脅威、脆弱性、そしてその間にある言葉

セキュリティの書き込みは、「ファイルサーバーで脅威を発見しました」などの文章でいっぱいです。それは4つの異なることを意味し、それぞれが異なる応答を必要とする可能性があります。そのため、語彙は他の何よりもすぐに理解する価値があります。

これらが分離されている理由は、それぞれ独立して対処できるためです。インターフェースを制限することで脆弱性を取り除くことができます。ネットワークにアクセスするユーザーを制御することで、脅威を軽減できます。既存のエクスプロイトについてできることはほとんどありません。そして、実際に予算を決定する基準はリスクです。

保護されているもの

セキュリティには 3 つの目標があり、コントロールがどの目的を果たすかを指定しておくと、それだけの価値があるかどうかを確認できます。

最低権限

すべてのアカウント、デバイス、トラフィックフローには、その業務に必要なだけのアクセス権限が与えられ、それ以上のアクセスはありません。ネットワークに適用すると、フィルターはまず必要な特定のフローを許可し、それ以外はすべて拒否することから始めます。誰かが考えたことをブロックして残りを許可することではありません。

そのため、アクセス制御リストではデフォルト拒否の順序が非常に重要です。暗黙的な拒否で終わるリストは、構造上最小限の権限しか示しません。特定の拒否のリストは、何が危険かを推測したものです。

多層防御

単一のコントロールは信頼できません。ルールは編集され、デバイスは交換され、金曜日の 5 時に誰かが例外を承認します。多層防御では、各レイヤーがときどき障害が発生することを想定し、1 つの障害だけでは十分ではないように調整します。

• セグメンテーションにより、侵害されたマシンがネットワークに到達する範囲が少なくなります。
• セグメント間の境界でフィルタリングするので、セグメント間の動きが明確になります。
• デバイスでの認証、つまり管理インターフェイスへのアクセスは、それを制御することとは異なります。
• 監視しているので、上記の障害は後で発見されるのではなく、気づきます。

緩和策とその他のオプション

緩和とは、リスクを取り除くことではなく軽減することを意味し、これは4つの対応のうちの1つです。そのうちの 3 つは正当なもので、4 つ目は誰も決定しない場合に起こることなので、どちらを選択したかを挙げると便利です。

リスクを受け入れることは現実的であり、多くの場合正しい判断です。失敗モードとは、気付かないうちに受け入れることです。これは、問題が発生する直前まで意図的に受け入れることと区別がつかない状態です。