Проблема с безопасностью
Взлет и падение суперзвезды Microsoft в области безопасности
В начале нового тысячелетия Microsoft доминировала в области компьютерных операционных систем, но начала сталкиваться с конкуренцией со стороны Linux/UNIX, которые считались менее удобными для пользователя, но более безопасными. В прошлом безопасность не имела большого значения, поскольку большинство компьютеров работали либо как полностью автономные машины, либо как часть закрытой локальной сети.
Но в конце 90-х ситуация начала меняться. Интернет превратился из относительно эксклюзивного домена, населенного в основном элитной группой государственных и академических служащих и компьютерных фанатов, в коммерческое глобальное пространство. Благословение/проклятие рекламы и экономии за счет масштаба сделали ее доступной для потребителей, и всем внезапно захотелось прокатиться по информационной магистрали.
Конечно, это создало очень привлекательные охотничьи угодья для технически подкованных преступников, а также озорных хакеров-подростков, и вирусы и черви начали распространяться. Безопасность, которая если и рассматривалась, то лишь как второстепенная мысль, по-видимому, в одночасье превратилась в Очень Большое Дело. В 2002 году Microsoft серьезно занялась безопасностью, запустив инициативу Trustworthy Computing.
В то время на саммитах Microsoft MVP к тем из нас, кто специализировался на корпоративной безопасности, относились как к членам королевской семьи. У нас были лучшие вечеринки, лучшие подарки, и на наших конференциях всегда выступали «рок-звезды», такие как Стив Райли и Марк Руссинович.
В то время Microsoft вложила значительные средства в целую линейку программных продуктов, связанных с безопасностью, которые продавались под эгидой семейства Forefront, включая наш любимый шлюз управления угрозами (TMG), брандмауэр корпоративного уровня и прокси-сервер, которые эволюционировали. из сервера Internet Security and Acceleration (ISA), который был разработан Microsoft как противовес Check Point, ведущему программному брандмауэру того времени.
Это были дни славы. По мере того, как мы приближались ко второму десятилетию двадцать первого века, все изменилось. Microsoft прекратила выпуск большинства продуктов линейки Forefront. В 2012 году компания встревожила многих своих клиентов, а также MVP, консультантов и партнеров, построивших карьеру на ISA/TMG, объявив о прекращении поддержки своего брандмауэра.
Для Microsoft это была бизнес-стратегия, которая имела смысл в контексте их новой философии «сначала облако». Что касается «устаревших» локальных серверных установок, то все больше и больше функций, ранее имевшихся в отдельно приобретаемых продуктах безопасности, добавляются в саму серверную операционную систему. Это беспроигрышный вариант для компаний, которым теперь не нужно доплачивать, чтобы получить эти преимущества.
В 2014 году в рамках своей программы реструктуризации, которая включала большое количество увольнений, Microsoft закрыла Trustworthy Computing Group.
Это не просто «дело Microsoft»
Этот меняющийся ландшафт для профессионалов в области ИТ-безопасности не характерен для какой-то одной компании; Microsoft просто оказалась той, с которой я больше всего связан. Эволюционный процесс происходит во всей индустрии программного обеспечения и услуг. Безопасность «поглощается» и теперь, как и должно быть, является неотъемлемой частью разработки каждого продукта с нуля. Это хорошая новость, за исключением, возможно, специалистов по безопасности, которые оказались «бездомными».
Дело не в том, что рынок труда для тех, кто имеет опыт в области безопасности, упал. Наоборот, спрос на персонал «кибербезопасности» высок по сравнению с другими ИТ-вакансиями, и зарплаты тоже высокие. Но причина этого в том, что существует серьезная нехватка людей с необходимыми навыками, и, к сожалению, многие из тех, кто имеет многолетний опыт работы в области ИТ-безопасности, обнаруживают, что их навыки не соответствуют новым должностям.
Проблема в том, что многие специалисты по безопасности старой школы сосредоточены на устаревших технологиях, таких как администрирование брандмауэра. Сегодняшняя сетевая среда заключается не столько в создании крепости по периметру, сколько в защите данных там, где они находятся, при их перемещении из одного места в другое по сети и во время их использования. Старая концепция «компьютерной безопасности», как следует из ее названия, была сосредоточена на защите Новая парадигма намного сложнее.
Облако, конечно же, является одним из факторов, который внес много изменений в то, как мы смотрим на вычисления и, в свою очередь, как мы думаем о безопасности. Все чаще большая часть наших данных и приложений находится на серверах в центрах обработки данных «где-то там», и физический контроль над этими серверами перешел от штатных ИТ-специалистов к персоналу облачных провайдеров. В то же время мы по-прежнему несем бремя окончательной ответственности за безопасность наших активов, даже если у нас меньше практического контроля над ними.
Когда-то мы могли обернуть защитный слой механизмов безопасности вокруг локальной сети или подсети компьютеров, большинство из которых были стандартизированы с одинаковыми операционными системами, приложениями и конфигурациями и располагались в одной физической и логической области. Сегодня наши бизнес-сети состоят из всевозможных аппаратных устройств различного типа (настольных систем, ноутбуков, планшетов, смартфонов), произведенных разными поставщиками, работающих под управлением разных операционных систем и широкого спектра как бизнес-приложений, так и потребительских приложений. Многие из них даже не принадлежат компании, а покупаются сотрудниками и используются для работы в рамках программы BYOD.
Эта очень мобильная и гораздо более независимая рабочая сила создает совершенно новые проблемы безопасности, с которыми невозможно справиться, используя старую тактику. В то же время хакеры и злоумышленники становятся все более изощренными. Вредоносное ПО эволюционировало далеко за пределы простых вирусов и червей вчерашнего дня. Киберпреступность превратилась в самостоятельную организованную и очень прибыльную отрасль, большая часть которой совершается иностранными интересами, в том числе национальными государствами с огромным объемом финансирования.
Тем не менее, многие специалисты по безопасности до сих пор работают так, как будто мы застряли в 90-х. Опрос, проведенный ESG в начале 2014 года, показал, что большой процент специалистов по безопасности не был знаком с методами управления и контроля (C&C), полиморфными и метаморфными вредоносными программами, а удивительные 29 процентов были даже не очень хорошо знакомы с вредоносными программами нулевого дня.
Если вы прочитали абзац выше и спросили: «Что это?» то вы просто можете быть одним из тех профессионалов в области безопасности, чьи навыки нуждаются в небольшом обновлении.
Плохие новости, хорошие новости
Хорошие новости для экспертов по безопасности, как правило, плохие новости для пользователей компьютеров и бизнеса. Хорошая и плохая новость примерно в 2015 году заключается в том, что появились новые силы, которые снова выводят безопасность на передний план (так сказать) ИТ.
Одним из наиболее важных из них является строго регулируемая среда, в которой сейчас работает так много организаций. Правительственные и отраслевые мандаты означают, что большое количество компаний больше не могут рассматривать сильную безопасность как вариант; у них нет другого выбора, кроме как инвестировать в лучшую безопасность, если они хотят остаться в бизнесе и избежать санкций, штрафов, судебных исков или даже, в некоторых случаях, уголовных обвинений.
Это плохая новость для этих компаний, потому что соблюдение рекомендаций по обеспечению безопасности может быть разочаровывающим и запутанным, не говоря уже о том, что это может дорого обойтись. Это хорошая новость для профессионалов в области безопасности, которые видят возможность, потому что большинству организаций нужен кто-то, кто поможет им в этом процессе, либо в штате, либо в качестве консультанта. Многие организации изо всех сил пытаются ориентироваться в коварных водах соответствия и ищут экспертов, особенно тех, кто имеет специализированный опыт в определенных вертикальных рынках, таких как здравоохранение и финансовые услуги.
Большинство вопросов соблюдения нормативных требований направлены на защиту личных данных клиентов, пациентов и т. д. Утечки данных могут иметь серьезные последствия не только для лиц, чья конфиденциальная информация раскрывается, но и для компаний или организаций, которые допускают это. В дополнение к штрафам, налагаемым регулирующими органами, такие компании могут столкнуться с серьезными проблемами в отношениях с общественностью и потерей бизнеса, поскольку страдает их репутация.
Хорошая новость для профессионалов в области безопасности, желающих освоить новые способы работы, заключается в том, что новый набор навыков в области безопасности будет востребован как никогда.
Адаптация к изменениям
Чтобы оставаться актуальными и процветать в этом дивном новом мире облачных, управляемых пользователями ИТ с несколькими устройствами, профессионалы должны начать мыслить глобально, как в прямом, так и в переносном смысле. Крайне важно, чтобы вы не отставали от постоянно меняющегося ландшафта угроз, а также новых средств защиты от более традиционных угроз.
Поскольку основное внимание уделяется защите данных, специалисты по безопасности должны отказаться от идеи, согласно которой безопасность заключается только в том, чтобы не допускать вещей (вредоносных программ, вирусов и т. д.), на понимание того, что речь также идет о хранении вещей (защищенных данных) Механизмы фильтрации и блокировки внешнего трафика стали столь же важными, как и механизмы, предназначенные для обнаружения и предотвращения проникновения угроз в сеть или на устройство.
Однако наиболее важно то, что современному эксперту по кибербезопасности в дополнение к техническим практическим навыкам необходимо будет развивать навыки межличностного общения. Понимание сетевых протоколов и инфраструктур, а также уязвимостей и эксплойтов программного обеспечения по-прежнему является требованием, но этого уже недостаточно. Вам потребуются как отличные аналитические навыки, так и способность эффективно общаться с людьми на всех уровнях внутри и за пределами организации, а также делать очень сложные концепции понятными для нетехнических специалистов.
Все больше и больше разница между ИТ-специалистами и разработчиками стирается, и специалисты по безопасности, считающие себя полностью принадлежащими к тому или иному лагерю, могут вообще оказаться без лагеря. Современному специалисту по безопасности требуется как понимание общих принципов программирования, методов безопасного кодирования и языков сценариев, так и хорошее понимание сетевой архитектуры, администрирования и управления.
Никто не говорил, что переход будет легким, но для тех, кто успешно совершит этот переход, будущее выглядит светлым.