Tiefengestaffelte Verteidigung für einen einzelnen Computer

Netzwerkverteidigung wird meist für Organisationen gelehrt: ein Sicherheitsoperationszentrum, das den gesamten Datenverkehr eines Unternehmens beobachtet. Die zugrunde liegenden Ideen gelten ebenso gut für einen einzelnen Mac, herunterskaliert auf eine Person, die die Beobachtung übernimmt. Diese Lektion legt die Konzepte fest, auf denen der Rest des Kurses aufbaut.

Tiefengestaffelte Verteidigung: keiner Schicht allein wird vertraut

Tiefengestaffelte Verteidigung bedeutet, mehrere unabhängige Schutzmaßnahmen so anzuordnen, dass der Ausfall einer davon das Gerät nicht offenlegt. Auf einem Mac sehen die Schichten so aus: das Betriebssystem selbst (aktualisiert, mit ausgeschalteten unnötigen Diensten, behandelt im macOS-Härtungskurs dieser Seite), eine Firewall, die kontrolliert, welche Verbindungen ein- und ausgehen dürfen, die Konten und Privilegien, die eine Software für echten Schaden bräuchte, und schließlich Ihre eigene Aufmerksamkeit für das, was ungewöhnlich aussieht. Keine davon genügt für sich allein. Ein veralteter, aber gut abgeschirmter Mac kann trotzdem über eine verwundbare App kompromittiert werden; ein vollständig aktualisierter Mac ganz ohne Firewall kann trotzdem Daten preisgeben, was auch immer eine App zu senden beschließt.

MITREs D3FEND-Matrix, gemeinsam mit dem Cybersicherheitsdirektorat der NSA entwickelt, ordnet genau diese Art geschichteten Denkens in benannte Kategorien defensiver Techniken: ein System härten, verdächtige Aktivität erkennen, Kompromittiertes isolieren, und schließlich einen Angreifer entfernen und den normalen Betrieb wiederherstellen. Sie ist für große Organisationen geschrieben, die Werkzeuge und Techniken vergleichen, aber die Kategorien lassen sich sauber auf einen einzelnen Mac übertragen: Der macOS-Härtungskurs dieser Seite behandelt das Härten, dieser Kurs behandelt das Erkennen und Isolieren, und nichts davon setzt ein großes Sicherheitsteam voraus, um in kleinerem Maßstab nützlich zu sein.

Exposition minimieren: die Angriffsfläche, von der Netzwerkseite aus

Die Begleitidee zur tiefengestaffelten Verteidigung ist die Minimierung der Exposition: verringern, was überhaupt erreichbar ist und was hinausreichen kann. Der macOS-Härtungskurs behandelt das von innerhalb des Geräts, indem er Dienste und Ports schließt; Netzwerkverteidigung behandelt dieselbe Idee vom Datenverkehr selbst her, indem sie entscheidet, welche Verbindungen überhaupt existieren sollten. Ein nie eingeschalteter Dienst kann nicht übers Netzwerk angegriffen werden; eine nie erlaubte Verbindung kann keine Daten exfiltrieren, keine Nutzlast liefern und keine Anweisungen von einem Angreifer empfangen.

Geringstes Privileg, angewendet auf Netzwerkverkehr

Geringstes Privileg wird meist im Zusammenhang mit Konten beschrieben: einem Nutzer oder Prozess nur den Zugriff geben, den er braucht, nicht mehr. Dieselbe Logik gilt für Netzwerkverbindungen. Eine Wetter-App hat keinen legitimen Grund, mit einer Domain in einem Land zu sprechen, in dem ihre Server nicht stehen; ein Texteditor hat überhaupt keinen legitimen Grund, Netzwerkverbindungen herzustellen. Datenverkehr, der nicht dem entspricht, was eine App tun sollte, ist es wert, hinterfragt zu werden, genauso wie ein Konto, das versucht, etwas außerhalb seiner Rolle zu tun.

Standardmäßig verweigern, und was es kostet

Ein Standardmäßig-verweigern-Ansatz blockiert alles außer dem, was ausdrücklich erlaubt wurde; Standardmäßig-erlauben blockiert nur, was ausdrücklich als schlecht identifiziert wurde. Standardmäßig verweigern ist prinzipiell die stärkere Haltung, da sie nicht voraussetzt, eine Bedrohung bereits zu kennen, hat aber einen echten, unvermeidbaren Preis: Gelegentlich wird auch etwas blockiert, das Sie tatsächlich brauchten, und Sie müssen es selbst bemerken und beheben. Ein Mail-Programm, das plötzlich nicht nach neuen Nachrichten prüfen kann, oder ein Druckertreiber, der den Drucker nicht findet, ist meist Standardmäßig-verweigern, das genau das tut, wofür es konfiguriert wurde, nur in einem Moment, der eher lästig als hilfreich ist.

Dieser Kompromiss ist der Grund, warum Standardmäßig-verweigern-Firewalls beim ersten Verbindungsversuch einer App eher fragen als still entscheiden: Die Person, die das Gerät nutzt, ist oft die Einzige, die sagen kann, ob eine bestimmte Verbindung erwartet ist. Die nächste Lektion behandelt die konkreten Werkzeuge unter macOS, mit denen Sie Standardmäßig-verweigern auf verschiedenen Ebenen anwenden können, von einer einzelnen App bis zum gesamten Netzwerkstack.