Модель персональной паранойи

Довольно часто, а в последнее время почти постоянно, меня спрашивают друзья и коллеги «не из индустрии»: ты ж безопасник, расскажи, как защититься от киберугроз, а то не понятно как жить — все меня слушают, начиная с соседа со сканером и заканчивая Яровой и АНБ, мои фотки могут украсть из облака, камера моего планшета следит за мной, мой автомобиль могут взломать хакеры... И далее весь список медийных стереотипов.

С другой стороны, в сети много статей на темы «да кому вы нужны за вами следить», «законопослушному человеку нечего скрывать» и тому подобных. В той же сети нет недостатка в различных советах и инструментах на все уровни паранойи: как отключать различные сервисы в операционных системах, шифровать документы и трафик, анонимизировать свои действия в сети, пользоваться чужой sim-картой и т. д., и т. п. Что и как делать — понятно, но не всегда понятно — зачем.

Я обычно, чтобы показаться умным, сначала прошу нарисовать карту рисков. Это непросто сделать и в корпоративной безопасности, где есть оценки ценности разных видов информации, куча профильных специалистов по ИБ, комплаенсу и юриспруденции, а также накопленная статистика по инцидентам. Поэтому нередко создание карты персональных рисков информационной безопасности вызывает проблемы в реализации, и тогда можно переходить от умничанья к психоанализу. Задаю вопрос: «Чего ты боишься? Какой из твоих страхов реализуется, если ты потеряешь информацию? Развод? Потеря контракта? Работы? Денег? Бизнеса? Свободы? Жизни? Откуда исходит угроза? Жена? Конкурент? Босс? Журналисты? Избиратели? Полиция? Налоговики? ФСБ/ЦРУ/Моссад/Китайская разведка? Почему вы им интересны? Догадываются ли они или наверняка знают что-то про информацию, которой вы обладаете или вы опасаетесь, что они наткнуться на нее случайно?» От ответов на подобные вопросы зависит то, сколько ресурсов они готовы направить на получение этой информации.

Атаки не менее затратны, чем защита

Многие консультанты по безопасности не берут в расчет, что не только защита, но и атака требует ресурсов, и атакующие так же рискуют быть раскрытыми и наказанными. Атаковать или даже просто готовиться к атаке — нарушение закона. Представьте, что в вашей квартире входная массивная железная дверь, но у нее сложный замок, к которому вы давно потеряли ключи, поэтому она никогда не запирается. Защищает ли она вас в таком виде? Зачастую самого вида двери достаточно, чтобы надежно уберечь от взлома, ведь проверить ее на прочность — уже нарушение закона и риск: внутри может оказаться вторая дверь, скрытая первой, или вооруженная засада. Неподключенная ни к чему видимая снаружи камера видеонаблюдения защищает ничуть не хуже подключенной к дорогой системе — потенциальные нападающие не в курсе, подключена она или нет, и оценивают свой риск по максимальной планке.

Это не фигура речи, я два года не мог собраться починить центральный замок на машине и все два года технически не мог ее запереть, а пару раз в сильный мороз оставлял ее около общественной бани открытой, с ключом в замке и даже заведенную, чтобы после бани сесть в теплую машину. Ничего не произошло, пусть не клевещут на московскую преступность, видимо, преступники не решились лезть в тонированный внедорожник — со стороны не видно, открыта машина или нет, а за тонированными стеклами вечером не видно, есть ли в заведенной машине люди. Поэтому видимость наличия защиты — сама по себе защита и от случайных нападений точно защищает не хуже настоящей.

Кто вам реально угрожает

Но если атака не случайная, а спланированная, это, конечно, не поможет. Предположим, результаты изучения твоей частной жизни и способов ее защиты все же убедили потенциальных нападающих, что риск атаки на вас приемлем. Для нанесения тебе ущерба определенным образом, неважно в киберпространстве или в реальном мире, нужны конкретные ресурсы — деньги, квалифицированные люди, время. Есть ли они у того, кому это интересно? Если вы интересны ЦРУ и АНБ — наверняка есть, но так ли ваши фотки и документы интересны им, чтобы тратить на вас деньги американских налогоплательщиков? Если вы не крупный госчиновник — вряд ли. И так далее, по нисходящей.

В 1990-х планированию возможных атак от ресурсов заинтересованных нападающих научил меня товарищ из провинции, у которого я пережидал московский финансовый конфликт. «Поживешь тут пару месяцев, отлежишься, с глаз долой из сердца вон, острая фаза пройдет — поедешь договариваться», — успокаивал меня он. «Ты их не знаешь, они такие отморозки, что могут меня искалечить или даже убить!» — волновался я. Время и правда было лихое, а оппонент имел репутацию неразборчивого в средствах. «Не грузись, спрячем тебя в охотничьем домике, пешком к нему не добраться, подход только с воды, течение быстрое, «Сайга» пристреляна. Увидишь чужую лодку с крутыми парнями — стреляй по мотору, пока он не заглохнет, тогда лодку снесет течением. Поймут, что ты вооружен, десять раз подумают про повторение операции». «А если боевые пловцы или вертолет?» — вспомнил я книжку Бушкова «Охота на пиранью», которую читал в поезде. «Тогда из этой «Сайги» ты успеешь быстро застрелиться, — сказал он, не меняясь в лице, — потому что если ты с твоими ресурсами воюешь с человеком, способным послать за тобой боевых пловцов или боевой вертолет, это будет самый эффективный выход». Тогда все обошлось, и я вспоминаю эту историю прежде всего как урок по оценке рисков с учетом оценки ресурсов нападающего.

Смежные угрозы

Такой подход очень помогает экономить средства и время на обеспечение безопасности. Если вы занимаетесь на домашнем компьютере чем-то, что не одобрит ваша вторая половина, то надо защищаться от нее, а не от АНБ. Можно, конечно, вести параллельно несколько учетных записей, работать с виртуальной машины со сменного диска, шифровать трафик и диски и т. п. Но, скорее всего, достаточно будет разных с супругой компьютеров или раздельных учетных записей на общем с автоблокировкой и автоочисткой кэша браузера или истории переписки. Однако если вы в такой же ситуации находитесь под рейдерской атакой, а все имущество записано на супругу/супруга, то следует уже оценивать ресурсы не второй половины, а рейдеров: они могут захотеть вас поссорить и используют раскрытие ваших шалостей. Кстати, ссора не такой уж и фантастический сценарий. Я лично участвовал в противодействии рейдерскому захвату, помогая товарищу, которого пытались поссорить с супругой, не просто выискивая ситуации, способные его скомпрометировать, но и создавая их — подсылая нанятых фотомоделей и отправляя на почту откровенные фото.

Как видим, некоторые типы потенциальных атакующих могут смешиваться. Ещё пример: ваши документы интересны конкуренту, но у него нет ресурсов, чтобы вас прослушивать. Такие ресурсы есть у полиции, но ей неинтересны ваши документы и разговоры. Однако у вашего конкурента, например, есть связи в полиции, и изъять бумаги или прослушать вас могут, присоединив эту информацию к какому-нибудь уголовному делу, а знакомый полицейский в нарушение закона сольет ее вашему конкуренту. Риск большой и для конкурента, и для полицейского, а потому для использования подобной схемы информация должна быть очень ценной и понятным образом монетизируемой.

Эффективный подход

Итак, и защита, и атака — это расходы. Носить бронежилет и каску во время военных действий необходимо, но всю жизнь ходить в бронежилете — удел очень охраняемых персон, и рекомендовать такой вариант всем подряд в качестве профилактики — никому не придет в голову. Нельзя всю жизнь работать в режиме максимальной защиты — просто перестанете быть эффективным. К сожалению, консультанты по безопасности склонны всегда переоценивать угрозу, так они устроены: они обычно считают, что атакующий — суперпрофессионал, знающий всю вашу подноготную, поэтому надо защищаться по полной. В реальности же не всегда тот, кто вам может действительно угрожать, способен собрать о вас всю информацию и нанять такого профессионала — его еще надо найти, а в процессе поиска не трудно наткнуться на провокатора из спецслужб, ловящего преступников на наживку. Или ваш противник может нанять спеца, и тот даже хорошо отработает, но его поймают по совершенно другому делу, и он, чтобы уменьшить наказание, начнет сотрудничать и сдаст предыдущие эпизоды преступной деятельности, выдав заказчика. Захочет ли заказчик преступления (а это уголовное преступление) брать на себя такие риски? В кино избавляются от исполнителей после атаки, но в жизни надо искать и нанимать кого-то другого, с еще большими рисками. Поэтому, скорее всего, оппонент будет работать либо собственными силами (вспомните, есть ли у него в команде хорошие специалисты), или анонимно искать хакеров на хакерских форумах — за такие заказы, скорее всего, возьмутся школьники, играющие в крутых хакеров и защищаться вам придется от них.

Вспомните, как устроены спецслужбы любой страны — для каждой угрозы есть свои профессионалы. Может случиться, что сотрудник дорожной полиции остановит машину, нарушающие правила движения, а в ней окажутся вооруженные преступники? Конечно, время от времени такое происходит, и об этом пишут газеты. В России 90-х у дорожной полиции появились бронежилеты и автоматическое оружие, которые были немыслимы в СССР. Означает ли это, что каждый сотрудник полиции должен быть экипирован и тренирован, как боец элитных подразделений, нацеленных на борьбу с террористами? А ведь еще бывают случаи, когда мимо поста дорожной полиции проезжают не просто террористы, а вражеская бронетехника. Будем строить каждый пост ГИБДД в виде долговременной огневой точки и оснащать его противотанковыми ракетами?

Конечно нет, этого не выдержит бюджет ни одной страны. Есть дорожная полиция, решающие свои задачи, их модель угроз — нарушитель ППД. Есть патрульная служба, их модель — хулиганы, нарушители порядка. Есть подразделения для борьбы с террористами, а есть — для борьбы с массовыми беспорядками, у которых разные угрозы и разные методы. Нам есть чему научиться у государства в разделении угроз и выборе соответствующих мер противодействия. Вашей половине наплевать на вашу переписку с контрагентами, а им — на ваши фотки из сауны. Налоговой интересно, как вы прячете доходы, а иностранной разведке — ваши связи во властных структурах и ваш доступ к гостайне. Можно, конечно, решить, что вся ваша информация чрезвычайно волнует иностранную разведку, например, для шантажа и вербовки, но давайте честно себя оценивать, заодно и денег сэкономим.

Быстрее самой медленной газели

Если же вы не являетесь объектом целенаправленной атаки, ваша задача стать невидимым для тех, кто может выискивать подходящую жертву. В этом случае хорошо помогает «метод бега быстрее самой медленной газели», то есть достаточно не нарушать определенный профиль, принятый в конкретной сфере. Если вы занимаетесь деятельностью, раскрытие информации о которой может вам угрожать, хорошо бы знать, как выглядит идеальный профиль поведения в данной деятельности. В случае налоговой оптимизации, например, очевидно, что относительно безопасная стратегия — платить регулярно и экономить понемногу, а рискованная — вообще не показывать прибыль долгое время и под этим предлогом не платить совсем — лучший способ привлечь внимание и попасть в разработку.

Не забывайте, что усиленная безопасность почти всегда означает дополнительные неудобства, а неудобства означают снижение эффективности. Если для каждого делового звонка вы должны будете поднимать защищенный канал и включать систему искажения голоса, то потеряете на каждом звонке несколько минут, что при активном телефонном общении может отнимать больше часа в день. К тому же по сравнению с конкурентами вы будете выглядеть параноиком, а значит, вам есть что скрывать. Такой профиль поведения также может привлечь дополнительное внимание спецслужб и преступников.

***

Достаточно вам заболеть паранойей, и быстро найдутся люди, которые продадут вам различные средства защиты и будут оказывать платные консультации по кибербезопасности. Но лучше реально оценивать угрозы, в том числе и с точки зрения ресурсов потенциальных нападающих, и тогда ваши деньги можно инвестировать в более интересные сферы — большинству людей достаточно базовой встроенной защиты и разумного поведения в киберпространстве, так называемой цифровой гигиены. Главное — не бояться того, чего нет.