Как устроена информационная безопасность:
модели и направления

Возможно, именно сейчас вы стоите на пороге своей новой карьеры.

Перед тем как начать осваивать новую профессию, необходимо узнать, что делает специалист этой области, какая у него зона ответственности и как он работает.

Специалист по информационной безопасности (ИБ) — это высококвалифицированный специалист, отвечающий за защиту информации в компании. Расплывчато, не правда ли?

Действительно, в этой области крайне много ответвлений, и каждое из них лишь немного пересекается с остальными, но все они принадлежат к одной области — информационной безопасности.

Основные три кита, на которые опирается информационная безопасность организации, — это специально обученные люди, верно выстроенные процессы и используемые технологии и средства защиты информации. У разных компаний свои ограниченные ресурсы, которые она может тратить на кибербезопасность. В связи с этим возникли три модели обеспечения безопасности в зависимости от возможностей организаций:

MSSP берёт на себя ответственность за управление и защиту инфраструктуры клиента, часто на основе ежемесячной платы (или подписки), то есть может включать в себя управление брандмауэрами, системами обнаружения вторжений, антивирусной защитой и другими средствами безопасности, с которыми познакомимся позднее в курсе.

Важно понимать, что обычно MSSP использует уже готовые решения в области ИБ, разработкой собственных не занимаются. Проще говоря, предоставляют услуги по принципу «Безопасность под ключ», используя свои команды, выстроенные процессы и проверенные на опыте предыдущих заказчиков реализации.

Интегратор ИБ специализируется на установке, настройке и интеграции различных программных и аппаратных решений, включая системы безопасности, под нужды заказчика. При этом специалисты, которые будут пользоваться интегрированными решениями, должны быть у компании-заказчика, так как интегратор не предоставляет услуги мониторинга и реагирования на инциденты. Также интегратор не занимается выстраиванием внутренних рабочих процессов, необходимых для функционирования отдела ИБ.

MSSP предоставляет услуги по обеспечению безопасности в формате сервиса на основе подписки, включая специалистов, а интегратор специализируется на внедрении и настройке конкретных решений и систем, часто в рамках проектной деятельности.

Отдельно стоит упомянуть модель in-house. Здесь ключевую роль играют специалисты, нанятые или обученные внутри компании. В данном случае создание собственного отдела ИБ занимает значительное время и требует достаточное количество бюджета, однако в перспективе такой отдел имеет массу преимуществ:

Информационная безопасность обеспечивается специалистами разных направлений, их принято объединять в команды. Самые часто встречаемые — это Red Team и Blue Team. Первые, Red Team, — это команда атакующих, те, кто занимается «легальным» взломом тех или иных систем компании. В своей работе они полностью имитируют действия хакеров. Red Team помогает оценить, насколько быстро и слаженно работает команда защиты, то есть Blue Team.

Как сказано ранее, Blue Team занимается защитой от хакеров. Это команда, которая обеспечивает защиту информационных ресурсов компании. Она состоит из специалистов, которые занимаются мониторингом и реагированием, и специалистов, обеспечивающих расследование возникших инцидентов.

Благодаря взаимодействию Red Team и Blue Team растёт защищённость компании.

Между ними стоят так называемые Purple Team, которые являются связующим звеном между Red Team и Blue Team. Они анализируют работу первых и вторых и выдвигают предложения по улучшению защиты компании.

Существует ещё четыре «цветные» команды, который вместе составляют достаточно полное описание всех аспектов деятельности ИБ.

Yellow Team занимается внедрением безопасности в архитектуру программного обеспечения, проверкой на уязвимости и рекомендациями по их устранению.

Кто входит в Yellow Team?

Orange Team можно представить как слияние Red Team и Yellow Team: команда может как проверять текущие меры безопасности с точки зрения законодательства, так и разрабатывать рекомендации по их улучшению. Важной задачей этой команды является взаимодействие с персоналом: обучение, тестирование и в целом развитие культуры ИБ в компании.

Green Team — это всё, что связано с аудитом системы безопасности и предложением новых технологий для внедрения. Вдобавок эта команда занимается автоматизацией процессов, разработкой скриптов и других решений, основываясь на полученном опыте команды Blue Team.

И наконец, White Team — это команда, обеспечивающая критерии, контроль процесса, оценку результатов, то есть регулирующая все процессы ИБ. Не участвует в защите или организации проверки мер защиты компании напрямую.

Более подробно можно ознакомиться со всеми «цветными» командами здесь и здесь.

Стоит отметить, что во многих российских компаниях присутствуют далеко не все, основные же — это Red Team, Blue Team и Yellow Team, поэтому задачи из других «цветных» команд будут присутствовать именно в этих трёх, а зачастую даже в двух — Red Team как «атакующих» и Blue Team как «защищающихся».

Для основной задачи, то есть тестирования на проникновение (пентест) в инфраструктуру компании, в Red Team нужны специалисты со знаниями об эмуляции хакерских атак.
Сама услуга пентеста может быть проведена как своими специалистами, работающими в компании, так и в рамках договора «заказчик — исполнитель». Второй тип пентеста обеспечивает аутсорс.

В зависимости от первоначальных условий существует несколько видов пентеста:

Отдельно можно рассматривать такую классификацию пентеста, как внутренний и внешний пентесты. Внутренний подразумывает нахождение пентестера уже внутри периметра компании, то есть пентестер уже имеет доступ к внутреннему хосту и начинает тестирование с него. Его задачей является добраться до целевого хоста и определить максимальную область доступа из начальной точки входа. Внешнее тестирование означает оказаться внутри периметра компании, пройдя всю защиту периметра, направленную на атаки извне. Стартовый хост находится за пределами компании.

Информационная защита компании обычно начинается с Blue Team. Сегодня многие процессы так или иначе основаны на IT, в первую очередь это банковские, финансовые процессы, документооборот. Поэтому защита этих процессов становится первоочередной задачей, ведь она может защитить компании от потери данных, денег, клиентов, репутации.

В одних компаниях Blue Team имеют свои подразделения и специалистов, под ними понимается всё, что относится к методам защиты в ИБ, а именно:

Размер и состав Blue Team зависит от масштабов инфраструктуры компании и от бюджета, выделяемого на защиту информации.

Ниже на картинке можно увидеть, что в ходе поэтапного процесса работы с инцидентом задействованы все подразделения. Они составляют единый организованный механизм, благодаря которому и получается повышать уровень защищённости компании, что и является приоритетной задачей ИБ.

Так как область ИБ обширна и необъятна, то перечислить все навыки и знания будет достаточно сложно, однако основные выделим в виде списка: