Försvar på djupet för en dator

Nätverksförsvar lärs vanligtvis ut för organisationer: ett säkerhetsoperationscenter som övervakar ett helt företags trafik. De bakomliggande idéerna gäller lika bra för en enda Mac, nedskalad till en person som tittar. Den här lektionen beskriver de koncept som resten av kursen bygger på.

Försvar på djupet: inget enskilt lager litas ensamt på

Djupförsvar innebär att man ordnar flera oberoende skydd så att ett fel inte lämnar maskinen öppen. På en Mac ser lagren ut så här: själva operativsystemet (uppdaterat, med onödiga tjänster avstängda, täckt av den här webbplatsens macOS-härdningskurs), en brandvägg som kontrollerar vilka anslutningar som tillåts in och ut, konton och privilegier som en mjukvara skulle behöva för att göra verklig skada, och slutligen din egen uppmärksamhet på det som ser ovanligt ut. Inget av dessa är tillräckligt i sig. En föråldrad men väl brandvägg Mac kan fortfarande äventyras genom en sårbar app; en helt uppdaterad Mac utan brandvägg alls kan fortfarande läcka data till vad en app än bestämmer sig för att skicka.

MITREs D3FEND-matris, byggd tillsammans med NSA:s cybersäkerhetsdirektorat, organiserar exakt den här typen av skiktat tänkande i namngivna kategorier av försvarsteknik: härda ett system, upptäcka misstänkt aktivitet, isolera det som är äventyrat och så småningom vräka en angripare och återställa normal drift. Den är skriven för stora organisationer som jämför verktyg och tekniker, men kategorierna mappas rent till en enda Mac: macOS-härdningskursen på den här webbplatsen täcker härdning, den här kursen täcker detektering och isolering, och inget av det beror på att du äger ett stort säkerhetsteam för att vara användbar i mindre skala.

Minimera exponering: attackytan, från nätverkssidan

Den ledsagande idén till försvar på djupet är att minimera exponeringen: att minska vad som är tillgängligt och vad som kan nå ut i första hand. MacOS-härdningskursen täcker detta inifrån maskinen, stängningstjänster och portar; nätverksförsvar täcker samma idé från trafiken själv, som bestämmer vilka anslutningar som överhuvudtaget ska finnas. En tjänst som aldrig slås på kan inte attackeras över nätverket; en anslutning som aldrig är tillåten kan inte exfiltrera data, leverera en nyttolast eller ta emot instruktioner från en angripare.

Minsta behörighet, tillämpas på nätverkstrafik

Minsta privilegium beskrivs vanligtvis i termer av konton: ge en användare eller bearbeta bara den åtkomst den behöver, inget mer. Samma logik gäller för nätverksanslutningar. En väderapp har ingen legitim anledning att prata med en domän i ett land som dess servrar inte är i; en textredigerare har ingen legitim anledning att göra nätverksanslutningar alls. Trafik som inte stämmer överens med vad en app ska göra är värd att ifrågasätta, på samma sätt som ett konto som försöker göra något utanför sin roll skulle vara.

Default-neka, och vad det kostar

Ett standardförnekat tillvägagångssätt blockerar allt utom det som uttryckligen har tillåtits; default-allow blockerar endast det som uttryckligen har identifierats som dåligt. Default-deny är den starkare hållningen i princip, eftersom det inte beror på att du redan vet om ett hot, men det har en verklig, oundviklig kostnad: något du faktiskt behövde kommer ibland också att blockeras, och du måste märka och fixa det själv. En e-postklient som plötsligt inte kan söka efter nya meddelanden, eller en skrivardrivrutin som inte kan hitta skrivaren, är vanligtvis standard-deny att göra exakt vad den var konfigurerad för att göra, vid ett ögonblick som är irriterande snarare än hjälpsamt.

Denna avvägning är anledningen till att standard-neka brandväggar tenderar att fråga, snarare än att tyst besluta, första gången en app försöker ansluta: personen som använder maskinen är ofta den enda som kan säga om en given anslutning förväntas. Nästa lektion tar upp de specifika verktygen på macOS som låter dig tillämpa standard-neka på olika nivåer, från en enda app till hela nätverksstacken.