Перевод статьи Герберта Лина, старшего научного сотрудника по информационной политике и безопасности при Стэнфордском университете, автора книги «Киберугрозы и ядерное оружие» «Op-Ed: What a house cat can teach us about cybersecurity»
Сегодняшние новости часто содержат сообщения о нарушениях кибербезопасности, которые крадут наши данные или угрожают нашей национальной безопасности. Страна тратит миллиарды долларов на меры кибербезопасности, но, похоже, мы не можем решить эту проблему. Почему наши компьютеры так сложно защитить?
Недавний опыт с домашним котом позволил понять природу этой проблемы. У меня аллергия на котов. Моя дочь пришла домой с котом и намерением оставить его надолго, и мне пришлось найти способ удержать Пунса (англ. Pounce) в ограниченном пространстве. Однако (о чем наверняка знают многие хозяева кошек — а я не знал), это было обречено на провал.
Все, мои попытки ограничить Пунса, работали лишь какое-то время, но в конечном итоге терпели неудачу, поскольку он находил способ преодолеть мой новейший барьер безопасности — точно так же, как хакеры в конечном итоге находят путь через барьеры кибербезопасности, созданные, чтобы их остановить.
У меня есть преимущество в неограниченных материальных ресурсах по сравнению с теми, что доступны коту — я, по-видимому, умнее кота, у меня лучше ловкость рук, и я — высшее млекопитающее, которое умеет пользоваться инструментами. Так почему же я так решительно проигрываю эту битву?
Вот некоторые из уроков кибербезопасности, которые стали понятны в ходе моих испытаний:
- Чтобы добиться успеха против решительного атакующего (Пунс был очень решителен), я должен быть готов пойти ва-банк раньше, чем позже. Даже если моя победа не может быть окончательной. Но что точно не сработает, так это развертывание мер безопасности, которые минимально решают эту задачу, ведь я слишком ленив, чтобы сделать полную проверку в самом начале.
- У Пунса есть преимущество в неограниченности времени, и он совершает попытки до тех пор, пока не добьется успеха. Это может занять несколько дней но, в конце концов, он это сделает. Более того, Пунсу нужно только один раз преуспеть, чтобы выбраться. Каждая моя мера в его ограничении должна работать, чтобы держать его взаперти.
- Большие материальные ресурсы и больший интеллект не обязательно преодолевают огромное преимущество Пунса делать неограниченное количество попыток обойти мои препятствия. Если он потерпит неудачу в любой из попыток, то не понесет ущерба (моя дочь была бы очень огорчена, если бы это произошло).
- У Паунса есть могущественный защитник (моя дочь), и ее гневу я не желаю противостоять по дипломатическим причинам. Хакеры, действующие за пределами иностранных государств, часто пользуются поддержкой их правительств, даже если они номинально действуют как свободные агенты, и у нас может не быть адекватных рычагов, чтобы убедить их защитников принять меры.
- Мои защитные меры были успешными, пока не происходило обратного. То есть выглядело так, будто я выигрывал битву в ограничении Пунса, вплоть до того момента, пока я не видел его на свободе. И это происходило неоднократно. Так что, меня часто успокаивало ложное чувство безопасности.
- Возможность взглянуть на точку зрения Пунса очень помогла бы мне создать соответствующую защиту. Но смотреть на мир глазами с высоты 6 дюймов от пола для меня было бы очень сложно, поэтому я не стал этого делать. Таким образом, он видел способы обойти или разрушить мои меры по безопасности, которых я не видел.
- Управление людьми может быть более мощным, чем любые технические средства защиты — то, что в мире кибербезопасности называется социальной инженерией. Когда Пунс жалобно мяукает и смотрит в глаза моей дочери, она просто выпускает его из зоны заключения. Моя дочь, возможно, согласилась бы помочь мне удержать Пунса взаперти, но ему часто удавалось изменить ее лояльность. На жаргоне кибербезопасности моя дочь была «доверенным инсайдером», который стал мошенником.
- В конце концов, я «выиграл» битву, когда моя дочь уехала, взяв с собой Пунса. Это также важный урок кибербезопасности: без компрометации компьютера кибератаки невозможны, поэтому не используйте компьютеры, когда они не нужны. Моя зубная щетка и холодильник прекрасно работают без высокотехнологичных средств связи, спасибо, и я бы действительно предпочел не подвергаться риску кибербезопасности.