Μιλήσαμε για cyber attacks.
Τώρα ας περάσουμε στην άμυνα.
Πώς χτίζετε πραγματικά ένα ασφαλές σύστημα;
Όλα ξεκινούν με τις βασικές αρχές του cybersecurity.
Αυτές δεν είναι απλώς βέλτιστες πρακτικές.
Είναι η ραχοκοκαλιά κάθε απόφασης στην ασφάλεια.
Σε αυτό το μάθημα, θα εξερευνήσουμε θεμελιώδεις έννοιες όπως το CIA triad,
το least privilege και το zero trust.
Η κατανόηση αυτών θα σας βοηθήσει να αποτρέψετε επιθέσεις, να ελαχιστοποιήσετε τη ζημιά
και να χτίσετε ισχυρότερες άμυνες.
Στην καρδιά του cybersecurity είναι το CIA triad.
Αντιπροσωπεύει τα Confidentiality, Integrity και Availability.
Οι τρεις πυλώνες των ασφαλών συστημάτων.
Το Confidentiality σημαίνει προστασία ευαίσθητων πληροφοριών
ώστε μόνο εξουσιοδοτημένα άτομα να μπορούν να έχουν πρόσβαση σε αυτές.
Σκεφτείτε κωδικούς πρόσβασης, κρυπτογράφηση και access controls.
Το Integrity αφορά τη διατήρηση των δεδομένων ακριβών και αναλλοίωτων.
Το Hashing, οι ψηφιακές υπογραφές και τα audit trails βοηθούν στη διατήρηση του integrity.
Το Availability διασφαλίζει ότι τα συστήματα και τα δεδομένα είναι προσβάσιμα όταν χρειάζεται.
Χωρίς διακοπές (downtime). Χωρίς καταρρεύσεις (crashes).
Τα Backups, η προστασία και το redundancy βοηθούν εδώ.
Η ισορροπία και των τριών είναι το κλειδί.
Πάρα πολύ από το ένα μπορεί να αποδυναμώσει τα άλλα.
Η επόμενη βασική αρχή είναι το least privilege.
Σημαίνει ότι οι χρήστες και ακόμη και τα προγράμματα πρέπει να έχουν μόνο την πρόσβαση που χρειάζονται,
τίποτα περισσότερο.
Για παράδειγμα, ένας εκπρόσωπος υποστήριξης πελατών δεν θα πρέπει να έχει δικαιώματα διαχειριστή (admin rights),
και μια εφαρμογή δεν θα πρέπει να μπορεί να γράφει σε φακέλους συστήματος εκτός αν είναι απαραίτητο.
Αν οι επιτιθέμενοι μπουν σε έναν λογαριασμό χαμηλών προνομίων, δεν μπορούν να κάνουν μεγάλη ζημιά.
Μετά υπάρχει το defense in depth.
Αυτό σημαίνει χρήση πολλαπλών επιπέδων ασφαλείας.
Ένα firewall από μόνο του δεν είναι αρκετό.
Χρειάζεστε επίσης antivirus, έλεγχο πρόσβασης, multifactor
authentication, monitoring tools και backups.
Αν ένα επίπεδο αποτύχει, τα άλλα πιάνουν την απειλή.
Το Security by design σημαίνει να σκέφτεστε την ασφάλεια
από την αρχή, όχι εκ των υστέρων.
Αυτό περιλαμβάνει τον σχεδιασμό ασφαλών ροών σύνδεσης,
την προστασία δεδομένων σε αδράνεια (at rest) και κατά τη μεταφορά (in transit), και τον σχεδιασμό για ασφαλείς προεπιλογές.
Και μετά έχουμε το zero trust.
Μια νεότερη αλλά ισχυρή προσέγγιση.
Σημαίνει να μην υποθέτετε ποτέ ότι κάποιος ή κάτι είναι αξιόπιστο,
είτε εντός είτε εκτός του δικτύου σας.
Όλοι πρέπει να κάνουν authenticate.
Κάθε συσκευή πρέπει να επαληθεύεται.
Ακόμα και οι υπάλληλοι που συνδέονται από το γραφείο πρέπει να περάσουν ελέγχους.
Το Zero trust περιορίζει την πλευρική κίνηση (lateral movement).
Έτσι, αν οι επιτιθέμενοι παραβιάσουν ένα μέρος ενός συστήματος, δεν μπορούν να κινηθούν ελεύθερα.
Ας σταματήσουμε για να αντιμετωπίσουμε μερικά κοινά λάθη.
Πρώτον, περισσότερη ασφάλεια δεν σημαίνει πάντα καλύτερη ασφάλεια.
Η υπερβολική πολυπλοκότητα μπορεί να μπερδέψει τους χρήστες και να οδηγήσει σε επικίνδυνες
παρακαμψεις (workarounds) όπως το γράψιμο κωδικών πρόσβασης σε αυτοκόλλητα σημειώματα.
Δεύτερον, η υπερβολική πρόσβαση είναι τεράστιο ρίσκο.
Παραβιάζει την αρχή του least privilege.
Το να εμπιστεύεστε τα εσωτερικά συστήματα υπερβολικά είναι συνταγή για καταστροφή.
Insider threat, misconfigurations ή παραβιασμένοι λογαριασμοί υπαλλήλων είναι πραγματικοί
κίνδυνοι.
Τα ισχυρότερα συστήματα είναι απλά, ξεκάθαρα,
και χτισμένα σε στέρεες αρχές.
Ας ανακεφαλαιώσουμε τις βασικές αρχές ασφαλείας.
Το CIA triad μας υπενθυμίζει να προστατεύουμε την
εμπιστευτικότητα (confidentiality), να διασφαλίζουμε την ακεραιότητα (integrity), και να διατηρούμε τη διαθεσιμότητα (availability).
Το Least privilege περιορίζει την πρόσβαση μόνο σε ό,τι χρειάζεται.
Το Defense in depth χτίζει πολλαπλά επίπεδα προστασίας.
Το Security by design και το zero trust.
Υιοθετήστε μια προληπτική προσέγγιση στον περιορισμό της έκθεσης.
Αυτές οι αρχές είναι το προσχέδιο για ένα ασφαλές σύστημα,
και σας βοηθούν να ανταποκριθείτε όταν συμβαίνουν επιθέσεις.
Έτοιμοι για ένα γρήγορο κουίζ;
Ώρα για κουίζ.
Τι προστατεύει το confidentiality;
Α τον χρόνο λειτουργίας του συστήματος.
Β την πρόσβαση σε πληροφορίες Γ την ακρίβεια δεδομένων.
Δ τα προγράμματα backup.
Παύση για μια στιγμή.
Η σωστή απάντηση είναι Β.
Το Confidentiality διασφαλίζει ότι μόνο εξουσιοδοτημένοι χρήστες
μπορούν να έχουν πρόσβαση σε πληροφορίες.
Τι σημαίνει least privilege;
Α όλοι έχουν πλήρη πρόσβαση.
Β οι χρήστες μπορούν να κάνουν reset τους κωδικούς άλλων.
Γ μόνο οι διαχειριστές μπορούν να χρησιμοποιούν το δίκτυο.
Δ οι χρήστες και τα προγράμματα παίρνουν μόνο την πρόσβαση που χρειάζονται.
Σκεφτείτε το.
Η σωστή απάντηση είναι Δ.
Το Least privilege περιορίζει την πρόσβαση για να μειώσει τον κίνδυνο.
Τελευταία ερώτηση
τι περιγράφει καλύτερα την προσέγγιση zero trust;
Α μην εμπιστεύεστε κανέναν χρήστη ή συσκευή από προεπιλογή.
Β εμπιστευτείτε τους πάντες μέχρι να παραβιάσουν τους κανόνες.
Γ επιτρέψτε πλήρη πρόσβαση εντός της εταιρείας.
Δ παρακολουθήστε μόνο εξωτερικούς χρήστες.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι α zero.
Trust σημαίνει επαλήθευση κάθε χρήστη και συσκευής.
Χωρίς υποθέσεις. Εξαιρετική δουλειά σήμερα.
Μάθατε τις βασικές αρχές που τροφοδοτούν το ισχυρό cybersecurity,
confidentiality, integrity, availability,
least privilege, defense in depth, και zero trust.
Αυτές οι ιδέες δεν είναι απλά θεωρία.
Θα τις δείτε
να εφαρμόζονται σε εργαλεία και συστήματα του πραγματικού κόσμου ξεκινώντας από το αμέσως επόμενο μάθημα.
Μιλώντας για εργαλεία, στη συνέχεια θα εξερευνήσουμε firewalls,
antivirus λογισμικό, και πώς σας βοηθούν να παραμείνετε προστατευμένοι.
Τα λέμε εκεί.