Современные крупные кампании, а также небольшой бизнес и вообще любая организация стремятся защищать свои данные, ресурсы и все активы. И основной фокус в защите сводится к тому, чтобы не допустить хакеров до реализации недопустимого события за счет ограничения доступа к целевым системам.
Но если задуматься, у злоумышленников всего один шаг до той самой системы, один барьер, который нужно преодолеть, одно средство защиты, и это самая распространенная модель защиты многих организаций, которые толко начинают свой путь в информационной безопасности.
Простая модель реализации атаки
Существует элементарная модель реализации любой атаки. Она состоит из трех частей.
- Хакер
- Канал реализации
- Актив
Если хотя бы одно звено исключить из модели, атака уже не сможет состояться. Исходя из этой модели можно выделить 9 вариантов стратегий защиты от злоумышленников.
- Устранения хакера.
- Сделать актив недоступным.
- Устранить все уязвимости в канале реализации атаки.
- Сделать канал атаки реализации невозможным.
- Усложнить атаку (сделать ее долгой).
- Сделать атаку ОЧЕНЬ дорогой.
- Сделать обнаружение атак максимально быстрым.
- Уменьшить площадь атаки.
- Привлечь пентестеров.
Давайте чуть подробнее разберем каждую стратегию ,что конкретно подразумевается под каждым вариантом.
Устранение хакера
Стратегия направлена на создание условий, при которых деятельность хакера становится невозможной, причем имеется ввиду именно самого злоумышленника, а не его инструментов.
Есть несколько вариантов как это можно осуществить:
- Контратака ресурсов атакующего. Данный метод находится в серой зоне законодательства, а возможно и даже в запрещенной (статья 272 УК РФ). Но тем не менее нередко данный сценарий реализуется на практике.
- Блокировка ресурсов атакующего. Достаточно просто внести IP адреса .домены или автономные системы в черный список например в NGFW или иные средства защиты в организации.
- Разделегировать домены.
- Обратиться в правоохранительные органы.
- Метод treat actor inteligence, также будет актуален. В большинстве случаев стоит обратиться в соответствующую организацию, которая специализируется в данном направлении.
Сделать актив недоступным
Если нет возможности создать условия, при которых хакер не сможет действовать, можно попробовать сделать недоступным актив, который может стать целью злоумышленника.
Возможные варианты как этого добиться:
- Блокировка доступа к активу при помощи межсетевых экранов, ACL, NAT
- Динамическая смена адресации у цели. Подразумевается ежеминутная смена адреса сервера для защиты от хакера. Можно поискать соответствующие патенты описывающие это метод.
- Динамическая смена сетевой топологии за счет применения виртуализации и облаков.
Максимально быстрое обнаружение атаки
Данный метод кажется и самым очевидным и одновременно самым простым. Но это заблуждение. Сложность кроется в том, что серебряной пули не существует, нет 100% и универсального способа обнаружения. Одно решение или технология не спасет вас от множества разносторонних атак. Техник, тактик и технологий защиты очень много, соответственно и команда сотрудников тоже будет разносторонней и обширной. увеличить скорость работы такой команды очень сложно. Поэтому и метод совершенно не простой, но тем не менее рабочий. Ключевой момент повышать профессиональные навыки специалистов в команде.
Устранение всех уязвимостей
Это тоже одна из самых очевидных стратегий, устранение известных и Zero Day уязвимостей. И здесь тоже важно не допустить ошибку, сфокусировавшись только на инфраструктуре уязвимостей, дырах в приложениях и веб-сервисах.
Обратите внимание где еще следует учесть уязвимости:
- В аппаратном обеспечении.
- Конфигурации систем.
- Архитектуре систем.
- Поведение сотрудников.
- Моделях и алгоритмах.
- В данных.
И все они должны быть идентифицированы для устранения слабых мест, используемых злоумышленниками разными способами — от социального инжиниринга до технической эксплуатации.
Уменьшение площади атаки
Данная стратегия родилась из за отсутствия ресурсов реализовать предыдущую стратегию. Есть нет возможности устранить все уязвимости, тогда стоит сфокусироваться на уменьшении площади атаки,а как следствие уменьшение слабых мест в защите атакуемых активов.
Существуют такие варианты:
- Реализация принципа минимум привилегий, ограничить круг людей имеющих административные права.
- Закрытие неиспользуемых портов.
- Отключение ненужных сервисов.
- Удаление ненужных приложений и плагинов.
- Запрет неиспользуемых протоколов.
Привлечение пентестеров
Еще одна стратегия защиты от хакеров - их опережение. Для этого нужно просто пригласить легальных белых хакеров, которые заранее проверят все возможные способы проникновения в организацию. После чего можно заранее перекрыть и устранить все возможные пути проникновения в структуру организации.
Удорожание атаки
Как бы не хотелось, чтобы фраза “стоимость атаки должна превышать стоимость защищаемой информации”,но к сожалению в текущих реалиях, этот способ самый нереализуемый. В связи с тем, что не так давно произошла крупнейшая утечка из АНБ и ЦРУ, после чего инструментарий для хакеров стал доступен абсолютно всем, а факт того, что в сети регулярно появляются исходники самых современных шифровальщиков еще больше удешевляет стоимость атаки. Поэтому данный метод является по сути самым бесперспективным.
Усложнение атаки
Если все предыдущие стратегии оказались не эффективными, остается только смериться с неизбежностью столкнуться с хакером. Поэтому следует объединить все стратегии и максимально удлинить путь хакера до цели. Возможно это станет решающим фактором для обнаружения злоумышленника в инфраструктуре, но при этом еще не достигшего своей цели. Это повышает вероятность его оперативного обнаружения и блокирования.
Также эту вероятность поднимут такие методы как:
Сегментация инфраструктуры.
Использование нетипичных портов для приложений и сервисов.
Шифрование данных.
Применение обманных систем.
С помощью этих методов устраняются самые простые точки проникновения, усложняется перемещение по атакуемой инфраструктуре, увеличивается время движения по цепочке атаки, для того, чтобы было больше времени обнаружения за счет анализа журналов регистрации и иных источников данных.