Укрепление периметра сети: агентства Five Eyes советуют бизнес по защите критических устройств

С ростом атак на периферийные устройства, позволяющих злоумышленникам проникать глубже в корпоративные сети, всем пора повышать уровень безопасности, говорят агентства альянса Five Eyes.

Национальные разведывательные службы пяти стран предложили предприятиям советы по победе над шпионами в их собственной игре в серии документов, призванных помочь защитить периферийные сетевые устройства и приборы — межсетевые экраны, маршрутизаторы, VPN-шлюзы, IoT-устройства, интернет-ориентированные серверы и интернет-ориентированные OT-системы (операционные технологии) — от кибератак.

Альянс Five Eyes объединяет разведывательные агентства Австралии, Канады, Новой Зеландии, Великобритании и США. Различные агентства подошли к задаче защиты периметра сети под разными углами, публикуя отчёты во вторник.

«Иностранные противники регулярно эксплуатируют уязвимости ПО в периферийных сетевых устройствах для проникновения в сети и системы критической инфраструктуры. Ущерб может быть дорогим, затратным по времени и катастрофическим по репутации для организаций публичного и частного сектора», — сказал в введении к руководству US Cybersecurity and Infrastructure Security Agency (CISA). «Эти руководства детализируют различные соображения и стратегии для более безопасной и устойчивой сети как до, так и после компрометации».

Новые документы дополняют американские рекомендации, помогающие производителям создавать устройства, безопасные по проектированию. Канадский центр кибербезопасности (CCCS) возглавил раздел «Соображения безопасности для периферийных устройств», который не только предоставляет подробный список дел для корпоративного IT, но и ссылается на конкретные рекомендации по безопасности для удалённых работников и организаций с моделями BYOD, а также руководства для производителей периферийных устройств.

Решённая проблема

В не слишком тонком упреке производителям продуктов с плохо защищёнными интерфейсами сетевого управления (NMI) также отмечено: «Возможно для вендоров закаливать свои продукты так, чтобы они оставались безопасными с NMI, открытыми в интернете. Это решённая проблема, и клиенты должны требовать от вендоров закалки устройств для защиты NMI».

Спецификации цифровой криминалистики мониторинга для продуктов сетевых устройств и приложений, возглавляемые Национальным центром кибербезопасности Великобритании (NCSC-UK), фокусируются на минимальных требованиях для криминалистической видимости. Детализируется, что должно логироваться, как журналы должны храниться и защищаться, и требования к приобретению криминалистических данных в случае инцидента.

«Следуя минимальным уровням наблюдаемости и базовым линиям цифровой криминалистики, описанным в этом руководстве, производители устройств и их клиенты будут лучше подготовлены к обнаружению и идентификации вредоносной активности против их решений», — говорится в документе. «Производители устройств также должны использовать его для установления базового набора стандартных функций, включаемых в архитектуру сетевых устройств и приборов, чтобы облегчить криминалистический анализ для защитников сети».

Австралия возглавила два документа: «Стратегии смягчения для периферийных устройств: руководство для руководителей» и «Стратегии смягчения для периферийных устройств: руководство для практиков». Эти руководства, возглавляемые Австралийским управлением сигналов (ASD) и Австралийским центром кибербезопасности (ACSC), предоставляют сводку стратегий смягчения и лучших практик по защите, закалке и управлению периферийными устройствами эффективно, и технические детали семи стратегий смягчения для операционного, закупочного и кибербезопасного персонала для снижения риска для периферийных устройств.

«Австралийское управление сигналов (ASD) через Австралийский центр кибербезопасности (ACSC) зафиксировало тревожный рост числа инцидентов, связанных с компрометацией периферийных устройств», — говорится в руководстве для практиков. «Периферийные устройства экспонированы в интернете, обычно трудно мониторить и могут получать доступ к другим активам в сети, предоставляя привлекательную точку входа и цель для злоумышленников».

Последний документ, возглавляемый CISA, — обновление руководства 2023 года по принципам Secure-by-Design для производителей со ссылками на ресурсы по внедрению.

«Продукты, спроектированные по принципам Secure by Design, приоритизируют безопасность клиентов как основное бизнес-требование, а не просто как техническую особенность», — говорится на вводной веб-странице. «Во время фазы проектирования жизненного цикла разработки продукта компании должны внедрять принципы Secure by Design, чтобы существенно уменьшить количество эксплуатируемых дефектов перед введением их на рынок для широкого использования или потребления. Из коробки продукты должны быть безопасны, с дополнительными функциями безопасности, такими как многофакторная аутентификация (MFA), логирование и единый вход (SSO), доступными без дополнительной стоимости».

Большое дело… если производители устройств соблюдают

Руководство для производителей особенно вдохновляет فرانка Диксона, группового вице-президента IDC по безопасности и доверию. «Это сверхбольшое дело», — сказал он. «Это легально огромно, особенно если производители устройств сдадутся и соблюдут эти требования».

«Эти устройства критически важны для миссии», — добавил он. «И некоторые из этих устройств имеют нелепое количество уязвимостей в плане объёма данных [протекающих через них]. Несмотря на это, многие не предлагают видимости в то, что происходит внутри, поэтому клиенты не могут оценить, делает ли производитель хорошую работу по обновлению прошивки и проактивности».

Кателль Тилеманн, выдающийся аналитик VP в Gartner, также довольна руководством, но заметила, что это лишь начало.

«Рекомендации позитивны в том, что показывают, что сообщество Five Eyes сотрудничает для выработки лучших практик», — сказала она. И они продолжают «напоминать сообществу, что всё, что подключено к интернету, по умолчанию экспонировано и является потенциальной целью».

OT — это не IT

Однако она не считает, что объединение в рекомендации интернет-подключённых межсетевых экранов, маршрутизаторов, IoT-устройств и OT-систем полезно для сообщества, и «ни называть их "периферийными устройствами", потому что это предполагает, что корпоративный IT — центр вселенной, а "периферия" — где-то там».

«Это может быть верно для межсетевых экранов, маршрутизаторов и VPN-шлюзов, но не для OT-систем», — продолжила она. «Эти OT-киберфизические системы (CPS), поддерживающие создание ценности в производстве и миссионно-критические среды. Они не периферия; они — ядро операций».

Многие подключены к интернету для поддержки удалённых операций и обслуживания, заметила она, поэтому «цель там должна быть в совете о том, как безопасно подключаться к этим системам удалённо, и тон рекомендаций должен быть нацелен на производственные реальности, где IT-инструменты и процессы безопасности не всегда хорошая идея».

Диксон тоже считает руководство хорошим первым шагом, но добавил: «если мы разрешим логирование и видимость для цифровой криминалистики, было бы тоже хорошо, если бы при возникновении проблемы мы могли фактически провести ремедиацию на этом устройстве, какой-то вид интердикции».

«Это была массовая проблема уже некоторое время», — сказал он. «Тот факт, что есть крупная, скоординированная акция по нескольким странам Five Eyes — экстремально значима. Она сильная, громкая, уместная, всё хорошее. Честно говоря, я был так впечатлён, что они анонсировали это, что просто сказал: "Слава богу, мы наконец решаем эту проблему"».

«Всё, что нам нужно — заставить пару действительно крупных организаций внедрить [руководство] как требование для закупки некоторых из этих периферийных устройств в будущем, и [проблема] будет решена».