კეთილი იყო თქვენ
კიბერუსაფრთხოვაში კეთილი იყო თქვენ: თავდაცვა სიღრმეში.
ყოველ კვირაში კიდევ ერთი სიახლე: საავადმყოფო ლოკავია თავის სისტემებიდან რანსომვეარის მიერ, მილიონი პაროლი ავტორიზებული ბაზიდან დაკარგვა, კონვეიერი უკეთურდება თავდამსხმელების მიერ, რომელმაც ერთი კომპრომეტირებული პაროლით შეაღწია.
კიბერუსაფრთხოვა არ არის ხაკერი კაპიტნის ქუდით. ეს არის იმის გაგება, თუ როგორ ვერ უკმარდებიან სისტემები და დაცვის აგება, რომელიც ძლევს — არა თუ — რაიმე არ გაივლის.
ეს გაკვეთილი თქვენ წაიყვანს ფუნდამენტური ცნებებიდან საფრთხის მოდელირების, ქსელის დაცვის, აპლიკაციის უსაფრთხოების, ინციდენტის რეაგირების და ბოლოს კარიერული გზებში, სადაც ეს ცოდნა ხელფასს იხდის.
CIA სამი კომპონენტი
CIA სამი კომპონენტი
ყოველი უსაფრთხოების გადაწყვეტილება რუკა დაბრუნდება სამი პრინციპში. ინდუსტრია მათ აწოდებს CIA სამი კომპონენტი — არაფერი საერთო ინტელიგენციის სააგენტოსთან.
კონფიდენციალურობა — მხოლოდ ავტორიზებულ პირებს შეუძლიათ მონაცემებზე წვდომა. ექიმის ჩანაწერი უნდა იყოს ხილული პაციენტისა და მის ექიმისთვის, არა მთელი ინტერნეტისთვის.
ინტეგრალობა — მონაცემები არ იყო დაზიანებული. როდესაც თქვენი ბანკი ამბობს, რომ თქვენი ბალანსი 500 დოლარია, თქვენ უნდა დაიმოწმოთ, რომ ვერ ერთმა არ შეცვალა იგი 5000 დოლარიდან.
ხელმისაწვდომობა — სისტემები და მონაცემები ხელმისაწვდომია, როდესაც საჭიროა. საავადმყოფოს პაციენტის ჩანაწერი უსარგებლოა, თუ ქსელი დაღმავლებებით შეწყვეტილია.
უმეტეს დარღვევებში მინიმუმ ერთი ეს დაირღვა. რანსომვეარის თავდასხმები ხელმისაწვდომობას თავს დაესხმება. მონაცემების გაჟონვა საიდუმლოებას შთამბეჭდია. შუა-გზის თავდასხმა ფინანსურ ტრანზაქციებზე ინტეგრალობას შთამბეჭდია.
რეალური სამყაროს უსაფრთხოება ყველა სამის შორის ტრეიდ-অფის შესახებ. სისტემა, რომელიც დაკეტილია ტიხეში, აქვს პერფექტული კონფიდენციალურობა, მაგრამ ნულოვანი ხელმისაწვდომობა.
ჯამის ვექტორები
რა თქმით ზიანი მოხდება
ჰოლივუდი აჩვენებს ხაკერებს ჟამიერად ყვერდებიან მწვანე კოდ ტერმინალში. სინამდვილე ნაკლებ პროპაგანდა. უმეტეს დარღვევებში დაიწყება ერთი რამდენიმე საერთო ჯამის ვექტორი:
ფიშინგი — პირის მოტყუება დააწკაპოთ ბმულზე, გახსენით დანართი ან შეიყვანეთ სამკუთხედი ყალბ საიტზე. ეს ჯერ კიდევ არის რიცხვი ერთი საწყისი წვდომის მეთოდი. Spear ფიშინგი სამიზნე კონკრეტული პირი მორგებული მაკატელი.
მალვერე — პროგრამული უზიანი ან ავტორიზებული წვდომის მისაღებად: რანსომვეარი კოდირება თქვენი ფაილები და მოითხოვს გადახდას, ტროჯანი აღმოსაფენი კანონიერ პროგრამულ უზიანში, და ჭიები ავტომატურად გავრცელებული ქსელებზე.
მიწოდების ჯაჭვის თავდასხმა — კომპრომეტირება საიმედო გამყიდველის ან პროგრამული დამოკიდებულების. 2020 წლის SolarWinds თავდასხმა შეიყვანა მავნე კოდი რუტინული პროგრამული განახლებაში, რომელიც დაიშანტო 18,000 ორგანიზაციას, მათ შორის აშშ-ის სამთავრობო სააგენტოები.
პაროლის თავდასხმა — ხაკერი ძალი პაროლი, პაროლის სტაფილოკო (გამოყენება ნაჟინი პაროლი სხვა დარღვევებში), ან ექსპლოატაცია ნაგულისხმევი პაროლი, რომელი კი არასდროს გაკეთდა.
ზერო-დეი ექსპლოიტი — თავდასხმა დაუცველობა, რომელიც პროგრამული გამყიდველი ჯერ არ იცის. ეს იშვიათი, მაგრამ კატასტროფული, რადგან წამლა მელვარი არ არსებობს.
საფრთხის აქტორები და MITRE
ვინ არის მიერთების უკან?
არა ყველა თავდამსხმელი ერთნაირია. უსაფრთხოების პროფესიონალები მათ კატეგორიზირებენ მოტივაციის და კვალიფიკაციის მიხედვით:
სკრიპტი ბავშვი — ნაბიჭი უნარ თავდამსხმელი პრე-აგებული ხელსაწყოების გამოყენება. ისინი გამოიწვევენ რეალურ ზიანი, მაგრამ არ არიან სოფისტიკური.
ჰაკტივიზტი — პოლიტიკურად ან სოციალურად მოტივირებული. ისინი დეფეისი ვებსაიტი, ლიკი მონაცემი ან ღირთილი უარყოფის სერვის თავდასხმა გააკეთოთ წერტილი.
კიბერ სოციალური — მოგების-დრივი. რანსომვეარი განგები, თაღლიტი რგოლი და მონაცემი მეკობრა. ეს არის ორგანიზებული დანაშაული ხელმისაწვდომი ინტერნეტისთვის.
ქვეყნის-სახელმწიფო აქტორი (APT) — გაწინააღმდეგო გამძლე საფრთხე უკან მთავრობები. ისინი აქვთ დიდი ბიუჯეტი, პირმხრივი ხელსაწყო და მოთმენა გაზომული წლებში. ფიქრი სპიონაჟი, ინფრასტრუქტურის მიწოდება და სინტელექტუალური საკუთრება ქურდი.
შიგნით — თანამშრომელი ან კონტრაქტორი ლეგიტიმური წვდომის რომელი ბოროტად მოხმარება, ან შემთხვევის გზით.
MITRE ATT&CK სიმინდის
MITRE ATT&CK არის საჯაროდ ხელმისაწვდომი ცოდნის ბაზა, რომელიც კატალოგი რეალური სამყাროს თავდამსხმელი ტექნიკა ორგანიზებული ფაზა: საწყისი წვდომა, შესრულება, შენახვა, პირმხრივი ზრდა, გვერდითი მოძრაობა, ეკრანსფილიკი და მეტი. დამცველი გამოიყენება გაერკვნენ რა თავდამსხმელი ამ ერთეული ეტაპებში და აგება აღმოჩენა შესაბამისად.
უკიდურეს, VPN და IDS/IPS
ქსელის დაცვა ფენა
ქსელის უსაფრთხოება შესახებ კონტროლი რა ტრაფიკი შედის, ხელოვნური და მოკიდებული თქვენი ქსელი. ერთი მოწყობილობა აკეთებს ეს მარტო — თავდაცვა სიღრმეში ნიშნავს ფენა მრავალი კონტროლი.
უკიდურეს — საბაჟო ხაზი დაცვა. უკიდურეს აკვირდება ქსელი ტრაფიკი და დაშვება ან შეზღუდვა იგი საფუძველზე წესი. ძირითადი უკიდურეს ფილტრი IP მისამართი და რიცხვი. ხილვადი პოლიტიკა უკიდურეს (NGFW) აკვირდება ფაქტობრივი მოთხოვნილება ტრაფიკი და შეუძლია მოიცნოს კონკრეტული აპლიკაციო.
VPN (ვირტუალური კერძო ქსელი) — კოდი ტრაფიკი ორ წერტილს შორის, აღმზიდელი უსაფრთხო ნიჭი უზე უნდობელი ქსელი მოსწონს საჯაროდ ინტერნეტი. დაშორებული თანამშრომელი გამოიყენება VPN წვდომა შიგნით კომპანია რესურსი როგორც თუ ისინი იყვნენ-ზე.
IDS/IPS (ატაკის აღმოჩენა/აკავებს სისტემა) — IDS აკვირდება ტრაფიკი და ოჯახი როდესაც ხედი რაიმე საეჭვი. IPS აკეთებს იგივე მაგრამ შეუძლია ავტომატური ბლოკი ტრაფიკი. ფიქრი IDS როგორც უსაფრთხოების კამერა და IPS როგორც უსაფრთხოების კამერა guardia ჩამოკლებული კარი.
ქსელი დაყოფა — დაყოფილი ქსელი ჯერ იზოლირებული ზონა ისე რომ დარღვევა ერთი მხარე აკეთებს არ შეუძლია ადვილად ფენა სხვა. კომპრომეტირებული სამუშაოსთან მარკეტინგის განყოფილება შეუძლია აკეთოს მონაცემი სერვერი ფინანსი განყოფილება.
ნული ვერცხლისფერი და DNS უსაფრთხოება
ნული სარწმუნო არქიტექტურა
ტრადიციული ქსელი უსაფრთხოება მოწონებული ციხე-და-მი მოდელი: მძლავრი პერიმეტრი დაცვა, მაგრამ ერთხელ თქვენ უკან შიგნით, თქვენ ხართ რწმენილი. ეს აკნიშნება კატასტროფულ როდესაც თავდამსხმელი აქებს პერიმეტრი — ან როდესაც პერიმეტრი აქრობს რადგან ყველა მუშაობა პირ სახელი.
ნული სარწმუნო აძრა მოდელი: აბრა რწმენა, ყოველთვის დამოწმება. ყოველი მოთხოვნილება — აკეთებს მოვიდა შიგნით ან გარე ქსელი — უნდა იყოს განამტკიცებული, ავტორიზებული და კოდი. ძირითადი პრინციპი:
- დამოწმება მკაფიოდ — პირადობა და ავტორიზებული საფუძველზე ყველა ხელმისაწვდომი მონაცემი: პირადობა, ადგილი, მოწყობილობა ჯანმრთელობა, სერვის ან მუშაობა, მონაცემი კლასიფიკაცია.
- ყველაზე ნაკლები პირმხრივი წვდომა — აძლევთ მომხმარებელი და სისტემა მხოლოდ მინიმალური ნებართვა ისინი ამ უნდა, მხოლოდ მდე თავშენი იმ ძალა.
- ვარაუდი ხმელი — ডিজাইნი სისტემა თუ თავდამსხმელი უკვე შიგნით. მინიმიზირებული აფეთქება რადიუსი რომელი პირხელი.
DNS უსაფრთხოება
DNS თარგმნის დომენი სახელი IP მისამართი. თავდამსხმელი ეკსპლოატაცია ეს რამდენიმე გზა: DNS სპუფინგი გადატვირთა მომხმარებელი მავნე საიტი, DNS ტუნელირება ღირებულება მოიკიდა შიგნით DNS კითხვა, და დომენი მეკობრა აკეთებს კანონიერი დომენი. DNSSEC დამატებელი კრიპტოგრაფიული ხელმოწერა DNS პასუხი მოშავო დაცვა იმისთვის.
ინჯექცია თავდასხმა
როდესაც აპლიკაციო ხდება თავდასხმა ზედაპირი
ქსელი დაცვა შეუძლია იყოს სრულყოფილი, მაგრამ თუ აპლიკაციო თავად აქვს ხელმოშორებული, თავდამსხმელი ხელი უფლება წელს წელს კარი.
SQL ინჯექცია — თავდამსხმელი შეყვანისა მავნე SQL კოდი ფორმა ველი. თუ აპლიკაციო აღმზიდელი მონაცემი კითხვა გაერთიანება მომხმარებელი შემოსახვევა, თავდამსხმელი შეუძლია წაიკითხა, შეცვალა ან წაშლილი მთელი მონაცემი. მაგალითი: შემოსახვევა ' OR 1=1 -- ფორმა ველი შეიძლება ა აუთენტიფიკაცია ჯამი.
ჯვარი-ზე სკრიპტი (XSS) — თავდამსხმელი ინჯექცია მავნე JavaScript ვებ გვერდი რომელი სხვა მომხმარებელი იხილოს. როდესაც ჯამი დატვირთვა გვერდი, სკრიპტი აქებს თავიანთ ბრაუზერი და შეუძლია წაკრას სესიო დამკვიდრება, გადატვირთა ფიშინგი საიტი ან შეცვალა რა ისინი ხედი გვერდი.
OWASP ოთხი ცხრა — ღია ვებ აპლიკაციო უსაფრთხოება პროექტი იბეჭდა რეგულარულად განახლება სიაა ყველაზე კრიტიკული ვებ აპლიკაციო უსაფრთხოება რისკი. ინჯექცია და XSS იყო სიაა მეტი დეკადა. სხვა ჩანაწერი მათ შორის ქვეყნის წვდომა, უსაფრთხოება misconfiguration, და უნდობელი დიზაინი.
ხელი ინჯექცია თავდასხმა აკეთებს არ შემოსახვევა ფილტრი მარტო — ეს არის პარამეტრი აკითხვა (ასევე უწოდებენ მომზადებული დაცემა). მაგრამ აღმზიდელი SQL სიმებიანი მომხმარებელი შემოსახვევა, თქვენ გაატარეთ შემოსახვევა როგორც ცალკე პარამეტრი რომელი მონაცემი სამუშაოსთან, აბრა კოდი.
აუთენტიფიკაცია და უსაფრთხო განვითარება
აუთენტიფიკაცია კეთილი
აუთენტიფიკაცია არის მტკიცება თქვენ უფლება ვინ მოითხოვა. ავტორიზებული აკეთებს დადგენა რა თქვენ ნების აკეთოთ. გაბნეული ორი არის საერთო წყარო ხელმოშორებული.
მრავალი-ფაქტორი აუთენტიფიკაცია (MFA) — მოითხოვს ორი ან მეტი ფაქტორი: რაიმე თქვენ იცით (პაროლი), რაიმე თქვენ აქვს (ტელეფონი ან აპარატი გასაღებით), რაიმე თქვენ არიან (თითის ანაბეჭდი). MFA ხელი უფლება უმეტეს პაროლი-დაფუძნებული თავდასხმა რადგან წაკრული პაროლი მარტო არ არის საკმარი.
OAuth 2.0 და OpenID კავშირი — სტანდარტი დელეგირებული ავტორიზებული და აუთენტიფიკაცია. როდესაც თქვენ დაწკაპა 'აღმოთქმა Google,' OAuth აკეთებს აპლიკაციო დამოწმება თქვენი პირადობა Google სანამ მხოლოდ თქვენ Google პაროლი.
უსაფრთხო პროგრამული განვითარება ცხოვრება (SDLC)
უსაფრთხოება აკეთებს არ გაბამი უკან განვითარება. უსაფრთხო SDLC დაკავშირება უსაფრთხოება ყოველი ფაზა:
- დიზაინი — საფრთხის მოდელირება: რა შეუძლია წავიდა ღირებულება?
- განვითარება — უსაფრთხო კოდი სტანდარტი, კოდი ზეთი, სტატიკი ანალიზი ხელსაწყო
- ტესტი — დინამიკა ანალიზი, penetration ტესტი, fuzz ტესტი
- განთავსება — კრემი კონფიგურაცია, საიდუმლო ხელმართება
- მარტივი — ცვლილებები, ხელმოშორებული დასკანი, დამოკიდებულება განახლებები
ინციდენტი რეაგირება ცხოვრება
როდესაც წინაქცევა ვერ
ერთი დაცვა სრულყოფილი. როდესაც დარღვევა ხდება, განსხვავება ბაზარი ინციდენტი და კატასტროფა რა სწრაფი და ეფექტიანი თქვენ რეაგირება.
სტანდარტი ინციდენტი რეაგირება ცხოვრება აქვს ექვსი ფაზა:
1. მომზადება — აღმზიდელი გუნდი, აკეთებს როლი, შექმნა playbooks, აკეთებს ტაბლეტოპი სავარჯიშოები. ეს ხდება სანამ რაიმე ინციდენტი. უმომზადო გუნდი ვერ ღირებული კრიტიკული საათი აკეთებს რა აკეთებს რა.
2. აღმოჩენა და ანალიზი — აკეთებს რომელი ინციდენტი ხდება და აკეთებს განზამთა ფარი. ეს იქ SIEM (უსაფრთხოება ინფორმაციო და ღონე ხელმართება) სისტემა გამკრთალი ჟურნალი შედგენილი გარშემო გარემო და ოჯახი საეჭვი ნიმუში. SOC (უსაფრთხოება ოპერაციო ცენტრი) ანალიტიკა triage მაგ მიწოდება 24/7.
3. მოიცვლება — პალიტრა სისხლიანი. მოკლე-ხელი მოიცვლება შეიძლება ნიშნავს იზოლირებული დაინფიცირებული მანქანა ქსელი. გრძელი-ხელი მოიცვლება შეიძლება ნიშნავს აღმზიდელი სწორი პარალელი გარემო ხოლო თქვენ გამოძიება.
4. ზემოთ — წაკრა თავდამსხმელი არსებობა ჯამი: malware, კარიბჭე, compromised ანგარიშები, და შენახვა მოდელი.
5. აღდგენა — აღდგენა სისტემა ნორმალური ოპერაციო. დამოწმება რომელი გარემო სწორი. ჩვენი დაკვირვება საფრთხე თავდამსხმელი აღემატება მას მხოლოდ გარე.
6. გაკვეთილი უცხო — ყველაზე უყურადღებო ფაზა. აკეთებს blameless post-mortem: რა მოხდა, რა აღმოჩენილი, რა თოვდა, რა ვერა, და რა ცვლილებები წაკრა რეკურსიონი.
ინციდენტი რეაგირება სცენარი
სცენარი: რანსომვეარი 2 AM
თქვენ ხართ-ზე მოწოდება უსაფრთხოება ანალიტიკა. 2:14 AM, თქვენი SIEM ფაქტი ოჯახი: რამდენიმე ფაილი სერვერი აჩვენება უჩვეულო კოდი აქტივობა. წლიდან რამდენიმე წუთი, თანამშრომელი ევროპა ოფისი ანგარიშ რომელი მათი ფაილი შეცვლილი ransom დაცემა მოითხოვა 50 Bitcoin.
თქვენი ინციდენტი რეაგირება გეგმა ამბობს escalate IR გუნდი ლიდერი და მოწონება ransom playbook. CEO აკეთებს მოწოდება. იურიდიული გრძელი აკეთებს ვიცი შესახებ გამოცხადების ვალდებულებები. IT ხელმძღვანელი გრძელი აკეთებს ვიცი თუ backups სწორი.
გაკვეთილი უცხო
ფაზა ყველა გამოტოვა
ფაქტობრივი კრიზიס გადაწყვეტილი, გაკვეთილი-უცხო ფაზა განსაზღვრა თუ ორგანიზაციო ფაქტიურად ტაქტიკა. blameless post-mortem ამბობს:
- რა აქვს საწყისი წვდომა ვექტორი?
- კიდე დიდი აქვე თავდამსხმელი გარემო სანამ აღმოჩენა (dwell დრო)?
- რა კონტროლი დაირღვა, და რატომ?
- რა კონტროლი თოვდა?
- რა კონკრეტული, გაზომილი ცვლილებები კიდე წაკრა რეკურსიონი?
სიტყვა blameless მნიშვნელოვანი. თუ ხალხი შიში სასჯელი, ისინი ხიდან შეცდომა. თუ ისინი ხიდან შეცდომა, ორგანიზაციო აბრა სწავლა. მიზანი არის რომ ფიქსი სისტემა, არა სასჯელი ინდივიდუალური.
საშუალო dwell დრო ransom თავდასხმა დროს დაეცა ბოლო წლებში, მაგრამ სხვა თავდასხმა ტიპი, თავდამსხმელი ხშირად დარჩებოდა აღმოუჩენელი კვირა ან თვე. აღმოჩენა სიჩქარე ერთი ყველაზე მნიშვნელოვანი მეტრიკა უსაფრთხოება ოპერაციო.
კარიერა გზა კიბერუსაფრთხოვა
სადაც ეს ცოდნა გზა
კიბერუსაფრთხოვა აქვს უზარმაზი ნიჭი კლებ — ასეული ათასი ფართოვილი პოზიცია მსოფლიო. მიდგომა გარემო მრავალი კარიერა ბილიკი დიფერენცირებული პირადობა და უნარი კომპლექტი:
SOC ანალიტიკა — წელი ხაზი. SOC ანალიტიკა მუშაობა ხელი მონიტორი იწინასწარმეტყველა, triaging ინციდენტი, და escalating საფრთხე. ეს ყველაზე საერთო entry წერტილი შიგნით კიბერუსაფრთხოვა. ელოდებით ხელი აკეთებს ბევრი წინთქმედი დაღლილობა, მაგრამ ეს აღმზიდელი ღრმა პრაქტიკული ცოდნა სწრაფი.
თავდამსხმელი ტესტი (Pentester) — თქვენ აკეთებული გადახდა თოვლი ორგანიზაციო მათი ნებართვა. თქვენ პოვნა ხელმოშორებული სანამ თავდამსხმელი აკეთოთ. უნდობელი ღრმა ტექნიკული უნარი ქსელი, ვებ აპლიკაციო, და ოპერაციო სისტემა. შემოქმედი პრობლემა-ხსნა ყოველთვის აუცილებელი.
უსაფრთხოება ინჟინერი — დიზაინი და აღმზიდელი დაცვა ინფრასტრუქტურა: უკიდურეს, SIEM სისტემა, პირადობა platform, დაშიფვრა სისტემა. ეს ქვემაქვემდებარი როლი. მძლავრი overlap DevOps და cloud ინჟინერი.
ციფრი ფორენსიკა და ინციდენტი რეაგირება (DFIR) — გამოძიება. როდესაც დარღვევა ხდება, DFIR პროფესიონალი რეკონსტრუქცია რა მოხდა, როგორ, და როდესაც. უნდობელი მხედლიანი ყურადღება შე და მოსახლეობა იურიდიული პროცესი და მტკიცებულება ხელმართება.
სერტიფიკატი
სერტიფიკატი არ აუცილებელი, მაგრამ ისინი ღია კარი:
- CompTIA უსაფრთხოება+ — ინდუსტრია-სტანდარტი entry-level სერტიფიკატი. ქვეს ფუნდამენტური უსაფრთხოება ცნებები. კარგი დაწყების წერტილი.
- OSCP (თავდამსხმელი უსაფრთხოება სერტიფიცირებული პროფესიონალი) — აჯორნო penetration ტესტი სერტიფიკატი. თქვენ აქვს 24 საათი წაკრა რამდენიმე მანქანა ლაბორატორი. მაღალი პატივსაცემი და ჭეშმარიტი რთული.
- CISSP (სერტიფიცირებული ინფორმაციო სისტემა უსაფრთხოება პროფესიონალი) — ხელმართება-დონე სერტიფიკატი აფეთქება უსაფრთხოება სტრატეგია, რისკი ხელმართება, და governance. უნდობელი ხუთი წელი აკეთებს. ფართოდ აუცილებელი უფროსი და ლიდერი როლი.
თქვენი უსაფრთხოება მენტალობა
ღამყოფელი ზე
თქვენ აკეთებული დიდი მიწა: CIA სამი კომპონენტი, საფრთხის აქტორი და თავდასხმა ვექტორი, ქსელი დაცვა და ნული სარწმუნო, აპლიკაციო უსაფრთხოება და ინჯექცია თავდასხმა, ინციდენტი რეაგირება აღმოჩენა გაკვეთილი უცხო, და კარიერა გზა რომელი დაბრუნდება ყველას აქ თოვლი.
ძირითადი პრინციპი თავდაცვა სიღრმეში აქვს რომელი ერთი კონტროლი საკმარი. თქვენ ფენა უკიდურეს დაყოფა, დაყოფა მონიტორი, მონიტორი ინციდენტი რეაგირება, და ყველა აქვს მზე ხალხი რომელი იცის რა აკეთოთ როდესაც რაიმე ვერ.
თავდამსხმელი მხოლოდ აკეთოთ იპოვნეთ ერთი ხვრელი. დამცველი აკეთოთ დაფარვა მათ ყველა. რომელი asymmetry რა აკეთებს აქ მხარე ორივე რთული და მნიშვნელოვანი.