Следующий уровень ИБ — и кому он реально нужен
Всё, что мы разбирали в этом блоке, для специалиста по информационной безопасности — азбука. А настоящая ИБ выглядит иначе: SIEM, NGFW, IDS/IPS и другие серьёзные системы. Разберём, как устроен этот уровень, кому он реально нужен — и почему без базы из прошлых глав он попросту бессмысленен.
Для специалистов по ИБ всё это — детский уровень
Честно признаемся: всё, что мы разбирали в главах про безопасность — антивирус, пароли, удалённый доступ, обновления, — для специалиста по информационной безопасности это самая база. По сути азбука.
И дело тут не в том, что эти вещи неважные. Наоборот — без них вообще ничего не держится. Просто настоящая, «взрослая» информационная безопасность живёт на другом уровне: другие инструменты, другие бюджеты.
Там, где мы говорили «поставьте нормальный пароль» и «закройте RDP», специалисты по ИБ работают с системами, которые в реальном времени следят за всем, что происходит в сети, и ловят атаки на подлёте. И покажем это коротко — просто чтобы вы представляли, что такой уровень вообще существует.
С точки зрения ИБ всё это — базовый уровень
Будем честны: антивирус, пароли, удалённый доступ, обновления, разграничение прав — всё, что мы разбирали, — с точки зрения специалиста по ИБ это базовая гигиена. Собственно ИБ начинается дальше.
И это не значит, что база второстепенна — без неё не стоит ничего. Но профессиональная информационная безопасность — это отдельный уровень зрелости: другой класс инструментов, отдельные процессы, соответствующие бюджеты.
Там, где на базовом уровне звучит «задайте стойкий пароль» и «уберите RDP из интернета», на следующем работают системы, которые собирают и анализируют события со всей инфраструктуры в реальном времени и реагируют на атаки по ходу. А ниже — обзорно, без погружения в настройку, просто чтобы обозначить, как выглядит этот уровень.
Инструменты взрослого уровня ИБ
Ниже — несколько систем, которые встречаются на этом уровне. Настраивать их вам не придётся. Задача проще — чтобы вы понимали, о чём речь, когда слышите эти аббревиатуры.
Это далеко не весь список — есть и другие системы. Но объединяет их одно: они работают там, где базовая защита уже выстроена, и добавляют поверх неё постоянное наблюдение, анализ и быструю реакцию. Это то, что идёт сверх базы, — при условии, что база уже есть.
Инструментарий зрелой ИБ
Обзорно — системы, характерные для этого уровня. Цель здесь одна: дать ориентир в терминологии, без руководства по внедрению.
Список не исчерпывающий — есть DLP, NAC, песочницы, SOAR и другое. Но общий принцип один: эти системы наслаиваются поверх корректно выстроенной базовой защиты и добавляют непрерывный мониторинг, корреляцию и реагирование. Они дополняют базовую гигиену — но только когда она уже есть.
Кому это на самом деле нужно
Звучит солидно. Но прежде чем мечтать о SIEM, важно понять простую вещь: продвинутый уровень держится на трёх опорах — и без любой из них он просто не работает.
И последний пункт — самый важный. Поставить SIEM в компании, где наружу открыт RDP и у всех один пароль на всех, — это как повесить сигнализацию на дом без стен. Деньги потрачены, а толку нет: те дыры, через которые зайдут, эти системы не закрывают. Они рассчитаны на то, что база уже сделана.
Поэтому продвинутый уровень нужен компаниям, которые до него доросли: у них есть и потребность (объём, риски, требования), и бюджет, и люди — и база уже в порядке. Для них это закономерный следующий шаг.
Кому это действительно нужно
Прежде чем рассматривать SIEM и прочее, стоит зафиксировать простое условие. Продвинутый уровень опирается на три вещи сразу — и отсутствие любой из них обесценивает остальные.
И третье условие — ключевое. Внедрять SIEM при открытом наружу RDP и общих учётных записях — это сигнализация на доме без стен: затраты есть, эффекта нет. Базовые дыры эти системы не закрывают — они проектировались в расчёте на уже выстроенную гигиену.
Поэтому следующий уровень оправдан для организаций, которые до него доросли: есть потребность (масштаб, модель угроз, регуляторика), бюджет, выделенная роль ИБ — и база приведена в порядок. Для них это логичный следующий шаг, а не преждевременная трата.
Но проблема совсем в другом
У большинства компаний проблема совсем не в том, что нет SIEM. А в том, что и база — сплошные дыры.
Разговор про SIEM и NGFW для большинства малых компаний — это пока разговор не о том. Потому что реальная картина чаще выглядит так:
И самое тревожное — что о многих из этих дыр в компании никто даже не задумывается. И причина не в том, что махнули рукой. Просто не подозревают, что так нельзя. Вот почему мы и написали весь этот блок про базовую безопасность. Это никакой не «детский уровень для галочки» — это то, с чего реально начинается защита.
Реальная проблема в другом
У большинства компаний вопрос вообще не в отсутствии SIEM. Дыры — на базовом уровне.
Для значительной части малого бизнеса обсуждение SIEM и NGFW преждевременно — потому что не закрыт базовый контур. Типичная картина:
И показательно, что значительную часть этих проблем даже не осознают как проблему — просто по незнанию, что так нельзя. Именно поэтому базовый блок — это вовсе не «низкий уровень для формальности». Это фундамент, с которого начинается реальная защита и на котором только и держится всё остальное.
Дело не только в безопасности
Если присмотреться, то же самое легкомыслие, с которым многие относятся к безопасности, встречается и в отношении к ИТ вообще. «Работает — и ладно», «потом разберёмся», «да кому мы нужны» — пока однажды не грянет.
И это уже разговор не про один антивирус или один бэкап. Это про то, как бизнес в принципе смотрит на свою ИТ-инфраструктуру. Об этом — в следующей, итоговой главе.
Дело не только в безопасности
То же отношение, что мы видим в безопасности, распространяется и на ИТ в целом: «работает — не трогай», «решим, когда сломается», «нас это не коснётся». И так до первого серьёзного инцидента.
А это уже вопрос не про отдельную технологию. Это про то, как компания в принципе относится к своей ИТ-инфраструктуре. Этому и посвящена следующая, итоговая глава.
Начнём с базы
Прежде чем думать о SIEM и NGFW, проверим и закроем то, с чего начинается защита: удалённый доступ, пароли, бэкапы, обновления, права и доступы. Сделаем базовый уровень по-настоящему крепким — а дальше уже можно расти.
Сначала — базовый контур
До внедрения SIEM / NGFW / IDS имеет смысл закрыть базовый уровень: убрать RDP из интернета, навести порядок в учётных записях и паролях, выстроить резервное копирование и патч-менеджмент, разграничить доступы. Проведём аудит базовой защиты и приведём фундамент в порядок.