В частях 1 и 2 этой серии мы рассмотрели два вида давления, с которыми сталкиваются команды безопасности в высшем образовании. Во-первых, ландшафт угроз: университеты имеют дело с более частыми атаками в сложных распределенных средах, в то время как безопасность на уровне отдельных кампусов может затруднить обмен данными и координацию реагирования. Во-вторых, бремя соблюдения нормативных требований: перекрывающиеся требования FERPA, GLBA, HIPAA и CMMC затрудняют определение того, какие данные были затронуты, какие обязательства по отчетности применяются и как быстро учреждение должно действовать.
Эта заключительная часть посвящена тому, что меняется, когда университетская система начинает рассматривать безопасность как общую возможность, а не как совокупность отдельных программ для каждого кампуса. Учреждениям с несколькими кампусами по-прежнему необходимо сохранять местную автономию, но им также требуется достаточная прозрачность во всей организации, чтобы понимать, где кроется риск, как распространяется инцидент и не появляется ли та же проблема в другом месте.
Этот баланс особенно актуален в высшем образовании, где кампусы, исследовательские среды, медицинские службы и административные группы часто работают с очень разными технологическими потребностями и уровнями независимости.
Архитектура безопасности должна отражать то, как университеты работают на самом деле
Большинство университетских систем уже являются федеративными организациями, где отдельные кампусы управляют своим руководством, бюджетами, пользователями и технологическими средами, в то время как центральный офис обеспечивает управление и надзор за всем учреждением.
Архитектура безопасности может следовать той же модели. Благодаря мультиарендности в Rapid7 Command Platform центральная команда безопасности может поддерживать прозрачность всей университетской системы, в то время как отдельные кампусы продолжают работать в своих собственных средах. Данные и доступ на уровне кампуса остаются разделенными, в то время как центральная команда может выявлять более широкие закономерности, координировать реагирование и распространять общие рабочие процессы по всей системе.
Например, новый шаблон атаки, обнаруженный в одном кампусе, не должен оставаться локальным открытием. Общая прозрачность и скоординированные рабочие процессы могут помочь центральной команде определить, появляется ли та же активность в другом месте, и сделать соответствующие рекомендации по реагированию доступными для всего учреждения, не раскрывая данные одного кампуса другому.
По мере роста университетской системы эта модель может расширяться вместе с ней. Система, управляющая тремя кампусами сегодня, может добавлять новые среды, не перепроектируя архитектуру безопасности каждый раз.
Централизованное представление поверхности атаки может сократить большую часть ручной работы, которая возникает, когда университетским командам нужно ответить на вопрос безопасности в масштабах всей системы.
Если раскрывается значительная уязвимость нулевого дня, центральная команда безопасности должна знать, какие кампусы используют затронутые системы, какие уже устранили уязвимость и где все еще требуется внимание. В децентрализованной среде сбор этой информации может означать электронные письма, звонки, электронные таблицы и отдельные разговоры с каждым кампусом. Общий взгляд на активы и уязвимости дает командам более быстрый способ определить, где существует риск.
Во время активного инцидента та же прозрачность между кампусами может помочь следователям выяснить, появилась ли подозрительная активность сначала в кампусе C, потому что компрометация началась там, или потому что именно там она стала заметной. Это также позволяет им проверить, присутствуют ли те же индикаторы в кампусе A или кампусе B, прежде чем каждая команда начнет расследование независимо.
У университетов также есть большие внешние поверхности атаки, которые может быть трудно инвентаризировать централизованно. Студенческие порталы, API, исследовательские серверы, веб-сайты факультетов и другие активы, выходящие в интернет, могут быть созданы вне обычных ИТ-процессов. Project Sonar от Rapid7 постоянно сканирует общедоступный интернет, помогая организациям выявлять внешне доступные службы и активы, которые могли быть пропущены внутренними инвентаризациями.
Приоритизация уязвимостей требует большего, чем просто оценка серьезности
Команды безопасности университетов редко имеют возможность устранить все уязвимости сразу, поэтому приоритизация должна отражать вероятность того, что уязвимость будет использована в реальной атаке.
Rapid7 объединяет данные об уязвимостях с разведданными об атакующих, включая информацию из Metasploit, нашей платформы для тестирования на проникновение с открытым исходным кодом, используемой специалистами по безопасности для тестирования и проверки реальных эксплойтов, с более чем 3000 модулей эксплойтов.
Эти разведданные объединяются с информацией из AttackerKB, мероприятий по реагированию на инциденты, приманок (honeypots) и других источников данных об угрозах, предоставляя командам дополнительный контекст относительно того, существует ли эксплойт, наблюдалось ли его использование и насколько сложно использовать уязвимость на практике.
Для университета, работающего с тысячами находок в нескольких кампусах, этот контекст может помочь командам направить ограниченные ресурсы на устранение уязвимостей с более вескими доказательствами интереса атакующих, вместо того чтобы полагаться только на оценки серьезности.
Реагирование на инциденты должно работать через границы кампусов
Требования по соблюдению нормативных требований, обсуждавшиеся во второй части, создают дополнительное давление на скорость расследования, особенно когда юридическим или комплаенс-командам необходимо установить, был ли получен доступ к регулируемым студенческим, финансовым, медицинским или исследовательским данным в нескольких кампусах.
Платформа Velociraptor с открытым исходным кодом от Rapid7 может собирать криминалистические артефакты и проводить расследования в реальном времени на тысячах конечных точек одновременно. В университете с несколькими кампусами это может позволить следователям определить, происходила ли одна и та же активность или доступ к данным в нескольких средах, без проведения каждого расследования отдельно.
Автоматизированные рабочие процессы реагирования также могут быть распределены по затронутым средам кампусов, что позволяет командам изолировать скомпрометированные системы, отзывать учетные данные или блокировать индикаторы последовательно, а не повторять одно и то же реагирование вручную в каждом учреждении.
Кампусы с небольшими командами безопасности выигрывают от этой общей возможности, поскольку качество и скорость реагирования меньше зависят от того, сколько людей случайно оказалось доступно на месте, когда происходит инцидент.
Консолидация может вернуть время перегруженным командам безопасности
Операционный аргумент в пользу общей модели безопасности также сводится к объему работы, создаваемой фрагментацией. Отдельные инструменты для кампусов означают отдельные лицензии, интеграции, требования к обучению, продления, процессы отчетности и отношения с поставщиками, все из которых потребляют время, которое недоукомплектованные команды безопасности могли бы потратить на другие задачи.
Исходный материал для этой серии включает пример одной организации, которая сэкономила 96 часов в месяц за счет сокращения ручной работы с разрозненными инструментами безопасности. Он также цитирует среднее улучшение на 74% среднего времени обнаружения, где применялись унифицированная прозрачность и корреляция угроз. Для команд высшего образования, работающих в жестких рамках нормативной отчетности, разница между обнаружением инцидента за часы, а не за дни, может иметь прямое влияние на то, как быстро учреждение сможет оценить масштаб и отреагировать.
Общегородское соглашение также может сократить количество контрактов, циклов продления и отношений с поставщиками, которыми необходимо управлять центральным и университетским командам, позволяя при этом масштабировать возможности безопасности по мере того, как учебное заведение добавляет новые кампусы, устройства и облачные службы.
Обеспечение безопасности университета в целом
Университеты с несколькими кампусами всегда будут иметь различные технологические потребности в отдельных кампусах, исследовательских средах, медицинских службах и административных подразделениях. Подключенная модель безопасности не требует, чтобы эти среды функционировали одинаково, но она дает центральным и местным командам лучший способ понимать общие риски, координировать расследования и применять согласованное реагирование, когда инцидент выходит за рамки одного кампуса.
В рамках этой серии материалов один и тот же паттерн проявлялся с разных сторон. Угрозы перемещаются через организационные границы, регулируемые данные редко хранятся строго в пределах одного кампуса, а специалисты, отвечающие за защиту университетских систем, и без того работают в условиях ограниченного времени и ресурсов. Объединение большего объема этого контекста безопасности может помочь командам реагировать быстрее, эффективнее делиться аналитической информацией и сократить объем ручной работы, порождаемой разрозненными инструментами и процессами.
Rapid7 помогает более чем 11 000 организаций по всему миру взять под контроль свою безопасность. Узнайте больше на сайте rapid7.com/sled.
