Obrona w głąb i bezpieczeństwo warstwowe

Obrona warstwowa to stosowanie wielu niezależnych mechanizmów zabezpieczeń, tak aby w razie awarii jednego z nich pozostałe nadal chroniły system. Żadne pojedyncze zabezpieczenie nie jest doskonałe, dlatego nie należy polegać tylko na jednym.

Proszę wyobrazić sobie zamek: fosę, mury, strażników i zamkniętą twierdzę. Atakujący, który pokona jedną przeszkodę, nadal musi przejść przez kilka kolejnych, zanim dotrze do czegoś wartościowego.

Warstwowa sieć może łączyć zaporę na granicy sieci, segmentację sieci, system wykrywania włamań, program antywirusowy na punktach końcowych, silne uwierzytelnianie, szyfrowanie i szkolenia użytkowników. Każda warstwa obejmuje inny aspekt ataku.

Celem jest niedopuszczenie do sytuacji, w której pojedyncza słabość — na przykład jedno skradzione hasło lub jeden niezałatany serwer — zapewnia atakującemu dostęp do całej sieci. Każdy mechanizm kupuje czas i zwiększa szanse na wykrycie intruza.

Bezpieczeństwo zaczyna się od zabezpieczeń fizycznych: zamykanych serwerowni, dostępu za pomocą identyfikatorów, kamer i uporządkowanego prowadzenia kabli. Jeśli ktoś może podejść do przełącznika i podłączyć się do niego albo ukraść dysk, żaden mechanizm programowy go nie powstrzyma.

Bezpieczeństwo fizyczne jest najbardziej zewnętrzną warstwą obrony i często się o nim zapomina, choć otwarta szafa telekomunikacyjna może zniweczyć ogromne nakłady na zabezpieczenia cyfrowe.

Na poziomie sieci zapory sieciowe filtrują ruch między strefami, segmentacja oddziela grupy urządzeń, a VPN-y chronią połączenia zdalne. System IDS/IPS (Intrusion Detection/Prevention System) monitoruje wzorce ataków.

Mechanizmy te ograniczają możliwość swobodnego rozprzestrzeniania się zagrożeń i zapewniają obrońcom wgląd w ruch, tworząc środkowe warstwy obrony warstwowej.

Każde urządzenie dodaje własną warstwę ochrony: zaporę hosta, program antywirusowy lub EDR (Endpoint Detection and Response), automatyczne instalowanie poprawek oraz wzmocnioną konfigurację wyłączającą nieużywane usługi.

Nawet jeśli atakujący pokona zabezpieczenia sieci, odpowiednio wzmocniony punkt końcowy utrudni przejęcie, a narzędzia punktu końcowego mogą lokalnie wykryć i zatrzymać złośliwe działania.

Bliżej chronionego zasobu aplikacje korzystają z bezpiecznego programowania, walidacji danych wejściowych i uwierzytelniania, natomiast same dane są chronione przez szyfrowanie podczas przechowywania i przesyłania oraz przez rygorystyczną kontrolę dostępu.

Szyfrowanie wrażliwych danych sprawia, że nawet udane włamanie prowadzi do uzyskania nieczytelnych plików. Jest to ostatnia warstwa chroniąca zasób, gdy zawiodą warstwy zewnętrzne.

Nie wszystkie mechanizmy zabezpieczeń mają charakter techniczny. Mechanizmy ochrony administracyjnej obejmują zasady i procedury: szkolenia podnoszące świadomość bezpieczeństwa, zasady dopuszczalnego użytkowania, plany reagowania na incydenty oraz weryfikację przeszłości kandydatów.

Ponieważ wiele ataków wykorzystuje ludzi za pomocą phishingu, szkolenie użytkowników jest ważną warstwą ochrony. Nawet najsilniejsze zabezpieczenia techniczne zawiodą, jeśli użytkownik dobrowolnie przekaże hasło.

Najmniejsze uprawnienia oznaczają przyznawanie każdemu użytkownikowi, usługie i urządzeniu wyłącznie minimalnego dostępu potrzebnego do wykonywania zadań — niczego więcej. Jeśli konto zostanie przejęte, ograniczone uprawnienia ograniczą rozmiar szkód.

Ta zasada przenika każdą warstwę. W połączeniu z obroną warstwową zapewnia, że przejęcie jednego konta lub systemu nie przerodzi się łatwo w przejęcie całej sieci.

Nowoczesne zabezpieczenia uwzględniają podejście zero trust: nigdy nie należy zakładać, że cokolwiek wewnątrz sieci jest bezpieczne. Każde żądanie jest weryfikowane, uwierzytelniane i autoryzowane, niezależnie od jego źródła.

Model zero trust uzupełnia obronę warstwową, usuwając dawny podział na zaufane wnętrze i niebezpieczne zewnętrze oraz traktując każde połączenie jako potencjalnie wrogie, dopóki nie zostanie potwierdzone, że jest inaczej.

Obrona warstwowa oznacza również unikanie pojedynczego mechanizmu, którego awaria odsłoniłaby wszystko. Jeśli całe bezpieczeństwo zależy od jednego firewalla, ten firewall jest pojedynczym punktem awarii.

Redundantne i zróżnicowane mechanizmy zapewniają, że obejście jednego z nich nie oznacza obejścia wszystkich oraz że różne rodzaje ataków napotkają zabezpieczenie zaprojektowane do ich wykrywania.

Obrona warstwowa zmienia bezpieczeństwo z pojedynczej bramy w serię nakładających się na siebie sieci ochronnych. Od zamków fizycznych przez firewalle sieciowe, utwardzone punkty końcowe i szyfrowane dane po przeszkolonych użytkowników — każda warstwa wykrywa to, co umyka pozostałym.

W połączeniu z zasadą najmniejszych uprawnień i modelem zero trust zakłada ona, że dowolny mechanizm może zawieść, a jednocześnie zapewnia ochronę systemu również wtedy, gdy do tego dojdzie.

Sprawdź, jak rozumiesz bezpieczeństwo warstwowe.

Obrona warstwowa wykorzystuje niezależne mechanizmy, dzięki czemu awaria jednego z nich nie odsłania systemu. Warstwy obejmują zabezpieczenia fizyczne, sieciowe (firewalle, segmentację, IDS/IPS), hosta, aplikacji/danych (szyfrowanie) oraz administracyjne (szkolenia, zasady). Należy łączyć ją z zasadą najmniejszych uprawnień i modelem zero trust, aby unikać pojedynczych punktów awarii.