettleser, kontorpakke, pdf-leser, regnskapsapp | Ofte automatisk; frittstående programmer noen ganger ikke |
| Nettsted | CMS, plugins, temaer, PHP-versjon | Delvis automatisk; plugins og temaer ofte manuelt |
| Nettverksutstyr | Ruter, modem, wifi-punkter, brannmur, VPN-server | Firmware, ofte manuelt eller via leverandøren |
| Randenheter | NAS, nettverksskriver, IP-kamera, smart dørklokke, alarmsystem, kassesystem | Firmware, ofte manuelt, noen ganger aldri |
| Skytjenester | E-post, regnskap, nettbutikkplattform | Leverandøren oppdaterer; du styrer innstillingene |
Enheter som er direkte koblet til internett og kan nås utenfra (ruter, VPN-server, NAS med fjerntilgang, kamera) kaller vi randenheter (edge devices). De er oftest et mål, fordi en angriper kan nå dem uten at en medarbeider trenger å klikke på noe. Et anonymisert eksempel: et regnskapskontor hadde en NAS med «tilgang fra hvor som helst» slått på. Leverandøren ga ut en sikkerhetsoppdatering, kontoret installerte den ikke, og noen uker senere var alle filene på NAS-en kryptert. Ingen hadde klikket på noe som helst.
En oppdateringspolicy i fem avtaler
En policy trenger ikke være et dokument på ti sider. For en liten bedrift fungerer disse avtalene:
- Automatisk der det er mulig. Slå på automatiske oppdateringer for operativsystemer, nettlesere, apper, og der det er mulig for CMS, plugins og for firmware på ruter og NAS.
- Omstart hører med. Mange oppdateringer virker først etter en omstart. Avtal at alle starter på nytt minst én gang i uken, og utsett ikke en omstart i ukesvis.
- Randenheter først. For enheter som kan nås utenfra: sjekk selv om det finnes oppdateringer, for eksempel én gang i måneden, og installer en sikkerhetsoppdatering innen noen dager. Advarer leverandøren eller det nederlandske NCSC om aktiv utnyttelse, gjør det samme dag.
- Én eier per enhet. I inventaret står det på hver linje hvem som oppdaterer den: deg selv, en kollega, ditt IT-firma eller din nettbygger. Står det ingen, gjør ingen det.
- Det du ikke lenger trenger, fjerner du. En plugin du ikke bruker, en gammel bærbar i skapet som fortsatt kobler seg til nettverket, et testnettsted på et subdomene: fjern det, så slipper du å oppdatere det også.
Er du i tvil om en oppdatering ødelegger noe? Ta en sikkerhetskopi først (modul 6) og oppdater deretter. Å la være å installere en oppdatering av frykt for problemer er nesten alltid den største risikoen.
Slutt på support: når det ikke kommer flere oppdateringer
Hver versjon av programvare eller firmware har en sluttdato. Etter det gir leverandøren ikke lenger ut sikkerhetsoppdateringer. Dette kalles slutt på support (end of life, EOL). Enheten fungerer fortsatt helt vanlig, og det er nettopp det som er lumskt: ingen merker noe, mens hver nye sårbarhet forblir åpen for alltid.
Eksempler:
- Windows 10. Den vanlige supporten tok slutt 14. oktober 2025. Etter det kommer det bare sikkerhetsoppdateringer via Microsofts ESU-program, med sluttdatoer som varierer etter situasjon. Se på Microsofts nettsted hva som gjelder for dine enheter, og planlegg overgangen til en versjon som fortsatt støttes, eller en annen enhet.
- PHP og andre nettstedsspråk. Hver PHP-versjon får sikkerhetsoppdateringer i noen år. Kjører nettstedet ditt på en gammel versjon, kan serveren være trygg, men nettstedet ditt er det ikke.
- Rutere, NAS og kameraer. Billige enheter får noen ganger bare noen års firmware-oppdateringer, noen ganger ingen. Det nederlandske NCSC anbefaler å finne ut før kjøp hvor lenge leverandøren støtter enheten, og å bytte ut enheter som ikke lenger får oppdateringer.
- Plugins og temaer. En plugin der utvikleren har sluttet, får ikke flere fikser. Finn en erstatning.
Kan du ikke bytte ut noe med en gang, begrens da risikoen: koble det fra internett, sett det i et eget nettverk (leksjon 5.3), og gi det ikke tilgang til viktige data.
Trygg oppdatering: bare via den offisielle veien
Angripere misbruker også ordet «oppdatering». Et popup-vindu på et nettsted «Nettleseren din er utdatert, last ned oppdateringen her» eller en e-post «installer sikkerhetsoppdateringen i vedlegget» er nesten alltid skadevare. Ekte oppdateringer kommer via operativsystemet, app-butikken, oppdateringsfunksjonen i programmet selv eller leverandørens nettsted. Aldri via en lenke i en e-post eller et popup-vindu på et tilfeldig nettsted.
I praksis: slik ser det ut
I en webhotellpakke med DirectAdmin, som hos WebOké, velger du PHP-versjonen for nettstedet ditt via Select PHP version. Vil du ta en sikkerhetskopi før du oppdaterer nettstedet eller pluginene dine, kan du for eksempel gjøre det i Installatron med knappen Back-up, slik at du kan gjenopprette forrige versjon hvis det oppstår problemer. Hos andre leverandører fungerer det på lignende måte: søk etter «PHP-versjon» og etter sikkerhetskopi- eller staging-funksjonen i CMS-et ditt.
For datamaskiner og telefoner finner du oppdateringsfunksjonen i innstillingene til operativsystemet. For ruteren din ser du i administrasjonssiden (adressen står i bruksanvisningen eller på klistremerket på ruteren) eller i appen til internettleverandøren din.
Oppsummering
- En oppdatering tetter en kjent sårbarhet; etter at den er sluppet, skanner angripere internett etter hvem som henger etter.
- Lag et inventar, også av ruter, NAS, skriver, kameraer, nettsted og plugins, med en eier per linje.
- Oppdater automatisk der det er mulig, omstart hører med, randenheter først og raskt.
- Slutt på support betyr: ingen flere sikkerhetsoppdateringer. Bytt ut, eller koble fra og skjerm av.
- Oppdateringer bare via den offisielle veien, aldri via et popup-vindu eller en e-post.
Quiz
Oppgave
Oppgave D5.1: Din oppdateringsoversikt. Lag en liste over alle enhetene og programvaren din, inkludert ruter, NAS, skriver, kameraer, nettsted og plugins. Noter for hver linje versjonen, om automatiske oppdateringer er på, hvem som er eier og om den fortsatt støttes. Oppdater det som henger etter, og svar på refleksjonsspørsmålene.
Oppgave D5.1: Din oppdateringsoversikt
Slik gjør du det: (1) Lag en tabell med kolonnene: enhet eller programvare, type (datamaskin, telefon, program, nettsted, nettverk, tilleggsutstyr, skytjeneste), versjon, automatiske oppdateringer (ja/nei/kan ikke), eier (hvem jobber med den), fortsatt støttet (ja/nei/ukjent), tilgjengelig utenfra (ja/nei). En mal du kan laste ned (csv eller regneark) ligger ved oppgaven. (2) Gå gjennom kontoret og hjemmekontorene. Ikke glem: ruter og modem, wifi-punkter, NAS, nettverksskriver, IP-kameraer, smart dørklokke eller alarm, kassasystem, den gamle laptopen i skapet, nettstedet ditt med CMS, plugins og temaer, PHP-versjonen til webhotellpakken din. (3) Finn ut for hver enhet på produsentens nettsted hvor lenge den får oppdateringer. For Windows 10: se på Microsofts livssyklusside for hva som gjelder for dine enheter. (4) Slå på automatiske oppdateringer der det går. Installer ventende oppdateringer, tilleggsutstyr først. Start deretter på nytt. (5) Marker alt som ikke lenger får oppdateringer, og bestem per rad: erstatte (med dato), koble fra internett, eller eget nettverk (leksjon 5.3).
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- DirectAdmin-veiledning 14.1: Velge PHP-versjon (Select PHP version)
- DirectAdmin-veiledning 13.6: Sikkerhetskopier lage og gjenopprette i Installatron
- Det nederlandske NCSC, En av tre små bedrifter har ikke automatiske oppdateringer: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- Det nederlandske NCSC, Sett opp patch-håndtering: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
- Det nederlandske NCSC, Grunnleggende sikkerhetstiltak for smarte enheter: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
- Microsoft, livssyklusen til Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro