Охрана с точки зрения фреймворка кибербезопасности
Фреймворк кибербезопасности Национального института стандартов и технологий (National Institute of Standards and Technology, NIST) [17] ставит своей целью предотвратить распространенные ошибки и повысить защищенность организаций от киберугроз с помощью пяти основных этапов кибербезопасности: идентификации, защиты, обнаружения, реагирования и восстановления. Эти этапы помогают выявлять уязвимости в сетях и системах с помощью общепринятых инструментов и процессов защиты информации.
Например, большинство организаций начинает выявление слабых мест со сканирования уязвимостей или приложений в своей сети - это этап идентификации. Подобное сканирование позволяет эффективно и надежно выявить очевидные проблемы безопасности, такие как необновленное программное обеспечение, активные учетные записи с отсутствующими паролями, заводские учетные записи, непараметризованный ввод и порты SSH, открытые для доступа в интернет. Следующий этап - защита. При обнаружении незащищенной системы сканер документирует проблему, а затем сотрудники службы безопасности исправляют или смягчают уязвимость с помощью обновлений, изменений конфигурации или архитектуры, систем безопасности или программного обеспечения.
Если сотрудники службы безопасности не могут защитить систему, которая считается возможным вектором атаки, такие системы придется охранять силами людей. Однако в структуре NIST не предусмотрен этап охраны. Вместо этого мы переходим прямо к обнаружению: на этом этапе сотрудники службы безопасности пытаются обнаружить злоумышленника путем отслеживания и расследования аномальных событий. Лишь в тот момент, когда будет обнаружено проникновение, наступает этап реагирования, в рамках которого сотрудники должны сдержать угрозу, нейтрализовать ее и доложить о ней.
Последний этап - это восстановление систем и данных до рабочего состояния с одновременным улучшением их способности противостоять будущим атакам.
Все перечисленные меры необходимы для создания надежной системы безопасности и выполняют функции предотвращения, защиты или реагирования. В сфере кибербезопасности редко применяется концепция охраны, то есть надзора над системой со стороны человека, потому что защитник-человек не может вручную проверять каждое электронное письмо, веб-страницу, файл или пакет, который входит в среду и выходит из нее. Это не то же самое, что работа охранника, который может наблюдать за людьми, входящими в здание.
Дело в том, что компьютеры с пропускной способностью канала связи 1 Гбайт могут обрабатывать более 100 000 пакетов в секунду, что превышает возможности любого человека. Вместо того чтобы использовать людей-охранников, защитники либо в основном полагаются на автоматизированные средства безопасности, либо просто принимают или игнорируют какую-то долю риска. Тем не менее концепция охраны в современной цифровой сети все же может применяться, но лишь в тех областях, которые требуют особого внимания, например в наиболее вероятных векторах атаки. И здесь становится понятна польза моделирования угроз, которое позволяет выявить такие области.
