Juego en un juego que incluye riesgos normales, pero también una amplia gama de poderes sobrenaturales que podrían afectar la seguridad de una red. Estos pueden ser tan prosaicos como recuperar datos directamente de la memoria de un dispositivo con un toque o tan dramáticos como enviar la mente directamente a una red o construir una pequeña realidad alternativa donde las leyes de la física permiten la construcción de una computadora cuántica práctica a gran escala. Es imposible adivinar los límites de estas habilidades, ya que cualquier cosa que esté permitida en cualquier capítulo del juego podría surgir.
Ahora, obviamente, diseñar un sistema que pueda defenderse de manera confiable contra ataques arbitrarios desconocidos que no tienen que obedecer las leyes de la realidad es un esfuerzo ridículo. Lo que estoy buscando son formas de hacer que el sistema sea desconocido-arbitrary-attack- resistente .
Como ejemplo, toda la información sensible a la crítica se guarda en una red separada que está separada de todo lo que se conecta fuera del edificio. Esto normalmente sería un obstáculo insuperable para cualquiera que intente comprometer la red interna desde el exterior. Sin embargo, no puedo descartar la posibilidad de que alguien pueda cruzar el espacio de aire. Lo ideal es que el acceso a información confidencial requiera que un atacante haga al menos dos cosas que son prácticamente imposibles, en caso de que uno de ellos no lo sea.
Así que, sin más dilación, los parámetros del sistema:
- El sistema tiene unos diez usuarios. Tienen niveles muy diferentes de habilidades informáticas, y estas habilidades pueden estar desactualizadas por décadas. Querrán ejecutar su propio software, y pueden superar al administrador de sistemas.
- Los usuarios deben poder acceder a Internet casi sin restricciones.
- Los usuarios deben acceder a la red interna, pero los controles de acceso pueden ser estrictos.
- Algunas áreas del edificio son públicas, pero las partes seguras son tan seguras físicamente como pueden ser. Para que un atacante obtenga acceso físico a la red se puede contar de manera segura como una "cosa imposible".
- Las copias de seguridad fuera del sitio son obligatorias. No se puede garantizar que los sitios de copia de seguridad estén físicamente seguros.
- Ambas redes pueden estar restringidas a dispositivos conocidos.
- La red externa debe permitir inicios de sesión remotos desde ciertos dispositivos móviles conocidos.
- Los archivos en la red interna consistirán principalmente de libros y papeles escaneados. Puede haber muchos terabytes de tales exploraciones. No tiene que ser particularmente conveniente para transferir datos hacia y desde la red interna.
- Es posible que los archivos deban permanecer seguros durante muchas décadas.
- Se puede suponer que hay un individuo capacitado que monitorea la red para detectar anomalías 24/7.
- El presupuesto para la red es de alrededor de $ 100k, más alrededor de $ 10k / año de mantenimiento, a menos que haya una buena razón para ir más alto. Esto excluye todos los costos laborales.
Ejemplos del tipo de enfoque de defensa en profundidad que voy a buscar:
- Las cintas de copia de seguridad se cifran con AES-256, y luego con un teclado de una sola vez que se envía de antemano al sitio de copia de seguridad.
- Las paredes exteriores del edificio están revestidas con alambre para formar una jaula de Faraday.
- El "botón de pánico" separa físicamente las conexiones de red externas, en lugar de simplemente desactivarlas.
- El hardware antiguo se borra, desmagnetiza y se enciende.
- Todos los firewalls son acumulativos: si un firewall detecta una condición que debería haber sido bloqueada por otro sistema, se envía un mensaje de texto al administrador de sistemas.
Entonces, entonces, mi (s) pregunta (s): ¿Qué tipo de medidas podrían ser apropiadas para una situación como esta? ¿Cuáles son algunas buenas "cosas imposibles" para poner en el camino de un atacante? ¿Cómo puedo diseñar un sistema para aprovechar al máximo la defensa en profundidad?