– Гибкость и адаптивность. Системы DIS должны быть гибкими и способными к адаптации к специфике бизнеса. Важно настроить их под конкретные требования организации, учитывая возможные риски, а также типы данных и операций, которые они должны защищать. А еще более необходимо заложить достаточную гибкость для быстрых изменений, которые часто происходят на жизненном пути любого бизнеса.
Оценка текущего уровня кибербезопасности
Перед внедрением DIS необходимо понимать актуальное состояние дел. Самый простой путь – это иметь актуальный аудит текущей ИТ-инфраструктуры и систем безопасности предприятия. Вполне допустимо и даже рекомендовано делать это на аутсорсе, хотя бы методом черного ящика. Это позволит выявить уязвимости и определить, где необходимы улучшения.
Выбор платформы и технологий dis
Это дело сугубо личное и с точки зрения бизнеса субъективное. Стоит опираться на решения поставщиков, с которыми вы уже ближе всего знакомы и/или имеете опыт работы. Ведь в таком случае вы получите и чуть более знакомую «логику», и более простую интеграцию: каждый поставщик стремится навязать свою экосистему, к которой дополнительные его продукты подключаются максимально быстро и «бесшовно», иногда и вовсе как дополнительный сервис. На рынке уже существует целый спектр решения для реализации цифрового иммунитета от таких гигантов, как Kaspersky, IBM, Microsoft. Все они предлагают инструменты для интеллектуальной защиты и самовосстановления. Вот некоторые из них.
– Kaspersky Cyber Immunity предлагает архитектуру для встраивания безопасности на всех уровнях, начиная с аппаратного и заканчивая сетевыми и программными модулями.
– Microsoft Azure Sentinel – облачная платформа для автоматизированного мониторинга и реагирования на инциденты с использованием искусственного интеллекта и машинного обучения.
– IBM Resilient (SOAR). Платформа IBM Resilient (ныне часть IBM Security SOAR) – это решение для автоматизации реагирования на инциденты (Security Orchestration, Automation, and Response, SOAR). Этот инструмент может являться важным компонентом DIS, так как обеспечивает автоматическое восстановление после инцидентов безопасности.
– IBM Watson for Cyber Security Watson – это разработанный IBM искусственный интеллект, который активно используется в сфере кибербезопасности. Благодаря Watson цифровой иммунитет может не только защищаться от известных угроз, но и адаптироваться к новым. Watson предлагает анализ огромных массивов данных о киберугрозах в режиме реального времени, предсказание новых угроз и предложения по автоматизированной защите, а также автоматизацию процесса реагирования на инциденты с использованием искусственного интеллекта.
Интеграция с существующими системами
DIS априори подразумевается интегрировать с существующими системами безопасности, такими как SIEM и IDS/IPS, чтобы обеспечить полноценное управление рисками и автоматическую защиту. Из важного следует отметить необходимость разграничения прав доступа, наличие планов на случай взлома самой DIS, ведь несмотря на то что это система безопасности, стоит помнить, что невзламываемых систем нет.
И раз выше мы затронули вопрос «экосистемности» подхода поставщиков программного обеспечения такого рода, предлагаю рассмотреть чуть ближе, в качестве примера, решение от Microsoft.
Microsoft Defender for Endpoint – одна из ведущих платформ для защиты конечных точек (EDR). Она активно используется для проактивного обнаружения, реагирования и автоматического восстановления после киберинцидентов.
Благодаря единой экосистеме Microsoft Defender может быстро реагировать на атаки и обеспечивать защиту данных и инфраструктуры на всех уровнях, что особенно важно для предприятий с гибридной и облачной инфраструктурой.
Этот продукт предоставляет большие возможности для защиты корпоративных устройств (IoT) от сложных угроз и автоматически восстанавливает их после атак, минимизируя вмешательство пользователя. Microsoft Defender использует поведенческий анализ и машинное обучение для выявления подозрительной активности в реальном времени. После обнаружения угрозы система автоматически изолирует скомпрометированное устройство или сервис, не нарушая работы всей сети. Производится автоматическое исправление конфигураций и откат системы до состояния до атаки с использованием снэпшотов и резервных копий.
Microsoft Defender поддерживает технологию Auto Investigation and Remediation – это функция автоматического расследования инцидентов и их устранения, которая позволяет без участия администратора восстанавливать нормальную работу системы после инцидента.
Что занимательно – и именно в контексте рассматриваемого примера, – так это наличие интеграции с Microsoft 365 и Azure. В мире Microsoft это самые базовые для базового же пользователя сервисы. Microsoft Defender тесно интегрируется с Microsoft 365 и Azure, что позволяет защищать облачные приложения и данные. То есть вот это вот все (биг-дата, дата-сайенс, искусственный интеллект в безопасности) входит в продукт, который можно подключить для пользователей «на местах» или B2C-сегмента, скажем, интегрировать в Word или Excel для условной секретарши Виктории Николаевны, купив подписку.
Обучение сотрудников
Важно обучить сотрудников новым методам работы с DIS-системами. Несмотря на автономность таких систем, специалисты должны понимать, как функционирует цифровой иммунитет и как он взаимодействует с другими компонентами безопасности, где его слабые и сильные стороны. Необходимо устраивать учения со сбоями и блек-джеком.
Есть и уже готовые решения, иногда доступные в рамках все той же единой подписки, или экосистемы.
Система включает в себя модули, ориентированные на повышение осведомленности сотрудников в сфере безопасности. Она использует сценарии имитации угроз для обучения правильным действиям в условиях кибератак – например, может эмулировать фишинговую атаку, чтобы проверить, как сотрудники реагируют на потенциальные угрозы, и обучить их правильным реакциям.
В случае опасного поведения (например, если сотрудник кликает на подозрительную ссылку) система может автоматически отправить обучающее уведомление с рекомендациями по безопасным действиям. Это способствует формированию дисциплины и культуры безопасности.
Это инструмент, который предоставляет оценку уровня безопасности инфраструктуры и рабочих процессов организации. Он не только отслеживает соблюдение правил, но и предлагает рекомендации и учебные материалы для повышения безопасности, что важно для внедрения DIS.
С помощью Secure Score сотрудники могут видеть, какие действия они могут предпринять для улучшения показателей безопасности и как исправлять потенциальные уязвимости.
Популярные платформы, которые специализируются на обучении сотрудников реагированию на угрозы, в том числе на моделировании сценариев атаки. Такие платформы можно интегрировать с другими решениями, чтобы обучать персонал правильным действиям в условиях актуальных и современных киберугроз.
Самостоятельное внедрение внутренних регламентов и политик
Можно и даже весьма полезно разрабатывать и внедрять собственные внутренние регламенты и политики работы с данными и кибербезопасностью. Эти политики могут быть автоматизированы, включая встроенные подписки на обновления безопасности и обучающие курсы.
Например, при вводе новых правил безопасности система может автоматически уведомить всех затронутых сотрудников и предложить пройти курс обучения или подтвердить прочтение инструкций. При этом усложняется интеграция, ведь необходимо довести до сотрудников и разработать механизм. Это весьма трудоемко и требует выделения отдельного бизнес-процесса.
Поддержка и актуализация
После внедрения DIS необходимо регулярно обновлять механизмы и алгоритмы искусственного интеллекта и машинного обучения, чтобы они могли адаптироваться к новым видам угроз. Постоянный мониторинг помогает оценивать эффективность системы и оптимизировать ее работу.
И дальше «оно все само»? Ведь так?
Автоматическое восстановление и саморегенерация, резистентность к атакам, которые еще не известны, – это ключевые особенности цифрового иммунитета, позволяющие минимизировать даже последствия успешных кибератак и сбоев. И кажется, что вот оно – свершилось! Благодаря автоматическим процессам изоляции и восстановления системы DIS помогают обеспечить высокую устойчивость и доступность ИТ-инфраструктуры, что значительно снижает риски и повышает уровень кибербезопасности. Но… всегда есть «но». Несмотря на интеграцию продвинутых систем защиты, не стоит полагаться на то, что это навсегда решит все вопросы безопасности. Как уже говорилось выше, абсолютной безопасности не бывает. Киберугрозы постоянно эволюционируют, и злоумышленники всегда ищут новые способы обхода защитных механизмов. Даже самые современные технологии уязвимы для атак.
Любая система, независимо от уровня ее защиты, уязвима. По теории систем, чем больше элементов и узлов в структуре системы, тем ниже ее устойчивость и, в нашем случае, тем выше вероятность возникновения уязвимостей. Внедрение новых технологий, добавление оборудования и программного обеспечения усложняет архитектуру и может открывать дополнительные возможности для нападающей стороны. Поэтому важно понимать, что никакая защита не может быть статичной.
Для поддержания высокого уровня безопасности необходимы постоянный мониторинг, регулярные тренинги для сотрудников и актуализация всех политик и технологий. Без этого любые системы защиты со временем могут стать менее эффективными, подвергая организацию рискам новых угроз.