Создание практических мер защиты

Знать об атаках — только половина дела; остальное — применять меры снижения риска. Мера снижения риска — это любое действие, уменьшающее вероятность угрозы или масштаб её последствий. Ни один механизм защиты не предотвращает всё, поэтому следует использовать несколько уровней защиты, чтобы снизить общий риск.

В этом уроке собраны практические повседневные меры, которые применяет технический специалист для укрепления сети против изученных вами атак.

Управление исправлениями — одна из самых эффективных мер защиты. Большинство атак использует известные уязвимости, для которых уже существуют исправления. Своевременная установка обновлений безопасности для операционных систем, приложений и сетевого оборудования закрывает эти уязвимости.

Автоматическая установка исправлений и регулярный график обновлений поддерживают системы в актуальном состоянии, значительно сокращая период, в течение которого злоумышленники могут использовать известный эксплойт против вас.

Слабые или повторно используемые пароли становятся причиной бесчисленных утечек. Требуйте надёжные уникальные пароли и добавьте MFA (многофакторную аутентификацию), которая требует второго подтверждения, например кода из телефона, помимо пароля.

MFA — одна из самых эффективных доступных мер защиты: даже если злоумышленник украдёт пароль с помощью фишинга, он всё равно не сможет войти без второго фактора.

Применяйте принцип минимально необходимых прав: предоставляйте каждому пользователю и каждой службе только необходимый доступ. Если учётная запись скомпрометирована, ограниченные права уменьшают ущерб и сдерживают перемещение злоумышленника по сети.

Регулярно проверяйте разрешения, своевременно удаляйте неиспользуемые учётные записи и отделяйте административные учётные записи от повседневных, чтобы обычная компрометация не предоставила злоумышленнику права администратора.

Используйте межсетевые экраны с политикой запрета по умолчанию, разрешая только необходимый трафик, и сегментируйте сеть, чтобы взлом в одной области не мог свободно распространиться. Изолируйте гостевые устройства, устройства Интернета вещей и конфиденциальные системы в отдельных сегментах.

Эти средства сетевого контроля сдерживают инциденты, превращая потенциальную компрометацию всей сети в локальную проблему одного сегмента.

Шифруйте данные при передаче (HTTPS, VPN, зашифрованные сети Wi-Fi) и при хранении (зашифрованные диски и базы данных). Шифрование предотвращает перехват и атаки через промежуточный узел, а украденные данные без ключа становятся бесполезными.

Если шифрование используется повсюду по умолчанию, перехваченный трафик и украденные диски предоставляют злоумышленнику лишь искажённые бесполезные данные.

Устанавливайте на устройствах антивирус или EDR (обнаружение угроз и реагирование на них на конечных устройствах), чтобы выявлять вредоносные программы, а также используйте фильтрацию электронной почты, чтобы блокировать фишинг и вредоносные вложения до их попадания во входящие сообщения.

Поскольку электронная почта — главный способ доставки атак, надёжные фильтры спама и фишинга в сочетании с защитой конечных устройств автоматически предотвращают значительную долю угроз ещё до того, как пользователи их увидят.

Невозможно остановить то, чего вы не видите. Используйте IDS/IPS (системы обнаружения и предотвращения вторжений), централизованный сбор журналов и SIEM (управление сведениями о безопасности и событиями), чтобы быстро выявлять подозрительную активность.

Установив базовые показатели нормального поведения, вы позволите мониторингу обнаруживать отклонения, а быстрое выявление ограничит ущерб, который злоумышленник успеет нанести до остановки.

Надёжные резервные копии — лучшая защита от программ-вымогателей и потери данных. Следуйте правилу 3-2-1: три копии на двух типах носителей, причём одна копия хранится вне основного местоположения или в автономном режиме.

Регулярно проверяйте восстановление, поскольку непроверенная резервная копия может не сработать в самый нужный момент. При наличии хороших резервных копий даже успешная атака превращается из катастрофы в событие, после которого можно восстановиться.

Технических средств защиты недостаточно, когда атаки направлены на людей. Постоянное обучение осведомлённости в вопросах безопасности, понятные политики и план реагирования на инциденты превращают пользователей в дополнительный уровень защиты и обеспечивают быструю организованную реакцию, когда что-то идёт не так.

Обученные сотрудники, умеющие распознавать и сообщать о подозрительной активности, — одна из самых экономичных мер защиты.

Эффективная безопасность объединяет множество практических мер снижения риска: установку исправлений, MFA, минимально необходимые права, межсетевые экраны и сегментацию, шифрование, защиту конечных устройств и электронной почты, мониторинг, резервное копирование и обучение. Ни одной меры недостаточно, но вместе они значительно усложняют запуск, распространение и успешное проведение атак.

Проверьте свои знания о мерах снижения риска.

Практические меры снижения риска дополняют друг друга: управление исправлениями, MFA и надёжная аутентификация, минимально необходимые права, межсетевые экраны и сегментация, шифрование повсюду, защита конечных устройств и электронной почты, мониторинг (IDS/IPS, SIEM), проверенные резервные копии (3-2-1) и обучение пользователей. Ни одного средства защиты недостаточно в одиночку.