Информационная безопасность on Atrax Tech

Mon, 01 Jan 0001 00:00:00 +0000

Нормативные документы#

В государстве есть законы. В организации есть правила и требования. Любая¹ сложная система снабжается руководством по эксплуатации, где написано, что и как делать, а чего делать нельзя. Чтобы не лишиться гарантии, не потерять работу, не оказаться в тюрьме. Все это нормативные документы, определяющие, предписывающие и регламентирующие.

Законы#

Доктрина информационной безопасности РФ – как Конституции, такая же глобальная и такая же, в практическом смысле, бесполезная. Но она подводит фундамент под все остальное.

Mon, 01 Jan 0001 00:00:00 +0000

Атакующие тактики

Mon, 01 Jan 0001 00:00:00 +0000

Атакующие тактики#

Знай своего врага¹

Атакующей тактикой называется способ нарушения работы системы. Весь арсенал хакера классифицирован и разложен по полочкам ATT&CK² – базы знаний MITRE Corporation³ по информационной безопасности. Структурированная информация помогает в анализе защищенности, расследовании инцидентов и определении возможных нарушителей. А еще – для анализа кибернетический преступлений и обмена опыта.

Классификация следующая:

разведка – сбор информации из открытых источников
подготовка ресурсов – все, что понадобится для успешной атаки
первоначальный доступ – фишинговые письма, подбрасывание флешек, физическое проникновение
выполнение – запуск вредоносного кода внутри периметра
закрепление –
повышение привилегий
предотвращение обнаружения
получение учетных данных
обнаружение
перемещение внутри периметра
сбор данных
организация управления
эксфильтрация данных
деструктивное воздействие

Сунь-Цзы, “Искусство войны”. ↩︎

Тесты на проникновение

Mon, 01 Jan 0001 00:00:00 +0000

Тест на проникновение#

Этот причудливый термин является эвфемизмом легализованной хакерской атаке и буквально означает “преодоление защиты внешнего периметра”. Специалисты по проникновению¹ и владелец объекта атаки заключают соглашение о том, что в заранее определенное время, заранее определенными методами будет произведена атака на заранее определенные элементы с заранее определенными целями.

За этим причудливым эвфемизмом скрывается легализованная хакерская атака. Специалисты

Специалисты по проникновению (те же хакеры - что по профессиональной квалификации, что по сути выполняемой деятельности) и заказчик, желающий проверить надежность своей системы, заключают соглашение о том, что в заранее определенное время, заранее определенными методами будет произведена атака на заранее определенные объекты с заранее определенными целями. Заказчику эти ограничения позволяют не рисковать всей своей инфраструктурой, проводя проверку по частям. А пентестеров ((от англ. “penetration testing”, “проверка на проникновение”)) все пункты этого соглашения защищают от претензий, если заказчик по какой-то причине захочет их обвинить в непредусмотренном ушербе.