Dybdeforsvar for én datamaskin

Nettverksforsvar blir vanligvis undervist for organisasjoner: et sikkerhetsoperasjonssenter som ser på trafikken til en hel bedrift. De underliggende ideene gjelder like godt for en enkelt Mac, nedskalert til én person som ser på. Denne leksjonen beskriver konseptene resten av kurset bygger på.

Dybdeforsvar: ingen enkelt lag er klarert alene

Dybdeforsvar betyr å arrangere flere uavhengige beskyttelser slik at en svikt ikke lar maskinen stå åpen. På én Mac ser lagene slik ut: selve operativsystemet (oppdatert, med unødvendige tjenester slått av, dekket i dette nettstedets macOS-herdingkurs), en brannmur som kontrollerer hvilke tilkoblinger som tillates inn og ut, kontoene og privilegiene en programvare trenger for å gjøre reell skade, og til slutt din egen oppmerksomhet på det som ser uvanlig ut. Ingen av disse er tilstrekkelig i seg selv. En utdatert Mac med god brannmur kan fortsatt kompromitteres gjennom en sårbar app; en fullt oppdatert Mac uten brannmur i det hele tatt kan fortsatt lekke data til det en app bestemmer seg for å sende.

MITREs D3FEND-matrise, bygget sammen med NSAs Cybersecurity Directorate, organiserer akkurat denne typen lagdelt tenkning i navngitte kategorier av forsvarsteknikk: herde et system, oppdage mistenkelig aktivitet, isolere det som er kompromittert, og til slutt kaste ut en angriper og gjenopprette normal drift. Det er skrevet for store organisasjoner som sammenligner verktøy og teknikker, men kategoriene kartlegges rent på én enkelt Mac: macOS herdingskurset på dette nettstedet dekker herding, dette kurset dekker gjenkjenning og isolering, og ingenting av det avhenger av å eie et stort sikkerhetsteam for å være nyttig i mindre skala.

Minimering av eksponering: angrepsoverflaten, fra nettverkssiden

Ledsagerideen til dybdeforsvar er å minimere eksponering: å redusere hva som er tilgjengelig og hva som kan nå ut i utgangspunktet. MacOS herdingskurset dekker dette fra innsiden av maskinen, stengetjenester og porter; nettverksforsvar dekker den samme ideen fra trafikken selv, og bestemmer hvilke forbindelser som skal eksistere i det hele tatt. En tjeneste som aldri er slått på kan ikke angripes over nettverket; en tilkobling som aldri tillates kan ikke eksfiltrere data, levere en nyttelast eller motta instruksjoner fra en angriper.

Minste privilegium, brukt på nettverkstrafikk

Minst privilegium er vanligvis beskrevet i form av kontoer: gi en bruker eller prosess kun tilgangen den trenger, ikke noe mer. Den samme logikken gjelder for nettverkstilkoblinger. En vær-app har ingen legitim grunn til å snakke med et domene i et land dens servere ikke er i; en tekstredigerer har ingen legitim grunn til å opprette nettverkstilkoblinger i det hele tatt. Trafikk som ikke stemmer overens med hva en app skal gjøre, er verdt å stille spørsmål ved, på samme måte som en konto som prøver å gjøre noe utenfor sin rolle, ville vært det.

Standard-nekt, og hva det koster

En standard-nekt-tilnærming blokkerer alt bortsett fra det som er eksplisitt tillatt; default-allow blokkerer bare det som er eksplisitt identifisert som dårlig. Default-deny er den sterkere holdningen i prinsippet, siden det ikke er avhengig av at du allerede vet om en trussel, men det har en reell, uunngåelig kostnad: noe du faktisk trengte vil av og til også bli blokkert, og du må legge merke til og fikse det selv. En e-postklient som plutselig ikke kan se etter nye meldinger, eller en skriverdriver som ikke finner skriveren, er vanligvis standard-nekt å gjøre akkurat det den var konfigurert til å gjøre, i et øyeblikk som er irriterende snarere enn nyttig.

Denne avveiningen er grunnen til at standard-nekt brannmurer har en tendens til å spørre, i stedet for stille å bestemme, første gang en app prøver å koble til: personen som bruker maskinen er ofte den eneste som kan si om en gitt tilkobling er forventet. Den neste leksjonen dekker de spesifikke verktøyene på macOS som lar deg bruke standard-nekt på forskjellige nivåer, fra en enkelt app til hele nettverksstabelen.