Поверхность атаки и базовый план защиты

Защитить компьютер — не значит сделать его неуязвимым. Это значит убрать двери и окна, которыми никто не пользуется, чтобы за оставшимися было проще следить. Этот курс проходит через такой процесс для одного Mac, которым пользуется один человек: без парка серверов, без ИТ-отдела — только настройки и проверки, которые способен выполнить кто угодно самостоятельно.

Что значит «поверхность атаки»

Поверхность атаки компьютера — это всё, до чего можно дотянуться или что можно использовать не по назначению: каждая учётная запись, которая может войти в систему, каждая служба, ожидающая сетевого подключения, каждое приложение, способное запуститься, каждый оставленный открытым порт. Каждый такой пункт — это маленькая ставка на то, что с ним никогда ничего не случится. Базовый план защиты — это набор изменений, уменьшающих количество таких ставок, без притворства, что оставшиеся риски исчезли полностью.

macOS изначально находится в достаточно сильной позиции: современные Mac шифруют хранилище по умолчанию, код должен быть подписан, чтобы запуститься, а Защита целостности системы не позволяет даже учётной записи администратора незаметно переписывать основные системные файлы. Следующие четыре урока охватывают то, что вы всё же можете улучшить: как шифруется диск и как загружается машина, у кого есть учётная запись и что она может делать, какие службы и порты открыты, и как проверить уже встроенные средства защиты.

Принципы, лежащие в основе настроек

Отдельные настройки в этом курсе служат небольшому набору общих идей. Минимальные привилегии означают предоставление учётной записи или программе только того доступа, который ей нужен, никогда не больше — «на всякий случай, вдруг пригодится позже». Изоляция процессов и разделение доменов означают, что ошибка одного приложения не должна распространяться на другое: скомпрометированная вкладка браузера не должна получить доступ к файлам вашего почтового клиента. Привилегированные и непривилегированные состояния — это разница между учётной записью администратора и обычной, а также между процессом, запущенным от имени root, и процессом обычного пользователя. Ни одна из этих идей не специфична для macOS — это те же принципы, на которых строится любая современная операционная система, и каждая настройка в остальной части курса, по сути, представляет собой одну из них, применённую к конкретному экрану или команде.

Почему важен порядок

Одни изменения защищают вас, даже если вы больше ничего не сделаете; другие имеют значение только после того, как базовые шаги уже выполнены. Разумный базовый план сначала выполняет изменения с высокой пользой и низкими усилиями.

1. Зашифруйте диск (FileVault), чтобы данные оставались защищёнными, даже если Mac потерян, украден или изъят в выключенном состоянии.
2. Держите macOS и приложения обновлёнными, поскольку большинство исправлений известных слабых мест приходят в виде обновлений программного обеспечения, а не новых настроек.
3. Разделяйте учётные записи и привилегии: используйте обычную учётную запись для повседневных дел, а доступ администратора оставляйте для случаев, когда он действительно нужен.
4. Отключайте службы и порты, которыми вы не пользуетесь: общий доступ к файлам, доступ к экрану и удалённый вход — типичные настройки по умолчанию, оставленные включёнными без причины.
5. Проверяйте. В macOS уже активны встроенные средства защиты; периодически убеждайтесь, что они по-прежнему включены, с помощью команд только для чтения, рассмотренных в этом курсе.

Издержки и то, чего этот курс не порекомендует

У каждого из этих изменений есть своя цена: зашифрованному диску нужен ключ восстановления, хранящийся в надёжном месте; обычная учётная запись означает более частый ввод пароля; закрытый порт может оказаться тем, который вам действительно был нужен для принтера или диска для резервных копий. Защита системы — это череда компромиссов, и правильный компромисс зависит от того, для чего служит машина и кто может на неё нацелиться.

Этот курс никогда не предложит отключить Защиту целостности системы, Gatekeeper или шифрование диска, которое Mac на Apple silicon применяют по умолчанию. Некоторые руководства по защите, написанные для продвинутых пользователей, включают именно такие шаги или предлагают сторонние скрипты и списки правил для импорта в низкоуровневый файрвол. Они рассчитаны на людей, готовых принять риск сломанного обновления или трудно диагностируемого сбоя; рекомендации этого курса намеренно более узкие, и каждая настройка сверяется с официальной документацией Apple, прежде чем попасть в курс.