Asegurando un sitio: ¿Diversidad sobre la simplicidad?

4

Esta pregunta se derivó de mi pregunta fuera de tema aquí: ¿La centralización disminuye la probabilidad pero aumenta el daño de las hazañas?

Como antes, sospecho que esto puede ser demasiado abstracto como una pregunta. Pero las excelentes respuestas a mi pregunta anterior demostraron que estaba equivocada antes.

Uno de los principios de la seguridad parece ser que si algo es demasiado complicado, la probabilidad de explotar aumenta. Por ejemplo, si un sistema operativo tiene muchos casos de esquina con el sistema de permisos, probablemente será más fácil omitirlo. Si el código involucra el malabarismo de punteros y desplazamientos, será más probable que sea explotable a través de un desbordamiento de búfer que un script de Python.

La simplicidad, sin embargo, implica homogeneidad. Después de todo, es más sencillo proteger menos sistemas operativos, mantener menos soluciones antimalware y parchear menos aplicaciones.

La diversidad en un sitio, como una diversidad de sistemas operativos, paquetes de seguridad y aplicaciones, es obviamente menos fácil de mantener, por lo que es más probable que fatigue a los administradores de sistemas y oculte los casos de esquina. Sin embargo, la diversidad también es más probable que detenga la propagación de malware debido a incompatibilidades con el entorno, y si se produce un fallo dependiente del sistema, dejará a los otros sistemas ilesos.

TL; DR: Parece que la simplicidad es clave para la seguridad, especialmente la seguridad a través de la corrección. Sin embargo, la diversidad reduce el impacto de malware o fallas dependientes del sistema. ¿En qué enfoque se inclinan esos sitios de seguridad en el caso promedio? (Lo que sea en la tierra sería un 'caso promedio' en esta situación).

    
pregunta Louis Jackman 15.07.2013 - 21:08
fuente

1 respuesta

4
  

Uno de los principios de la seguridad parece ser que si algo se complica demasiado, aumenta la probabilidad de explotación.

...

  

La simplicidad, sin embargo, implica homogeneidad. Después de todo, es más sencillo proteger menos sistemas operativos, mantener menos soluciones antimalware y parchear menos aplicaciones.

Está sobrecargando la palabra " simplicidad ". Lo está utilizando para significar tanto "sin complicaciones" como "tiene pocas partes" .

Un sistema puede ser diverso y sin complicaciones. La complicación surge a través de la interacción y la interdependencia de muchas partes, y los sistemas diversos no tienen por qué ser demasiado interdependientes. Al adherirse a interfaces y estándares constantes, las piezas se pueden intercambiar sin que sean uniformes.

Pensemos en los automóviles, por ejemplo. Tenemos literalmente miles de variedades, cada una diferente en diferentes grados. Diferentes combustibles, diferentes tamaños, diferentes fabricantes, diferentes propósitos. Pero si aprendo a conducir un Toyota, mi conocimiento se transfiere inmediatamente a un Nissan o un Saab. Volante, pedal del acelerador, pedal del freno; Puedo resolverlo en segundos. Es simple.

En cuanto a la diversidad: si una mañana todos los autos fabricados por Hyundai dejaran de funcionar, sería un problema pero no un desastre insuperable. Si una mañana se descubriera que los frenos cerámicos no son seguros, la gente podría cambiarlos por los de metal. El costo no es cero, pero el sistema sobrevive.

    
respondido por el tylerl 16.07.2013 - 22:01
fuente

Lea otras preguntas en las etiquetas