Архитектура под нагрузкой

Насколько ваша ИБ готова к многовекторной атаке?

Современная атака редко развивается по одному сценарию. Пока одна часть инфраструктуры испытывает DDoS, злоумышленник может одновременно перебирать учетные данные, искать уязвимый внешний сервис, атаковать API или пытаться развить уже полученный доступ внутри сети.

Поэтому устойчивость зависит не столько от количества средств защиты, сколько от того, закрывают ли они всю цепочку атаки и способны ли работать как единая архитектура.

Ответьте на 8 вопросов и посмотрите, где в вашей защите может появиться разрыв.

Вопрос 1

Насколько полно у вас контролируется внешний контур?

2 балла

Внешний контур регулярно инвентаризируется. Учтены публичные IP-адреса, домены, VPN, API, облачные ресурсы, административные интерфейсы и временно опубликованные сервисы. Новые внешние ресурсы включаются в общий процесс контроля и защиты.

1 балл

Основные внешние системы и сервисы учтены и защищены, но полной актуальной картины нет. Отдельные API, тестовые среды, технические домены или облачные ресурсы могут появляться вне общего процесса.

0 баллов

Контролируется в основном основной публичный контур. Полного перечня доступных извне ресурсов нет, а отдельные точки входа могут обнаруживаться уже во время аудита или инцидента.

🚩 Красный флаг:

Основной сайт защищён, но старый VPN-шлюз, тестовый домен или административный интерфейс остаётся доступен из Интернета вне общего защитного контура.

Вопрос 2

Как у вас выстроена защита от разных типов внешних атак?

2 балла

Защита построена в несколько эшелонов. Объёмные сетевые атаки отфильтровываются ещё до того, как достигнут узкого места канала, web- и API-трафик дополнительно контролируется на прикладном уровне, предусмотрена защита от автоматизированных сценариев и злоупотреблений. Для основных типов атак понятно, какой механизм должен их обнаруживать и блокировать.

1 балл

Основные средства защиты используются, но работают преимущественно как отдельные компоненты. Некоторые сценарии перекрываются несколькими решениями, а по другим остаются разрывы или неочевидные зоны ответственности.

0 баллов

Основная защита внешнего контура опирается на один или несколько базовых механизмов без полноценного разделения по типам и уровням атак.

🚩 Красный флаг:

Сетевые средства защиты работают штатно и канал доступен, но приложение всё равно становится недоступно из-за большого количества легитимных запросов, которые перегружают приложение изнутри.

Вопрос 3

Как у вас ограничиваются последствия компрометации учетной записи?

2 балла

Доступ предоставляется по принципу минимальных привилегий. Для критичных систем используется MFA, привилегированный доступ контролируется отдельно, сервисные и технические учётные записи учитываются, а права пользователей регулярно пересматриваются.

1 балл

MFA и разграничение доступа применяются для основных систем, но остаются исключения, устаревшие права или учётные записи с более широкими полномочиями, чем необходимо.

0 баллов

Одна скомпрометированная учетная запись потенциально позволяет получить доступ сразу к нескольким внутренним системам или продолжить движение по инфраструктуре без дополнительных проверок.

🚩 Красный флаг:

Один набор учетных данных подходит одновременно для VPN, почты, внутренних сервисов или административных функций и открывает злоумышленнику сразу несколько направлений атаки.

Вопрос 4

Как у вас ограничивается распространение атаки после компрометации одного устройства?

2 балла

Рабочие станции и серверы находятся под контролем средств защиты конечных точек. Сеть сегментирована, критичные зоны изолированы, а подозрительное устройство можно оперативно обнаружить и изолировать от инфраструктуры.

1 балл

Средства защиты конечных точек и сегментация используются, но не охватывают всю инфраструктуру. Между отдельными сегментами сохраняются широкие сетевые доступы, а изоляция скомпрометированного узла не всегда происходит оперативно.

0 баллов

Контроль конечных точек и сегментация применяются ограниченно либо отсутствуют. С одного скомпрометированного устройства потенциально можно получить доступ к другим внутренним системам и продолжить перемещение по инфраструктуре.

🚩 Красный флаг:

Компрометация обычной рабочей станции открывает путь к файловым ресурсам, серверам или системам администрирования без дополнительных барьеров.

Вопрос 5

Как у вас снижается риск эксплуатации уязвимостей до установки обновлений?

2 балла

Уязвимости выявляются регулярно и приоритизируются с учётом критичности системы, её доступности для злоумышленника и реальной возможности эксплуатации. Для опасных уязвимостей определены сроки устранения и предусмотрены компенсирующие меры до установки обновления.

1 балл

Сканирование и обновление проводятся регулярно, но приоритет в основном определяется критичностью CVE. Реальная экспозиция системы и временные меры защиты учитываются не во всех случаях.

0 баллов

Работа с уязвимостями в основном сводится к установке доступных обновлений. Нет единого понимания, какие из обнаруженных уязвимостей реально доступны злоумышленнику и требуют первоочередной реакции.

🚩 Красный флаг:

Критическая уязвимость уже обнаружена и поставлена в план обновлений, но до установки патча уязвимый сервис продолжает быть доступен из Интернета без дополнительных мер защиты.

Вопрос 6

Насколько целостно у вас видна картина атаки?

2 балла

События сетевой защиты, конечных точек, аутентификации, приложений и других критичных систем собираются централизованно и сопоставляются между собой. Команда может видеть не только отдельные алерты, но и последовательность действий злоумышленника.

1 балл

Основные источники событий подключены к мониторингу, но часть данных остаётся в отдельных системах. Для восстановления полной картины атаки иногда требуется ручное сопоставление событий.

0 баллов

Разные средства защиты анализируются преимущественно независимо друг от друга. Связь между событиями становится очевидна только после появления заметных последствий инцидента.

🚩 Красный флаг:

Подбор учётных данных, подозрительный процесс на рабочей станции, необычное сетевое соединение и всплеск запросов к приложению видны в разных системах, но не связываются в единый сценарий атаки.

Вопрос 7

Насколько у вас отработаны сценарии отказа и восстановления критичных сервисов?

2 балла

Для критичных бизнес-сервисов известны основные зависимости и ограничения: интернет-каналы, средства защиты, балансировщики, серверы, базы данных, системы аутентификации, DNS и другие компоненты. Сценарии отказа и восстановления регулярно проверяются, а резервные копии тестируются на восстановление.

1 балл

Резервирование, мониторинг ресурсов и резервное копирование предусмотрены, но устойчивость всей технологической цепочки целиком регулярно не проверяется.

0 баллов

Устойчивость оценивается преимущественно по наличию резервного оборудования, запасу ресурсов и резервных копий. Реальное восстановление и влияние отказа отдельных зависимостей на бизнес-сервис проверяются редко либо не проверяются.

🚩 Красный флаг:

Средства защиты и серверы работают штатно, но сервис становится недоступен из-за отказа DNS, базы данных, системы аутентификации или другого компонента, который не считался критичным.

Вопрос 8

Насколько у вас отработаны действия при сложном ИБ-инциденте?

2 балла

Определены роли, контакты и порядок эскалации. Понятно, кто отвечает за сеть, приложения, доступ, конечные точки и взаимодействие с внешними провайдерами. Для основных сценариев есть отработанные планы действий, а критичные решения можно принимать без длительных согласований.

1 балл

Ответственные и основные процессы определены, но совместная работа разных команд при сложном инциденте проверялась ограниченно. Часть действий и решений приходится уточнять уже в ходе реагирования.

0 баллов

Единого отработанного порядка действий нет. При серьезном инциденте потребуется сначала определить ответственных, собрать участников, согласовать полномочия и понять, кто может вносить изменения в инфраструктуру.

🚩 Красный флаг:

Средства защиты обнаруживают атаку вовремя, но инфраструктура продолжает деградировать, пока ИБ, сетевые инженеры, эксплуатация и внешние провайдеры согласуют между собой дальнейшие действия.