– Цифровая гигиена отсекает от пользователя лишний информационный шум, не позволяя принимать необдуманные решения, способные нанести репутационный, финансовый или материальный ущерб. Соблюдая принципы этой дисциплины, можно ограничить объем исходящей и входящей информации, создавая тем самым некий барьер безопасности вокруг себя.
– Кибербезопасность включает в себя комплекс стратегических, тактических, программных и программно-аппаратных средств, препятствующих нанесению репутационного, финансового или материального ущерба.
Они завязаны на использовании приемов и поиске уязвимостей – как человеческих, так и программно-аппаратных. На этом их сходства заканчиваются, и мы переходим к различиям, коих несколько больше – обусловлены они именно разницей в принципах работы и субъективным подходом.
1. Главным направлением кибербезопасности является физическое пресечение доступа к данным конфиденциального характера – персональной информации, финансовым и/или материальным активам, фотографиям и видеозаписям. Осуществляется это при помощи парольного доступа, шифрования или физического отключения носителя данных из Сети.
2. Кибербезопасники постоянно анализируют проблемы, чтобы успешно противостоять различным угрозам – исследуют и устраняют новые уязвимости как в программной, так и аппаратной среде, работают с событиями, вызываемыми различным странным поведением программ и устройств, даже антивирусных сканеров или других комплексных продуктов безопасности.
3. Кибербезопасность отвечает за снижение рисков, которые возникают при нарушении тех или иных принципов безопасности или при упущениях в работе, и в целом работает по принципу «защити это», «не дай этому попасть в Сеть», «проверь, безопасно ли это».
Выше я указал основные теоретические различия между кибербезопасностью и цифровой гигиеной. На практике кибербезопасность и цифровая гигиена обычно рассматриваются как синонимы, что связано с их частично совпадающим характером с точки зрения процесса, направленности и целей. Единственный способ защитить себя от злоумышленников, которые пытаются использовать атаки для разрушения, – это опередить игру и предвидеть их следующий ход (пресловутый преданализ). Именно это является целью передовых исследований кибербезопасности и информационной безопасности. Поскольку частота, интенсивность и масштабы различного рода кибератак постоянно растут, это сейчас является более важным, чем когда-либо прежде. Таким образом, можно сказать, что кибербезопасность охватывает все аспекты безопасности, относящиеся к киберсфере, а информационная безопасность – это безопасность информации независимо от области применения. Можно сделать вывод, что цифровая безопасность есть некий симбионт кибербезопасности, поэтому рассуждать о кибербезопасности и информационной безопасности раздельно считается неправильным подходом к двум дисциплинам, взаимодополняющим друг друга. Обе дисциплины предназначены защищать данные от кражи, стороннего доступа, изменения или удаления. Основное отличие, на мой взгляд, – плоскость их применения.
Дисциплинирование цифровой гигиены
Работа, направленная непосредственно на формирование полезных сетевых привычек, должна начинаться с введения и, как следствие, четкого понимания понятий «субъект профилактики», «объект профилактики», «цель и средства профилактики» и в завершение «результат профилактики». По аналогии с грязными руками: руки нужно мыть, мыть нужно чистой водой с мылом и перед едой. Субъектом профилактики принято считать саму информацию, распространению которой вы хотели бы помешать. Объектом профилактики считают самого человека, обладающего информацией. Продолжая аналогию с «грязными руками», мыть их нужно, чтобы избежать проблем, ведь «профилактика есть лучшее лечение». Цель и средства профилактики – это выработка алгоритма защиты информации, а также программно-аппаратные средства. Результат, в свою очередь, – это выработанный алгоритм защиты данных. При самообучении следует понимать, что всего ассортимента цифровых угроз не предусмотреть, каждая угроза уникальна по-своему. Привычка ограждать себя от получения излишней информации и контролировать исходящий поток информации должна перейти на уровень автоматизма, какими бы жесткими методами ограничений этого ни пришлось добиваться. Также важно выработать привычку, уж простите за мой французский, «фильтровать базар» – следить за тем, что вы публикуете, как реагируете на новость или комментарии других пользователей. Простой способ – это поддержание определенного образа в Сети; старайтесь не отходить от него, как бы ни хотелось доказать «неразумным хазарам» свою правоту.
Согласно статистике, младшее поколение пользователей Сети предпочитает общение в виде аудио- и видеозвонков, коротких сообщений в мессенджерах или посредством других социальных сетей, ориентированных на фото- и видеоконтент. Старшее поколение более ориентировано на информацию, подаваемую в виде текстов – будь то мессенджеры, социальные сети (им они предпочитают различные форумы) или статьи в интернете. Соответственно, для разных возрастных категорий используются разные степени блокировки нежелательной информации и разные подходы к дисциплинированию.
Весь алгоритм обучения необходимо выстраивать по следующему принципу.
Развивать базовые навыки ограждения информации, как входящей, так и исходящей – здесь пригодятся техники не только преданализа, но и верификации. Под верификацией принято понимать сопоставление фактической информации с предлагаемой – отличать фейковые новости, понимать технологию «дипфейк» и дезинформации, розыгрышей и мошеннических действий. При выборе средств формирования умений и навыков верификации информации следует ориентироваться на методы, развивающие способность к критическому восприятию и анализу информации, а также дающие базовые навыки работы со специальными техническими средствами. В частности, при разоблачении фейк-ньюс могут использоваться обычные популярные поисковые системы – для поиска источника искаженной или ложной информации, первоисточников фото-, аудио- и видеоконтента, сопоставления информации об одних и тех же событиях из разных источников.
Кроме того, сегодня существуют специальные интернет-сообщества, занимающиеся разоблачением фейков, например, телеграм-канал «Война с фейками» или сайт «Лапша медиа», где есть даже форма анонимной обратной связи, через которую можно подать предположительно фейковую информацию для проверки специалистами. Кроме того, существует специальное программное обеспечение, работающее и онлайн, которое позволяет выявлять источники происхождения информации, проводить проверки текста на плагиат, фотографии на факт наличия ретуши, звука и видео на наличие монтажа или подделок, в том числе с использованием технологии «дипфейк».
Следует развивать навыки защиты персональных данных и технологий доступа – они позволяют существенно снизить угрозу кражи данных, их мошеннического применения, сбора компрометирующей информации, а также предотвратить кражу денежных средств, шпионаж и даже нивелировать возможность вербовки в различные (в том числе и незаконные) организации. При выборе конкретных средств для формирования умений и навыков защиты персональных данных и данных доступа следует ориентироваться на методы, развивающие ответственное отношение конкретного человека к персональной информации, которую выкладывают в открытый доступ или доступ к которой самостоятельно предоставляют третьим лицами или программному обеспечению, включая мобильные приложения. Акцент нужно делать на том, что пользователи занимают, как правило, пассивную позицию, согласно которой все, кому надо, и так все про нас знают. И утверждение типа «если какая-то ИТ-корпорация хочет собрать информацию о человеке, она это сделает» практически всегда ошибочно. В последние годы законодательство, в том числе международное, в сфере защиты прав на приватность получило очень мощное развитие, особенно в плане сетевой конфиденциальности. Это привело к тому, что крупнейшие ИТ-корпорации, включая разработчиков популярных сетевых сервисов, социальных сетей и мессенджеров, вынуждены были дать пользователям возможность самим решать, какие данные они считают нужным предоставить. Новые права позволяют и не предоставлять в Сеть никакой информации в угоду анонимности и конфиденциальности.
Кроме того, важно понимать: в утечках информации о себе экономического, юридического, социального, психологического характера, которую собирают и анализируют мошенники и вербовщики с целью использования в противоправной деятельности, в том числе и набирающим сегодня популярность методом OSINT (которому посвящена одноименная глава в этой книге), виноватым может быть только сам пользователь Сети.
OSINT
Про OSINT следует рассказать поподробнее. Сама расшифровка метода (open-source intelligence) уже намекает на технологию процесса – это методика сбора и классификации расположенных в открытом доступе данных об отдельном человеке или организации. Изначально применявшийся исследователями безопасности, OSINT быстро стал инструментом киберпреступников, ведь с ним можно собрать огромный массив данных о цели, нужно лишь немного поработать головой и руками. Однако не так все просто, даже этот метод имеет несколько приемов работы, которые можно разделить на две группы.
Первый – это использование краулеров (краулер – «сборщик» или «комбайн» – набор инструментов), которые делают большую часть работы в автоматическом режиме. Совместно с майнд-мапами (инструментами для визуального представления данных/идей и удобной работы с ними) это дает широкое представление о цели за очень короткое время.
Второй – это использование пассивной или активной разведки в Сети либо комбинирование этих методов. Рассмотрим оба типа подробнее.
– Использование майнд-мапов действительно упрощает работу над сокрытием информации, находящейся в свободном доступе. Как правило, майнд-мапы можно использовать либо ручным способом, когда из всех инструментов у пентестера (пентест – тестирование на проникновение, от Penetration Test; пентестер – ИБ-специалист, тестировщик приложений и систем на возможность проникновения) есть лишь поисковая строка, две руки и блокнот для пометок – раз за разом пентестер «пробивает» те или иные данные через популярные поисковые системы вручную, делая пометки для составления полного отчета по безопасности того или иного массива данных. Но ведь это утомительный и довольно нудный процесс. Для упрощения существует OSINT Framework (база для помощи в реализации), который работает в автоматическом режиме, выполняя всю нудную работу вместо пользователя. Инструмент вобрал в себя все баз