Vidar — устойчивость и гарантия выполнения задач

Любая оборонная платформа оценивается в свой худший день, а не в день демонстрации. Противник выбирает момент, поверхность и интенсивность атаки; защита не выбирает ничего из этого. Что она может выбрать — так это то, как она поведёт себя при отказе части системы. Vidar существует, чтобы ответить на этот вопрос: обнаружение, корреляция и реагирование, которые продолжают работать, когда среда перестаёт содействовать.

Vidar — оборонительное подразделение Zendrix. Он наблюдает, коррелирует и реагирует на события противника в средах, где отказ влечёт реальные операционные издержки — оборонные объекты, сети критической инфраструктуры и операции, которые невозможно приостановить для обслуживания. В этой статье описывается, что делает платформа, как она ведёт себя при деградации и почему мы рассматриваем непрерывность как измеряемое свойство, а не как маркетинговое обещание.

Что означает гарантия выполнения задач

Гарантия выполнения задач — это дисциплина проектирования для деградированного состояния. Вместо того чтобы предполагать, что каждый компонент будет доступен, платформа исходит из того, что один из них — нет, и организует свою работу так, чтобы задача пережила это отсутствие. Это относится к датчикам, каналам связи, узлам обработки и подключению к внешним сетям.

На практике эта дисциплина выражается в плавной деградации. При отказе компонента платформа контролируемо сокращает охват: сохраняет критические функции, приостанавливает вспомогательные и чётко указывает, что больше недоступно. Оператору никогда не приходится догадываться о состоянии системы. Эта прозрачность является частью оборонительной способности, поскольку решения, принятые на основе неверной картины, хуже решений, принятых на основе сокращённой и известной.

Vidar применяет тот же принцип к обнаружению. Корреляция событий требует контекста, а контекст может быть временно недоступен. Вместо того чтобы замолчать, платформа явно объявляет уровень достоверности каждой корреляции и действует на основе консервативных гипотез, когда контекст неполон. Мы предпочитаем честное предупреждение о пробеле уверенному обнаружению, основанному на данных, которыми мы не располагаем.

Обнаружение и корреляция: контекст прежде объёма

Системы обнаружения отказывают двумя противоположными способами. Первый — молчание: событие, которое остаётся незамеченным. Второй — шум: объём оповещений, превращающий оператора в изнурённого человеческого фильтра. Vidar рассматривает и то, и другое как одну и ту же проблему — отсутствие контекста. Коррелировать — значит свести набор разрозненных сигналов к небольшому числу правдоподобных объяснений, каждое с сопутствующими доказательствами.

Для этого платформа работает со структурированными открытыми представлениями угроз, что позволяет включать данные из различных источников, не полагаясь на проприетарные форматы. Открытое представление важно по двум причинам. Во-первых, оно позволяет различным учреждениям обмениваться информацией без хрупких преобразований. Во-вторых, оно позволяет аналитику проверить, почему была получена корреляция, — а не просто принять результат.

Эта проверяемость является частью продукта. Каждая корреляция несёт доказательства, которые её обосновывают, и неопределённость вокруг неё. Когда платформа не знает, она об этом говорит. Оператор получает пригодную для использования картину и точно знает, где находятся пробелы.

Реагирование в рамках огибающей и в рамках полномочий

Реагирование — наиболее деликатная часть любой оборонительной системы, потому что реагирование есть действие. Vidar действует в рамках формальной огибающей: каждый тип реагирования имеет объявленные пределы, условия активации и требуемые полномочия. Действия с низким воздействием и высокой обратимостью могут выполняться на машинной скорости; действия с чувствительными последствиями всегда требуют человеческих полномочий.

Этот подход не является уступкой осторожности. Это операционное преимущество. Система, которая точно знает, что ей позволено, реагирует быстрее в своих пределах и не нуждается в сдерживании общими процедурами. Альтернатива — автономия без огибающей — вынуждает организацию выбирать между неприемлемым риском и постоянной медлительностью.

Vidar также рассматривает физическую безопасность как инвариант. Действия, физический эффект которых не смоделирован, блокируются по замыслу. В критической инфраструктуре это означает, что платформа не может быть причиной эффекта, которого никто не предвидел. В оборонной среде это означает, что ответственность остаётся прослеживаемой вплоть до полномочий, которые санкционировали действие.

Непрерывность в изоляции и под аудитом

Vidar спроектирован для работы там, куда не доходит сеть. Чувствительные объекты, удалённые границы и суда требуют полной функциональности без зависимости от внешних сервисов: локальное познание, локальное состояние и локальная проверка целостности. Платформа также проводит периодические учения по работе в режиме деградации, поскольку способность к непрерывности, которая никогда не отрабатывалась, — лишь гипотеза.

Аудит — другая сторона той же дисциплины. Каждое значимое действие оставляет проверяемую запись, защищённую от последующего изменения. Это служит оператору, которому нужно восстановить, что произошло; это служит руководителю, которому нужно подтвердить, что пределы были соблюдены; и это служит институциональному заказчику, которому нужно продемонстрировать третьим сторонам, что его деятельность управляема.

Этот приоритет восстановления объявляется заранее. Каждая критическая функция имеет максимально допустимое время недоступности и порядок восстановления, определённый совместно с заказчиком, а не обнаруженный в ходе критического события. Когда ресурсы ограничены — а в реальном критическом событии они будут ограничены, — платформа знает, что восстанавливать первым и почему. Эта ясность превращает реагирование на критическое событие из импровизации в процедуру и позволяет организации честно сообщать третьим сторонам, что было сохранено, а чем пожертвовали на каждом этапе.

Гарантия выполнения задач в этом смысле — это меньше о предотвращении каждого отказа, чем об отказе в том порядке, который причиняет наименьший ущерб.

В конечном счёте Vidar отвечает на простое и трудное требование: операционная непрерывность, которая измеряется, а не обещается. Оборонительное подразделение, которое никогда не спит, — это не то, которое никогда не отказывает, а то, которое продолжает выполнять задачу, пока отказывает, и может точно указать, что оно всё ещё способно делать.