Текст книги "IT-безопасность: стоит ли рисковать корпорацией?"

Автор книги: Линда Маккарти

сообщить о нарушении

Текущая страница: 5 (всего у книги 22 страниц)

Не экспортировать глобальные разрешения чтения/записи

Не делайте этого! Разрешения на доступ к файлам, устанавливающие, кто может читать и изменять файл, – очень простое понятие. Главное заключается в том, что чем больше вы предоставляете доступа к файлам вашей системы, тем выше риск того, что эти файлы будут изменены, уничтожены или украдены. Если вы предоставляете возможность всему миру читать вашу информацию и иметь к ней доступ, то рано или поздно кто-нибудь сделает это таким способом, которого вы не желали, не предполагали и не представляли себе. Такую ошибку сделали парни из Trans World.

Я видела много прорех в безопасности, но эта заслуживает главного приза. Я впервые увидела, как кто-то экспортирует разрешения чтения/записи файловых систем (глобальные) через Интернет. И хотя это была чрезвычайная ситуация, я далее сталкивалась с избыточностью разрешений на доступ к файлам снова и снова. В чем причина? Системные администраторы часто не ограничивают разрешения на доступ к файлам. Иногда они просто не знают, как это делать. В других случаях они слишком заняты, чтобы об этом беспокоиться. Но беспокоиться нужно!

Стереть старые учетные записи

Обновляйте ваше системное хозяйство. Учетные записи неактивных пользователей, как, например, записи уволенных или долго отсутствующих сотрудников, представляют широко распространенный вид риска для безопасности. Как раз такой учетной записью воспользовался взломщик в TransWorld.

Хакеры могут легко воспользоваться неактивными учетными записями для хранения информации, как, например, взломанных паролей. Изменения в пользовательских файлах трудно обнаружить, так как владельцы их не просматривают. Во избежание такой проблемы убедитесь в том, что удаление или отключение неактивных учетных записей делается регулярно.

Тестировать пароли

Надо отдать должное – люди из TransWorld хорошо позаботились о паролях. Из 1000 учетных записей пользователей я смогла взломать лишь четыре пароля. Правда, это на три пароля больше, чем мне было нужно! Не ждите, когда хакер пройдется по вашим паролям и взломает их. Запускайте программу-«взломщика паролей» (password cracker) в ваших файлах с паролями и учите ваших пользователей тому, как выбрать надежный пароль.

Пароли образуют первую линию обороны против неавторизованных пользователей, и их взлом является одной из самых популярных форм компьютерной атаки. Хороший пароль не может быть обычным словом. Его легко взломать, найдя это слово в словаре. Хороший пароль должен представлять собой выражение, не являющееся словом (nonword). Учите своих пользователей, как выбрать хороший пароль, не являющийся словом и удобный для запоминания.

Системным администраторам также нужно проверить, насколько надежно выбрали пароли их пользователи, при помощи программы, названной "Crack". Если вы – системный администратор и не имеете копии программы "Crack", то постарайтесь получить ее, так как хакеры уже ее имеют. Гарантирую!

Перед запуском "Crack" или другого «взломщика паролей» в сети вашей компании, убедитесь в том, что не нарушаете политики безопасности вашей компании. Использование "Crack" в системе, к которой у вас нет доступа, может стоить вам работы, большого штрафа или даже привести в тюрьму.

Сделать исправления программ (патчи), повышающие безопасность

Нет идеальных систем. Во всех есть дыры, которые нужно залатать. При установке любой системы в сети нужно устанавливать и патчи безопасности в них (в операционные системы). Также необходимо установить патчи безопасности, предусмотренные для решения известных проблем в коммуникационных программах (таких, как Netscape Navigator, Java, HTML и т. п.). Если ваша сеть велика и вручную вам с этим не справиться, то подумайте об установке программного обеспечения, позволяющего ставить патчи в автоматическом режиме.

Выполнять политики и процедуры

Как минимум, должны разрабатываться и совершенствоваться политики и процедуры для установки систем, обслуживания информации и обеспечения основной физической безопасности. Если у вашего системного администратора не будет системных политик и процедур, то системы после установки могут иметь рискованные настройки. Это случилось в сети TransWorld. У них не было ни политик, ни процедур настройки безопасности, и система после установки была подвержена риску.

Если вся ваша сеть после установки имеет настройки с высоким уровнем риска, то последующий перевод системы на требуемый уровень безопасности будет связан со значительными затратами времени и людских ресурсов. Для того чтобы этого избежать, убедитесь в том, что ваши системы не остались в состоянии стандартных настроек и без необходимых политик и процедур. Подробнее о политиках и процедурах см. главу 8, «Безопасность внутренних сетей».

Использовать экспертов

Привлечение экспертов со стороны не является признаком слабости вашей группы. Напротив, это признак здравомыслия! Пока ваша компания невелика, вам, возможно, не требуется штатный эксперт по безопасности на полный рабочий день. Поэтому имеет смысл, чтобы не раздувать штат и сберечь ресурсы, при необходимости привлекать эксперта на временную работу. Но не ждите, когда вся сеть выйдет из-под контроля.

Не так давно я беседовала с руководителем информационной службы компании, входящей в список Fortune 500. Я сообщила ему, что от инженеров и руководящих работников его компании я узнала о нескольких рискованных настройках систем в их сети. Им следовало бы нанять аудитора безопасности и протестировать их сеть. Я сказала, что аудит не обойдется им дорого и позволит точно узнать, какому риску они подвергаются. Ответ руководителя информационной службы был необычным. Он сказал: «Линда, это как если бы из моего самого дорогого костюма вытащили одну нитку. Ничего не стоит это сделать, но последствия будут дорогими». Я поняла его так, что по-настоящему дорогим будет не аудит, а «чистка» выявленных во время него зон риска. Проблемой при таком подходе будет то, что рано или поздно кто-то будет готов выдернуть эту нитку. Вопросами будут (кроме «Когда?»): «Кто?» и «С какой целью?». Надеюсь, что на вопрос «Кто?» будет ответ – аудитор, а не хакер, а на вопрос «С какой целью?» – анализ риска, а не выискивание возможной добычи.

Обучать использованию

Безопасность не является предметом, на который обращают внимание большинство технических специалистов или системных администраторов в учебных заведениях или при практической подготовке. Обеспечьте, чтобы ваши сотрудники имели хотя бы базовую подготовку. Помните, что проблемы безопасности не стоят на месте. Поэтому занятия по безопасности многолетней давности – не в счет.

Одной из проблем в TransWorld было то, что Джордж и Натан занимались (предположительно) защитой информации клиентов, не обучившись этому предмету в течение хотя бы одного часа. Это сумасшествие! Добейтесь, чтобы ваши сотрудники были обучены тому, как обеспечивать безопасность обслуживаемых ими систем.

Контрольный список

Используйте этот контрольный список для определения того, рискует ли ваша компания из-за стандартных установок систем. Можете ли вы поставить «Да» напротив каждого пункта?

– Знаете ли вы, что пытаетесь защитить в вашей сети?

– Участвует ли руководство в оценке риска?

– Имеются ли политики и процедуры для настройки систем?

– Охватывают ли эти политики и процедуры разрешение доступа к файлам, пароли и установку патчей?

– Имеется ли политика, охватывающая физическую безопасность?

– Все ли учетные записи пользователей имеют пароли?

– Были ли изменены учетные записи, по умолчанию установленные во время установки системы?

– Входит ли в политику запрещение гостевых учетных записей, установленных по умолчанию?

– Регулярно ли отключаются неактивные учетные записи?

– Устанавливаются ли патчи безопасности совместно с установкой всех новых систем?

– Пытались ли вы взломать пароли системы (систем), которую вы обслуживаете, с целью тестирования ненадежных паролей?

– Проводите ли вы периодический аудит для проверки состояния имеющихся средств безопасности?

– Отслеживаете ли вы неавторизованные изменения файлов?

– Уверены ли вы в том, что все сотрудники, устанавливающие ваши системы, обучены политикам и процедурам безопасности вашей компании?

– Проверяете ли вы дважды, что все известные проблемы безопасности решены, перед тем, как подключить к сети новое оборудование или программы?

– Достаточно ли у вас финансируется безопасность?

– Первоочередными ли являются нужды оценки риска, обучения, проведения аудита и разработки политик и процедур?

– Настраиваете и просматриваете ли вы контрольные журналы?

– Принимаете ли вы меры предосторожности при экспорте файловых систем?

– Отключаете ли вы ненужные службы?

Заключительные слова

Во многих компаниях компьютерная безопасность сводится к наличию брандмауэра. Ну ладно, вам так понравилась эта интернетовская штучка, и вам не терпится подключиться к сети. Вы направляете всю свою энергию на выбор правильного брандмауэра и на защиту одного вашего соединения.

Проблема такого подхода состоит в том, что брандмауэр является лишь очень небольшой частью безопасности систем. Вы выбрали один из них и наняли кого-то для его установки. Такая стандартная установка на самом деле увеличивает количество проблем безопасности в интранет. Я это говорю, не просто познакомившись со статистикой. Я это все наблюдаю изнутри сетей – «из окопов».

Это вижу не я одна. По оценке координационного центра CERT, размещенного в CMU, 99 % всех зарегистрированных компьютерных атак явились результатом знания уязвимых мест, на которые уже можно было бы поставить патчи.

Проблемы безопасности интранет реальны – так реальны, что ваши сотрудники должны знать, как настраивать безопасность ваших систем. Иначе каждый бит вашей системы будет подвержен такому же риску, как и информация серверов Trans World.

Глава 3
Поддержка со стороны руководства

Руководители высшего звена, в том числе и директор по информационным технологиям, больше не могут, откинувшись на спинку кресла, думать, что проблемы компьютерной безопасности в полной мере решаются кем-то другим в их компаниях. Они должны играть активную роль в обеспечении безопасности их систем и организаций и давать логическое направление решения таких проблем.

Майк Хейгер, вице-президент по вопросам безопасности инвестиционной группы Oppenheimer Funds

Шесть месяцев назад вы добились успеха и стали директором по информационным технологиям крупной корпорации. Как хороший директор по информационным технологиям, вы неустанно напоминаете о важности вопросов безопасности руководителям высшего звена. Вы прямо даете знать о том, что ваша сеть должна быть безопасной. Точка. Все сказано. Вопросов никто не задает.

Представьте ваше удивление, когда однажды в понедельник утром вы открываете Mercury News и обнаруживаете название своей компании в заголовках – и не по причине поразительных успехов за квартал. В газете подробно рассказывается об атаке хакера на сеть вашей компании. Хакер украл конфиденциальную информацию и выставил ее в Интернете на обозрение всему миру. Это – новость первой полосы, и вы пытаетесь угадать, попадете ли вы в выпуск новостей CNN. Вы также пытаетесь догадаться, что будет с ценой ваших акций и что скажут акционеры.

Всю неделю ваш обслуживающий персонал пытается взять ситуацию под контроль. К несчастью, обнаруживается так много рисков для безопасности вашей сети, что задача кажется непреодолимой. Хакерское подполье ясно знает об этих рисках и, кажется, выбрало вашу сеть в качестве мишени для своих упражнений. Атаки не прекращаются – одна, две и все больше и больше.

Как же такое могло случиться? Вы говорили высшим руководителям компании, что безопасность является главной идеей, и ожидали, что ей будет отдан приоритет. Разве они вас не слушали? Как же они допустили, что электронные взломщики крадут секреты компании? Хуже того, продолжающиеся атаки понижают репутацию вашей компании, ради создания которой вы неустанно трудились. Вместе с репутацией компании не совсем хорошо выглядит и ваша. Это – ваша сеть, и в центре внимания оказываетесь вы.

Кажется невозможным? Невероятным? Может быть, ситуация и сфабрикована, но в ней может оказаться любой начинающий директор по информационным технологиям. Быстро продвигающиеся наверх руководители редко имеют полные знания о настройках сети и ее состоянии. Перед тем как занять этот пост, лишь немногие из кандидатов спрашивают о том, когда сеть подвергалась аудиту безопасности (и прошла ли его). Еще меньшее число из них знакомится с представленным им итоговым отчетом, отражающим уровень риска, или представляет себе, как выглядит на практике борьба за безопасность.

В крупных компаниях многослойная структура управления часто способствует отделению руководящих сотрудников высшего уровня от руководителей более низких звеньев. В результате этого нарушаются связи. Информация, движущаяся сверху вниз, может не дойти до исполнителей. Таким же образом сообщения, посылаемые наверх, легко могут попасть не по адресу или исказиться.

Очевидно, что управляющий, менеджер или директор никогда не задумываются о том, что их сеть может стать зоной действий хакеров и попасть на следующей неделе в выпуск 60 Minutes[12]12
  Программа новостей телекомпании CBS. – Примеч. пер.


[Закрыть] или в Hard Copy.[13]13
  Телевизионное шоу о скандальных происшествиях. – Примеч. пер.


[Закрыть] Но пока вы не будете знать, что в действительности происходит «в окопах», ваша компания будет подвергаться риску. Добейтесь того, чтобы руководители в вашей компании оставили диктаторский стиль и спустились из заоблачной выси на землю. Налаживание каналов общения, открытых в сторону руководства, является одним из важных шагов в достижении реальной безопасности вашей сети. Рассмотрим пример…

Участие руководителей

Миссис Смит, генеральный директор и основатель Internet Software Design (ISD), превратила идею, набросанную на салфетке, в процветающую компанию. Ее компания из Силиконовой долины вошла в список преуспевающих компаний Fortune 500, осваивала новые области передовых технологий и добивалась превосходства над своими конкурентами. Работая в сфере программного обеспечения для Интернета, компания присвоила компьютерной безопасности наивысший приоритет. Миссис Смит постоянно подчеркивала свою приверженность компьютерной безопасности своему руководящему персоналу. Все хорошо знали ее прямолинейный стиль работы, и она всегда добивалась того, чего хотела. Ну, почти всегда.

Как многие руководители, отдающие распоряжения и следящие за их исполнением, миссис Смит считала, что глобальная сеть ее компании безопасна. Так было до того, пока однажды хакер не взломал финансовую сеть компании. Не замеченный обслуживающим персоналом, хакер переслал всю финансовую информацию компании на другую систему в Интернете. Когда пересылка закончилась, хакер послал по электронной почте финансовое положение миссис Смит (включая прогноз доходов) фирме Fishman & McDonald Investors.

К счастью для миссис Смит и ее компании, управляющий этой финансовой фирмы немедленно сообщил содержание электронного письма Чарльзу Уинифреду, финансовому директору миссис Смит. Это сообщение явилось первым сигналом Чарльзу о том, что безопасность сети нарушена, и у него возникло много вопросов. Чарльз хотел знать, как удалось взломать систему. Он хотел знать, почему его обслуживающий персонал не обнаружил неавторизованного доступа к информации. И конечно, он хотел выяснить, кто должен отвечать за кражу и раскрытие информации. В общем, он хотел получить ответы, и немедленно.

Чарльз считал свою финансовую сеть безопасной. В конце концов, разве не за это платят системным администраторам? Как они могли проявить такую безответственность? И почему они не заметили брешь в защите до того, как информация не была раскрыта через Интернет?

Но Чарльз забыл главный принцип распределения ответственности. В конечном счете именно руководитель его уровня несет ответственность за надежность и целостность информации в корпоративных сетях, а не системные администраторы. Финансовые аудиторы и акционеры, в частности, привлекают к ответственности именно руководящих работников. Если прогнозы доходов выставлены на общее обозрение в Интернете, то финансовые аудиторы, акционеры и репортеры служб новостей преследуют высшее руководство, а не системных администраторов.

Для лучшей иллюстрации роли руководителей в компьютерной безопасности давайте взглянем поближе на события, происходящие до и после того, как была раскрыта финансовая информация ISD.

День 1-й: Незащищенные системы

По требованию Чарльза для проведения аудита безопасности был немедленно вызван Мартин Паттерсон, собственный эксперт ISD по безопасности. Мартин был одним из пяти сотрудников группы безопасности в ISD и, бесспорно, лучшим гуру по вопросам безопасности в компании. Он относился со всей серьезностью к любому пробелу в безопасности и всегда ставил реагирование на инциденты выше остальных своих задач. Обычно Мартин оставлял все свои дела и набрасывался на каждый инцидент, касающийся безопасности, со свирепостью питбуля.

Мартин начал аудит с зондирования информации финансовых систем и тестирования сети на наличие дыр. Менее чем за полчаса Мартин обнаружил потрясающие факты. Для компании, в которой так много говорилось о приверженности к безопасности, действительное состояние дел оказалось ужасающим.

Мартин обнаружил, что системы компании были установлены стандартным способом, без настройки безопасности. Наиболее ответственные системы были обезличены и плохо защищены, что превращало всю сеть в зону повышенного риска. Более того, в защите сети было так много дыр, что под конец рабочего дня к ней можно было подобраться «на расстояние выстрела». И такие системы хранили самую секретную финансовую информацию компании!

Далее Мартин узнал, что системы были широко открыты и не имели контрольных или отслеживающих механизмов. Это облегчало доступ и сводило к нулю шансы быть пойманным. Любой с самыми небольшими знаниями в области безопасности мог приятно провести целый день в этой сети.

Чарльз также попросил Мартина найти источник посылки электронного письма с прогнозами доходов. Поэтому после тестирования систем Мартин попытался отследить путь электронного письма. Он предполагал, что его попытки будут бесплодными. Так и оказалось. Мартин зашел в тупик, пытаясь установить «дом» хакера.

Хотя финансовый директор не мог поверить в то, что путь электронного письма нельзя отследить, для меня в этом не было ничего удивительного. Довольно легко можно обмануть Sendmail и создать иллюзию, что электронное письмо послано от кого-то другого. С таким заданием легко могла бы справиться моя 13-летняя сестра Лаура.

В любом случае имитация адреса отправки почты почти всегда заводит преследователя хакера в тупик. Когда вы сталкиваетесь с этим, то лишь оцениваете умение хакера изобретать доменные имена и идете дальше. То же сделал и Мартин.

Мартин завершил аудит и объединил полученные результаты в конфиденциальном отчете для руководства. Теперь нужно было подготовиться к самому трудному – как представить отчет руководству. К счастью, прошли те времена, когда гонцу за плохие вести отрубали голову. Но еще остались топоры в переносном смысле. При докладе о высоком риске безопасности вас может ждать неприязнь начальства или понижение с такой же вероятностью, как и похлопывание по плечу. Мартину повезло – Чарльз похлопал его по плечу.

Оценив тщательность работы, проделанной Мартином, Чарльз вместе с тем был абсолютно поражен ее результатами. Чарльз был крайне уверен в том, что все системы сети были защищены. Так же считали и все другие руководители. И все же аудит показывал, как легко информация могла быть изменена, украдена или уничтожена без оставления хотя бы одного следа для поимки взломщика. Чарльз поблагодарил Мартина за предоставленные факты (Майк даже стал как бы героем!) и немедленно отдал распоряжение подчиненным ему менеджерам исправить положение.

Год спустя: Неавторизованный доступ продолжается

В течение следующего года произошло несколько успешных взломов интранет ISD (успешных для хакера, разумеется). Единственной положительной стороной в них было то, что Чарльз получил сообщения о взломах от руководителя внутреннего аудита ISD, а не от CNN.

Не допустить, чтобы факты взломов попали в заголовки газет, является главной целью финансовых директоров. Осуществление этой цели значительно труднее, чем кажется. Многие хакеры сегодня считают высшим шиком передать отчет о своем взломе непосредственно агентствам новостей. Хакерам известно, что сопутствующий вред от плохой рекламы может быть больше, чем ущерб, причиненный самой атакой. Поэтому в некоторых случаях вызвать затруднения, связанные с опубликованием факта атаки, является истинной целью атаки. Чарльзу удалось относительно без шума решить эту проблему.

Несмотря на такую удачу, Чарльз оставался в плохом положении. Он был разъярен и не переставал удивляться, что в его сети оставались дыры. Разве он не приказал своим сотрудникам устранить проблему еще в прошлом году? Может быть, кто-то не выполнил его указаний? Теперь Чарльз стал искать головы. И я не думаю, что они ему нужны были для расширения штата сотрудников. Он хотел положить их на плаху.

В это время Чарльз встретился с директором по информационным технологиям и руководителем внутреннего аудита компании для обсуждения имеющихся рисков для безопасности. Они решили, что пришло время нанять независимого аудитора безопасности. И здесь на сцене появляюсь я.

Рисуя общую картину, я опиралась на опыт ранее проведенных аудитов. Это – большое преимущество! Обычно аудитор тратит много времени на интервьюирование сотрудников, про смотр схем сети и зондирование информации для определения незащищенных систем.

Я знала, какие системы были уязвимыми, из прошлогодних проверок, поэтому они казались мне местом, с которого я должна была начать тестирование. Первой и главной причиной такого подхода была возможность показать статистику, опираясь на твердые факты. Руководители любят статистику. Все, что я могла поместить в график или круговую диаграмму, было мне на руку, и я знала, что подача информации руководителям в таком виде прибавляла мне вес.

Большинство руководителей, с кем я работала, были очень сообразительными. Но перед ними проходил очень большой поток информации, и им была нужна точная и понятная информация, суть которой умещалась на одной странице. Итоговый отчет для руководства должен передавать мысль с первого взгляда. Добавлю, что многие отчеты об аудите безопасности, которые я видела, вызывали во мне бурю негодования. Плохо написанный и оформленный отчет, представленный на быстрый просмотр руководителю высшего уровня, не только не имеет смысла, но и перечеркивает всю пользу от проделанного аудита. Так как необходимость устранения риска и получение на это денег очень часто идут бок о бок, то важно, чтобы высшее руководство поняло степень риска и его возможные последствия.

Отчеты, представляемые вышестоящему руководству, должны быть короткими (в идеале – в одну страницу и никогда больше двух), легко читаемыми и легко понятными.

Результаты моего аудита позволяли легко передать их смысл руководству. Я уже представляла, как будет выглядеть график, еще до начала проведения аудита. Я решила показать процентное отношение незащищенных мест, найденных в прошлом году, к найденным сейчас. Это было бы замечательно! Я запомнила эту мысль и начала аудит.

Знакомясь с отчетом по аудиту, составленным Мартином в прошлом году, я обнаружила, что его трудно читать. В нем сообщалось обо всех рисках, но техническим языком и без каких-либо логических связей. Если бы руководство получило этот отчет, то оно бы не знало с чего начать. Я потратила больше времени, чем планировала, чтобы докопаться до полезной информации в отчете.

Разобравшись с отчетом Мартина, я поняла, с какими системами финансовой сети связан наибольший риск. Я прозондировала вначале информацию этих систем. Затем сняла копию таблицы паролей и запустила программу Crack. Мне нравится начинать аудит с взлома паролей, потому что я хочу увидеть, как много можно их взломать с первого захода. В таблице содержалось 520 паролей пользователей – это довольно много. Поэтому мне, возможно, удастся взломать некоторые из них. И мне удалось. Просмотр файла crack.out показал, что 10 паролей были угаданы с первого раза. Я столько и ожидала. Оставив просмотр дальнейших результатов программы Crack на более позднее время, я сосредоточилась на аудите систем повышенного риска.

Системный администратор предоставил мне доступ ко всем системам. При проведении аудита я предпочитаю зарегистрировать свой вход в систему и уже затем проводить тестирование, а не взламывать сеть. В моих первых аудитах мне нравилось вначале вторгаться из сети (тестировать на проникновение), потому что это захватывало меня и помогало совершенствовать навыки взлома. Но, набравшись опыта проведения аудита, я поняла, что смогу охватить больше территории, быстрее и эффективнее, попросив владельца системы дать мне учетную запись для входа в систему. После этого я регистрировала свой вход в систему и просматривала ее уязвимые места. Для этого я иногда не проводила тест на проникновение вообще. Вначале я зондировала информацию систем из Сети (чтобы увидеть, сколько информации я смогу получить). Затем я тестировала ненадежные пароли. После этого регистрировалась в системе и проводила тестирование незащищенных мест и ошибок в настройке. И последним тестом аудита был тест на проникновение извне (и только при необходимости).

Я не считаю, что тест на проникновение всегда необходим. Например, в системе оказалась старая версия Sendmail. Общеизвестно, что такая система может быть взломана. Зачем же тратить время для того, чтобы доказать, что вода мокрая?

В некоторых случаях я провожу тест на проникновение в системах, уязвимость которых известна заранее, для того, чтобы продемонстрировать руководству саму идею. Иногда такой демонстрации не требуется. Все зависит от масштаба аудита, приоритетов клиента и ожиданий руководства.

В данном аудите тест на проникновение, определенно, не был необходим. Руководство знало, что сеть может быть взломана. (И я была здесь потому, что хакерам это было тоже известно!) Аудит должен был ответить на вопрос, почему сеть все еще уязвима. Зная это, я отказалась от проведения теста на проникновение и пошла дальше.

Я приступила к проверке наиболее ответственной финансовой системы. Она была широко открыта и не имела патчей безопасности. Я взломала корневой каталог, использовав очень старую программную ошибку в защите. Легко обнаруживалось, что эти системы имели стандартные настройки и не было установлено никаких дополнительных средств защиты. Я протестировала вторую систему, затем третью и четвертую. Та же история. Насколько мне было видно, абсолютно ничего не изменилось с тех пор, как был проведен последний аудит безопасности. Было ясно, что сотрудники нижнего уровня («находящиеся в окопах») не устранили проблем.

Вопрос, вполне подходящий для телевикторины $64 000 Question:[14]14
  Одна из самых распространенных телевикторин, проводимая компанией CBS с 1950-х годов. – Примеч. пер.


[Закрыть] почему не устранили? Определенно, проблемы безопасности в ISD должны были быть решены. Либо линейные менеджеры[15]15
  Line management – менеджеры нижнего уровня. – Примеч. науч. ред.


[Закрыть] не слышали распоряжения Чарльза сверху, либо они не хотели его услышать.

Скорее всего, когда Чарльз сказал своим людям: «Сейчас же устраните проблемы безопасности», он посчитал вопрос закрытым. Он никогда не проверял, выполняется ли его распоряжение. Какими бы причины не были, проблемы не были решены, и Чарльз не получил желаемых им результатов.

Говоря о результатах, я вспомнила, что у меня все еще работает Crack. Желая узнать, как много еще паролей Crack может взломать, я проверила файл crack.out снова. Невероятно! Было взломано еще 100 паролей. Еще более удивительным было то, что Crack не закончил свою работу! Он все еще «долбил», пытаясь угадать пароли. Очевидно, что пользователей никогда не учили тому, как выбирать надежные пароли. Также было очевидно, что системный администратор никогда не заботился о проверке надежности паролей.

Я схожу с ума, когда узнаю, что системные администраторы не обучают своих пользователей. Слишком часто при установке систем и формировании учетных записей пользователям не объясняют важность правильного выбора и правила обращения с паролем. Также довольно распространенным среди системных администраторов является отсутствие привычки тестировать пароли. Иногда у них действительно на это нет времени. Но во многих случаях они просто не знают, как это делать, и боятся или затрудняются спросить об этом.

Кстати, на проблему ненадежности паролей было указано в отчете по аудиту прошлого года. И в отличие от некоторых других проблем, указанных в отчете, проблема паролей могла быть решена с минимальными усилиями. Мне кажется, что никто так и не смог сделать эти усилия.

Тому, кто проводил аудит в прошлом году, должно быть стыдно за то, что в отчете не указывается, сколько ненадежных паролей было обнаружено. Мне трудно поверить, что положение с ними было хуже, чем в этом году. К тому времени, как Crack завершил свою работу, им было взломано целых 190 паролей в системе с 520 пользователями. Почти каждый второй пользователь имел ненадежный пароль. При таком соотношении лучше было бы отказаться от паролей вообще. Почему бы просто не транслировать пароли по National Public Radio, чтобы напоминать их любому служащему, который позабыл свое второе имя или день рождения?!

Как дальше выяснилось, ненадежные пароли были лишь вершиной айсберга, угрожающего безопасности сети ISD. Главные проблемы, по-видимому, были сосредоточены в одной области: в области рисков безопасности, вызываемых самими людьми. Чтобы полностью выявить эти проблемы, я приступила к беседе с сотрудниками.

Для определения нарушений связей между сотрудниками я начала с верхнего уровня руководства и пошла сверху вниз. На своем пути я сделала ряд блестящих открытий.

• Руководство высшего уровня никогда не требовало и не получало отчетов о том, делаются ли какие-либо изменения в сети, повышающие ее безопасность.

• Руководители просто считали, что проблемы безопасности будут решены только потому, что они об этом сказали.

• Отдел системных администраторов был неукомплектован, и его сотрудникам не хватало времени на решение этих проблем в системах.

• Все рабочее время системных администраторов было занято подключением новых пользователей и поддержкой работы в сети систем компании. Если бы они захотели заняться решением этих проблем, у них бы просто не хватило времени.