Εισαγωγή & Threat Modeling

Καλώς ήρθατε στο OpSec (Operational Security) Workshop του Gizmolab. Σε αυτή την ενότητα θα μάθουμε πώς να προστατεύουμε τον εαυτό μας, τα δεδομένα μας και τις συλλογικότητές μας μέσω σωστών επιχειρησιακών πρακτικών ασφάλειας.

1. Η Ασφάλεια ως Διαδικασία (The Process)

Το OpSec δεν είναι ένα κομμάτι λογισμικού που αγοράζεις ή εγκαθιστάς. Είναι μια νοοτροπία και ένας τρόπος λειτουργίας.

Δεν υπάρχει κατάσταση “ολοκληρωμένης ασφάλειας”: Η ασφάλεια είναι μια συνεχής διαδικασία (process) και όχι ένα στατικό προϊόν.
Δεν υπάρχει τέλειο σχέδιο για όλους: Το τι είναι ασφαλές για εσάς εξαρτάεται από τις δικές σας ανάγκες, το περιβάλλον σας και τις απειλές που αντιμετωπίζετε.
Ο ασθενέστερος κρίκος: Πάντα πρέπει να αναζητούμε το πιο αδύναμο σημείο (weakest link) στο σχέδιο ασφαλείας μας και να το ενισχύουμε. Αν έχετε την καλύτερη κρυπτογράφηση δίσκου αλλά γράφετε τον κωδικό σας σε ένα post-it πάνω στην οθόνη, η ασφάλειά σας έχει αποτύχει.
Δυναμικές απειλές: Ό,τι είναι ασφαλές σήμερα, μπορεί να μην είναι αύριο. Πρέπει να ενημερωνόμαστε συνεχώς για νέα κενά ασφαλείας (exploits) και να προσαρμόζουμε το σχέδιό μας.

2. Μοντελοποίηση Απειλών (Threat Modeling)

Η προσπάθεια να προστατευτούμε από “τα πάντα” οδηγεί σε παράνοια ή σε τόσο δύσχρηστα συστήματα που τελικά τα εγκαταλείπουμε. Για να είμαστε αποτελεσματικοί, κάνουμε Threat Modeling (Μοντελοποίηση Απειλών).

Απαντώντας στις ακόλουθες 5 ερωτήσεις, μπορούμε να διαμορφώσουμε ένα ρεαλιστικό σχέδιο ασφάλειας:

Τι θέλω να προστατεύσω; (Ποια είναι τα πολύτιμα δεδομένα ή περιουσιακά μου στοιχεία;)
Από ποιον θέλω να το προστατεύσω; (Ποιοι είναι οι πιθανοί αντίπαλοι - hackers, διαφημιστικές, κράτος, κλέφτες;)
Πόσο πιθανό είναι να χρειαστεί να το προστατεύσω; (Είναι μια καθημερινή απειλή ή ένα ακραίο σενάριο;)
Πόσο κακές θα είναι οι συνέπειες αν αποτύχω; (Θα χάσω πρόσβαση σε ένα λογαριασμό social media ή κινδυνεύω με φυλάκιση/σωματική ακεραιότητα;)
Πόσο κόπο/ταλαιπωρία είμαι διατεθειμένος να υποστώ για να το αποτρέψω; (Αξίζει να έχω 20ψήφιο κωδικό και hardware token για ένα απλό forum;)

3. Επιφάνεια Επίθεσης (Attack Surface)

Η Επιφάνεια Επίθεσης είναι το σύνολο όλων των πιθανών σημείων (ευπαθειών) από τα οποία ένας επιτιθέμενος μπορεί να εισβάλει στο σύστημά μας ή να υποκλέψει δεδομένα.

Πώς να μειώσετε την Attack Surface:

Ελαχιστοποίηση Λογισμικού: Κρατήστε εγκατεστημένες μόνο τις εφαρμογές που χρησιμοποιείτε πραγματικά. Κάθε επιπλέον εφαρμογή είναι μια επιπλέον πόρτα που μπορεί να έχει κενά ασφαλείας.
Τακτικές Ενημερώσεις (Updates): Κρατάτε πάντα ενημερωμένο το λειτουργικό σύστημα (OS) και όλες τις εφαρμογές σας. Τα updates συνήθως διορθώνουν κρίσιμα κενά ασφαλείας που εκμεταλλεύονται οι hackers.
Απενεργοποίηση αχρησιμοποίητων υπηρεσιών: Κλείνετε το Bluetooth, το Wi-Fi, ή την τοποθεσία (GPS) όταν δεν τα χρησιμοποιείτε.