Z mojego doświadczenia wynika, że ​​kierownictwo nie lubi słuchać sprytnych analogii. W zależności od osoby, której zależy na zyskach w dolarach lub godzinach produktywności. Wyjaśniłbym:

W rzeczywistości ujawnienie naszych danych będzie kosztować firmę około X dolarów + Y godzin, aby je odzyskać. Jest to Z% prawdopodobieństwa wystąpienia, biorąc pod uwagę złośliwe oprogramowanie na tym komputerze. Odzyskanie nowej instalacji będzie kosztować A dolary + B godzin. Wybierasz odpowiednią akcję.

Jest krótkie i jasne i tak naprawdę nie pozostawia miejsca na kłótnie. Zrozumieją ryzyko i powinni podjąć właściwą decyzję.

Unikałbym analogii biologicznych lub pozabiznesowych (chyba że jest to szpital). Twoim zadaniem jest ocena ryzyka, kosztów i przedstawienie opcji. Zadaniem twojego kierownictwa jest podjęcie decyzji na podstawie twojej analizy i rady.

Ogólnie, najlepsze jest podejście w formie tabelarycznej. „podejście”, „prawdopodobieństwo rozwiązania problemu”, „koszt” to minimum. Możesz zadzwonić do drugiego „Vegas”, jeśli absolutnie musisz być uroczy.

Na przykład w tym przypadku możesz mieć następujące rzeczy.

  Podejście Prognozy CostRun anti -wirus na maszynie 30% 4 godziny IT, 4 godziny przestoju Wymiana maszyny na nową maszynę 75% 3000 USD, 16 godzin IT, 4 godziny przestoju Maszyna AV, kopiowanie plików użytkownika, wymiana maszyny, przywracanie 60% 3000 USD, 24 godziny IT, 4 godziny użytkownika , 8 godzin przestoju plików  

Na tej liście (zakładając pulpit użytkownika), prawdziwym problemem jest zachowanie użytkownika. Będziesz chciał udokumentować, dlaczego prognoza < w 100% dla różnych opcji i dlaczego wszystko, co dotyczy plików użytkownika, jest mniej skuteczne niż „nuking z orbity”.

W zależności od problemu możesz chcieć dodaj „nic nie robienie” lub „czekanie”, które poinformują kierownictwo o ryzyku dla całej firmy.

Możesz wypić wszystkie antywirusy z czerwonego wina, które chcesz wypróbować, i zapobiec zachorowaniu na raka, ale gdy pojawi się pierwszy guz, więcej picia nie pomoże. Musisz to wyciąć i upewnić się, że dostaniesz wszystko, ponieważ jeśli tego nie zrobisz, wróci.

Gdy zostaniesz zarażony wirusem, oczywistymi objawami są irytacja, ale to jest to, czego nie możesz zobaczyć, gdzie leży prawdziwe niebezpieczeństwo. Backdoory, rootkity i botnety mogą się ukrywać bez żadnych oznak, że coś jest nie tak. Czasami ukryte niebezpieczeństwa łączą się z oczywistymi niebezpieczeństwami, więc po ustąpieniu oczywistych objawów czujesz się bezpiecznie, ale oczywistym jest odwrócenie uwagi od tego, co ukryte.

Kiedy już wiesz, że zostałeś zarażony, nie wiesz jak daleko zajdzie infekcja, a nieświadomość tego oznacza, że ​​nie wiesz, co jest zagrożone. Najbardziej podstawowym sposobem działania jest wysadzenie go z orbity. W ten sposób wiesz, gdzie jesteś i wiesz, jakie jest ryzyko, nawet jeśli rozpoczęcie od zera wiąże się z dużymi kosztami.

To proste - po prostu dokończ cytat w swoim pytaniu, od Obcych.

To jedyny sposób, aby mieć pewność.

To naprawdę wszystko. Nic dodać nic ująć. Poinformuj ich, że jeśli uruchomisz na nim oprogramowanie antywirusowe i oprogramowanie powie, że znalazło i usunęło wirusa, być może wszystko jest w porządku. Może. Jeśli wirus został naprawdę usunięty. Gdyby to był naprawdę jedyny wirus.

Odpowiadając na to, co ktoś inny napisał na temat „Jak zachować dane użytkownika z komputera”, odpowiadam, że nie. „ZDJĘCIE I ZATRZYMAJ CAŁĄ WITRYNĘ Z ORBITY” Oznacza to, że przywracasz dane z kopii zapasowej i tracisz wszystko, co nie zostało skopiowane. Nie jest to łatwe, ale słuszne.

Ponieważ to jedyny sposób, aby mieć pewność .

Spróbuj szpiegów. Wydaje się, że ostatnie dzieło Jamesa Bonda zawiera miliony wpisów, więc ogół ludzi jest na razie otwarty na historie szpiegowskie. Wyjaśnij, że kiedy już niewiarygodni / wrogo nastawieni ludzie przejmują kontrolę (to jest „skompromitowana” konfiguracja), nie ma sposobu na przywrócenie odpowiedniego bezpieczeństwa przez poproszenie ich o zrobienie tego ; a jednak o to chodzi w uruchamianiu antywirusa na zainfekowanej maszynie. Sieci szpiegowskie na całym świecie zawsze były segregowane w autonomiczne komórki, dokładnie tak, aby zgniłe części mogły zostać odcięte. Gdy agent zostanie obalony, być może możesz go z powrotem obalić, ale nigdy więcej mu nie zaufasz.

Aby uczynić demonstrację pełniejszą, opowiedz o zainfekowanym oprogramowaniu sprzętowym klawiatury, które podkreśla konieczność rzeczywistego podpalenia maszyny. Ponowne użycie sprzętu, nawet po wyczyszczeniu, jest ryzykowne. Dlatego menedżerowie / użytkownicy powinni być wdzięczni, że zgadzamy się nie przeprowadzać pełnego oczyszczania i ograniczamy się do logicznego nukingu, a nie fizycznego. Poczuj, że to już poważny kompromis z Twojej strony.

Aby być adwokatem diabła, kierownictwo słyszało o tym wszystkim. Bezpieczeństwo to zarządzanie ryzykiem i to oni muszą podjąć decyzję. Przypomnij im tylko narzędzia.

  Ryzyko = prawdopodobieństwo wystąpienia X wpływ wystąpienia  

100% szans na przestój produkcji podczas odbudowy i koszty odbudowy w porównaniu z 0,01% szansą na złośliwe oprogramowanie oprogramowanie lub backdoory pozostające w systemie.

Kto miałby kontrolować tylne drzwi? Cyberprzestępcy dokonujący seryjnych przestępstw z Chin, Rosji lub Europy Wschodniej. Do czego mieliby dostęp? dane systemowe, udziały plików, sniffery klawiatury, mikrofony, kamery itp. Za ile byliby w stanie sprzedać te informacje? Jak długo mogą pozostać niewykryte?

Co to oznacza dla danej maszyny i zawartych na niej informacji?

Następnie przedstaw swoją ocenę celu (wykorzystując ograniczone informacje), i pozwól im podjąć decyzję. Znają finanse i mają lepszy wgląd w prawdziwą wartość celu.

Istnieje wiele innych wektorów ataku. Niezadowoleni pracownicy, kontrahenci i ich sprzęt, backdoory w legalnym oprogramowaniu, źle skonfigurowane systemy bezpieczeństwa, niezaszyfrowane dyski itp. To niedoskonały świat. Pieniądze i czas spędzony na odbudowie można lepiej wydać gdzie indziej, na przykład naprawianie zasad haseł, wzmacnianie serwerów poczty e-mail, ulepszanie kopii zapasowych itp.

Z punktu widzenia technika z pewnością masz rację. Ale CEO nie patrzy na to z punktu widzenia technika. Więc albo musisz przedstawić argument w kategoriach, które mają dla niego sens.

Żadne rozwiązanie nie jest w 100% skuteczne. Nawet nie „wysadzaj go z orbity”. Otrzymujesz prawdopodobieństwa. Umieść to w tabeli kosztów i korzyści, a mówisz językiem zrozumiałym dla dyrektora generalnego: (liczby tutaj są tylko przykładami)

• Jeśli więc usunę sam oczywiste złośliwe oprogramowanie, wtedy koszt jest najniższy (1 godzina pracy / przestój) i prawdopodobnie 20% skuteczny (w 80% przypadków osoba atakująca szybko wróci).

• Jeśli wyczyszczę oczywiste złośliwe oprogramowanie i poświęcić dodatkowy czas na badanie wszelkich plików zmienionych w ciągu ostatnich 48 godzin, a następnie otrzymuję wyższy wskaźnik sukcesu i wyższe koszty: 6 godzin pracy / przestoju, 60% wskaźnik sukcesu

• Być może jeśli zrobię wszystko powyższe i przeinstaluję wszystkie pakiety systemowe (np. w systemach RH: yum reinstalacja openssh-server itd.), wtedy koszty i wskaźniki sukcesu spadną wyższa: 12 godzin pracy / przestoju, 95% wskaźnik sukcesu

• Jeśli wykonam wszystkie powyższe czynności, plus poświęć więcej czasu na sprawdzanie / usuwanie plików w / bin, / sbin / itp., które nie są własnością żadnego pakietu, być może to dodaje kolejne 4 godziny i daje mi dodatkowe 3% punktów na mój wskaźnik sukcesu.

• Wreszcie, jeśli „nuke it from orbit”, uzyskam najwyższy koszt i wskaźnik sukcesu: 48 godzin pracy / przestoju, 99,995% wskaźnik sukcesu

Następnie obliczamy, ile kosztuje każda godzina pracy / przestoju, a także dodajemy koszt każdego incydentu każdego exploita i zaczynamy rozumieć które rozwiązanie będzie prawdopodobnie kosztować najmniej / najwięcej w perspektywie długoterminowej. A teraz to prosta decyzja biznesowa. Prezesi są w tym dobrzy.

Oczywiście powyższe rozwiązania zakładają środowisko * NIX, ale możesz wymyślić podobną listę dla systemów Windows. Upewnij się, że dorzuciłeś AV jako opcję z realistycznym powiązanym współczynnikiem sukcesu.

Oto problem: prawdopodobieństwa są trudne do wymyślenia. Jeśli nie zrobiłeś lub nie widziałeś wielu z tych półmetkowych rozwiązań, prawdopodobnie nie masz żadnych podstaw do kontynuowania. Poza tym przekonanie specjalisty ds. Bezpieczeństwa do zastosowania powyższego rozwiązania 3, gdy wie, że specjalnie ignoruje niektóre potencjalnie poważne zagrożenia, będzie trudną sprzedażą.

Ale za decyzję i ryzyko odpowiada dyrektor generalny, a nie specjalista ds. bezpieczeństwa. Może zdecydować się na mniej bezpieczną opcję, ale o ile wie, jakie ryzyko podejmuje , powinien mieć swobodę.

To trudne. Musisz użyć pojęć zrozumiałych dla przeciętnego człowieka i znaleźć sposób, aby sprawić, by się tym przejmował. Użyłbym wirusów biologicznych i sposobu ich działania, aby wyjaśnić, jak działają wirusy komputerowe, ponieważ każdy ma z tym doświadczenie i może sprawić, że użytkownik będzie „sympatyzował” z sytuacją komputera.

Wirus biologiczny podważa komórkę, sprawiając, że robi to, czego chce wirus. Wirus staje się zasadniczo zombie. Nie możesz ufać komórce, że zrobi to, co powinna, i nie możesz zatrzymać komórki zainfekowanej wirusem i przywrócić jej normalność, maszyneria została przejęta tak dokładnie, że możesz ją tylko zabić.

Starszy wirus komputerowy nie naśladował bardzo dokładnie wirusów biologicznych. Ich poziom zaawansowania był taki, że byli w stanie zrobić pewne rzeczy, ale nie infekowali systemów do poziomu, którego nie można było usunąć. Ich przetrwanie zależało bardziej od tego, czy w systemie nie było AV.

Teraz wirusy komputerowe znacznie dokładniej naśladują wirusy biologiczne, są w stanie tak dokładnie obalić system, że nigdy nie można być pewnym, że są one czyste. Można powiedzieć, że jest to jasne, ale wirus ma tak całkowitą kontrolę, że może uniemożliwić wykrycie go przez AV. Komputer jest jak komórka zombie, a jedynym sposobem zapobiegania rozprzestrzenianiu się wirusa jest zabicie go.

Wyobraź sobie, że żyjemy w horrorze. Twój narzeczony lub narzeczona (w zależności od przypadku) został przeklęty przez wiedźmę i teraz w nienaturalny sposób wypluwa pocisk wymiocinami, kręcąc głową.

Jako egzorcysta i chirurg-amator, masz dwie możliwości:

1. Całkowicie wypędź demony i przywróć duszy ukochanej własność ciała.
2. Spróbuj całodniowych i delikatnych operacji mózgu na nadnaturalnie silnym i niebezpiecznym ciele. walcz z każdą próbą.

Opcja 1 jest prosta, tania i działa (w horrorach).

Opcja 2 wymaga zespołów wysoko wykwalifikowanych i drogich lekarzy oraz prawdopodobnie nie zadziała, ponieważ nie możesz znieczulić demonów.

Przywracanie oprogramowania z kopii zapasowej jest analogiczne do opcji 1 i w przeciwieństwie do egzorcyzmów działa IRL.

Opcja 2 jest analogiczna do zatrudniania administratorów systemów do sprawdzania plików binarnych programu, plików danych i konfiguracji ze znaną dobrą kopią, którą mogli po prostu zainstalować na komputerze.

Warto zaznaczyć, że zwykle jest w porządku przesłanie cennych, niewykonalnych danych ( bez ostatniej kopii zapasowej ) z zainfekowanego maszynie, przed nukowaniem z orbity (wyczyszczenie dysku twardego, ponowna instalacja systemu operacyjnego z bezpiecznego źródła). Rzeczy takie jak dokumenty w postaci zwykłego tekstu (np. Rękopis lateksowy lub kod źródłowy) lub ważne pliki multimedialne (np. Zdjęcia rodzinnych wakacji) mogą być warte odzyskania, jeśli nie ma aktualnej kopii zapasowej. Musisz jednak podejrzewać, że wirus pozwala atakującemu na pełną kontrolę nad zainfekowanym systemem, a atakujący mógł zmodyfikować Twoje dane. Może to obejmować wprowadzenie backdoorów do kodu źródłowego, tworzenie własnych administratorów w bazach danych, zmianę plików konfiguracyjnych, aby system był w słabej konfiguracji, którą można ponownie zaatakować itp. (Przeczytałbym cały kod źródłowy z drobnymi zębami grzebień, aby upewnić się, że nie wprowadzono żadnych subtelnych zmian - i to tylko wtedy, gdy nie jest to krytyczne dla bezpieczeństwa). Uważaj również na niektóre pliki multimedialne, które mogą zawierać wirusy, np. Dokumenty MS Office z wirusami makr (w tym przypadku najlepiej wyeksportowałbym kopię zawartości tekstu z .doc / .xls do pliku zwykły plik tekstowy z zainfekowanego systemu, gdy nie jest z niczym połączony). Zachowaj również ostrożność podczas przenoszenia danych z zainfekowanej maszyny (aby nie infekować drugiej maszyny); np. prawdopodobnie zrobiłbym coś takiego, jak bootowanie z Live CD systemu Linux, zamontowanie zainfekowanego dysku twardego za pomocą -noexec, połączenie z Internetem i selektywne skopiowanie ważnych plików, a jeśli to możliwe, porównanie ich z najnowszą kopią zapasową. p>

Nukowanie z orbity to jedyny sposób, w jaki możesz mieć pewność, aby ponownie bezpiecznie używać tego komputera. Oprogramowanie antywirusowe działa poprzez identyfikację znanego złośliwego oprogramowania i jako takie nie może tego zrobić ze 100% dokładnością (a oprogramowanie antywirusowe działające na zainfekowanym komputerze mogło zostać zmodyfikowane przez wirusa, znacznie zmniejszając jego szanse na całkowite usunięcie wirusa). Rozpoczęcie z powrotem w bezpiecznym miejscu oznacza, że ​​cenne dane nie zostaną skradzione lub nie będziesz musiał powtarzać tego procesu za tydzień (prawdopodobnie na większej liczbie komputerów w miarę rozprzestrzeniania się infekcji). Ponowna instalacja może być zautomatyzowana i zajmuje mniej niż jeden dzień; mniej więcej tyle samo czasu, ile potrzeba na pełne skanowanie antywirusowe, które nie gwarantuje skuteczności. Jeśli problemem są przestoje, musi istnieć nadmiarowość zasobów obliczeniowych dostępnych dla organizacji.