Поверхня атаки та базовий рівень посилення захисту

Посилення захисту комп’ютера не означає зробити його незламним. Воно означає прибрати двері й вікна, якими ніхто не користується, щоб за тими, що залишилися, було легше стежити. Цей курс проводить через цей процес для одного Mac, яким користується одна людина: без парку серверів, без ІТ-відділу, лише налаштування й перевірки, які будь-хто може виконати самостійно.

Що означає «поверхня атаки»

Поверхня атаки комп’ютера — це все на ньому, до чого можна дістатися чи що можна зловжити: кожен обліковий запис, яким можна увійти, кожна служба, що слухає мережеве з’єднання, кожен застосунок, який може запуститися, кожен відкритий порт. Кожен із них — маленька ставка на те, що з ним ніколи нічого не станеться. Базовий рівень посилення захисту — це набір змін, що зменшує кількість таких ставок, не вдаючи, ніби ті, що залишилися, безризикові.

macOS уже починає з достатньо сильної позиції: новітні Mac шифрують сховище за замовчуванням, код має бути підписаний, щоб запуститися, а System Integrity Protection не дозволяє навіть обліковому запису адміністратора тихо переписувати ключові системні файли. Наступні чотири уроки охоплюють те, що можна покращити ще: як шифрується диск і як завантажується машина, хто має обліковий запис і що може робити, які служби й порти відкриті, і як перевірити захисти, що вже вбудовані.

Принципи проєктування за налаштуваннями

Окремі налаштування цього курсу всі служать невеликому набору базових ідей. Принцип найменших привілеїв означає надання обліковому запису чи програмі лише того доступу, який їй потрібен, ніколи не більше «про всяк випадок, раптом знадобиться». Ізоляція процесів і розділення доменів означають, що помилки одного застосунку не мають перетікати на інший: скомпрометована вкладка браузера не повинна мати змогу читати файли вашого поштового клієнта. Привілейовані та непривілейовані стани — це відмінність між обліковим записом адміністратора і звичайним, а також між процесом, що працює від імені root, і процесом звичайного користувача. Жодна з цих ідей не є специфічною для macOS; це ті самі принципи, на яких побудована будь-яка сучасна операційна система, і кожне налаштування в решті цього курсу — насправді один із них, застосований до конкретного екрана чи команди.

Чому важливий порядок

Деякі зміни захищають вас, навіть якщо ви більше нічого не робите; інші мають значення лише тоді, коли основи вже на місці. Розумний базовий рівень спершу робить зміни з високою цінністю й малими зусиллями.

1. Зашифруйте диск (FileVault), щоб дані були захищені, навіть якщо Mac загублено, вкрадено чи вилучено, поки він вимкнений.
2. Підтримуйте macOS і застосунки в оновленому стані, оскільки більшість виправлень відомих слабкостей приходять як оновлення програмного забезпечення, а не нові налаштування.
3. Розділіть облікові записи й привілеї: використовуйте звичайний обліковий запис щодня, залишаючи доступ адміністратора для випадків, коли він справді потрібен.
4. Вимикайте служби й порти, якими ви не користуєтеся: спільний доступ до файлів, спільний доступ до екрана і віддалений вхід — поширені типові налаштування, залишені ввімкненими без причини.
5. Перевіряйте. macOS постачається з уже активними захистами; регулярно перевіряйте, що вони й досі активні, за допомогою команд лише для читання, розглянутих у цьому курсі.

Вартість і чого цей курс не радитиме робити

Кожна з цих змін має свою ціну: зашифрований диск потребує ключа відновлення, збереженого в безпечному місці; звичайний обліковий запис означає частіше вводити пароль; закритий порт може виявитися саме тим, що вам справді був потрібен для принтера чи резервного диска. Посилення захисту — це низка компромісів, і правильний компроміс залежить від того, для чого призначена машина і хто може націлитися на неї.

Цей курс ніколи не пропонуватиме вимикати System Integrity Protection, Gatekeeper чи шифрування диска, яке Mac із чипом Apple застосовують за замовчуванням. Деякі посібники з посилення захисту, написані для досвідчених користувачів, включають подібні кроки або постачають скрипти й списки правил сторонніх розробників для імпорту в низькорівневий фаєрвол. Вони розраховані на людей, готових прийняти ризик зламаного оновлення чи несправності, яку важче діагностувати; поради цього курсу свідомо вужчі, і кожне налаштування перевіряється за власною документацією Apple, перш ніж потрапити до курсу.