אבטחה היא הרגל, לא התקנה

הקורס נגמר כאן. המערכת שלכם לא. כל תשובה שקיבלתם מהפרומפטים בשיעורים 0 עד 8 הייתה נכונה ביום שהרצתם אותם, והיום הזה כבר מאחוריכם.

מה נסחף

• מפתחות מצטברים. כל שירות חדש שמחברים מוסיף אחד, ואף אחד לא מוחק את הישנים (שיעור 4)
• חבילות משתנות מתחת לרגליים. מה שהתקנתם וקראתם לפני חצי שנה עבר מאז עשרים גרסאות, ולא קראתם אף אחת מהן (שיעור 5)
• סוכנים מקבלים טווח חדש. מחבר שנוסף למשימה אחת נשאר פתוח לכל משימה אחריה, וסוכן שהחזיק שתי רגליים של כלל השניים מחזיק עכשיו שלוש (שיעור 3)
• העולם זז. שירות שמחזיק את המפתחות או את המידע שלכם נפרץ, ואולי יספר לכם ואולי לא

המבחן שהרצתם בשיעור 8 מדד את המערכת ביום אחד. חודש אחר כך זאת מערכת אחרת.

פריצות קורות לשירותים שאתם משתמשים בהם, לא רק לכם

רוב האנשים לומדים על פריצה מהחדשות, שבועות אחרי המעשה, אם בכלל. אין לכם צוות אבטחה שעוקב. התחליף הוא רשימה קצרה והרגל: אילו שירותים מחזיקים את המפתחות שלי, אילו מחזיקים מידע של אנשים אחרים בשמי, ופעם בחודש, האם אחד מהם דיווח על אירוע? יש שירותי התרעה חינמיים שישלחו לכם מייל כשכתובת שלכם מופיעה בפריצה ידועה. השתמשו באחד מהם. כששירות מהרשימה שלכם מגיע לחדשות, הניחו שהמפתחות שנתתם לו חשופים, בטלו אותם אצל מי שהנפיק אותם והנפיקו חדשים. אל תחכו שהשירות יגיד לכם שזה היה החשבון שלכם.

תאריך ויומן

קבעו יום. האחד בחודש, יום ראשון שאחרי המשכורת, מה שבאמת תקיימו. חודשי זה הנכון לרוב מי שמריץ כמה סוכנים. רבעוני זה נדיר מדי: אלה שלושה חודשים של סחף לפני שמסתכלים.

החזיקו יומן, ותנו לסוכן לכתוב אותו. שיעור 7 ביקש שורה אחת לכל פעולה החוצה, וזה הרישום היומי. זה הרישום החודשי: רשומה מתוארכת עם מה שהשתנה, מה החלטתם ומה דילגתם עליו. היומן הוא מה שהופך את הסקירה הבאה מתרגיל זיכרון להשוואה. בלעדיו כל סקירה מתחילה מאפס ומוצאת את אותם חמישה דברים.

הריצו את הקורס על עצמכם מחדש

עמוד הצ'קליסט באתר הזה הוא הגרסה המודפסת של ההרגל. פעמיים בשנה, הריצו שוב את המיפוי משיעור 0 ואת מבחן הקנרית משיעור 8, כי שני אלה מודדים את המערכת במקום לתאר אותה.

אף אחד לא עושה את כל זה, ואף אחד לא צריך להעמיד פנים. המטרה של הסקירה היא לבחור את הדבר האחד שהכי צריך להזיז החודש, ולהזיז אותו. בחודש הבא, את הבא בתור. שנה כזאת היא מערכת שהשתפרה שתים עשרה פעמים, וזה יותר ממה שרוב החברות עם צוות אבטחה יכולות להגיד.

מה אני עושה באופן קבוע

כל מה שכתוב למעלה הוא מה שסוכן האבטחה שלי הציע וכתב.

הנה מה שאני עושה בפועל במערכת שלי היום:

• כל שבוע: בודק קבצים ותהליכי עבודה כדי למצוא סודות, ומנקה הרשאות שאושרו
• כל חודש: ממיין התרעות של בדיקת האוטומציות על דפוסים של הוצאת מידע והזרקת הוראות, ובודק ומנקה פרטי גישה שכבר לא עובדים
• כל חודש: קורא עדכוני אבטחה ובודק מה צריך להפוך לסקילים של אבטחה
• כל שלושה חודשים: בודק את רישום הסמכויות מול המערכת בפועל
• כל שלושה חודשים: מתחזק סקילים, סורק את השינויים שמגיעים לפני השדרוג
• כל שלושה חודשים: בודק את יומן הביקורת של האתרים שלי
• כל שלושה חודשים: מתעדכן בסוגיות OWASP ID האחרונות וקורא אתרי אבטחה מוכרים
• כל שלושה חודשים: הסוכנים עורכים תרגילי אבטחה ובודקים הגנות ופעולות אבטחה, כמו תרגיל של הסרת גישה
• כל חצי שנה: בוחן את המקומות שדרכם כסף ומידע נכנסים ויוצאים, ואת מודל האיומים שנבנה עבורם
• כל שנה: סוקר אתרים סטטיים ושירותים קטנים

וכן, כל מה שברשימה נמצא באחריות סוכן אבטחה ייעודי שיש לי במערכת.

תריץ את סקירת האבטחה החודשית שלי.

תחזיק בסביבת העבודה שלי קובץ בשם security-log.md עם רשומה מתוארכת אחת לכל הרצה, ותשווה לרשומה הקודמת אם יש כזאת.

תפרט:
1. כל סוכן, רוטינה, מפתח, חבילה או כלי מחובר שנוספו או השתנו מאז הרשומה הקודמת
2. לאילו חבילות וכלים יש עדכון שעוד לא התקנתי
3. אילו מהשירותים שמחזיקים את המפתחות או את המידע שלי דיווחו על פריצה או על אירוע אבטחה מאז הרשומה הקודמת, ומה כדאי לי לעשות בעניין
4. אילו מפתחות לא היו בשימוש ב-90 הימים האחרונים, כדי שאוכל לבטל אותם
5. אם הגיבוי שלי שוחזר מאז הרשומה הקודמת

איפה שאתה לא יכול לבדוק, תכתוב את זה ברשומה במקום לנחש.

תסיים בשלושת הדברים שהכי שווה לעשות החודש, ותכתוב את הרשומה לקובץ לפני שאתה אומר לי משהו.