Computer security, cybersecurity, or information technology security (IT security) is the protection of computer systems and networks from information disclosure, theft of or damage to their hardware, software, or electronic data, as well as from the disruption or misdirection of the services they provide.^[1]

The field is becoming increasingly significant due to the continuously expanding reliance on computer systems, the Internet^[2] and wireless network standards such as Bluetooth and Wi-Fi, and due to the growth of "smart" devices, including smartphones, televisions, and the various devices that constitute the Internet of things (IoT). Cybersecurity is also one of the significant challenges in the contemporary world, due to its complexity, both in terms of political usage and technology. Its primary goal is to ensure the system's dependability, integrity, and data privacy.^[3][4]

Компьютерная безопасность, кибербезопасность или безопасность информационных технологий (ИТ-безопасность) — это защита компьютерных систем и сетей от раскрытия информации, кражи или повреждения их аппаратного, программного обеспечения или электронных данных, а также от нарушения или неправильного направления услуг, которые они предоставляют.[1]

Эта область приобретает все большее значение из-за постоянно растущей зависимости от компьютерных систем, Интернета[2] и стандартов беспроводной сети, таких как Bluetooth и Wi-Fi, а также из-за роста «умных» устройств, включая смартфоны, телевизоры и различные устройства, составляющие Интернет вещей (IoT). Кибербезопасность также является одной из серьезных проблем в современном мире из-за ее сложности как с точки зрения политического использования, так и с точки зрения технологий. Его основная цель — обеспечить надежность, целостность и конфиденциальность данных системы.[3][4]

History

Since the Internet's arrival and with the digital transformation initiated in recent years, the notion of cybersecurity has become a familiar subject both in our professional and personal lives. Cybersecurity and cyber threats have been constant for the last 50 years of technological change.

In the 1970s and 1980s, computer security was mainly limited to academia until the conception of the Internet, where, with increased connectivity, computer viruses and network intrusions began to take off. After the spread of viruses in the 1990s, the 2000s marked the institutionalization of cyber threats and cybersecurity.

Finally, from the 2010s, large-scale attacks and government regulations started emerging.

The April 1967 session organized by Willis Ware at the Spring Joint Computer Conference, and the later publication of the Ware Report, were foundational moments in the history of the field of computer security.^[5] Ware's work straddled the intersection of material, cultural, political, and social concerns.^[5]

A 1977 NIST publication^[6] introduced the "CIA triad" of Confidentiality, Integrity, and Availability as a clear and simple way to describe key security goals.^[7] While still relevant, many more elaborate frameworks have since been proposed.^[8][9]

However, the 1970s and 1980s didn't have any grave computer threats because computers and the internet were still developing, and security threats were easily identifiable. Most often, threats came from malicious insiders who gained unauthorized access to sensitive documents and files. Although malware and network breaches existed during the early years, they did not use them for financial gain. However, by the second half of the 1970s, established computer firms like IBM started offering commercial access control systems and computer security software products.^[10]

It started with Creeper in 1971. Creeper was an experimental computer program written by Bob Thomas at BBN. It is considered the first computer worm.

In 1972, the first anti-virus software was created, called Reaper. It was created by Ray Tomlinson to move across the ARPANET and delete the Creeper worm.

Between September 1986 and June 1987, a group of German hackers performed the first documented case of cyber espionage. The group hacked into American defense contractors, universities, and military bases' networks and sold gathered information to the Soviet KGB. The group was led by Markus Hess, who was arrested on 29 June 1987. He was convicted of espionage (along with two co-conspirators) on 15 Feb 1990.

In 1988, one of the first computer worms, called Morris worm was distributed via the Internet. It gained significant mainstream media attention.

In 1993, Netscape started developing the protocol SSL, shortly after the National Center for Supercomputing Applications (NCSA) launched Mosaic 1.0, the first web browser, in 1993. Netscape had SSL version 1.0 ready in 1994, but it was never released to the public due to many serious security vulnerabilities. These weaknesses included replay attacks and a vulnerability that allowed hackers to alter unencrypted communications sent by users. However, in February 1995, Netscape launched the Version 2.0.

История

С появлением Интернета и цифровой трансформацией, начавшейся в последние годы, понятие кибербезопасности стало привычным предметом как в нашей профессиональной, так и в личной жизни. Кибербезопасность и киберугрозы были постоянными в течение последних 50 лет технологических изменений.

В 1970-х и 1980-х годах компьютерная безопасность была в основном ограничена академическими кругами, пока не появилась концепция Интернета, где с расширением возможностей подключения компьютерные вирусы и сетевые вторжения начали набирать обороты. После распространения вирусов в 1990-х годах 2000-е годы ознаменовались институционализацией киберугроз и кибербезопасности.

Наконец, с 2010-х годов стали появляться масштабные атаки и правительственные постановления.

Сессия в апреле 1967 года, организованная Уиллисом Уэром на Весенней объединенной компьютерной конференции, и более поздняя публикация отчета Уэра стали основополагающими моментами в истории области компьютерной безопасности. Работа Уэра пересекалась с материальными, культурными, политическими и социальными проблемами.

Публикация NIST 1977 года[6] представила «триаду ЦРУ» Конфиденциальности, Целостности и Доступности как ясный и простой способ описать ключевые цели безопасности.[7] Хотя они все еще актуальны, с тех пор было предложено много более сложных рамок.

Однако в 1970-х и 1980-х годах не было серьезных компьютерных угроз, потому что компьютеры и Интернет все еще развивались, а угрозы безопасности было легко идентифицировать. Чаще всего угрозы исходили от злоумышленников, получивших несанкционированный доступ к конфиденциальным документам и файлам. Хотя вредоносные программы и сетевые нарушения существовали в первые годы, они не использовали их для получения финансовой выгоды. Однако ко второй половине 1970-х годов известные компьютерные фирмы, такие как IBM, начали предлагать коммерческие системы контроля доступа и программные продукты для компьютерной безопасности.

Все началось с Creeper в 1971 году. Creeper была экспериментальной компьютерной программой, написанной Бобом Томасом из BBN. Считается первым компьютерным червем.

В 1972 году было создано первое антивирусное программное обеспечение под названием Reaper. Он был создан Рэем Томлинсоном для перемещения по сети ARPANET и удаления червя Creeper.

В период с сентября 1986 года по июнь 1987 года группа немецких хакеров совершила первый задокументированный случай кибершпионажа. Группа взломала сети американских оборонных подрядчиков, университетов и военных баз и продала собранную информацию советскому КГБ. Группу возглавлял Маркус Хесс, арестованный 29 июня 1987 года. Он был осужден за шпионаж (вместе с двумя сообщниками) 15 февраля 1990 года.

В 1988 году через Интернет был распространен один из первых компьютерных червей, названный червем Морриса. Он привлек значительное внимание средств массовой информации.

В 1993 году Netscape начала разработку протокола SSL, вскоре после того, как Национальный центр суперкомпьютерных приложений (NCSA) запустил Mosaic 1.0, первый веб-браузер, в 1993 году. У Netscape была готовая версия SSL 1.0 в 1994 году, но она так и не была опубликована. из-за множества серьезных уязвимостей в системе безопасности. Эти недостатки включали повторные атаки и уязвимость, которая позволяла хакерам изменять незашифрованные сообщения, отправляемые пользователями. Однако в феврале 1995 года Netscape выпустила версию 2.0.

Vulnerabilities and attacks

Main article: Vulnerability (computing)

A vulnerability is a weakness in design, implementation, operation, or internal control. Most of the vulnerabilities that have been discovered are documented in the Common Vulnerabilities and Exposures (CVE) database.^{[citation needed]} An exploitable vulnerability is one for which at least one working attack or "exploit" exists.^[13] Vulnerabilities can be researched, reverse-engineered, hunted, or exploited using automated tools or customized scripts.^[14][15] To secure a computer system, it is important to understand the attacks that can be made against it, and these threats can typically be classified into one of these categories below:

Уязвимости и атаки

Основная статья: Уязвимость (вычисления)

Уязвимость — это недостаток в дизайне, реализации, эксплуатации или внутреннем контроле. Большинство обнаруженных уязвимостей задокументировано в базе данных Common Vulnerabilities and Exposures (CVE). Уязвимости можно исследовать, реконструировать, искать или использовать с помощью автоматизированных инструментов или настраиваемых сценариев.[14][15] Чтобы защитить компьютерную систему, важно понимать, какие атаки могут быть предприняты против нее, и эти угрозы обычно можно отнести к одной из следующих категорий:

Backdoor

A backdoor in a computer system, a cryptosystem or an algorithm, is any secret method of bypassing normal authentication or security controls. They may exist for many reasons, including by original design or poor configuration. They may have been added by an authorized party to allow some legitimate access, or by an attacker for malicious reasons; but regardless of the motives for their existence, they create a vulnerability. Backdoors can be very hard to detect, and detection of backdoors is usually discovered by someone who has access to application source code or intimate knowledge of the operating system of the computer.

Denial-of-service attack

Denial of service attacks (DoS) are designed to make a machine or network resource unavailable to its intended users.^[16] Attackers can deny service to individual victims, such as by deliberately entering a wrong password enough consecutive times to cause the victim's account to be locked, or they may overload the capabilities of a machine or network and block all users at once. While a network attack from a single IP address can be blocked by adding a new firewall rule, many forms of Distributed denial of service (DDoS) attacks are possible, where the attack comes from a large number of points – and defending is much more difficult. Such attacks can originate from the zombie computers of a botnet or from a range of other possible techniques, including reflection and amplification attacks, where innocent systems are fooled into sending traffic to the victim.

Direct-access attacks

An unauthorized user gaining physical access to a computer is most likely able to directly copy data from it. They may also compromise security by making operating system modifications, installing software worms, keyloggers, covert listening devices or using wireless microphones. Even when the system is protected by standard security measures, these may be bypassed by booting another operating system or tool from a CD-ROM or other bootable media. Disk encryption and Trusted Platform Module are designed to prevent these attacks.

Eavesdropping

Eavesdropping is the act of surreptitiously listening to a private computer "conversation" (communication), typically between hosts on a network. For instance, programs such as Carnivore and NarusInSight have been used by the FBI and NSA to eavesdrop on the systems of internet service providers. Even machines that operate as a closed system (i.e., with no contact to the outside world) can be eavesdropped upon via monitoring the faint electromagnetic transmissions generated by the hardware; TEMPEST is a specification by the NSA referring to these attacks.

Multi-vector, polymorphic attacks

Surfacing in 2017, a new class of multi-vector,^[17] polymorphic^[18] cyber threats combined several types of attacks and changed form to avoid cybersecurity controls as they spread.

Phishing

An example of a phishing email, disguised as an official email from a (fictional) bank. The sender is attempting to trick the recipient into revealing confidential information by "confirming" it at the phisher's website. Note the misspelling of the words received and discrepancy as recieved and discrepency, respectively. Although the URL of the bank's webpage appears to be legitimate, the hyperlink points at the phisher's webpage.

Phishing is the attempt of acquiring sensitive information such as usernames, passwords, and credit card details directly from users by deceiving the users.^[19] Phishing is typically carried out by email spoofing or instant messaging, and it often directs users to enter details at a fake website whose "look" and "feel" are almost identical to the legitimate one. The fake website often asks for personal information, such as log-in details and passwords. This information can then be used to gain access to the individual's real account on the real website. Preying on a victim's trust, phishing can be classified as a form of social engineering. Attackers are using creative ways to gain access to real accounts. A common scam is for attackers to send fake electronic invoices^[20] to individuals showing that they recently purchased music, apps, or others, and instructing them to click on a link if the purchases were not authorized.

Privilege escalation

Privilege escalation describes a situation where an attacker with some level of restricted access is able to, without authorization, elevate their privileges or access level. For example, a standard computer user may be able to exploit a vulnerability in the system to gain access to restricted data; or even become "root" and have full unrestricted access to a system.

Reverse engineering

Reverse engineering is the process by which a man-made object is deconstructed to reveal its designs, code, architecture, or to extract knowledge from the object; similar to scientific research, the only difference being that scientific research is about a natural phenomenon.^[21]: 3

Side-channel attack

Main article: Side-channel attack

Any computational system affects its environment in some form. This effect it has on its environment, includes a wide range of criteria, which can range from electromagnetic radiation, to residual effect on RAM cells which as a consequent make a Cold boot attack possible, to hardware implementation faults which allow for access and or guessing of other values that normally should be inaccessible. In Side-channel attack scenarios the attacker would gather such information about a system or network to guess its internal state, and as a result access the information which is assumed by the victim to be secure.

Social engineering

Social engineering, in the context of computer security, aims to convince a user to disclose secrets such as passwords, card numbers, etc. or grant physical access by, for example, impersonating a senior executive, bank, a contractor, or a customer.^[22] This generally involves exploiting peoples trust, and relying on their cognitive biases. A common scam involves emails sent to accounting and finance department personnel, impersonating their CEO and urgently requesting some action. In early 2016, the FBI reported that such "business email compromise" (BEC) scams had cost US businesses more than $2 billion in about two years.^[23]

In May 2016, the Milwaukee Bucks NBA team was the victim of this type of cyber scam with a perpetrator impersonating the team's president Peter Feigin, resulting in the handover of all the team's employees' 2015 W-2 tax forms.^[24]

Spoofing

Main article: Spoofing attack

Spoofing is an act of masquerading as a valid entity through falsification of data (such as an IP address or username), in order to gain access to information or resources that one is otherwise unauthorized to obtain.^[25][26] There are several types of spoofing, including:

·         Email spoofing, is where an attacker forges the sending (From, or source) address of an email.

·         IP address spoofing, where an attacker alters the source IP address in a network packet to hide their identity or impersonate another computing system.

·         MAC spoofing, where an attacker modifies the Media Access Control (MAC) address of their network interface controller to obscure their identity, or to pose as another.

·         Biometric spoofing, where an attacker produces a fake biometric sample to pose as another user.^[27]

Tampering

Tampering describes a malicious modification or alteration of data. So-called Evil Maid attacks and security services planting of surveillance capability into routers are examples.^[28]

Malware

Malicious software (malware) installed on a computer can leak personal information, can give control of the system to the attacker and can delete data permanently.^[29]

Бэкдор

Бэкдор в компьютерной системе, криптосистеме или алгоритме — это любой секретный метод обхода обычной аутентификации или контроля безопасности. Они могут существовать по многим причинам, в том числе из-за оригинального дизайна или плохой конфигурации. Они могут быть добавлены авторизованной стороной для предоставления законного доступа или злоумышленником по злонамеренным причинам; но независимо от мотивов их существования они создают уязвимость. Бэкдоры бывает очень сложно обнаружить, и обнаружение бэкдоров обычно обнаруживается кем-то, кто имеет доступ к исходному коду приложения или хорошо знает операционную систему компьютера.

Атака типа «отказ в обслуживании»

Атаки типа «отказ в обслуживании» (DoS) предназначены для того, чтобы сделать компьютер или сетевой ресурс недоступным для предполагаемых пользователей.[16] Злоумышленники могут отказать в обслуживании отдельным жертвам, например, преднамеренно введя неправильный пароль несколько раз подряд, чтобы заблокировать учетную запись жертвы, или они могут перегрузить возможности машины или сети и заблокировать всех пользователей одновременно. В то время как сетевая атака с одного IP-адреса может быть заблокирована путем добавления нового правила брандмауэра, возможны многие формы распределенных атак типа «отказ в обслуживании» (DDoS), когда атака исходит из большого количества точек, и защититься от них намного сложнее. . Такие атаки могут исходить от зомби-компьютеров ботнета или от ряда других возможных методов, включая атаки с отражением и усилением, когда невиновные системы обманом заставляют отправлять трафик жертве.

Атаки прямого доступа

Неавторизованный пользователь, получив физический доступ к компьютеру, скорее всего, сможет напрямую скопировать данные с него. Они также могут поставить под угрозу безопасность путем внесения изменений в операционную систему, установки программных червей, клавиатурных шпионов, скрытых прослушивающих устройств или использования беспроводных микрофонов. Даже если система защищена стандартными мерами безопасности, их можно обойти, загрузив другую операционную систему или инструмент с компакт-диска или другого загрузочного носителя. Шифрование диска и доверенный платформенный модуль предназначены для предотвращения таких атак.

Подслушивание

Подслушивание - это акт тайного прослушивания «разговора» (общения) на частном компьютере, обычно между хостами в сети. Например, такие программы, как Carnivore и NarusInSight, использовались ФБР и АНБ для прослушивания систем интернет-провайдеров. Даже машины, работающие как закрытая система (т. е. не имеющие контакта с внешним миром), могут быть подслушаны путем отслеживания слабых электромагнитных передач, генерируемых оборудованием; TEMPEST — это спецификация АНБ, относящаяся к этим атакам.

Многовекторные полиморфные атаки

Появившийся в 2017 году новый класс многовекторных[17] полиморфных[18] киберугроз объединил несколько типов атак и изменил форму, чтобы избежать контроля кибербезопасности по мере их распространения.

Фишинг

Пример фишингового письма, замаскированного под официальное письмо от (вымышленного) банка. Отправитель пытается обманом заставить получателя раскрыть конфиденциальную информацию, «подтвердив» ее на веб-сайте фишера. Обратите внимание на опечатки в полученных словах и несоответствие как получено и несоответствие соответственно. Хотя URL-адрес веб-страницы банка кажется законным, гиперссылка указывает на веб-страницу фишера.

Фишинг — это попытка получить конфиденциальную информацию, такую ​​как имена пользователей, пароли и данные кредитной карты, непосредственно от пользователей путем их обмана.[19] Фишинг обычно осуществляется путем подмены электронной почты или обмена мгновенными сообщениями, и он часто побуждает пользователей вводить данные на поддельном веб-сайте, чей «внешний вид» и «ощущение» почти идентичны законному. Поддельный веб-сайт часто запрашивает личную информацию, такую ​​как данные для входа в систему и пароли. Затем эта информация может быть использована для получения доступа к реальной учетной записи человека на реальном веб-сайте. Пользуясь доверием жертвы, фишинг можно классифицировать как форму социальной инженерии. Злоумышленники используют творческие способы, чтобы получить доступ к реальным учетным записям. Обычная афера заключается в том, что злоумышленники рассылают поддельные электронные счета[20] лицам, показывающие, что они недавно приобрели музыку, приложения или что-то еще, и инструктируют их перейти по ссылке, если покупка не была авторизована.

Повышение привилегий

Повышение привилегий описывает ситуацию, когда злоумышленник с определенным уровнем ограниченного доступа может без авторизации повысить свои привилегии или уровень доступа. Например, обычный пользователь компьютера может воспользоваться уязвимостью в системе, чтобы получить доступ к данным с ограниченным доступом; или даже стать «root» и иметь полный неограниченный доступ к системе.

Обратный инжиниринг

Обратный инжиниринг — это процесс, при котором искусственный объект деконструируется, чтобы раскрыть его дизайн, код, архитектуру или извлечь из объекта знания; похоже на научное исследование, с той лишь разницей, что научное исследование касается природного явления.[21]: 3

Атака по побочному каналу

Основная статья: Атака по побочному каналу Любая вычислительная система влияет на окружающую среду в той или иной форме. Это влияние, которое он оказывает на окружающую среду, включает в себя широкий спектр критериев, которые могут варьироваться от электромагнитного излучения до остаточного воздействия на ячейки ОЗУ, что, как следствие, делает возможной атаку с холодной загрузкой, до ошибок аппаратной реализации, которые позволяют получить доступ и/или угадать других значений, которые обычно должны быть недоступны. В сценариях атаки по побочному каналу злоумышленник собирает такую ​​информацию о системе или сети, чтобы угадать ее внутреннее состояние и в результате получить доступ к информации, которую жертва считает безопасной.

Социальная инженерия

Социальная инженерия в контексте компьютерной безопасности направлена ​​на то, чтобы убедить пользователя раскрыть секреты, такие как пароли, номера карт и т. д., или предоставить физический доступ, например, выдавая себя за старшего руководителя, банк, подрядчика или клиента. [22] Обычно это связано с использованием доверия людей и опорой на их когнитивные предубеждения. Обычная афера включает в себя электронные письма, отправляемые сотрудникам бухгалтерии и финансового отдела, выдающие себя за их генерального директора и требующие срочных действий. В начале 2016 года ФБР сообщило, что такое мошенничество с «компрометацией деловой электронной почты» (BEC) обошлось американским предприятиям примерно в 2 миллиарда долларов примерно за два года. В мае 2016 года команда НБА «Милуоки Бакс» стала жертвой этого типа кибермошенничества, когда преступник выдавал себя за президента команды Питера Фейгина, в результате чего была передана налоговая форма W-2 всех сотрудников команды за 2015 год.

Спуфинг

Основная статья: Атака спуфинга

Спуфинг — это акт маскировки под действительный объект путем фальсификации данных (таких как IP-адрес или имя пользователя) с целью получения доступа к информации или ресурсам, получение которых в противном случае не разрешено.[25][26] Существует несколько видов спуфинга, в том числе:

• Спуфинг электронной почты — это когда злоумышленник подделывает адрес отправки (от или источник) электронной почты.
• ·Подмена IP-адреса, когда злоумышленник изменяет исходный IP-адрес в сетевом пакете, чтобы скрыть свою личность или выдать себя за другую вычислительную систему.
• Подмена MAC-адреса, когда злоумышленник изменяет адрес управления доступом к среде (MAC) своего контроллера сетевого интерфейса, чтобы скрыть свою личность или выдать себя за другого.
• Биометрическая подделка, когда злоумышленник создает поддельный биометрический образец, чтобы выдать себя за другого пользователя.[27]

Фальсификация

Фальсификация описывает злонамеренную модификацию или изменение данных. Примерами могут служить так называемые атаки Evil Maid и внедрение службами безопасности возможностей наблюдения в маршрутизаторы.[28]

Вредоносное ПО

Вредоносное программное обеспечение (вредоносное ПО), установленное на компьютере, может привести к утечке личной информации, дать злоумышленнику контроль над системой и безвозвратно удалить данные.[29]

Information security culture

Employee behavior can have a big impact on information security in organizations. Cultural concepts can help different segments of the organization work effectively or work against effectiveness towards information security within an organization. Information security culture is the "...totality of patterns of behavior in an organization that contributes to the protection of information of all kinds."^[30]

Andersson and Reimers (2014) found that employees often do not see themselves as part of their organization's information security effort and often take actions that impede organizational changes.^[31] Indeed, the Verizon Data Breach Investigations Report 2020, which examined 3,950 security breaches, discovered 30% of cyber security incidents involved internal actors within a company.^[32] Research shows information security culture needs to be improved continuously. In ″Information Security Culture from Analysis to Change″, authors commented, ″It's a never-ending process, a cycle of evaluation and change or maintenance.″ To manage the information security culture, five steps should be taken: pre-evaluation, strategic planning, operative planning, implementation, and post-evaluation.^[33]

·         Pre-evaluation: To identify the awareness of information security within employees and to analyze the current security policies.

·         Strategic planning: To come up with a better awareness program, clear targets need to be set. Assembling a team of skilled professionals is helpful to achieve it.

·         Operative planning: A good security culture can be established based on internal communication, management-buy-in, security awareness and a training program.^[33]

·         Implementation: Four stages should be used to implement the information security culture. They are:

1.    Commitment of the management

2.    Communication with organizational members

3.    Courses for all organizational members

4.    Commitment of the employees^[33]

·         Post-evaluation: To assess the success of the planning and implementation, and to identify unresolved areas of concern.

Культура информационной безопасности

Поведение сотрудников может иметь большое влияние на информационную безопасность в организациях. Культурные концепции могут помочь различным сегментам организации работать эффективно или работать против эффективности информационной безопасности внутри организации. Культура информационной безопасности — это «... совокупность моделей поведения в организации, способствующих защите информации всех видов».[30]

Андерссон и Реймерс (2014) обнаружили, что сотрудники часто не считают себя частью усилий по информационной безопасности своей организации и часто предпринимают действия, препятствующие организационным изменениям.[31]

Действительно, в отчете Verizon Data Breach Investigations Report 2020, в котором было рассмотрено 3950 нарушений безопасности, было обнаружено, что 30% инцидентов кибербезопасности были связаны с внутренними субъектами внутри компании.[32]

Исследования показывают, что культура информационной безопасности нуждается в постоянном совершенствовании. В статье «Культура информационной безопасности от анализа к изменению» авторы отметили: «Это бесконечный процесс, цикл оценки и изменения или обслуживания». Чтобы управлять культурой информационной безопасности, необходимо предпринять пять шагов: предварительная оценка, стратегическое планирование, оперативное планирование, реализация и пост-оценка.[33]

• Предварительная оценка: определить осведомленность сотрудников об информационной безопасности и проанализировать текущие политики безопасности.
• Стратегическое планирование: чтобы разработать лучшую программу повышения осведомленности, необходимо установить четкие цели. Этому способствует сбор команды квалифицированных специалистов.
• Оперативное планирование. Хорошая культура безопасности может быть создана на основе внутренней коммуникации, участия руководства, осведомленности о безопасности и программы обучения.[33]
• Внедрение: Для внедрения культуры информационной безопасности следует использовать четыре этапа. Они есть:
  • Приверженность руководства
  • Общение с членами организации
  • Курсы для всех членов организации
  • Приверженность сотрудников[33]
• Пост-оценка: для оценки успеха планирования и реализации, а также для выявления нерешенных проблемных областей

Systems at risk

The growth in the number of computer systems and the increasing reliance upon them by individuals, businesses, industries, and governments means that there are an increasing number of systems at risk.

Financial systems

The computer systems of financial regulators and financial institutions like the U.S. Securities and Exchange Commission, SWIFT, investment banks, and commercial banks are prominent hacking targets for cybercriminals interested in manipulating markets and making illicit gains.^[34] Websites and apps that accept or store credit card numbers, brokerage accounts, and bank account information are also prominent hacking targets, because of the potential for immediate financial gain from transferring money, making purchases, or selling the information on the black market.^[35] In-store payment systems and ATMs have also been tampered with in order to gather customer account data and PINs.

Utilities and industrial equipment

Computers control functions at many utilities, including coordination of telecommunications, the power grid, nuclear power plants, and valve opening and closing in water and gas networks. The Internet is a potential attack vector for such machines if connected, but the Stuxnet worm demonstrated that even equipment controlled by computers not connected to the Internet can be vulnerable. In 2014, the Computer Emergency Readiness Team, a division of the Department of Homeland Security, investigated 79 hacking incidents at energy companies.^[36]

Aviation

The aviation industry is very reliant on a series of complex systems which could be attacked.^[37] A simple power outage at one airport can cause repercussions worldwide,^[38] much of the system relies on radio transmissions which could be disrupted,^[39] and controlling aircraft over oceans is especially dangerous because radar surveillance only extends 175 to 225 miles offshore.^[40] There is also potential for attack from within an aircraft.^[41]

In Europe, with the (Pan-European Network Service)^[42] and NewPENS,^[43] and in the US with the NextGen program,^[44] air navigation service providers are moving to create their own dedicated networks.

The consequences of a successful attack range from loss of confidentiality to loss of system integrity, air traffic control outages, loss of aircraft, and even loss of life.

Consumer devices

Desktop computers and laptops are commonly targeted to gather passwords or financial account information, or to construct a botnet to attack another target. Smartphones, tablet computers, smart watches, and other mobile devices such as quantified self devices like activity trackers have sensors such as cameras, microphones, GPS receivers, compasses, and accelerometers which could be exploited, and may collect personal information, including sensitive health information. WiFi, Bluetooth, and cell phone networks on any of these devices could be used as attack vectors, and sensors might be remotely activated after a successful breach.^[45]

The increasing number of home automation devices such as the Nest thermostat are also potential targets.^[45]

Large corporations

Large corporations are common targets. In many cases attacks are aimed at financial gain through identity theft and involve data breaches. Examples include the loss of millions of clients' credit card details by Home Depot,^[46] Staples,^[47] Target Corporation,^[48] and the most recent breach of Equifax.^[49]

Medical records have been targeted in general identify theft, health insurance fraud, and impersonating patients to obtain prescription drugs for recreational purposes or resale.^[50] Although cyber threats continue to increase, 62% of all organizations did not increase security training for their business in 2015.^[51]

Not all attacks are financially motivated, however: security firm HBGary Federal suffered a serious series of attacks in 2011 from hacktivist group Anonymous in retaliation for the firm's CEO claiming to have infiltrated their group,^[52][53] and Sony Pictures was hacked in 2014 with the apparent dual motive of embarrassing the company through data leaks and crippling the company by wiping workstations and servers.^[54][55]

Automobiles

See also: Autonomous car § Potential disadvantages, Automated driving system § Risks and liabilities, and Automotive hacking

Vehicles are increasingly computerized, with engine timing, cruise control, anti-lock brakes, seat belt tensioners, door locks, airbags and advanced driver-assistance systems on many models. Additionally, connected cars may use WiFi and Bluetooth to communicate with onboard consumer devices and the cell phone network.^[56] Self-driving cars are expected to be even more complex. All of these systems carry some security risk, and such issues have gained wide attention.^[57][58][59]

Simple examples of risk include a malicious compact disc being used as an attack vector,^[60] and the car's onboard microphones being used for eavesdropping. However, if access is gained to a car's internal controller area network, the danger is much greater^[56] – and in a widely publicized 2015 test, hackers remotely carjacked a vehicle from 10 miles away and drove it into a ditch.^[61][62]

Manufacturers are reacting in numerous ways, with Tesla in 2016 pushing out some security fixes "over the air" into its cars' computer systems.^[63] In the area of autonomous vehicles, in September 2016 the United States Department of Transportation announced some initial safety standards, and called for states to come up with uniform policies.^[64][65]

Government

Government and military computer systems are commonly attacked by activists^[66][67][68] and foreign powers.^{[69][70][71][72]} Local and regional government infrastructure such as traffic light controls, police and intelligence agency communications, personnel records, student records,^[73] and financial systems are also potential targets as they are now all largely computerized. Passports and government ID cards that control access to facilities which use RFID can be vulnerable to cloning.

Internet of things and physical vulnerabilities

The Internet of things (IoT) is the network of physical objects such as devices, vehicles, and buildings that are embedded with electronics, software, sensors, and network connectivity that enables them to collect and exchange data.^[74] Concerns have been raised that this is being developed without appropriate consideration of the security challenges involved.^[75][76]

While the IoT creates opportunities for more direct integration of the physical world into computer-based systems,^[77][78] it also provides opportunities for misuse. In particular, as the Internet of Things spreads widely, cyberattacks are likely to become an increasingly physical (rather than simply virtual) threat.^[79] If a front door's lock is connected to the Internet, and can be locked/unlocked from a phone, then a criminal could enter the home at the press of a button from a stolen or hacked phone. People could stand to lose much more than their credit card numbers in a world controlled by IoT-enabled devices. Thieves have also used electronic means to circumvent non-Internet-connected hotel door locks.^[80]

An attack that targets physical infrastructure and/or human lives is sometimes referred to as a cyber-kinetic attack. As IoT devices and appliances gain currency, cyber-kinetic attacks can become pervasive and significantly damaging.

Medical systems

See also: Medical device hijack and Medical data breach

Medical devices have either been successfully attacked or had potentially deadly vulnerabilities demonstrated, including both in-hospital diagnostic equipment^[81] and implanted devices including pacemakers^[82] and insulin pumps.^[83] There are many reports of hospitals and hospital organizations getting hacked, including ransomware attacks,^{[84][85][86][87]} Windows XP exploits,^[88][89] viruses,^[90][91] and data breaches of sensitive data stored on hospital servers.^{[92][85][93][94]} On 28 December 2016 the US Food and Drug Administration released its recommendations for how medical device manufacturers should maintain the security of Internet-connected devices – but no structure for enforcement.^[95][96]

Energy sector

In distributed generation systems, the risk of a cyber attack is real, according to Daily Energy Insider. An attack could cause a loss of power in a large area for a long period of time, and such an attack could have just as severe consequences as a natural disaster. The District of Columbia is considering creating a Distributed Energy Resources (DER) Authority within the city, with the goal being for customers to have more insight into their own energy use and giving the local electric utility, Pepco, the chance to better estimate energy demand. The D.C. proposal, however, would "allow third-party vendors to create numerous points of energy distribution, which could potentially create more opportunities for cyber attackers to threaten the electric grid."^[97]

Системы в опасности

Рост числа компьютерных систем и все более широкое использование их отдельными лицами, предприятиями, отраслями и правительствами означает, что все большее число систем подвергается риску.

Финансовые системы

 Компьютерные системы финансовых регуляторов и финансовых учреждений, таких как Комиссия по ценным бумагам и биржам США, SWIFT, инвестиционные банки и коммерческие банки, являются важными объектами взлома для киберпреступников, заинтересованных в манипулировании рынками и получении незаконных доходов.[34] Веб-сайты и приложения, которые принимают или хранят номера кредитных карт, брокерские счета и информацию о банковских счетах, также являются важными целями для взлома из-за потенциальной возможности немедленной финансовой выгоды от перевода денег, совершения покупок или продажи информации на черном рынке[35]. ] Платежные системы и банкоматы в магазинах также подвергались взлому с целью сбора данных учетных записей клиентов и PIN-кодов.

Коммунальное и промышленное оборудование

Компьютеры контролируют функции на многих коммунальных предприятиях, включая координацию телекоммуникаций, энергосистемы, атомных электростанций, а также открытие и закрытие клапанов в водопроводных и газовых сетях. Интернет является потенциальным вектором атаки для таких машин, если они подключены, но червь Stuxnet продемонстрировал, что даже оборудование, управляемое компьютерами, не подключенными к Интернету, может быть уязвимым. В 2014 году Группа готовности к компьютерным чрезвычайным ситуациям, подразделение Министерства внутренней безопасности, расследовала 79 случаев взлома в энергетических компаниях.[36]

Авиация

Авиационная промышленность очень зависит от ряда сложных систем, которые могут быть атакованы.[37] Простое отключение электроэнергии в одном аэропорту может вызвать последствия во всем мире,[38] большая часть системы зависит от радиопередач, которые могут быть прерваны,[39] а управление воздушными судами над океанами особенно опасно, поскольку радиолокационное наблюдение простирается только на 175–225 миль от берега. [40] Существует также возможность атаки изнутри самолета.[41] В Европе с помощью (Pan-European Network Service)[42] и NewPENS[43] и в США с помощью программы NextGen[44] поставщики аэронавигационных услуг переходят к созданию своих собственных выделенных сетей. Последствия успешной атаки варьируются от потери конфиденциальности до потери целостности системы, перебоев в управлении воздушным движением, потери самолетов и даже гибели людей.

Бытовые устройства

Настольные компьютеры и ноутбуки обычно используются для сбора паролей или информации о финансовых счетах или для создания ботнета для атаки на другую цель. Смартфоны, планшетные компьютеры, смарт-часы и другие мобильные устройства, такие как устройства для количественной оценки личности, такие как трекеры активности, имеют датчики, такие как камеры, микрофоны, GPS-приемники, компасы и акселерометры, которые могут быть использованы и могут собирать личную информацию, включая конфиденциальную информацию о здоровье. . Wi-Fi, Bluetooth и сети сотовой связи на любом из этих устройств могут быть использованы в качестве векторов атаки, а датчики могут быть удаленно активированы после успешного взлома[45]. Растущее количество устройств домашней автоматизации, таких как термостат Nest, также является потенциальными целями.

Крупные корпорации

Крупные корпорации являются обычными целями. Во многих случаях атаки направлены на получение финансовой выгоды за счет кражи личных данных и включают утечку данных. Примеры включают потерю миллионов данных кредитных карт клиентов компаниями Home Depot[46], Staples[47], Target Corporation[48] и недавнее нарушение Equifax[49]. Медицинские записи были нацелены на выявление краж, мошенничества с медицинским страхованием и выдачи себя за пациентов с целью получения рецептурных лекарств для рекреационных целей или перепродажи. Несмотря на то, что киберугрозы продолжают расти, 62% всех организаций в 2015 году не увеличили количество тренингов по безопасности для своего бизнеса[51]. Однако не все атаки имеют финансовую подоплеку: в 2011 году охранная компания HBGary Federal подверглась серьезной серии атак со стороны группы хактивистов Anonymous в отместку за то, что генеральный директор фирмы утверждал, что проник в их группу,[52][53] а Sony Pictures была взломана в 2014 г. с очевидным двойным мотивом: поставить компанию в неловкое положение из-за утечки данных и нанести ущерб компании путем очистки рабочих станций и серверов.

Автомобили

См. Также: Автономный автомобиль § Потенциальные недостатки, Автоматизированная система вождения § Риски и обязательства и Взлом автомобилей.

Транспортные средства все больше компьютеризируются, с синхронизацией двигателя, круиз-контролем, антиблокировочной системой тормозов, натяжителями ремней безопасности, дверными замками, подушками безопасности и передовыми системами помощи водителю на многих моделях. Кроме того, подключенные автомобили могут использовать Wi-Fi и Bluetooth для связи с бортовыми потребительскими устройствами и сетью сотовой связи.[56] Ожидается, что беспилотные автомобили будут еще более сложными. Все эти системы несут некоторую угрозу безопасности, и такие проблемы привлекли широкое внимание.[57][58][59] Простые примеры риска включают использование вредоносного компакт-диска в качестве вектора атаки[60] и использование бортовых микрофонов автомобиля для подслушивания. Однако, если получен доступ к внутренней сети контроллера автомобиля, опасность намного выше[56] — и в широко разрекламированном тесте 2015 года хакеры удаленно угнали автомобиль с расстояния 10 миль и загнали его в кювет[61]. [62] Производители реагируют по-разному: в 2016 году Tesla выпустила некоторые исправления безопасности «по воздуху» в компьютерные системы своих автомобилей.[63] В области автономных транспортных средств в сентябре 2016 года Министерство транспорта США объявило о некоторых первоначальных стандартах безопасности и призвало штаты выработать единую политику.

Правительство

Правительственные и военные компьютерные системы обычно подвергаются атакам со стороны активистов[66][67][68] и иностранных держав[69][70][71][72]. Местная и региональная правительственная инфраструктура, такая как управление светофорами, связь полиции и разведывательных служб, кадровые записи, студенческие записи[73] и финансовые системы, также являются потенциальными целями, поскольку в настоящее время все они в значительной степени компьютеризированы. Паспорта и государственные удостоверения личности, которые контролируют доступ к объектам, использующим RFID, могут быть уязвимы для клонирования.

Интернет вещей и физические уязвимости

Интернет вещей (IoT) — это сеть физических объектов, таких как устройства, транспортные средства и здания, которые оснащены электроникой, программным обеспечением, датчиками и сетевым подключением, что позволяет им собирать данные и обмениваться ими.[74] Были высказаны опасения, что это разрабатывается без надлежащего учета связанных с этим проблем безопасности. В то время как IoT создает возможности для более прямой интеграции физического мира в компьютерные системы,[77][78] он также предоставляет возможности для неправомерного использования. В частности, по мере широкого распространения Интернета вещей кибератаки, вероятно, будут становиться все более физической (а не просто виртуальной) угрозой[79]. Если замок входной двери подключен к Интернету и его можно заблокировать/отпереть с телефона, то преступник может войти в дом нажатием кнопки с украденного или взломанного телефона. Люди могут потерять гораздо больше, чем номера своих кредитных карт, в мире, контролируемом устройствами с поддержкой IoT. Воры также использовали электронные средства для обхода дверных замков отелей, не подключенных к Интернету. Атаку, нацеленную на физическую инфраструктуру и/или человеческие жизни, иногда называют киберкинетической атакой. По мере роста популярности устройств и устройств IoT киберкинетические атаки могут стать всепроникающими и нанести значительный ущерб.

Медицинские системы

См. Также: Угон медицинского устройства и Утечка медицинских данных.

Медицинские устройства были либо успешно атакованы, либо демонстрировались потенциально смертельные уязвимости, включая как внутрибольничное диагностическое оборудование[81], так и имплантированные устройства, включая кардиостимуляторы[82] и инсулиновые помпы[83]. Есть много сообщений о взломе больниц и больничных организаций, включая атаки программ-вымогателей,[84][85][86][87] эксплойты Windows XP,[88][89] вирусы[90][91] и утечки данных конфиденциальные данные, хранящиеся на серверах больниц.[92][85][93][94] 28 декабря 2016 г. Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США опубликовало свои рекомендации о том, как производители медицинских устройств должны обеспечивать безопасность устройств, подключенных к Интернету, но без структуры для обеспечения соблюдения.

Энергетический сектор

По данным Daily Energy Insider, в системах распределенной генерации риск кибератаки реален. Атака может вызвать потерю электроэнергии на большой территории на длительный период времени, и такая атака может иметь такие же тяжелые последствия, как и стихийное бедствие. Округ Колумбия рассматривает возможность создания в городе Управления распределенных энергетических ресурсов (DER), цель которого состоит в том, чтобы потребители могли лучше понять свое собственное потребление энергии и дать местной электроэнергетической компании Pepco возможность лучше оценить спрос на энергию. . Однако предложение округа Колумбия «позволит сторонним поставщикам создавать многочисленные точки распределения энергии, что потенциально может создать больше возможностей для кибератак, угрожающих электросети».

Impact of security breaches

Serious financial damage has been caused by security breaches, but because there is no standard model for estimating the cost of an incident, the only data available is that which is made public by the organizations involved. "Several computer security consulting firms produce estimates of total worldwide losses attributable to virus and worm attacks and to hostile digital acts in general. The 2003 loss estimates by these firms range from $13 billion (worms and viruses only) to $226 billion (for all forms of covert attacks). The reliability of these estimates is often challenged; the underlying methodology is basically anecdotal."^[98]

However, reasonable estimates of the financial cost of security breaches can actually help organizations make rational investment decisions. According to the classic Gordon-Loeb Model analyzing the optimal investment level in information security, one can conclude that the amount a firm spends to protect information should generally be only a small fraction of the expected loss (i.e., the expected value of the loss resulting from a cyber/information security breach).^[99]

Влияние нарушений безопасности

Серьезный финансовый ущерб был причинен нарушениями безопасности, но, поскольку не существует стандартной модели для оценки стоимости инцидента, единственными доступными данными являются те, которые обнародованы вовлеченными организациями. «Несколько консалтинговых фирм по компьютерной безопасности производят оценки общих мировых потерь, связанных с атаками вирусов и червей, а также враждебными цифровыми действиями в целом. Оценки потерь этих фирм в 2003 году варьируются от 13 миллиардов долларов (только черви и вирусы) до 226 миллиардов долларов (для всех форм). скрытых атак). Надежность этих оценок часто подвергается сомнению; лежащая в их основе методология в основном анекдотична».[98]

Однако разумные оценки финансовых затрат на нарушения безопасности могут помочь организациям принять рациональные инвестиционные решения. В соответствии с классической моделью Гордона-Леба, анализируя оптимальный уровень инвестиций в информационную безопасность, можно сделать вывод, что сумма, которую фирма тратит на защиту информации, как правило, должна составлять лишь небольшую часть ожидаемых потерь (т. из-за нарушения кибер-/информационной безопасности)[99].

Attacker motivation

As with physical security, the motivations for breaches of computer security vary between attackers. Some are thrill-seekers or vandals, some are activists, others are criminals looking for financial gain. State-sponsored attackers are now common and well resourced but started with amateurs such as Markus Hess who hacked for the KGB, as recounted by Clifford Stoll in The Cuckoo's Egg.

Additionally, recent attacker motivations can be traced back to extremist organizations seeking to gain political advantage or disrupt social agendas.^[100] The growth of the internet, mobile technologies, and inexpensive computing devices have led to a rise in capabilities but also to the risk to environments that are deemed as vital to operations. All critical targeted environments are susceptible to compromise and this has led to a series of proactive studies on how to migrate the risk by taking into consideration motivations by these types of actors. Several stark differences exist between the hacker motivation and that of nation state actors seeking to attack based on an ideological preference.^[101]

A standard part of threat modeling for any particular system is to identify what might motivate an attack on that system, and who might be motivated to breach it. The level and detail of precautions will vary depending on the system to be secured. A home personal computer, bank, and classified military network face very different threats, even when the underlying technologies in use are similar.^[102]

Мотивация злоумышленника

Как и в случае с физической безопасностью, мотивы нарушения компьютерной безопасности различаются у разных злоумышленников. Некоторые любители острых ощущений или вандалы, некоторые активисты, другие преступники, ищущие финансовой выгоды. Злоумышленники, спонсируемые государством, сейчас широко распространены и хорошо обеспечены ресурсами, но начинались они с таких любителей, как Маркус Хесс, который занимался хакерством для КГБ, как рассказывает Клиффорд Столл в «Яйце кукушки».

Кроме того, недавние мотивы злоумышленников можно проследить до экстремистских организаций, стремящихся получить политическое преимущество или нарушить социальные планы.[100] Рост Интернета, мобильных технологий и недорогих вычислительных устройств привел к увеличению возможностей, но также и к риску для сред, которые считаются жизненно важными для операций. Все критически важные целевые среды подвержены компрометации, и это привело к серии упреждающих исследований о том, как перенести риск с учетом мотивов этих типов субъектов. Существует несколько резких различий между мотивацией хакеров и мотивами национальных государств, пытающихся атаковать на основе идеологических предпочтений.[101]

Стандартной частью моделирования угроз для любой конкретной системы является определение того, что может побудить к атаке на эту систему, и кто может быть заинтересован в ее взломе. Уровень и детализация мер предосторожности будут различаться в зависимости от защищаемой системы. Домашний персональный компьютер, банк и засекреченная военная сеть сталкиваются с совершенно разными угрозами, даже если используемые технологии схожи.[102]

Computer protection (countermeasures)

In computer security, a countermeasure is an action, device, procedure or technique that reduces a threat, a vulnerability, or an attack by eliminating or preventing it, by minimizing the harm it can cause, or by discovering and reporting it so that corrective action can be taken.^{[103][104][105]}

Some common countermeasures are listed in the following sections:

Security by design

Main article: Secure by design

Security by design, or alternately secure by design, means that the software has been designed from the ground up to be secure. In this case, security is considered as a main feature.

Some of the techniques in this approach include:

·         The principle of least privilege, where each part of the system has only the privileges that are needed for its function. That way, even if an attacker gains access to that part, they only have limited access to the whole system.

·         Automated theorem proving to prove the correctness of crucial software subsystems.

·         Code reviews and unit testing, approaches to make modules more secure where formal correctness proofs are not possible.

·         Defense in depth, where the design is such that more than one subsystem needs to be violated to compromise the integrity of the system and the information it holds.

·         Default secure settings, and design to "fail secure" rather than "fail insecure" (see fail-safe for the equivalent in safety engineering). Ideally, a secure system should require a deliberate, conscious, knowledgeable and free decision on the part of legitimate authorities in order to make it insecure.

·         Audit trails track system activity so that when a security breach occurs, the mechanism and extent of the breach can be determined. Storing audit trails remotely, where they can only be appended to, can keep intruders from covering their tracks.

·         Full disclosure of all vulnerabilities, to ensure that the "window of vulnerability" is kept as short as possible when bugs are discovered.

Security architecture

The Open Security Architecture organization defines IT security architecture as "the design artifacts that describe how the security controls (security countermeasures) are positioned, and how they relate to the overall information technology architecture. These controls serve the purpose to maintain the system's quality attributes: confidentiality, integrity, availability, accountability and assurance services".^[106]

Techopedia defines security architecture as "a unified security design that addresses the necessities and potential risks involved in a certain scenario or environment. It also specifies when and where to apply security controls. The design process is generally reproducible." The key attributes of security architecture are:^[107]

·         the relationship of different components and how they depend on each other.

·         determination of controls based on risk assessment, good practices, finances, and legal matters.

·         the standardization of controls.

Practicing security architecture provides the right foundation to systematically address business, IT and security concerns in an organization.

Security measures

A state of computer "security" is the conceptual ideal, attained by the use of the three processes: threat prevention, detection, and response. These processes are based on various policies and system components, which include the following:

·         User account access controls and cryptography can protect systems files and data, respectively.

·         Firewalls are by far the most common prevention systems from a network security perspective as they can (if properly configured) shield access to internal network services, and block certain kinds of attacks through packet filtering. Firewalls can be both hardware and software-based.

·         Intrusion Detection System (IDS) products are designed to detect network attacks in-progress and assist in post-attack forensics, while audit trails and logs serve a similar function for individual systems.

·         "Response" is necessarily defined by the assessed security requirements of an individual system and may cover the range from simple upgrade of protections to notification of legal authorities, counter-attacks, and the like. In some special cases, the complete destruction of the compromised system is favored, as it may happen that not all the compromised resources are detected.

Today, computer security consists mainly of "preventive" measures, like firewalls or an exit procedure. A firewall can be defined as a way of filtering network data between a host or a network and another network, such as the Internet, and can be implemented as software running on the machine, hooking into the network stack (or, in the case of most UNIX-based operating systems such as Linux, built into the operating system kernel) to provide real-time filtering and blocking. Another implementation is a so-called "physical firewall", which consists of a separate machine filtering network traffic. Firewalls are common amongst machines that are permanently connected to the Internet.

Some organizations are turning to big data platforms, such as Apache Hadoop, to extend data accessibility and machine learning to detect advanced persistent threats.^[108]

However, relatively few organizations maintain computer systems with effective detection systems, and fewer still have organized response mechanisms in place. As a result, as Reuters points out: "Companies for the first time report they are losing more through electronic theft of data than physical stealing of assets".^[109] The primary obstacle to effective eradication of cybercrime could be traced to excessive reliance on firewalls and other automated "detection" systems. Yet it is basic evidence gathering by using packet capture appliances that puts criminals behind bars.^{[citation needed]}

In order to ensure adequate security, the confidentiality, integrity and availability of a network, better known as the CIA triad, must be protected and is considered the foundation to information security.^[110] To achieve those objectives, administrative, physical and technical security measures should be employed. The amount of security afforded to an asset can only be determined when its value is known.^[111]

Vulnerability management

Main article: Vulnerability management

Vulnerability management is the cycle of identifying, remediating or mitigating vulnerabilities,^[112] especially in software and firmware. Vulnerability management is integral to computer security and network security.

Vulnerabilities can be discovered with a vulnerability scanner, which analyzes a computer system in search of known vulnerabilities,^[113] such as open ports, insecure software configuration, and susceptibility to malware. In order for these tools to be effective, they must be kept up to date with every new update the vendor release. Typically, these updates will scan for the new vulnerabilities that were introduced recently.

Beyond vulnerability scanning, many organizations contract outside security auditors to run regular penetration tests against their systems to identify vulnerabilities. In some sectors, this is a contractual requirement.^[114]

Reducing vulnerabilities

While formal verification of the correctness of computer systems is possible,^[115][116] it is not yet common. Operating systems formally verified include seL4,^[117] and SYSGO's PikeOS^[118][119] – but these make up a very small percentage of the market.

Two factor authentication is a method for mitigating unauthorized access to a system or sensitive information. It requires "something you know"; a password or PIN, and "something you have"; a card, dongle, cellphone, or another piece of hardware. This increases security as an unauthorized person needs both of these to gain access.

Social engineering and direct computer access (physical) attacks can only be prevented by non-computer means, which can be difficult to enforce, relative to the sensitivity of the information. Training is often involved to help mitigate this risk, but even in highly disciplined environments (e.g. military organizations), social engineering attacks can still be difficult to foresee and prevent.

Inoculation, derived from inoculation theory, seeks to prevent social engineering and other fraudulent tricks or traps by instilling a resistance to persuasion attempts through exposure to similar or related attempts.^[120]

It is possible to reduce an attacker's chances by keeping systems up to date with security patches and updates, using a security scanner^{[definition needed]} and/or hiring people with expertise in security, though none of these guarantee the prevention of an attack. The effects of data loss/damage can be reduced by careful backing up and insurance.

Hardware protection mechanisms

See also: Computer security compromised by hardware failure

While hardware may be a source of insecurity, such as with microchip vulnerabilities maliciously introduced during the manufacturing process,^[121][122] hardware-based or assisted computer security also offers an alternative to software-only computer security. Using devices and methods such as dongles, trusted platform modules, intrusion-aware cases, drive locks, disabling USB ports, and mobile-enabled access may be considered more secure due to the physical access (or sophisticated backdoor access) required in order to be compromised. Each of these is covered in more detail below.

·         USB dongles are typically used in software licensing schemes to unlock software capabilities,^{[citation needed]} but they can also be seen as a way to prevent unauthorized access to a computer or other device's software. The dongle, or key, essentially creates a secure encrypted tunnel between the software application and the key. The principle is that an encryption scheme on the dongle, such as Advanced Encryption Standard (AES) provides a stronger measure of security since it is harder to hack and replicate the dongle than to simply copy the native software to another machine and use it. Another security application for dongles is to use them for accessing web-based content such as cloud software or Virtual Private Networks (VPNs).^[123] In addition, a USB dongle can be configured to lock or unlock a computer.^[124]

·         Trusted platform modules (TPMs) secure devices by integrating cryptographic capabilities onto access devices, through the use of microprocessors, or so-called computers-on-a-chip. TPMs used in conjunction with server-side software offer a way to detect and authenticate hardware devices, preventing unauthorized network and data access.^[125]

·         Computer case intrusion detection refers to a device, typically a push-button switch, which detects when a computer case is opened. The firmware or BIOS is programmed to show an alert to the operator when the computer is booted up the next time.

·         Drive locks are essentially software tools to encrypt hard drives, making them inaccessible to thieves.^[126] Tools exist specifically for encrypting external drives as well.^[127]

·         Disabling USB ports is a security option for preventing unauthorized and malicious access to an otherwise secure computer. Infected USB dongles connected to a network from a computer inside the firewall are considered by the magazine Network World as the most common hardware threat facing computer networks.

·         Disconnecting or disabling peripheral devices ( like camera, GPS, removable storage etc.), that are not in use.^[128]

·         Mobile-enabled access devices are growing in popularity due to the ubiquitous nature of cell phones. Built-in capabilities such as Bluetooth, the newer Bluetooth low energy (LE), Near field communication (NFC) on non-iOS devices and biometric validation such as thumbprint readers, as well as QR code reader software designed for mobile devices, offer new, secure ways for mobile phones to connect to access control systems. These control systems provide computer security and can also be used for controlling access to secure buildings.^[129]

Secure operating systems

Main article: Security-evaluated operating system

One use of the term "computer security" refers to technology that is used to implement secure operating systems. In the 1980s, the United States Department of Defense (DoD) used the "Orange Book"^[130] standards, but the current international standard ISO/IEC 15408, "Common Criteria" defines a number of progressively more stringent Evaluation Assurance Levels. Many common operating systems meet the EAL4 standard of being "Methodically Designed, Tested and Reviewed", but the formal verification required for the highest levels means that they are uncommon. An example of an EAL6 ("Semiformally Verified Design and Tested") system is INTEGRITY-178B, which is used in the Airbus A380^[131] and several military jets.^[132]

Secure coding

Main article: Secure coding

In software engineering, secure coding aims to guard against the accidental introduction of security vulnerabilities. It is also possible to create software designed from the ground up to be secure. Such systems are "secure by design". Beyond this, formal verification aims to prove the correctness of the algorithms underlying a system;^[133] important for cryptographic protocols for example.

Capabilities and access control lists

Main articles: Access control list, Role-based access control, and Capability-based security

Within computer systems, two of the main security models capable of enforcing privilege separation are access control lists (ACLs) and role-based access control (RBAC).

An access-control list (ACL), with respect to a computer file system, is a list of permissions associated with an object. An ACL specifies which users or system processes are granted access to objects, as well as what operations are allowed on given objects.

Role-based access control is an approach to restricting system access to authorized users,^{[134][135][136]} used by the majority of enterprises with more than 500 employees,^[137] and can implement mandatory access control (MAC) or discretionary access control (DAC).

A further approach, capability-based security has been mostly restricted to research operating systems. Capabilities can, however, also be implemented at the language level, leading to a style of programming that is essentially a refinement of standard object-oriented design. An open-source project in the area is the E language.

End user security training

The end-user is widely recognized as the weakest link in the security chain^[138] and it is estimated that more than 90% of security incidents and breaches involve some kind of human error.^[139][140] Among the most commonly recorded forms of errors and misjudgment are poor password management, sending emails containing sensitive data and attachments to the wrong recipient, the inability to recognize misleading URLs and to identify fake websites and dangerous email attachments. A common mistake that users make is saving their user id/password in their browsers to make it easier to log in to banking sites. This is a gift to attackers who have obtained access to a machine by some means. The risk may be mitigated by the use of two-factor authentication.^[141]

As the human component of cyber risk is particularly relevant in determining the global cyber risk^[142] an organization is facing, security awareness training, at all levels, not only provides formal compliance with regulatory and industry mandates but is considered essential^[143] in reducing cyber risk and protecting individuals and companies from the great majority of cyber threats.

The focus on the end-user represents a profound cultural change for many security practitioners, who have traditionally approached cybersecurity exclusively from a technical perspective, and moves along the lines suggested by major security centers^[144] to develop a culture of cyber awareness within the organization, recognizing that a security-aware user provides an important line of defense against cyber attacks.

Digital hygiene

Related to end-user training, digital hygiene or cyber hygiene is a fundamental principle relating to information security and, as the analogy with personal hygiene shows, is the equivalent of establishing simple routine measures to minimize the risks from cyber threats. The assumption is that good cyber hygiene practices can give networked users another layer of protection, reducing the risk that one vulnerable node will be used to either mount attacks or compromise another node or network, especially from common cyberattacks.^[145] Cyber hygiene should also not be mistaken for proactive cyber defence, a military term.^[146]

As opposed to a purely technology-based defense against threats, cyber hygiene mostly regards routine measures that are technically simple to implement and mostly dependent on discipline^[147] or education.^[148] It can be thought of as an abstract list of tips or measures that have been demonstrated as having a positive effect on personal and/or collective digital security. As such, these measures can be performed by laypeople, not just security experts.

Cyber hygiene relates to personal hygiene as computer viruses relate to biological viruses (or pathogens). However, while the term computer virus was coined almost simultaneously with the creation of the first working computer viruses,^[149] the term cyber hygiene is a much later invention, perhaps as late as 2000^[150] by Internet pioneer Vint Cerf. It has since been adopted by the Congress^[151] and Senate of the United States,^[152] the FBI,^[153] EU institutions^[145] and heads of state.^[146]

Response to breaches

Responding to attempted security breaches is often very difficult for a variety of reasons, including:

·         Identifying attackers is difficult, as they may operate through proxies, temporary anonymous dial-up accounts, wireless connections, and other anonymizing procedures which make back-tracing difficult - and are often located in another jurisdiction. If they successfully breach security, they have also often gained enough administrative access to enable them to delete logs to cover their tracks.

·         The sheer number of attempted attacks, often by automated vulnerability scanners and computer worms, is so large that organizations cannot spend time pursuing each.

·         Law enforcement officers often lack the skills, interest or budget to pursue attackers. In addition, the identification of attackers across a network may require logs from various points in the network and in many countries, which may be difficult or time-consuming to obtain.

Where an attack succeeds and a breach occurs, many jurisdictions now have in place mandatory security breach notification laws.

Защита компьютера (меры противодействия)

В компьютерной безопасности контрмера — это действие, устройство, процедура или метод, которые уменьшают угрозу, уязвимость или атаку, устраняя или предотвращая их, минимизируя вред, который они могут причинить, или обнаруживая и сообщая о них, чтобы корректирующие действия можно взять.[103][104][105] Некоторые распространенные контрмеры перечислены в следующих разделах:

Безопасность по дизайну

Основная статья: Безопасность по дизайну

Безопасность по дизайну или, альтернативно, безопасность по замыслу означает, что программное обеспечение было разработано с нуля для обеспечения безопасности. В этом случае безопасность рассматривается как основной признак.

Некоторые из методов этого подхода включают в себя:

• Принцип наименьших привилегий, при котором каждая часть системы имеет только те привилегии, которые необходимы для ее функционирования. Таким образом, даже если злоумышленник получит доступ к этой части, он будет иметь ограниченный доступ ко всей системе.
• Автоматизированное доказательство теорем для доказательства правильности важнейших программных подсистем.
• Обзоры кода и модульное тестирование, подходы к повышению безопасности модулей, где формальные доказательства правильности невозможны.
• Глубокоэшелонированная защита, когда конструкция такова, что необходимо нарушить более одной подсистемы, чтобы поставить под угрозу целостность системы и хранимой в ней информации.   Настройки безопасности по умолчанию и дизайн для «отказоустойчивости», а не «отказоустойчивости» (см. «Отказоустойчивость» для эквивалента в технике безопасности). В идеале безопасная система должна требовать преднамеренного, сознательного, осведомленного и свободного решения со стороны законных властей, чтобы сделать ее небезопасной.
• Журналы аудита отслеживают активность системы, чтобы в случае нарушения безопасности можно было определить механизм и степень нарушения.
• Удаленное хранение журналов аудита, к которым их можно только добавлять, может помешать злоумышленникам замести следы. Полное раскрытие всех уязвимостей, чтобы обеспечить как можно более короткое «окно уязвимости» при обнаружении ошибок.

Архитектура безопасности

Организация Open Security Architecture определяет архитектуру ИТ-безопасности как «артефакты проектирования, которые описывают, как расположены элементы управления безопасностью (меры противодействия безопасности) и как они соотносятся с общей архитектурой информационных технологий. Эти элементы управления служат для поддержания атрибутов качества системы: услуги конфиденциальности, целостности, доступности, подотчетности и гарантии».[106]

Techopedia определяет архитектуру безопасности как «унифицированный дизайн безопасности, который учитывает потребности и потенциальные риски, связанные с определенным сценарием или средой. Он также указывает, когда и где применять меры безопасности. Процесс проектирования обычно воспроизводим». Ключевые атрибуты архитектуры безопасности:[107] взаимосвязь различных компонентов и то, как они зависят друг от друга. определение средств контроля на основе оценки рисков, передовой практики, финансов и правовых вопросов. стандартизация средств контроля. Практика архитектуры безопасности обеспечивает правильную основу для систематического решения проблем бизнеса, ИТ и безопасности в организации.

Меры безопасности

Состояние компьютерной «безопасности» — это концептуальный идеал, достигаемый за счет использования трех процессов: предотвращения угроз, обнаружения и реагирования. Эти процессы основаны на различных политиках и системных компонентах, включая следующие:

• Средства управления доступом к учетным записям пользователей и криптография могут защитить системные файлы и данные соответственно.
• Брандмауэры на сегодняшний день являются наиболее распространенными системами предотвращения с точки зрения сетевой безопасности, поскольку они могут (при правильной настройке) блокировать доступ к внутренним сетевым службам и блокировать определенные виды атак посредством фильтрации пакетов.
• Межсетевые экраны могут быть как аппаратными, так и программными.
• Продукты системы обнаружения вторжений (IDS) предназначены для обнаружения сетевых атак в процессе и помогают в криминалистической экспертизе после атаки, в то время как журналы аудита выполняют аналогичную функцию для отдельных систем.
• «Реагирование» обязательно определяется оцененными требованиями безопасности отдельной системы и может охватывать диапазон от простого обновления защиты до уведомления правоохранительных органов, контратак и т.п. В некоторых особых случаях рекомендуется полное уничтожение скомпрометированной системы, так как может случиться так, что не все скомпрометированные ресурсы будут обнаружены.

Сегодня компьютерная безопасность состоит в основном из «превентивных» мер, таких как брандмауэры или процедура выхода. Брандмауэр может быть определен как способ фильтрации сетевых данных между хостом или сетью и другой сетью, такой как Интернет, и может быть реализован как программное обеспечение, работающее на машине, подключающееся к сетевому стеку (или, в случае большинство операционных систем на основе UNIX, таких как Linux, встроенных в ядро ​​операционной системы) для обеспечения фильтрации и блокировки в реальном времени. Другой реализацией является так называемый «физический брандмауэр», который состоит из отдельной машины, фильтрующей сетевой трафик. Брандмауэры распространены среди машин, которые постоянно подключены к Интернету.

Некоторые организации обращаются к платформам больших данных, таким как Apache Hadoop, для расширения доступа к данным и машинного обучения для обнаружения сложных постоянных угроз.[108]

Однако относительно немногие организации поддерживают компьютерные системы с эффективными системами обнаружения, и еще меньше организаций имеют организованные механизмы реагирования. В результате, как отмечает агентство Reuters: «Компании впервые сообщают, что они теряют больше из-за электронной кражи данных, чем из-за физической кражи активов».[109]

Основным препятствием на пути эффективного искоренения киберпреступности можно считать чрезмерное использование брандмауэров и других автоматизированных систем «обнаружения». Тем не менее, сбор основных доказательств с использованием устройств захвата пакетов отправляет преступников за решетку. Для обеспечения надлежащей безопасности конфиденциальность, целостность и доступность сети, более известной как триада ЦРУ, должны быть защищены и считаются основой информационной безопасности.[110] Для достижения этих целей должны применяться административные, физические и технические меры безопасности. Величина обеспечения, предоставляемого активу, может быть определена только тогда, когда известна его стоимость.[111]

Управление уязвимостями

Основная статья: Управление уязвимостями

Управление уязвимостями — это цикл выявления, исправления или смягчения уязвимостей[112], особенно в программном обеспечении и микропрограммах. Управление уязвимостями является неотъемлемой частью компьютерной и сетевой безопасности. Уязвимости можно обнаружить с помощью сканера уязвимостей, который анализирует компьютерную систему в поисках известных уязвимостей[113], таких как открытые порты, небезопасная конфигурация программного обеспечения и подверженность вредоносным программам. Чтобы эти инструменты были эффективными, их необходимо обновлять с каждым новым обновлением, выпускаемым поставщиком. Как правило, эти обновления сканируют новые уязвимости, появившиеся недавно. Помимо сканирования уязвимостей, многие организации нанимают внешних аудиторов безопасности для проведения регулярных тестов на проникновение в свои системы для выявления уязвимостей. В некоторых секторах это является договорным требованием.[114]

Уменьшение уязвимостей

Хотя формальная проверка правильности компьютерных систем возможна,[115][116] она еще не распространена. Официально проверенные операционные системы включают seL4[117] и PikeOS от SYSGO[118][119], но они составляют очень небольшой процент рынка.

Двухфакторная аутентификация — это метод предотвращения несанкционированного доступа к системе или конфиденциальной информации. Это требует «чего-то, что вы знаете»; пароль или PIN-код и «что-то, что у вас есть»; карта, ключ, мобильный телефон или другое оборудование. Это повышает безопасность, поскольку неавторизованному лицу для получения доступа нужны оба этих устройства.

Социальная инженерия и атаки с прямым доступом к компьютеру (физические) могут быть предотвращены только некомпьютерными средствами, применение которых может быть затруднено из-за конфиденциальности информации. Чтобы снизить этот риск, часто требуется обучение, но даже в строго дисциплинированных средах (например, в военных организациях) атаки социальной инженерии трудно предвидеть и предотвратить.

Прививка, основанная на теории прививки, направлена ​​​​на предотвращение социальной инженерии и других мошеннических уловок или ловушек, прививая сопротивление попыткам убеждения путем воздействия на аналогичные или связанные попытки.

Можно уменьшить шансы злоумышленника, постоянно обновляя системы с помощью исправлений и обновлений безопасности, используя сканер безопасности [требуется определение] и/или нанимая людей, обладающих опытом в области безопасности, хотя ни один из этих способов не гарантирует предотвращение атаки. Последствия потери/повреждения данных можно уменьшить за счет тщательного резервного копирования и страхования.

Механизмы аппаратной защиты

См. Также: Компьютерная безопасность скомпрометирована аппаратным сбоем.

В то время как аппаратное обеспечение может быть источником небезопасности, например, с уязвимостями микрочипов, злонамеренно введенными в процессе производства, аппаратная или вспомогательная компьютерная безопасность также предлагает альтернативу компьютерной безопасности только программного обеспечения.Использование устройств и методов, таких как ключи, доверенные платформенные модули, случаи вторжений, блокировки дисков, отключение USB-портов и мобильный доступ, может считаться более безопасным из-за физического доступа (или сложного доступа через черный ход), необходимого для того, чтобы быть защищенным. скомпрометирован. Каждый из них более подробно рассматривается ниже.

• USB-ключи обычно используются в схемах лицензирования программного обеспечения для разблокировки возможностей программного обеспечения, но их также можно рассматривать как способ предотвращения несанкционированного доступа к компьютеру или программному обеспечению другого устройства. Ключ, или ключ, по существу создает безопасный зашифрованный туннель между программным приложением и ключом. Принцип заключается в том, что схема шифрования на ключе, такая как Advanced Encryption Standard (AES), обеспечивает более надежную меру безопасности, поскольку сложнее взломать и воспроизвести ключ, чем просто скопировать собственное программное обеспечение на другую машину и использовать его. Другое приложение безопасности для ключей — использовать их для доступа к веб-контенту, такому как облачное программное обеспечение или виртуальные частные сети (VPN) [123]. Кроме того, USB-ключ можно настроить для блокировки или разблокировки компьютера.[124]
• Модули доверенной платформы (TPM) защищают устройства, интегрируя криптографические возможности в устройства доступа с помощью микропроцессоров или так называемых компьютеров на кристалле. TPM, используемые в сочетании с программным обеспечением на стороне сервера, позволяют обнаруживать и аутентифицировать аппаратные устройства, предотвращая несанкционированный доступ к сети и данным.[125]
• Обнаружение вторжения в корпус компьютера относится к устройству, обычно кнопочному переключателю, которое обнаруживает, когда корпус компьютера открыт. Микропрограмма или BIOS запрограммированы на отображение предупреждения оператору при следующей загрузке компьютера.
• Блокировки дисков — это, по сути, программные инструменты для шифрования жестких дисков, что делает их недоступными для воров.[126] Инструменты существуют специально для шифрования внешних дисков.[127]
• Отключение USB-портов — это параметр безопасности для предотвращения несанкционированного и злонамеренного доступа к безопасному компьютеру. Зараженные USB-ключи, подключенные к сети с компьютера внутри брандмауэра, рассматриваются журналом Network World как наиболее распространенная аппаратная угроза для компьютерных сетей.
•  Отключение или отключение периферийных устройств (таких как камера, GPS, съемный накопитель и т. д.), которые не используются.[128]
• Мобильные устройства доступа становятся все более популярными из-за повсеместного распространения сотовых телефонов. Встроенные возможности, такие как Bluetooth, новый Bluetooth с низким энергопотреблением (LE), связь ближнего радиуса действия (NFC) на устройствах, отличных от iOS, и биометрическая проверка, такая как считыватели отпечатков пальцев, а также программное обеспечение для считывания QR-кодов, разработанное для мобильных устройств, предлагают новые возможности. , безопасные способы подключения мобильных телефонов к системам контроля доступа. Эти системы управления обеспечивают компьютерную безопасность, а также могут использоваться для контроля доступа в охраняемые здания.[129]

Безопасные операционные системы

Основная статья: Операционная система с оценкой безопасности

Одно использование термина «компьютерная безопасность» относится к технологии, которая используется для реализации безопасных операционных систем. В 1980-х годах Министерство обороны США (DoD) использовало стандарты «Оранжевой книги»[130], но действующий международный стандарт ISO/IEC 15408, «Общие критерии», определяет ряд все более строгих уровней обеспечения оценки. Многие распространенные операционные системы соответствуют стандарту EAL4 «Методически спроектированы, протестированы и проверены», но формальная проверка, необходимая для самых высоких уровней, означает, что они необычны. Примером системы EAL6 («Полуформально проверенная конструкция и испытания») является INTEGRITY-178B, которая используется в Airbus A380[131] и нескольких военных самолетах[132].

Безопасное кодирование

Основная статья: Безопасное кодирование В разработке программного обеспечения безопасное кодирование направлено на защиту от случайного появления уязвимостей безопасности. Также возможно создать программное обеспечение, разработанное с нуля для обеспечения безопасности. Такие системы «защищены по дизайну». Помимо этого, формальная верификация направлена ​​на доказательство правильности алгоритмов, лежащих в основе системы,[133] что важно, например, для криптографических протоколов.

Возможности и списки контроля доступа

Основные статьи: список контроля доступа, контроль доступа на основе ролей и безопасность на основе возможностей.

В компьютерных системах двумя основными моделями безопасности, способными обеспечить разделение привилегий, являются списки управления доступом (ACL) и управление доступом на основе ролей (RBAC).

Список управления доступом (ACL) по отношению к файловой системе компьютера представляет собой список разрешений, связанных с объектом. ACL указывает, каким пользователям или системным процессам предоставляется доступ к объектам, а также какие операции разрешены для данных объектов.

Управление доступом на основе ролей — это подход к ограничению доступа к системе для авторизованных пользователей[134][135][136], используемый большинством предприятий с более чем 500 сотрудниками[137] и может реализовать принудительный контроль доступа (MAC) или дискреционный контроль доступа (DAC).

Еще один подход, безопасность на основе возможностей, был в основном ограничен исследовательскими операционными системами. Однако возможности также могут быть реализованы на уровне языка, что приводит к стилю программирования, который по существу является усовершенствованием стандартного объектно-ориентированного дизайна. Проект с открытым исходным кодом в этой области — это язык E.

Обучение безопасности конечных пользователей

Конечный пользователь широко известен как самое слабое звено в цепочке безопасности[138], и, по оценкам, более 90% инцидентов и нарушений безопасности связаны с той или иной человеческой ошибкой[139][140]. Среди наиболее часто регистрируемых форм ошибок и ошибочных суждений — плохое управление паролями, отправка электронных писем, содержащих конфиденциальные данные и вложения, не тому получателю, невозможность распознать вводящие в заблуждение URL-адреса и идентифицировать поддельные веб-сайты и опасные вложения электронной почты. Распространенной ошибкой пользователей является сохранение своего идентификатора пользователя/пароля в своих браузерах, чтобы упростить вход на банковские сайты. Это подарок злоумышленникам, которые каким-то образом получили доступ к машине. Риск можно снизить за счет использования двухфакторной аутентификации[141].

Поскольку человеческий компонент киберриска особенно важен для определения глобального киберриска[142], с которым сталкивается организация, обучение по вопросам безопасности на всех уровнях не только обеспечивает формальное соблюдение нормативных и отраслевых требований, но и считается необходимым[143] в снижение киберриска и защита отдельных лиц и компаний от подавляющего большинства киберугроз.

Ориентация на конечного пользователя представляет собой глубокое культурное изменение для многих специалистов по безопасности, которые традиционно подходили к кибербезопасности исключительно с технической точки зрения и двигаются в направлении, предложенном крупными центрами безопасности[144], для развития культуры киберосведомленности в организации, признавая, что осведомленный о безопасности пользователь обеспечивает важную линию защиты от кибератак.

Цифровая гигиена

Связанная с обучением конечных пользователей цифровая гигиена или кибергигиена является фундаментальным принципом информационной безопасности и, как показывает аналогия с личной гигиеной, эквивалентна установлению простых рутинных мер для минимизации рисков от киберугроз. Предполагается, что надлежащие методы кибергигиены могут предоставить сетевым пользователям еще один уровень защиты, снижая риск того, что один уязвимый узел будет использоваться либо для проведения атак, либо для компрометации другого узла или сети, особенно в результате обычных кибератак.[145] Кибергигиену также не следует путать с проактивной киберзащитой — военным термином.[146]

В отличие от чисто технологической защиты от угроз, кибергигиена в основном касается рутинных мер, которые технически просты в реализации и в основном зависят от дисциплины[147] или образования[148]. Его можно рассматривать как абстрактный список советов или мер, которые, как было продемонстрировано, оказывают положительное влияние на личную и/или коллективную цифровую безопасность. Таким образом, эти меры могут выполняться непрофессионалами, а не только экспертами по безопасности. Кибергигиена относится к личной гигиене, как компьютерные вирусы относятся к биологическим вирусам (или патогенам). Однако, хотя термин «компьютерный вирус» был придуман почти одновременно с созданием первых работающих компьютерных вирусов[149], термин «кибергигиена» является гораздо более поздним изобретением, возможно, в 2000 году[150] пионером Интернета Винтом Серфом. С тех пор он был принят Конгрессом[151] и Сенатом США[152], ФБР[153], институтами ЕС[145] и главами государств[146].

Реагирование на нарушения

Реагирование на попытки нарушения безопасности часто бывает очень сложным по целому ряду причин, в том числе:

• Выявление злоумышленников затруднено, поскольку они могут действовать через прокси-серверы, временные анонимные учетные записи коммутируемого доступа, беспроводные соединения и другие процедуры анонимизации, которые затрудняют отслеживание, и часто находятся в другой юрисдикции. Если они успешно нарушают безопасность, они также часто получают достаточный административный доступ, позволяющий им удалять журналы, чтобы замести следы.
• Само количество попыток атак, часто с использованием автоматических сканеров уязвимостей и компьютерных червей, настолько велико, что организации не могут тратить время на расследование каждой из них.
• У сотрудников правоохранительных органов часто не хватает навыков, интереса или бюджета для преследования злоумышленников. Кроме того, для идентификации злоумышленников в сети могут потребоваться журналы из разных точек сети и из многих стран, получение которых может быть трудным или трудоемким.
  • • • В случае успеха атаки и нарушения безопасности во многих юрисдикциях теперь действуют законы об обязательном уведомлении о нарушениях безопасности.

Incident response planning

Incident response is an organized approach to addressing and managing the aftermath of a computer security incident or compromise with the goal of preventing a breach or thwarting a cyberattack.

An incident that is not identified and managed at the time of intrusion typically escalates to a more damaging event such as a data breach or system failure. The intended outcome of a computer security incident response plan is to contain the incident, limit damage and assist recovery to business as usual. Responding to compromises quickly can mitigate exploited vulnerabilities, restore services and processes and minimize losses.^[154] 

Incident response planning allows an organization to establish a series of best practices to stop an intrusion before it causes damage. Typical incident response plans contain a set of written instructions that outline the organization's response to a cyberattack.

Without a documented plan in place, an organization may not successfully detect an intrusion or compromise and stakeholders may not understand their roles, processes and procedures during an escalation, slowing the organization's response and resolution.

There are four key components of a computer security incident response plan:

1. Preparation: Preparing stakeholders on the procedures for handling computer security incidents or compromises
2. Detection and analysis: Identifying and investigating suspicious activity to confirm a security incident, prioritizing the response based on impact and coordinating notification of the incident
3. Containment, eradication and recovery: Isolating affected systems to prevent escalation and limit impact, pinpointing the genesis of the incident, removing malware, affected systems and bad actors from the environment and restoring systems and data when a threat no longer remains
4. Post incident activity: Post mortem analysis of the incident, its root cause and the organization's response with the intent of improving the incident response plan and future response efforts.^[155]

Планирование реагирования на инциденты

Реагирование на инциденты — это организованный подход к устранению последствий инцидента или компрометации компьютерной безопасности с целью предотвращения нарушения или пресечения кибератаки.

Инцидент, который не идентифицирован и не устранен во время вторжения, обычно перерастает в более разрушительное событие, такое как утечка данных или сбой системы. Планируемый результат плана реагирования на инциденты компьютерной безопасности состоит в сдерживании инцидента, ограничении ущерба и содействии восстановлению в обычном режиме. Быстрое реагирование на компрометацию может смягчить эксплуатируемые уязвимости, восстановить службы и процессы и минимизировать потери.[154]

Планирование реагирования на инциденты позволяет организации установить ряд передовых методов, чтобы остановить вторжение до того, как оно причинит ущерб. Типичные планы реагирования на инциденты содержат набор письменных инструкций, описывающих реакцию организации на кибератаку.

Без задокументированного плана организация не может успешно обнаружить вторжение или компрометацию, а заинтересованные стороны могут не понимать свои роли, процессы и процедуры во время эскалации, что замедляет реакцию организации и ее решение.

План реагирования на инциденты компьютерной безопасности состоит из четырех ключевых компонентов:

• Подготовка: подготовка заинтересованных сторон к процедурам обработки инцидентов или компрометации компьютерной безопасности.
• Обнаружение и анализ: выявление и расследование подозрительной активности для подтверждения инцидента безопасности, определение приоритетов реагирования на основе воздействия и координация уведомления об инциденте.
• Сдерживание, искоренение и восстановление: изоляция затронутых систем для предотвращения эскалации и ограничения воздействия, точное определение происхождения инцидента, удаление вредоносных программ, затронутых систем и злоумышленников из среды и восстановление систем и данных, когда угроза больше не существует.
• Действия после инцидента: постфактум анализ инцидента, его первопричины и реакции организации с целью улучшения плана реагирования на инцидент и будущих усилий по реагированию.[155]