26 февраля 2008
Р. Яфизов. Инсайдеры: есть ли панацея?
Рамиль Яфизов
Connect! Мир связи, 2007
Борьба с инсайдерами - достаточно сложная задача, которая уже давно рассматривается как отдельная область противодействия внутренним угрозам. Сразу же внесем ясность и определим понятие «инсайдер». Инсайдер - это сотрудник компании, который сознательно способствует или осуществляет утечку информации для своей выгоды и во вред компании, в которой работает.
В государственных организациях работают миллионы сотрудников, и количество федеральных служащих продолжает увеличиваться, как и число специалистов в финансируемых правительством организациях-подрядчиках и организациях, получающих государственные гранты. Добавьте сюда почтовых служащих, военнослужащих. Количество потенциально возможных инсайдеров огромно. Как показывает опыт, эти люди обладают хорошими знаниями и опытом в области информационных технологий, но в любом случае их возможности не безграничны.
Используемые в компании технологии накладывают свои ограничения и являются критерием для выбора методов и средств борьбы с инсайдерами. Ситуация усугубляется тем, что в связи с повышением мобильности сотрудников понятие сетевого периметра компании размывается. Поэтому многие угрозы, считавшиеся ранее внешними, стали внутренними.
Угроза ИТ-безопасности со стороны инсайдеров - реальная проблема. Более того, это один из наиболее сложных вопросов, которые приходится решать иногда просто в силу должностей, занимаемых инсайдерами. По данным различных исследований, источники до 80% угроз информационной безопасности являются внутренними и находятся в самой организации. Причина всего этого - человек, способный нанести непоправимый ущерб данным, системам, операциям и репутации организации. Зависимость учреждений и организаций от взаимодействующих друг с другом сетей и коммуникационных систем значительно увеличивает риск ущерба, который может стать следствием внутренних вредоносных действий. Таким образом, очень важно, чтобы государственные организации предупреждали своих сотрудников о том, что нужно остерегаться утечек информации, которую можно легко разболтать злоумышленнику, что необходимо использовать решения безопасности, способные распознать и сдержать угрозы.
Как и во многих других случаях, действенность борьбы с инсайдерами значительно повышается при использовании комплексных методов. Это и создание четкого классификатора данных по степени их критичности, и эффективно работающие политики безопасности компании, программно-аппаратные средства контроля доступа, протоколирования событий пользователей и приложений, а также специальные средства мониторинга и управления обменом информации, функционирующие по ключевым словам.
Единственного решения, дающего 100-процентный результат, не существует. Но есть методология, выработанная на основе мирового практического опыта, которая позволяет оценить имеющиеся в компании риски, связанные с утечкой информации и найти эффективные средства противодействия, которые позволят снизить эти риски до минимума.
Идентификация поведения
Способность распознать отдельные типы поведения сотрудников и возможные действия с информационными системами позволяет пресечь потенциальные проблемы. По данным исследования, проведенного секретной службой США в 2006 г., внутренняя компрометация компьютеров и сетей не происходит случайно. Большинство таких действий заранее планируются, а подготовленные сотрудники и внимательные менеджеры часто могут выявить признаки потенциальных атак и самих атакующих еще до обострения проблемы. Социальный инжиниринг -наиболее распространенная практика, используемая инсайдерами для получения нужной конфиденциальной информации от своих коллег.
Вот некоторые выводы из исследования секретной службы США:
- 80% инсайдеров, предпринимающих попытки атак в своих компаниях, проявляли негативное поведение еще до инцидента;
- 92% сталкивались с негативным событием, связанным с работой, например, с переводом на менее квалифицированную работу или в другое подразделение, с выговором, окончанием срока контракта;
- в момент инцидента 59% были бывшими служащими или работавшими по контракту сотрудниками, а 41% все еще числились в организации и получали зарплату;
- из бывших служащих 48% были уволены, 38% были вынуждены подать заявление об уходе, 7% сняты с должности;
- 86% работали на технических должностях, из них 38% были системными администраторами, 21% - программистами, 14% - инженерами и 14% - специалистами ИТ;
- 96% инсайдеров — мужчины;
- около трети инсайдеров когда-либо находились под арестом;
- 57% инсайдеров воспринимались другими сотрудниками как раздраженные или недовольные чем-то.
Если говорить о технологической составляющей, то большинство инсайдеров компрометировали учетные данные на компьютерах, создавали неавторизованные учетные записи в качестве «лазейки» либо применяли для атак общие учетные записи пользователей. Для осуществления многих инцидентов использовался удаленный доступ. Но все чаще и чаще встречаются более изощренные и хорошо спланированные акции. В этом случае изучение поведения информационных систем является ключевым фактором успеха. Мониторинг поведения и поиск аномалий помогают с большой долей вероятности выявить инсайдерскую активность.
Меры безопасности
В июне 2007 г. Office of the National Counterintelligence Executive в США выпустил свой список рекомендаций с целью помочь государственным служащим выявлять и сообщать о поведении, представляющем потенциальную инсайдерскую угрозу. Как уже говорилось, только комплексный методологический подход, учитывающий социальные и технологические аспекты, позволяет свести к минимуму риски, связанные с утечками данных. Правильно созданная и эффективно работающая политика безопасности компании, подкрепленная приказами и должностными инструкциями, регламентирующая поведение каждого сотрудника, очень важна. Необходимо также проведение профилактических мероприятий по разъяснению значимости отдельных ее положений, направленных на борьбу с утечками информации, чтобы лояльные сотрудники знали о существовании опасности утечек и чувствовали ответственность за те действия и решения, которые могут нанести большой вред компании.
Решений и технологий, позволяющих минимизировать инфраструктурные риски, немало. Хотя защита периметра сети от внешних атак - очень действенная мера, не менее важно знать, кто и что делает внутри сети, и контролировать данные действия. Это требует контроля доступа к сети и приложениям, работающим с конфиденциальными данными, а также применения решений для защиты клиентских систем и баз данных.
Комплексные решения по контролю доступа к сети гарантируют соответствие подключающейся к сети клиентской системы политике доступа и безопасности. Тем самым предотвращается несанкционированный доступ с клиентских систем и исключается возможность компрометации информационных систем удаленными сотрудниками.
Программное обеспечение, включающее в себя антивирусные продукты с расширенной функцией предотвращения угроз, осуществляет упреждающий анализ поведения приложений и сетевых коммуникаций для выявления и блокирования атак. Если недовольный чем-то инсайдер попробует запустить эксплойт типа руткита или шпионскую программу на внутренней клиентской системе, то такая активность будет обнаружена еще до того, как она вызовет какие-либо последствия. Средства защиты блокируют также команды чтения/записи/выполнения с удаленных дисков, предотвращают исполнение несанкционированных приложений на защищенных системах.
В программах, выявляющих вредоносную активность легальных пользователей в базах данных и ведущих контрольный журнал всех операций с БД, может применяться технология интеллектуального профилирования, которая автоматически запоминает «нормальные» операции с базой данных и предупреждает администраторов в случае подозрительной активности.
Мониторинг состояния информационных систем на предмет соответствия их международным отраслевым стандартам безопасности и мировым практикам или Compliance Management позволяет минимизировать риски, связанные с ошибками администрирования, и, следовательно, снизить риски использования таких угроз инсайдерами.
Онлайновая система фиксирования и последующего разбора инцидентов, обеспечивающая корреляцию событий из разнообразных источников и осуществляющая поиск аномалий в поведении информационных систем, тоже является мощным инструментом борьбы с инсайдерами.
Инсайдерская угроза становится все более распространенной, распознать и пресечь ее особенно трудно. В наше время практически любая организация имеет сотрудников и контрактных работников, обладающих той или иной формой доступа к сетям и информационным системам. Знание тревожных признаков, сочетание этого знания с методологией оценки рисков и эффективное использование современных технологий безопасности - лучший способ обеспечить надежную проактивную защиту важной информации.
Об авторе: Рамиль ЯФИЗОВ, старший технический консультант Symantec в России и СНГ
Мнение специалиста
Кирилл Керценбаум, руководитель направления Trend Micro, Symantec
Можно с сожалением сказать, что универсального и максимально эффективного решения проблемы инсайдеров нет и, скорее всего, не будет, как нет до сих пор на 100% эффективного средства борьбы с вирусами и шпионскими программами. Однако это не говорит о том, что проблема является нерешаемой, просто для ее решения требуется не столько использование какого-либо специализированного ПО, которое получает все большее распространение на рынке ИТ, сколько анализ и построение общей концепции информационной безопасности в компании, неотъемлемой частью которой в наши дни становится противодействие утечкам конфиденциальной информации и деятельности инсайдеров. Проводя аналогию с антивирусной защитой можно заметить, что при грамотном подходе к разработке именно такой концепции, можно обеспечить максимальную эффективность защиты при минимизации издержек на ее развертывание, что также является немаловажным фактором.
Также стоит отметить, что в настоящее время специфика проблемы инсайдеров в России такова, что, в отличие от США и Европы, основным потребителем технологий защиты от утечек данных (DLP) являются коммерческие, особенно финансовые структуры, а вовсе не государственные. Этот факт является весьма прискорбным, но стоит надеяться, что, как и на Западе, именно государственные структуры в ближайшее время и в России станут локомотивами развития и продвижения технологий противодействия утечек конфиденциальной информации.
Мнение специалиста
Владимир Баланин, руководитель отдела ИТ-безопасности TopS BI
С помощью одних только информационных технологий проблему инсайдеров не решить. Согласно статистическим данным различных источников, 70 -80% инсайдеров - постоянные работники компаний, и только около 8% - подрядчики или сторонний персонал. Поэтому уделять внимание стоит не только разделению и мониторингу информационных потоков/каналов, шифрованию данных, системам контроля внешними носителями информации, но и движущим мотивам инсайдеров (финансовым, личным и т. п.). Не менее важно рассматривать и разнообразные векторы атак инсайдеров - не обязательно красть конфиденциальную информацию, иногда обычный саботаж может принести гораздо больший ущерб.
Если рассматривать какие-либо конкретные шаги по борьбе с инсайдерами, то помимо организации физической безопасности и проведения HR-процедур, стоит также поднять вопрос построения правильной корпоративной культуры внутри предприятия - проведение обучений и информирование сотрудников, разработку системы мотивации и взысканий, программы помощи/содействия сотрудникам и т. д. Следует создать или разработать должностные инструкции и регламенты, определить роли и уровни доступа (как правило, это уже реализовано в компаниях, внедривших систему управления информационной безопасностью, СУИБ). При создании плана по управлению рисками разработка данных организационных мер позволит определить риски, связанные с персоналом.
Сочетание эффективного управления рисками и применение лучших мировых практик и стандартов в области защиты данных позволит закончить построение системы ИБ, позволяющей эффективно противостоять такой внутренней угрозе, как инсайдеры. Однако не следует забывать, что система ИБ обязательно должна состоять из двух частей: первой, реализующей «сиюминутные» функции защиты (резервное копирование, контроль доступа, контроль за распространением конфиденциальной информации в электронном виде и т. п.), и второй, обеспечивающей проективный сбор информации о состоянии системы ИБ в целом (проведение выборочных аудитов, контроль функциональности используемого ПО, мониторинг деятельности сотрудников по определенным метрикам и т. д.)
Источник: Connect! Мир связи
