Пресловутая НЕбезопасность, или С чего стоит начать

 

В этих статьях хотелось бы дать описание наиболее типичных «дыр» в информационной безопасности организаций малого и среднего бизнеса. Однако не стоит рассматривать их как руководство к прямому действию или исчерпывающую характеристику угроз IT-безопасности. Здесь описаны только те угрозы безопасности, которые лежат на поверхности и против которых есть качественные и недорогие решения.


Основные угрозы можно классифицировать следующим образом:

  • потеря носителя информации;
  • физический доступ злоумышленника к ПК;
  • передача данных по сети, доступ к почтовому серверу, ICQ-сообщения;
  • безопасный доступ к корпоративной среде.

 

1. Потеря носителя информации


По сути говоря, в случае потери носителя информации все вполне понятно. Потеряли ноутбук и задумались, что было ценнее: информация или само устройство. Про карты памяти и флэшки при их дешевизне в аспекте цены устройства никто давно уже не задумывается, под словом «стоимость» подразумевается информация, которая там хранилась. Случайно забытая на столе подруги или компаньона флешка может привести к непредсказуемым последствиям.


2. Физический доступ злоумышленника к ПК


Что касается доступа злоумышленника к ПК, то вопрос взлома пароля на вход в Windows легко снимается отверткой, которая помогает выкрутить диск и прочитать данные на другом ПК, или, что еще проще, загрузкой на этом же ПК с загрузочного CD-диска — в результате также обеспечивается полный доступ к требуемой информации. Если это делается без молотка, то хозяин ПК даже не догадается о возможной краже. Единственное в данном случае сдерживающее условие — наличие физического доступа к компьютеру, но это уже, как правило, вопрос времени.

 

Возможные решения

 

Вариантов в данном случае не так много. Одно из достаточно новых и доступных решений — это хранение данных на внешнем сетевом диске, возможно закрытом в сейфе. Средняя стоимость таких сетевых хранилищ — 8—25 тыс. рублей в зависимости от их функционала. Решение это качественное, но, как правило, стационарное и ориентированное на работу в локальной сети, поэтому рассмотрение его выходит за рамки данной статьи.


Второе возможное решение — шифрация жесткого диска ПК или хранение информации в криптоконтейнере на жестком диске компьютера или съемном устройстве flash, SD CD и др. (в буквальном смысле криптоконтейнер — это файл, в котором хранится зашифрованная информация). Как правило, все современные программы шифрования умеют подключать этот контейнер как жесткий диск или съемный носитель. Для пользователя процедура шифрации/дешифрации проходит незаметно (в данном случае говорят: на лету): он работает с зашифрованным диском обычными программами, не задумываясь о том, что на самом деле идет сложнейший процесс обработки данных.

В случае с шифрацией физического диска целиком его просто подключают (дешифруют) перед началом работы и используют в дальнейшем как обычный диск.


Иногда есть необходимость параноидального подхода к содержимому даже системного диска. На нем находятся истории посещений сайтов, куки, временные файлы, почтовые базы данных и другая информация, благодаря которой можно сделать ряд серьезных выводов о деятельности владельца. Решение аналогичное — это шифрация системного диска. Тогда при включении компьютера необходимо ввести пароль для дешифрации диска и начала работы с компьютером.
Реализовать такую защиту можно различными программами и программно-аппаратными комплексами, как распространяемыми по лицензии GNU для свободного использования, так и их платными собратьями. Выбор программного комплекса зависит от требуемого конечному пользователю функционала и стоимости решения. На сегодняшний день представлен достаточно широкий спектр решений, способных удовлетворить фактически любого заказчика.

 

3. Передача данных по сети, доступ к почтовому серверу, ICQ сообщения


Вспомните, когда вы задумывались о том, что передаваемая вами по локальной сети информация, в том числе и пароли, может быть легко прочитана другими пользователями (вдаваться в технические детали не будем, просто поверьте, что это на самом деле так). Как ни печально, но большинство пользователей об этом не задумывалось вообще. Разумеется, этот «другой» пользователь по своей квалификации должен быть чуть-чуть «выше» простого пользователя, но, как показывает практика, вопрос этот легко решается наличием хороших знакомых.


Под информацией в данном случае подразумевается интернет-трафик (про информацию, передаваемую по локальной сети, речь пойдет в отдельной статье). Это содержимое web-страниц, информация, которую пользователь вводит в формах на страницах, это почтовые и ICQ-сообщения, пароли, которые вводились в формах на web-страницах. Хорошо, когда мы зашли на страницу, где производится шифрация передаваемой информации по протоколу https, но таких ресурсов единицы.

 

Возможные решения

 

Один из самых простых и, как правило, нереализуемых вариантов — это провести от своего компьютера до точки доступа в Интернет отдельный кабель. При всей простоте решение, как видно, чаще всего не реализуется. Да и дать гарантию отсутствия врезки в кабель  весьма сложно.


Выход, аналогичный предыдущему варианту, – шифрация трафика. Есть различные программные решения на уровне интернет-сервера и программно-аппаратные устройства, позволяющие шифровать передаваемую информацию.  Все зависит от требуемого уровня безопасности и размера возможных инвестиций.


4. Безопасный доступ к корпоративной среде

 

Под этим комплексным заголовком хочется в первую очередь сделать анализ одного из многих аспектов безопасности корпоративной среды – парольной авторизации пользователя в домене MS Windows. Имя пользователя и пароль — это информационная пара, предназначенная для защиты данных, хранящихся на серверах и сетевых ресурсах, от несанкционированного доступа пользователями. Однако чаще всего «слабый» пароль и является основной возможностью получения доступа к закрытой информации.


По умолчанию в MS Windows предложен максимальный срок действия пароля — 42 дня — и сложность пароля, предполагающая наличие в нем минимум одной цифры, заглавной и прописной букв. На практике этот минимум саботируется (чаще всего, как ни парадоксально, по прямому распоряжению руководства). В конечном счете пароль представляет собой набор цифр или букв, подобный этим: 12345, qwerty, 222222, 333333 и т.п. с неограниченным сроком действия. Но и это не предел «совершенства» оптимизации запоминаемости пароля. Если внимательно посмотреть на мониторы пользователей, перевернуть клавиатуру, то мы увидим не что иное, как стикер с ключевой парой — имя пользователя и пароль.


Если пользователи проконсультированы отделом безопасности, подписались под правилами секретности, то задача усложняется, но реальная возможность получения пароля остается. Есть методы социальной инженерии, которые позволяют с минимальными затратами получить требуемую информацию. Заметьте, о ВЗЛОМЕ не сказано ни слова — все гораздо проще, чем кажется.
 

Возможные решения

 

В данном случае первый вариант — это  внедрение организационно-правовых методов обеспечения безопасности, когда сотрудники подписывают дополнительное соглашение к трудовому контракту, регламентирующее правила парольной защиты, невыноса информации за периметр и т.п. Это, по сути, самый простой и малодейственный метод. Принятие таких мер обычно обусловлено возможностью подать на сотрудника в суд за разглашение корпоративной информации. Суд выиграть, конечно, можно, но инцидент произошел и, как говорят в таких ситуациях, информацию слили.


Второй вариант — это программно-технические методы повышения информационной безопасности, которые по сравнению со всеми организационно-правовыми являются значительно более качественными. Применительно к вопросу авторизации пользователя это не что иное, как двухфакторная аутентификация пользователей в домене MS Windows.

Данная технология  предполагает хранение ключа доступа на электронном носителе — токене или смарт-карте (криптоконтейнере). Для авторизации в домене пользователю необходимо подключить электронный ключ к компьютеру и ввести пин-код доступа к криптоконтейнеру.

Токен или смарт-карта обладают свойствами, которые в корне меняют подход к авторизации. Основное — это стойкий ключ 64–512 бит, хранящийся в электронном устройстве. Следующее по значимости свойство — регламентация количества ошибок ввода пин-кода. По классическому сценарию пользователю дается возможность допустить три ошибки ввода пина, после чего доступ к ключу блокируется процессором самого ключа. Сбросить счетчик может только администратор. В плане административного пин-кода все жестче. Если превышен лимит ошибок ввода, то токен придется отправлять изготовителю для физического сброса на стенде. В реальности дешевле выкинуть скомпрометированный ключ и сделать новый.
 

Скрипченко И.А., 07.11.2009

 

При использовании данной статьи или ее фрагментов
ссылка на первоисточник www.splainet.ru обязательна

 

    0.139 s.