Vojenská terminologie v kyberbezpečnosti není náhoda

Pokud budete chvíli poslouchat bezpečáka, můžete snadno nabýt pocitu, že jste v nějakém štábu, kde se plánuje invaze. Posuďte sami – perimetr, což je vojenský výraz pro obrannou linii kolem základny nebo objektu, taková DMZ neboli demilitarizované pásmo mezi dvěma územími, nebo také síťová zóna oddělující internet od interní sítě, kde jsou umístěny veřejně dostupné servery. Narazíme také na Bastion host, neboli pevnost či opevněný bod obrany (bastion), což je pro nás bezpečáky například silně zabezpečený server vystavený do internetu. Máme i Defense in Depth neboli obranu do hloubky, tedy vícevrstvou bezpečnostní architekturu s několika obrannými liniemi.

Přirovnání moderních kybernetických útoků k vojenským operacím však není jen metafora a převzetí terminologie není náhoda – mnoho principů je skutečně obdobných. Skutečně vedeme boj. Rozdíl je pouze v tom, že naším bojištěm jsou informační systémy a internet obecně a zbraněmi jsou software, zranitelnosti a sociální inženýrství.

Stejně jako armáda nejprve zjišťuje informace o protivníkovi, útočníci provádějí průzkum cíle. Zjišťují strukturu organizace, veřejně dostupné informace, používané technologie, e-mailové adresy zaměstnanců nebo služby dostupné z internetu. Cílem je nalézt nejslabší místo, kterým lze do organizace proniknout. Na základě získaných informací útočník připraví konkrétní způsob útoku. Může vytvořit phishingový e-mail, připravit škodlivý dokument, zneužít známou zranitelnost nebo vytvořit falešnou přihlašovací stránku. Stejně jako vojenská operace je útok přizpůsoben konkrétnímu cíli.

Na druhou stranu my, obránci – tady jako korporátní ajťáci máme víceméně možnost být jen v defenzivním postavení – budujeme více vrstev ochrany: firewally, segmentaci sítě, vícefaktorové ověřování (MFA), antivirovou ochranu, správu zranitelností nebo školení zaměstnanců. Vojenské jednotky využívají radary, hlídky nebo průzkumné prostředky. V kybernetické bezpečnosti nám jejich roli plní systémy SIEM, EDR, IDS/IPS nebo SOC, které nepřetržitě monitorují síť a koncová zařízení. Cílem není útoku vždy zabránit, ale co nejrychleji odhalit jeho průběh.

Po odhalení útoku nastupuje incident response tým. Napadené zařízení může být odpojeno od sítě, kompromitované účty zablokovány a škodlivý kód odstraněn. Stejně jako při vojenském zásahu je rozhodující rychlost a koordinace jednotlivých týmů.

Stejně jako ve vojenství rozhodují plánování, příprava, koordinace, rychlá komunikace a jasně definované postupy. Úspěšná obrana nevzniká jediným bezpečnostním produktem, ale propojením lidí, procesů a technologií do jednoho koordinovaného systému. A tady je i místo, kde vám můžeme poradit či rovnou pomoci. Můžeme být vaše záložní jednotka, ale i vaše Delta Force.

Pokud hledáte partnera pro kybernetickou bezpečnost, potřebujete konzultaci, pomoc s nastavením bezpečnostních opatření, splněním legislativních požadavků, školením zaměstnanců nebo řešením bezpečnostního incidentu, neváhejte se obrátit na Aricomu. Rádi s vámi projdeme vaše potřeby, navrhneme vhodné řešení a pomůžeme zvýšit úroveň zabezpečení vaší organizace. Jak se říká – za zeptání nic nedáte :-)