Utwardzanie to usługa, a nie odhaczenie

Wyobraź sobie biuro rachunkowe z dwunastoma osobami i własnym serwerem w szafie. Trzy lata temu informatyk z zewnątrz utwardził go według listy kontrolnej: silne hasła, zapora, szyfrowanie dysku, automatyczna blokada ekranu. Każde pole zostało odhaczone, a lista wciąż leży w segregatorze, cała na zielono.

Od tamtej pory powstało tymczasowe konto administratora dla osoby, która pomagała w szczycie sezonu, i nikt go nie usunął. W zaporze otwarto regułę, żeby serwisant skanera mógł się połączyć zdalnie, raz. Aktualizacje są odkładane od czasu tej jednej, która zepsuła drukowanie. Kopie zapasowe co noc lądują na dysku USB i nikt nigdy nie próbował żadnej odtworzyć. W zeszłym miesiącu ktoś uruchomił asystenta do sortowania dokumentów od klientów i, żeby szybko zadziałał, dał mu login kierowniczki biura.

Lista mówi, że serwer jest utwardzony. Serwer mówi co innego. Biuro jest hipotetyczne, ale żaden z tych szczegółów nie jest niezwykły.

Prawdziwa przyczyna: utwardzenie potraktowane jak stan, który się osiąga

Utwardzanie zwykle kupuje się jako projekt: ktoś przychodzi, stosuje listę i wychodzi. Tyle że system nie jest utwardzany tak, jak maluje się drzwi. Jest utwardzany tak, jak pieli się ogród. Każdy wyjątek, każda odłożona aktualizacja i każdy nowy program oddalają go od stanu z listy, a nic nie przywraca go z powrotem, dopóki ktoś nie odpowiada za to, żeby to zrobić.

Agenci sprawiają, że sprawa jest pilniejsza, a nie mniej pilna. Program, który czyta wszystkie dokumenty klientów i potrafi wysłać maila, to dokładnie to, co atakujący chciałby pożyczyć, a tutaj działa on na kluczach konkretnej osoby.

Jak utwardzenie się rozpada

Dryf. Każda zmiana zrobiona ręcznie na działającym serwerze sprawia, że jest on odrobinę mniej podobny do systemu, który ktokolwiek opisał. Po roku nikt nie potrafi powiedzieć, co naprawdę na nim jest.

Wyjątki, które nigdy nie wygasają. Reguła otwarta dla serwisanta, konto założone dla osoby z zewnątrz. Każde było rozsądne tego dnia. Żadne nie miało daty końca.

Odkładane aktualizacje. Jedna zła aktualizacja uczy wszystkich czekać, a czekanie staje się polityką. Serwer zostaje coraz bardziej w tyle z każdym miesiącem, w którym nic się nie psuje.

Kopie, których nikt nie odtworzył. Kopia zapasowa, której nigdy nie odtworzono, to nadzieja. Pierwsza próba odtworzenia zwykle przypada na najgorszy dzień w roku.

Agenci z kluczami człowieka. Agent, który dostał czyjś login, może wszystko, co ta osoba, w tempie maszyny, i wszystko, o co poprosi go przekonujący mail.

Lista bez modelu zagrożeń. Lista powstała dla serwerów w ogóle, a nie dla biura, które trzyma dokumenty podatkowe setek klientów. Chroni przed niewłaściwymi rzeczami we właściwej kolejności.

Utwardzanie jako stała usługa

Nie zamierzamy sprzedawać pierwszego przejścia. Zamierzamy sprzedawać utrzymanie systemu w znanym stanie tak długo, jak go prowadzisz.

Zacznij od modelu zagrożeń, który naprawdę masz. Kto mógłby czego chcieć od tej firmy i jak najpewniej by próbował. Jedna strona, spisana, żeby dało się dyskutować ze środkami, które z niej wynikają.

System, który startuje w znanym stanie. KyberLinux jest projektowany tak, żeby uruchamiał się z katalogiem głównym tylko do odczytu, weryfikowany od firmware’u w górę, z każdą usługą na najmniejszych uprawnieniach, i żeby aktualizował się przez podmianę całych obrazów, które wchodzą w całości albo wcale. To zamienia dryf ze sprawy sumienności w coś, czego system z założenia nie dopuszcza. Tekst jeden system od nadgarstka do serwerowni wyjaśnia, dlaczego ta sama baza działa wszędzie.

Twoje klucze, zapisane w maszynie. Maszyna powinna słuchać kluczy, które trzyma firma, a nie dostawca. Jeśli odejdziemy, serwer nadal ufa Tobie i przestaje ufać nam.

Wyjątki z właścicielem i datą końca. Każda otwarta reguła sieci, każde dodatkowe konto i każde podniesione uprawnienie ma obok siebie nazwisko i datę wygaśnięcia. Gdy data nadchodzi, wyjątek jest świadomie przedłużany albo znika.

Aktualizacje przećwiczone, a nie odkładane. Nowy obraz jest testowany na kopii Twojej konfiguracji, zanim trafi na Twój serwer, a wycofanie jest wypróbowane, a nie założone. Czekanie przestaje być bezpieczną opcją, bo nie jest już jedyną.

Ćwiczenia z odtwarzania według harmonogramu. Kopia zapasowa się liczy, gdy została odtworzona na czystej maszynie przez kogoś, kto jej nie robił.

Agenci w celach, a nie na kontach. Każdy agent działa we własnej celi KyberCell: pliki i procesy ustalone w chwili jej tworzenia, sieć zamknięta, dopóki reguła jej nie otworzy, sekrety wstrzykiwane tylko tam, gdzie z celi wychodzi autoryzowane wywołanie. Mechanizm opisują teksty jak KyberLinux trzyma rój w celach i czym jest KyberCell.

Dowody, które przeczyta audytor. Co sprawdzono, kiedy, kto i z jakim wynikiem, prowadzone na bieżąco jako zapis, a nie odtwarzane w tygodniu przed audytem.

To jest praca ciągła i dlatego należy do umowy wsparcia ze SLA, które da się przeczytać, a nie do jednorazowej faktury. Nic z tego nie jest jeszcze dostępne; strona główna KYBERTIS pokazuje uczciwy stan prac.

Test, który możesz zrobić dziś

Weź najważniejszy serwer albo konto w chmurze, jakie ma Twoja firma, i zrób trzy listy:

1. Każde konto, które może się do niego zalogować, zarówno ludzi, jak i programów.
2. Każdą regułę sieci albo dostęp zdalny otwarty w ostatnim roku.
3. Datę ostatniej kopii zapasowej, którą naprawdę odtworzono, na innej maszynie.

Obok każdej pozycji z dwóch pierwszych list zapisz, kto o nią prosił i czy nadal jest potrzebna. Każda pozycja bez nazwiska to dryf. Jeśli trzecia lista jest pusta, nie wiesz, czy masz kopie zapasowe.