OPSEC (operational security, операционная безопасность) — практика выявления информации, которая может помочь противнику, и её защиты путём контроля над тем, что раскрывают люди, системы и процессы.
Как работает OPSEC
OPSEC зародилась в армии США во время войны во Вьетнаме: исследование «Purple Dragon» 1966 года показало, что противник узнавал о планируемых операциях по несекретной и предсказуемой активности. Обычно её описывают как процесс из пяти шагов:
- определить критически важную информацию, которую стоит защищать;
- проанализировать угрозы — кому эта информация нужна;
- проанализировать уязвимости — как она может утечь;
- оценить риск;
- применить контрмеры.
Ключевая идея в том, что мелкие и безобидные на вид детали — планы поездок, должности, фотографии, метаданные — можно сложить в чувствительные сведения, как это делают злоумышленники с помощью OSINT.
Почему это важно
Слабая OPSEC в организации даёт атакующим материал для социальной инженерии: оргструктуру в LinkedIn, используемые технологии в вакансиях, внутренние подробности в соцсетях. В 2018 году глобальная тепловая карта фитнес-приложения Strava раскрыла расположение военных баз и маршруты патрулей по данным пробежек военнослужащих.
OPSEC работает в обе стороны. Преступники и государственные хакеры тоже ошибаются и выдают себя: основателя Silk Road Росса Ульбрихта установили отчасти потому, что однажды он оставил сообщение со своего личного адреса Gmail. Такие промахи в цифровом следе атакующих часто становятся решающими для атрибуции кибератак.
Рекомендации по OPSEC
- Определить, какая информация является чувствительной и кто вправе ею делиться.
- Учить сотрудников ограничивать рабочие подробности в соцсетях и проверять необычные запросы.
- Удалять метаданные из публикуемых документов и фотографий.
- Использовать отдельные аккаунты, устройства и каналы связи для чувствительной работы.
- Регулярно оценивать свой публичный след так, как это сделал бы атакующий.
