Эшелонированная защита

Замок не полагался на одну-единственную стену. У него были ров, стена, ворота, стражники и главная башня. Если ров не срабатывал, следующей преградой была стена. В безопасности используется та же идея, которая называется эшелонированной защитой: несколько независимых слоёв, чтобы при отказе одного другой всё ещё оставался на месте.

Вот шесть слоёв, которые может использовать школа или небольшая компания:

• Люди: осведомлённость, понятные правила, человек, к которому можно обратиться.
• Периметр: ребро между внешней и внутренней частью, например брандмауэр и запертые двери.
• Сеть: то, как внутренняя часть разделена и контролируется.
• Устройства: обновления, блокировка экрана, антивирус, шифрование диска.
• Приложения: проверки входа, безопасные настройки, актуальное программное обеспечение.
• Данные: резервные копии, шифрование и правила о том, кто что может открывать.

Почему слои работают: правило умножения. Предположим, что у угрозы есть вероятность 50 % пройти через каждый слой, а слои работают независимо (отказ одного не приводит к отказу другого). Чтобы проникнуть полностью, угроза должна пройти через каждый слой:

• 1 слой: 0,5 = 50 %
• 3 слоя: 0,5 × 0,5 × 0,5 = 12,5 %
• 5 слоёв: 0,5 в степени 5 = примерно 3 %

Даже набор посредственных слоёв лучше одной прочной стены. Если одна стена пропускает только 10 %, то два слоя, каждый из которых пропускает 30 %, дают 0,3 × 0,3 = 9 %, а третий слой с показателем 30 % снижает результат до 2,7 %. И у одной стены есть другой недостаток: когда она выходит из строя, больше ничего не остаётся.

Честно учитывайте ограничения этой арифметики. Реальные слои не бывают идеально независимыми. Если сотрудников обманом заставить раскрыть пароль, несколько слоёв, которые все доверяют этому паролю, откажут одновременно. Поэтому слои должны быть разными по типу (человек, замок, логарифм), а не тремя копиями одного и того же.

Шесть задач защиты. Американский институт стандартов NIST описывает свою структуру кибербезопасности с помощью функций. В версии 2,0 (2024) названы шесть:

• Управление: определять правила, роли и приоритеты.
• Идентификация: знать, что у тебя есть и что может пойти не так.
• Защита: устанавливать меры защиты.
• Обнаружение: замечать, когда что-то происходит.
• Реагирование: действовать при инциденте.
• Восстановление: возвращать нормальную работу и учиться на произошедшем.

Это не лестница, по которой поднимаются один раз. Это задачи, которыми команда безопасности занимается постоянно. В этом курсе мы рассмотрим их по очереди: этот мир посвящён в основном управлению и идентификации, миры 2–4 — защите и обнаружению, а мир 5 — реагированию и восстановлению.