Текст книги "IT-безопасность: стоит ли рисковать корпорацией?"

Автор книги: Линда Маккарти

сообщить о нарушении

Текущая страница: 9 (всего у книги 22 страниц)

Первый контакт: Тестирование безопасности

Несколько лет назад отдел внутреннего аудита InterMint Financial нанял меня для тестирования безопасности в офисе их компании. Работа по контракту с отделом внутреннего аудита компании является обычным делом. В состав отделов внутреннего аудита, как правило, не входят эксперты по безопасности. Поэтому эти отделы заключают контракты на выполнение работ по вопросам безопасности с экспертами, которые затем представляют отчет о рисках. В данном случае отдел аудита попросил меня взглянуть на их корпоративную сеть и представить отчет по найденным рискам.

В отличие от большинства проводимых мной аудитов, этот не был вызван какой-либо возникшей проблемой. Руководители компании хотели только убедиться в том, что уровень риска в их корпоративной сети был низким. Вначале аудит показался глотком свежего воздуха. Компания хочет провести аудит не потому, что ей нужно реагировать на возникшую проблему, а только потому, что ей нужно убедиться в отсутствии скрытых проблем!

День 1-й: Сбор фактов

Я начала этот аудит, как и большинство других, с просмотра сетевой схемы, чтобы понять конфигурацию сети и возможные риски. Мне нравится проводить аудит корпоративных сетей, потому что это одно из мест, в которых хакер будет искать секреты компании. Мне заплатили за то, чтобы я вычерпала всю грязь. Для этого нужно было думать как хакер. Так как я проводила аудит не сети разработчиков, то я не стала искать коды программ или результаты исследований. Вместо них я искала стратегическую информацию высшего уровня. Я делала то, что мог делать конкурент, притворившийся сотрудником компании. Я искала легкий доступ к административным системам, хранящим стратегическую информацию компании или даже личные сведения о руководителях. Так как конкуренты могут иметь такие намерения и имеют их, то системы генерального директора, директора по информационным технологиям и финансового директора нужно всегда считать потенциальными целями взлома. Для недопущения хакера к этим зонам и снижения риска должны быть приняты дополнительные меры предосторожности при установке систем и проводиться профилактический аудит.

В первый раз, когда со мной говорил руководитель внутреннего аудита Рэндалл Миллен, он подчеркнул, что хочет от меня проведения аудита безопасности с целью лишь подтвердить отсутствие риска. Мой аудит, однако, был первым случаем, когда отдел внутреннего аудита проверял безопасность корпоративной сети, поэтому я была уверена, что риск будет обнаружен. Данная компания не поразила меня особой расслабленностью в вопросах безопасности. Компании, не проводящие аудита безопасности своих сетей, не могут иметь доказательств их безопасности. Они лишь предполагают, что сети безопасны. По моему опыту, такое предположение само по себе является одним из главных рисков.

Я продолжила изучение сетевой схемы и типов хранящейся в сетях информации. Я обнаружила много аппетитных вещей. Они начинались с того, что вся административная информация хранилась в сети. Для получения призовых очков тем не менее имелись системы юридического и финансового отделов и отдела охраны компании, которые обещали улов соблазнительной конфиденциальной информации. Я запланировала систематически нападать на каждую систему в этих группах, фокусируясь на самой вкусной конфиденциальной информации. Характер этой информации обеспечивал в случае успешного взлома систем вполне понятное изумление.

Интересной особенностью сетевой схемы было то, что информация отделов хранилась в разных сетях, обслуживаемых разными сотрудниками. Административные системы контролировались Хосе Гарсией, юридические системы – Дон Форбс, финансовые системы – Кендзи Абэ, операционный зал – Смитой Кумар, а охрана компании – Тией Фэрчайлд. Такая структура обслуживания уже добавляла риск в общую картину. Она также увеличивала вероятность плохой обученности или плохих процедур у множества системных администраторов, отвечающих за сеть. Я понимаю, что одному системному администратору невозможно тщательно обслуживать тысячи машин, и поэтому компании обычно имеют более одного сотрудника на этом участке. Но чем больше людей занимаются одним делом, тем выше становится общий риск и, конечно, больше возможностей появляется у предприимчивого хакера. Не делайте такой ошибки. Хакеры знают о вероятности риска, связанного с чрезмерным количеством обслуживающего персонала. То, о чем они мечтают, – это толпы системных администраторов, мало знающих, как обеспечивать безопасность наиболее важных систем.

День 2-й: Тестирование систем

После моих первоначальных исследований я решила, что в этом аудите требуется тест на проникновение. Были три причины для такого тестирования. Во-первых, руководитель аудита не знал, какой риск имеется (и есть ли он вообще) в сети. Это говорило мне о том, что руководство ничего не знает о состоянии безопасности. Они, скорее всего, думают, что все в порядке, так как никто не говорил им другого. Было ясно, что это случай, когда я была должна доказать руководству возможность взлома их систем. Во-вторых, я считала, что из-за характера содержащейся в них информации эти системы будет просто интересно взламывать. Последней причиной было то, что я хотела поиграть с моими новыми игрушками. Брэд Пауэлл, давно известный в наших кругах эксперт по безопасности, только что передал мне несколько отличных новых инструментов взлома.

Как и хакеры, профессионалы по вопросам безопасности часто передают друг другу новые инструменты для взлома систем. Конечно, вы должны входить в наш закрытый круг, чтобы получить их. Это является частью нашего кодекса чести. В любом случае я уже попробовала эти инструменты в своей сети, и они работали чудесно. Теперь мне представилась возможность применить их в «реальном мире».

Я начала аудит с зондирования информации в административных системах, а затем запустила свои обычные тесты на дыры. (В общем, я делала то же, что делал бы хакер.) К удивлению, я обнаружила, что административная система довольно крепка. Хосе, очевидно, знал свое дело и потратил время на обеспечение защиты систем. Несомненно, он был хорошо обучен и знал точно, что ему делать для поддержки его административных машин. Разумеется, некоторые из экспертов по безопасности стали бы спорить и хвастаться, что они могут забраться в любую машину. Тем не менее во время моего теста на проникновение я проверила все уязвимые места. Если после проведения всех запланированных мной тестов я не смогла проникнуть в систему, то это значит, что система тест прошла. А системы Хосе прошли через мои тесты победным маршем.

Продолжая работать на административных системах, я попросила Хосе создать мне учетную запись. Я также дала ему понять, что он хорошо поработал. Системные администраторы редко слышат такое от аудиторов безопасности, и улыбка Хосе подтвердила, что он оценил мои слова.

Я вошла в одну из систем Хосе и поискала ошибки в базовой системе файлов и настройках. Такие ошибки не могут быть обнаружены вне сети – ими являются избыточность в разрешении доступа к файлам, наличие неактивных учетных записей и программы setuid (set user ID – установка идентификатора пользователя). В общем, система выглядела хорошо. Еще оставалась возможность кое-что усовершенствовать, но ничего такого, что я могла бы указать в отчете. После выхода из системы я сообщила Хосе, что ему можно было бы ужесточить разрешения на доступ к файлам в большинстве своих систем. Короче говоря, он проделал блестящую работу. И я собиралась сказать начальству: «Этот парень – звезда!»

Коллеги Хосе вовсе не заслуживали такой же оценки. Юридические системы были поразительно уязвимыми. Мне хватило нескольких минут, чтобы получить контроль над первой системой. Я без усилий прошлась по системам всех юристов компании. Очевидно, Дон имела совершенно другой подход к установке и обслуживанию систем. Выглядело так, как если бы Дон (или ее начальник) считали юридические системы не столь важными, чтобы их защищать или контролировать. Несомненно, юристы InterMint испугаются, это узнав.

Я обнаружила, что юридические системы открыты настежь. Либо Дон не имела времени или желания настроить безопасность, либо она не знала, как это делать. Контроль и наблюдение также не работали – никто не заметил, как я перепрыгивала из одной системы в другую, выискивая все их юридические секреты. Я уверена, что конкурентам очень бы хотелось взглянуть на некоторые отрывки из информации, по которой я прошлась. Я набрала достаточно свидетельств (по доступу к файлам ограниченного пользования и юридическим документам), чтобы обеспечить юридический отдел ночными кошмарами, и перешла на финансовые системы.

Системы Кендзи были защищены не лучше, чем системы Дон. Через несколько минут я имела доступ к первой системе в финансовой сети. Еще через несколько минут я получила контроль над всеми финансовыми системами. Может быть, в этой компании юридическая и финансовая информация считается не столь важной, чтобы ее защищать? Или Кендзи и Дон просто бестолковы? Моим предположением было то, что руководство не понимает вопросов безопасности и риск для своей информации. Оно никогда серьезно не смотрело на меры защиты информации в своей сети. Если бы руководство поняло, что вся их информация в сети доступна любому, то, я уверена, их бы расстроила мысль о том, что кроме штатных сотрудников во внутренней сети могут законно присутствовать и другие. Подрядчики, клиенты, консультанты, временные сотрудники, надомные работники – выбор большой. В зависимости от вида бизнеса и степени развития компании список может быть еще длиннее.

Состояние систем Смиты было еще хуже. Я смогла получить полный контроль и доступ к информации в ее системах так же, как и в двух ранее тестируемых сетях. Но действительно пугало то, что я смогла бы сменить пароль, хранящийся в PROM[31]31
  Programmable Read-Only Memory – программируемое ПЗУ. – Примеч. пер.


[Закрыть] аппаратной части, и обрушить систему. Смита лишилась бы доступа к ее системам до тех пор, пока я не сообщила бы ей новый пароль, иначе ей пришлось бы менять PROM в аппаратуре. С небольшими творческими способностями (и еще с меньшими моральными устоями) хакер мог бы захватить власть над всем операционным залом и перевести несколько миллионов долларов на оффшорный счет. Чтобы разориться за неделю, такой компании нужно потерять несколько миллиардов долларов, поэтому что для них значат несколько миллионов при таком богатстве?

Теперь меня стала беспокоить легкость, с какой можно было взломать системы фирмы. Конечно, последняя группа (системы отдела охраны компании) должна была опровергнуть мое мнение. Уж над этими-то системами должен осуществляться тщательный контроль. Не так ли?

А вот и нет! Тию, должно быть, учили «защищать» свою сеть Дон, Кендзи или Смита! Снова я, никем не замеченная, получила полный контроль над системами. Некоторая полученная мной информация была действительно аппетитной. Среди всего прочего я смогла добраться до файлов с подробной информацией по ведущимся расследованиям. Представьте себе, что вы мошенник, по которому ведется расследование в компании. Имея самый малый опыт взлома, вы сможете получить всю информацию по расследованию, проводящемуся против вас. Убрать немного информации здесь, изменить немного информации там, и вот – никаких вопросов к вам от отдела охраны! Расследование закрыто.

Я набрала достаточно фактов, чтобы закончить в аудите раздел тестирования. К тому же я чувствовала, что вволю начиталась конфиденциальной информации за этот день. Как большинство профессионалов в вопросах безопасности, меня беспокоила, главным образом, защищенность сетей. В данном случае очень беспокоила. Такая большая сеть и с таким чрезвычайным уровнем риска вызывала у меня подавленность. Так как эта корпоративная сеть существовала уже пять лет, то, скорее всего, такой уровень риска присутствовал все это время.

Многие думают, что аудиторы безопасности наслаждаются, обнаруживая неряшливое отношение к безопасности и риск в системах, и видят в этом смысл своего существования. По правде сказать, иногда меня захватывает возможность взламывать одну систему за другой. Как бы то ни было, в этот день у меня было более чем достаточно «прав на существование».

Я собрала материал и отправилась в суши-бар (Хигаши-Вест). Повара Ричард, Крейг и Гарт всегда встречали меня там с улыбкой в конце тяжелого дня, Наградой мне будет лучшее суши в Пало-Альто. Немного суши, немного участия и подбадривающая беседа позволят мне забыть о депрессивном состоянии безопасности в корпоративных сетях. Так и случилось.

День 3-й: Обучение безопасности оставлено за рамками бюджета

Не успела я забыться, как зазвонил будильник. Было 4.30 утра – как раз есть время, чтобы пробежаться перед работой. В сонном состоянии я пошла на зарядку. Подсознательно я все равно прикидывала мой дневной план по завершению аудита в InterMint.

После пробежки я отправилась в InterMint и встретилась в холле с руководителем аудита Рэндаллом Милленом. Он выписал мне пропуск на этот день и определил время беседы с системными администраторами.

Я не распространялась Рэндаллу о моих находках, Я просто сказала, что нашла некоторые любопытные вещи, о которых сообщу позднее. Мне не хотелось слишком рано говорить о них. По взгляду Рэндалла я поняла, что он доволен моей работой. Но он еще не знал, что эта работа заставит его понять риск, увеличить финансирование и, что важнее остального, обеспечить обучение.

Еще раньше мое чутье подсказывало о существовании здесь проблем с обучением. Я знала, на что похожа «окопная» работа системного администратора. Во многих компаниях обучение является роскошью. Кроме того, что они должны быть быстрыми, сообразительными и способными справиться с любой неисправностью, системные администраторы считаются всезнайками, выведенными в пробирке, унаследовавшими хорошую карму или полученными с помощью другого метода, но только не в результате хорошего обучения. Администраторы, не вписывающиеся в такие рамки, будут съедены в сыром виде – совсем как суши.

Я побеседовала с каждым из системных администраторов отдельно, чтобы узнать их мнение о том, почему административная сеть защищена, а другие системы широко открыты. Чтобы сразу узнать больше, я начала с системного администратора, обслуживающего административные системы. Хосе хорошо знал свою работу, и я хотела узнать, как он смог этому научиться и почему другие этого не смогли сделать. Беседуя с Хосе, я обнаружила, что он очень много знает. Он был доброжелателен, и с ним легко было говорить. Он понимал всю важность административных систем. Как я уже говорила, система генерального директора была взломана, когда Хосе только начал работать. Он быстро выяснил, где и какой недостаток имеется в системе. После этого случая в компании усилили контроль над безопасностью, а Хосе прошел полный курс обучения по поддержанию безопасности в сети. Я спросила его, что он думает о состоянии безопасности остальных систем компании. Он не мог на это ответить, но сказал, что сомневается в хорошем состоянии безопасности, так как никто из других системных администраторов не был обучен ее поддержке. Он также деликатно заметил, что сомневается в способности коллег сделать свои системы безопасными.

Опрос остальных системных администраторов подтвердил подозрения Хосе. Ни один из них не был обучен поддержанию безопасности. С Тией даже не проводилось базового обучения как системного администратора целых шесть месяцев с момента ее поступления на работу! Для таких, как Тия, это большая проблема, так как она никогда раньше не занималась поддержкой платформ UNIX. Ее успех в настройке безопасности систем зависел от того, как она будет обучена одним из других системных администраторов. А так как другие системные администраторы не знали, как безопасность настроить, то и Тия не могла ничему от них научиться.

Дон, Кендзи, Смиту и Тию с Хосе объединяло то, что все они были очень умными людьми. У всех был опыт программирования, а Тия и Кендзи даже имели ученые степени по вычислительной технике. В нашей среде необразованных людей не встретишь. Просто их заталкивают на должности персонала технической поддержки, как это обычно случается с системными администраторами, и говорят, чтобы они учились в процессе работы.

Метод «плыви или тони» в области обеспечения безопасности редко срабатывает. Вы не сможете научиться защите систем на своем рабочем месте, если рядом с вами никто этим не занимается. Нужно создавать хорошо налаженную практику обучения. По меньшей мере, тот, кто уже обучен, как, например, Хосе, должен передать имеющиеся у него приемы и знания остальным сотрудникам. А именно приемы, как настроить общую безопасность, и знание того, почему некоторым системам необходимо обеспечивать повышенный уровень безопасности. В идеале остальные сотрудники тоже должны были бы пройти курс профессионального обучения безопасности, чтобы научиться настраивать и поддерживать сети, не допуская взлома.

Подобная ситуация сложилась по двум причинам. Во-первых, руководство обязано было обеспечить необходимое обучение. Оно не думало о проблемах безопасности в полной мере. Вместе с тем руководители не могут читать чужие мысли. Дон, Кендзи, Смита и Тия должны были указать на пробел в безопасности и попросить, чтобы им обеспечили необходимое обучение. Они этого не сделали.

По этому аудиту у меня было собрано достаточно информации. Я потратила несколько дней на составление отчета. Иногда на его составление уходит столько же времени, как и на само проведение аудита. Важно показать риски и рекомендуемые решения так, чтобы они были понятны руководству и вызывали у него стремление к действиям. На это нужно время. Некоторые аудиторы используют стандартный шаблон для всех своих аудитов и заполняют эту заготовку стандартными словами, описывая обнаруженные проблемы и рекомендации по их решению. Таким людям нужно менять профессию. Компании платят им не за стандартный набор проблем и решений. Компаниям нужно, чтобы эти специалисты ориентировались на определение рисков в их среде и на то, как в их среде эти проблемы устранить.

Написав такой ориентированный на их среду отчет, я передала мой труд нанявшему меня руководителю внутреннего аудита. Рэндаллу, в общем, он понравился. Ему не понравились мои находки, но он понял риски и узнал, что надо сделать для решения проблем. С отчетом в руках Рэндалл направился к своему начальству. Моя работа была на этом закончена.

Резюме: Обеспечьте финансирование обучения

Обучение является клеем, скрепляющим все части программы обеспечения безопасности. Это довольно дешевый клей. К сожалению, руководители часто забывают сравнить стоимость обучения безопасности со стоимостью «уборки» после большого инцидента. Исследование, проведенное в Британии группой Price Waterhouse Coopers, показало, что 44 процента фирм, участвующих в исследовании, пострадали от атак в 2001 году и стоимость восстановительных работ составила в среднем 30 000 долларов. Для сравнения – 70 процентов тех же самых фирм потратили меньше одного процента из своих бюджетов на безопасность.[32]32
  Очевидно, автор имеет в виду расходы на обучение. – Примеч. пер.


[Закрыть] Американские фирмы не намного больше потратили на обучение по вопросам безопасности. Эти расходы лишь капля в ведре по сравнению с тем, что необходимо затратить, чтобы остановить волну компьютерной преступности, годовой доход которой оценивался в 1999 году уже в 10 миллиардов.

Компьютерные преступления и атаки на безопасность систем достигли уровня, на котором подвергаются риску здоровье экономики и благополучие целых наций.

Если в вашей компании нет надлежащих программ обучения, то вы сами можете стать частью национального риска. По крайней мере, не обеспечив простого обучения мерам безопасности системных администраторов, вы можете подвергнуть риску вашу компанию. Должны иметься четкие указания по обучению системных администраторов тому, как настраивать системы и как выполнять политики и процедуры. Еще важнее, чтобы кто-то отвечал за полное прохождение учебных программ всеми сотрудниками.

Другой вариант – это отправка сотрудников на обучение во внешние организации. Если ваша компания выберет такой вариант, то убедитесь в том, что средств в бюджете на это выделено достаточно. Слишком часто статья бюджета на обучение первой попадает под топор сокращения расходов. Такое сокращение влечет за собой увеличение риска. Экономия денег на обучении может улучшить баланс в текущем квартале. Но расходы резко возрастут, если информация в вашей сети будет уничтожена.

Кроме всего, поймите, как важно иметь обученных сотрудников. Скотт Рамси (Scott Ramsey), национальный директор служб информационной безопасности фирмы Ernst & Young, говорит: «Организации внедряют технологии, позволяющие им обходиться меньшим числом людей. Но их руководство часто не находит времени или денег для обучения людей тому, как эти технологии использовать или защищать». Системные администраторы не рождаются со знаниями в области безопасности. Большинство из них нужно научить настраивать безопасность.

Также нужно помнить, что обучение – процесс непрерывный. Как невозможно научиться всему на рабочем месте, так же невозможно все узнать на недельных курсах. Сделайте непрерывное обучение частью стандартной поддержки самих сотрудников.

И наконец, постройте четкую цепь управления. Конечно, вы не хотите сокращать свой обслуживающий персонал. Но когда для корпоративной сети требуется много системных администраторов, то нужно, чтобы решения по вопросам безопасности и политикам доходили до каждого системного администратора. Если каждый из них будет устанавливать политики и процедуры независимо, то риск ошибки возрастет пропорционально численности персонала.