Za hranicí: jak řešit vrstvené zabezpečení

Večeře jsem ve Washingtonu, DC s bývalým národním carem v oblasti kybernetické bezpečnosti Richardem Clarkem, nyní předsedou a generálním ředitelem společnosti Good Harbor Security Risk Management, když vysvětlil, že dobrá ochrana obvodu nestačí k ochraně vaší sítě. "Špatní lidé, " vysvětlil Clarke, "jsou již ve vaší síti."

Clarke poukázal na to, že kybernetičtí útočníci, zejména státem podporovaní herci, mají schopnost proniknout alespoň do jisté míry do obvodové bezpečnostní ochrany. To neznamená, že obvodová bezpečnost není nutná. Jak jsem zdůraznil v minulém týdnu ve sloupci, je to důležitý aspekt. I když je to kritické, nestačí. Potřebujete vrstvy zabezpečení, aby i když zločinci prorazili po obvodu, stále nemohou udělat nic, aby vám ublížili.

Vrstvené zabezpečení je něco, o čem jste pravděpodobně už slyšeli, ale pro mnohé v IT je to stále záhadou. Jak vytvoříte vrstvy zabezpečení? Jak se rozhodnete, kolik vrstev potřebujete? Co by měly vrstvy chránit? Může být příliš mnoho vrstev?

Odpověď bude záviset na vaší síti, povaze vašeho podnikání a vaší úrovni rizika. Je však důležité si uvědomit, že vaši obchodní partneři mohou ovlivnit vaši úroveň rizika. Pokud jste například dodavatelem nebo dodavatelem, pak bude vaše úroveň rizika stejná jako u nich, protože ti zlí se vás pokusí použít jako cestu k obchodním partnerům.

Vrstvy jsou založeny na datech, která potřebujete chránit. To znamená, že se musíte ujistit, že vaše data jsou zachována, a také se musíte ujistit, že nemohou být převzata od vás. A samozřejmě musíte zajistit, aby vaše síť byla chráněna před poškozením, aby nebyla ovlivněna vaše firma.

Zachování vašich dat

Zachování dat je první kritickou vrstvou. To vyžaduje, abyste se ujistili, že kopie vašich důležitých dat je v bezpečném úložišti, kde je hackerům nebo jiným, včetně nespokojených zaměstnanců, nepřístupná. Pro většinu společností by takové zálohy měly existovat v datovém centru, kde se k nim v případě potřeby snadno dostanete, a také v cloudu, kde je manipulace mnohem obtížnější. Existuje řada veřejných cloudových služeb, které budou zpracovávat zálohy, včetně Amazon Web Services (AWS), Google Cloud a IBM Cloud, jakož i specializované záložní služby, jako je Carbonite, který nedávno získal svého konkurenta Mozy.

Tyto zálohy pak mohou být zálohovány na geograficky různá místa, což pomáhá zajistit, že nebudou při jedné katastrofě ohroženy. Obvykle lze celý proces zálohování automatizovat, takže jakmile je vše nastaveno, jediné, co musíte udělat, je potvrdit integritu záloh podle potřeby.

Pak existuje ochrana dat, což znamená, že musí být nepřístupná a nepoužitelná, pokud ji někdo najde. Aby byla vaše data nepřístupná, musíte segmentovat síť, aby získání přístupu k jedné části sítě neznamenalo, že se dostanete ke všemu. Například pokud by Target v roce 2013 segmentoval svou síť, když byl v systému HVAC narušen, pak hackeři nemohli získat přístup k jiným datům.

Segmentace sítě vyžaduje směrovače, které ve výchozím nastavení odepírají přístup a povolují síťová připojení pouze ze specifických síťových uzlů, které směrovače filtrují pomocí svých MAC (Media Access Control) nebo IP adres. Tuto funkci mohou také provádět interní brány firewall a mohou být ve složitých aplikacích flexibilnější.

S výhledem na šifrování je velká chyba

Kromě segmentace musí být vaše data také šifrována, a to jak během přenosu v síti, tak i při ukládání. Šifrování lze snadno provést, protože je standardně prováděno v softwaru pro bezdrátový přístup a cloud a všechny moderní operační systémy (OS) poskytují šifrování jako standardní službu. Přesto je nešifrování důležitých dat možná jedinou největší příčinou ztráty dat při nedávných porušeních.

Důvody, proč taková data nejsou šifrována, lze v mnoha případech, i když to v mnoha případech vyžadují, shrnout čtyřmi slovy: lenost, nekompetence, neznalost a hloupost. Jednoduše neexistuje žádná omluva za selhání šifrování vašich dat.

Nakonec je zde ochrana sítě. Spolu s ochranou vašich dat musíte také zajistit, aby vaše síť nebyla používána jako platforma pro spouštění útoků, a musíte zajistit, aby vaše síťová zařízení nebyla proti vám použita. Jedná se zejména o problém se sítěmi, které zahrnují řadiče strojů ve vašem skladu nebo továrně, a jde o problém se zařízeními internetu věcí (IoT).

• Nepoužívejte Sabotáž své vlastní bezpečnosti, trénujte své uživatele Nedělejte Sabotáž své vlastní bezpečnosti, trénujte své uživatele
• Začněte zabezpečovat svou síť před hrozbami IoT pro spotřebitele Začněte zabezpečovat svou síť před hrozbami IoT pro spotřebitele
• Nalezení a oprava zabezpečení na vašem síťovém obvodu Hledání a oprava zabezpečení na vašem síťovém obvodu

To je hlavní problém, protože tolik síťových zařízení má jen malou nebo žádnou vlastní bezpečnost. Proto je poměrně snadné je použít jako platformu k zahájení útoku typu denial-of-service (útok DoS) nebo k odčerpávání jejich dat jako způsobu provádění dohledu nad provozem vaší společnosti. Mohou být také použity jako základna operací proti vaší síti. Protože tato zařízení nemůžete odstranit, nejlepší je, abyste je mohli umístit do své vlastní sítě, co nejvíce je chránit a poté je nenechat připojit přímo k vaší vnitřní síti.

Zde jsme probrali několik vrstev a v některých případech může vaše síť vyžadovat více. Je však důležité si uvědomit, že každá vrstva vyžaduje správu a že ochrana potřebná pro každou vrstvu musí existovat v síti s dalšími vrstvami zabezpečení. To znamená, že je rozhodující, abyste měli zaměstnance spravovat každou vrstvu a že zabezpečení v každé vrstvě nepříznivě neovlivní zabezpečení v jiné vrstvě.

Je také důležité vyhnout se řešení dne, což znamená jednorázové zabezpečení v boji proti konkrétní hrozbě. Je snadné se vtáhnout do jakéhokoli bezpečnostního úderu a skončit s nezvládnutelným nepořádkem. Místo toho vyberte široký přístup, ve kterém hrozba dne nebude vyžadovat další vrstvu.