Моделювання загроз: думай як зловмисник

Що таке моделювання загроз

Більшість людей підходять до безпеки реактивно: щось погане сталося — вони купують інструмент і сподіваються, що він запобіжить наступному інциденту. Моделювання загроз перевертає цей підхід. Це структурований спосіб думати про безпеку до того, як щось піде не так, ставлячи чотири фундаментальні запитання:

1. Що я захищаю?
2. Хто може захотіти це атакувати?
3. Як вони можуть це зробити?
4. Як мені розставити пріоритети у захисті?

Моделювання загроз спочатку було дисципліною розробки програмного забезпечення, але основне мислення однаково добре застосовується до особистої безпеки, домашніх мереж, малого бізнесу та критичної інфраструктури.

Крок 1: Визначте свої активи

Почніть зі списку того, що ви намагаєтеся захистити. Активи — це не лише дані; вони включають системи, репутацію, стосунки та час.

Для фізичної особи активами можуть бути:

• Електронна пошта (ключ до всіх інших акаунтів)
• Фінансові акаунти та кредит
• Документи, що посвідчують особу, та персональна інформація
• Приватне листування та фотографії
• Професійна репутація

Для малого бізнесу:

• Дані клієнтів та платіжна інформація
• Інтелектуальна власність та вихідний код
• Записи про співробітників
• Безперервність бізнесу (здатність продовжувати роботу)
• Репутація бренду

Розстановка пріоритетів за важливістю змушує вас визначитися. Ви не можете захищати все однаково — спочатку захищайте найкритичніше.

Крок 2: Визначте своїх противників

Різні зловмисники мають різні можливості, мотивації та цілі. Реалістична модель загроз називає конкретні типи противників, а не розпливчасте поняття «хакери».

Поширені профілі противників:

• Опортуністичні злочинці — автоматизовані боти та малокваліфіковані зловмисники, які шукають легку здобич. Вони сканують відкриті сервіси, перебирають витоклі паролі та розсилають масові фішингові листи. Вони швидко переходять далі, якщо ви не є тривіально вразливими.
• Цілеспрямовані злочинці — мотивовані фінансовою вигодою та готові витрачати час. Групи, що поширюють програми-вимагачі, банди з компрометацією корпоративної електронної пошти (BEC) та викрадачі ідентичності.
• Внутрішні загрози — незадоволені співробітники, підрядники з надмірним доступом або недбалий персонал, що припускається помилок.
• Державні суб'єкти — актуальні лише для конкретних цілей із високою цінністю: державних підрядників, журналістів, що висвітлюють чутливі теми, дисидентів або керівників компаній критичної інфраструктури.
• Переслідувачі або агресивні колишні партнери — особисто мотивовані, можуть вже знати ваші звички та акаунти.

Більшість фізичних осіб і малий бізнес стикаються з першими двома типами. Точна оцінка того, хто, швидше за все, буде атакувати вас, запобігає як недостатнім інвестиціям (ігнорування реальних загроз), так і надмірним (будування захисту державного рівня проти опортуністичних спам-ботів).

Крок 3: Визначте вектори атак

Як зловмисник реалістично дістанеться до ваших активів? Поширені шляхи атак:

• Фішингові листи — досі найпоширеніший метод початкового доступу для всього: від програм-вимагачів до крадіжки облікових даних
• Повторно використані або витоклі паролі — облікові дані зі старих витоків, використані проти поточних акаунтів
• Незаплатоване програмне забезпечення — відомі вразливості, що використовуються до застосування оновлень
• Соціальна інженерія — маніпулювання людьми, а не системами (видавання себе за ІТ-підтримку, підроблені дзвінки в екстрених ситуаціях)
• Фізичний доступ — незаблоковані пристрої, підглядання через плече або противник із фізичною присутністю
• Ланцюжок постачання — компрометація через довіреного постачальника або залежність від програмного забезпечення

Для кожного вектора атаки запитайте: чи це реалістично для моїх противників? Чи є у мене засоби контролю, що пом'якшують це?

Крок 4: Оцініть імовірність і вплив

Не кожна загроза заслуговує однакової уваги. Використовуйте просту матрицю ризиків:

• Висока імовірність + Великий вплив = Вирішіть негайно
• Висока імовірність + Малий вплив = Вирішіть економічно ефективним способом
• Низька імовірність + Великий вплив = Тримайте в полі зору, майте план
• Низька імовірність + Малий вплив = Прийміть ризик

Для більшості фізичних осіб повторно використані паролі (висока імовірність, великий вплив) мають бути першим пріоритетом. Для медичного бізнесу незашифровані дані пацієнтів у стані спокою (регуляторний і юридичний вплив) є пріоритетом незалежно від імовірності витоку.

Крок 5: Виберіть контрзаходи

Як тільки ви знаєте, що захищаєте, хто атакує та як, ви можете приймати раціональні рішення щодо засобів контролю:

• Фішинг → Навчання з питань безпеки, фільтрація електронної пошти, MFA
• Витоклі паролі → Менеджер паролів, унікальні паролі для кожного сайту, моніторинг витоків
• Незаплатоване ПЗ → Автоматичні оновлення, інвентаризація активів, управління патчами
• Фізичний доступ → Повне шифрування диска, блокування екрана, політика чистого стола
• Внутрішня загроза → Мінімальні привілеї, журналювання доступу, розподіл обов'язків

Фреймворк STRIDE

Для розробників програмного забезпечення та інженерів з безпеки STRIDE — це структурований спосіб категоризувати загрози:

• Sпоофінг (Spoofing) — видавання себе за іншого користувача або систему
• Tampering — зміна даних під час передавання або зберігання
• Repudiation — заперечення факту здійснення дії
• Information disclosure — розкриття даних неавторизованим сторонам
• Denial of service — виведення системи з ладу
• Elevation of privilege — отримання доступу, що виходить за межі авторизованого

Застосовуйте STRIDE до кожного компонента вашої системи, щоб виявити загрози, які ви могли б інакше пропустити.

Підтримуйте практичність

Моделювання загроз не потребує дорогих інструментів або консультантів. Дошки, список активів і чесна розмова про те, хто може їх захотіти, — достатньо для початку. Переглядайте свою модель, коли:

• Ви додаєте нові системи або сервіси
• Ваша бізнесова або особиста ситуація змінюється
• Значний публічний витік стосується програмного забезпечення, яким ви користуєтеся
• Ви наймаєте нових співробітників з підвищеним рівнем доступу

Мета — не ідеальна вичерпна модель. Мета — витрачати обмежені ресурси безпеки на загрози, що найімовірніше вплинуть на вас.