О том, что обеспечение безопасности не ограничивается защитой периметра

Случалось ли вам объяснять, скажем, бухгалтерии, что такое сервер? Мне – да. И что такое СХД – тоже. «Представьте, - говорю, - что вы готовите борщ. Овощи – ваши данные. Вы их порезали и отправили в кастрюльку с бульоном. Вот. Кастрюлька – это ваш сервер. Там овощи - читай, данные - обрабатываются. Борщ сварился, аж целых 5 литров, но за раз вы его не съедите. Вы ставите кастрюльку в холодильник. Борща снова захотелось – открыли, отлили, обратно поставили. Холодильник – ваша СХД». Такое объяснение вполне удовлетворило Елену Геннадьевну, нашего главбуха.

Однако ж CISO, которому мы полгода «продавали» идею BAS, к метафорам слабости не имел. Зато имел слабость к исследованиям, аналитике и оценке рисков. Что ж… Официальным языком мы тоже умеем. А из придуманных аллегорий родилась сказка. В память о Владимире Безмалом, стоявшем в авангарде ликбеза в сфере ИБ.

Короче. В тридевятом царстве, в тридесятом государстве…

Василиса сидела в углу, вперив взгляд в одну точку. В голове было пусто, все мысли напрочь вынес ветер, дувший в уши во время полёта.

Горыныч затянулся и кинул окурок подальше. Тот упал на влажный каменный пол, зашипел и тут же погас. Сигареты Горынычу всегда хватало только на одну затяжку.

— Вась? А, Вась?

Василиса молчала.

— Вась, ну ты как?

Василиса оторвала взгляд от стены. В глазах Василисы был холод.

— А ты как думаешь, Горыныч? За неделю ты уже четырежды возвращал меня назад! У меня от твоих когтей все бока болят! Ну, сколько можно? Очередное похищение, очередной принц, очередная погоня. У него изо рта воняет хуже, чем у тебя… Господи, как же я устала! Чего они все лезут? На кой черт я им сдалась?

— Вась, ну прости. Я ж старался. Две дополнительные стены возвёл, колючую проволоку натянул, сигнализацию везде расставил! Я и почтовый ящик снял, чтоб - как ты говорила? - никаких возможностей для мошенников, которые твои личные данные могли бы спереть! Да и тебя заодно.

— Это называется "фишинг". Запомни: фишинг. Вид интернет-мошенничества, цель которого — получить идентификационные данные пользователей. Сюда относятся кражи паролей, номеров кредитных карт, банковских счетов и другой конфиденциальной информации. Во всей этой конструкции есть слово "интернет". Так что ящик почтовый можно было не трогать. Он к интернету подключён не был.

— Да-да, как скажешь... Но я и слуг всех поувольнял к чертовой матери, чтоб никаких внутренних утечек!

— А центр контроля и мониторинга безопасности в подвале работает?

— Конечно, работает!

— Прям так и пашет?

— Ну, да. – Тут Горыныч немного засомневался, но вспомнил, что пару дней назад спускался в подземелье, и центр контроля и мониторинга безопасности довольно бодро мигал лампочками. – Да точно работает! Я совсем-совсем недавно проверял!

— Горыныч, - тихо начала Василиса, - если у тебя и защита периметра выстроена, - я про твои три стены со рвом, - и внутри всё под контролем, скажи, пожалуйста, как этот самоуверенный юнец пробрался в мою опочивальню?

Горыныч бы густо покраснел, если б зеленый цвет кожи такое позволил. 

— Прости, Васенька, прости! Ну, откуда ж мне было знать, что этот пацан сделает подкоп через выгребную яму? Я думал, побрезгует.

— А прошлый? Как он смог влезть к нам через крышу?

— Я не знал, что она прохудилась. Честно! Всего 50 лет назад латали!

— Горыныч, иногда ты меня реально удивляешь. Вроде прогрессивная тварь, но как посмотришь, что у тебя творится – хоть стой, хоть падай. Десепшена, вон, даже прикупил! Обманок-приманок по всему дому понаставил! На каждую реальную дверь теперь по две нереальных! Вообще не разобрать, какая фейковая, а какая в санузел ведет. Знаешь, сколько у меня с этим неприятных казусов было?

— Васенька, так это настроили неправильно. Я всё сделаю, всё поправлю.

— Как я устала! Как же я устала! Я хочу спокойно сидеть в замке, читать блог Лукацкого, вышивать подушки и ни о чем не думать! А ты даже всем известные бреши в безопасности определить не в состоянии!

— Чего это - не в состоянии? Я определил. Знаешь, какой у меня софт в подвале пашет! Всё видит!

— А вот и не всё! Если меня каждую неделю по четыре раза похищают, значит, не всё! Ты правила детектирования давно обновлял, тварь зелёная?

— Чего?

— Правила де-тек-ти-ро-ва-ни-я! Правила, по которым твой "работающий" центр мониторинга и контроля обнаруживает вторжения!

— Да как центр сделали, так и не обновлял, кажется. Поставщик сказал, всё, мол, чики-пуки.

— Чики-пуки? Чики-пуки?! Да твою ж мать, Иннокентий! Ой, то есть Горыныч!

Тут физиономия Горыныча просияла.

— Тысяча чертей! Я ж полгода назад мужиков с ломом вызывал! Помнишь?

— Отчего ж не помнить? Они мне весь южный фасад своим ломом раздолбили.

— Это они так тактики взломщиков опробовали! Вот после них и менял!

— Ну да, точно. Только они почему-то только южный фасад и проверили. А остальные три?

— Ну, я б этого финансово не потянул… Да и времени у них всего месяц был. Ограниченные ресурсы, ничего не попишешь.

— Ох, Горыныч. Одно слово - пентестеры. А что в результате? Слуховое окошко, забитое досками. И то, потому что один из твоих проверяющих в нём застрял. А я еще думала тогда, чего это у нас столько денег на еду уходить стало? А корм-то вон в какого коня был.

Василиса выпрямилась и прижалась спиной к холодной стене.

— Короче, Горыныч. Я знаю, что делать. Пока меня последний принц похищал, я с забора рекламку сорвать успела. Ну, скучно же было. Всё одно и то же… В общем, в рекламке речь про автоматизацию твоих мужиков с ломом.

— Чего-чего?

— Да боже ж мой! Про автоматизированную симуляцию атак! Магия такая, понимаешь? Проактивный подход к работе с инцидентами.

— Вась, вот ты сейчас что-то такое сказала… Я не понял.

— Нет времени объяснять! Устанавливаешь эту штуку в центре мониторинга и контроля, раскидываешь "маячки" по всему замку, по стенам своим да по садам, кнопочку нажимаешь – и вуаля! Все дыры, все лазейки показывает. Это как если б тысяча мужиков и с ломом, и с топором, и с киркой прошли. Вдоль и поперёк. Ещё б и землю прозондировали. Ну, а потом с информацией обо всех найденных лазейках качественно - тут внимание! - ка-чест-вен-но настраиваешь свой центр контроля и мониторинга безопасности. Чтоб ни одна тварь, - кроме тебя,  конечно, - не прошла. Всё, Горыныч! Всё! И главное, четвертый ряд стен возводить не надо. А то у меня уже голова кругом от этих строек…

— Что за магия, Вась?!

— BAS называется.

Горыныч почесал затылок, взял рекламку и тяжело вздохнул. Он всю жизнь считал, что BAS – это инструмент Джона Дикона.