23 января 2013
ИБ своими силами
- Пароли
- Разграничение прав доступа
- Беспроводные сети
- Антивирусная защита
- межсетевые экраны
- Шифрование носителей информации
- Кадровая безопасность
Умение «из ничего сделать кое-что» давно является отличительной чертой славян. Использование смекалки демонстрировалось ещё в русских народных сказках («Каша из топора»). Примечательно, что чаще всего главных героев этих шуточных историй на «подвиги» больше толкали обстоятельства, чем собственное желание. Времена изменились, а вот мотивы остались те же. В контексте информационной безопасности это вылилось в противостояние бюджетов. Выстраивать защиты офицеры вынуждены своими силами не потому, что им самим так хочется, и не потому, что нет хороших средств. Чаще всего у руководителей нет желания вкладывать деньги в ИБ.
Причины
Прежде, чем переходить к реальным шагам и ответу на вопрос, поставленный в заголовке, полезно будет рассмотреть, почему безопасники нет-нет, да оказываются у «разбитого корыта». Одним из неожиданных выводов исследования сектора информационной безопасности, проведённого британской компанией Perpetuity Research and Consultancy International летом этого года, стала парадоксальная статистика: свыше двух пятых опрошенных специалистов корпораций признали, что сталкиваются с отношением к безопасности как к «покупке, о которой сожалеют». Более того, многие чувствуют, что статус безопасности в их организации ниже, чем у других направлений, например, чем у снабжения или управления рабочими процессами. Принято считать, что безопасность имеет низкий приоритет. А позиция руководства в вопросе о том, сколько средств будет выделяться на неё в будущем, обычно «по другую сторону баррикад».
В российских реалиях ситуация даже несколько хуже, чем «средняя температура по общемировой больнице». Согласно исследованию лишь половина малых и средних предприятий нашей страны считают уровень своих расходов на информационную безопасность достаточным для предотвращения инцидентов. При этом почти в каждой второй компании одной из причин недостаточных инвестиций в ИБ называют отсутствие понимания вопросов ИТ-безопасности со стороны руководства.
В принципе, «трудности перевода» с языка технического на язык бизнеса известны ещё со времён системных администраторов. Все мы знаем, что хороший сисадмин тот, который сидит и ничего не делает (потому что у него всё работает). Аналогичный образ жизни характерен и для хорошего безопасника. Только вот руководство отнюдь не разделяет эту точку зрения, считая подобных работников лентяями, дармоедами и бездельниками.
Результаты такого отношения вполне предсказуемы. Около 65% компаний не используют превентивные меры для того, чтобы защитить конфиденциальные данные от утечек, в частности, не защищают их от неавторизованного доступа. Иллюстрацией же подобной халатности являются результаты исследования-опроса компании SearchInform, проведённого в апреле этого года по 7 ФО РФ (выборка составила 986 специалистов по информационной безопасности): в среднем 44% российских компаний сталкивались с попытками уволенных\уволившихся сотрудников забрать с собой конфиденциальную информацию.
Думаю, с вопросом «кто виноват?» мы разобрались, а значит пришло время переходить к реальным действиям.
Шаг за шагом: пароли
Понятие «информационная безопасность» весьма обширно и включает в себя множество тем. Однако наша тема звучит «что делать, если на DLP нет средств», что подразумевает выстраивание своими силами защиты именно от утечек. И первым шагом будет создание парольной политики. Необходимость установки на корпоративной машине стойкого пароля вряд ли стоит кому-либо доказывать. Нельзя использовать клички домашних животных (хотя если вашу собаку зовут «RrgTt_fx32#b», то почему бы и нет), не стоит записывать пароли на стикерах и прикреплять их к монитору. Всё это прописные истины, поэтому поговорим об относительно новой проблеме, пришедшей вместе с концепцией BYOD (Bring Your Own Device). Использование сотрудниками в работе личных устройств (преимущественно смартфонов и планшетов) стало настоящей головной болью для служб ИБ. По большей части из-за того, что заставить работника соблюдать корпоративные политики безопасности для этих девайсов нельзя – только уговорить. А вот уговариваются люди плохо. Тем не менее, задачей специалиста службы ИБ в этом вопросе будет донесения до сотрудников простой истины – не будьте предсказуемы при выборе пароле на разблокировку ваших устройств.
Свою лепту здесь вносят популярные мобильные платформы, и в первую очередь iOS. На ней, в отличие от Android OS, нельзя задать графический ключ – только 4 цифры. А теперь давайте проверим, так ли мы с вами, уважаемые читатели, непредсказуемы. Прямо сейчас придумайте пароль, состоящий из 4 цифр…а теперь обратимся к собранной статистике самых часто используемых паролей для разблокировки смартфонов.
Из представленных комбинаций алогичной кажется набор «5683», однако если вспомнить «тёплый ламповый» редактор Т9, всё становится на свои места. Этой комбинацией цифр набирается слова «LOVE». Любопытна также комбинация 1998. Очевидно, что это год рождения владельца гаджета. Интересно было бы проанализировать зависит ли процент людей, устанавливающих в качестве пароля свой день рождения в зависимости от года или нет. Логично предположить, что в следующем году в ТОП-10 должна будет попасть комбинация «1999».
Разграничение прав доступа
Следующим шагом в выстраивании защиты «своими руками» является разграничение прав доступа. Это азы информационной безопасности (особенно для системных администраторов). Тем не менее, «просто» не значит «неэффективно». Только стоит помнить, что даже разумные разграничения этих прав в нештатной ситуации способны застопорить бизнес-процессы, тем самым обернувшись достаточно неприятными для работы организации последствиями. К примеру, доступ к самым важным информационным ресурсам имеет только несколько человек. Организация доступа обеспечивается методами парольной защиты документов. В этом случае возможен вариант, когда при утере пароля для его восстановления может потребоваться собрать целую комиссию из нескольких ответственных сотрудников, имеющих доступ к соответствующей конфиденциальной информации. На непрерывности бизнес-процессов это скажется не лучшим образом. Что же делать в таких случаях? Пожалуй, удачной идеей будет делегирование специалистам по информационной безопасности полномочий раскрытия паролей в чрезвычайных для компании ситуациях. При этом хранение паролей можно реализовать по принципу «черного ящика», то есть, сами специалисты службы информационной безопасности не будут иметь к ним доступа, предоставляя доступ другим только при возникновении соответствующих обстоятельств.
Беспроводные сети
Беспроводные корпоративные сети также могут служить источником утечек информации, если данные, передаваемые по ним, не защищены с помощью шифрования. К счастью, для того, чтобы уменьшить риск утечек данных, не нужно делать никаких серьезных вложений денежных средств. Достаточно правильно настроить режимы на точках доступа, да выставить нетривиальные пароли доступа. Как мера дополнительной защиты, может быть использована фильтрация по MAC-адресу.
Антивирусная защита, межсетевые экраны и шифрование
Объединил три темы в один раздел, так как рассказывать про их настройку смысла нет, а вот остановиться на нюансах было бы полезно. Нюансы, как обычно, привнесли мобильные устройства. Ещё пару лет назад «вирусы для телефонов» казались больше очередной сказкой маркетологов, чем реальностью. Сегодня же вряд ли кто-то будет оспаривать их реальность (вирусов, а не сказок или маркетологов). ZITMo (Zeus-in-the-mobile) и ему подобные довольно неплохо себя чувствуют в различных неофициальных репозиториях, распространяясь под видом «крякнутых» платных приложений.
Свою эффективность доказали и межсетевые экраны, целью которых является осуществление контроля и фильтрации проходящих через них сетевых пакетов в соответствии с заданными правилами. Продуктов даже на отечественном рынке хватает, чтобы помучаться, выбирая наиболее подходящий. В этом ключе хотелось бы порекомендовать таблицу (обновляемую), составленную Алексеем Комаровым. В его блоге, кстати, набралось уже 8 или 9 постов по описанию этих самых экранов. Как правило, современные антивирусы постепенно вбирают в себя функционал и fiwall’ов, и «шифровальщиков».
Пару слов о шифровании. На мой взгляд, функция в корпоративном сегменте нужна в первую очередь для «подстраховки» на случай утери носителя информации. Как и с межсетевыми экранами, существует достаточно платных и бесплатных (TrueCrypt) решений.
Для дополнительной же защиты смартфонов и планшетов сотрудников, полезным будет проведение ликбеза по решениям удалённого управления устройствами. Подобные сервисы существуют как в виде платформенных решений (FindMyiPhone, Prey, AndroidLost), так и в «вендорном» исполнении (SamsungDive), ориентированном на конкретного производителя.
Уровень выше
Напоследок рассмотрим технологии, которые требуют более плотной работы. Первой из них является «работа с кадрами» через социальные сети. Согласитесь, когда вы знаете человека, вам легче прогнозировать его реакцию на то или иное событие. А на сегодня лучшим способом узнать «нерабочую» жизнь сотрудника можно из его виртуальной жизни, анализируя блоги, профили в социальных сетях и твиттер. Проблема в том, что много человек в одиночку проанализировать вряд ли получится. Тем не менее, техника полезна при приёме на работу новых сотрудников.
Второй подход заключается в установке DLP-системы. И нет, никакого противоречия теме статьи здесь нет, потому что речь идёт об открытых бесплатных проектах MyDLP и OpenDLP. Принцип действия DLP-систем частично описан в моих предыдущих публикациях, поэтому ограничимся лишь расшифровкой аббревиатуры. DLP – Data Leak Prevention – системы, ориентированные на предотвращение утечек информации.
Вместо заключения
«Поднять» хорошую защиту «задёшево и самостоятельно» реально, и с этим никто не спорит. Другое дело, сколько на это придётся потратить времени и сил. Можно не покупать дорогостоящую DLP-систему, заменив её набором решений, каждое из которых будет способно решать какую-то свою отдельную задачу. Этакая кусочно-непрерывная DLP получается. Но где гарантия, что такой «зоопарк» не будет конфликтовать между собой? И это не вспоминая про эффективность. В целом же, любую грандиозную невыполнимую задачу можно решить, если разбить её на ряд более мелких выполнимых задач. А вот как видеть вещи дискретно – это вопрос скорее к Планку.
