Вопросы на собеседовании: Аналитик кибербезопасности

Триада CIA описывает конфиденциальность, целостность и доступность как основные цели информационной безопасности.

• Конфиденциальность ограничивает доступ к информации кругом авторизованных людей и систем.
• Целостность защищает данные от несанкционированного или случайного изменения.
• Доступность обеспечивает доступ к системам и информации тогда, когда они нужны авторизованным пользователям.
• Меры защиты часто поддерживают несколько целей, но иногда решение требует компромисса между ними.

Угроза способна причинить вред, уязвимость является слабым местом, а риск учитывает вероятность и последствия эксплуатации.

• Угрозой может быть злоумышленник, вредоносное ПО, человеческая ошибка или природное событие.
• Уязвимостью может быть непропатченный сервис, слабый пароль или небезопасный процесс.
• Риск возникает, когда актуальная угроза может использовать уязвимость и повлиять на актив.
• Меры защиты снижают риск, уменьшая вероятность, последствия или оба фактора.

Активы представляют ценность, подверженность создает возможность потери, а меры защиты снижают эту возможность.

• К активам относятся данные, учетные записи, устройства, приложения, сервисы и бизнес-процессы.
• Подверженность означает возможность ущерба даже без конкретного дефекта программного обеспечения.
• Превентивные меры стараются остановить нежелательные события, а детективные обнаружить их.
• Корректирующие меры возвращают безопасное состояние или уменьшают ущерб после возникновения проблемы.

Эшелонированная защита использует несколько независимых уровней безопасности, чтобы отказ одного средства не открыл всю систему.

• Средства управления учетными записями ограничивают вход пользователей и доступные им действия.
• Сетевые и конечные средства защиты ограничивают взаимодействие систем и выполнение вредоносного кода.
• Логирование и мониторинг дают видимость, когда превентивные меры не срабатывают.
• Резервные копии и средства восстановления снижают последствия успешной атаки.

Поверхность атаки включает все доступные точки, через которые злоумышленник может попытаться войти, извлечь данные или повлиять на систему.

• В нее входят доступные из интернета сервисы, конечные устройства, учетные записи, API и физический доступ.
• Неиспользуемые порты, избыточные права и забытые облачные ресурсы расширяют поверхность атаки.
• Инвентаризация активов необходима, потому что неизвестные системы невозможно последовательно защищать.
• Удаление ненужной доступности обычно надежнее, чем ставка только на обнаружение вокруг нее.

Фишинг использует обманное сообщение, чтобы заставить человека раскрыть информацию, открыть вредоносный материал или подтвердить действие.

• Сообщения часто имитируют доверенную организацию и создают ощущение срочности или страха.
• Целевой фишинг обращается к конкретному человеку с подобранными деталями, а массовый охватывает много получателей.
• Проверка ссылок, доверенные каналы связи, фильтрация почты и обучение пользователей снижают риск.
• MFA ограничивает последствия кражи некоторых учетных данных, но устойчивые к фишингу факторы дают более сильную защиту.

Вредоносное ПО создается для нарушения работы систем, кражи информации, получения доступа или выполнения несанкционированных действий.

• Вирус прикрепляется к другим файлам, а червь способен распространяться между системами без действий пользователя.
• Троян маскируется под легитимную программу, чтобы убедить пользователя запустить его.
• Шпионское ПО собирает информацию, а руткит пытается скрыть присутствие или сохранить привилегированный доступ.
• Современное вредоносное ПО сочетает разные функции, поэтому категории описывают возможности, а не строгие границы.

Ransomware является вредоносным ПО, которое лишает доступа к данным или системам и требует плату за восстановление либо неразглашение.

• Многие кампании шифруют файлы, а при двойном вымогательстве данные также похищают перед шифрованием.
• Первичный доступ часто получают через фишинг, украденные учетные данные или открытые непропатченные сервисы.
• Сегментация, патчи, MFA, защита конечных устройств и ограниченные права снижают вероятность заражения и распространения.
• Проверенные офлайн- или неизменяемые резервные копии уменьшают зависимость восстановления от злоумышленника.

Эти три атаки по-разному используют учетные данные в зависимости от выбора паролей и учетных записей.

• Brute force перебирает множество вариантов пароля для одной или нескольких учетных записей.
• Password spraying проверяет небольшой набор популярных паролей на множестве учетных записей, чтобы избежать блокировок.
• Credential stuffing повторно использует пары логина и пароля, украденные из другого сервиса.
• MFA, ограничение частоты, проверка скомпрометированных паролей, надежная парольная политика и обнаружение аномалий снижают эффективность атак.

Социальная инженерия манипулирует людьми, чтобы они обошли обычные правила безопасности или раскрыли защищенную информацию.

• Претекстинг создает правдоподобную личность или историю, оправдывающую запрос.
• Бейтинг предлагает что-то привлекательное, а tailgating дает физический доступ вслед за авторизованным человеком.
• Проверка через отдельный доверенный канал лишает злоумышленника контроля над разговором.
• Понятные процедуры и культура, поощряющая осторожные сообщения, так же важны, как обучение осведомленности.

SQL-инъекция возникает, когда недоверенные входные данные меняют структуру или смысл запроса к базе данных.

• Конкатенация строк может превратить подконтрольные злоумышленнику символы в исполняемый SQL-синтаксис.
• Параметризованные запросы отделяют код от значений и являются основной защитой.
• Валидация входа помогает соблюдать ожидаемый формат, но не заменяет параметризацию.
• Учетная запись базы данных с минимальными правами ограничивает ущерб, если уязвимость остается.

Межсайтовый скриптинг, или XSS, заставляет доверенный сайт выполнить подконтрольный злоумышленнику скрипт в браузере пользователя.

• Хранимый XSS сохраняет вредоносный контент на сервере, а отраженный возвращает его в немедленном ответе.
• DOM-based XSS возникает, когда клиентский код записывает небезопасные данные в опасный элемент браузера.
• Контекстное кодирование вывода и безопасные шаблонизаторы не дают данным стать исполняемой разметкой или скриптом.
• Content Security Policy добавляет уровень защиты, но не заменяет правильное кодирование.

Межсайтовая подделка запроса, или CSRF, заставляет авторизованный браузер отправить нежелательный запрос доверенному сайту.

• Браузер может автоматически прикрепить сессионные cookie, даже если запрос начался на вредоносной странице.
• Anti-CSRF токены связывают изменяющие состояние запросы с легитимной сессией приложения.
• Cookie SameSite и проверка источника запроса дают дополнительную защиту.
• CSRF отличается от XSS тем, что использует существующую сессию, а не выполняет скрипт на доверенной странице.

OWASP Top 10 является обзорным документом с основными категориями важных рисков безопасности веб-приложений.

• Категории включают нарушения контроля доступа, инъекции, криптографические ошибки и небезопасную конфигурацию.
• Документ дает командам общую терминологию и помогает расставлять приоритеты в обучении безопасной разработке.
• Это не полный чек-лист тестирования и не рейтинг каждой уязвимости конкретного приложения.
• Решения о риске все равно требуют контекста приложения, моделирования угроз и результатов тестирования.

Нарушение контроля доступа позволяет пользователю выполнять действия или получать данные за пределами назначенных прав.

• Примерами являются просмотр чужой записи через замену идентификатора или прямой доступ к административной функции.
• Авторизацию нужно проверять на сервере для каждого защищенного объекта и действия.
• Правило запрета по умолчанию и централизованные политики уменьшают число пропущенных проверок.
• Тесты должны охватывать горизонтальный доступ между равными пользователями и вертикальный доступ к более высоким привилегиям.

Инъекции предотвращают отделением недоверенных данных от исполняемых команд и проверкой ожидаемой структуры входа.

• Для SQL, команд операционной системы и других интерпретаторов следует применять параметризованные интерфейсы, если они доступны.
• Валидация по списку допустимого отклоняет значения вне требуемого формата или диапазона.
• Кодирование вывода зависит от контекста и особенно важно при попадании данных в HTML, JavaScript или командную оболочку.
• Минимальные привилегии ограничивают доступные интерпретатору действия при отказе других мер.

Небезопасная конфигурация является настройкой или значением по умолчанию, открывающим больше возможностей или информации, чем требуется.

• Примерами являются стандартные учетные данные, публичное хранилище, подробные ошибки и ненужные сервисы.
• Безопасные базовые конфигурации вроде CIS Benchmarks явно и повторяемо задают ожидаемые настройки.
• Автоматические проверки конфигурации обнаруживают отклонения от утвержденного базового уровня.
• Харденинг нужно поддерживать после обновлений, поскольку новые функции и значения по умолчанию меняют доступность.

Файрвол разрешает или блокирует сетевой трафик по правилам источника, назначения, протокола, порта и состояния соединения.

• Пакетные фильтры оценивают поля заголовков, а stateful-файрволы также отслеживают установленные соединения.
• Правила должны разрешать необходимое взаимодействие и запрещать ненужные пути.
• Хостовые файрволы защищают отдельные устройства, а сетевые контролируют трафик между сетевыми зонами.
• Логи файрвола показывают разрешенные и запрещенные соединения, но не доказывают безопасность разрешенного трафика.

Сегментация сети делит системы на зоны, чтобы ограничить взаимодействие согласно уровню доверия и бизнес-потребностям.

• Пользовательские устройства, серверы, системы управления и чувствительные базы данных не должны иметь неограниченную связность.
• Списки контроля доступа и файрволы задают протоколы, которым разрешено пересекать границы зон.
• Сегментация затрудняет боковое перемещение и ограничивает область действия скомпрометированной учетной записи или устройства.
• Для эффективности сегментов нужно поддерживать классификацию активов и актуальные правила.

IDS обнаруживает подозрительный трафик и создает оповещение, а IPS также может блокировать или изменять трафик в линии передачи.

• Сигнатурное обнаружение ищет известные шаблоны и дает точный результат для охваченных угроз.
• Аномальное обнаружение ищет отклонения, но может создавать больше ложных срабатываний.
• IPS способен быстро остановить активность, но ошибочное правило может нарушить легитимный трафик.
• Обоим решениям нужны актуальные правила, видимость нужного трафика и настройка под защищаемую среду.