Bygg praktiske mottiltak

Å kjenne til angrep er bare halve jobben; resten er å ta i bruk risikoreduserende tiltak. Et risikoreduserende tiltak er ethvert tiltak som reduserer sannsynligheten for eller konsekvensen av en trussel. Ingen kontroll stopper alt, så De må legge flere lag oppå hverandre for å redusere den samlede risikoen.

Denne leksjonen samler de praktiske, dagligdagse forsvarstiltakene en tekniker bruker for å sikre et nettverk bedre mot angrepene De har studert.

Patch management er et av de mest effektive forsvarstiltakene. De fleste angrep utnytter kjente sårbarheter som allerede har fått løsninger. Når De raskt installerer sikkerhetsoppdateringer for operativsystemer, applikasjoner og nettverksutstyr, tetter De disse hullene.

Automatisk patching og en fast oppdateringsplan holder systemene oppdaterte og reduserer kraftig tidsrommet der angripere kan utnytte en kjent sårbarhet mot Dem.

Svake eller gjenbrukte passord fører til utallige datainnbrudd. Krev sterke, unike passord, og legg til MFA (Multi-Factor Authentication), som krever et ekstra bevis, for eksempel en kode fra telefonen, i tillegg til passordet.

MFA er et av de mest verdifulle tilgjengelige forsvarstiltakene: Selv om en angriper stjeler et passord gjennom phishing, kan vedkommende fortsatt ikke logge inn uten å ha den andre faktoren.

Bruk prinsippet om minste privilegium: Gi hver bruker og tjeneste bare tilgangen de trenger. Hvis en konto blir kompromittert, begrenser begrensede rettigheter skaden og hindrer videre lateral bevegelse.

Gå jevnlig gjennom tillatelser, fjern ubrukte kontoer raskt, og skill administrative kontoer fra kontoer til daglig bruk, slik at et vanlig kompromiss ikke gir angriperen administratorrettigheter.

Bruk brannmurer med en standardinnstilling som nekter all trafikk, slik at bare nødvendig trafikk tillates, og segmenter nettverket slik at et innbrudd i ett område ikke kan spre seg fritt. Isoler gjester, IoT-enheter og sensitive systemer i separate segmenter.

Disse nettverkskontrollene begrenser hendelser og gjør et mulig nettverksomfattende kompromiss til et avgrenset problem i ett enkelt segment.

Krypter data under overføring (HTTPS, VPN-er og kryptert Wi-Fi) og i hvile (krypterte disker og databaser). Kryptering hindrer avlytting og on-path-angrep og gjør stjålne data ubrukelige uten nøkkelen.

Når kryptering er standard overalt, gir oppfanget trafikk og stjålne disker en angriper bare forvrengte og verdiløse data.

Installer antivirus eller EDR (Endpoint Detection and Response) på enheter for å oppdage skadevare, og bruk e-postfiltrering for å blokkere phishing og skadelige vedlegg før de når innboksen.

Siden e-post er den vanligste leveringsmåten for angrep, stanser sterke spam- og phishing-filtre sammen med endepunktbeskyttelse automatisk en stor andel av truslene før brukerne i det hele tatt ser dem.

De kan ikke stoppe det De ikke kan se. Bruk IDS/IPS (Intrusion Detection/Prevention Systems), sentralisert logging og en SIEM (Security Information and Event Management) for å oppdage mistenkelig aktivitet raskt.

Ved å etablere normale utgangsnivåer kan overvåkingen varsle om avvik, og rask oppdagelse begrenser hvor mye skade en angriper kan gjøre før angrepet stoppes.

Pålitelig sikkerhetskopiering er det viktigste forsvaret mot løsepengevirus og datatap. Følg 3-2-1-regelen: tre kopier, på to medietyper, der én er lagret utenfor området eller frakoblet.

Test gjenoppretting jevnlig, fordi en sikkerhetskopi som ikke er testet, kan svikte når De trenger den mest. Med gode sikkerhetskopier blir selv et vellykket angrep en hendelse som kan gjenopprettes fra, i stedet for en katastrofe.

Tekniske kontroller er ikke nok når angrep retter seg mot mennesker. Kontinuerlig opplæring i sikkerhetsbevissthet, tydelige retningslinjer og en plan for hendelseshåndtering gjør brukerne til et ekstra forsvarslag og sikrer en rask og organisert reaksjon når noe går galt.

En opplært arbeidsstyrke som vet hvordan den skal oppdage og rapportere mistenkelig aktivitet, er et av de mest kostnadseffektive forsvarstiltakene som finnes.

Effektiv sikkerhet legger flere praktiske risikoreduserende tiltak oppå hverandre: patching, MFA, minste privilegium, brannmurer og segmentering, kryptering, beskyttelse av endepunkter og e-post, overvåking, sikkerhetskopiering og opplæring. Ingen enkeltstående tiltak er nok, men sammen gjør de det langt vanskeligere å iverksette, spre og lykkes med angrep.

Praktiske risikoreduserende tiltak legges oppå hverandre for å redusere risikoen: patch management, MFA og sterk autentisering, minste privilegium, brannmurer og segmentering, kryptering overalt, beskyttelse av endepunkter og e-post, overvåking (IDS/IPS, SIEM), testede sikkerhetskopier (3-2-1) og opplæring av brukere. Ingen kontroll er tilstrekkelig alene.