Я спросил об отсутствии женщин в ИТ-сфере. Де Йонг-Чен ответила: «В области ИТ в целом нечасто встретишь женщин, но еще реже они появляются в области ИБ. Я работала в большой интернет-компании, где активно нанимали женщин и видели в них потенциал своего роста. Несмотря на то что 54 % рабочей силы этой компании составляли женщины, я этого не понимала, когда общалась с их службой безопасности. Там была только одна женщина, и то не специалист по безопасности. Мы могли бы сделать эту отрасль лучше. Необходимо увеличить кадровый резерв в области кибербезопасности, а также найти пути привлечения и удержания женщин в сфере ИТ и поощрения разнообразия в области ИБ. Для этого нам нужна всеобщая поддержка».
Информация о Цзин де Йонг-Чен
Более подробную информацию о Цзин де Йонг-Чен вы можете найти по ссылкам:
• блог в Microsoft Цзин де Йонг-Чен: http://blogs.microsoft.com/microsoftsecure/author/jingdejongchen/;
• профиль Цзин де Йонг-Чен на LinkedIn: https://www.linkedin.com/vsearch/p?orig=SEO_SN&firstName= Jing&lastName=Jong-Chen&trk=SEO_SN;
• Governments Recognize the Importance of TPM 2.0 through ISO Adoption (пост в блоге Microsoft Secure): http://blogs.microsoft.com/microsoftsecure/2015/06/29/governments-recognize-theimportance-of-tpm-2-0-through-iso-adoption/;
• U.S.-China Cybersecurity Relations: Understanding China’s Current Environment (Georgetown Journal of International Affairs): http://journal.georgetown.edu/u-s-china-cybersecurity-relationsunderstanding-chinas-current-environment/;
• Spotlight on Cyber V: Data Sovereignty, Cybersecurity and Challenges for Globalization (Georgetown Journal of International Affairs): http://journal.georgetown.edu/data-sovereignty-cybersecurity-andchallenges-for-globalization/.
39. Моделирование угроз
Моделирование угроз – это процесс рассмотрения всех существенных и потенциальных угроз, ранжирования их возможного ущерба за определенный период времени и определения экономически эффективных способов их устранения с высокой степенью приоритетности. Моделирование угроз используется во всех отраслях промышленности и в нашем конкретном случае при планировании защиты. Оно используется в жизненном цикле безопасной разработки (SDL) при программировании и проверке ПО, а также на всех компьютерных устройствах и в инфраструктуре. Только с помощью моделирования угроз специалист по ИБ может количественно оценить угрозы, риски и способы их устранения, а также сравнить реализованный план с реальностью происходящего.
Зачем нужно моделирование угроз?
Моделирование угроз снижает риск. По крайней мере, позволяет рассмотреть различные угрозы и риски. С его помощью можно сопоставлять многочисленные угрозы, разрабатывать и оценивать меры по смягчению их последствий и, как мы надеемся, осуществлять эффективные с точки зрения затрат и пользы меры по смягчению последствий. Мы точно знаем, что в долгосрочной перспективе ПО, запрограммированное с учетом моделирования угроз, имеет меньше ошибок и уязвимостей, чем ПО, которое не моделирует угрозы. Если в программном обеспечении впервые моделируется угроза, разработчики моделей могут обнаружить больше ошибок и уязвимостей, чем в предыдущем периоде, и их увеличение может продолжаться в течение некоторого периода, но в итоге количество вновь обнаруженных ошибок и уязвимостей должно снизиться. В конце концов, за время существования проекта или продукта общее количество ошибок и возможный ущерб, который они могут создать, должны быть уменьшены. В противном случае зачем его выполнять?
Моделирование угроз даже учитывает, достаточно ли смягчение экономически эффективно. Возможно, очень хорошее смягчение может быть настолько дорогостоящим (по стоимости, ресурсам, проблемам производительности и т. д.), что даже если оно компенсирует определенный риск, это экономически неэффективно. Например, предположим, что компьютерные вирусы ежегодно наносят компании ущерб в размере 100 000 долларов. Она не захочет тратить более 100 000 долларов на то, чтобы остановить компьютерные вирусы. Поэтому, вероятно, им будет выгоднее не использовать никаких средств защиты. Это хоть и глупый, зато наглядный пример.
Виды моделирования угроз
Существует почти столько же видов моделирования угроз, сколько и типов угроз. Обычно они известны под акронимами, такими как STRIDE, PASTA, VAST, TRIKE и OCTAVE. Есть много программных средств, которые имеют собственные модели или основываются на одной из существующих моделей. У каждой модели есть поклонники и критики. Для разработчиков и вендоров информационной безопасности гораздо важнее использовать любую модель угроз, чем не использовать ее, поскольку они не могут определить, какой из них отдать предпочтение. Простое моделирование угроз – это уже победа.
Каждая модель пытается охватить процессы понимания того, что представляет собой рассматриваемый проект в его совокупности. Обычно это делается с помощью мозгового штурма, блок-схем и подробного описания вовлеченных процессов. Затем рассматриваются все потенциальные угрозы проекту, программе или сервису. Они ранжируются по вероятности потенциального ущерба. В первую очередь рассматриваются угрозы и риски, которые могут причинить наибольший ущерб. Затем разрабатываются и оцениваются меры по снижению рисков с точки зрения пригодности и экономической эффективности для каждой конкретной угрозы.
Все модели должны начинаться с концепции того, какой объем остаточного риска владелец готов или способен принять после применения всех согласованных мер по снижению риска. Например, моделирование угрозы наступательного или оборонительного военного оружия начинается с идеи о том, что существует очень мало приемлемого остаточного риска. Одна компания может позволить некоторому риску остаться, в то время как другая со строгими ограничениями ресурсов вынуждена сознательно принять многие крупные неразрешенные риски. Моделирование угроз помогает пользователям подготовиться к остаточному риску. Некоторые модели угроз даже напоминают пользователям, что не все риски когда-либо будут продуманы и смягчены.
Злоумышленники
Каждая модель должна также учитывать типы хакеров, которые могут атаковать ее. Существует большое количество злоумышленников, и у всех разная мотивация.
Государства
Большинство промышленно развитых стран теперь имеют команды ярких, способных и обеспеченных ресурсами хакеров, покорно и патриотически занимающихся взломом от имени правительства страны или военных. Они нападают на другие страны и ставят под угрозу их стратегии и цели, которые считаются необходимыми для успеха их страны. Кибервойна – огромная составляющая этого типа угрозы. Кибервойна пытается нанести вред способности противника вести войну или установить хорошую защиту, используя профессиональных хакеров и вредоносные программы. Отличный пример – червь Stuxnet, который уничтожил ядерное оборудование другой страны. Иные виды угроз могут приходить и уходить, но атаки на национальные государства будут всегда.
Промышленный шпионаж
Это хакеры, которые сосредоточиваются на краже секретов и интеллектуальной собственности других компаний, чтобы перепродать их или помочь другой компании или отрасли несправедливо конкурировать. Этот тип угрозы может атаковать от лица конкурирующей компании, от имени национального государства или независимо, как фрилансер.
Примечание. Как государства, так и промышленные хакеры известны как Advanced Persistent Threats (APTs). Это человеческие противники, которые профессионально взламывают в рамках долгосрочных согласованных усилий против целевых противников. Они, как правило, имеют огромные ресурсы и легко добиваются успеха.
Финансовая преступность
Киберзлоумышленники представлены дистрибьютерами, отказом исполнителей услуг, производителями рекламы и хакерами, которые воруют электронные деньги, данные для аутентификации или совершают кражи. Деньги мотивировали преступников и до создания компьютеров, но нынешнее состояние информационной безопасности позволяет красть большие суммы легче и с гораздо меньшим риском, чем традиционные преступления, не связанные с компьютерами.
Хактивисты (хакеры-активисты)
Политически, морально и психологически мотивированные люди часто любят наносить ущерб финансам, репутации или ресурсам компаний и организаций, с которыми не согласны. Некоторые из крупнейших и наиболее разрушительных атак в истории были связаны с хактивистами.
Геймеры
Компьютерные игры и геймеры заставляют разработчиков программного и аппаратного обеспечения расширять технологические и эксплуатационные ограничения больше, чем любая другая группа. Сегодня люди не только платят, чтобы играть в игры, они платят и чтобы смотреть, как это делают другие. Геймеры заполняют концертные залы так же быстро, как вчерашние рок-звезды. Иногда кажется, что половина телевизионной рекламы во время самых популярных событий (таких как Суперкубок) – это реклама компьютерных игр. Сказать, что компьютерные игры очень популярны, – ничего не сказать. Некоторые хакеры существуют исключительно для того, чтобы их взламывать для увеличения своего выигрыша (что бы это ни значило), создания конкурентных преимуществ и нанесения вреда игровым сервисам, с которыми не согласны.
Инсайдеры
На повестке дня всегда стоял вопрос, насколько велика угроза, которую законные сотрудники представляют для компании, но ясно, что они составляют немалый процент всех атакующих. Некоторые инсайдеры крадут данные и иную интеллектуальную собственность, чтобы продать конкурентам или получить новую работу. Другие крадут деньги или информации, например кредитные карты клиентов (для личной финансовой выгоды). Инсайдеров, совершающих несанкционированные действия, очень трудно обнаружить и остановить, особенно при проведении операций с использованием законных полномочий. Это угроза, с которой индустрия ИБ все еще борется.
Обычные хакеры-одиночки или хакерские группы
Не будем забывать о традиционных хакерах, которые взламывают для собственных индивидуальных потребностей, будь то финансовая выгода или желание доказать, что они на это способны. Десять или более лет назад эта группа скомпрометировала почти все взломы. Хакерский мир не был заполнен профессиональными преступниками. Большинство довольствовались тем, что просто писали компьютерный вирус, который печатал забавную поговорку на компьютере или запускал игру Yankee Doodle Dandy в заданное время. Некоторые из них нанесли реальный ущерб, такие как загрузочный вирус Микеланджело, который отформатировал жесткие диски. Но большинство из них были просто чьим-то тщеславным проектом, способом сказать, что они достаточно умны, чтобы сделать это. Они не хотели причинить реальный, повсеместный вред.
Моделирование угроз – это то, что должны делать разработчики и каждый специалист по ИБ. Оно эффективно снижает риск путем ранжирования угроз на основе ущерба, который они могут причинить. Если у вас нет модели угроз, вы просто гадаете и блуждаете в чаще информационной безопасности.
Следующая глава посвящена профилю Адама Шостака, уважаемого специалиста по моделированию угроз.