Поглиблений захист для одного комп'ютера

Мережевий захист зазвичай викладають для організацій: центр безпеки спостерігає за трафіком усієї компанії. Основні ідеї так само добре застосовуються до одного Mac, зменшеного до однієї особи, яка спостерігає. У цьому уроці викладаються концепції, на яких базується решта курсу.

Поглиблений захист: жодному окремому рівню не можна довіряти

Поглиблений захист означає організацію кількох незалежних захистів, щоб одна помилка не залишила машину відкритою. На одному Mac рівні виглядають так: сама операційна система (оновлена, з вимкненими непотрібними службами, описана в курсі посилення macOS на цьому сайті), брандмауер, який контролює, які з’єднання дозволені та вихідні, облікові записи та привілеї, які потрібні програмному забезпеченню, щоб завдати реальної шкоди, і, нарешті, ваша власна увага до того, що виглядає незвично. Нічого з цього не достатньо. Застарілий, але добре захищений міжмережевий екран Mac може бути скомпрометований через вразливу програму; повністю оновлений Mac без брандмауера взагалі може витікати дані до будь-якої програми, яка вирішить надіслати.

Матриця D3FEND від MITRE, створена спільно з Управлінням кібербезпеки АНБ, організовує саме такий багаторівневий спосіб мислення за названими категоріями техніки захисту: посилення системи, виявлення підозрілої активності, ізоляція того, що скомпрометовано, і врешті-решт вигнання зловмисника та відновлення нормальної роботи. Він написаний для великих організацій, які порівнюють інструменти та методи, але категорії чітко відображаються на одному Mac: курс посилення macOS на цьому сайті охоплює захист, цей курс охоплює виявлення та ізоляцію, і все це не залежить від наявності великої команди безпеки, щоб бути корисним у меншому масштабі.

Мінімізація впливу: поверхня атаки з боку мережі

Супутня ідея поглибленого захисту полягає в тому, щоб мінімізувати вплив: передусім зменшити те, що доступно та що може досягти. Курс посилення macOS охоплює це зсередини машини, закриваючи служби та порти; мережевий захист охоплює ту саму ідею від самого трафіку, вирішуючи, які з’єднання взагалі повинні існувати. Сервіс, який ніколи не вмикається, не може бути атакований через мережу; підключення, яке ніколи не дозволено, не може викрадати дані, доставляти корисне навантаження або отримувати інструкції від зловмисника.

Найменший привілей, застосований до мережевого трафіку

Найменший привілей зазвичай описується в термінах облікових записів: надайте користувачеві або процесу лише той доступ, який йому потрібен, і нічого більше. Така ж логіка стосується мережевих підключень. Програма прогнозу погоди не має законної причини зв’язуватися з доменом у країні, де не знаходяться її сервери; текстовий редактор взагалі не має законної причини підключатися до мережі. Трафік, який не відповідає тому, що має робити програма, вартий сумніву, так само, як обліковий запис намагається зробити щось поза його роллю.

Відмова за замовчуванням і скільки це коштує

Підхід заборони за замовчуванням блокує все, крім того, що було явно дозволено; default-allow блокує лише те, що було явно визначено як погане. Відмова за замовчуванням є сильнішою позицією в принципі, оскільки вона не залежить від того, чи вже ви знаєте про загрозу, але вона має реальну, неминучу ціну: те, що вам справді потрібно, іноді також блокується, і ви повинні помітити та виправити це самостійно. Поштовий клієнт, який раптово не може перевірити наявність нових повідомлень, або драйвер принтера, який не може знайти принтер, зазвичай за замовчуванням забороняє виконувати саме те, що було налаштовано, у момент, який радше дратує, ніж допомагає.

Цей компроміс є причиною того, що брандмауери за замовчуванням зазвичай запитують, а не мовчки вирішують, коли програма вперше намагається підключитися: людина, яка використовує машину, часто єдина, хто може сказати, чи очікується дане з’єднання. У наступному уроці розглядаються спеціальні інструменти в macOS, які дозволяють застосовувати заборону за замовчуванням на різних рівнях, від однієї програми до всього мережевого стеку.