Эшелонированная защита для одного компьютера

Сетевую защиту обычно преподают применительно к организациям: центру мониторинга безопасности, наблюдающему за трафиком целой компании. Те же базовые идеи не хуже применимы к одному Mac, уменьшенные до масштаба одного человека, ведущего наблюдение. Этот урок закладывает понятия, на которых строится остальной курс.

Эшелонированная защита: ни один слой не считается достаточным сам по себе

Эшелонированная защита означает выстраивание нескольких независимых средств защиты так, чтобы отказ одного не оставлял машину беззащитной. На одном Mac эти слои выглядят так: сама операционная система (обновлённая, с отключёнными ненужными службами — это рассматривается в курсе «Защита macOS» на этом сайте), файрвол, контролирующий, какие подключения разрешены внутрь и наружу, учётные записи и привилегии, которые понадобились бы опасной программе, чтобы нанести реальный ущерб, и, наконец, ваше собственное внимание к тому, что выглядит необычно. Ни один из этих слоёв сам по себе не достаточен. Устаревший, но хорошо защищённый файрволом Mac всё равно может быть скомпрометирован через уязвимое приложение; полностью обновлённый Mac вообще без файрвола всё равно может утечь данными через то, что решит отправить какое-либо приложение.

Матрица D3FEND от MITRE, созданная совместно с Управлением кибербезопасности АНБ, организует именно такое многослойное мышление в именованные категории защитных приёмов: укрепление системы, обнаружение подозрительной активности, изоляцию скомпрометированного и, в конечном счёте, вытеснение злоумышленника и восстановление нормальной работы. Она написана для крупных организаций, сравнивающих инструменты и техники, но эти категории чётко ложатся на один Mac: курс «Защита macOS» на этом сайте охватывает укрепление, этот курс — обнаружение и изоляцию, и ничто из этого не требует наличия большой команды безопасности, чтобы быть полезным в меньшем масштабе.

Минимизация подверженности: поверхность атаки со стороны сети

Идея, дополняющая эшелонированную защиту, — минимизация подверженности: сокращение того, что вообще доступно извне и что может обращаться наружу. Курс «Защита macOS» рассматривает это изнутри машины, закрывая службы и порты; сетевая защита рассматривает ту же идею со стороны самого трафика, решая, какие подключения вообще должны существовать. Службу, которая никогда не включена, нельзя атаковать по сети; подключение, которое никогда не разрешено, не может ни похитить данные, ни доставить полезную нагрузку, ни получить инструкции от злоумышленника.

Минимальные привилегии применительно к сетевому трафику

Принцип минимальных привилегий обычно описывают применительно к учётным записям: давать пользователю или процессу только тот доступ, который ему нужен, и не больше. Та же логика применима к сетевым подключениям. У приложения-погоды нет законной причины обращаться к домену в стране, где не находятся его серверы; у текстового редактора вообще нет законной причины устанавливать сетевые подключения. Трафик, не соответствующий тому, чем должно заниматься приложение, стоит подвергать сомнению — так же, как учётную запись, пытающуюся сделать что-то за пределами своей роли.

Запрещено по умолчанию, и чего это стоит

Подход «запрещено по умолчанию» блокирует всё, кроме явно разрешённого; «разрешено по умолчанию» блокирует только то, что явно опознано как плохое. «Запрещено по умолчанию» в принципе более сильная позиция, поскольку не зависит от того, известно ли уже об угрозе, но у неё есть реальная, неизбежная цена: время от времени будет блокироваться и то, что вам действительно было нужно, и заметить и исправить это придётся вам самим. Почтовый клиент, который вдруг не может проверить новые сообщения, или драйвер принтера, который не может найти принтер, — это обычно «запрещено по умолчанию», делающее ровно то, для чего оно настроено, но в момент, который скорее раздражает, чем помогает.

Именно из-за этого компромисса файрволы с политикой «запрещено по умолчанию» обычно спрашивают, а не решают молча, при первой попытке приложения подключиться: часто только человек, использующий машину, может сказать, ожидаемо ли данное подключение. Следующий урок рассматривает конкретные инструменты macOS, позволяющие применять «запрещено по умолчанию» на разных уровнях — от одного приложения до всего сетевого стека.