Обеспечение IT-безопасности становится ключевым аспектом для любого бизнеса. Однако, помимо стандартных методов защиты, существуют необычные и творческие трюки, которые могут усилить вашу киберзащиту. Давайте их рассмотрим!
Модификация наименований аккаунтов с расширенными правами, которая заключается в их изменении с типичных «admin» на менее предсказуемые, часто рассматривается как неэффективная мера защиты, основанная на принципе «безопасности через неопределенность». Тем не менее, это хитрый ход в арсенале киберзащиты. Когда хакер ещё не внедрился в вашу сеть, он вряд ли сможет без труда разгадать обновлённые идентификаторы ваших ключевых аккаунтов. Незнание точных имен учетных записей сильно усложняет задачу для злоумышленников, стремящихся взломать пароли.
Изменяя имена ваших ключевых пользователей, вы опережаете злоумышленников и вирусы на один критически важный шаг. Это также упрощает мониторинг и оповещение о попытках входа под оригинальными именами аккаунтов с повышенными привилегиями, которые теперь выведены из игры.
Еще один совет, который часто встречается в сфере кибербезопасности, заключается в полном исключении всех учетных записей с расширенными правами: от администратора до администратора домена, корпоративного администратора и всех остальных групп и пользователей, обладающих предустановленными привилегированными доступами.
Когда такое предложение выносится на обсуждение, большинство системных администраторов встречают его с недоверием и недоумением, схожая реакция наблюдается и у специалистов по информационной безопасности, когда они предлагают деактивировать локальные учетные записи администраторов на устройствах под управлением Windows. Но Microsoft взяла на вооружение эту идею и по умолчанию отключила локальные учетные записи администраторов начиная с Windows Vista / Server 2008 и в последующих версиях.
Все еще возможно создание альтернативных административных аккаунтов в Windows, но наиболее решительные сторонники информационной безопасности настаивают на полном отказе от всех встроенных учетных записей с привилегиями, по меньшей мере, для использования в повседневной работе. Тем не менее, некоторые системные администраторы считают такие меры слишком радикальными и малоосуществимыми. Однако стоит отметить, что как минимум одна компания из списка Fortune 100 полностью отказалась от встроенных привилегированных аккаунтов, и их опыт оказался успешным.
Концепция компьютерных приманок, известных как «honeypot» (что в переводе с английского означает «горшочек с медом»), не нова — их использование началось еще с публикации книги Клиффорда Столла «The Cuckoo’s Egg» («Яйцо кукушки») в 1989 году. Несмотря на длительную историю, эти инструменты все еще не получили должного признания и широкого распространения, хотя заслуживают и того, и другого. Хост-ловушка представляет собой компьютерный ресурс, специально настроенный для привлечения атак. Они не несут в себе рабочей ценности и служат только для мониторинга: они находятся в ожидании и под наблюдением. Как только хакер или вредоносное ПО взаимодействует с хостом-ловушкой, она моментально оповещает системного администратора для последующего анализа события. Эти системы отличаются низким уровнем «шума» и высокой эффективностью.
Магазины и компании, применяющие хосты-ловушки, обычно оперативно получают сигналы об активных атаках. В действительности, мало что может соперничать с приманками в качестве средства раннего предупреждения — разве что сеть хостов-ловушек. Однако клиенты часто относятся с недоверием к таким системам безопасности. Иногда самым разумным решением является просто дать им шанс и увидеть на практике их эффективность.
Изменение стандартного расположения сервисных портов в IT-инфраструктуре может значительно снизить риск безопасности. Этот метод, который можно назвать «защитой через неопределенность», себя зарекомендовал. В эпоху 2000-х, когда угрозы, такие как переполнение буфера, начали активно использовать вирусы и черви, они рассчитывали исключительно на порты по умолчанию. Это особенно касалось атак с использованием SQL-инъекций, HTTP-червей, атак на SSH и других широко используемых портов удаленного доступа.
Примером уязвимости стали инциденты с программой удаленного доступа Symantec pcAnywhere и протоколом удаленного рабочего стола от Microsoft, которые пострадали от удаленных атак. Когда злоумышленники начали использовать соответствующие эксплойты, специалисты по безопасности бросились применять патчи или блокировать порты, чтобы опередить появление червей. Если бы уязвимые сервисы были перенесены на нестандартные порты, проблема могла бы и вовсе не возникнуть. В истории атак вредоносным ПО, оно обычно целится только на стандартные порты.
Критики подхода перемещения портов утверждают, что для хакера нет проблемы в том, чтобы отследить измененное расположение порта. Действительно, с помощью инструментов типа сканера портов Nmap или программы для сканирования веб-приложений Nikto, можно выявить сервисы, работающие на альтернативных портах. Однако большинство атак проводится автоматизированным вредоносным ПО, нацеленным на порты по умолчанию, и многие хакеры не утруждают себя поисками нестандартных портов. Они находят достаточно уязвимостей на стандартных портах и не видят смысла в дополнительных усилиях. Даже Nmap без специальной настройки не сканирует нестандартные порты. Это подтверждает мысль о том, что перенос порта на нешаблонное значение может существенно уменьшить риски для безопасности.
Стратегия «скрытности через анонимность» включает в себя не только изменение портов, но и размещение программ в необычных директориях.
Этот прием уже не так эффективен, как в прежние времена, ведь современные атаки часто нацелены на конкретные файлы приложений, однако его польза все еще ощутима. Подобно другим тактикам «скрытности через анонимность», перемещение программ в неожиданные каталоги может сбить с толку автоматические вредоносные программы, которые привыкли «прощупывать» стандартные пути. Если зловредное ПО рассчитано на взаимодействие с вашей системой или приложением через обычные места хранения, изменив расположение на нешаблонное, вы можете нарушить его алгоритмы.
Многие эксперты по безопасности применяют эту тактику, инсталлируя операционные системы в нестандартные папки, например, C:/Win7 вместо привычного C:/Windows. Дополнительно, создаются «заманчивые» директории, имитирующие оригинальные системные папки. В случае атаки, это позволяет обнаружить «заблудившиеся» вредоносные программы, которые оказываются в ловушке, например, в C:/Windows/System32.
Перенос программ в нестандартные директории возможно не столь мощен, как некоторые другие описанные методы, но он успешно запутывает множество вредоносных кодов, что несомненно ведет к повышению безопасности.
Ловушка порта, известная как «Tarpit», представляет собой замечательный механизм замедления активности нежелательных подключений. Когда внешний агент пытается установить связь с таким портом, отключиться от него не так-то просто. Незваный гость вынужден либо терпеливо ждать до автоматического разрыва соединения по истечении времени ожидания, либо предпринимать срочные действия для его прекращения, тем самым истощая собственные ресурсы.
Этот инновационный подход был изобретен в ответ на угрозу от компьютерного червя Code Red IIS, который впервые появился в 2001 году. Том Листон стал создателем первопроходца в этом направлении — программы LaBrea. Данное программное решение умело «притворялось» незанятым хостом, вводя в заблуждение червей, которые искали уязвимые системы для заражения. Поддавшись на уловку, червь пытался установить соединение, на что LaBrea отзывалась, намеренно затягивая процесс общения, используя хитрости протокола TCP, такие как увеличение времени ожидания ответа и многократные попытки передачи данных.
Изначально тарпиты задумывались как средство обороны против компьютерных вирусов. Но со временем их применение расширилось, и теперь они стали настоящим бичом для спамеров и тех, кто занимается массовым сканированием IP-адресов, в поисках уязвимостей.
В современном цифровом мире функция «Tarpit» встроена во многие сети и ловушки, где она эффективно противостоит любым неподобающим попыткам подключения. С её помощью сканирование сети превращается в медленный и неэффективный процесс, сведение которого к нулю и является конечной целью. Подключение поддерживается до того момента, пока не истечет таймер ожидания, в то время как компьютер злоумышленника тратит свои ресурсы впустую, а ваша система практически не испытывает нагрузки, отражая бесполезные попытки передачи данных.
Ключевым инструментом для выявления несанкционированного изъятия информации становится мониторинг сетевого потока. Разнообразие доступных инструментов, как бесплатных, так и платных, позволяет детально отслеживать динамику передачи данных в сети и устанавливать нормативные параметры для трафика: что, куда и по какому маршруту должно перемещаться. В случае, если вы обнаружите необъяснимый и резкий отток объемных данных за пределы вашей сети, это может стать отправной точкой для глубокого анализа инцидента. Многие сложные и продолжительные кибератаки, такие как APT (Advanced Persistent Threats) или целенаправленные хакерские вторжения, могли бы быть выявлены на ранних этапах, если бы организации имели четкое понимание ожидаемых шаблонов своего сетевого трафика.
Экраны блокировки с запросом пароля представляют собой эффективную стратегию повышения уровня информационной безопасности. Когда пользователь отходит от устройства, и оно остается без активности в течение заданного времени, активируется специальный экран, который требует авторизации для доступа к системе. Хотя некоторые пользователи ранее выражали недовольство, считая это меру излишней и мешающей производительности, сегодня такие экраны блокировки стали стандартной функцией защиты не только для персональных компьютеров и ноутбуков, но и для планшетов и смартфонов, везде, где требуется защита личных данных и рабочей информации.
Основная угроза для компьютерной безопасности исходит от онлайн-активности пользователей. Компании, которые ограничивают или полностью блокируют доступ к Интернету на тех серверах, где он не требуется, эффективно уменьшают шансы на заражение системы вредоносным программным обеспечением. Нежелательно, чтобы администраторы систем, в моменты ожидания загрузки обновлений, отвлекались на проверку электронной почты или взаимодействие в социальных сетях. Лучше предотвратить такие риски, блокируя несущественные для работы функции. В контексте серверов на базе Windows, стоит подумать об отключении функции Контроля учетных записей пользователей (UAC), так как она предназначена для защиты рабочих станций и может быть источником проблем для IT-безопасности серверов. Отказ от UAC в таких случаях может стать шагом к укреплению общей безопасности организации.
Традиционные методы защиты киберпространства остаются фундаментальными, но включение нестандартных подходов и креативных стратегий может значительно усилить общую киберустойчивость вашего бизнеса. Помните, что ключ к успешной кибербезопасности — это постоянное обновление и адаптация в ответ на постоянно развивающиеся угрозы.
Выполняем любые работы по настройке, сопровождению IT-инфраструктуры под ключ, в том числе обеспечение максимальной безопасности. Оставить заявку можно здесь.
