Obrona wielowarstwowa dla jednego komputera

Obrony sieciowej zwykle uczy się z myślą o organizacjach: centrum operacji bezpieczeństwa obserwujące ruch całej firmy. Te same idee sprawdzają się równie dobrze przy jednym Macu, w skali jednej osoby pełniącej rolę obserwatora. Ta lekcja przedstawia pojęcia, na których opiera się dalsza część kursu.

Obrona wielowarstwowa: żadna pojedyncza warstwa nie jest sama w sobie wystarczająca

Obrona wielowarstwowa oznacza ułożenie kilku niezależnych zabezpieczeń tak, by awaria jednego z nich nie zostawiała maszyny bezbronnej. Na jednym Macu te warstwy wyglądają tak: sam system operacyjny (aktualny, z wyłączonymi zbędnymi usługami, co omawia kurs wzmacniania zabezpieczeń macOS na tej stronie), firewall kontrolujący, które połączenia mogą wchodzić i wychodzić, konta i uprawnienia, jakich potrzebowałoby oprogramowanie, by wyrządzić realną szkodę, i wreszcie twoja własna czujność wobec tego, co wygląda nietypowo. Żadna z tych warstw nie wystarcza sama w sobie. Nieaktualny, ale dobrze zabezpieczony firewallem Mac wciąż może zostać zaatakowany przez podatną aplikację; w pełni zaktualizowany Mac bez żadnego firewalla wciąż może wyciekać dane, cokolwiek dana aplikacja postanowi wysłać.

Macierz D3FEND organizacji MITRE, opracowana wspólnie z Cybersecurity Directorate amerykańskiej NSA, porządkuje właśnie takie warstwowe myślenie w nazwane kategorie technik obronnych: wzmacnianie zabezpieczeń systemu, wykrywanie podejrzanej aktywności, izolowanie tego, co zostało naruszone, i ostatecznie usunięcie atakującego oraz przywrócenie normalnego działania. Jest napisana z myślą o dużych organizacjach porównujących narzędzia i techniki, ale te kategorie da się bezpośrednio przełożyć na jednego Maca: kurs wzmacniania zabezpieczeń macOS na tej stronie obejmuje wzmacnianie, ten kurs obejmuje wykrywanie i izolowanie, i żadne z tego nie wymaga posiadania dużego zespołu ds. bezpieczeństwa, by było użyteczne w mniejszej skali.

Minimalizowanie ekspozycji: powierzchnia ataku, od strony sieci

Ideą towarzyszącą obronie wielowarstwowej jest minimalizowanie ekspozycji: ograniczenie tego, co w ogóle jest osiągalne i co może wychodzić na zewnątrz. Kurs wzmacniania zabezpieczeń macOS omawia to od wewnątrz maszyny, zamykając usługi i porty; obrona sieciowa omawia tę samą ideę od strony samego ruchu sieciowego, decydując, które połączenia w ogóle powinny istnieć. Usługi, która nigdy nie została włączona, nie da się zaatakować przez sieć; połączenia, na które nigdy nie zezwolono, nie da się wykorzystać do wyprowadzenia danych, dostarczenia szkodliwego ładunku ani odebrania instrukcji od atakującego.

Zasada najmniejszych uprawnień zastosowana do ruchu sieciowego

Zasadę najmniejszych uprawnień zwykle opisuje się w kontekście kont: przyznaj użytkownikowi lub procesowi tylko taki dostęp, jakiego potrzebuje, nic więcej. Ta sama logika dotyczy połączeń sieciowych. Aplikacja pogodowa nie ma żadnego uzasadnionego powodu, by łączyć się z domeną w kraju, w którym nie znajdują się jej serwery; edytor tekstu nie ma żadnego uzasadnionego powodu, by w ogóle nawiązywać połączenia sieciowe. Ruch, który nie pasuje do tego, czym dana aplikacja powinna się zajmować, warto zakwestionować, tak samo jak konto próbujące zrobić coś wykraczającego poza jego rolę.

Domyślnie odmawiaj i ile to kosztuje

Podejście „domyślnie odmawiaj” blokuje wszystko poza tym, na co wyraźnie zezwolono; „domyślnie zezwalaj” blokuje tylko to, co wyraźnie zidentyfikowano jako złe. „Domyślnie odmawiaj” to co do zasady mocniejsza postawa, ponieważ nie zależy od wcześniejszej wiedzy o zagrożeniu, ale ma realny, nieunikniony koszt: coś, czego faktycznie potrzebowałeś, czasem też zostanie zablokowane, i musisz to sam zauważyć i naprawić. Klient poczty, który nagle nie może sprawdzić nowych wiadomości, albo sterownik drukarki, który nie może znaleźć drukarki, to zwykle „domyślnie odmawiaj” robiące dokładnie to, do czego zostało skonfigurowane, w momencie raczej irytującym niż pomocnym.

Ten kompromis jest powodem, dla którego firewalle działające w trybie „domyślnie odmawiaj” zwykle pytają, zamiast po cichu decydować, przy pierwszej próbie połączenia danej aplikacji: osoba korzystająca z maszyny często jest jedyną, która potrafi powiedzieć, czy dane połączenie jest oczekiwane. Kolejna lekcja omawia konkretne narzędzia w macOS, które pozwalają stosować „domyślnie odmawiaj” na różnych poziomach, od pojedynczej aplikacji po cały stos sieciowy.