Powierzchnia ataku i punkt wyjścia do wzmacniania zabezpieczeń

Wzmacnianie zabezpieczeń komputera nie oznacza uczynienia go niemożliwym do złamania. Oznacza usunięcie drzwi i okien, z których nikt nie korzysta, tak by te pozostałe łatwiej było obserwować. Ten kurs prowadzi przez ten proces dla jednego Maca używanego przez jedną osobę: bez floty serwerów, bez działu IT, tylko ustawienia i sprawdzenia, które każdy może wykonać samodzielnie.

Co oznacza „powierzchnia ataku”

Powierzchnia ataku komputera to wszystko, co można na nim osiągnąć lub wykorzystać: każde konto, które może się zalogować, każda usługa nasłuchująca połączeń sieciowych, każda aplikacja, która może się uruchomić, każdy otwarty port. Każdy z nich to mały zakład, że nic z nim nigdy nie pójdzie źle. Punkt wyjścia do wzmacniania zabezpieczeń to zestaw zmian, które zmniejszają liczbę takich zakładów, bez udawania, że te pozostałe są wolne od ryzyka.

macOS już zaczyna z całkiem mocnej pozycji: nowsze Maki domyślnie szyfrują pamięć masową, kod musi być podpisany, aby mógł się uruchomić, a System Integrity Protection uniemożliwia nawet kontu administratora ciche nadpisywanie kluczowych plików systemowych. Kolejne cztery lekcje omawiają elementy, które wciąż można poprawić: sposób szyfrowania dysku i uruchamiania maszyny, kto ma konto i co może z nim zrobić, jakie usługi i porty są otwarte oraz jak zweryfikować zabezpieczenia, które są już wbudowane.

Zasady projektowe stojące za ustawieniami

Poszczególne ustawienia w tym kursie służą niewielkiemu zbiorowi podstawowych idei. Zasada najmniejszych uprawnień oznacza przyznanie kontu lub oprogramowaniu tylko takiego dostępu, jakiego rzeczywiście potrzebuje, nigdy więcej „na wypadek, gdyby się przydał później”. Izolacja procesów i rozdzielenie domen oznaczają niedopuszczenie, by błędy jednej aplikacji przenikały do innej: zainfekowana karta przeglądarki nie powinna móc odczytać plików klienta poczty. Stany uprzywilejowane i nieuprzywilejowane to rozróżnienie między kontem administratora a standardowym oraz między procesem działającym jako root a procesem działającym jako zwykły użytkownik. Żadna z tych idei nie jest specyficzna dla macOS; to te same zasady, na których opiera się każdy współczesny system operacyjny, a każde ustawienie w dalszej części tego kursu jest w istocie jedną z nich zastosowaną do konkretnego ekranu lub polecenia.

Dlaczego kolejność ma znaczenie

Niektóre zmiany chronią cię, nawet jeśli nigdy nie zrobisz nic więcej; inne mają znaczenie dopiero, gdy podstawy są już na miejscu. Rozsądny punkt wyjścia wprowadza najpierw zmiany o wysokiej wartości i niskim nakładzie pracy.

1. Zaszyfruj dysk (FileVault), aby dane były chronione, nawet jeśli Mac zostanie zgubiony, skradziony lub przejęty, gdy jest wyłączony.
2. Utrzymuj macOS i aplikacje w aktualnej wersji, ponieważ większość poprawek znanych słabości trafia do użytkowników jako aktualizacje oprogramowania, a nie nowe ustawienia.
3. Rozdziel konta i uprawnienia: na co dzień korzystaj z konta standardowego, dostęp administratora zachowaj na sytuacje, gdy jest naprawdę potrzebny.
4. Wyłącz usługi i porty, z których nie korzystasz: udostępnianie plików, udostępnianie ekranu i zdalne logowanie to typowe domyślne opcje pozostawione włączone bez konkretnego powodu.
5. Weryfikuj. macOS jest dostarczany z już aktywnymi zabezpieczeniami; regularnie sprawdzaj, czy nadal działają, za pomocą poleceń tylko do odczytu omówionych w tym kursie.

Koszty i czego ten kurs nie każe ci robić

Każda z tych zmian ma swój koszt: zaszyfrowany dysk wymaga bezpiecznego przechowywania klucza odzyskiwania; konto standardowe oznacza częstsze wpisywanie hasła; zamknięty port może być tym, który faktycznie był potrzebny do drukarki lub dysku do kopii zapasowych. Wzmacnianie zabezpieczeń to seria kompromisów, a właściwy kompromis zależy od tego, do czego służy dana maszyna i kto mógłby ją obrać za cel.

Ten kurs nigdy nie zasugeruje wyłączenia System Integrity Protection, Gatekeepera ani szyfrowania dysku, które Maki z chipem Apple stosują domyślnie. Niektóre przewodniki dotyczące wzmacniania zabezpieczeń, pisane dla zaawansowanych użytkowników, zawierają takie kroki albo udostępniają skrypty i zewnętrzne listy reguł do zaimportowania w firewallu niskiego poziomu. Są one adresowane do osób gotowych zaakceptować ryzyko zepsutej aktualizacji lub trudniejszej do zdiagnozowania usterki; wskazówki w tym kursie są celowo węższe, a każde ustawienie jest sprawdzane pod kątem zgodności z dokumentacją samego Apple, zanim zostanie do niego włączone.