Цифровая безопасность: Как обезопасить себя

Цифровая безопасность — это практика защиты цифровых сведений. Это включает личные данные, учетные записи, файлы, фотографии и даже деньги.

Технологии усиливают влияние всего, что мы с ними делаем. То, что мы говорим и пишем с помощью коммуникационных технологий, может быть прочитано и услышано гораздо большим количеством людей, чем без них. Поэтому, необходимо знать хотя бы азы цифровой безопасности.

Задачи, которые мы можем выполнять, благодаря волшебству автоматизации почти безграничны. Объем информации, к которой мы можем мгновенно получить доступ с помощью простейших и наименее дорогих устройств, намного превосходит все, что величайшие ученые могли надеяться увидеть за всю жизнь всего несколько десятилетий назад.

Все это означает, что преступники и другие лица, не ограниченные моральной совестью, будут иметь еще более мощные инструменты для компрометации данных, которые вы создаете и потребляете, а также для кражи или повреждения приобретенного вами имущества.

Итак, вы сильно заинтересованы в том, чтобы узнать, как защитить себя, свою собственность, а также собственность окружающих вас людей и организаций.

В этом учебном пособии будет представлен краткий обзор того, что поставлено на карту в области технологической безопасности. Мы определим виды угроз, с которыми мы сталкиваемся, и обсудим имеющиеся в нашем распоряжении ключевые инструменты для противодействия этим угрозам.

Содержание:

Видите ли, пуристы могут настаивать на том, что термин «взлом» должен применяться исключительно к лицам, занимающимся насильственным перепрофилированием компьютерного оборудования для нестандартных целей.

Другие резервируют это звание за людьми, которые обходят средства проверки подлинности и проникают в сети в преступных или политических целях. А как насчет тех, кто носит этот титул в знак своего практического опыта во всех областях ИТ?

Хакерство — это планы плохих парней относительно ваших цифровых устройств. В частности, их планы войти без разрешения, уйти незамеченными и (иногда) забрать ваши вещи с собой, когда они уходят. Использование термина таким образом дает нам полезный способ организовать обсуждение некоторых распространенных и особенно страшных угроз.

Хитрость заключается в том, чтобы найти способ обойти вашу защиту (например, пароли, брандмауэры и физические барьеры). В большинстве случаев пароли, вероятно, обеспечивают самую слабую защиту:

• Пароли часто бывают короткими, используют узкий диапазон символов и их легко угадать.
• Если устройство поставлялось с простым заводским паролем по умолчанию (например, «admin» или «1234»), предназначенным только для того, чтобы вы впервые вошли в систему, то велика вероятность, что многие пользователи никогда не обменяют его на что-то другое.
• Даже надежные пароли могут быть украдены с помощью мошеннических фишинговых электронных писем («Нажмите здесь, чтобы войти в свой банковский счет…»), социальной инженерии («Привет, это Петя из отдела ИТ. У нас возникли проблемы с вашей корпоративной учетной записью. Не могли бы вы сказать мне свой пароль по телефону, чтобы я мог быстро исправить его?»), и программное обеспечение для отслеживания клавиатуры (кейлоггеры).

Большой приз обычно заключается в том, чтобы получить ваши данные и убежать с копиями. Но для некоторых простое уничтожение оригиналов может быть столь же удовлетворительным.

Очевидно, что вход в ваши устройства с использованием украденных паролей является наиболее простым подходом. Но доступ также может быть получен путем перехвата ваших данных при их передаче по незащищенной сети. Один из широко используемых здесь подходов известен как атака «человек посередине». Именно здесь пакеты данных могут быть перехвачены в пути и изменены без авторизованных пользователей на обоих концах, которые знают, что что-то не так.

Надлежащее шифрование ваших сетевых подключений (и полный отказ от небезопасных общедоступных сетей) является эффективной защитой от такого рода угроз. Подробнее о шифровании поговорим чуть позже.

Если аппаратное обеспечение, которое вы используете, имеет встроенную недокументированную «черную дверь», то вы в значительной степени поджаритесь, что бы вы ни делали. Мы еще поговорим о «черных дверях» позже, а сейчас просто отметим, что нет недостатка в заводских ноутбуках, стоечных серверах и даже высокопроизводительном сетевом оборудовании, специально разработанном для включения серьезные уязвимости доступа. Будьте очень осторожны при покупке вычислительных устройств.

Если злоумышленники найдут путь в ваше физическое здание (иногда выдавая себя за сотрудников службы доставки), они могут незаметно подключить крошечное подслушивающее устройство к неиспользуемому разъему Ethernet в вашей сети. Это даст им хорошую платформу для наблюдения и даже влияния на все ваши действия изнутри. Защита вашей физической инфраструктуры и тщательный мониторинг сетевой активности — ваша лучшая защита от такого рода вторжений.

Даже если ваш дом или офис укреплены, нет никакой гарантии, что данные, перемещающиеся на мобильных устройствах (таких как смартфоны или ноутбуки), не попадут в чужие руки.

И даже если вы постарались использовать только лучшие пароли для этих устройств, сами диски с данными все равно могут быть легко смонтированы как внешние разделы на собственной машине вора. После подключения ваши файлы и информация об учетной записи теперь будут широко открыты.

Единственный способ защитить ваши мобильные устройства от такого рода угроз — зашифровать весь диск с помощью надежной парольной фразы.

Теперь, когда целые экономики управляются компьютерами, напрямую подключенными к общедоступным сетям, есть деньги и ценности, которые можно получить за счет хорошо спланированного корпоративного, академического или политического шпионажа… и за счет старомодного, традиционного воровства.

Независимо от того, является ли целью создание военного или коммерческого конкурентного преимущества, полное уничтожение конкурентов или просто получение «бесплатных» денег, незаконный доступ к чужим данным никогда не был таким простым.

Так что же, скорее всего, будут искать хакеры? Всю важную финансовую и другую конфиденциальную информацию, которую вы бы предпочли, чтобы у них не было. В том числе, следует отметить, информацию, которую вы используете для идентификации себя в банках, компаниях, выпускающих кредитные карты, и государственных учреждениях.

Как только плохие парни получают важные данные, такие как дата вашего рождения, домашний адрес, выданные правительством идентификационные номера и некоторые основные банковские реквизиты, обычно несложно представить себя так, как если бы они были вами, полностью завладев вашей личностью в процесс.

Цифровые атаки также могут использоваться в качестве шантажа, чтобы заставить жертв заплатить за возмещение нанесенного ими ущерба.

Это цель большинства атак программ- вымогателей, когда хакеры шифруют все данные на компьютерах жертвы и отказываются отправлять ключи дешифрования, необходимые для восстановления вашего законного доступа, если вы не отправите им много денег. Такие атаки уже эффективно вывели из строя критически важную инфраструктуру, такую ​​как ИТ-системы, питающие больницы и города.

Самая лучшая защита от программ-вымогателей — это иметь полные и проверенные резервные копии ваших важных данных и надежную систему для быстрого восстановления их на вашем оборудовании. Таким образом, если вы когда-нибудь подвергнетесь атаке программы-вымогателя, вы сможете просто стереть существующее программное обеспечение и заменить его свежими копиями, заполненными вашими резервными копиями данных. Но вам также следует улучшить общие настройки безопасности, чтобы хакерам-вымогателям было сложнее проникнуть в вашу систему.

Когда их основная цель — помешать вам или вашей организации заниматься своими делами, хакеры могут оставаться на безопасном расстоянии и запускать распределенную атаку типа «отказ в обслуживании» (DDoS) против вашей веб-инфраструктуры.

Исторические DDoS-атаки использовали огромные скопления тысяч незаконно захваченных подключенных к сети устройств для передачи огромного количества запросов к одной целевой службе. Когда DDoS-атаки достаточно велики, им удается вывести из строя даже крупные корпоративные компании, использующие сложные средства защиты в течение нескольких часов.

Если ваши данные не читаются, посторонние смогут сделать с ними гораздо меньше плохих вещей. Но если это нечитабельно, вы, вероятно, тоже мало что сможете с этим сделать.

Было бы неплохо, если бы был какой-то способ представить ваши данные как нечитаемые в каждом сценарии, за исключением случаев, когда для этого есть уважительная причина? Есть, и это называется шифрованием данных.

Алгоритмы шифрования кодируют информацию таким образом, что ее трудно или даже невозможно прочитать.

Простым (и древним) примером является замена символов, когда каждая буква «а» в сообщении заменяется, скажем, буквой на три позиции в алфавите (которая будет «d»). Каждое «b» станет «e» и так далее. «Привет, мир» будет «хур зруог». Люди, впоследствии сталкивающиеся с сообщением, не смогут его понять.

Конечно, современному компьютеру (или даже умному 8-летнему ребенку) не потребуется много времени, чтобы расшифровать это. Некоторые очень умные криптологи упорно трудились на протяжении большей части прошлого века, чтобы создать гораздо более эффективные алгоритмы.

Есть несколько значительных вариаций современной криптографии. Но общая идея заключается в том, что люди могут применять алгоритм шифрования к своим данным, а затем безопасно передавать зашифрованную копию по незащищенным сетям. Затем получатель может применить к данным какой-либо ключ дешифрования, восстанавливая исходную версию.

Шифрование теперь широко доступно для многих распространенных действий, включая отправку и получение электронных писем. Точно так же вы можете убедиться, что данные, которые вы запрашиваете с веб-сайта, — это те же данные, которые в конечном итоге отображаются в вашем браузере, проверив значок замка в адресной строке вашего браузера. Значок подтверждает, что сервер веб-сайта использует шифрование Transport Layer Security (TLS).

За последние несколько лет проект Let’s Encrypt (letsencrypt.org) побудил миллионы новых веб-сайтов использовать шифрование, предоставив бесплатные сертификаты шифрования и простые в использовании инструменты, помогающие администраторам серверов установить их.

TLS защитит ваши данные, когда они будут в пути, но что обеспечит их безопасность, даже когда они отдыхают на своем удобном диске? Шифрование файлов и дисков, вот что.

Все операционные системы теперь предлагают интегрированное программное обеспечение для шифрования всего диска или его части либо во время установки, либо позже. Каждый раз, когда вы включаете зашифрованный диск, вам будет предложено ввести парольную фразу, которую вы создали при включении шифрования.

Дело в том, что если вы забудете свою парольную фразу, вы почти навсегда заблокируете доступ к своей системе, а данные почти исчезнут навсегда.

Но с другой стороны, если вы не зашифруете свою систему, то, как мы уже отмечали ранее, любой, кто украдет оборудование, получит легкий доступ к вашей личной информации. Это жестокий мир, не так ли?

Вы можете думать о брандмауэре как о фильтре. Точно так же, как, скажем, фильтр для воды способен блокировать определенные примеси, пропуская только чистую воду, брандмауэр может проверять каждый пакет данных, входящий или исходящий из вашей инфраструктуры, блокируя доступ, где это необходимо.

Помимо отсутствия необходимости замены каждые несколько недель, большим преимуществом брандмауэра перед фильтром для воды является то, что его можно точно настроить, чтобы разрешать и запрещать вход в точном соответствии с вашими потребностями безопасности и функциональными потребностями. Затем вы можете обновить его позже, если ваши потребности изменятся.

В недалеком прошлом вы часто слышали, как ИТ-специалисты клялись, что никогда не будут выполнять свои ИТ-операции в инфраструктуре, которую они физически не контролируют. Это было обычным явлением, когда речь шла об аутсорсинге сторонним компаниям, сторонним компаниям или платформам облачных вычислений.

Было ли это связано с тем, что эти администраторы не доверяли надежности и безопасности вычислительной инфраструктуры, управляемой незнакомыми людьми, или с тем, что нормативные ограничения требовали, чтобы конфиденциальные рабочие нагрузки оставались локальными, это мнение было широко распространено. И это имело смысл.

Но прошлое — это чужая страна. Сегодня можно убедительно утверждать, что самые безопасные и надежные среды можно найти у крупнейших поставщиков общедоступных облаков. Почему? У них есть деньги и стимул для найма самых лучших инженеров, а также для создания самой лучшей инфраструктуры. Кроме того, поставщики облачных услуг поддерживают центры обработки данных в политических юрисдикциях по всему миру и делают все возможное, чтобы их развертывание соответствовало отраслевым и государственным стандартам.