Як побудувати кіберстійкість, яка витримає компрометацію

Стійкості суттєво сприяє здатність організації працювати на випередження, а не лише реагувати на інциденти. Традиційна безпека зазвичай зосереджена на перевірці того, хто або що потрапляє в середовище, виходячи з припущення, що цього буде достатньо для захисту. Концепція Zero Trust (Нульова довіра) ґрунтується на іншому припущенні: рано чи пізно зловмисник отримає доступ.

Як саме буде отримано цей доступ — через викрадені облікові дані, фішингову атаку, незакриту вразливість чи скомпрометований сторонній додаток — майже не має значення. Головне питання полягає в іншому: що зловмисник зможе зробити, опинившись усередині?

Побудова справжньої кіберстійкості означає розробку архітектури безпеки з урахуванням цього питання на основі моделі «Zero Trust».

Кіберстійкість — це здатність організації продовжувати функціонувати до, під час та після кібератаки.

Це поняття виходить далеко за межі аварії чи простого розгортання систем із резервних копій. Стійка організація здатна витримати атаку, мінімізуючи збої в операційній діяльності, захищаючи критично важливі активи та швидко відновлюючись за потреби.

Важливо розуміти, що стійкість не досягається за допомогою одного продукту чи технології. Вона формується шляхом накладання засобів запобігання та стримування, які знижують як ймовірність, так і наслідки компрометації.

Зміна цього підходу стає дедалі важливішою, оскільки сучасні нападники все рідше покладаються на складне шкідливе ПЗ і все частіше — на легітимні облікові дані, довірені додатки та вбудовані адміністративні інструменти. Після того як їм вдається закріпитися в системі, їхньою метою рідко стає саме той пристрій, який вони зламали першим.

Натомість вони прагнуть розширити свій доступ по всьому середовищу. 

Кожна організація інвестує в запобігання кібератакам.

Фільтрація електронної пошти, управління вразливостями, захист облікових даних, виявлення загроз на кінцевих точках (EDR) та навчання співробітників — усе це відіграє важливу роль. Проте жоден із цих заходів не гарантує, що зловмисник ніколи не отримає первинний доступ.

Користувачі все одно можуть клікнути на переконливі фішингові посилання. Вразливості «нульового дня» можуть з'явитися раніше, ніж стануть доступними виправлення. Дійсні облікові дані можуть бути викрадені. А довірене програмне забезпечення — використане для атаки.

Надійна стратегія безпеки враховує цю реальність і працює за принципом «заборонено за замовчуванням», а не «дозволено за замовчуванням».

Якщо щось не є обов'язковим для роботи, воно має бути заборонене. Замість того щоб довіряти користувачам, пристроям чи додаткам лише тому, що вони знаходяться всередині мережі, кожна дія повинна бути явно дозволена. 

Профілактика зменшує кількість успішних компрометацій

Кіберстійкість починається зі зменшення кількості можливостей для зловмисників виконати шкідливі дії.

Списки дозволених додатків суттєво зменшують поверхню атаки, блокуючи запуск неавторизованого програмного забезпечення, скриптів та виконуваних файлів. ЗЗамість того, щоб постійно відстежувати нові варіанти шкідливого програмного забезпечення, організації визначають, що дозволено в їхньому середовищі, і за замовчуванням блокують усе інше.

Такий підхід «заборони за замовчуванням» перекриває безліч векторів атак ще до того, як вони встигають розпочатися.

Чим менше несанкціонованих додатків може запуститися, тим менше шансів у зловмисників закріпитися в системі, розгорнути програму-вимагача або запустити додаткові інструменти після отримання доступу. 

Запобігання запуску невідомих програм — це лише одна зі складових стійкої системи безпеки. 
Зловмисники неминуче шукатимуть способи зловживання софтом, якому організація вже довіряє. Веб-браузери, PowerShell, Microsoft Office, інструменти віддаленого адміністрування та безліч інших легітимних програм у чужих руках можуть перетворитися на зброю. 
Саме тут і стає необхідним ізолювання. Замість того щоб надавати довіреним додаткам необмежений доступ, Zero Trust обмежує дії, які ці додатки можуть виконувати. 
Наприклад, веб-браузеру вкрай рідко потрібно запускати PowerShell, змінювати конфіденційні розділи реєстру, отримувати доступ до сховищ облікових даних або взаємодіяти з адміністративними інструментами. Так само і програмі для перегляду документів не потрібен доступ до мережевих папок у вашому середовищі. 
Встановлюючи суворі обмеження для поведінки додатків, організації значно звужубть спроможність зловмисника вийти за межі первинного взлому. Навіть якщо довірений додаток буде скомпрометовано, його потенціал для завдання шкоди різко знижується. 

Більшість найруйнівніших витоків даних спричинені саме тим, що відбувається після первинного проникнення.

Отримавши доступ, зловмисники часто витрачають дні або тижні на виявлення систем, розширення привілеїв, викрадення облікових даних та горизонтальне переміщення, перш ніж розгорнути програму-вимагач або викрасти конфіденційні дані.

Акцент на запобіганні такому розвитку подій значно підвищує кіберстійкість. Обмеження адміністративних привілеїв, контроль поведінки додатків, сегментація доступу між системами та дотримання принципу найменших привілеїв суттєво ускладнюють зловмисникам розширення їхнього впливу.

Замість того щоб дозволити одному скомпрометованому кінцевому пристрою перетворитися на інцидент масштабу всієї компанії, Zero Trust локалізує радіус ураження будь-якої компрометації. 

ThreatLocker допомагає організаціям будувати кіберстійкість за рахунок впровадження принципів Zero Trust ще до того, як зловмисники отримають можливість розширити свій доступ. 
Використання списків дозволених програм запобігає запуску неавторизованого ПЗ, скриптів та виконуваних файлів, суттєво зменшуючи поверхню атаки. 
Технологія Ringfencing™ обмежує доступ та взаємодію довірених додатків із ресурсами, заважаючи зловмисникам використовувати легітимний софт для горизонтального переміщення, закріплення в системі чи доступу до конфіденційних даних. 
Управління привілейованим доступом (PAM) прибирає постійні адміністративні права, забезпечуючи контрольоване підвищення привілеїв за запитом, що знижує ризики несанкціонованого підвищення прав.