Представьте, что вы приходите на работу в понедельник утром и обнаруживаете, что сотрудники не могут войти в систему, служба поддержки клиентов недоступна, а критически важные бизнес-приложения перестали работать. Мигают сигналы тревоги системы безопасности. ИТ-отдел ведет расследование. Руководители хотят знать, когда возобновится работа.
Затем возникает вопрос, который каждый надеется никогда не задавать: сможем ли мы безопасно восстановиться и сколько времени это займет?
Большинство организаций вложили средства в кибербезопасность: от межсетевых экранов до средств контроля идентификации, инструментов мониторинга и систем резервного копирования. Однако серьезная кибератака по-прежнему может нарушить работу, подорвать доверие клиентов и заставить команды сомневаться, каким системам и данным можно доверять.
Это стимулирует сдвиг в кибербезопасности: акцент смещается с предотвращения атак на создание организаций, способных выдерживать сбои, безопасно восстанавливаться и учиться на инцидентах. В этом и заключается суть киберустойчивости.
Национальный институт стандартов и технологий (NIST) в своей публикации Developing Cyber-Resilient Systems: A Systems Security Engineering Approach объясняет, как можно встроить устойчивость в системы, а не рассматривать ее как запоздалую мысль. Урок прост: безопасность — это не только защита от угроз. Речь также о том, чтобы успешная атака не остановила всю работу.
Кибербезопасность — это не то же самое, что киберустойчивость
Организации стремятся закрыть уязвимости, ограничить доступ, отслеживать подозрительную активность и не допускать неавторизованных пользователей к чувствительным системам. Эти меры контроля остаются важными, но ни одна из них не совершенна.
Рассмотрим компанию, которая защищает свою базу данных клиентов с помощью строгих средств контроля доступа и регулярно создает резервные копии данных. Однако ее среда резервного копирования доступна через ту же учетную запись администратора, которая используется для управления производственными системами.
Если злоумышленник скомпрометирует эту учетную запись, могут быть нарушены и рабочие системы, и ресурсы восстановления. У организации была безопасность. Были резервные копии. Но была ли у нее устойчивость?
Кибербезопасность помогает снизить вероятность и последствия атаки. Киберустойчивость направлена на то, чтобы организация могла продолжать выполнять основные операции, ограничивать ущерб, восстанавливать надежные системы и адаптироваться к будущим угрозам.
NIST определяет четыре главные цели киберустойчивости:
- Предвидеть: понимать угрозы, слабые места и возможные сбои до того, как они произойдут.
- Выдерживать: сохранять основные функции, даже когда некоторые системы скомпрометированы или недоступны.
- Восстанавливаться: восстанавливать сервисы таким образом, чтобы восстановить доверие к системам и данным.
- Адаптироваться: учиться на инцидентах и совершенствовать защиту и возможности восстановления.
Вместе эти цели превращают устойчивость из абстрактной концепции в практические бизнес-вопросы: что произойдет, если критическая система выйдет из строя? Сможем ли мы восстановиться, не позволив злоумышленнику снова получить доступ? И будем ли мы устранять слабые места, выявленные инцидентом?
Вопрос резервного копирования: можем ли мы восстановить данные и можем ли доверять тому, что восстановили?
Для многих организаций резервное копирование является основой восстановления. Оно защищает от случайного удаления, аппаратных сбоев и других форм потери данных. Но кибератака создает иную проблему: организация может больше не знать, каким системам, учетным данным или копиям данных можно доверять.
Предположим, розничная сеть сталкивается с атакой программы-вымогателя прямо перед крупным сезоном распродаж. Ее платформа заказов не работает, склады не могут обрабатывать отгрузки, а служба поддержки клиентов не может получить доступ к истории заказов.
У компании есть резервные копии. Это хорошая новость, но это только начало.
Команда восстановления должна определить, когда злоумышленник проник в среду, были ли затронуты системы резервного копирования и какую точку восстановления безопасно использовать. Также необходимо установить, остаются ли скомпрометированными системы идентификации и учетные данные администратора, необходимые для восстановления работы.
Восстановление данных из зараженной или небезопасной среды может позволить злоумышленнику снова получить доступ. Слишком быстрый запуск систем может вызвать очередной сбой. Однако слишком долгое ожидание затягивает сбои для клиентов и сотрудников.
Настоящая проблема заключается не просто в восстановлении файлов. Речь идет о восстановлении доверия к рабочей среде.
В руководстве CISA #StopRansomware Guide рекомендуется хранить автономные зашифрованные резервные копии и регулярно проверять их целостность и процедуры восстановления. Эти меры важны, потому что резервные копии, к которым злоумышленники могут получить доступ и уничтожить их, вряд ли защитят при инциденте.
Успешное резервное копирование не означает автоматически восстановление бизнеса. Технически доступная система не обязательно является безопасной системой.
Встраивание устойчивости во взаимосвязанные системы
Современный бизнес зависит от взаимосвязанных сред. Приложения полагаются на службы идентификации. Инфраструктура зависит от сетей и облачных платформ. Системы защиты данных должны подключаться к системам, которые они защищают.
Эти связи делают цифровые сервисы полезными, но они также могут дать злоумышленникам пути проникновения в организацию. Именно здесь важна концепция нулевого доверия.
Часто описываемая как «никогда не доверяй, всегда проверяй», концепция нулевого доверия требует, чтобы доступ явно проверялся и ограничивался необходимым. Нахождение внутри корпоративной сети не должно автоматически предоставлять широкий доступ ко всему, что в ней находится. Однако нулевое доверие и киберустойчивость решают связанные, но разные задачи.
NIST объясняет этот подход в своих рекомендациях по архитектуре нулевого доверия. Нулевое доверие помогает ограничить возможности злоумышленников получить доступ и перемещаться по среде, а киберустойчивость отвечает на вопрос, что произойдет, если злоумышленник все же добьется успеха.
Средства контроля идентификации ограничивают доступ. Сегментация сети помогает сдержать компрометацию. Защита данных обеспечивает сохранность важной информации. Независимые возможности восстановления позволяют восстановить работу в контролируемой среде.
Эти возможности должны работать вместе.
Защищенная резервная копия мало полезна, если скомпрометированные производственные системы могут удалить ее. Среда восстановления может не помочь, если она полагается на учетные данные администратора, которые злоумышленник уже похитил. А высокозащищенное приложение имеет ограниченную бизнес-ценность, если организация не может безопасно восстановить службы идентификации, от которых оно зависит.
Устойчивость зависит от взаимосвязей между средствами защиты, а не просто от наличия отдельных мер контроля.
Самый трудный вопрос: чему мы все еще можем доверять?
Во время крупного киберинцидента организациям может потребоваться изолировать сети, отключить привилегированные учетные записи, приостановить сервисы или отключить системы от обычной работы. Такие решения могут нарушить нормальную работу, но позволить атаке распространиться может быть гораздо опаснее.
Команды восстановления должны определить наиболее важные для бизнеса сервисы, понять их зависимости, определить, какие данные безопасно восстанавливать, и создать среду, в которой системы можно исследовать и перестраивать.
Им также нужны ответы на трудные вопросы:
- Если основная служба идентификации скомпрометирована, как команды восстановления получат безопасный доступ к необходимым системам?
- Если злоумышленник добрался до среды резервного копирования, какие независимые варианты восстановления остаются?
- Если организация не может восстановить все приложения немедленно, какие сервисы должны вернуться в первую очередь?
- Кто имеет право утвердить повторное подключение к производственной среде?
- Как организация узнает, что восстановленная среда достаточно чистая и заслуживает доверия?
Эти вопросы связывают техническую архитектуру с бизнес-последствиями. Они также выявляют пробелы, которые могут пропустить регулярные проверки доступности. Организация может успешно восстановиться после сбоя сервера, ни разу не проверив, сможет ли она восстановиться после компрометации учетных данных администратора.
В руководстве Guide for Cybersecurity Event Recovery подчеркивается важность приоритизации критических ресурсов, разработки планов восстановления, тестирования реалистичных сценариев и совершенствования возможностей восстановления на основе извлеченных уроков. Эти методы помогают организациям снизить неопределенность и восстановить основные сервисы при возникновении сбоев.
Устойчивость — это не разовое достижение. Угрозы эволюционируют, системы меняются, а организации становятся зависимыми от новых технологий и поставщиков услуг. Каждый инцидент и учения должны показывать, что вышло из строя, какие предположения оказались неверными и что нужно улучшить.
Восстановление — это не только технологии
Когда происходит киберинцидент, последствия выходят за рамки серверов и приложений. Клиенты могут потерять доступ к сервисам. Сотрудники могут быть не в состоянии работать. Партнеры могут ждать завершения транзакций. Руководители должны принимать решения при неполной информации, одновременно общаясь с клиентами, регулирующими органами и другими заинтересованными сторонами.
Поэтому киберустойчивость не может быть обязанностью только команды безопасности.
Команды безопасности снижают вероятность и последствия компрометации. Архитекторы проектируют системы с учетом реалистичных сценариев отказа. Команды восстановления готовятся восстанавливать системы и данные, когда обычные предположения о работе больше не действуют. Руководители бизнеса определяют, какие сервисы должны быть приоритетными и какой уровень сбоев организация может выдержать.
Всех объединяет одна цель: восстановить надежную работу, минимизируя ущерб для бизнеса и его клиентов.
Это также требует отношения к устойчивости как к постоянной организационной способности, а не как к документу, пересматриваемому раз в год, или к технологической инвестиции, сделанной в изоляции.
Нулевое доверие бросает вызов предположениям о доступе. Киберустойчивость расширяет это мышление на сбои и восстановление: что, если доверенная учетная запись скомпрометирована? Что, если критический сервис становится недоступным? Что, если системы, предназначенные для поддержки восстановления, также затронуты?
Ответ заключается не в том, чтобы полагаться на единственный продукт безопасности, стратегию резервного копирования или план реагирования на инциденты. Он состоит в том, чтобы создать среду, в которой предотвращение, сдерживание, защита данных, восстановление и постоянное обучение усиливают друг друга.
В конечном счете, самый полезный показатель киберустойчивости — это не то, подготовилась ли организация к инциденту на бумаге. Это то, может ли она, когда происходит сбой, защитить то, что важно, принимать взвешенные решения, безопасно восстанавливаться и выйти из ситуации лучше подготовленной, чем раньше.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Archana Choudhary
