Компьютерная безопасность или информационная безопасность автоматизированных систем
Технологии защиты информации включают способы противодействия направленным атакам, профилактику внутрикорпоративной безопасности. Правильный выбор, применение, администрирование СЗИ (средств защиты информации) гарантирует, что важные сведения компании не попадут в чужие руки.
Наряду с несанкционированными действиями третьих лиц зачастую периметр безопасности информации прорывается изнутри. Даже не по злому умыслу, просто человеческий фактор – та же невнимательность. Из нашего материала вы узнаете об основных средствах и технологиях защиты информации от злоумышленников.
Наиболее важные специальности в ИБ
Здесь много возможных вариантов ответа, поскольку специальности можно делить на разные типы и разновидности. Кроме того, можно долго спорить, какие направления в ИБ всех главнее. Поэтому сделаем субъективное выделение трех важных направлений работы:
Пентестер. Мы живем в мире приложений, они везде — в смартфоне, ноутбуке, на стационаре и даже в холодильнике. К сожалению, далеко не все разработчики ПО имеют более-менее продвинутые навыки в информационной безопасности. А если и так, то уязвимость может возникнуть при взаимодействии, например, фронтенда приложения с бэкендом. Ошибки могут быть и в написанном коде. Эксперт, который может подсказать, как защитить приложение или сервис от взлома — весьма ценный специалист.
Пентестер (penetration tester) — по сути, белый хакер. Его задача — исследование безопасности веб-сайтов, мобильных приложений, программных платформ и т.п. В отличие от злоумышленников, которых за их деятельность ждет наказание, пентестеры за обнаружение уязвимости получают бонусы. Среди пентестеров есть и фрилансеры — это, зачастую, охотники за Bug Bounty, вознаграждением, предлагаемым какой-либо компанией за обнаружение уязвимости в ее сервисе или приложении. Кстати, факультет информационной безопасности GeekBrains готовит, в том числе, пентестеров. Об успехах некоторых студентов мы планируем опубликовать отдельную статью.
Специалист по безопасной разработке приложений. Такой эксперт уже не просто ищет потенциальные уязвимости используя готовые инструменты или тулзы собственной разработки. Он способен разобраться в коде проектов, написанных на разных языках программирования, определить типовые ошибки кода и указать разработчикам на их наличие. В своей работе специалист использует различные инструменты, использует статический и динамический анализ кода, знает разные инструменты и способен выступать в качестве эксперта для команды разработки. Он может указать разработчикам на потенциально уязвимые части кода, которые необходимо переписать.
Специалист по ИБ широкого профиля. Здесь речь о профессионалах, которые могут быть экспертами в 2-3 направлениях информационной безопасности и хорошо разбираться еще в 4-5 смежных направлений. Такие профессионалы могут погружаться в экспертизу и выступать в качестве консультантов или архитекторов сложных высоконагруженных проектов.
Основы информационной безопасности автоматизированных систем
Вышеупомянутая система представляет собой организационно-техническую структуру, которая состоит из определенных элементов и обеспечивает автоматическую обработку данных. Она удовлетворяет потребности участников информационных отношений в получении определенных сведений.
Принято выделять 4 ключевых компонента автоматизированной системы:
- Комплекс технических средств, обеспечивающих ввод, обработку, преобразование, хранение и передачу данных (различное техническое оборудование).
- Программное обеспечение (программы и программная документация).
- Специалисты, обслуживающие автоматизированные системы.
- Информация, размещенная на носителях.
Перейдем к понятию безопасности автоматизированной системы. Под ней понимают защиту системы и всех ее составляющих от преднамеренного или непреднамеренного нежелательного воздействия.
Основы информационной безопасности автоматизированных систем
Информационная безопасность автоматизированных систем – область науки и техники, которая активно развивается в последние десятилетия. Ее обеспечивают математические, программно-аппаратные, криптографические, правовые и организационные способы защиты. Важно сделать это на всех этапах работы с информацией: при ее приеме, обработке, хранении, отображении и передаче в системах.
Основной целью обеспечения безопасности автоматизированной системы является защита участников информационного взаимодействия от ущерба, который они могут понести в результате вмешательства в работу системы, а также воздействия на саму информацию или отдельные компоненты АС.
Процесс обеспечения безопасности АС неотделим от понятия информации. Она является одним из важнейших компонентов автоматизированной системы. Рассмотрим, что такое информация и информационные ресурсы, и дадим определение этим понятиям.
Под информацией понимают сведения об окружающем мире, а также происходящих в нем процессах и явлениях. Информация лежит в основе решений, которые принимаются с целью оптимизации управления автоматизированной системой. Она может иметь различные формы и обладать теми или иными свойствами. Управление свойствами информации позволяет получить оптимальное решение.
Взаимодействие субъектов с информационными ресурсами ведет к возникновению отношений, которые и называются информационными. В свою очередь участвующие в этих отношениях субъекты определяются как субъекты информационных отношений.
Выделяют 3 категории субъектов информационных отношений: государство (в целом, а также различные органы государственной власти, ведомства и государственные организации), юридические лица и объединения, граждане (физические лица).
Виды угроз информационной безопасности
Угроза — любое действие, потенциально способное нанести урон информационной безопасности. Атака — ситуация, которая предполагает такую угрозу, а планирующий её человек — это злоумышленник. Потенциальными злоумышленниками являются все лица, способные нанести вред.
Самая распространенный случай здесь — ошибки специалистов, которые работают с информационной системой. Это могут быть непредумышленные действия, вроде ввода некорректных данных и системного сбоя. Такие случайности являются потенциальной угрозой, из-за них в системе появляются уязвимые места, которые используют злоумышленники. В качестве технологии защиты информации в сети здесь могут выступать автоматизация (минимизация человеческого фактора) и административный контроль.
Что является источником угрозы доступности?
- Отсутствие у специалиста должной подготовки в работе с информационными системами.
- Низкая мотивация обучаться.
- Нарушение правил и алгоритмов работы (умышленное или нет).
- Отказ программного обеспечения.
- Отсутствие технической поддержки.
- Ошибки при переконфигурировании.
- Внештатная ситуация, которая приводит к выходу поддерживающей инфраструктуры из обычного режима (увеличение числа запросов или повышение температуры).
- Физическое нанесение вреда поддерживающей инфраструктуре (проводам, компьютерам и так далее).
Чаще всего потенциальная опасность угрожает самим данным. Но как мы видим из списка выше, под угрозой находится и инфраструктура, которая обеспечивает их работу. Это могут быть сбои на линии, поломка систем снабжения, нанесение физического вреда оборудованию.
Основная угроза целостности – это кража и подделка, которые также чаще всего осуществляются работниками компании.
Известная американская газета USA Today опубликовала любопытные данные по этому вопросу. Еще в 1992 году, когда компьютеры играли не такую большую роль, общий нанесенный ущерб от такой угрозы составил 882 000 000 долларов. Сейчас эти суммы значительно выше.
Давайте рассмотрим, что может стать источником угрозы целостности?
- Изменение данных.
- Ввод некорректных сведений.
- Подделка части информации (например, заголовка).
- Подделка всего файла.
- Внесение дополнительной информации.
- Дублирование.
- Отказ от исполненных действий.
Стоит обратить внимание, что угроза нарушения целостности касается не только данных, но и самих программ.
- Базовые угрозы конфиденциальности
Сюда относится использование паролей для несанкцинированного доступа злоумышленниками. Благодаря использованию этих данных они могут получить доступ к частной информации и конфиденциальным сведениям.
Команда GeekBrains совместно с международными специалистами по развитию карьеры подготовили материалы, которые помогут вам начать путь к профессии мечты.
Подборка содержит только самые востребованные и высокооплачиваемые специальности и направления в IT-сфере. 86% наших учеников с помощью данных материалов определились с карьерной целью на ближайшее будущее!
Скачивайте и используйте уже сегодня:
Топ-30 самых востребованных и высокооплачиваемых профессий 2022
Подборка 50+ ресурсов об IT-сфере
ТОП сервисов и приложений, на которые следует перейти уже сегодня
3,7 MB
Что служит источником угрозы конфиденциальности?
- Применение одинаковых паролей на всех системах.
- Использование многоразовых паролей и сохранение их в ненадежных источниках, к которым могут получить доступ посторонние люди.
- Размещение данных в месте, которое не гарантирует конфиденциальность.
- Презентация оборудования с конфиденциальными данными на выставках.
- Применение технических средств злоумышленниками (программы, считывающие введенный пароль, подслушивающие устройства и так далее).
- Оставление оборудования без присмотра.
- Размещение данных на резервных копиях.
- Использование информации в множестве источников, что значительно снижает её безопасность и приводит к перехвату.
- Злоупотребление полномочиями и нарушение рабочей этики сотрудниками.
Основная суть угрозы конфиденциальности — данные становятся уязвимыми и из-за этого злоумышленник получает к ним доступ.
Суть информационной безопасности
Информационной безопасностью называют определенные условия, при которых ценные сведения защищены от любых внешних воздействий (естественных и искусственных). Взлом таких данных и поддерживающей их инфраструктуры, как правило, может навредить владельцу.
Выделяют три составляющих информационной безопасности:
- Целостность – один из важнейших компонентов, когда данные являются руководством к действию. Например, к таким относится защита рецептов фармацевтических препаратов, дорожных карт, технологические процессы. В случае получения их не в полном объеме, под угрозой могут оказаться жизни людей. Искажение информации из официальных источников, сайтов государственных структур или законодательных актов может также нанести значительных ущерб.
- Доступность – возможность получить необходимые данные в короткие сроки. Сведения должны быть актуальными, полными и не противоречить друг другу. А также быть защищенными от любых несанкционированных воздействий.
- Конфиденциальность – своевременное принятие мер для ограничения несанкционированного доступа к данным.
Решение проблем, связанных с защитой информации, должно основываться на научном подходе и быть методологически верным. Первым шагом в этом случае станет выявление субъектов информационных отношений и использования систем сбора данных, сопряженных с ними. Методы поиска, сбор и хранения сведений также могут являться угрозой для их сохранности.
К технологиям физической защиты информации относится также вся поддерживающая инфраструктура, которая обеспечивает сохранность данных. Это системы тепло-, электро- и водоснабжения, кондиционеры, коммуникации и каждый человек, который занимается обслуживанием предприятия и оборудования.
Ущерб от нарушения информационной безопасности можно выразить в денежном эквиваленте, но невозможно застраховать себя абсолютно от всех рисков. С экономической точки зрения использование некоторых видов технологии защиты информации и профилактических мероприятий обойдутся дороже потенциальной угрозы. То есть некоторые виды воздействия допускаются, а другие нет.
Получите подборку бесплатно (pdf 2,5 mb)
Существует также неприемлемый ущерб, к которому относится нанесение вреда здоровью людей или окружающей среде. Тогда финансовая составляющая уходит на второй план. В любом случае первоочередная задача информационной безопасности — снижение любых убытков до приемлемого значения.
Цели кибератак
Для начала приведем любопытную статистику. Согласно мировым исследованиям, только за прошлый год 91% компаний подвергались кибератакам хотя бы раз. Если взять Россию отдельно, то статистика не лучше — 98% фирм сталкивались с внешними атаками. Еще 87% получили урон из-за внутренних угроз (утечке сведений, некорректных действий сотрудников, заражение программами и так далее).
Ущерб только от одного «нападения» злоумышленников может составить 800 тысяч рублей. Несмотря на все это, четверть российских компаний не используют никакие технологии защиты информации в сети интернет и телекоммуникационных сетях. Даже стандартные методы, вроде антивирусных программ.
Цели кибератак
Новые вирусы создаются постоянно, автоматические системы фиксируют более 300 тысяч образцов вредоносных программ ежедневно. Они способны нанести значительный урон пользователям и фирмам, таких случаев в истории предостаточно. Например, в США злоумышленники взломали систему магазина Target и получили данные о 70 миллионах кредитных карт их клиентов.
С какой целью совершаются кибератаки?
Компании хотят получить доступ к коммерческой тайне конкурентов, к персональным данным клиентов и сотрудников. Участились случаи атак, которые получили название MiniDuke. Они направлены на государственные и дипломатические структуры, военные учреждения, энергетические компании, операторов связи.
В чем отличия информационной безопасности от компьютерной? И что более перспективно?(В каком направлении специалисты больше ценятся, и кто нужнее). И где больше програмирования?
Простой 11 комментариев
Информационная - про зачиту информации.
В том числе на бумажных носителях.
Компбтерная - про защиту компьютерных сетей.
Programist18946, ну в it-сфере программисты гораздо более востребованы, чем оба вышеназванных направления вместе взятых во много раз.
Разницы нет никакой, это как спорить про значение терминов аналитик ИБ, специалист по ЗИ, инженер-аналитик по ИБ, консультант по ИБ, менеджер ИБ…
Нигде. Его там вообще может не быть.
ИБ - это огромная область, в которой направлений, поднаправлений и субподнаправлений примерно столько же, сколько в системном администрировании. Некоторые из них - про программирование, а некоторые - сугубо про людей. А в небольших конторах ИБ-шник, как правило один, ну редко два-три. И он делает все, в том числе и "про людей" тоже. И работа запросто может оказаться неприятной, грязной (в моральном смысле), крайне неэстетичной.
А также бумаги, бумаги, бумаги. Не лишним также будет знание законодательства.
ИБ это в первую очередь бумаги, тонны бумаг и регламентов. Это знание закона и различных ведомственных инструкции.
Я бы сказал, это вообще ближе к юристу или к охране труда чем к ИТ.
Но поскольку это информационная безопасность, то там есть элементы необходимы для составления модели угроз, в том числе специалист по ИБ должен понимать основы программирования и системного администрирования.
Но ИБ это не про хакеров, это все фантазии.
"Практическая" ИБ, т.е. те люди которые непосредственно реализуют, то что прописал специалист по ИБ, это как правило системные администраторы, очень редко разработчики.
И бывает, что инфраструктура для бумажки и инфраструктура для работы, это две разные инфраструктуры.
Работа не благодарная, въедливая, поскольку основная функция всего этого мероприятия объяснить почему нужно потратить в 2-10 раз больше денег за тот же самый результата и что и кому будет если так не сделать, ну и почему теперь все будут работать с кучей дополнительных неудобств.
англ. Information Security, а также — англ. InfoSec - практика предотвращения несанкционированного доступа, использования, раскрытия, искажения, изменения, исследования, записи или уничтожения информации. Это универсальное понятие применяется вне зависимости от формы, которую могут принимать данные (электронная или, например, физическая). Основная задача информационной безопасности - сбалансированная защита конфиденциальности, целостности и доступности данных, с учётом целесообразности применения и без какого-либо ущерба производительности организации.
Раздел информационной безопасности, характеризующий невозможность возникновения ущерба компьютера, превышающего величину приемлемого ущерба для него от всех выявленных и изученных источников его отказов в определённых условиях работы и на заданном интервале времени.
Также, это меры безопасности, применяемые для защиты вычислительных устройств (компьютеры, смартфоны и другие), а также компьютерных сетей (частных и публичных сетей, включая Интернет). Поле деятельности системных администраторов охватывает все процессы и механизмы, с помощью которых цифровое оборудование, информационное поле и услуги защищаются от случайного или несанкционированного доступа, изменения или уничтожения данных, и приобретает всё большее значение в связи с растущей зависимостью от компьютерных систем в развитом сообществе.
Компьютерная безопасность - это более прикладная область информационной безопасности. Больше программирования в информационной безопасности. А хорошие специалисты ценятся в любой области, эксперты - так вообще, на вес золота.
Информационная безопасность – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры. Информационная безопасность не сводится исключительно к защите информации. Субъект информационных отношений может пострадать (понести убытки) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в обслуживании клиентов.
Под безопасностью информации понимается такое ее состояние, при котором исключается возможность просмотра, изменения или уничтожения информации лицами, не имеющими на это права, а также утечки информации за счет побочных электромагнитных излучений и наводок, специальных устройств перехвата (уничтожения) при передаче между объектами вычислительной техники. Также к информационной безопасности относится защита информации от непреднамеренного уничтожения (технические сбои).
Защита информации – это совокупность мероприятий, направленных на обеспечение конфиденциальности и целостности обрабатываемой информации, а также доступности информации для пользователей.
Конфиденциальность – сохранение в секрете критичной информации, доступ к которой ограничен узким кругом пользователей (отдельных лиц или организаций).
Целостность – свойство, при наличии которого информация сохраняет заранее определенные вид и качество.
Доступность – такое состояние информации, когда она находится в том виде, месте и времени, которые необходимы пользователю, и в то время, когда она ему необходима.
Цель защиты информации является сведение к минимуму потерь в управлении, вызванных нарушением целостности данных, их конфиденциальности или недоступности информации для потребителей.
Официальная часть (процедура копировать-вставить с Интернетов) закончена. Теперь неофициальная. Из практики.
Статья эта написана для руководителей компаний, для которых правила НБ РК (регулятора) неприменимы.
Как большая часть руководителей (и не очень) понимают «информационную безопасность»?
Что имеют ввиду работодатели (компании), когда размещают вакансии с упоминанием словосочетания «Информационная безопасность»?
Из практики большая часть ассоциируют информационную безопасность с какими-то техническими средствами, например устройство защиты сети (firewall) или программным обеспечением по слежке за сотрудниками (так называемые DLP — data loss prevention) или антивирусом.
Вышеупомянутые средства относятся к информационной безопасности, но никак не гарантируют сохранность объекта защиты (информации), ее целостность и доступность. Почему?
По очень простой причине — обеспечение информационной безопасности — это процесс, а не какое-либо устройство, программное обеспечение, которые, как большая часть руководителей (и не только) думают, что являются панацеей и защитой.
Возьмем для примера небольшую торговую компанию, с количеством пользователей 50 штук. Под пользователями подразумеваются все сотрудники, имеющие доступ в информационную систему (ИС) компании посредством какого-либо устройства (компьютер, ноутбук, планшет, мобильный телефон). Под доступом в ИС подразумевается любой доступ — к электронной почте, в сеть Интернет, к базам данных, файлам и т.д.
Злоумышленник таким образом получает доступ в вашу сеть, впоследствии тихо разворачивает свою деятельность и вуаля! В один «прекрасный» день вы вдруг обнаруживаете (нужное подчеркнуть):
- все ваши базы данных зашифрованы. К вам на почту пришло письмо с требованием выкупа;
- все ваши файлы уничтожены. К вам на почту пришел смайлик :) ;
- ваша сеть просто не работает;
- данные ваших клиентов были размещены на каких-либо сайтах;
- ваше реальное положение дел узнали ваши конкуренты;
- ваши реальные финансовые показатели стали общедоступными;
- поставщик вам предъявляет какие-то претензии по недавно подписанному вами контракту (нарушение целостности информации). Контракт был изменен злоумышленником накануне подписания (его уже проверили ваши юристы, бухгалтеры, коммерческий директор и прочие официальные лица) и сохранили его в папке на сервере. c камер наблюдения, где вы с вашей секретаршей танцевали на столе в трусах из скрепок каким-то образом попала к вашей супруге;
- и т.д и т.п.
Многие возмутятся — все это страшилки. Аргументы обычно следующие:
- у нас есть резервные копии;
- у нас стоит firewall самой последней модели который настроила самая крутая в стране компания по ИБ;
- у нас стоит самый дорогой антивирус;
- у нас.
Кто может назвать себя специалистом по ИБ?
Как и во многих других технических специальностях, в инфобезе специалист — тот, кто обладает значительным техническим бэкграундом. У такого человека должен быть солидный опыт практической работы с разными технологиями (какими именно — поговорим ниже), но должна быть на высоте и теоретическая подготовка. Плюс ко всему, и это то, чего нет в большинстве других специальностей — он должен неплохо разбираться и в комплаенсе, т.е. знать законодательные нормы и требования области защиты информации и информационной безопасности в целом.
Хороший эксперт по кибербезопасности — практик, который знает, как примерно мыслит злоумышленник и какие инструменты киберпреступник может применить. Из всех методик и векторов атак около 80% известны специалистам, что позволяет применяя существующие средства защиты успешно бороться с ними. 20% — это уязвимости нулевого дня, новоизобретенные методы взлома и т.п. Профессионал должен быть всегда начеку для того, чтобы вовремя среагировать.
Устройство безопасности (firewall)
Основная угроза информации — ее конфиденциальности, целостности и доступности (CIA) обычно исходит изнутри. Недовольные сотрудники, вышеупомянутые начальники, бухгалтеры (со своими зараженными флешками побывавшие в рассаднике вирусов — налоговой), рядовые сотрудники. Часто на вопрос «а есть ли у вас документированные процедуры доступа к ИС» многие отвечают непонимающим взглядом — «это что?». Или вопрос «производились ли проверки внешнего (и внутреннего) периметра сети квалифицированными людьми на предмет безопасности» — это зачем? Это затем, что все это относится к той же информационной безопасности. Из практики большая часть компаний ни того, ни другого, ни третьего не имеют, никогда не делали или вообще не знают, зачем это надо (но тем не менее пишут в вакансиях «обеспечение информационной безопасности»). Firewall не панацея. Это техническое средство, предназначенное для защиты как внешнего, так и внутреннего периметра вашей ИС. И несмотря на его стоимость, он не обеспечит вам защиты, если настроен он дилетантом. Это можно сравнить со стрельбой из оружия — оно может быть дорогим, но не гарантирует попадания в цель неумелому стрелку (плохому танцору).
Сколько получает эксперт по ИБ?
Разброс зарплат довольно большой, как обычно, все зависит от региона и специальности. Но оплата труда специалиста по информационной безопасности сейчас достойная, а ее размер понемногу увеличивается. Во многом рост обусловлен кадровым «голодом» в сфере ИБ.
Для понимания уровня зарплат специалистов стоит ознакомиться с данными зарплатного калькулятора «Моего круга».
Стажеру-джуниору можно надеяться на диапазон от 35 тыс. руб. до 60-70 тысяч.
Средний уровень для миддла — от 60-70 тысяч до 80 тыс. руб. Кстати, пентестер может рассчитывать на зарплату от 100 тысяч, если есть хотя бы небольшой опыт реальной работы и хорошая подготовка.
Дальше уже идут «универсальные солдаты», которые знают языки программирование, могут писать скрипты, обладают знаниями в смежных сферах. Их зарплата начинается от 100 тысяч и может доходить до 300-500 тыс. руб. Но таких предложений на рынке не очень много, плюс чтобы достичь подобного уровня заработной платы, нужно быть очень, очень хорошим специалистом. За экспертизу готовы платить многие компании.
В целом же в таких городах, как Москва, Питер и Новосибирск можно рассчитывать на 60-120 тысяч рублей.
Завершая статью, стоит сказать, что защита информации — приоритетное направление ИТ-рынка. Несмотря на явный прогресс инструментов автоматизации, технологий искусственного интеллекта, на переднем краю информационной защиты все же находится человек. На хороших специалистов спрос есть всегда, а по мере роста кадрового голода в ИБ-сфере предложения становятся все более интересными.
В любой частной компании или государственной структуре, на любом предприятии должна быть обеспечена информационная безопасность автоматизированных систем. Тем более что без их наличия сегодня, в век высоких технологий, трудно представить эффективную работу какой-либо организации.
Однако подобные автоматизированные сети часто являются объектами атак со стороны злоумышленников. И обеспечить информационную безопасность часто бывает не так уж и просто: ведь известно, что чем многофункциональнее система, тем больше уязвимостей в ней присутствует. И решать эту проблему как-то надо. Для этого используются специальные методы, о которых мы сегодня и поговорим.
Резервные копии
Резервное копирование — это один из самых основных способов защиты информации — ее целостности, доступности и сохранности.
- есть ли у вас регламент резервного копирования?
- уверены ли вы, что ваша резервная копия (копии) рабочая?
- тестировалась ли (было ли тестовое восстановление) ваша резервная копия (копии) вашим системным администратором?
- как часто проводилось тестирование резервной копии?
- есть ли вообще резервная копия?
Ну а сколько времени нужно на то, чтобы стать хорошим специалистом?
Здесь есть два варианта развития событий. Если в информационную безопасность пришел, например, журналист, который ранее писал о путешествиях, то ему нужно потратить около полутора лет на то, чтобы выйти на уровень джуниора. Это при условии, если в неделю заниматься по 5-7 часов, целенаправленно изучать определенные темы.
Но если инфобезом решил заняться, например, системный администратор, то ему понадобится гораздо меньше времени. Он уже знает, что и как работает, остается на солидную основу (ее солидность зависит от опыта и времени работы) нанести новые знания и практику. При аналогичных названным выше условиям обучения — 5-7 часов в неделю техническому спецу хватит около полугода на выход на уровень джуниора по ИБ или даже более высокую ступень.
В любом случае рекомендуется изучать международные практики, например, с ISO/IEC 27000 — серией международных стандартов, которые включают стандарты по информационной безопасности, опубликованные совместно Международной Организацией по Стандартизации (ISO) и Международной Электротехнической Комиссии (IEC). Кроме того, передовые практики по ИБ можно найти в стандартах различных институтов. Так, некоммерческая организация MITRE ATT&CK позволяет получить детальную информацию о методах работы киберпреступников — например, как они начинают разведку, затем взламывают один из элементов защиты, проникают и закрепляются в системе. В фреймворке MITRE ATT&CK подробно описывается, как злоумышленники могут выполнить свою задачу, описаны меры противодействия или указываются эффективные способы минимизации ущерба, если взлом все же произошел.
Как всегда, есть «но». В том случае, если обучение выполняется формально, например, ради оценок, ничего хорошего из этого не получится. Да и знания без практики не сделают из новичка специалиста.
Конечно, в ходе самостоятельного обучения все инструменты студенты опробовать не могут, но те, без которых не обойтись в дальнейшей работе — осваиваются. Этой основы вполне достаточно джуниору.
А какие инструменты используют «безопасники»?
Все зависит от того, в каком именно направлении занят специалист, а также от места его работы — коммерческая это организация или государственная. Если говорить о России, то специалистам по информационной безопасности часто приходится работать с сертифицированными ФСТЭК ФСБ инструменты — просто потому, что государственные организации обязаны использовать лишь сертифицированные ПО и железо. Это могут быть отечественные антивирусы, межсетевые экраны, разного рода аппаратное обеспечение.
Сотрудникам коммерческих организаций проще — здесь можно работать с инструментами от Cisco, Palo Alto, других международных или отечественных компаний.
Новичку в информационной безопасности стоит начать с самостоятельного изучения опенсорс-инструментария, прежде, чем переходить к платным инструментам. Широкий спектр программных продуктов, которые нужны в ежедневной работе, есть в Kali Linux, Parrot OS. Нужно освоить Wireshark, SqlMap, Nmap, John the Ripper и многие другие вещи.
Что касается компетенций, наиболее необходимыми для начинающего специалиста можно назвать:
- поиск уязвимостей на клиентской части веб-приложений, эксплуатация клиентских уязвимостей, способы защиты;
- Навыки поиска server-side-уязвимостей, понимание особенностей Bug Bounty;
- Навыки взлома беспроводных сетей, устройство сетей и способы обеспечения безопасности в них;
- Навык реверса приложений, поиска и эксплуатации бинарных уязвимостей. Основы криптографических протоколов.
Обязанности:
- Выполнение тестирования информационных сред и программных продуктов компании;
- Тестирование информационных систем на отказоустойчивость;
- Инструментальный анализ информационных систем;
- Выявление актуальных угроз по классификации OWASP TOP 10, выработка компенсирующих мер;
- Тестирование на проникновение;
- Анализ безопасности исходных кодов программных продуктов.
- Опыт работы по выявлению уязвимостей систем;
- Опыт работы с Burp Suite, Hydra;
- Опыт работы SQLMap, OpenVAS, Metasploit Framework, Fortify, AppScan;
- Опыт работы Acunetix, w3af, X-Spider, Max-Patrol, Nmap;
- Знание принципов построения и работы веб-приложений;
- Знание типовых угроз и уязвимостей веб-приложений, перечисленных в OWASP Top 10;
- Навыки ручного и автоматизированного тестирования безопасности веб-приложений;
- Опыт проведения тестирования на проникновение;
- Опыт проведения аудита систем ИТ и ИБ.
Вот несколько примеров — реальные вакансии на сервисе «Мой круг».
Антивирус
Сколько людей — столько и антивирусов. Антивирус, как было сказано выше, не панацея. Это лишь одно из средств обеспечения безопасности информации, которое не исключает и не отменяет соответствующую настройку операционных систем, групповых политик, прав доступа, регламентированные процедуры резервного копирования, обучение и информирование пользователей основам информационной безопасности и прочие меры, которые могут укрепить бастион информационной безопасности.
Нужно ли вам нанимать сотрудника, специально занимающего информационной безопасностью, либо срочно бежать и закупать маски устройства безопасности (firewall) и антивирусы, чтобы обеспечить информационную безопасность?
Нет. На первом этапе ничего покупать, никого нанимать и делать прочие необдуманные действия — не надо.
Далее приведем упрощенный алгоритм действий, которые необходимо предпринять для построения системы информационной безопасности.
0. Определитесь как вы будете выстраивать систему ИБ — как обычно (как все делается на всем пространстве СНГ — через жопу и для галочки, поговорили, поделали умные лица на совещаниях и забыли), или в соответствии с общепринятыми стандартами.
Если ответ на вопрос 0 — «как обычно», можете дальше не терять свое драгоценное время и не читать.
1. Определитесь, что и зачем защищать. Документ, который это описывает обычно называется «Политика информационной безопасности». Документ не описывает каких-то конкретных мер, технических устройств, настроек и прочих действий, требуемых для обеспечения защиты информации.
2. Составьте список ресурсов (технических средств и программного обеспечения) которые имеются в компании. Часто в требованиях к соискателям упоминается перечень ПО и оборудования «Kerio FW, Cisco, Mikrotik, Ubuntu, pfsense» и т.д. Вы что, серьезно думаете, что все это имеющееся у вас в наличии, вас защитит? Скорее наоборот.
3. Создайте и обсудите матрицы доступа пользователей (клиентов, партнеров и т.п.) к информационной системе. Что такое матрица доступа: это когда есть четкий документ кто, куда и какого уровня имеет доступ к ИС системе.
4. Создайте документ, регламентирующий процедуру резервного копирования.
5. Создайте документ, где описываются все средства обеспечения ИБ — физические, технические, программные, административные.
6. Подготовьте и проведите обучающие занятия по информационной безопасности для сотрудников предприятия. Проводите их ежеквартально.
7. Поинтересуйтесь у ответственного сотрудника, сможет ли он обеспечить весь процесс самостоятельно или это требует привлечения третьей стороны (либо найма дополнительного сотрудника)
8. Протестируйте свою ИС на проникновение (так называемый penetration test).
9. Создайте, либо внесите корректировки в следующие документы:
- восстановление ИС (информационной системы) на случай сбоя (оборудования, техногенных и природных катастроф, прочего повреждения);
- положение по антивирусной защите;
- документ, регламентирующий процедуру резервного копирования и тестирования резервных копий;
- документ, регламентирующий контроль и восстановление баз данных (если таковые имеются);
- документ, регламентирующий действия в случае инцидентов ИБ;
- документ, регламентирующий использование паролей;
- документ, регламентирующий использование программного обеспечения (разрешенное к использованию ПО);
- положение о системе видео регистрации (при наличии таковой);
- документ, регламентирующий использование беспроводной (WiFi) сети;
- документ, регламентирующий правила обновления операционных систем;
- инструкции для системных администраторов и специалистов по ИБ (при наличии таковых);
- документ, регламентирующий использование доступа в сеть Интернет;
- схему ИС (информационной системы).
11. Улыбнитесь. Не так страшен черт, как его малюют, если у вас есть хорошо структурированная, прозрачная, понятная и управляемая информационная система. Понятная как для вас (руководителя), для ваших пользователей (сотрудников) ну и надеемся для вашего системного администратора.
Действительно, эксперты в сфере кибербезопасности защищают деньги, данные, репутацию компаний, их сотрудников и пользователей. Гордиться есть чем. Тем не менее, о тех, кто защищает нашу с вами безопасность в интернет-пространстве, известно далеко не так много, как о разработчиках, о которых говорят и пишут. Кто-то написал приложение или игру, которые принесли создателю популярность и деньги, еще кто-то разработал криптовалютную платформу, на которую обратили внимание криптобиржи. Работа «инфобезопасников» остается скрытой от любопытных глаз.
Тем не менее, она важна не менее, чем дело рук программистов, ведь их продукты в какой-то мере становятся популярными и благодаря слаженной работе экспертов по кибербезопасности. О том, что представляет собой сама профессия и на что можно рассчитывать, когда начинаешь свой путь в качестве ИБ, и рассказывает эта статья. Разобраться в этой сложной теме помог Виктор Чаплыгин преподаватель факультета GeekBrains по информационной безопасности (ИБ).
Читайте также: