Blast Radius: ออกแบบการแยกส่วนและสิทธิ์ เพื่อจำกัดความเสียหายเมื่อถูกเจาะ

ความปลอดภัยที่โตเต็มวัยไม่ได้ตั้งสมมติฐานว่าจะไม่มีวันถูกเจาะ แต่ตั้งคำถามว่า เมื่อถูกเจาะ ความเสียหายจะลามไปได้ไกลแค่ไหน คำว่า Blast Radius ยืมมาจากรัศมีการระเบิด หมายถึงขอบเขตที่บัญชีหรือเครื่องหนึ่งที่ถูกยึด จะเอื้อมไปทำลายได้ ยิ่งรัศมีเล็ก ความเสียหายจากเหตุการณ์เดียวยิ่งน้อย

สองหลักที่ลดรัศมี: Least Privilege และ Segmentation

Least Privilege คือให้สิทธิ์เท่าที่จำเป็นต่องานเท่านั้น พนักงานบัญชีไม่ควรเข้าถึงฐานข้อมูลลูกค้าทั้งหมด และระบบหนึ่งไม่ควรมีกุญแจของทุกระบบ ส่วน Segmentation คือการแบ่งเครือข่ายและข้อมูลเป็นส่วน ๆ เพื่อให้การยึดส่วนหนึ่งไม่เปิดประตูสู่ทุกส่วน เมื่อสองหลักนี้ทำงานร่วมกัน ผู้บุกรุกที่เข้ามาได้จะติดอยู่ในห้องเล็ก ๆ ไม่ใช่เดินทะลุทั้งตึก

• ทบทวนสิทธิ์เป็นรอบ ปิดบัญชีที่ไม่ใช้ และถอดสิทธิ์ที่เกินงาน
• แยกสภาพแวดล้อมทดสอบออกจากระบบจริง และแยกข้อมูลอ่อนไหวออกเป็นชั้น
• ใช้บัญชีแยกต่อระบบ ไม่ใช้รหัสผ่านร่วมกันข้ามบริการ

การลด Blast Radius ไม่ได้แพงเสมอไป บ่อยครั้งเป็นเรื่องวินัยในการจัดการสิทธิ์และการแบ่งส่วนมากกว่าการซื้อเครื่องมือใหม่ และมันคือสิ่งที่เปลี่ยนเหตุการณ์ร้ายแรงให้กลายเป็นเรื่องที่ควบคุมได้