Програмний засіб захисту інформації — це програмне забезпечення, яке виконує функції безпеки: розпізнає загрози, обмежує доступ, фіксує події, шифрує дані. Найчисленніша й найдинамічніша група. Розберемо, чим займається кожен клас, скільки коштує його супровід і без чого підприємству справді не обійтися.
Технічні та програмні засоби захисту інформації: як вони співвідносяться
Слово «технічні» ширше. Воно охоплює три підмножини:
- апаратні — токени, шифратори, міжмережевий екран окремою коробкою, ДБЖ (огляд матеріальної частини);
- софт — усе, про що йдеться нижче;
- програмно-апаратні — пристрій, який без власного софту марний.
Тому договори часто оперують формулюванням «програмно-технічні засоби захисту інформації»: воно охоплює одразу залізо й код, які працюють у зв'язці. Зручно для юриста, незручно для замовника — межі предмета розмиваються, тому специфікацію варто прописувати поіменно: продукт, версія, кількість, хто налаштовує, хто супроводжує.
Основні класи: від антивіруса до DLP
| Клас | Чим займається | Коли потрібен | Типова помилка |
|---|---|---|---|
| Антивірус / EDR | розпізнає шкідливий код, ізолює заражену машину | завжди, скрізь | працює за сигнатурами, поведінковий аналіз вимкнено |
| Міжмережевий екран | фільтрує трафік за правилами | завжди | правило «дозволити все», забуте після налагодження |
| WAF | прикриває вебзастосунок від ін'єкцій, XSS, підбору | якщо є сайт чи кабінет клієнта | увімкнено лише спостереження |
| IDS / IPS | помічає (IDS) або блокує (IPS) підозрілу активність | середній і великий контур | сповіщення нікуди не надходять |
| SIEM | збирає й зіставляє події з усіх джерел | коли є кому їх читати | куплено без людини, здатної реагувати |
| Контроль доступу, MFA | керує обліковими записами й правами | завжди | другий фактор мають лише адміністратори |
| Шифрування | закриває диски, канали, копії | завжди | ключі зберігаються поруч із даними |
| Резервне копіювання | рятує після ransomware чи збою | завжди | відновлення жодного разу не перевіряли |
| Керування вразливостями | шукає діри раніше за нападника (аналіз вразливостей) | від десятка серверів | сканер знайшов, ніхто не полагодив |
| DLP | зупиняє винесення чутливих даних | коли є клієнтські бази | увімкнули без політики й без попередження людей |
Про антивірус варто сказати окремо. Класичний рушій порівнює файли з переліком відомого шкідливого коду. Сучасні продукти класу EDR стежать передусім за поведінкою: процес почав шифрувати сотні файлів поспіль — його зупиняють, навіть якщо він нікому раніше не траплявся. Якщо ваш продукт куплено давно й відтоді лише продовжується ліцензія, є сенс перевірити, чи поведінковий модуль узагалі ввімкнено.
EDR, XDR, MDR: що ховається за літерами
Три схожі скорочення означають різні речі, і постачальники цим користуються.
- EDR — стежить за кінцевими пристроями: ноутбуками, робочими станціями, серверами. Бачить процеси, файли, реєстр, з'єднання; уміє ізолювати заражену машину.
- XDR — той самий підхід, але джерел більше: пристрої, пошта, хмара, трафік. Сенс — побачити ланцюг подій цілком, а не окремі спалахи.
- MDR — уже не продукт, а послуга: зовнішня команда цілодобово розбирає ваші сповіщення. Купують тоді, коли ліцензія є, а людини немає.
Проста логіка вибору: якщо нікому читати сповіщення о третій ночі, дорожчий продукт нічого не змінить — потрібна або людина, або послуга.
Засоби активного захисту інформації
Продукти бувають пасивні й активні. Пасивні лише перешкоджають або спостерігають; активні виявляють подію й самі втручаються.
До активних належать:
- IPS — обриває підозріле з'єднання;
- WAF у режимі блокування — відкидає шкідливий запит до сайту;
- EDR з ізоляцією хоста — від'єднує заражений ноутбук від решти інфраструктури;
- DLP у режимі блокування — не дає надіслати файл;
- системи автоматичного реагування — вимикають обліковий запис після серії підозрілих дій.
Плата за активність — ризик хибного спрацювання. Заблокований платіжний шлюз коштує дорожче за пропущений скан портів, тому такі продукти вмикають поступово: спершу спостереження, потім розбір позначених подій, потім винятки для легітимних сценаріїв — і лише тоді блокування. Пропущені кроки закінчуються однаково: після першої зупинки бізнес-процесу продукт назавжди переводять у спостереження.
Програмні засоби захисту інформації в комп'ютерних мережах
Мережевий контур має власний набір інструментів. Засоби захисту інформації в мережі умовно ділять за чотирма шарами:
- Периметр — фільтрація трафіку, VPN для віддалених працівників, анти-DDoS.
- Сегментація — окремі зони для бухгалтерії, розробки, гостьового Wi-Fi. Пробита машина не відкриває шлях до всього.
- Контроль підключень — NAC: пристрій без оновлень або без агента до робочого контуру просто не потрапляє.
- Спостереження — аналіз трафіку, IDS, збирання журналів. Атаку помічають саме тут.
Практична перевірка: чи знаєте ви, скільки пристроїв зараз підключено до вашого контуру — і скільки з них службові? Розбіжність зазвичай неприємна: телевізор у переговорній, роутер підрядника, особистий ноутбук стажера.
DLP: рубіж проти витоку зсередини
Антивірус дивиться назовні, DLP — усередину. Продукт відстежує рух чутливих даних і зупиняє спроби винести їх через пошту, месенджер, хмарну теку, флешку або друк. Спроба надіслати базу клієнтів до особистої скриньки блокується й фіксується.
Як він розпізнає чутливе:
- за словниками й шаблонами (номери карток, паспортні дані, реквізити);
- за мітками, які проставили власники масивів;
- за «відбитком» документа — фрагмент упізнається навіть у переписаному листі.
Чого DLP не бачить:
- фотографію екрана, зроблену телефоном;
- дані, вивантажені через сервіс, якого немає серед контрольованих;
- зловмисника, який має легальний доступ і виносить потроху.
Правовий бік. Контроль листування зачіпає права працівників, тому DLP запускають лише після ознайомлення персоналу з правилами під підпис і чіткого визначення, що саме вважається чутливим. Інакше замість доказів компанія отримує трудовий спір.
Як інструменти складаються в ланцюг
Поодинці кожен клас закриває вузьку ділянку. Разом вони утворюють ланцюг, який видно на звичайному інциденті:
- Працівник відкриває вкладення — EDR помічає підозрілу поведінку процесу й зупиняє його.
- Подія летить у журнали, звідти — до SIEM, де збігається з дивним входом до пошти тієї самої людини.
- Спрацьовує сповіщення, черговий інженер відключає обліковий запис і хост.
- DLP показує, чи встигли дані піти назовні.
- Резервна копія повертає зашифровані файли.
- Керування вразливостями відповідає на питання, через яку діру все почалося.
Приберіть будь-яку ланку — і ланцюг рветься: без журналів немає розслідування, без копії немає повернення, без сканера діра лишається відкритою для наступного разу.
Скільки сповіщень витримає людина
Найпоширеніша причина, з якої дорогий продукт перестає працювати, — потік хибних спрацювань. Інженер, який отримує двісті сповіщень щодня, за два тижні перестає читати всі.
Робочий орієнтир простий: кількість сповіщень має вміщатися в те, що людина здатна розібрати за годину. Досягають цього налаштуванням: винятки для легітимних сценаріїв, групування однотипних подій, пріоритети. Продукт «із коробки» майже завжди галасливий — тюнінг триває перші місяці й потребує годин, а не бажання.
Якщо тюнінгу немає, результат передбачуваний: сповіщення переводять у теку, теку перестають відкривати, атаку знаходять під час аудиту через півроку.
Скільки коштує супровід
Ліцензія — верхівка кошторису. Реальні витрати:
- години інженера щомісяця: правила, винятки, розбір сповіщень;
- інтеграція з наявною інфраструктурою;
- навчання тих, хто працюватиме з продуктом;
- зберігання журналів — обсяг росте швидше, ніж здається;
- вихід: чи заберете ви із собою правила й історію подій, змінюючи постачальника.
Звідси правило: продукт, для якого немає людини з виділеними годинами, купувати рано. Краще ввімкнути те, що вже оплачено разом із поштою, операційною системою й хмарним кабінетом.
Засоби захисту інформації на підприємстві: мінімальний набір
Порядок нумерований невипадково — саме такою є черговість окупності:
- Багатофакторна автентифікація — пошта, VPN, хмара, адмінпанелі.
- EDR або антивірус із увімкненим поведінковим аналізом — усюди, включно з ноутбуками керівників.
- Резервні копії: одна поза основним контуром, відновлення перевірене практикою.
- Оновлення операційних систем, застосунків, бібліотек — за розкладом, а не «коли згадаємо».
- Міжмережевий екран із правилом «за замовчуванням заборонено» і сегментація.
- Централізовані журнали й хоча б базові сповіщення.
- WAF — якщо є сайт, кабінет клієнта чи API.
- Керування вразливостями — регулярне сканування зовнішнього периметра.
- DLP — коли працюєте з чутливими даними клієнтів і вже маєте політику.
Перші чотири пункти закривають більшість масових атак і коштують здебільшого годин адміністратора. Останні три без людини, яка читає сповіщення, стають дорогими декораціями.
Порядок має ще один сенс: кожен наступний пункт спирається на попередній. Сегментація без переліку пристроїв неможлива, журнали без сегментації малоінформативні, а DLP без класифікації даних не знає, що саме боронити.
Журнали: скільки їх зберігати
Події — сировина для будь-якого розслідування, і саме тут економлять найчастіше. Робочий орієнтир: «гарячі» журнали, доступні для швидкого пошуку, тримають місяць-три; «холодний» архів — рік. Причина проста: проникнення рідко помічають того ж дня, і коли питання нарешті виникає, потрібні записи вже перезаписані по колу.
Другий бік — обсяг. Журнали ростуть швидше за очікування, тому вартість сховища закладають одразу, а не після першого переповнення диска. Третій бік — цілісність: якщо нападник має право чистити записи, вони перестають бути доказом. Тому копію подій виносять за межі системи, де вони народжуються.
Інструмент теж має вразливості
Незручна правда: шлюз віддаленого доступу, поштовий фільтр чи консоль керування самі є програмами — з помилками, оновленнями й публічними дірами. Периметрові пристрої останніми роками стали улюбленою мішенню саме тому, що стоять назовні, мають високі права й оновлюються рідко.
Звідси три звички:
- підписатися на бюлетені виробника й ставити критичні оновлення швидко;
- ніколи не лишати консоль керування доступною з інтернету;
- змінювати заводські облікові записи й вимикати те, чим не користуєтеся.
Продукт безпеки, забутий без оновлень, перетворюється з рубежу на найзручніший вхід.
Перевірка після впровадження
Через місяць після запуску поставте п'ять питань — вони показують, працює продукт чи просто встановлений:
- Куди йдуть його журнали й чи зберігаються вони поза самим продуктом?
- Хто персонально отримує сповіщення — і що робить, отримавши їх уночі?
- Поведінковий модуль увімкнено чи лишився режим сигнатур?
- Коли востаннє переглядали правила й винятки?
- Чи проводили навчальну перевірку: тестовий зразок, тестове вивантаження, тестове відновлення?
Три «не знаю» означають, що гроші вже витрачено, а ризик лишився на місці.
Три помилки, які повторюються
- Купити SIEM без того, хто його читає. Система збирає події, події лягають до сховища, сховище заповнюється. Атаку знаходять під час розслідування — заднім числом.
- Увімкнути DLP без політики. Продукт блокує все підряд, бізнес скаржиться, налаштування послаблюють до нуля.
- Плутати наявність із роботою. Ліцензія куплена, агент установлено, модуль вимкнено «щоб не гальмувало». Формально продукт є, фактично його немає.
Спільний корінь усіх трьох помилок один: рішення ухвалюють про покупку, а не про експлуатацію. Питання «хто це вестиме й скільки годин щотижня» варто ставити ще до підписання рахунку — воно дешевше за будь-який аудит.
Повний огляд усіх груп інструментів — окремою оглядовою статтею рубрики.