6 минимальных, но крайне полезных практик кибербезопасности

Все стараются придерживаться лучших практик безопасности (https://securitymedia.org/info/6-minimalnykh-no-krayne-poleznykh-praktik-kiberbezopasnosti.html), но и здесь возникает вопрос: а кто решает, что лучше? Если одно подходит какой-то определенной компании, то будет ли это лучше для всех? 

Слишком часто мы не тратим время на анализ того, что мы защищаем, чтобы удостовериться, что мы защищаем это настолько хорошо, насколько можем, пишет издание CSO. Однако есть некоторые базовые методы и новости безопасности (https://securitymedia.org/news/), которые можно использовать почти во всех организациях. Такие рекомендации специалисты называют «минимальной практикой». Вот шесть из них, на которые стоит обратить внимание.

     1. Многофакторная аутентификация

Многофакторная аутентификация (MFA) является обязательной защитой, которая необходима каждой фирме, чтобы определить, как и где ее развернуть. Некоторые говорят, что лучше всего не использовать текстовые сообщения или другие методы аутентификации по телефону, которые потенциально могут быть взломаны. Но и здесь основная цель - не в совершенстве. Скорее, метод должен быть достаточно безопасным, чтобы злоумышленник не обратил на вас пристального внимания и прошел мимо вас.

SMS-атаки требуют того, чтобы злоумышленник нацелился на вашу фирму. Подмена определенного номера телефона требует планирования и времени. Для большинства фирм такой таргетинг нереален. Любой второй метод аутентификации, не только самый безопасный, станет плюсом.

     2. Устранение уязвимостей и приоритезация уязвимостей

Недавние уязвимости Microsoft Exchange продемонстрировали, насколько важны приоритеты обновлений в сети. Слишком часто мы развертываем исправления для рабочих станций поверх сетевых исправлений, потому что мы можем исправить проблемы на рабочих станциях быстрее, чем проблемы с сервером. При оценке того, что нужно исправить, проанализируйте возможности использования уязвимостей и сделайте приоритет любой методике, доступной публике.

Общая система оценки уязвимостей (CVSS) помогает понять их серьезность. Дополнительная оценка пригодности к использованию основана на качествах уязвимых компонентов. Чем выше этот показатель, тем более удаленно может находиться злоумышленник. Показатель вектора атаки (AV) будет выше, если злоумышленник может быть удаленным, и ниже, если злоумышленник должен присутствовать физически рядом. Когда необходимо установить обновления информационной безопасности (https://securitymedia.org/), просмотрите и расставьте приоритеты в зависимости от риска для сети. Убедитесь, что вы просматриваете обновления не только для операционных систем в вашей сети, но и для любых пограничных устройств, таких как брандмауэры или устройства VPN, которые могут использоваться для закрепления в вашей сети.

Как указывает MITER, оценивайте публичные приложения, которые подвергают вашу фирму большему риску. Проверьте свою сеть на предмет рисков, связанных с веб-приложениями, а также на предмет потенциальных слабых мест в программном обеспечении. Используйте вид навигатора ATT&CK, чтобы определить приоритеты устройств, которым требуется установка обновлений.

     3. Макросы Microsoft Office и элементы управления сценариями

Фишинг - это ключевой способ получения злоумышленниками доступа к вашей организации. Для успешного фишинга есть одна важная точка входа: макросы Office. Защитите себя от этой точки входа, ограничив или заблокировав использование макросов Office. Большая часть вашей пользовательской базы часто прекрасно справляется с урезанной версией Word или Excel для повседневного использования.

Затем просмотрите свои варианты управления PowerShell и другими методами написания сценариев. Настройте политику, разрешающую запуск в вашей компании только подписанных сценариев PowerShell. Вы также захотите выполнить обновление как минимум до PowerShell 5.1, чтобы обеспечить лучшую безопасность и ведение журнала, и проверьте, можно ли отключить PowerShell версии 2. Рассмотрите возможность обновления до PowerShell 7 или 7.1. Затем вы захотите реализовать удаленное администрирование с помощью Windows PowerShell Remoting.

Посмотрите, можете ли вы инвестировать в режим ограниченного языка и управлять им с помощью Applocker или Device Guard. Для реализации многих из этих рекомендаций требуются определенные лицензии и оборудование. Applocker требует больше времени на развертывание, чтобы все заработало. Специалисты рекомендуют изучить это как решение, но это немного более продвинутое решение и, следовательно, не является «минимальной» практикой.

Ведение журнала является ключевым требованием как с точки зрения понимания того, как злоумышленник получил доступ, так и с точки зрения предоставления криминалистической информации. Итак, проверьте, можете ли вы включить ведение журнала на уровне блока сценария и настроить пересылку журнала в централизованное хранилище. Вам потребуется современная платформа, поэтому проверьте, есть ли у вас устаревшие серверы и операционные системы, и удалите их из своей сети. Windows 10 должна быть минимальной операционной системой вместе с соответствующей серверной платформой.

Наконец, давайте права только тем, кто в них нуждается. Защита привилегированного доступа с помощью решения для паролей локального администратора (LAPS) и других методов с минимальными привилегиями, включая своевременное (JIT) и достаточное администрирование (JEA).

     4. Управление паролями

Мы все еще живем в мире, полном паролей. Слишком часто мы повторно используем пароли и не выбираем надежные пароли. Кто из нас создал учетную запись на сайте, который либо раздражает вас политикой паролей, которую вы едва можете понять, либо ограничивает количество и типы символов таким образом, который предполагает, что они, вероятно, все еще используют систему аутентификации на основе Windows NT 4.0. Если ваша базовая инфраструктура Active Directory не позволяет вам использовать надежные пароли, парольные фразы, биометрические данные или даже смарт-карты, вы можете добавить двухфакторные решения, такие как Duo.com.

Управление паролями по-прежнему должно быть ключевой целью вашей организации. Взломанные или украденные пароли - это путь в вашу организацию. Еще хуже, когда учетные данные для проекта разработки находятся в репозиториях GitHub. Разработайте процесс и убедитесь, что вы понимаете, как сканировать секреты, которые не следует хранить.

     5. Регулярно обновляйте правила брандмауэра

В нынешнюю эпоху облачных вычислений не упускайте из виду тот элемент, на который мы все полагались для обеспечения всей нашей безопасности, - ваш брандмауэр. Часто он может сделать часть тяжелой работы, блокируя трафик, который не должен выходить из вашей сети. В идеале правила исходящего трафика должны быть настроены только для известного и разрешенного трафика. Реальность такова, что для многих ваших приложений вы должны запустить брандмауэр в режиме аудита, чтобы лучше понять, куда идет трафик, а затем соответствующим образом разработать правила брандмауэра.

     6. Сбор логов и мониторинг

Регистрируйте и собирайте логи событий с ключевых серверов и рабочих станций, которые, по вашему мнению, могут быть включены в целевые атаки. Независимо от того, используете ли вы продукты Splunk или Microsoft Sentinel, установите модуль Sysinternals SYSMON. Это ключевой инструмент для отслеживания логов атак.

Вот и все, это не наилучшие, но минимальные и нужные практики. Проверьте, что из этого вы используете сейчас и можете ли вы стремиться к лучшему.