Tworzenie praktycznych zabezpieczeń

Znajomość ataków to tylko połowa zadania; resztę stanowi stosowanie środków ograniczających ryzyko. Środek ograniczający ryzyko to dowolne działanie zmniejszające prawdopodobieństwo wystąpienia zagrożenia lub jego skutki. Żadne zabezpieczenie nie powstrzyma wszystkiego, dlatego stosuje się wiele warstw, aby ograniczyć ryzyko ogólne.

Ta lekcja zbiera praktyczne, codzienne zabezpieczenia stosowane przez technika w celu wzmocnienia sieci przed poznanymi atakami.

Zarządzanie poprawkami to jedno z najskuteczniejszych zabezpieczeń. Większość ataków wykorzystuje znane luki, dla których istnieją już poprawki. Szybkie stosowanie aktualizacji zabezpieczeń w systemach operacyjnych, aplikacjach i urządzeniach sieciowych zamyka te luki.

Automatyczne stosowanie poprawek i regularny harmonogram aktualizacji utrzymują systemy w aktualnym stanie, znacznie skracając czas, w którym atakujący mogą wykorzystać znany exploit.

Słabe lub ponownie używane hasła są przyczyną niezliczonych naruszeń. Należy wymuszać stosowanie silnych, unikalnych haseł oraz dodać MFA (uwierzytelnianie wieloskładnikowe), które wymaga drugiego potwierdzenia, na przykład kodu z telefonu, oprócz hasła.

MFA to jedno z najskuteczniejszych dostępnych zabezpieczeń: nawet jeśli atakujący ukradnie hasło za pomocą phishingu, nadal nie zaloguje się bez drugiego składnika.

Należy stosować zasadę minimalnych uprawnień: każdemu użytkownikowi i każdej usłudze przyznawać wyłącznie niezbędny dostęp. Jeśli konto zostanie przejęte, ograniczone uprawnienia zmniejszą szkody i powstrzymają przemieszczanie się atakującego w poprzek sieci.

Należy regularnie przeglądać uprawnienia, szybko usuwać nieużywane konta oraz oddzielać konta administracyjne od codziennych, aby zwykłe przejęcie konta nie zapewniło uprawnień administratora.

Należy używać zapór sieciowych z domyślną zasadą odrzucania, zezwalając wyłącznie na niezbędny ruch, oraz segmentować sieć, aby naruszenie jednego obszaru nie mogło swobodnie rozprzestrzenić się dalej. Gości, urządzenia IoT i systemy zawierające poufne dane należy odizolować w osobnych segmentach.

Te mechanizmy kontroli sieci ograniczają skutki incydentów, zmieniając potencjalne przejęcie całej sieci w problem ograniczony do jednego segmentu.

Należy szyfrować dane podczas przesyłania (HTTPS, VPN-y, szyfrowane Wi-Fi) oraz w spoczynku (szyfrowane dyski i bazy danych). Szyfrowanie chroni przed podsłuchiwaniem i atakami typu on-path oraz sprawia, że skradzione dane są bezużyteczne bez klucza.

Uczynienie szyfrowania domyślnym ustawieniem wszędzie oznacza, że przechwycony ruch i skradzione dyski dostarczą atakującemu jedynie nieczytelnych, bezwartościowych danych.

Należy wdrożyć program antywirusowy lub EDR (Endpoint Detection and Response) na urządzeniach, aby wykrywać złośliwe oprogramowanie, oraz filtrowanie poczty e-mail, aby blokować phishing i złośliwe załączniki, zanim dotrą do skrzynek odbiorczych.

Ponieważ poczta e-mail jest najczęstszym sposobem dostarczania ataków, skuteczne filtry spamu i phishingu w połączeniu z ochroną urządzeń końcowych automatycznie powstrzymują dużą część zagrożeń, zanim użytkownicy je zobaczą.

Nie można powstrzymać czegoś, czego nie można dostrzec. Należy używać IDS/IPS (systemów wykrywania i zapobiegania włamaniom), scentralizowanego rejestrowania zdarzeń oraz SIEM (zarządzania informacjami i zdarzeniami dotyczącymi bezpieczeństwa), aby szybko wykrywać podejrzaną aktywność.

Ustalenie normalnych wartości bazowych pozwala monitorowaniu wykrywać anomalie, a szybkie wykrycie ogranicza szkody, jakie atakujący może wyrządzić przed zatrzymaniem.

Rzetelne kopie zapasowe to ostateczna obrona przed ransomware i utratą danych. Należy stosować zasadę 3-2-1: trzy kopie, na dwóch rodzajach nośników, z czego jedna poza siedzibą lub w trybie offline.

Należy regularnie testować odtwarzanie, ponieważ niesprawdzona kopia zapasowa może zawieść wtedy, gdy będzie najbardziej potrzebna. Dzięki dobrym kopiom zapasowym nawet udany atak staje się zdarzeniem, po którym można odzyskać dane, a nie katastrofą.

Same zabezpieczenia techniczne nie wystarczą, gdy ataki są wymierzone w ludzi. Ciągłe szkolenia z zakresu świadomości bezpieczeństwa, jasne zasady i plan reagowania na incydenty sprawiają, że użytkownicy stają się warstwą ochronną oraz zapewniają szybką i uporządkowaną reakcję, gdy coś pójdzie nie tak.

Przeszkolony personel, który wie, jak rozpoznawać i zgłaszać podejrzaną aktywność, to jedno z najbardziej opłacalnych zabezpieczeń.

Skuteczne bezpieczeństwo opiera się na wielu praktycznych środkach ograniczających ryzyko: stosowaniu poprawek, MFA, minimalnych uprawnieniach, zaporach sieciowych i segmentacji, szyfrowaniu, ochronie urządzeń końcowych i poczty e-mail, monitorowaniu, kopiach zapasowych oraz szkoleniach. Żaden pojedynczy środek nie wystarczy, ale razem znacznie utrudniają przeprowadzenie, rozprzestrzenienie i pomyślne zakończenie ataków.

Sprawdź swoją wiedzę na temat środków ograniczających ryzyko.

Praktyczne środki ograniczające ryzyko tworzą warstwy ochrony: zarządzanie poprawkami, MFA i silne uwierzytelnianie, minimalne uprawnienia, zapory sieciowe i segmentacja, szyfrowanie wszędzie, ochrona urządzeń końcowych i poczty e-mail, monitorowanie (IDS/IPS, SIEM), testowane kopie zapasowe (3-2-1) oraz szkolenia użytkowników. Żadne zabezpieczenie nie jest wystarczające samo w sobie.