З кожним роком бізнес та розробники ПЗ стають все більш технологічно підкованими, але число DDoS-атак і
Аналітики InfoWatch зафіксували більше 330витоків персональних даних у російських комерційних та державних організаціях у 2021 році. Сумарний обсяг вкрадених відомостей - 80,5 млн. записів про користувачів. Це офіційні зведення — насправді ситуація може бути ще гіршою.
Імовірність кібератаки на малий та середній бізнесвисока. Опитування показують, що 43% кібератак націлено на цей сегмент і лише 14% таких компаній готові до них. Тому забезпечення безпеки — одне з ключових завдань, яке дозволяє суттєво скоротити репутаційні та фінансові ризики. І зробити це можна за чотири кроки.
Крок 1. Визначте поверхню атаки
Поверхня атаки - це кількість варіантів іспособів, якими зловмисник може скористатися, щоб проникнути в мережу або пристрої та витягти з них комерційну інформацію. Її розуміння та контроль дозволяє знизити вразливість для цифрових загроз. Тому ІТ-відділ повинен досконально знати всю ІТ-інфраструктуру компанії: комп'ютери, програми, які там встановлені, сервери, засоби захисту, мережні пристрої та інше. Словом, мати повне уявлення про внутрішній ІТ-ландшафт.
Додатково потрібно виділити найбільш критичнідля бізнесу системи та обладнання — на них надалі варто звернути найбільшу увагу, бо «провиси» та інциденти на цих ділянках позначаються на виручці, ефективності, сервісі та репутації.
Крок 2. Уточніть поверхню атаки
Навіть при побіжному погляді на поверхню атакичасто стають видні потенційні точки доступу в ІТ-мережа - вразливості, якими можна скористатися для кібератаки або крадіжки даних. Добре знаючи свій ІТ-ландшафт, компанія може легко визначити ці вузькі місця. Наприклад, бізнес може і не підозрювати, що десяток його баз даних доступні в інтернеті, і лише тому, що публікує відомості з «1С» щодо небезпечного протоколу HTTP.
Ключові складові поверхні атакипристрої та люди. Пристрої, що підключаються до інтернету, дають зловмисникам додаткові точки входу, через які вони можуть здійснити кібератаку. А найслабшою ланкою в ланцюжку цифрової безпеки є співробітники, чи людський фактор. У дослідженні Verizon Data Breach Investigations Report (DBIR) за 2020 рік стверджується, що 22% витоків даних відбувається через банальну помилку. Тому поверхню атаки переважно визначають саме ці фактори.
Крок 3. Мінімізуйте поверхню атаки
Скорочення поверхні атаки - ключове завдання для забезпечення безпеки. Наприклад, компанія може використовувати інший протокол, HTTPS, та сертифікат. Чим надійніший постачальник, тим краще.
Скорочувати поверхню атаки краще ще на етапі розробки додатків, а потім поступово їх розширювати. Це знизить уразливість у міру розвитку системи. Серед цих заходів:
- облік стандартів безпечного кодування, ретельні та регулярні тести ПЗ – це допоможе компанії виключити типові помилки та найбільш відомі вразливості;
- формування контрольних точок відновлення та снапшотів СГД, до яких можна відкотити софт – це дозволить «пом'якшити» наслідки у разі невдач;
- своєчасне оновлення програмного забезпечення для покращення якості захисту (наприклад, це не дасть можливість хакерам використовувати старі методи атак);
- навчання співробітників: не слід забувати, що людський фактор відіграє значну роль.
Крок 4. Збільште вартість можливої атаки для зловмисників
Спеціалізовані інструменти допомагають зробитиспроби витоку даних дуже дорогими, де хакери більше втратять, ніж запрацюють. Чим більше таких засобів захисту, тим більша ймовірність, що зловмисники втратять інтерес до цих додатків.
Засоби захисту, як і технології атаки хакерів, постійно вдосконалюються, і варто звернути на наступні з них:
- віртуальні патчі, або швидка розробкаполітики безпеки для запобігання експлуатації вразливості (у результаті компанія спокійно чекає, коли постачальник ПЗ опублікує офіційні «латки»);
- зміна ІТ-архітектури; локалізація системи;
- засоби захисту від операторів зв'язку: наприклад, нові схеми маршрутизації трафіку, виділення додаткових каналів для розширення пропускної спроможності;
- фаєрвол для веб-додатків (Web ApplicationFirewall) для моніторингу та фільтрації трафіку, оцінки легітимності запитів та перевірки нетипової поведінки інформаційних ресурсів відповідно до протоколів HTTP або HTTPS;
- сервіси блокування DDoS, побудовані для протидії масованим розподіленим атакам на рівнях L3, L4, L7;
- інші сучасні засоби захисту: міжмережеві екрани нового покоління, брандмауери;
- інформування штату — чим обізнаніший співробітник, тим важче зловмиснику вплинути на його дії.
Цим крокам краще дотримуватися безперервно тациклічно. Наприклад, після того, як тільки компанія зробила атаку на свою інфраструктуру занадто дорогою для зловмисників, потрібно знову подивитися на те, яке обладнання та ПЗ є у неї. Після цього проаналізувати перелік та оцінити потенційні ризики – і так регулярно. Тільки подібним чином ІТ-відділ отримає правдиву картину потенційних ризиків на тлі розвитку інфраструктури та нових користувачів.
Забезпечення інформаційної безпеки невідбувається у вакуумі, без залучення бізнес-юнітів та топ-менеджерів. ІТ-відділ лише формує рекомендації після аналізу ІТ-ландшафту та оцінки критичності — що з цього втілювати, вирішують керівники. Тому приділіть увагу тому, щоб активно залучати бізнес до ситуації та намагайтеся оцінювати потенційні ризики найбільш конкретно (наприклад, у грошах), щоб переконати у доцільності потрібних вам заходів.
Читати далі:
Сигнал Starlink зламали, щоб використовувати його як альтернативу GPS
«Хаббл» заглянув у «замкову свердловину» Всесвіту
НАСА розкрило походження Хаумеї — найзагадковішої планети Сонячної системи