8 инструментов, которые необходимы в вашем стеке безопасности как фрилансера

Я параноик в области безопасности. Никакой шапочки из фольги, но мне нравится быть бдительным. Я придерживаюсь одной истины: никто не остается незамеченным для хакеров и других злоумышленников в сфере кибербезопасности. Если вы фрилансер или владелец малого бизнеса, никогда не думайте, что вы не попали в поле их зрения. Как и в любом другом бизнесе, у хакеров разные бизнес-модели. Некоторые инвестируют в долгосрочную аферу и нацелены на высокодоходные цели (вспомните атаки с использованием программ-выкупов на крупных операторов, таких как трубопроводы и мясокомбинаты). Но другие злоумышленники работают по модели «распыляйся и молись». Они работают на объем и довольствуются меньшими суммами за атаку. Если они разошлют сотни тысяч фишинговых писем и получат коэффициент конверсии 0,1%, это будет для них победой. Они атакуют людей и предприятия, которые, по их мнению, имеют низкий уровень кибербезопасности, например, фрилансеров и малый бизнес.  Но цифровые технологии и кибербезопасность — это большие и сложные области. Если вы фрилансер, вам платят только за основную работу, а значит, вы вряд ли захотите тратить время (или деньги) на обеспечение безопасности. Это по своей сути делает вас уязвимым.  Поэтому я поборол все свои параноидальные инстинкты и поделюсь с вами своим стеком безопасности.

Модель угрозы безопасности фрилансера

Модель угроз — это процесс оценки того, что вам необходимо защитить, где находятся ваши самые уязвимые места и как определить приоритетность ресурсов кибербезопасности.  Вот общая картина моей модели угроз:

• Для работы я использую от одного до пяти подключенных устройств, поэтому у меня ограниченное количество устройств, через которые хакеры могут поразить меня.
• У меня нет других пользователей и их устройств, которыми нужно управлять.
• Я часто работаю в публичных сетях Wi-Fi, что сопряжено с высоким риском, если не принять никаких мер по снижению уровня безопасности.
• Я использую локальные и облачные приложения, многие из которых интегрированы, что делает мое самое слабое звено слабым местом для них всех.
• Я храню информацию и файлы как локально, так и в облаке.
• Я храню и имею доступ к некоторой информации от клиентов, которая требует конфиденциальности из-за NDA и моего подхода к работе с клиентами, что означает, что я хочу принять дополнительные меры предосторожности для защиты ее конфиденциальности.
• Я не собираю и не храню данные, которые имеют особую юридическую защиту, например, медицинские данные, данные студентов или любую персонально идентифицируемую информацию (PII).
• Мой бизнес и средства к существованию на 100% зависят от моей способности работать и общаться в Интернете. Сохранение непрерывности бизнеса в случае кибератаки является первостепенной задачей.

Мой стек безопасности учитывает все это и даже больше. Если добавление всех этих категорий инструментов кажется вам непосильной задачей, начните всего с пары. Даже тогда вы сделаете себе более сложную отметку для достижения цели. И обратите внимание: я буду упоминать конкретных поставщиков, но я не даю никаких рекомендаций по продуктам. Проявите должную осмотрительность при выборе продуктов.

Средства безопасности для контроля доступа

Каждое нарушение безопасности включает в себя несанкционированный доступ. Контроль доступа должен быть важной частью вашей программы кибербезопасности.

Менеджер паролей (PWM)

Хакеры обычно получают доступ к вашим паролям двумя способами.

1. Атака грубой силы для взлома паролей вычисляет ваши простые пароли. В десятку лучших паролей 2021 года входят такие бессменные пароли, как «123456» и «password». Каждый пароль из списка 2021 года может быть взломан менее чем за минуту. Давайте, люди. Будьте лучше.
2. С помощью социальной инженерии хакеры могут узнать о вас достаточно, чтобы сделать обоснованные предположения (привет, второе имя). Повторное использование паролей повышает вашу уязвимость, особенно если вы используете плохие пароли.

Менеджер паролей генерирует длинные, сложные пароли, которые он запоминает за вас. Вам нужно запомнить только одну ключевую фразу, которая представляет собой длинный ряд связанных слов. Использование надежного и безопасного менеджера паролей также гораздо безопаснее, чем использование браузера для хранения паролей. Не делайте этого. Dashlane и Bitwarden — два популярных варианта PWM. Неиспользованное значение: Используйте свой менеджер паролей для хранения фактической страницы входа в систему, а не только пароля. Фишинговые мошенники пытаются заставить вас перейти по ссылке на их сложную, поддельную страницу входа в систему. Ваш менеджер паролей может защитить вас здесь, не заполняя автоматически страницу, которая не соответствует URL, сохраненному в памяти. Некоторые PWM делают это, только если вы выбрали эту опцию, поэтому убедитесь, что вы включили этот параметр. Вот как выглядит опция Dashlane:

Если вы не являетесь соло-предпринимателем: Выбирайте бизнес-версию, которая добавляет уровень административной безопасности, управляющий многопользовательским доступом к менеджеру паролей.

Многофакторная (MFA) или двухфакторная (2FA) аутентификация

Когда вы включаете 2FA или MFA, вы добавляете дополнительный уровень контроля доступа поверх ваших паролей. Благодаря дополнительной аутентификации хакеры не смогут попасть в ваши приложения, даже если у них есть ваш пароль. Аутентификация может принимать различные формы, например, одноразовый код, отправленный вам по СМС, доставка через приложение для аутентификации, такое как Authy, или доставка через отдельное устройство.  Биометрическая аутентификация становится все более популярной, как для приложений, так и для аппаратного доступа, а голосовая аутентификация, похоже, является ее новым рубежом. Но, по моему параноидальному мнению, голосовая аутентификация еще недостаточно развита, чтобы использовать ее для обеспечения безопасности.  Если дополнительный шаг 2FA/MFA беспокоит вас, подумайте стратегически о том, какие приложения требуют наивысшего уровня защиты. Обычно можно настроить так, чтобы приложение «доверяло» вашему устройству в течение некоторого периода времени, прежде чем вам придется снова проходить процесс 2FA/MFA. Неиспользованная ценность: Вы, вероятно, используете приложения, которые уже включают 2FA или MFA, поэтому их внедрение не потребует от вас больших усилий. Зайдите в настройки безопасности во всех ваших приложениях — если 2FA является опцией, вы должны увидеть ее там. Вот как это выглядит в вашем аккаунте Google:

Если вы не являетесь соло-предпринимателем: Если ваша организация использует Google Workspace или Office365, вы можете настроить и потребовать 2FA для всех авторизованных пользователей.

Виртуальная частная сеть (VPN)

Все, кто пользуется общественным Wi-Fi, должны использовать для этого виртуальную частную сеть (VPN). Программное обеспечение VPN создает частный, зашифрованный туннель для вашего интернет-трафика, что затрудняет его перехват хакерами. Без него любой хакер, находящийся в том же зале ожидания аэропорта, кафе или выставочном зале, что и вы, может легко следить за вашими незащищенными коммуникациями, проходящими через общественный Wi-Fi. Защищенный паролем публичный Wi-Fi не означает, что сеть безопасна.  Выбор VPN велик, включая ExpressVPN и ProtonVPN, но не забудьте изучить, что разные поставщики позволяют вам контролировать — каждый из них предлагает различные настройки. Независимо от того, какой из них вы выберете, подключение к одному из серверов VPN занимает всего один клик.

Неиспользованная ценность: Ваше частное домашнее интернет-соединение может быть более безопасным, чем общественный Wi-Fi, но оно все равно представляет общий риск, поэтому стоит использовать VPN и дома. Кроме того: используйте программное обеспечение VPN на всех подключенных устройствах, а не только на компьютерах. Если вы не являетесь соло-предпринимателем: Если вы разрешаете удаленную работу, ваша политика безопасности VPN должна требовать от сотрудников использовать VPN на всех устройствах, включая личные, каждый раз, когда устройство подключается к бизнес-приложениям. Если у вашего предприятия есть локальная сеть, обратите внимание на сторонние службы, которые могут проконсультировать и/или управлять установкой оборудования VPN.

Безопасность конечных точек

Я использую термин «безопасность конечных точек» как неточный общий термин для набора инструментов безопасности, которые защищают вас от широкого спектра рисков. Их объединяет то, что они защищают ваши устройства от использования в качестве точек входа для создания хаоса.  В разговорной речи их часто называют антивирусными программами или программами защиты от вредоносных программ, но на самом деле это всего лишь два вида защиты, которые обеспечивают эти комплексы безопасности. Если вы используете только брандмауэр, антивирусное или антивирусное ПО, вы упускаете много возможностей:

• Защита от вымогательства
• Более широкое обнаружение угроз в каналах связи и облачном трафике
• Сканирование патчей, выявляющее неактуальное программное обеспечение
• Веб-фильтрация или ограничение доступа

Это некоторые из наиболее часто используемых дополнительных средств защиты. Я бы посоветовал ознакомиться с пакетами безопасности для малого бизнеса от Sophos и Kaspersky, поскольку они являются комплексными, высоко оцененными и недорогими (но опять же, убедитесь, что вы нашли то, что подходит именно вам). Вот как выглядит приборная панель для одного пользователя.

Неиспользованная ценность: Многие из этих пакетов также обеспечивают повышенную безопасность от хакеров, которые могут завладеть вашей веб-камерой или микрофоном, что является достойной защитой в нашу новую эпоху ежедневных видеоконференций. Если вы не являетесь соло-предпринимателем: Эти пакеты также предоставляют ряд инструментов управления пользователями, включая контроль и блокировку определенных веб-сайтов и приложений. Некоторые из них также предлагают услуги управляемого обнаружения угроз/управляемой ИТ-безопасности, что может быть полезно, если у вашего малого предприятия нет собственных специалистов в этой области.

Зашифрованное хранилище

Даже если я не собираю и не храню данные, которые вызывают юридические требования к безопасности, мне нравится иметь возможность повысить уровень безопасности определенных документов и информации. Для этого я использую механизм зашифрованного хранения, отдельный от локального диска или других «облачных» приложений. Вы можете выбирать между «облачными» шифровальными шкафчиками и зашифрованным внешним хранилищем, включая флешки (или и то, и другое). Какой бы носитель вы ни выбрали, в качестве ключа шифрования вам понадобится сложный пароль. Если вы его потеряете, то потеряете доступ ко всему зашифрованному и не сможете его восстановить. Многие облачные программы для управления файлами и обеспечения кибербезопасности включают инструмент для обеспечения дополнительной защиты выбранных файлов. Например, у Dropbox есть Dropbox Vault, а Folder Lock входит в набор решений по безопасности от NewSoftwares. Неиспользованная ценность: Ваша локальная операционная система позволит вам зашифровать файлы, диски или всю машину.  Если вы не являетесь соло-предпринимателем: Google Workspace и Office365 также предлагают варианты шифрования, включая шифрование коммуникаций. Это требует некоторой настройки, но это сделает обмен файлами и общение внутри и за пределами вашей организации более безопасным.

Инструменты безопасности на случай, если что-то пойдет не так

Как я уже отмечал в своей модели угроз, непрерывность бизнеса является для меня первоочередной задачей. Она должна быть приоритетной для всех и каждой организации, но как писатель-фрилансер, который живет и умирает благодаря своему ноутбуку и подключению к Интернету, я чувствую, что мое право на ошибку здесь невелико.

Защита от кражи

Будучи мобильным работником, я должен думать о том, что произойдет, если какое-либо из моих устройств будет потеряно или украдено.  Противоугонное программное обеспечение не предотвратит кражу устройства, но оно дает вам инструменты для ограничения ущерба. Оно позволяет удаленно зашифровать устройство или полностью стереть его. Если вы используете его на своем телефоне, вы можете удаленно сбросить его до заводских настроек. Кроме того, в нем есть функция отслеживания местоположения и другие инструменты, которые помогут вам восстановить устройство и определить, кто им пользуется (например, с помощью веб-камеры сфотографировать вора). Неиспользованная ценность: Если вы хотите, чтобы у вора тоже был плохой день, некоторые инструменты включают в себя активацию сигнализации на украденном устройстве. Другие варианты включают отправку сообщений на экран, давая вору понять, что его фотография была сделана или что вы знаете, где он находится. Эти средства побуждают вора отказаться от вашего устройства. Если вы не являетесь соло-предпринимателем: Если вы предоставляете сотрудникам ноутбуки или другие устройства, эти решения часто включают функцию отслеживания активов, а их опции блокировки также полезны, если у вас есть уволившийся сотрудник, который не вернул свои устройства.

Резервное копирование и восстановление

Если вы подверглись атаке выкупного ПО, хакерскому уничтожению или потеряли машину, вы хотите иметь резервные копии своих документов и приложений в другом месте. Это позволит вам сохранить непрерывность бизнеса, пока вы будете разбираться с атакой отдельно. Как и в случае с шифрованием, у вас есть варианты как аппаратного, так и облачного резервного копирования. На самом деле, неплохо использовать комбинацию вариантов резервного копирования для обеспечения избыточности. При выборе облачного решения для резервного копирования, такого как Carbonite или Backupify, убедитесь, что вы понимаете, что на самом деле резервируется, а что выходит за рамки. Для всех: При выборе инструмента и/или сторонней службы внимательно изучите процесс восстановления, а не только резервное копирование. Чем больше ваша сеть, тем сложнее восстановление. Вы не хотите создавать новые проблемы безопасности, пока вы восстанавливаете системы и сотрудников. Вы также не хотите, чтобы медленное восстановление мешало работе или отношениям с клиентами.

Устройства резервного копирования

Если у меня украли, потеряли или злонамеренно заблокировали устройство, мне нужен доступ к другому устройству без промедления. Мое противоугонное программное обеспечение поможет защитить устройство, находящееся вне моего контроля, но мне нужно другое устройство, чтобы запустить некоторые из этих средств защиты. Не менее важно и то, что мне нужно быстро вернуться к работе. Я не хочу покупать новый ноутбук в условиях двухчасового дефицита времени.  На моих вторичных устройствах не установлен мой обычный набор приложений, и я не использую их в других случаях. Вторичные устройства не должны находиться в орбите ваших активных устройств — в противном случае они могут подвергнуться риску как часть первоначального взлома.  Неиспользованная ценность: Если вы обновляетесь, а ваше текущее устройство находится в хорошем рабочем состоянии, сделайте его резервным. Просто сбросьте настройки до заводских и следите за обновлениями операционной системы. Другой вариант — купить недорогой ноутбук для экстренных случаев. Он поможет вам продержаться, пока вы не торопитесь с выбором новой машины.

Кибербезопасность — это непрерывный процесс

Это (в основном) полная картина моего текущего стека безопасности, но я постоянно думаю о новых инструментах, которые можно добавить, чтобы улучшить мою защиту. Я постоянно думаю об этом, потому что поддержание надежной кибербезопасности — это непрерывный процесс.  Отправной точкой является определение вашей модели угроз, а затем постоянная переоценка ее и вашей программы кибербезопасности. Возможно, имеющийся у вас инструмент не сработал должным образом в условиях кибератаки. Появятся неизвестные риски. По мере развития вашего бизнеса появятся новые уязвимости. По мере его роста у вас будет больше ресурсов для инвестиций в кибербезопасность.  Использование правильных инструментов жизненно важно для создания надежной системы безопасности, но инструменты — это только одна часть головоломки. Не менее важно и то, как вы их используете, а также ваше поведение в сфере безопасности.