Дейвид Фур, технически директор в intcube, разказва за обучителна група (кохорта) по сигурност за публичната администрация, в която 27 общини съвместно са засилили защитата на Windows Server и Active Directory в рамките на 12 седмици. Това интервю за Help Net Security разглежда как функционира кохортата – с ежеседмични сесии, домашни задания и измервания в началото и в края.
Той обяснява как групата се е справила с настройки, които могат да нарушат нормалната работа на системите (като подписване на SMB, подписване на LDAP и засилване на защитата на Kerberos), как промените са били тествани в лабораторна среда и как е протекло планирането на връщане към предишно състояние (rollback). Той също така разглежда въпроса кой отговаря за настройките след това и защо групата е била разделена на две.
Първото нещо, което научихме, е, че проблемът не е в липсата на информираност. Записалите се общини знаеха, че трябва да работят върху сигурността на своите сървъри и върху своята Active Directory. Поредното проучване само би показало колко голям е проблемът, но нямаше да им помогне да започнат по какъвто и да е смислен начин.
Така че, когато излязохме с предложението „ето как 10 до 15 от вас могат да работят заедно, едновременно и ефективно“, не беше нужно да ги убеждаваме дълго, че това е разумен подход. Беше им непознато, затова им трябваше малко време да свикнат със структурата и начина на работа. В крайна сметка се наложи да ги разделим на две групи – сутрешна и следобедна, тъй като 27 общински ИТ организации пожелаха да участват.
Технически всичко е решимо. Трудно е, но решимо. Active Directory е стара технология с много натрупан товар: технически дълг, организационен дълг, процесен дълг, особено в организации, които използват технологии на Microsoft от десетилетия.
Може да си помислите, че ресурсите са ограничението. Донякъде това е вярно, но проблемът не са парите. Дори при повече средства за инструменти или лицензи, пак ще разполагате с един или двама администратори с огромен брой теми и задачи на дневен ред. Това, което наистина липсва, е мотивация. Не че те не искат да го направят – всички се опитват упорито да запушат различните пробойни. Липсва мотивацията от типа: „ето как наистина можем да решим този конкретен проблем“. Това прави подхода привлекателен. Това накара всички да се включат и накрая да работят с истински ентусиазъм.
Дори обемните доклади да са добри, никой всъщност не чете 150 страници, да не говорим да предприема действия по тях. Това е игра с грешни стимули. Можете да сведете доклада до съществените пет до осем страници, но пак са ви необходими време и енергия, за да се заемете с него. Енергията е дори по-важна от мотивацията. Ето защо помага да имате структура и група – както в спорта или както при свръзка от алпинисти в планината. Правите го заедно.
Магията на кохортата е, че имате група от организации – в нашия случай общини, – които споделят общ проблем. Те се сблъскват с един и същ проблем по сходен начин или на сходни етапи. За тях разработваме програма, която продължава предварително определен брой седмици. В зависимост от проблема това могат да бъдат 12, 16 или 24 седмици.
Тя има свой ритъм. Например по два часа всяка сряда сутрин или следобед, плюс асинхронна работа на платформа – така да се каже, домашни задания. През тези седмици преминаваме заедно през различните етапи на решаване на проблема. Има сериозен трансфер на знания. Както при консултантската дейност, ние като експерти предоставяме знанията, инструментите и шаблоните, необходими за постигане на резултат. Но същинската работа се извършва от всеки, който решава собствения си проблем паралелно, учейки се от останалите, от екипа и от предишни кохорти.
Правим измервания в началото и в края, така че групата винаги да вижда докъде е стигнала и колко остава до постигането на общата цел. Това създава инерция: девета седмица е, остават още три седмици, предишната група беше на този етап, почти сме там. Ако наистина дадем всичко от себе си, можем да постигнем 100 или 120 процента от първоначално планираното. Това действа мотивиращо.
Преминахме през различни фази в кохортата. В първата фаза, освен изясняването на детайлите, настроихме базово регистриране на събития и одит, така че всеки да може да види какво се случва в собствената му инфраструктура: кои версии на SMB се използват, дали подписването на LDAP е включено или не. След като това беше настроено и заработи при всички, преминахме към други теми и се върнахме към регистрационните файлове от одита няколко седмици по-късно, за да проверим откритията. Така разбрахме, че можем да продължим напред.
При някои организации трябваше да се справим с изключенията индивидуално. Това винаги е очаквано. В група от 15 души има две или три организации, с които сядате индивидуално и отработвате необходимото, за да не изостават от останалата част от групата. Говорихме открито за това какво може да се обърка. Ние не взимахме решение за приемане на остатъчния риск – това зависеше от всяка отделна организация. Но осигурихме това открито пространство за обмен на опит, така че накрая всички се чувстваха уверени. Огромното мнозинство от предприелите съответните стъпки имаха положителен опит.
Тествахме всички промени в нашата собствена тестова среда. Имахме малка лаборатория, моделирана по подобие на много опростена общинска инфраструктура, където показвахме всичко – не само стандартния случай, но и всичко, което може да се обърка. Планирането на връщането към предишно състояние се извършваше индивидуално за всеки, тъй като зависи силно от локалната инфраструктура. А това е област, в която всички участници бяха много добре подготвени. Така че на практика това, което направихме, беше управление на риска. Всеки го направи за себе си. Ние предоставихме методологията и платформата за обсъждане и го дискутирахме в групата.
Има два отговора на това. Първият е, че кохортата изгражда общност като страничен продукт. Дори когато групата приключи – в този случай след 12 седмици, – хората остават в контакт. Платформата и каналите за комуникация все още са активни и те продължават да ги използват за съвместна работа. Не толкова интензивно, колкото преди, не всяка седмица, но общността е жива. Няма да твърдя, че тя ще съществува вечно без поддръжка, но е добра основа, върху която да се надгражда.
Вторият отговор е, че една-единствена кохорта не може да реши всички предизвикателства пред ИТ сигурността или дори пред сигурността на AD в една община. В по-широк мащаб е необходима цялостна програма – поредица от групи, през които организациите преминават ритмично. По-малки цикли в рамките на по-големи, подобно на пирамида. Всяка група им помага да достигнат следващото ниво, след което преминават към следващата тема, по която имат пропуски. По този начин те напредват със собствено темпо и достигат нови нива на зрялост.
Не бих го нарекъл ограничение. Защитеното пространство на една кохорта изисква група, в която всеки вижда на какъв етап са останалите. Това не означава, че всеки говори с всекиго – не е нужно пълно свързване на всички със всички. Но целта е хората да се изслушват взаимно. Помислете за училищните класове: 25 до 35 ученици очевидно са твърде много. Затова се стремим към 10 до 15 участници в кохорта.
Когато получихме 27 кандидатури за първата по рода си общинска кохорта по ИТ сигурност, ги разделихме на две групи. Това се оказа много ползотворно. Двете групи все пак можеха да се учат една от друга и да споделят общо пространство. Можехме да изпробваме нещо сутринта и да го адаптираме леко следобед. Така че това надгражда модела с единична група.