23 декабря 2008
К. Черезов. Инсайдеры: правда и мифы.
К. Черезов
Информационная безопасность
Любой человек, который хотя бы пару раз в жизни интересовался безопасностью информационных систем, знаком с термином "инсайдер". Это странное слово употребляется в самых разных контекстах. От громких заголовков наподобие "Инсайдер похищал секретную информацию из Белого дома!" до различных аналитических обзоров, которые на протяжении вот уже нескольких лет включают пресловутых инсайдеров в списки наиболее вероятных опасных, непредсказуемых и ущербоемких угроз информационной безопасности.
Так кто же такие инсайдеры? Ночной кошмар современного бизнеса? Или миф, созданный для продвижения на рынке технических "средств борьбы с инсайдерами"?
Истина где-то рядом
Чтобы найти точное определение слова "инсайдер", необходимо выяснить его происхождение и развитие.
Вполне очевидно, что слово "инсайдер" произошло от английского "insider", образованного от "inside". Буквальный перевод - "внутри". Он-лайн-словари переводят insider как "посвященное лицо". Неплохое определение термина дала статья в одной из свободных Интернет-энциклопедий: "Инсайдер — лицо, имеющее в силу своего служебного положения доступ к конфиденциальной информации".
Казалось бы, употребление в широком смысле достаточно ясно и прозрачно. Несмотря на это (или вопреки этому?), как только термин "инсайдер" начинает фигурировать в каких-либо конкретных ситуациях (в нашем случае - в имеющих отношение к информационной безопасности), то обнаруживается огромное множество несуразностей.
В качестве примера можно привести обширный обзор, опубликованный серьезной и уважаемой аналитической IT-организацией и посвященный классификации инсайдерских угроз. Основные из них:
- неправомочное разглашение конфиденциальной информации;
- так называемая "кража данных по неосторожности" [СК1];
- нарушение авторских прав на информацию;
- мошенничество;
- саботаж ИТ-инфраструктуры;
- и даже - развлечения на работе!
Несмотря на то что термин "инсайдер" имеет вполне четкое определение, подобные громкие заявления появляются в прессе чрезмерно часто. Дело в том, что в большинстве случаев под словом "инсайдер" подразумевают "внутреннего злоумышленника". По крайней мере, такое употребление сложилось изначально, как только началось активное обсуждение и освещение темы инсайдеров в прессе.
Однако совершенно непонятно, почему сегодня смешивают понятия "действующего внутреннего злоумышленника", "потенциального внутреннего злоумышленника", "халатного сотрудника" и "внешнего злоумышленника", проникшего внутрь защищаемой сети. Журналисты и эксперты обращают все меньше внимания на то, что термин "инсайдер" стал размытым и смешался с совершенно чуждыми понятиями. Сегодня к инсайдерам относят:
- сотрудников, которые теряют ноутбуки, карманные компьютеры и переносные HDD с конфиденциальными данными;
- подкупленных уборщиц, которые, наводя порядок в кабинете первых лиц компании, взламывают парольную защиту компьютера, находят конфиденциальную информацию и копируют ее на
USB-флэшку;
- подкупленных или ущемленных в своих интересах сотрудников, которые крадут конфиденциальные данные, пренебрегая всеми нравственными нормами;
- сотрудников, которые умышленно или случайно запускают в корпоративную сеть вредоносную программу и т.д. и т.п.
Беглый взгляд на приведенные примеры и сопоставление фактов с четким определением понятия "инсайдер" показывают, мягко говоря, несоответствие его корректного значения и распространенных употреблений. Однако подобные ошибки - норма в современных дискуссиях по информационной безопасности. И как объяснить авторам аналитических обзоров и статей, что их примеры, доводы и сравнения не совсем верны?
Вот почему необходимо четко определить для себя понятие "инсайдер", прежде чем доверяться пугающей статистике инцидентов и тем более прежде чем приобретать "средство борьбы с инсайдерами".
Инсайдер - это человек, допущенный к работе с информацией, предназначенной для строго ограниченного круга лиц. И только! Никаких уборщиц и флэшек, никаких краж ноутбуков и никаких развлечений на работе.
Мегабайты информации
Инсайдеры крадут информацию. Они могут пересылать ее по электронной почте, копировать на различные USB-устройства и КПК, записывать в ноутбуки, распечатывать и выносить на бумаге, выкладывать на всевозможные файло-обменные ресурсы. Инсайдеры допущены к работе с этой информацией, и для борьбы с соответствующими утечками действительно нужны весьма сложные технологические средства:
- Для предотвращения утечек по электронной почте необходима система анализа всей массы писем: их содержания, вложенных файлов и т.п.
- Для того чтобы предотвратить несанкционированное копирование данных на внешние носители, необходимо к четкому разграничению доступа пользователей к какой-либо информации
прибавить анализаторы контента, передаваемого на устройство.
- Если требуется установить контроль над печатью конфиденциальных документов, вводят автоматическую регистрацию факта печати, ограничения на печать дополнительных копий документа, запрещают копировать конфиденциальные документы в неконфиденциальные через буфер обмена.
- Должен быть запрещен доступ к любым Интернет-ресурсам, в которых возможен обмен файлами: файлообменные ресурсы, форумы, почтовые службы и т.д. и т.п. Этот список - минимальный, возможен гораздо более широкий набор, притом многие из перечисленных нововведении действительно требуют дополнительного внедрения защитных систем, сложных в настройке и эксплуатации.
Казалось бы, возможные угрозы и каналы утечки информации выяснены, объекты защиты определены. Осталось только приступить к решению задачи. Но если хотя бы одна из предпосылок, на основании которой строится вся логическая цепочка, неверна?
Защита от дурака
В некоторых случаях важная информация измеряется гигабайтами, например, в случае с различными базами данных, сообщения об утечке которых периодически всплывают в прессе. Да, наверное, именно тут пригодились бы технические средства: разграничение доступа и контроль внешних устройств. Однако опять же, после того как мы сопоставим истинное значение слова "инсайдер" и возможности современных "средств борьбы с инсайдерами", придется с грустью констатировать факт – никакой борьбы не происходит.
Большинство из представленных на сегодня технических средств, которые позиционируются как оружие в "борьбе с инсайдерами", имеют в своем арсенале возможности для достижения следующих результатов:
- максимально затруднить доступ к важным данным для сотрудников, не допущенных к ним;
- ограничить возможности по использованию внешних устройств сотрудниками, допущенными к этим данным;
- регистрировать любой факт использования внешних устройств - даже теми сотрудниками, которые допущены к данным и имеют право, к примеру, пользоваться флэшками.
По сути, разработанные на сегодня технические средства обеспечивают лишь "защиту от дурака" и доказательную базу для разбора произошедших инцидентов. Не предусматривается никаких превентивных мер по предотвращению утечек данных, вероятных в результате действий злоумышленников-инсайдеров.
Существует еще один аспект, о котором многие эксперты упоминают редко, стараясь приводить примеры только в свою пользу. Если сотрудник компании стремится украсть и затем продать информацию, если цена информации достаточно высока и стоит того, чтобы пойти на риск, инсайдер подготовит себя к возможной опасности. Ничто не помешает ему! Он допущен к информации, он работает с данными! Ему остается решить только один насущный вопрос: разработать план, включающий как можно более незаметные действия. Злоумышленник выяснит, каким образом контролируются и регистрируются его действия. Замаскирует себя или поставит под подозрение коллегу. При достаточном уровне эрудиции разработка подобного плана потребует лишь немного времени. Сотрудники, имеющие доступ к конфиденциальной информации, как правило, обладают всеми качествами, необходимыми для того, чтобы продумать "нейтрализацию" средств защиты информации.
Как это ни печально, выстроенные концепции по защите от инсайдеров часто не выдерживают испытаний практикой.
Дело в том, что очень часто информация не измеряется в килобайтах и мегабайтах. В этих величинах измеряются данные. Например, бизнес-план компании XXX на следующий год умещается в документе формата MS Word размером примерно 1 Мб, включающем иллюстрации, графики и таблицы. Сотруднику, которого подкупили конкуренты, не потребуется красть документ в обход всевозможных систем защиты. Для того чтобы получить деньги за информацию, ему понадобится десять минут устного пересказа и листок из блокнота с важными цифрами, записанными от руки.
За что боролись...
Инсайдеров сейчас боятся все. Угрозы, исходящие от инсайдеров, стали самыми актуальными темами различных конференций и круглых столов. В спорах об инсайдерах "ломает копья" на различных Интернет-форумах самая разношерстная публика: от студентов-теоретиков до прожженных специалистов-практиков. На российском рынке информационной безопасности уже появляются компании, которые выпускают решения только для борьбы с инсайдерами.
Однако есть и другая сторона медали.
С одной стороны, инсайдеры действительно несут серьезную угрозу бизнесу, в первую очередь, из-за непредсказуемости их действий и неопределенного, но предполагаемого широкого набора возможных действий. И даже если относиться к финансовой статистике инцидентов, связанных с инсайдерами, с изрядной долей скепсиса, мы составим печальную картину событий: новейшая российская история уже имеет в своем активе несколько весьма и весьма показательных тому примеров.
С другой стороны, у нас есть основания и для оптимистичных предположений. Существующие технические средства при грамотном использовании позволяют значительно снизить риск утечки конфиденциальных сведений в результате злоумышленных действий недобросовестных сотрудников. Если при этом будет организована активная работа с персоналом, направленная на повышение осведомленности в вопросах информационной безопасности, то львиной доли "инцидентов" можно будет избежать: большинство из них происходит случайно или по глупости сотрудников.
В любом случае борьба с инсайдерами остается одним из главных и приоритетных направлений в обеспечении информационной безопасности. Так как технические средства не создают совершенной защиты, "ночной кошмар" современного бизнеса и его самый интригующий миф будут существовать еще долго.
Источник: Информзащита
