Что такое кибербезопасность: руководство для начинающих

Кибербезопасность — это защита компьютеров, сетей, программ и хранящихся в них данных от несанкционированного доступа, повреждения и злоупотреблений, а также возвращение всего этого в рабочее состояние, когда что-то пошло не так. Глоссарий NIST определяет её как предотвращение ущерба системам, их защиту и восстановление, чтобы информация оставалась доступной, целостной, подлинной, конфиденциальной и неотказуемой.

Определение намеренно широкое. Под него подходят политика паролей, правило файрвола, резервная копия, ревью кода и телефонный звонок для подтверждения запроса на платёж.

#Триада CIA

Большую часть работы по безопасности описывают через три свойства. В глоссарии NIST дано определение каждому.

• Конфиденциальность: читать информацию могут только авторизованные люди и системы. Украденная база с email клиентов нарушает конфиденциальность.
• Целостность: информацию не изменяли и не уничтожали ненадлежащим образом. Подделанный счёт или изменённый дистрибутив программы нарушают целостность.
• Доступность: авторизованные пользователи получают информацию и сервис, когда они нужны. Вымогатель, блокирующий все файлы, и поток трафика, который обрушивает сайт, нарушают доступность.

Реальные инциденты часто бьют сразу по нескольким свойствам. Вымогатель, который ещё и копирует ваши данные, нарушает одновременно доступность и конфиденциальность. Триада служит контрольным списком для вопроса «что именно пошло не так?», и работает он и для атакующих, и для защитников. Тестировщик спрашивает, какое свойство он сможет нарушить через это слабое место. Защитник спрашивает, какое из них защищает мера контроля.

#О чём беспокоятся специалисты

#Угрозы, уязвимости и риск

Уязвимость — это слабое место, например программа без патча или повторно использованный пароль. Угроза — это то, что может ею воспользоваться, например преступная группа или неосторожный сотрудник. Риск складывается из вероятности и последствий такого события. Устранить риск удаётся редко: вы решаете, какие риски снизить, передать или принять.

#Типичные причины сбоев

• Фишинг: сообщения, которые обманом заставляют человека отдать пароль или что-то запустить. Для начала стоит прочитать руководство CISA о том, как распознавать фишинг и сообщать о нём.
• Слабые или повторно использованные пароли: когда пароль утекает с одного сайта, атакующие пробуют его на других.
• Программы без патчей: известные уязвимости можно эксплуатировать, пока не установлено исправление.
• Ошибки конфигурации: открытое для всех хранилище, неизменённый пароль по умолчанию, порт управления, доступный из интернета.
• Уязвимости веб-приложений: инъекции, нарушенный контроль доступа и похожие баги. Самые распространённые категории перечислены в OWASP Top Ten.

Чтобы нанести ущерб любым из этих способов, высокая квалификация не нужна, поэтому основы так важны.

#Эшелонированная защита

Ни одна мера контроля не остановит всё, поэтому защитники накладывают их слоями. Украденного пароля не должно хватать для доступа к данным, а скомпрометированного ноутбука — для доступа ко всем серверам.

• Предотвращение: обновления программ, многофакторная аутентификация, минимальные привилегии, безопасная конфигурация.
• Обнаружение: логи, которые кто-то действительно читает, и алерты о необычных входах.
• Реагирование и восстановление: проверенная резервная копия, письменный план распределения обязанностей и способ восстановить сервис.

NIST Cybersecurity Framework сводит те же идеи в функции: Govern, Identify, Protect, Detect, Respond и Recover. Читайте сам фреймворк на сайте NIST, пересказов для этого мало.

#Атака и защита

У кибербезопасности две стороны, которые нужны друг другу. Защитники строят системы и наблюдают за ними. Специалисты наступательной стороны, например пентестеры и red team, атакуют системы, чтобы найти слабые места раньше преступников. Наступательная работа законна только на системах, которые вы вправе тестировать: ваши собственные машины, построенная вами лаборатория или цель, владелец которой дал письменное разрешение и определил скоуп. Доступность системы из интернета не означает, что её можно тестировать.

#Первое упражнение на вашей машине

Свойство целостности можно увидеть в действии с помощью хеш-функции. Криптографический хеш вроде SHA-256 превращает любые входные данные в отпечаток фиксированной длины. Измените один символ на входе, и отпечаток полностью изменится. Так проверяют, что скачанный файл совпадает с выпущенным издателем.

Эти команды выполнялись в Git Bash на Windows 11. Они работают и в терминале Linux или macOS, где есть sha256sum (на macOS используйте shasum -a 256). Команды обрабатывают только набранный вами текст и в сеть не обращаются.

printf 'notholy' | sha256sum | cut -d' ' -f1
printf 'notholy2' | sha256sum | cut -d' ' -f1

22d877c3c676415aa2de4720884d52a36b60beff37f0c5468dc45ac9366e3c22
500b373e094e8eaa968be463e24fb8c944bb04d325a1da543ad91972a0a700ae

Входные данные отличаются одним символом, и у дайджестов нет ничего общего на вид. Хеш односторонний: вычислить notholy обратно из дайджеста нельзя, можно только захешировать догадку и сравнить. Сам по себе хеш не доказывает, кто опубликовал файл. Он показывает только, что содержимое совпадает со значением, полученным из надёжного места.

Теперь попробуйте на настоящем файле. Скачайте любой установщик с официального сайта вендора, найдите опубликованную контрольную сумму и сравните её с выводом sha256sum для своей копии. Если значения различаются, не запускайте файл.

#Распространённые заблуждения

• «Мне нечего красть». Атакующим нужны ещё и ваши аккаунты, вычислительные ресурсы и доступ к другим людям.
• «Антивирус всё закрывает». Это один слой. Повторно использованный пароль или клик по фишинговой ссылке он не исправит.
• «Безопасность можно купить как продукт». Это постоянная практика: настройка, патчи, мониторинг и привычки.
• «Достаточно сложного пароля». Отдельный пароль для каждого аккаунта в менеджере паролей вместе с многофакторной аутентификацией даёт намного больше. Об этом написано в руководстве CISA о надёжных паролях.

#Что изучать дальше

Начните с небольших привычек: включённые обновления, менеджер паролей, многофакторная аутентификация в важных аккаунтах. Затем разберитесь, как работают сети и веб, потому что на них держится большинство атак и защит. В следующей статье подробнее о криптографии, включая хеширование. Когда захочется практики, запустите намеренно уязвимое учебное приложение, например OWASP Juice Shop, в своей лаборатории или используйте NotHoly, чтобы планировать и проверять свою лабораторную работу. Все тесты проводите только на системах, которые вам разрешено трогать.