التكنولوجيا المالية. وماذا تحمي؟

مرحبًا بالجميع ،



Minutka deanona ، اسمي أناتولي ماكوفيتسكي ، أنا رئيس فريق الأمان في Exness.



سأعتذر على الفور لأولئك الذين يتوقعون رؤية الكتابة الفنية ، لن تكون هنا. أيضًا ، تصف المادة الأشياء التي تبدو واضحة جدًا للوهلة الأولى لدرجة أنها ليست حقيقة أنها كذلك ، ولكن يمكنك أن تسألني بشكل معقول كيف تم تعييني ومتى سأتوقف عن التظاهر بأني آمن (أجب في الصورة أسفل الخفض).







قادوا.





الصورة: قناة Telegram Information Security Memes (https://t.me/infosecmemes)



لقد تم تشكيل سنواتي العديدة السابقة في المهنة في شركات التكنولوجيا ، وبصفتي متخصصًا في أمن المعلومات ، فقد قمت بحماية ... المعلومات (غطاء) ، على الرغم من الانتظار إذا نفهم ، كما هو معتاد في صناعتنا ، أنه في بعض الأحيان كان هناك مزيج جيد من حماية الأنظمة ، دون اختلاف حقيقي كبير ، ما نوع المعلومات التي تحتويها ، ومدى أهمية هذه الأنظمة للأعمال ، وهل هناك شيء أكثر أهمية الآن ، واتفاقيات أخرى.



موافق ، إنه أمر رائع للغاية في غياب الإدارة الصارمة والعمليات المبنية جيدًا والأولويات الواضحة وغيرها من السعادة ، والقفز من نظام إلى آخر ، وإيجاد أخطاء جميلة على السطح أو أعمق قليلاً على أساس بحث جديد أو تجربة شخصية لشخص آخر ، مما يدل على طرق رائعة لاستخدامها. يتيح لك هذا حقًا إقامة حوار مع فرق تقنية المعلومات الأخرى وكسب بعض المصداقية. في مكان ما تم نقلي في المكان الخطأ ...



نعم ، هذا صحيح ، يعتمد أمن المعلومات الحقيقي على العمليات ، ISO ، 27 كيلو في الأسنان وذهبنا لإخراج أدمغة تكنولوجيا المعلومات والإدارة العليا ، سنخبر كل شيء ، سنشرح كل شيء ، ونبرر ونعرض ، لن يجادل أحد ، إنه ضروري ، ولكن هل ستصبح عملياتنا في الحقول أفضل من إدخال المعيار التالي؟



في الواقع ، الرسالة هي أنك بحاجة إلى محاولة الانتقال إلى الفكرة الجذرية ، إلى حماية شاملة ومتوازنة لأصول الأعمال القيمة ، وليس إلى "تصحيح" الأمان ، وإلا سيبدو الأمر كما يلي:





الصورة: s.66.ru



أنت أنا آسف لمثل هذه الأمثلة المتطرفة على كلا الجانبين ، أفهم أنه لا يمكن إيضاح ذلك ، ولكن في تجربتي الخاصة تم نقلي من طرف إلى آخر ، تمامًا كما هو مكتوب أعلاه ، لذلك آمل بشدة أن يكون هناك جمهور بالغ لائق هنا ، وتجربتي غير مهمة على خلفية خبرتك ، حيث بدأت بأكبر ورقة في أسوأ مظاهرها ، ثم انتقلت بسلاسة من خلال تكنولوجيا المعلومات إلى المجالات العملية ، فاندفعت من طرف إلى آخر ، ورأيت أولئك الذين جلسوا في هذه الحدود القصوى بجواري ، لذلك لم أكن وحدي هناك وسأذكر شيئًا واحدًا:

, , , , :

• , ( ), , , , , ;
• , - , , , , .

كلا النهجين لهما جوانب إيجابية ، لأن الاهتمام غير الكافي لكل منهما يولد مخاطر منفصلة خاصة به ، لكن الحقيقة في حالة توازن ، وإلا فإن الأمن من أجل الأمن يتم الحصول عليه في مكان ما بالقرب من الحصان الكروي في فراغ. هنا نأتي إلى دليل أكثر وضوحًا:

1. يغرق ضباط أمن المعلومات بسبب الحاجة إلى حماية كل شيء وكل شخص ، في كثير من الأحيان دون تحديد أولويات حقيقية ، ويسعدون بأي فرصة لإعدام شخص علنًا يعبس حاجبيه بفخر لإثبات نفسه عندما ينتهك شخص ما عملية مبنية أو غير مكتملة
2. غالبًا ما يركز حراس الأمن العمليون على تجنب وجود نقاط ضعف في أي مكان ، لأن هذا من المحتمل أن يعرض البيئة بأكملها للخطر ، ولكن لديه أيضًا ثغرات في تحديد الأولويات ، مما يعطي أولوية أعلى لنظام أكثر ضعفًا من نظام أكثر حساسية ولكنه أقل * عرضة للخطر.

غالبًا ما نعتمد على تجربة شخص آخر ، على أولويات شخص آخر ، والتي نقرأها في مكان ما ، والتي لا تكون دائمًا خاطئة وغير مناسبة ، ولكنها غالبًا ليست مثالية بما يكفي لظروف معينة ، من فئة البداية السريعة ، والتي يمكن في بعض الأحيان ، مع ذلك ، تبريرها عندما الأعشاب والطائرات الورقية تدور حولها ، ومن الواضح أنها أفضل من لا شيء ، لكن العمل ، في الوقت نفسه ، يعيش بمفرده.



بالمناسبة ماذا عن الحوار بين رجال الأعمال والأمن؟ في رأيي العميق ، نحاول (حراس الأمن) في كثير من الأحيان أن نبيع للشركة ما لا تفهمه ، وما لا تحتاجه حقًا وما لا يتعلق به كثيرًا ، أو حتى لا نحاول بيع أي شيء. أي أن حجتنا كممثلين للأمن تستند إلى أفكار وأسس صناعتنا الخاصة ، والتي قد تكون الأعمال التجارية بعيدة جدًا عنها ، ونحن بحاجة إلى التحفيز بلغة مفهومة ومعقولة ، عندها سيكون التأثير أكثر قابلية للتنبؤ ، وعلى المدى الطويل ، وتكون مشاركة الأعمال أعلى. في النهاية ، يجب أن نذهب إلى العمل من أجل الميزانية ، بغض النظر عن مدى رغبتنا في أن يكون العكس :)



لماذا تحتاج الشركات إلينا على الإطلاق؟ أحيانًا يكون الأمان مطلوبًا للعرض ، لأنه ببساطة مطلوب. دعنا نترك مثل هذه الحالات ونتحدث عن الحالات التي يظهر فيها الأمن بسبب فهم الحاجة إليه. يريد العمل المناسب المال لتقييم المخاطر المحتملة بشكل شامل مسبقًا ، والتعامل معها مقدمًا ، وكذلك للاستجابة في الوقت المناسب وبشكل فعال للتهديدات التي يتم إدراكها ، واستخلاص النتائج منها للمستقبل وتصبح أقوى. هذا يعني أننا تم تعييننا للمساعدة ، ولكن كيف يمكننا المساعدة؟



بادئ ذي بدء ، عليك أن تفهم كيف تجني الشركة المال بهذه الطريقة ، وما الذي تفعله وما الذي تسعى إليه ، ومن ثم بكل قوتنا لحمايتها. إذا كانت الشركة تقوم بتربية الدجاج الذي يضع البيض وينتهي به المطاف على موائد الناس الطيبين كغذاء ، فلنحمي الدجاج وبيضه والعمليات المحيطة به وطريقة توصيله إلى الطاولات. إذا كان النشاط التجاري منخرطًا في البيانات الضخمة ، فلنحمي هذا التاريخ الكبير جدًا ، وأجهزة الكمبيوتر ، والبيانات الخام ، والخوارزميات وكل ما يتعلق بها.



لذلك ، للأسف الشديد ، فإن جزءًا صغيرًا فقط من الزملاء في المتجر في الواقع يدرك ضعف كفاءة النهج غير المتوافق مع الأعمال والتنفيذ اللاحق لنموذج العمل على أولويات العمل. وما الذي يسمح لنا بتحديد التهديدات الحقيقية؟ هذا صحيح ، نمذجة لهم.



دعنا نتنحى للحظة ونتخيل عملية نمذجة التهديد الشاملة كما أراها:

1. نحدد الأصول القيمة للشركة ، والأصول القيمة هي تلك التي يؤدي انتهاك ممتلكاتها في النهاية إلى خسائر ، وفقًا للتجربة ، والتي تتلخص في النهاية في كونها مالية ، بشكل مباشر أو غير مباشر ، إذا كنا نتحدث عن شركة تجارية. هنا ، كقاعدة عامة ، نحصل على هذه المعلومات أو تلك ، والتي يجب علينا حمايتها من مصلحتنا الخاصة أو لأسباب تنظيمية. لم تسنح لي الفرصة للعمل في مناجم الذهب ، ربما لا توجد معلومات في المقام الأول.
2. نحن نصنف تلك الأصول الأكثر قيمة من أجل تحديد الأولويات بطريقة أو بأخرى.
3. , , , , , ( , - , , , , ).
4. .
5. , , , , , , .
6. .
7. , **, .

لذلك ، في وقت سابق ، من التجربة ، كان لدي دائمًا معلومات عن الأصل المحمي ، كان هذا كافياً لبناء الحماية ، ولكن عندما أتيت إلى Exness وبدأت في تشكيل نموذج يأخذ في الاعتبار الخصائص المحلية ، لم أستطع التخلي عن الشعور بأن شيئًا ما مفقودًا ، شيء ما ثم ضاع الشيء المهم حتى فجر علي (نعم ، اضحك علي ، المحتال الأمني ​​الذي كتب هذا المنشور ، ووضوح ما يحدث):

"هناك أموال في التكنولوجيا المالية".

أي شركة لديها أموال. أي شركة ، عاجلاً أم آجلاً على الأقل ، تدفع أجور الموظفين ، وتستأجر مكتبًا ، وتجري نوعًا من النشاط الاقتصادي وتوفر العمل لقسم المحاسبة ، ولكن هذا يتلخص في امتلاك حساب مصرفي ، أو بالإضافة إلى نظام دفع متكامل مع الموقع الإلكتروني ، لكن التكنولوجيا المالية لديها أموال حقيقية ، بينما يعمل المستخدمون الخارجيون معها ، وجزء كبير من العمليات معها مؤتمت. وجه الفتاة ...



الآن دعنا نتخيل أنه بالإضافة إلى مجموعة من المعلومات المتعلقة بالأعمال التجارية وغيرها من المعلومات المحمية ، نعم ، بما في ذلك الاعتمادات والمفاتيح من الخدمات المصرفية عبر الإنترنت ، والتي يمتلكها الجميع وكذلك حول المال ، لديك على الأقل أموال حقيقية من العملاء يربحونها لحساباتك داخل أنظمتك. هذا هو ، في الواقع ، داخل الأنظمة ، هذه هي نفس المعلومات مثل كل شيء حولها ، ولكن في الحقيقة هي الأموال التي يتم تحويلها إلى معلومات والعودة إلى حدود الأنظمة ، ولكن لا يجب التعامل معها على أنها معلومات عادية.



الصورة أدناه هي رسم تخطيطي لتدفق المعلومات لأحد منتجاتنا :)





الصورة: "DuckTales" سلسلة والت ديزني تلفزيون الرسوم المتحركة



أيضًا ، الابتعاد عن النموذج القائل بأننا نحمي المعلومات فقط جعل من الممكن فهم نوع آخر من الموارد القيمة التي أهملتها سابقًا ، ولكنها موجودة في الجميع ، على الرغم من أنها غامضة إلى حد ما - علاقة يمكن أن تكون شراكة مع عميل / مزود حركة مرور ، أو مع مزود خدمات الاتصالات / الأمن / البنية التحتية. بالطبع ، قبل أن أفكر دائمًا في هذا الأمر ضمنيًا ، ولكن في سياق تنفيذ تهديد في فراغ ، من فئة خطة استمرارية الأعمال وخطة التعافي من الكوارث ، ولكن هنا تحولت في الوعي إلى أصل واعي تمامًا يستحق التحديد والحماية ، مما يوسع نطاق تغطيتنا ، لذلك كيف نبدأ في التحرك في هذا الصدد ليس فقط من التهديدات المعروفة ، ولكن أيضًا من الأصل نفسه ، كما من كائن يحتمل أن يتعرض لتهديدات غير معروفة ، ولكن هذا لا يتعلق بذلك الآن.



إذا نظرت عن كثب ، يمكنك رؤية الأموال من جميع الجوانب:

1. كحد أدنى ، هناك نفس النشاط التجاري كما هو الحال في أي شركة أخرى.
2. هناك منتجات تتعلق بالمعاملات المالية وسرعة تنفيذها ، والتي تحتوي على المنطق الحقيقي لدخول الأموال وخروجها ، أي أنه لا يمكن نقل الأموال إلى خزنة بعيدة ولا يتم إلقاء نظرة عليها إلا مرة واحدة يوميًا بعد حفل خاص بـ "الأقواس" وإكمال "تعريتها". يجب أن يكونوا مدفوعين في الأنظمة ، وكلما كان ذلك أسرع ، كان ذلك أفضل للأعمال التجارية في كثير من الأحيان.
3. هناك مجموعة ضخمة من أنظمة الدفع المختلفة والأدوات الأخرى ، لكل منها تنفيذه الخاص للتفاعل والقيود وميزات التكامل.
4. هناك بنية تحتية تعمل فيها المنتجات.
5. , ; , ; , ; , - .
6. , .

نتيجة لذلك ، هناك عدد كبير من مفاصل الأصول والأنظمة والمستخدمين والموظفين والشركاء والعمليات ، وكقاعدة عامة ، نتلقى التهديدات الرئيسية في المفاصل ، وتخلق المفاصل الإضافية تهديدات جديدة.



كل هذا يعني أنه في الأساس لا تكمن فقط المعلومات أو البيانات المألوفة لموظفي أمن المعلومات ، ولكن أيضًا الأصول من نوع مختلف ، مثل المال ، والتي ، نظرًا لمثل هذا الحجم من "الكارثة" ، من الصعب جدًا تحويلها حصريًا إلى المعلومات والبيانات المألوفة لنا جميعًا. إن تنفيذ تهديد ضد نوع مألوف من المعلومات لا يؤدي دائمًا إلى الضرر ، وفي حالة المال ، فإن كل معاملة لها حد أدنى معروف ولا لبس فيه من القيمة ، خاصة عندما نتحدث عن مرورها السريع نوعًا ما ، والذي لا يمكن إلا أن يزيد من طبيعة التهديد.



هذا يعني أنه في حالة الخدمات المصرفية عبر الإنترنت أو محافظ العملات الرقمية ، لديك أرصدة / أسرار / مفاتيح للوصول إليها (تلخيصها كلمة "أسرار"). الأسرار هي معلومات ، ولكن هناك أيضًا عمليات وإجراءات واحتفالات للعمل معها ، ودائرة ضيقة نسبيًا من الأشخاص للعمل معهم. هنا أيضًا ، لا ينكسر مفهوم حماية المعلومات ، ولكن عندما ننتقل إلى مرحلة تمرير منطق الدفع بشكل مباشر أو غير مباشر من خلال كل شيء ، بالإضافة إلى "تلطيخ" الأموال عبر المنتجات والأنظمة المختلفة ، يصبح الموقف أكثر صعوبة :)



في النهاية ، الشيء الوحيد الذي يجب أن نأمله هو ارتباطنا بالعمل وفهمنا الجيد له ، والذي يترجم إلى خبرة داخلية معينة ، والتي يمكننا ويجب علينا ضخها باستمرار والتحول الفوري إلى نموذج تهديد حقيقي ، والذي بدوره يجب أن نفرض على ميزات أنظمتنا من أجل منع التمزق والعشوائية ، وبالتالي عدم المعنى في جميع أعمالنا.



سامحني أن هناك الكثير من الكلمات حول مثل هذه الفكرة القصيرة ، لكني أود منا جميعًا في صناعة أمن المعلومات أن نفكر مرة أخرى في ماذا وكيف نفعل ، وإذا أتيحت لنا مثل هذه الفرصة ، فافعل كل شيء بشكل صحيح ، بحيث يمكن لجميع المراحل تم التنسيق مع بعضنا البعض ، وإذا لم تُمنح هذه الفرصة - للقتال من أجلها ، إذا كان الأمر يستحق ذلك ، وإلا فسنكون دائمًا وراء المهاجمين بعدة خطوات ، لأنهم عادةً ما يعرفون أهدافهم جيدًا ويتابعونها ، على عكسنا.



إذا لم تفشل هذه المادة تمامًا ، فسأحاول الكشف بمزيد من التفصيل والتوجه العملي عن المناهج الرئيسية و "الأدوات" والرؤية الذاتية لموضوعات مثل:

• "دراجتي" حول موضوع نمذجة التهديد (إذا كان هناك طلب عليها ، حيث يوجد عدد كافٍ من الدراجات حتى بدون دراجتي) ؛
• (لا) الثقة والأمان ؛
• Bug Bounty ، كيف نفعل ذلك وما نسعى إليه ؛
• ملاحظات حول خصوصيات السوق الناطق بالروسية لمتخصصي أمن المعلومات بعد خبرة طويلة كمحاور ؛
• ما الذي يجب أن يقود إلى الأمن.

إذا جاءت المادة - أضف ، إذا فشل - غرق في التعليقات. سعداء دائمًا بالتعليقات البناءة ، سواء كانت إيجابية أم لا.



كل اللطف والنهج المهني المتوازن!