Десять аксиом кибербезопасности. Аксиома четвертая. Знай свои активы

Аксимомы кибербезопасности:

1. Взломать можно абсолютно все.

2. Доверять нельзя никому.

3. Принцип «безопасность через неизвестность» не работает.

4. Знай свои актив.

5. Безопасность на уровне бизнес.

В отличие от трех предыдущих аксиом, четвертая, которой и посвящена данная статья, обычно не вызывает вопросов. Нет ничего очевиднее: чтобы защитить что-то, надо знать, что мы защищаем. Однако эта кажущаяся легкость обычно и приводит к множеству ошибок – они обходятся нам слишком дорого и дают дорогу злоумышленникам к нашим системам и данным. Начну с простого, но очень эффектного примера. Летом 2017-го стало известно о попытке взлома одного из казино в Лас-Вегасе через... аквариум. Этот дворец для рыб был подключен к Интернету для удаленного контроля состояния воды, ее температуры и солености, а также для автоматизированного питания морских обитателей. Хакерам удалось отыскать подключение аквариума и, проникнув во внутреннюю сеть казино, украсть базу VIP-игроков на высоких ставках, которая представляет особый интерес для конкурентов, которые могут переманить этих игроков к себе (помните последнюю серию «Друзей Оушена», где Дэнни Оушен переманил важных игроков у Уилли Бэнка?). В данном случае казино знало только один свой актив – список VIP-игроков, но не знало о втором – аквариуме с подключением к Интернет.

Могу привести и другой, наверное, более близкий многим пример. Почти в любой организации существует перечень сведений конфиденциального характера, который... ничего не содержит и не помогает защищать то, что позволяет компании выделяться на фоне конкурентов и зарабатывать деньги. Посмотрите на него внимательно. Скорее всего там есть расплывчатые и совершенно неконкретные фразы про «информацию о клиентах», «персональные данные», «ноу-хау» и т. п. Кто владеет этими сведениями? Где они хранятся? В какой форме передаются? Кто имеет к ним доступ? В итоге мы вроде и знаем об активах в виде защищаемой информации, но это знание абсолютно бесполезно.

Типы активов

Для того чтобы точно понимать, что в вашей организации требует защиты, необходимо выделить несколько ключевых типов активов:

Информационные. Это то, что чаще всего всплывает в голове, когда речь заходит о кибербезопасности или защите информации. Коммерческая тайна, персональные данные, инсайдерская информация, банковская тайна, врачебная тайна... Всего в российском законодательстве более 65 видов тайн, которые надо сохранять. А еще в каждой организации есть свой пласт информации, требующей защиты.

Физические. Как вы думаете, какой актив относится к одному из самых часто теряемых или украденных? Ноутбуки. Их оставляют в кармане впереди стоящего кресла в самолете или экспресса в аэропорт; их забывают в такси или кафе. С одной стороны, утеря ноутбука сама по себе не несет угрозы для информационной безопасности. Ведь хранящаяся на нем информация относится к другому типу защищаемого актива. С другой – лэптопы имеют немалую стоимость (особенно после недавнего анонса компании Apple). Кроме того, атака на компьютер (или на смартфон или промышленный контроллер) может привести к тому, что он превратится в «кирпич» и станет непригодным для выполнения своих основных задач.

Сервисные. Многие компании ринулись сейчас в цифровую трансформацию и стали внедрять к месту, а чаще нет, прорывные технологии. Возьмем, к примеру, блокчейн, на базе которого могут быть построены сервисы управления цепочками поставок, расчетов за электроэнергию, ведения кадастров недвижимости или обмена залоговыми накладными. Уязвимость в этих сервисах способна привести к невозможности дальнейшего оказания определенных услуг и признания недействительными результатов предыдущих сделок в них. Другой, более приземленный пример влияния ИБ на сервис – реализация атак «отказ в обслуживании», которые могут повлиять на доступность, скажем, сервиса дистанционного банковского обслуживания, интернет-магазина или просто обычного сайта. Два года назад, во время эпидемии вредоносного кода Nyetya (он же NotPetya) попала «под раздачу» датская Moller-Maersk – за 7 минут все 49 000 компьютеров, 3500 серверов (из 6200) были уничтожены; остановилась работа всех 1200 приложений (1000 из них также уничтожены). Ущерб составил от 200 до 300 миллионов долларов США (хотя авторы самого вредоноса заработали на нем всего 18 тысяч долларов).

Человеческие. Предпоследние в списке, но не последние по значимости активы, которые часто недооцениваются и которым службы ИБ (и тем более ИТ, если именно они отвечают за кибербезопасность) уделяют несоизмеримо мало внимания. А ведь именно человек становится самым слабым звеном в любой организации и именно из-за его ошибок или явных злонамеренных действий происходят многие проблемы. Именно человек открывает фишинговые письма. Именно человек вставляет подкинутые флешки в свой компьютер. Именно человек записывает пароль на стикер и приклеивает его к монитору.

Нематериальные. Этот тип активов обычно очень редко выделяется в качестве объекта защиты многими специалистами по кибербезопасности. Хотя они ближе всего к тому, что понятнее всего бизнесу. Репутация, бренд, доверие, лояльность, интеллектуальная собственность. Все то, что достаточно сложно измерить, но то, что составляет ценность для компании, ее клиентов и партнеров. Возьмем, к примеру, рассылку фишинговых писем от имени компании. Какие активы страдают в данном случае? Информационные? Нет. Физические? Сервисные? Человеческие? Тоже нет. А вот удар по репутации компании и снижение лояльности клиентов и партнеров налицо. И все это результат недооценки вопросов защиты нематериальных активов. Любопытный случай, связанный с этим типом активов, произошел в 2011 году. Американская компания HBGary Federal, занимавшаяся административными проверками граждан, претендующих на федеральные должности, была взломана. Спустя год компания вынуждена была объявить о своем закрытии в связи с утратой доверия клиентов.

Классификация активов

Вторым шагом, после определения типов активов, требующих защиты, станет их классификация в соответствии с их ценностью для бизнеса. От этого будет зависеть, сколько мы сможем потратить на их защиту (ведь мы помним аксиоматическое правило «стоимость защиты не должна превышать стоимость защищаемого актива»). Человеческие, сервисные и физические активы классифицировать обычно проще всего. Сотрудники и люди, работающие по контракту, разделяются по информации и сервисам, которые им нужны для выполнения служебных обязанностей. Физические активы определяются по их балансовой стоимости (это самый простой вариант). Сервисные – по их влиянию на бизнес-показатели. Про классификацию информационных активов можно написать целую книгу, и уж точно размер настоящей статьи не позволяет полностью раскрыть эту тему. Следует только сказать, что для автоматической классификации структурированных и неструктурированных данных подойдет несколько типов решений – DLP (Data Leakage Protection), DRM (Digital Rights Management), CASB (Cloud Access Security Broker), DAG/DCAP (Data Access Governance / Data Centric Audit and Protection), ECM (Enterprise Content Management), а также встроенные возможности в IaaS/SaaS-платформы (в частности, Office 365), системы хранения и резервного копирования.

Знай своего врага

Еще в конце VI – начале V века до нашей эры в китайском трактате «Искусство войны» было написано: «Если ты знаешь врага и знаешь себя, тебе нет нужды бояться сражений. Если ты знаешь себя, но не знаешь врага, при каждой победе ты понесешь поражение. Если ты не знаешь ни врага, ни себя, проиграешь каждый бой». Поэтому развитием аксиомы «Знай свои активы», является принцип «Знай своего врага», подразумевающий, что мы должны классифицировать тех, кто может атаковать наши активы и нанести им вред в той или иной форме. К сожалению, как и в случае с активами, не существует общепризнанной классификации «плохих парней» и их выбор зависит от того, в какой отрасли вы трудитесь. Например, у ФСБ существует такая классификация нарушителей, состоящая из шести уровней:

1)      Возможность проводить атаки только за пределами контролируемой зоны (КЗ).

2)      Возможность проводить атаки в пределах КЗ, но без физического доступа к средствам вычислительной техники (СВТ).

3)      Возможность проводить атаки в пределах КЗ, с физическим доступом к СВТ.

4)      Возможность привлекать специалистов, имеющих опыт в области анализа побочных электромагнитных излучений и наводок.

5)      Возможность привлекать специалистов, имеющих опыт в области использования недокументированных возможностей (НДВ) на уровне прикладного ПО.

6)      Возможность привлекать специалистов, имеющих опыт в области использования НДВ на уровне системного ПО.

У ФСТЭК своя классификация, которая, однако, пересекается с тем, что предлагает ФСБ, и базируется на способности нарушителя использовать недокументированные возможности (закладки) в программном обеспечении:

1)             Нарушители с низким потенциалом.

2)             Нарушитель со средним потенциалом.

3)             Нарушитель с высоким потенциалом.

К сожалению, описанные классификации учитывают лишь атаки на информационные активы и «забывают» про остальные активы, более нужные и важные для бизнеса, но совершенно бесполезные для деятельности двух регуляторов, отвечающих в России за информационную безопасность. В ГОСТ Р 52448-2005 «Обеспечение безопасности сетей электросвязи. Общие положения» дана более реальная классификация нарушителей:

• Террористы и террористические организации.

• Конкурирующие организации и структуры.

• Спецслужбы иностранных государств и блоков государств.

• Криминальные структуры.

• Взломщики программных продуктов ИТ.

• Бывшие сотрудники.

• Недобросовестные сотрудники и партнеры.

• Пользователи.

Выбор актуальных для нас нарушителей (именно для нас, а не теоретически возможных) позволяет нам в дальнейшем сфокусироваться на так называемом моделировании угроз, что позволит определиться с примерным перечнем плохих действий, способных нанести вред нашим активам. Очевидно, что пользователи вряд ли будут атаковать нас через уязвимости в прошивках или процессорах Intel; в отличие от спецслужб иностранного государства. Это еще одна тема, которой можно посвятить целую книгу (я даже пишу такую). Для простоты изложения могу порекомендовать изучить существующие каталоги угроз, из которых можно выбрать то, что мы считаем актуальным для применяемой нами модели нарушителя. Это может быть «Threats Catalogue Force majeur» от немецкого института BSI, банк данных угроз от российской ФСТЭК или каталог угроз CAPEC/ATT&CK от американской корпорации MITRE. Правда, стоит критически оценивать их содержимое и не забывать обновлять свои знания о методах, применяемых хакерами. Возьмем такой информационный актив, как пароль. Мы прекрасно понимаем, что его надо защищать. Поэтому будем бороться с теми пользователями, кто записывает пароли на стикеры и приклеивает их к мониторам или к обратной стороне клавиатуры. Но знаете ли вы, что согласно исследованию Касперского, на фитнес-трекер или умные часы можно загрузить вредоносный код, способный не только отслеживать перемещение владельца, но и «красть» логины/пароли (точность 96%) и PIN-коды (точность 87%)? Готовы ли мы бороться с этой, достаточно свежей угрозой на наш информационный актив?

Заключение

Помните старую русскую сказку «Поди туда – не знаю куда, принеси то – не знаю что»? Она очень хорошо отражает ситуацию в тех организациях, где не следуют описанной в данной статье аксиоме. Действительно, как можно защищать неизвестные активы от неизвестных нарушителей, реализующих неизвестные угрозы? Действия службы ИБ в этом случае будут носить хаотический характер и, как правило, окажутся бесполезны. Другое дело, когда мы обладаем полной информации о том, какие активы у нас есть и против кого мы выстраиваем систему защиты. Правда, возвращаясь к началу статьи, не нужно безоговорочно верить в то, что мы знаем все свои активы. Владельцы казино тоже думали, будто знают, но хакеры продемонстрировали им их неправоту. Поэтому в заключение хочу сказать только одно: «Знайте свои активы! Знайте своего врага! Знайте его методы!» Это залог успеха в обеспечении кибербезопасности.

Смотреть все статьи по теме "Информационная безопасность"