Securing Spaces (Защита пространств)

Цель обучения 2.1.A: Определить атаки социального инжиниринга.

• 2.1.A.1 Социальные инженеры используют психологические методы для манипулирования жертвами с целью побудить их к желаемым действиям.
• 2.1.A.2 Претекст — это когда злоумышленники создают убедительную причину для связи с жертвой.
• 2.1.A.3 Авторитет — это когда злоумышленники выдают себя за лицо, обладающее властью над жертвой, или притворяются, что передают указания от этого лица.
• 2.1.A.4 Запугивание — это когда злоумышленники заявляют о негативных последствиях, если требования не будут выполнены.
• 2.1.A.5 Консенсус — это когда злоумышленники создают социальное давление, убеждая жертву в том, что все остальные совершают желаемое действие.
• 2.1.A.6 Дефицит — это когда злоумышленники создают ощущение ограниченной доступности.
• 2.1.A.7 Знакомство — это когда злоумышленники притворяются кем-то, кто знаком с жертвой или является близким ей человеком, чтобы установить доверие.
• 2.1.A.8 Срочность — это когда злоумышленники устанавливают дедлайн, требующий от жертвы быстрых действий во избежание негативных последствий.

Цель обучения 2.1.B: Определить типы злоумышленников.

• 2.1.B.1 Скрипт-кидди — это малоопытные злоумышленники, использующие инструменты, разработанные другими, не понимая, как они работают. Обычно ими движет жадность или желание получить признание.
• 2.1.B.2 Хактивисты движутся социальными, политическими или личными мотивами. Они взламывают компьютеры и сети для поддержки своей цели или предотвращения воспринимаемого вреда, считая, что их цели оправдывают незаконные методы.
• 2.1.B.3 Инсайдеры-злоумышленники представляют уникальную угрозу, поскольку у них есть легитимные учетные данные и доступ к системам и данным. Их могут вербовать зловредные третьи стороны, и они могут быть мотивированы жадностью или местью.
• 2.1.B.4 Кибертеррористы движутся политикой или убеждениями и стремятся нарушить работу целых сообществ, регионов или стран с помощью кибератак (например, атака на энергосеть, водоочистные сооружения или другую гражданскую инфраструктуру). Они могут действовать независимо или от имени правительств или преступных организаций.
• 2.1.B.5 Транснациональные преступные организации стремятся к финансовой выгоде прежде всего путем развертывания программ-вымогателей и кражи корпоративной интеллектуальной собственности (IP) для продажи на нелегальных рынках.

Цель обучения 2.1.C: Описать фазы кибератаки.

• 2.1.C.1 Кибератаки направлены на нарушение работы, причинение вреда, кражу или уничтожение устройств, сетей или данных. Злоумышленники действуют поэтапно, и не все этапы могут присутствовать в каждой атаке. Фазы следующие:
  • i. Разведка
  • ii. Первоначальный доступ
  • iii. Устойчивость
  • iv. Боковое перемещение
  • v. Выполнение действий
  • vi. Обход обнаружения
• 2.1.C.2 На этапе разведки атаки злоумышленники собирают максимально возможную информацию о своей цели, часто используя открытую разведку (OSINT), которая является свободно доступной информацией.
• 2.1.C.3 На этапе первичного доступа злоумышленники закрепляются на компьютере цели, часто используя социальную инженерию или скомпрометированные/слабые учетные данные.
• 2.1.C.4 После получения доступа во время атаки злоумышленники обеспечивают постоянство, чтобы поддерживать доступ без необходимости его повторного восстановления. Они могут использовать протокол управления и контроля (C2) для отправки команд устройству и получения вывода, часто через вредоносное ПО, такое как троян удаленного доступа (RAT) или rootkit.
• 2.1.C.5 На этапе горизонтального перемещения злоумышленники пытаются повысить свои привилегии, получая доступ к компьютерам и учетным записям пользователей с повышенными правами доступа к сервисам и данным.
• 2.1.C.6 На этапе выполнения действий злоумышленники действуют в соответствии со своими целями: собирают целевые данные, выводят их из системы и нарушают работу сервисов или уничтожают данные.
• 2.1.C.7 На заключительном этапе атаки многие злоумышленники пытаются избежать обнаружения, удаляя или редактируя журналы событий и стирая другие файлы, которые они могли разместить на устройствах (например, вредоносное ПО).

Цель обучения 2.1.D: Описать процесс оценки рисков.

• 2.1.D.1 Риск возникает, когда угроза может использовать уязвимость для компрометации актива.
• 2.1.D.2 Актив — это все, что имеет ценность. К активам относятся финансовые ресурсы, интеллектуальная собственность, данные, цифровая инфраструктура, физическое имущество и репутация.
• 2.1.D.3 Оценка рисков учитывает два фактора:
  • Вероятность атаки на конкретную уязвимость
  • Тяжесть предполагаемого ущерба от атаки на конкретную уязвимость
• 2.1.D.4 Вероятность эксплуатации уязвимости зависит от множества факторов, включая:
  • Ценность цели: Злоумышленники чаще атакуют цели, которые воспринимают как ценные.
  • Уровень навыков, необходимых для эксплуатации уязвимости (т.е. сложность): Уязвимости с хорошо документированными эксплойтами часто требуют меньших навыков и могут быть использованы большим числом злоумышленников.
  • Мотивация и возможности вероятных злоумышленников: Высокомотивированные и квалифицированные злоумышленники более склонны к выполнению сложных эксплойтов.
• 2.1.D.5 Тяжесть атаки часто оценивается по финансовым затратам, которые также могут включать репутационный и операционный ущерб.
  • Примеры иллюстрации для 2.1.D.5:
    • Хактивист страстно выступает против незаконной рыбалки, поддерживаемой местной производственной компанией пищевых продуктов. Главная веб-страница этой компании является целью высокой ценности для данного хактивиста; осквернение веб-страницы для разоблачения поддержки компании незаконной рыбалки не принесет злоумышленнику финансового дохода, но позволит ему привлечь внимание к проблеме, которая им мотивирует.
• 2.1.D.6 Результатом оценки рисков может быть количественная или качественная оценка.
  • Количественная оценка риска присваивает числовое значение уязвимости на основе числовой шкалы (например, 1–10) или количественного ущерба, который может быть финансовым (например, годовой риск в $10,000).
  • Примеры иллюстрации для 2.1.D.6:
    • Низкий, средний, высокий, серьезный
    • Маловероятный низкий ущерб, вероятный низкий ущерб, маловероятный высокий ущерб, вероятный высокий ущерб
• 2.1.D.7 Документация оценки рисков должна включать:
  • Уязвимые активы и их стоимость
  • Описания возможных угроз для активов
  • Детали конкретных уязвимостей для конкретных активов и способы их эксплуатации
  • Объяснение тяжести ущерба (финансового, операционного, репутационного и т. д.), если конкретный актив будет скомпрометирован, и вероятности такой компрометации
  • Итоговый рейтинг, количественный или качественный, для каждого выявленного риска
  • Примеры иллюстрации для 2.1.D.7:
    • Шкалированная оценка (например, 1–10)
    • Денежная ценность (например, риск в размер $10,000 risk vs. a$100,000)

Цель обучения 2.1.E: Определить стратегии управления рисками.

• 2.1.E.1 После выявления и оценки риска организация имеет четыре варианта управления этим риском:
  • i. Избегание
  • ii. Передача
  • iii. Снижение
  • iv. Принятие
• 2.1.E.2 Избежание риска прекращает деятельность, порождающую этот риск. Если деятельность является критически важной частью миссии или целей организации, то избежание невозможно.
• 2.1.E.3 Передача риска возлагает бремя риска на другую сторону, такую как страховая компания, правительство или потребители.
• 2.1.E.4 Снижение риска реализует меры безопасности для уменьшения вероятности или последствий риска.
• 2.1.E.5 Остаточный риск — это риск, который остается после того, как организация применила избегание, передачу и снижение. Остаточный риск представляет собой уровень риска, который организация готова принять. Принятие риска признает факт недостижимости абсолютной безопасности.
• 2.1.E.6 Для экономии финансовых ресурсов и человеческого капитала организация обычно отдает предпочтение решениям, которые являются рентабельными и простыми в реализации и обслуживании. Рентабельные решения обходятся дешевле в установке и поддержке, чем ожидаемые потери от атаки.

Цель обучения 2.1.F: Определить типы мер защиты.

• 2.1.F.1 Меры безопасности addressed at least one of the following principles:
  • Конфиденциальность обеспечивает, что только авторизованные лица, системы или процессы могут получить доступ к данным. Системы, лишенные конфиденциальности, уязвимы для кражи или уничтожения данных.
  • Целостность обеспечивает точность и достоверность данных. Системы, лишенные целостности, уязвимы для манипулирования данными.
  • Доступность обеспечивает возможность получения данных и услуг авторизованными лицами по мере необходимости. Системы, не обеспечивающие доступность, могут столкнуться с неожиданным простоем.
• 2.1.F.2 Средства защиты можно классифицировать по типу.
  • Физические средства обеспечивают безопасность в физической среде и включают замки, заборы, камеры, барьеры и охранников.
  • Технические средства обеспечивают безопасность в цифровой среде и включают межсетевые экраны, антивирусное программное обеспечение и шифрование.
  • Управленческие средства представляют собой правила, руководства, политики и процедуры, определяющие необходимые меры безопасности, и включают политики паролей, регулярные проверки доступа и планы реагирования на инциденты (IRP).
• 2.1.F.3 Средства защиты можно классифицировать по функции.
  • Предотвращающие средства устраняют потенциальные уязвимости с целью предотвращения атак со стороны злоумышленника и включают замки и шифрование.
  • Обнаруживающие средства помогают выявить атаки в момент их совершения и включают системы обнаружения вторжений (IDS), камеры и системы управления событиями и инцидентами безопасности (SIEM).
  • Исправляющие средства устраняют проблемы и помогают вернуть системы в рабочее состояние; к ним относятся устранение уязвимостей (патчи), ремонт сломанного считывателя карт и системы предотвращения вторжений (IPS).

Учебная цель 2.1.G: Объяснить, почему для оптимальной защиты организации необходима стратегия многослойной безопасности (defense-in-depth).

• 2.1.G.1 Стратегия многослойной защиты (layered defense) использует несколько типов средств защиты для обеспечения безопасности чувствительных данных и систем.
• 2.1.G.2 Стратегия многослойной защиты позволяет организации противостоять различным типам угроз, каждая из которых имеет наиболее подходящее средство защиты для ее нейтрализации.
• 2.1.G.3 Стратегия многослойной защиты обеспечивает устойчивость защиты данных: если злоумышленник обходит одно средство защиты, другое может предотвратить доступ к данным или системе или ограничить нанесенный ущерб.
• 2.1.G.4 Слои в стратегии многослойной защиты могут включать человеческий фактор, физическую среду, сеть, устройства, приложения и данные.

Учебная цель 2.2.A: Определить распространенные физические атаки.

• 2.2.A.1 Злоумышленники часто используют социальную инженерию при проведении физических атак.
• 2.2.A.2 «Подсаживание» (piggybacking) — это атака, при которой злоумышленник использует социальную инженерию, чтобы манипулировать авторизованным лицом и получить от него разрешение на доступ в ограниченную зону. Распространенные тактики подсаживания включают ношение крупной вещи, чтобы побудить автораauthorized person держать дверь открытой, притворяться авторизованным лицом, забывшим токен доступа, или притворяться техническим специалистом, нуждающимся в доступе для проведения осмотра или ремонта.
• 2.2.A.3 «Просачивание» (tailgating) — это атака, при которой злоумышленник получает несанкционированный доступ в ограниченную зону, следуя непосредственно за авторизованным лицом, не замечая его присутствия.
• 2.2.A.4 «Наблюдение через плечо» (shoulder surfing) — это атака, при которой злоумышленник наблюдает за пользователем во время доступа к конфиденциальной информации, чтобы использовать её позже. Иногда злоумышленники используют камеру для записи процесса доступа к конфиденциальной информации с последующим анализом.
• 2.2.A.5 «Доступ к мусорным контейнерам» (dumpster diving) — это атака, при которой злоумышленник осматривает физические отходы цели в поисках информации, которая может помочь ему достичь своей цели.
• 2.2.A.6 «Клонирование карт» (card cloning) — это атака, при которой злоумышленник создает копию карты доступа авторизованного пользователя, чтобы получить доступ ко всем ресурсам, к которым у этого пользователя есть права.

Учебная цель 2.2.B: Объяснить, как угрозы могут использовать распространенные физические уязвимости для причинения ущерба, повреждений, сбоев или уничтожения активов.

• 2.2.B.1 Угрозы включают человеческих злоумышленников, стремящихся причинить вред или сбои, а также стихийные бедствия. Стихийные бедствия могут вызвать физическое повреждение или уничтожение компьютеров и данных, а также сбой цифровых сервисов, предоставляемых компьютерами.
• 2.2.B.2 Уязвимости — это слабости или недостатки, которые могут привести к компрометации актива. Распространенные виды компрометации включают:
  • Несанкционированный доступ к конфиденциальным данным или ограниченным физическим зонам
  • Сбои в работе сервисов
  • Кража или уничтожение цифровых или физических ресурсов
  • Несанкционированное изменение данных
• 2.2.B.3 Когда злоумышленники нарушают электропитание устройства, само устройство и предоставляемые им услуги становятся недоступными. Для нарушения питания злоумышленники могут повредить предохранители или автоматы в электрическом щите, отключить или перерезать электрическую проводку, или повредить системы распределения энергии, такие как подстанции и трансформаторы.
• 2.2.B.4 Когда злоумышленники получают доступ в зону с конфиденциальной информацией, они могут украсть или скопировать эту информацию.
• 2.2.B.5 Когда злоумышленники получают физический доступ к устройству и его портам, они могут подключить клавиатурный трекер или внешний накопитель с вредоносным ПО, что позволит им собирать данные пользователя или даже взять управление устройством под свой контроль. Имея прямой физический доступ, злоумышленники также могут физически уничтожить устройство, сделав само устройство, хранящиеся на нем данные и предоставляемые им услуги недоступными.

Учебная цель 2.2.C: Оценить и задокументировать риски, связанные с физическими уязвимостями.

• 2.2.C.1 Физический доступ к устройствам позволяет злоумышленникам обойти многие технические средства защиты и уровни безопасности.
• 2.2.C.2 Высокие риски от физических уязвимостей возникают, когда конфиденциальная информация или системы находятся в открытых физических пространствах без достаточного ограничения и контроля доступа.
  • Иллюстративные примеры для 2.2.C.2:
    • Сервер, хранящий данные клиентов, расположен в комнате без замка, доступ к которой осуществляется через коридор без наблюдения.
• 2.2.C.3 Умеренный риск от физических уязвимостей возникает, когда некритическая или нечувствительная часть организации остается незащищенной таким образом, что она может служить плацдармом для противника с целью первоначального доступа к другим ресурсам.
  • Иллюстративные примеры для 2.2.C.3:
    • В офисе есть зона ресепшена, за которую контроль доступа ограничен; у администратора ресепшена есть компьютер, подключенный к внутренней беспроводной сети офиса, и на компьютере открыты USB-порты.
• 2.2.C.4 Низкий риск от физических уязвимостей возникает, когда уязвимый актив имеет низкую ценность, а вероятность его эксплуатации мала.
  • Иллюстративные примеры для 2.2.C.4:
    • Сотрудники в офисе, где требуется пропуск для доступа, оставляют ноутбуки на столах без присмотра во время обеда. Компьютеры не содержат конфиденциальной информации, но устройства не закреплены на столах с помощью кабелей.

Цель обучения 2.3.A: Определять управленческие меры контроля, связанные с физической безопасностью.

• 2.3.A.1 Организации должны проводить обучение сотрудников по информационной безопасности, чтобы ознакомить их с тем, как они могут способствовать защите организации путем:
  • Выявления попыток социальной инженерии, таких как фишинг
  • Запрета прохода других людей в ограниченные зоны без их личного присутствия
  • Предотвращения кражи устройств
• 2.3.A.2 В организациях должна быть политика безопасности рабочих станций, описывающая меры, необходимые для защиты физического рабочего места. Политика может включать уровни защиты рабочих станций в зависимости от типа обрабатываемых данных. Политики безопасности рабочих станций часто требуют:
  • Блокировки устройств перед уходом с рабочего места без присмотра для предотвращения несанкционированного доступа
  • Очистки рабочих станций от конфиденциальных документов перед оставлением их без присмотра (иногда это называется политика «чистого стола»)
  • Использования экрана-фильтра конфиденциальности или другого физического барьера для предотвращения просмотра информации на экране другими лицами
  • Подключения устройств к сетевым фильтрам или источникам бесперебойного питания (ИБП)

Цель обучения 2.3.B: Определять стратегии смягчения рисков от физических уязвимостей.

• 2.3.B.1 Для определения соответствующего контрольного механизма киберзащитник рассматривает, как противник мог бы воспользоваться уязвимостью для атаки на систему, и как предотвратить, обнаружить или исправить эту атаку.
• 2.3.B.2 Установка физических средств защиты, таких как ограждения, ворота и столбы, вокруг здания может отпугнуть противников от попытки физического доступа к зданиям организации.
• 2.3.B.3 Замки на дверях, серверных шкафах и компьютерах могут предотвратить несанкционированный доступ к устройствам или их кражу.
• 2.3.B.4 Считыватели карт могут регистрировать, какие бейджи сотрудников используются для доступа к различным входам в определенное время, и блокировать доступ для несанкционированных карт.
• 2.3.B.5 Контрольно-пропускные пункты (вестибюли) и турникеты могут предотвратить намеренное или случайное допуск несанкционированных лиц в зону с ограниченным доступом даже при наличии у авторизованного лица действующего пропуска.
• 2.3.B.6 Организации могут отключать USB-порты, чтобы предотвратить загрузку вредоносного ПО на компьютеры с внешних накопителей.
• 2.3.B.7 Источник бесперебойного питания (ИБП) обеспечивает резервное питание для устройства в случае отключения электроэнергии. Организации также могут использовать генераторы электропитания для обеспечения энергией здания или группы критически важных устройств в более крупных масштабах.
• 2.3.B.8 Организации расставляют приоритеты в мерах по снижению рисков на основе степени серьезности угроз и стоимости рекомендуемых мер.

Цель обучения 2.4.A: Определять способы, с помощью которых средства защиты могут обнаруживать физические атаки.

• 2.4.A.1 Камеры могут фиксировать визуальную запись злонамеренной деятельности противника. Поток видео с камеры должен записываться и monitored для максимальной эффективности. Записи могут быть особенно полезны при расследовании инцидентов после их возникновения.
• 2.4.A.2 Сотрудники охраны могут контролировать активность на территории и реагировать на подозрительную деятельность после ее выявления.
• 2.4.A.3 Датчики движения могут подавать сигнал охране о движении в зоне.
• 2.4.A.4 Сотрудники, работающие в физическом пространстве, часто первыми замечают присутствие unauthorized человека и могут оповестить службу безопасности.

Цель обучения 2.4.B: Определять эффективное размещение средств защиты для обнаружения физических атак.

• 2.4.B.1 При размещении камер следует учитывать зону видимости, угол обзора и возможность вмешательства со стороны противника. Также необходимо учитывать, что именно камера в конкретной зоне сможет зафиксировать от противника и как эта информация будет полезна. Точки входа и выхода часто находятся под видеонаблюдением.
• 2.4.B.2 Датчики движения следует устанавливать в местах, где движение не ожидается, например, в серверных комнатах, или в зонах хранения чувствительных материалов, куда имеют доступ немногие люди. Датчики движения в местах с высокой проходимостью создают множество ложных тревог, из-за чего сигнализация становится менее убедительной при реальных событиях безопасности.
• 2.4.B.3 Замки следует устанавливать на всех входах в зоны, содержащие конфиденциальную информацию или системы. Для зон с особо чувствительной информацией или системами организация может использовать контрольно-пропускной пункт (вестибюль) на входе для предотвращения проникновения незарегистрированных лиц за спиной авторизованных пользователей (piggybacking/tailgating).
• 2.4.B.4 Охранники могут быть стационарными или патрульными. Стационарные охранники обеспечивают постоянную защиту определенной зоны, входа или ценного объекта. Патрульные охранники сложнее спланировать для противника и создают временное давление на него. Размещение стационарных охранников в местах концентрации трафика (например, входных ворота, главные входы или холлы, а также входы в более защищенные зоны) может быть высокоэффективным, тогда как патрульные охранники лучше подходят для периметра и внешних территорий.

Цель обучения 2.4.C: Применять методы обнаружения для выявления физических атак.

• 2.4.C.1 Камеры обеспечивают визуальный мониторинг и создание визуальной записи событий в отведенном пространстве. Камеры можно объединить с программным обеспечением для распознавания лиц, которое будет отправлять оповещения при появлении неавторизованных лиц в контролируемых зонах. После обнаружения физического нарушения защитники могут использовать прямую и записанную видеосъемку для отслеживания пути и действий противника.
• 2.4.C.2 Датчики движения работают наиболее эффективно в сочетании с камерами. При возникновении сигнализации из-за активации датчика движения защитники могут визуально осмотреть пространство с помощью камер и подтвердить факт нарушения физической безопасности.
• 2.4.C.3 Если сотрудникам необходимо использовать электронные пропуски для открытия двери в ограниченную зону, датчик может зафиксировать время, в течение которого дверь оставалась открытой. При анализе журналов доступа к двери возможность «прилипания» (piggybacking) или следования за другим человеком (tailgating) можно обнаружить по времени открывания двери, превышающему нормальную продолжительность.