Už perimetro: kaip spręsti sluoksniuotą saugumą

Valgydavau vakarienę Vašingtone su buvusiu nacionaliniu kibernetinio saugumo caru Richardu Clarke'u, dabar „Good Harbor“ saugumo rizikos valdymo pirmininku ir generaliniu direktoriumi, kai jis paaiškino, kad gero perimetro saugumo nepakanka norint apsaugoti jūsų tinklą. - Blogi vaikinai, - paaiškino Clarke'as, - jau yra jūsų tinkle.

Clarke'o mintis buvo ta, kad kibernetiniai kovotojai, ypač valstybės remiami veikėjai, turi galimybę bent jau tam tikru laipsniu įsiskverbti į perimetro saugumo apsaugą. Tai nereiškia, kad perimetro apsauga nėra būtina. Tai yra svarbus aspektas siekiant pakilti į viršų, kaip aš pabrėžiau praėjusios savaitės skiltyje. Nors tai kritiška, jis nėra pakankamas. Jums reikia apsaugos lygių, kad blogi vaikinai, pralaužę perimetrą, vis tiek negalėtų nieko padaryti, kad jus įskaudintų.

Sluoksninis saugumas yra kažkas, apie ką turbūt jau girdėjote, tačiau daugeliui IT tai vis dar yra paslaptis. Kaip kuriate saugumo sluoksnius? Kaip jūs nuspręsite, kiek sluoksnių jums reikia? Ką turėtų apsaugoti sluoksniai? Ar gali būti per daug sluoksnių?

Atsakymas priklausys nuo jūsų tinklo, verslo pobūdžio ir rizikos lygio. Tačiau svarbu atsiminti, kad jūsų rizikos lygiui gali turėti įtakos jūsų verslo partneriai. Taigi, jei esate, pavyzdžiui, tiekėjas ar rangovas, tada jūsų rizikos lygis bus toks pat kaip jų, nes tie blogi vaikinai bandys jus panaudoti kaip kelią į jūsų verslo partnerius.

Sluoksniai yra pagrįsti duomenimis, kuriuos reikia apsaugoti. Tai reiškia, kad turite įsitikinti, kad jūsų duomenys yra išsaugoti, taip pat turite įsitikinti, kad jų negalima paimti iš jūsų. Ir, žinoma, turite įsitikinti, kad tinklas yra apsaugotas nuo žalos, kad jūsų verslas nepakenktų.

Jūsų duomenų išsaugojimas

Duomenų išsaugojimas yra pirmasis kritinis sluoksnis. Tam reikia įsitikinti, kad jūsų svarbių duomenų kopija yra saugiai saugoma ten, kur jų negali pasiekti įsilaužėliai ar kiti, įskaitant nepatenkintus darbuotojus. Daugeliui kompanijų tokios atsarginės kopijos turėtų būti duomenų centre, kur galite lengvai prieiti prie jų, kai to reikia, taip pat debesyje, kur suklastoti yra daug sunkiau. Yra daugybė viešųjų debesų paslaugų, kurios tvarkys atsargines kopijas, įskaitant „Amazon Web Services“ (AWS), „Google Cloud“ ir „IBM Cloud“, taip pat specialias atsargines paslaugas, tokias kaip „Carbonite“, kuri neseniai įsigijo savo konkurentą „Mozy“.

Tuomet šių atsarginių kopijų kopijas galima kurti geografiškai skirtingose ​​vietose, o tai padeda užtikrinti, kad joms nepakenks viena nelaimė. Paprastai visas atsarginės kopijos kūrimo procesas gali būti automatizuotas, taigi, kai viskas bus nustatyta, jums reikia padaryti tik tai, kad patvirtintumėte atsarginių kopijų vientisumą.

Tada yra duomenų apsauga, tai reiškia, kad ji turi būti neprieinama ir nenaudotina, jei kas nors ją suranda. Kad jūsų duomenys būtų neprieinami, turite segmentuoti savo tinklą, kad prisijungimas prie vienos tinklo dalies nereiškia, kad galite pasiekti viską. Pvz., Jei „Target“ segmentavo savo tinklą, kai jis buvo pažeistas per savo ŠVOK sistemą 2013 m., Įsilaužėliai negalėjo pasiekti kitų duomenų.

Tinklo segmentavimui reikia maršrutizatorių, kurie pagal nutylėjimą atsisako prieigos ir leidžia tinklo ryšius tik iš konkrečių tinklo mazgų, kuriuos maršrutizatoriai filtruoja naudodamiesi savo Media Access Control (MAC) arba IP adresais. Vidinės ugniasienės taip pat gali atlikti šią funkciją ir gali būti lankstesnės sudėtingose ​​programose.

Šifravimo peržiūra yra didelė klaida

Be segmentų, jūsų duomenys taip pat turi būti užšifruoti, tiek perduodant per tinklą, tiek saugojant. Šifravimą lengva atlikti, nes jis pagal nutylėjimą atliekamas belaidžioje ir debesies prieigos programinėje įrangoje, o visos šiuolaikinės operacinės sistemos (OS) teikia šifravimą kaip standartinę paslaugą. Nepaisant to, nesugebėjimas užšifruoti kritinių duomenų yra bene didžiausia pastarųjų pažeidimų duomenų praradimo priežastis.

Priežastys, kodėl tokie duomenys nėra užšifruoti, nepaisant daugeliu atvejų to reikalaujančių teisinių reikalavimų, gali būti apibendrinti keturiais žodžiais: tingumas, nekompetencija, nežinojimas ir kvailumas. Jūsų šifruoti nesugeba.

Galiausiai yra tinklo apsauga. Apsaugodami savo duomenis taip pat turite įsitikinti, kad jūsų tinklas nėra naudojamas kaip platforma atakoms pradėti, ir turite įsitikinti, kad tinklo įrenginiai nėra naudojami prieš jus. Tai ypač aktualu tinklams, kuriuose yra mašinų valdikliai jūsų sandėlyje ar gamykloje, ir tai yra jūsų daiktų interneto (IoT) įrenginiai.

• Nelikite savo saugumo, mokykite savo vartotojus Nesinaudokite savo saugumu, mokykite savo vartotojus
• Pradėkite apsaugoti savo tinklą nuo interneto vartotojų grėsmių. Pradėkite apsaugoti savo tinklą nuo vartotojų interneto grėsmių.
• Tinklo perimetro saugos radimas ir fiksavimas Tinklo perimetro saugos radimas ir fiksavimas

Tai yra pagrindinė problema, nes tiek daug tinklo įrenginių turi mažai arba visai neturi savo saugumo. Todėl gana lengva juos naudoti kaip platformą, kad būtų pradėta paslaugų neigimo ataka (DoS ataka) arba išnaikinti jų duomenys, kaip būdas stebėti jūsų įmonės operacijas. Jie taip pat gali būti naudojami kaip operacijų prieš jūsų tinklą pagrindas. Kadangi negalite pašalinti šių įrenginių, geriausia, ką galite padaryti, tai įdėti juos į savo tinklą, kiek įmanoma apsaugoti juos ir neleisti jiems prisijungti tiesiai prie jūsų vidinio tinklo.

Čia aptarėme kelis sluoksnius ir kai kuriais atvejais jūsų tinklui gali prireikti daugiau. Tačiau svarbu atsiminti, kad kiekvienam sluoksniui reikalingas valdymas, o apsauga, reikalinga kiekvienam sluoksniui, turi egzistuoti tinkle su kitais saugos sluoksniais. Tai reiškia, kad labai svarbu, jog kiekvienam sluoksniui tvarkyti būtų skirti darbuotojai, ir kad kiekvieno sluoksnio sauga nedaro neigiamos įtakos kito sluoksnio saugai.

Taip pat svarbu vengti dienos sprendimo, reiškiančio vienkartinį saugumą kovojant su konkrečia grėsme. Nesunku įsijausti į savotišką saugumą ir galų gale nevaldomą netvarką. Vietoj to, rinkitės platų požiūrį, kai dienos grėsmei nebereikės dar vieno sluoksnio.