Izven oboda: kako se lotiti večplastne varnosti

V Washingtonu sem jedel večerjo z nekdanjim nacionalnim carjem za kibernetsko varnost Richardom Clarkeom, zdaj predsednikom in izvršnim direktorjem podjetja Good Harbor Security Risk Management, ko je pojasnil, da dobra zaščita na obodu ni dovolj za zaščito vašega omrežja. "Slabi fantje, " je pojasnil Clarke, "so že znotraj vaše mreže."

Clarkeova poanta je bila, da lahko kibernetski napadalci, zlasti akterji, ki jih sponzorira država, vsaj do neke mere prodrejo skozi večino varnostne zaščite po obodu. To ne pomeni, da je zaščita perimetra nepotrebna. To sem pomemben vidik, kot sem poudaril v prejšnji tedenski kolumni. Čeprav je kritičen, ne zadostuje. Potrebujete plasti varnosti, tako da, ko slabi fantje prebijejo obod, še vedno ne morejo storiti ničesar, kar bi vam škodilo.

Večplastna varnost je nekaj, kar ste verjetno že slišali že prej, za mnoge v IT pa je še vedno skrivnost. Kako ustvarjate plasti varnosti? Kako se odločite, koliko slojev potrebujete? Kaj naj zaščitijo plasti? Ali je lahko preveč slojev?

Odgovor bo odvisen od vašega omrežja, narave vašega podjetja in stopnje tveganja. Pomembno pa si je zapomniti, da lahko na vašo stopnjo tveganja vplivajo vaši poslovni partnerji. Če ste na primer dobavitelj ali pogodbeni izvajalec, bo vaša stopnja tveganja enaka njihovi, saj vas bodo ti slabi fantje poskušali uporabiti kot pot do vaših poslovnih partnerjev.

Sloji temeljijo na podatkih, ki jih morate zaščititi. To pomeni, da morate zagotoviti, da se vaši podatki hranijo, prav tako pa morate poskrbeti, da jih ni mogoče vzeti od vas. Seveda morate zagotoviti, da je vaše omrežje zaščiteno pred škodo, da vaše podjetje ne bo vplivalo.

Ohranjanje vaših podatkov

Ohranjanje podatkov je prvi kritični sloj. Zaradi tega se morate prepričati, da je kopija vaših pomembnih podatkov v varni shrambi, kjer je hekerjem ali drugim, vključno z nezadovoljnimi zaposlenimi, nedostopna. Za večino podjetij bi morale takšne varnostne kopije obstajati v podatkovnem centru, kjer lahko enostavno pridete do njih, kadar je to potrebno, in tudi v oblaku, kjer je poseganje veliko težje. Obstajajo številne javne storitve v oblaku, ki bodo obravnavale varnostne kopije, vključno z Amazon Web Services (AWS), Google Cloud in IBM Cloud, pa tudi namenske varnostne storitve, kot je Carbonite, ki je pred kratkim pridobila svojega konkurenta Mozy.

Te varnostne kopije je mogoče nato varnostno kopirati na geografsko različne lokacije, kar zagotavlja, da v eni sami nesreči ne bodo ogrožene. Ponavadi je mogoče celoten postopek varnostnega kopiranja avtomatizirati, potem ko je vse nastavljeno, morate le potrditi celovitost varnostnih kopij.

Potem je tu zaščita podatkov, kar pomeni, da mora biti nedostopna in neuporabna, če jo kdo najde. Če želite narediti svoje podatke nedostopne, morate omrežje segmentirati tako, da dostop do enega dela omrežja ne pomeni, da lahko dosežete vse. Če je na primer Target na primer leta 2013 razdelil svoje omrežje, ko je bil prekinjen prek sistema HVAC, hekerji niso mogli dostopati do drugih podatkov.

Segmentacija omrežja zahteva usmerjevalnike, ki privzeto zavrnejo dostop in dovolijo le omrežne povezave iz določenih omrežnih vozlišč, ki jih usmerjevalniki filtrirajo z uporabo svojega dostopa do medija (MAC) ali IP naslovov. Notranji požarni zidovi lahko opravljajo tudi to funkcijo in so lahko bolj prilagodljivi v kompleksnih aplikacijah.

Spregled šifriranja je velika napaka

Poleg segmentacije morajo biti vaši podatki šifrirani tudi med prenosom po omrežju in med shranjevanjem. Šifriranje je enostavno doseči, saj je privzeto izvedeno v programski opremi za brezžični dostop in dostop do oblaka, vsi sodobni operacijski sistemi (OS) pa omogočajo šifriranje kot standardna storitev. Kljub temu je neuspeh šifriranja kritičnih podatkov morda največji vzrok izgube podatkov v zadnjih kršitvah.

Razloge, da takšni podatki niso šifrirani, kljub zakonskim zahtevam v mnogih primerih, jih lahko povzamemo v štiri besede: lenoba, nesposobnost, nevednost in neumnost. Preprosto ni opravičila, da ne bi šifrirali vaših podatkov.

Končno obstaja zaščita omrežja. Poleg tega, da zaščitite svoje podatke, morate zagotoviti tudi, da vaše omrežje ne bo uporabljeno kot platforma za začetek napadov in da morate zagotoviti, da vaše omrežne naprave ne bodo uporabljene proti vam. To je zlasti težava z omrežji, ki vključujejo krmilnike strojev v vašem skladišču ali tovarni, in težave z napravami Internet of Things (IoT).

• Ne sabotirajte lastne varnosti, trenirajte svoje uporabnike Ne sabotirajte lastne varnosti, ne usposabljajte svojih uporabnikov
• Začnite zavarovati svoje omrežje pred potrošniško nevarnostmi IoT Začnite varovati svoje omrežje pred potrošniškimi IoT grožnjami
• Iskanje in popravljanje varnosti na omrežnem obodu Iskanje in pritrditev varnosti na omrežnem obodu

To je veliko vprašanje, ker ima toliko omrežnih naprav malo ali nič varnosti. Zato jih je dokaj enostavno uporabiti kot platformo za začetek napada za zavrnitev storitve (napad DoS) ali odstranjevanje njihovih podatkov kot način za nadzor nad poslovanjem vašega podjetja. Uporabljajo se lahko tudi kot podlaga za delovanje vašega omrežja. Ker teh naprav ne morete odpraviti, je najboljše, da jih postavite v svoje omrežje, jih čim bolj zaščitite in ne dovolite, da se povežejo neposredno v vaše notranje omrežje.

Tu smo razpravljali o več plasteh in v nekaterih primerih bo vaše omrežje morda zahtevalo več. Pomembno pa si je zapomniti, da vsak sloj zahteva upravljanje in da mora biti zaščita, ki je potrebna za vsako plast, v omrežju z drugimi varnostnimi plastmi. To pomeni, da je ključnega pomena, da imate osebje za upravljanje vsakega sloja in da varnost v vsaki plasti ne vpliva negativno na varnost v drugem sloju.

Pomembno je tudi preprečiti vsakodnevno rešitev, kar pomeni enkratno varnost za boj proti specifični grožnji. Preprosto se lahko sesate v nekakšno varnostno gmoto in na koncu z neurejenim neredom. Namesto tega izberite široko zasnovan pristop, v katerem grožnja dneva ne bo zahtevala še enega sloja.