Assume Breach (презумпция компрометации).

Assume Breach («презумпция компрометации») — это философия эксплуатации систем безопасности, популяризированная Microsoft в середине 2010-х годов и ставшая сегодня позицией по умолчанию для зрелых программ и архитектур нулевого доверия. Вместо того чтобы рассматривать предотвращение как основную защиту, а обнаружение — как подстраховку, программа assume-breach проектирует среду так, будто противник уже закрепился, и задаётся вопросом, как поведут себя обнаружение, сдерживание, восстановление и ограничение радиуса поражения (blast radius). На практике это стимулирует: микросегментацию сети для ограничения горизонтального перемещения, архитектуру, ориентированную на идентификацию (каждый запрос аутентифицируется и авторизуется), обнаружение и реагирование на конечных точках (EDR) повсюду, централизованное логирование со сроком хранения, достаточным для реального обнаружения медленных кампаний, регулярные учения red team и purple team против рабочей среды (а не только в лаборатории), автоматизированные плейбуки сдерживания (изолировать хост, сменить ключи, завершить сессию) и репетиции восстановления (неизменяемые резервные копии, альтернативные пути для поддержания работы бизнеса). Кампания SolarWinds/SUNBURST 2020 года (отслеживаемая как UNC2452) — канонический аргумент в пользу такой позиции: троянизированное обновление ПО дало злоумышленнику месяцы необнаруженного доступа внутри сетей, усиленных на предотвращение, и лучше всех справились те организации, которые уже отслеживали аномальное поведение идентификаций и горизонтального перемещения, а не полагались на периметр. Многолетние отчёты M-Trends от Mandiant отслеживают глобальную медиану времени пребывания (dwell time) — интервал между вторжением и обнаружением, — которая упала с более чем 400 дней десятилетие назад до примерно 10 в последние годы; средства контроля assume-breach (телеметрия EDR, поведенческое обнаружение, жёсткая сегментация) — главная причина того, что это число продолжает снижаться.

Assume Breach является основополагающим принципом NIST SP 800-207 Zero Trust Architecture, Стратегии нулевого доверия Министерства обороны США (DoD Zero Trust Strategy), британского NCSC Cyber Assessment Framework и большинства современных программ безопасности.

flowchart LR
  A[Допустить, что противник<br/>уже внутри] --> B[Микросегментировать сеть<br/>ограничить горизонтальное перемещение]
  A --> C[Аутентифицировать + авторизовать<br/>каждый запрос]
  A --> D[EDR + централизованное<br/>логирование повсюду]
  D --> E[Обнаружить аномальную<br/>идентификацию / перемещение]
  E --> F[Автоматизированное сдерживание<br/>изолировать, сменить ключи, завершить сессию]
  F --> G[Восстановить из<br/>неизменяемых копий]
  G --> H[Purple team в рабочей среде<br/>вернуть извлечённые уроки]
  H --> A