Что общего между ИБ и кухней?

Есть три вещи, которые меня раздражают в российских новогодних праздниках - безделье (но я научился с ним бороться), фейрверки в новогоднюю ночь до 4-х утра и бесконечная еда (кого-то еще раздражает постоянные возлияния горячительными напитками, но не меня). Вот про еду мы сегодня и поговорим :-) Когда-то я написал несколько заметок, которые проводили параллели между ИБ и ремонтом, поясом верности, женщиной, медициной, футболом, автомобилем и, наконец, фауной. Это было несколько лет назад и я решил вернуться к теме аналогий, проведя параллели между ИБ и кухней.

1. Вы готовите блюда. Будучи шеф-поваром, ваша задача приготовить блюдо, которое устроит ваших клиентов, имеющих совсем разные вкусы и разные потребности. Так и в ИБ - ваша служба должна удовлетворить их все. У кого-то изысканный вкус, у кого-то его и вовсе нет; кому-то нужны специфичные блюда по ИБ, а кого-то устроит и обычный фастфуд. При этом именно шеф службы ИБ отвечает за все.
2. У вас должно быть меню. Когда вы приходите в ресторан, вы врядли самостоятельно набираете ингредиенты и указываете поварам, как их готовить (хотя такие фишки у ресторанов бывают). Вот и в ИБ вам нужно меню, в котором будут ваши фирменные блюда, то есть сервисы ИБ, которые должны удовлетворять потребности клиентов. При этом, в зависимости от "высоты" вашей кухни у вас будут либо только типовые "блюда" - борьба с DDoS, контроль утечек, защита периметра, антивирус и т.п., либо вы сможете приготовить и рецепты высокой кухни - безопасность промышленных систем, защита ERP, BYOD, DevSecOps и т.п.
3. Вам нужны правильные ингредиенты. Качество ваших блюд зависит от ингредиентов - их качества, свежести, количества. А что является ингредиентом в ИБ? Данные, которые позволяют принимать нужные решения - события ИБ, инциденты, атаки, потоки, транзакции и т.п. От того, насколько они полны и вовремя поданы и будет зависеть ваше блюдо. Вот нет у вас событий с облачной инфраструктуры и вкус вашей безопасности уже не тот. А если у вас Netflow, то в вашем меню будут отсутствовать "блюда", связанные с внутренней ИБ. Важную роль играет и комбинация этих ингредиентов. Например, данные от оконечных устройств, скоррелированные с данными Netflow, взятые с существующей сетевой инфраструктуры, позволяют детектировать сложные атаки, а решения UEBA так и вовсе не могут функционировать без набора разных данных - от ПК, сети, СУБД, приложений и т.п.
4. Вам нужны квалифицированные повара разных специализаций. Вы смотрели сериал "Кухня"? Там повара имеют свою специализацию - кто-то кондитер, кто-то по мясу, кто-то по рыбе специализируется. В других ресторанах есть также сомелье, бариста и даже вителье (специалист по сигарам). В ИБ все тоже самое - для приготовления правильных блюд нужны специалисты разного профиля - аналитики, криптографы, писатели политик, реверсеры малвари, специалисты по расследованию и реагированию на инциденты и т.п. И все они должны быть квалифицированными и, более того, регулярно повышать свою квалификацию и компетенции.
5. Шеф-повар. Какие бы ингредиенты и повара у вас не были, кухню "играет" шеф-повар. Именно от него зависит, получит ваша кухня звезду Мишлена, не будет иметь наград, но будет славиться среди клиентов, или при наличии огромных ресурсов ваша кухня будет достойна только привокзальной столовки где-нибудь на перегоне на Кольском полуострове. Так и с CISO, от которого зависит правильный замес всех элементов - данных, безопасников, средств защиты и т.п. 
6. Вам нужна правильная посуда! Правильная, а не дорогая или широко разрекламированная. Понятно, что иногда это синонимым, но все-таки эти понятия неравнозначны. Так и в ИБ - вам нужные разные инструменты для аудита, инвентаризации, построения векторов атак, моделирования угроз, блокирования и обнаружения разных типов атак, реагирования на инциденты, мониторинга и т.п. Недорогой инвентарь (open source) может быть компенсирован классным поваром, а слайсеры или наборы поварских ножей (SOAR, SIEM, UEBA, NTA, CASB и др.) могут нивелировать некоторые слабости поваров.
7. Помещение. Кухня - это еще и помещение, от правильной расстановки мебели в которой, а также от вентиляции, освещения, давления, наличия окон и т.п. зависит очень многое. Помните, я писал про особенности дизайна и проектирования помещений для Security Operations Center (SOC)? Эта заметка неплохо показывает важность этих вопросов в обеспечении ИБ. Комнатушка, в которой толкутся и сидят на коленях друг у друга безопасники, явно не делает их работу легче (хотя и сближает).
8. Рецептура. Моя жена говорит, что я достиг идеала в приготовлении шашлыка (мне и самому нравится :-) и это не случайно. Я не являюсь кулинаром от бога, просто строго соблюдаю рецептуру. Точное количество ингредиентов, точное время приготовления, точная последовательность действия, точная подготовка мяса и маринада. Вот и в ИБ самодеятельность и хаотичность вредят результату. Нужна книга рецептов ИБ, то есть то, что иностранцы любят называть словом Playbook и Runbook. Неслучайно в названии многих книжек по ИБ или презентаций часто используют слово cookbook (кулинарная книга) или recipe book (книга рецептов). Кстати, время приготовления блюда очень важно и в ИБ - долгое расследование или несвоевременное реагирование влекут за собой ущерб, нарушение сроков внедрения системы защиты также влечет за собой ущерб, нарушение сроков согласования договора может привести к прекращению срока действия лицензии на систему защиты и ее останову, то есть опять к ущербу.
9. Анализ трендов. Вы замечали, что как и в модной индустрии, в ресторанном бизнесе есть свои течения, свои новинки, свои "горячие" блюда, которые вдруг появляются сразу во многих местах? Да, в кулинарии тоже важно отслеживать тенденции на рынке и своевременно им следовать их. В ИБ все тоже самое - анализ трендов по ту сторону баррикад (Threat Intelligence), тенденций в области технологий ИБ, в области законодательства и т.п.
10. Вы гоняетесь за "звездами Мишлена". Люди (и организации) падки на похвалу и награды. Это касается шеф-поваров, ресторанов, директоров по ИБ и ИБ-проектов. У нас в отрасли нет своего "красного гида Мишлена", но зато есть различные отраслевые награды - SC Award, Best Security Blogger, Top100 CISO, "Маяк безопасности", ЗУБР, "Информационная безопасность банков" и т.п. 
11. Проверки. Рестораны, как места общественного питания и обслуживания населения, постоянно проверяют - санэпидемстанция, налоговая, пожарники, и куча других надзорных органов. Да-да, вы поняли, куда я клоню. В ИБ тоже полно своих надзорных органов - ФСТЭК, ФСБ, РКН, ЦБ и др.
12. Правильная подача. От того, как вы подадите свое блюдо (блюда) зависит отношение к вам клиентов. Их лояльность, их желание поделиться с вами деньгами и желание посещать вашу кухню снова и снова. Так и в ИБ - от того, как вы "продаете" свои блюда целевой аудитории (преимущественно руководству вашей компании) зависит судьба службы ИБ, ее статус и ее ресурсы. Помните другую мою заметку про мониторинг бизнес-показателей со стороны SOC? Она как раз об этом. 

Дюжина совпадений. На самом деле их гораздо больше. У ИБ вообще очень много схожего с различными сферами нашей жизни и деятельности. А тему кулинарии я выбрал неслучайно - дело в том, что именно она выбрана заглавной на весеннем CISO Forum, который так и называется "XII Международный Форум CISO FORUM: Кулинарная книга CISO". Мастер-классы от шеф-поваров, разговоры об ингредиентах, гастрономические клубы, кухни разных регионов мира, разнообразное меню, выставка инструментов... А в качестве вишенки на торте - настоящая кулинарная книга рецептов от руководителей служб ИБ российских предприятий. Кстати, если вы любите и умеете готовить, у вас есть любимые рецепты и вы готовы поделиться своей тайной с коллегами, то вы тоже можете поучаствовать в создании кулинарной книги рецептов CISO - присылайте свои рецепты организаторам мероприятия!

До встречи на CISO Forum!

ЗЫ. Я на CISO Forum планирую проводить киберучения и, возможно, будет еще что-то - пока есть время до мероприятия и формирования моих планов.

Подробнее…

Козлы и тигры информационной безопасности

На Дальинфокоме, который проходил в начале этой неделе во Владивостоке, я должен был читать презентацию с претензионным названием про дружбу козла Тимура и тигра Амура, которые ворвались в новостное поле российских СМИ и на долгое время задержались там ввиду нестандартности ситуации - хищник дружит со своим обедом. Ну и учитывая, что место этой дружбы находилось аккурат на Дальнем Востоке (вдаваться в разницу между Дальним Востоком и Приморьем я сейчас не буду :-), то мне показалось достаточно забавным назвать свою презентацию именно так. Именно в этом месте и в это время такое название было бы воспринято вполне адекватно, чего не скажешь о других регионах России (возможно). Но не самая лучшая организация (и смена организаторов) Дальинфокома привела к тому, что мое выступление отменилось; подозреваю, что даже и не предполагалось с самого начала :-(

Поэтому я не стал выкладывать презентацию в общий доступ, оставив ее в моих закромах на будущее. Однако три круглых стола, в которых мне довелось поучаствовать в рамках Дальинфокома, заставили меня немного пересмотреть свое решение - я все-таки выдерну несколько слайдов из презентации для визуализации того, о чем я хотел бы рассказать. Я думаю не столько долго погружаться и рассказывать, что такое тигры и козлы. Два вполне понятных и знакомых многим вида животных, один из которых пожирает другого. Причем часто второго отдают в качестве обеда первому (в зоопарках и сафари-парках так уж точно - дружба Тимура и Амура началась именно с этого "знакомства").

Если перевести этих представилетей фауны на область информационной безопасности, то окажется, что аналогия будет вполне уместной; причем сразу с множества сторон. Козлы могут предстать и в виде обманной системы, заманивающей хищников (хакеров) в ловушку. Тигры служат хорошей иллюстрацией как для хакеров, пожирающих (вламывающихся в информационные системы) ни в чем неповинных травоядных, так и для Tiger Team, занимающихся тем же самым, но с благими намерениями. Однако остановиться мне хотелось бы на другой аналогии, которая уравнивает российские госорганы с сакральной жервтой, которую государство по сути отдает на заклание хакерам.

Ведь если вдуматься, то так и происходит, и дискуссия на Дальинфокоме лишний раз меня в этом убедила. Государству нет дела до кибербезопасности госорганов и тем более муниципальных учреждений. Иначе как еще объяснить тот факт, что бюджеты на ИБ в госорганах урезаются, зарплаты специалистов по защите информации тоже не ахти какие, при этом самих специалистов не хватает, а штатных единиц под них не выделяют. Вспомним майское ПП-399 - оно как бы есть, но непонятно кто и за чей счет его будет выполнять. Потому что все понимают, денег нет, а ИБ госорганов в приоритеты государства не входит.

На Дальинфокоме, выступая в качестве адвоката дьявола, я все время пытался задать участникам простой вопрос - зачем им кибербезопасность? Угроз (массовых) у них нет. Штрафов за несоблюдение законодательства нет. Экономика для государственного или муниципального предприятия в ИБ почти отсутствует. Что движет госами в области ИБ? Энтузиазм? Привычка? Некоторые коллеги, участвующие в круглом столе, говорили, что угрозы есть, но мы про них не знаем. Штрафов нет, но есть увольнения чиновников за несоблюдение защитных мер. На мой вопрос про публичность этих фактов (и угроз, и увольнений), которые стали бы замечательным драйвером этой темы (как было у Роскомнадзора с персданными), полное молчание. Никто не хочет выносить сор из избы и самое главное сам регулятор (что ФСТЭК, что ФСБ) тоже этого почему-то не делают. Хотя на мой взгляд такая публичность сыграла бы им на руку и не пришлось бы лишний раз доказывать нужность занятий по кибербезопасности.

С ФСТЭК вообще ситуация не очень однозначная на сегодняшний день. Несколько лет подряд я хвалил этого регулятора, считая, что он выпустил и планирует выпустить очень нужные документы. 17-й, 21-й, 31-й приказы... Да, все так, но... с момента выхода этих приказов пока ФСТЭК больше ничего и не выпустил из обещанных документов. Где обещанная еще в 2015-м году методика моделирования угроз? Согласно новостям с прощедшей недавно InfoSecurity Russia, выход документа опять сдвинут - теперь на 2017-й год. А ведь еще в феврале срок был другой - март 2016-го. Как и проект новой редакции 17-го приказа, которую обещали выпустить для ознакомления и сбора комментариев осенью этого года. И где?

Документы по АСУ ТП тоже сдвинуты по срокам выхода и тоже на 1,5-2 года от ранее озвученных дат.

С требованиями по различным типам средств защиты и вовсе произошла детективная история. В озвученной на InfoSecurity Russia презентация список планируемых документов выглядт так:

Все бы ничего, но в феврале список был иной. В нем, например, присутствовали требования к SIEM, которые сейчас исчезли из перечня, а вместо них появились средства регистрации событий (возможно это тоже самое, а возможно и обычные менеджеры логов). И средства управления потоками информации тоже исчезли. Зато появились средства, которые в феврале отсутствовали, но присутствовали в версии аналогичной презентации от 2014-го года. То ли это связано с тем, что слайды брались из старой презентации и их забыли обновить, то ли ФСТЭК действительно опять поменяла свои планы по выпуску документов; не только с точки зрения сроков, но и номенклатуры.

В январяе в банке данных угроз было 182 записи, а в сентябре... 186. За 9 месяцев всего 4 новых угрозы?! И это при том, что в феврале говорилось о нахождении на стадии рассмотрениия аж 140 новых угроз. И где они?

Идем дальше. Межсетевые экраны. В феврале появился долгожданный 9-й приказ ФСТЭК о введении в действие новых требований к МСЭ. Сами требования к МСЭ (профили защиты) появились на сайте ФСТЭК только 12-го сентября и, что самое интересное, ФСТЭК грозится аннулировать сертификаты и решения на сертификацию МСЭ по старым требованиям с 1-го декабря этого года. Иными словами на то, чтобы пройти сертификацию по новым требованиям у заявителей есть всего 2 с половиной месяца (уже два).

Мне довелось пообщаться на InfoSecurity Russia с отечественными и западными разработчиками МСЭ и они, мягко говоря (а иначе за использование нецензурных выражений блог заблокирует Роскомнадзор), недоумевают. Даже отечественные разработчики жалуются в кулуарах, что не успеют сертифицироваться до 1-го декабря и уповают на то, что ФСТЭК выпустит информационное сообщение о сдвиге срока применения новых сертификатов хотя бы на весну 2017-го года. А если нет? На Дальинфокоме меня об этом спрашивали заказчики из госорганов. Что им-то делать? Думаю, что вопрос все-таки разрешится, но сейчас не о нем, а о том, почему проблема вообще возникла? Опять срыв сроков.

У ФСТЭК наблюдается катастрофическое несоблюдение ими же и озвученных дат выхода нормативных документов. И оно и понятно - они просто "зашиваются". Людей не хватает, руководство идет на повышение, прибавляется забот, рутина заедает, подбрасываются новые, более приоритетные задачи... Но старые дела и данные обещания никто не отменял... В итоге коллизия, которая будет только разрастаться. Я не предвижу ничего хорошего с точки зрения выпуска новых требований по безопасности и вполне допускаю, что многие из обещаний опять будут сдвинуты на еще более дальние сроки.

А страдают кто? Опять же госорганы. Это коммерческое предприятие может "забить болт" на требования сертификации или на иные документы регулятора и жить своим умом. Ни госы, ни муниципалы такой свободы позволить себе не могут. А регулятор бросает их на произвол судьбы, не имея физической возможности им помочь, и не желая озвучивать эти проблемы публично. Видимо надеятся на то, что успеют или проблема не всплывет. Мне знакомо это чувство, когда подходит крайний срок решения задачи, а к ее решению я даже не приступал. После дедлайна наступает либо апатия (а гори оно все синим пламенем), либо тебя нахлобучивает начальство за срыв обещаний. А кто может нахлобучить ФСТЭК? И за что? В плане нормотворческой деятельности ФСТЭК все обещанные документы не значатся (кроме парочки). А значит формально и взятки гладки.

А госорганы ждут. Ждут требований, ждут сертифицированных продуктов. На Дальинфокоме также озвучивалась проблема, что ФСТЭК, перейдя на сертификацию по профилям и новым РД, отказывается теперь сертифицировать по техническим условиям. И разослала соответствующие циркуляры по испытательным лабораториям. А что делать, когда РД на то или иное средство защиты еще нет? Например, на сканер безопасности или DLP или промышленный антивирус? Брать на себя ответственность и использовать несертифицированные СрЗИ? Не каждый госорган готов пойти на это. И получается дыра в системе безопасности, которой и пользуются "хищники". А госорган становится крайним, то есть козлом отпущения :-(

Вот такая аналогия с миром дикой природы родилась в процессе подготовки к участию в круглых столах по безопасности на Дальинфокоме. Будем надеяться, что хищники успеют "пожрать" не все госы и среди них найдутся "Тимуры", которые будут способны противостоять "тиграм" мира информационной безопасности, пока руководство зоопарка решает, как жить дальше.

Подробнее…

Урок из Домодедовской трагедии

Очень редко я пишу не про информационную безопасность в этом блоге, но после трагедии в Домодедово решил-таки эту заметку опубликовать. Тем более, что она все-таки имеет прямое отношение и к теме ИБ, регуляторов, необдуманных заявлений и т.д. Итак вспомним, что сейчас говорят про эту трагедию наши чиновники, следователи, прокуроры, сотрудники национального антитеррористического комитета и даже сам Президент. Мол администрация Додомедово "нарушала", "не соблюдала", "не обеспечила"... На первый взгляд правильные слова. Если не брать в расчет, что практически ни в одном крупном аэропорту мира НЕТ контроля при входе в зону прилета и вылета. Я полетал достаточно много - и в США, и в Европе, и в Азии, и даже в Африке и нигде такого требования нет. Да и в России контроль всех входящих в здание аэропорта обычно обеспечивает только в региональных аэровокзалах с очень незначительным пассажиропотоком. В Москве это просто нереально. И дело даже не в затратах, а в теоретической невозможности реализации требования, предъявляемого к Домодедовской администрации.

Возьмем калькулятор и посчитаем. Стандартная длительность работы аэропорта Домодедово - около 20 часов в день (есть где-то 4 часа ночью, когда самолеты не летают и пассажиропоток почти отсутствует). 20 часов - это 72000 секунд. Сколько обычно времени уходит на проход через рамку металлодетектора (и не только металло-)? Я засекал - около 10 секунд с момента поклажи ручной клади на транспортер и заканчивая взятием ее оттуда. Это почти идеальный вариант, когда у вас нет чемодана, вы не ищете по карманам мелочь, вам не надо проходить повторно, вы не мешкались перед рамкой (как это бывает у пожилых и женщин). Т.е. 10 секунд на одного человека. Теперь делим 72000 на 10 и получаем, что при непрерывном потоке посетителей аэропорта, одна "рамка" может пропустить через себя всего около 7000 человек в сутки (в идеале). Сколько входов в Домодедово? В теории - 5. Умножаем 5 на 7000 и получаем максимальную пропускную способность металлодетекторов Домодедово - 35000 посетителей (даже не пассажиров).

На практике все немного иначе и основной поток идет через 2-й и 3-й входы. 4-й обслуживает Аэроэкспресс и автовладельцев долговременной парковки. 0-й и 1-й обслуживает обычно тех, кто прилетел на международных рейсах и идет на кратковременную парковку. Соответственно реальная пропускная способность юудет ниже - я бы предположил значение около 27000 посетителей.

А теперь смотрим на статистику. 2-го января 2011 года Домодедово установил рекорд - через него улетело 47000 пассажиров. Если предположить, что этот рекорд связан с новогодними праздниками и в будничный день через Домодедово улетает около 40000 пассажиров, то мы имеем принципиальную невозможность контроля всех посетителей. Осталось только добавить, что помимо улетающих в аэропорт заходят провожающие, встречающие, таксисты, персонал авиакомпаний и персонал аэропорта - всего около 50000 человек в день.

Среднегодовой рост пассажиропотока в Домодедово - 20%. Расчеты показывают, что даже если в фронтальной стене сделать еще 4 входа, работающих в том же режиме, что и 2-й и 3-й, то Домодедово все равно будет не в состоянии проверять всех входящих в его чрево.

Спрашивается, думает кто-нибудь из тех, кто заявляет о неспособности Домодедово защитить пассажиров, о реальной безопасности? Или они только пиарятся и демонстрируют свою "нужность" высшим властным чинам.

ЗЫ. Добавлю, что в Шереметьево ситуация еще хуже, чем в Домодедово. Я как раз в понедельник вылетал из Шереметьево и вариантов бесконтрольного прохода на его территорию видел немало. И это при том, что там пассажиропоток гораздо ниже, чем у Домодедово и в теории они способны проверять каждого.

ЗЗЫ. Не исключаю, что в ближайшее время опять поднимется вопрос о приватизации Домодедово (как это было пару лет назад). И причину искать не надо - все на поверхности - неспособность беспокоиться о безопасности граждан. Как будто государство способно... Но это уже вопрос риторический.

ЗЗЗЫ. Ну а в ИБ ситуация аналогичная. Прежде чем внедрять средства защиты стоит посчитать с калькулятором в руках - выдержит ли система защита не только текущую нагрузку (включая и пиковые значения), но и нагрузку годика через 3-5 (именно столько во многих компаниях "живет" система защиты).

Подробнее…

Что общего между безопасностью и футболом?

Продолжая тему аналогий, выкладываю презентацию двухлетней давности о том, что общего между безопасностью и футболом ;-)

Security and football: what's difference

View more documents from lukatsky.

Подробнее…

Что общего между безопасностью и автомобилем

Читая комментарии к заметке о "кляче, телке и безопасности", вспомнил, что около 3-х лет назад делал презентацию на тему "Что общего между автомобилем и информационной безопасностью?". Вот и решил ее выложить сюда ;-)

South Africa.pdf

View more documents from lukatsky.

PS. Почему презентация называется "South Africa"? Просто я ее читал там ;-)

Подробнее…

Безопасность бизнеса: сканун или кляча?

Наткнулся тут на интересную картинку и решил ее транслировать на область ИБ. Получилось прикольно и интересно ;-)

Подробнее…

Информационная безопасность по Дарвину

2 с лишним года назад я написал статью "Звериный оскал информационной безопасности". И совсем недавно с удивлением обнаружил, что идея, лежащая на поверхности, пришла не только мне. На сайте "Дарвиновская безопасность" можно найти ссылки на различные книги, публикации и материалы, которые показывают как такие дисциплины, как экология, биология, психология, палеонтология, палеология, вирусология и т.п. находят свое применение в борьбе против различных угроз - от терроризма до природных катастроф. Может применяться данный подход и к информационной безопасности.

На YouTube выложена лекция по данной теме (на 1ч. 18 мин.).

Подробнее…

Безопасность в аналогиях

Для того, чтобы донести какую-нибудь сложную мысль до широкой общественности, одним из способов является использование метода аналогий. Несколько лет назад я хотел запустить специальный сайт с аналогиями, но руки так и не дошли. Но зато перо не простаивает ;-) Вчера опубликовал 5-ую статью из серии "Безопасность в аналогиях" - "Ремонт квартиры и информационная безопасность: что общего?"
http://www.securitylab.ru/opinion/306307.php.

До нее были:
- "Звериный оскал безопасности" (http://www.securitylab.ru/contest/285834.php)
- "Что обшего между защитой информации и женщиной"
(http://www.securitylab.ru/opinion/293626.php)
- "Безопасность корпоративного младенца" (http://www.medicina-online.ru/articles/40277/)
- "Играя в безопасность, или что общего между футболом и защитой информации" (http://bugtraq.ru/library/misc/football.html).

На подходе у меня обновленная версия футбольной аналогии, а за ней последует еще автомобильная тема. Дальше я пока не думал. Может и еще что родится...

Подробнее…