При разработке средств контроля безопасности для обыкновенных пользователей необходимо учитывать гораздо более широкий круг конечных пользователей, обладающих различным уровнем знаний, пониманием рисков и даже представлениями о ценности учётных данных.
Атаки с использованием методов социальной инженерии продолжаются беспрепятственно, а мощь украденной личной информации усиливает их разрушительные последствия. В каком-то, несколько циничном смысле, это хороший знак для специалистов в области безопасности. Они могут похвалить себя за то, что укрепили уязвимые места большей части оборудования, программного обеспечения и инфраструктуры, на которые сегодня полагаются компании и дата-центры для безопасного предоставления услуг. Мошенникам пришлось стать гораздо изобретательнее, поскольку многофакторная аутентификация, менеджеры паролей и другие широко доступные инструменты подняли планку (и, соответственно, стоимость) для тех, кто хотел бы тайно получить доступ к компьютерам жертв.
Но, с усилением мер защиты, появились более агрессивные фишинговые приманки и хитроумные операторы, занимающиеся социальной инженерией в колл-центрах по всему миру. Проблема в том, что многие из этих атак используют модели поведения, которые эволюционировали для преодоления эффективной защиты. Человечество не всегда жило в относительной безопасности современных городов. Бесстыдные угрозы жертвам потерей статуса, потенциальным одиночеством или причинением вреда членам семьи — все эти распространённые инструменты мошенников использовались всегда. Уроки, усвоенные в далёком прошлом, возможно, сотни тысяч лет назад, заложили основу для инстинктивного поведения и ментальных инструментов, помогающих быстро распознавать угрозы. Эти инстинкты помогали людям избегать хищников, ловушек и других серьёзных рисков. Они побуждают человека к действию всякий раз, когда он чувствует угрозу. Происходит это благодаря активации миндалевидного тела нашими высшими функциями, при первом признаке непосредственной опасности, требующей быстрых и решительных действий.
Некоторые исследования показывают, что средний IQ человечества заметно снижается, когда общество находится в относительном состоянии безопасного существования. Люди становятся более склонны к импульсивному, реактивному поведению, не задумываясь о потенциальных последствиях, как бы это было в прежнем обычном состоянии. Угрожая потенциальной жертве правильным образом, мошенник может спровоцировать эти изменённые состояния, превращая её в ещё более уязвимую мишень. Проблема значительно усугубляется, когда знание этих особенностей поведения человека сочетается со сложностью современных вычислительных систем — разнообразием паролей, которые нужно хранить, уникальными алгоритмами действий при их использовании (или сбросе), различными инструментами, необходимыми для обеспечения дополнительного уровня безопасности. Немалую роль для обыкновенного обывателя также играет запутанный характер хранения и использования данных после успешной аутентификации пользователя. Многие люди, не работающие в IT-отрасли, попросту не могут объяснить, как всё это работает — не говоря уже о несчастной жертве фишинга, уже находящейся в состоянии «захвата миндалевидного тела».
В корпоративной среде используется, как правило, сразу несколько инструментов. Во-первых, тщательно оберегаются данные для аутентификации (например, токены доступа, хранящиеся на устройстве), обеспечивая, чтобы доступ к корпоративным ресурсам осуществлялся только с помощью устройств с соответствующими средствами контроля, политиками обновления и инструментами мониторинга. Это усложняет жизнь злоумышленнику — ему не удаётся внедрить на устройство вредоносные инструменты для имитации пользователя, а программа для кражи информации не может быть успешно запущена, потому что система обнаружения и реагирования на угрозы в конечных точках (EDR) обнаруживает и блокирует этот процесс.
Во-вторых, разработчики или сисадмины стремятся сократить частоту, с которой пользователям необходимо вводить учётные данные — идеально, если это происходит, как можно реже, всегда с одного и того же устройства. Дополнительными мерами может стать требование дополнительной или повторной аутентификации только при доступе к конфиденциальным ресурсам. Кроме того, при такой политике вне рамок обычной процедуры повторной аутентификации в корпоративной среде пользователи должны получать оповещения на свои устройства немедленно. Несомненно, что ещё помогает профильное образование, которое прививает таким пользователям здоровый цинизм, помогая распознавать попытки обмана с целью притупить бдительность. Сочетание частого обучения с удобными инструментами для сообщения и анализа потенциальных целевых мошеннических схем помогает пользователям понять свою роль в выявлении таких инцидентов и предотвращении попадания в их ловушку.
Наконец, большинство предприятий стремятся применять принцип минимальных привилегий -любой пользователь, сотрудник, клиент или автоматизированная задача должны обладать только минимальным уровнем доступа, необходимым для выполнения своих должностных обязанностей. В подавляющем большинстве случаев пользователю не требуются права системного администратора, возможность получения root-прав или даже интерактивная оболочка при доступе к производственной системе. Ни один пользователь не должен обладать таким уровнем полномочий, особенно на той конечной точке, с которой он выполняет свою повседневную работу. Но ни одно из этих положений не является панацеей. Злоумышленники могут действовать быстрее, чем система восстановления после сбоев (EDR), циклы обновления могут отставать, или могут сохраняться устаревшие права доступа (либо вообще необнаруженная токсичная комбинация прав).
Приятно быть корпорацией и иметь такие возможности. Однако у среднестатистического пользователя с ограниченной компьютерной грамотностью нет команды экспертов, которые могли бы помочь понять риски или объяснить, насколько вредны могут быть различные его действия. Значительные улучшения базовых показателей обеспечения безопасности современных операционных систем «из коробки», привели к огромному прогрессу. Улучшения в модели использования, например, чтобы пользователь по умолчанию не запускал программы от имени администратора, значительно снизили эффективность некоторых видов базового вредоносного ПО. Разработчики внедрили в свои операционные системы инструменты, которые проверяют целостность исполняемых файлов, поставляемых поставщиком, и быстро отзывают разрешение на запуск этих файлов в случае, если они окажутся вредоносными.
Хотя частота обновлений может казаться навязчивой и даже чрезмерной, возможность быстрой установки исправлений для уязвимостей и ограничение возможности пользователя обойти установку патча только улучшают уровень защиты. С точки зрения информационной безопасности, это хорошие улучшения – ведь с самого начала обычный пользователь может чувствовать себя увереннее в том, что он может спокойно использовать устройство для повседневной работы.
Однако, по целому ряду причин владельцы устройства могут сами отключить эти функции безопасности. Отчасти это связано с определённым уровнем недоверия, поскольку некоторые функции безопасности трудно отличить от защищающих монополию. Однако, особенно для неспециалиста, система с включёнными средствами защиты практически неотличима от такой же, но с отключёнными функциями. Многие мошенники в своих методах используют несложные объяснения, как отключить или обойти эти средства защиты, когда обыватели стал