35 стратегий защиты от любителей кенгуру

Я уже не раз хвалил австралийское Министерство Обороны и их центр по обеспечению безопасности в киберпространстве. Прошлым летом выпустили они замечательный документ под названием "Стратегии для отражения целенаправленных кибератак". В этом двухстраничном документе нашли отражение все ключевые стратегии обнаружения и отражения вторжений в киберпространстве. В простой и понятной табличной форме перечислены в порядке приоритета элементарные рекомендации, среди которых:

• пачьте приложения
• минимизируйте число пользователей с административными правами
• используйте белые списки приложений (замкнутую программную среду)
• сегментируйте сеть
• усильте защиту пользовательских ОС
• контролируйте USB и иные периферийные устройства
• используйте сетевые системы обнаружения вторжений
• и т.д.

Хочу заметить, что стратегии даны в повелительной форме. Не просто "Сегментация сети", а "сегментируйте сеть", т.е. дано указание, что делать. Как учат отцы тайм-менеджмента именно такая форма считается самой правильной при формировании списков дел. Но на этом плюсы австралийского документа не заканчивается. В таблице помимо конкретного указания также дана их оценка по различным критериям:

• Общая эффективность
• Сопротивление со стороны пользователей. Офигенный критерий, которого я раньше что-то не встречал при оценке механизмов и средств защиты. А ведь он напрямую влияет на эффективность защитных мероприятий. Одно дело в прозрачном режиме поставить патч на Adobe Reader и совсем другое дело внедрить ограничения на типы вложений, которые могут пересылать пользователи по e-mail. В одном случае сопротивление будет минимальным, а во втором - вполне ожидаемо максимальным. И по каждой из 35-ти стратегий указаны свои значения данного показателя.
• Стоимость приобретения (CapEx)
• Стоимость поддержки (OpEx)
• Фокус на обнаружении или предотвращении
• На каком из трех этапов атаки помогает данная мера.

Достойнейший документ, но... его одного, конечно, недостаточно. Стратегия на то и стратегия, что за ней должны скрываться вполне конкретные рекомендации по ее реализации. На специальном сайте выложены подробные описания, как эти 35 стратегий воплотить в жизнь. При этом, что интересно. Это не "отлитый в граните" манускрипт, а регулярно обновляемый документ. Например, на сайте выложено сравнение различий между версией 2010-го и 2011-го годов.

В общем могу рекомендовать этот документ для практического применения.