IT-безопасность: стоит ли рисковать корпорацией? [Линда Маккарти] (fb2) читать онлайн

[Настройки текста] [Cбросить фильтры]
[Оглавление]

Линда Маккарти IT-безопасность: стоит ли рисковать корпорацией?

Предисловие

Поймите сразу — эта книга не похожа на большинство других купленных вами книг по вопросам безопасности. В ней вы не найдете мрачных подробностей о слабых местах в серверах и списки IP-портов, используемых для проникновения в них. Нет в ней также и листингов исходных кодов вирусных программ с комментариями. Автор не включил в книгу каталог скриптов для взлома и лист подписки на веб-сайты, откуда вы могли бы их «скачать». Здесь нет трагических (и повторяющихся) рассказов от первого лица о том, как легко одурачить людей, раскрывая их пароли. Так что если вы надеетесь, что все это есть в книге, то лучше отложить ее в сторону.

Но… я предупреждаю вас, что вы отказываетесь от книги, в которой обсуждаются реальные проблемы реальной безопасности и даются основательные и запоминающиеся уроки — некоторые из них я настоятельно рекомендую усвоить любому, кто работает с компьютерами.

Только подумайте — примерно в течение года после отправки этой книги в печать объем электронной коммерции в Интернете перевалил отметку в один триллион долларов в год. Коммерческого использования сетей практически не было до 1993 года, поэтому такие темпы роста являются невероятными. Но даже глядя на эти цифры, мы все равно не сможем себе представить, что это только начало, — ведь «подключена» сейчас только частичка населения планеты, и только частичка делового мира начала принимать участие в онлайновой коммерции по схеме «бизнес-бизнес».^[1]

Многие слышали о законе (Гордона) Мура, впервые сформулированном в 1965 году и предсказывавшем, что производительность процессоров будет удваиваться каждые 18 месяцев. Действительность подтвердила это предположение, и ожидается, что оно будет продолжать действовать, по меньшей мере, еще одно десятилетие. Подобный рост наблюдался и в использовании вторичной памяти, вследствие чего емкость онлайновых систем за последние несколько лет удваивалась приблизительно каждые 14 месяцев. Также был виден впечатляющий рост пропускной способности линий связи, вызванный непрерывным распространением оптоволоконных беспроводных технологий. Стоимость всех этих товаров широкого потребления (а они действительно таковыми стали) упала после того, как увеличился их общий объем.

Являясь как причиной, так и следствием роста инфраструктуры информационных технологий, критически важная информация размещается в сетях во все возрастающих объемах. Банки, брокерские фирмы, аудиторские и финансовые компании всех видов применяют для ведения своего бизнеса компьютеры и сети. Федеральное правительство и администрация штатов не могут работать без компьютеров. Критически важные инфраструктуры, включая энергетику и транспорт, зависят от датчиков и исполнительных механизмов, подключенных по сетевой схеме. Правоохранительные органы и вооруженные силы опираются на информационные технологии при хранении своей информации и технической поддержке выполнения своих задач. Документация учреждений здравоохранения, медицинская справочная система, системы врачебной диагностики все больше обрастают компьютерами. В онлайновую среду помещается также интеллектуальная собственность, которая приводит в движение огромные пласты нашей коммерции. Проекты чипов, новые программы, лекарственные формулы, сведения о разработке нефтяных месторождений, музыкальные и литературные произведения, кинофильмы и прочее — все это может быть украдено, изменено и уничтожено. Бесспорно, каждый коммерческий сектор имеет свой жизненно важный компонент в киберпространстве (или вскоре будет иметь).

Теперь вспомним изречение, приписываемое знаменитому грабителю банков Вилли Саттону. Когда его спросили, зачем он грабит банки, он искренне ответил: «Потому что в них есть деньги». Как вы думаете, на что будут нацеливаться знаменитые преступники будущего? Террористы? Радикальные активисты, вандалы и анархисты? Смело посмотрим в лицо действительности — самым привлекательным объектом всех видов атак станут информационные технологии. И это будущее уже наступило. Годовые потери от вирусов, взломов и онлайновых фальсификаций уже оцениваются во многие десятки миллионов долларов.

Широкое распространение такие потери получили вследствие хронической нехватки нужной информации, средств защиты и подготовленного персонала, которая усиливается плохим знанием законов рынка массовой продукции. Типичные онлайновые системы создаются на базе программного обеспечения, не предполагающего наличия средств защиты и ориентированного на совместимость со старым, еще менее безопасным программным обеспечением. Такие программы писались людьми, не имеющими представлений о защите, их тестирование сводилось к минимуму, и это программное обеспечение выпускалось к установленным срокам начала его продажи, невзирая на остающиеся в нем ошибки. Эти же самые системы затем покупались людьми, не имеющими знаний в области безопасности, устанавливались как расширение незащищенной программной базы и использовались в режиме обхода средств защиты, так как они мешали онлайновой деятельности. Слишком часто руководители полагались на услуги и программы, написанные доморощенными специалистами, чей опыт основывался на «скачивании» и запуске подготовленных другими инструментов взлома. Поэтому неудивительно, что происходит так много компьютерных инцидентов. Удивительно другое — почему их так мало!

Еще не так давно, в 1980-х годах, информационная безопасность была диковинной и закрытой областью вычислительной техники, сравниваемой с такими новинками, как компьютерная графика, сетевые технологии и искусственный интеллект. Я помню, что в то время было лишь несколько книг по информационной безопасности (не считая книг по криптографии), доступных широкому кругу компьютерных пользователей. Идея безопасности тогда еще не окрепла, так как широкий пользователь пока не сталкивался с какими-либо реальными угрозами в сфере информационных технологи!!. Интернет и компьютерное обслуживание торговли в корне изменили динамику этого процесса! И вот уже выпущены сотни книг по вопросам безопасности. Но из всего этого обилия лишь некоторые книги заслуживают внимания, остальные же содержат переработку более глубоких исследований, простое перечисление уязвимых мест (которое становится непригодным через пару месяцев) и информацию о том, как наложить дополнительные «заплаты» на прохудившуюся инфраструктуру.

На этом фоне выделяются немногие эксперты, действительно понимающие «общую картину» информационной безопасности. Линда Маккарти является одним из таких экспертов, и внимательное чтение данной книги покажет вам, почему ее первое издание находится на полках большинства преподавателей и практиков. Вместо того чтобы давать готовые решения для временных «заплат», Линда использует свой опыт аудитора безопасности, консультанта, менеджера, разработчика, преподавателя и руководителя для определения и демонстрации скрытых структур и взаимоотношений, которые являются движущими силами планирования и осуществления мер безопасности. Она знает, что компьютерная безопасность зависит главным образом не от самих компьютеров, а от людей, которые покупают, устанавливают и эксплуатируют эти компьютеры. Необходимо знать экономическую, психологическую, правовую и деловую стороны практики применения компьютеров, которые определяют реальную обстановку безопасности, Дополняя заголовок, придуманный Линдой для этой книги, можно сказать о том, что он подчеркивает главное в обеспечении безопасности; роль высших руководителей корпораций, С такого высокого уровня обеспечение информационной безопасности видится как нечто большее, чем борьба «системного администратора с хакером» — оно становится функцией по поддержанию живучести всего предприятия. Как показывает текст книги, выполнение обязанностей по обеспечению безопасности и выполнению политик должно начинаться с самого верха и заключаться в предупреждении проблем, а не в реагировании на них. Руководство должно проявлять постоянную заботу о безопасности, опираться на имеющиеся ресурсы, и ему вовсе не обязательно знать, как работает сканер уязвимых мест в защите.

По мере того как мы продвигаемся по веку информации, в котором защита информации становится все более важной, мы должны понять, почему в этих обоих терминах применяется слово «информация», а не «компьютер». Это связано с тем, что мы расширяем наши знания о защите наших информационных ресурсов независимо от их местонахождения.

Главное место в нашем мышлении должны занимать не конкретный компьютер или версия операционной системы, а структуры, образующие основу для их функционирования, — социальная, экономическая и правовая. Нам всем нужно понять, что информационная безопасность не представляла бы проблемы, если бы она не была ради людей, а технологии сами по себе не смогли бы решить вопросов, которые люди ставят перед безопасностью. Технологии, несомненно, важны, но они не единственный и даже не самый главный компонент. Линда познавала эти главные истины годами и использовала их в своей карьере. Почти каждый сможет извлечь для себя что-нибудь ценное из ее опыта, прекрасно обобщенного и иллюстрированного в последующих главах.

Первое издание этой книги не являлось единственным источником для моих рассуждении о глубинах информационной безопасности. И все же его я часто рекомендовал студентам и коллегам, желающим углубить свои знания о безопасности, и они находили эту книгу поучительной. Это еще одно ее отличие от толстых книг, в которых перечисляются вебсайты с хакерскими инструментами и дается сомнительный совет: «Эта книга в корне изменит ваше представление о безопасности». Если вы ищете одну из таких книг по безопасности, то мой совет будет заключаться в том, чтобы вы не откладывали эту книгу в сторону… по крайней мере, пока ее не прочитаете.

Юджин X. Спаффорд.

Декабрь 2002 года

Благодарности

Я выражаю особую признательность моему редактору Денизе Уэлдон-Сиви. Мне никогда бы не удалось закончить книгу без нее. Ее идеи, вдохновение и энтузиазм придали особую окраску этой книге. Рэндалл Миллен воодушевил меня на написание первой страницы и оказывал мне постоянную поддержку.

Я также глубоко благодарна моему издателю и его персоналу, включая Рэйчел Борден из Sun Microsystems Press, Джона Бортнера из SunSoft marketing и редактора Грега Дунча из Prentice Hall. Я благодарю их за поддержку и работу по координации деталей, оставшихся за сценой.

Дэн Дж. Лэнджин написал раздел «Юридические обязанности по защите информации и сетей» для 11-й главы.

Конечно, я должна также поблагодарить моего прежнего работодателя Sun Microsystems. Особую благодарность я испытываю к техническому директору Sun Эрику Шмидту, за создание обстановки, в которой поощрялись творчество и тяга к знаниям. Среди его сотрудников я особо хочу поблагодарить Хамфри Поланена.

Многие из экспертов по компьютерной безопасности отдавали мне свое время и делились ценной информацией, чтобы научить меня хитростям своей профессии. Мне бы хотелось сказать спасибо Мэтью Арчибальду, Касперу Дику, Дэну Фармеру, Алеку Маффетту, Брэду Пауэллу и Маркусу Рануму.

Специалисты из других областей также нашли для меня время в своей занятой жизни, чтобы сделать общие замечания, предложения и оказать поддержку. Этими щедрыми людьми, в алфавитном порядке, являются: Диана Браунинг, доктор Том Хафкеншил, Сьюзен Ларсен, Джон Маккарти, Тим Мерфи, Мишель Парри, Ричард Пауэр, Боб Шотвелл, Стив Смаха, Джин Спаффорд, Кейт Уотсон и Дебора Ярборо.

Наконец, я хочу выразить признательность всем моим друзьям и семье за неиссякаемые вдохновение и поддержку.

Спасибо!

Об авторе

Линда Энн Маккарти является признанным авторитетом в области технологий безопасности, а также писателем и «глашатаем» данной отрасли. Кроме того, Маккарти — руководитель службы консультантов по вопросам безопасности отдела технического директора в Symantec Corporation. Совсем недавно Маккарти занимала пост вице-президента по системным разработкам в Recourse Technologies, компании по разработке программ для обнаружения, поимки и отслеживания хакеров.

До этого Маккарти была старшим вице-президентом в NETSEC, компании, предоставляющей услуги по управляемому обнаружению вторжения и реагированию на него. Еще раньше она работала менеджером по исследованиям и разработкам в области безопасности в Sun Microsystems и была основателем Network Defense Fund.

По просьбе руководителей компаний Маккарти взламывала системы в их корпоративных сетях и показывала, как легко можно получить доступ к секретам компании, обрушить промышленные системы и даже вызвать катастрофу в их глобальных операциях. Вместо этого она направляла свои знания на обучение менеджеров тому, как избегать подобных бедствий.

Линда вела несколько учебных курсов в Sun Microsystems по архитектуре аппаратных средств, системному администрированию и безопасности UNIX.

Введение

Век массового подключения очень агрессивен. Поток свободно перемещающейся во всех направлениях информации и электронная коммерция, вышибающая все новые двери, больше не позволяют нам обходиться в сетевой защите одним только хорошим брандмауэром при подключении к Интернету.

Я затратила много времени, проводя аудиты безопасности распределенных сетей. Во многих случаях я обнаруживала, что информация могла быть легко изменена, украдена или уничтожена и при этом не оставалось бы следов произошедшего инцидента. Системные администраторы и другие «полномочные представители» знали, что настройка защиты их систем не была проведена. Но они не знали, каким высоким оставался при этом уровень риска. Также не знали об этих рисках и руководители компаний.

Эта книга научит вас, как избежать их ошибок. Если вы являетесь руководителем высшего уровня, менеджером, системным администратором или любым другим сотрудником, отвечающим за безопасность сети, то вы должны занять активную позицию в этом вопросе.

Не делайте тех же ошибок, что и эти люди. Это может вам стоить вашей компании.

Об этой книге

То, что вы собираетесь прочитать, не является плодом моего воображения. Здесь собраны описания реальных аудитов. Каждая глава посвящена отдельному аудиту, который я проводила в реальной, живой, функционирующей компании. Если бы я использовала действительные названия компаний, то вы, вероятно, узнали бы среди них своих партнеров по бизнесу.

Конечно, я не использовала действительных названий компаний, имен сотрудников или других участников событий по очевидным юридическим и этическим причинам. Но я привела здесь реальные факты, касающиеся риска и моего подхода к аудиту в каждом конкретном случае.

Читайте внимательно, особенно если вы являетесь руководителем верхнего уровня, линейным менеджером, системным администратором, юристом или профессиональным представителем правоохранительных органов. Описываемые риски являются рисками, которые вы должны себе представлять.

В любом случае реальные риски кроются не только внутри операционных систем. Серьезные риски скрываются в способах установки систем, проведения настройки, технической поддержки и управления. Именно эти факторы главным образом определяют риск для вашей компании.

Указывая на эти риски, я надеюсь, что люди, отвечающие за информацию в сетях, начнут занимать активную и вдумчивую позицию в обеспечении безопасности.

Как устроена эта книга

Хотя все описываемые аудиты являются реальными, я начинаю каждую главу с выдуманной истории, рассказанной от первого лица. Работая в различных компаниях, я начала понимать, что большинство людей станут воспринимать безопасность серьезно только тогда, когда что-либо произойдет с их системами, их информацией и их компанией, — это одна из причин, по которой детское «Я» остается в людях на всю жизнь. Я ввожу читателя в каждую из этих историй для передачи ощущения того, что это может случиться с вашей информацией и с вашей компанией.

В следующем разделе каждой главы описываются действительные риски для безопасности, которые я обнаружила при проведении аудита. В этом разделе также объясняется происхождение этих рисков. Это ведь не происходит так, что не успели вы проснуться утром, как узнали, что защита вашей сети в самовольной отлучке. Бреши в защите обычно образуются по недосмотру или из-за плохого планирования в течение длительного времени. В этом разделе объясняется, каким образом можно дойти до такого состояния.

В последнем разделе каждой главы «Мы пойдем другой дорогой…» вам будет, главным образом, рассказано о том, как избежать подобных проблем. Я надеюсь, что вы прочитаете эти разделы внимательно и близко к сердцу воспримете мои рекомендации.

О хакерах

На протяжении всей книги я использую термин «хакер», чтобы обозначить того, кто получает неавторизованный доступ к системам и информации. Некоторые специалисты используют для этого термин «кракер» (cracker), замечая при этом, что некоторым программистам нравится называть себя «хакерами», в то время как они являются в действительности составителями программ высшей квалификации и не склонны к преступной деятельности. Я все же решила использовать термин «хакер», так как он более распространен за пределами круга экспертов по безопасности, и любому выбравшему эту книгу он будет понятен.

Я присвоила «хакеру» мужской пол, и, хотя им может быть и женщина, я не хотела надоедать, часто употребляя оборот «он или она».

Наконец, эта книга о хакерах, но не для них. Если вы являетесь начинающим хакером (wanna-be), то вам не удастся в этой книге научиться взлому систем. Вам лучше поставить книгу обратно на полку.

Глава 1 Отражение атак

Обнаружение, изоляция и устранение инцидентов во многом напоминают обезвреживание взрывных устройств — чем быстрее и лучше вы это проделаете, тем меньший урон нанесет инцидент, связанный с безопасностью системы.

Джин Шульц, главный инженер

Наступил субботний вечер. Сеть вашей компании была прекрасно спроектирована, отлично работала и еще лучше обслуживалась. Группа по обеспечению безопасности бьла хорошо обучена, а политики и процедуры поддержания безопасности отражены в инструкциях. Но, стремясь поскорее написать эти инструкции (с тем чтобы получить большую премию), вы забыли внести в них процедуру реагирования на инциденты. И пока вы поздравляли себя с отлично проделанной работой, хакер проник в самое чувствительное место системы.

Что делать теперь? Судьба хранящейся в системе информации зависит от того, как быстро вы сможете ответить на этот вопрос (если только на него есть ответ). Сотрудники компании ждут указаний, что им делать, как и когда. Им также нужно знать, к кому обращаться при обнаружении взлома. Иначе ситуация может быстро выйти из-под контроля. Эскалация ответных усилий особенно важна, если масштабы вторжения выходят за рамки знаний, которые есть у группы обеспечения.

После обнаружения вторжения каждый ваш шаг будет означать движение либо к сохранению, либо к утрате секретов вашей компании. Представьте себе, что случится, если вся важная информация в вашей компьютерной системе будет похищена или уничтожена. Это невозможно? Так утверждают все, пока их система не подверглась взлому!

Всегда помните о важности хранящейся в вашей системе информации! Будьте готовы ее защитить! Убедитесь в том, что каждый (сверху донизу) сотрудник вашей компании знает, что делать при взломе для защиты информации от похищения, модификации или уничтожения.

Рассмотрим пример…

Кошмар реагирования на инцидент^[2]

Дэйв Армстронг являлся системным администратором корпоративной сети банка First Fidelity Bank в округе Анаканст. В понедельник, поздно вечером, Дэйв обнаружил, что какой-то хакер полностью контролирует все 200 с лишним систем^[3] банка и «бродит» по ним, собирая пароли и тщательно просматривая данные.

К несчастью, Дэйв ничего не предпринял и просто стал наблюдать за хакером с целью выяснить, кто же среди ночи влез в систему. Хотя в First Fidelity имелись инструкции с политиками и процедурами безопасности для многих ситуаций, по каких-либо формальных указаний на случай подобного инцидента в них не было. Поэтому, не имея конкретных предписаний, Дэйв потратил целых три дня, безуспешно пытаясь установить личность хакера, и только потом призвал на помощь группу обеспечения безопасности банка.

Теперь представим себе на мгновение, что хакер бесконтрольно «бродит» по сети вашего банка в течение трех дней, собирает имена и номера счетов и, возможно, изменяет информацию, переводя денежные средства или уничтожая записи. Уже думаете о том, как нам сменить банк? Я — тоже!

Как возникают подобные ситуации? В данном случае Дэйв установил конфигурацию программного сервера таким образом, чтобы ему доверяли все остальные системы. Доверие здесь означает то, что все системы сети предоставили программному серверу удаленный привилегированный доступ (remote root access) без требования пароля при входе (конфигурация по типу «доверяемая сеть» — web-of-trust). Несколько сотен систем доверяли программному серверу.

Хотя такая конфигурация облегчает установку в системах нового программного обеспечении, имеете с тем она подвержена риску, особенно в случае, когда о риске и уязвимости, связанных с поддержкой доверительных отношений, не думают в первую очередь. Если конфигурация системы должна включать доверяемый сервер (и других вариантов нет), то такой доверяемый сервер обязательно должен быть защищенным. Иначе любой хакер, проникший в такой доверяемый сервер, получает прямой привилегированный доступ (ведь пароль не требуется) к каждой системе, имеющей доверительные отношения с сервером.

Это как раз и произошло в корпоративной сети банка First Fidelity. Сотни систем этой сети поверили программному серверу. В результате сервер стал привлекательным для хакера, искавшего вход в сеть компьютеров банка. Дэйву не приходило в голову, что его система подвержена риску и не способна противостоять атаке. Ни он, ни его управляющий не знали случая, когда единственная незащищенная система может открыть дверь к остальной сети. Доверяемая сеть банка First Fidelity проникала далеко в глубины его интранета (более 200 систем). При наличии сотен систем, доверяющих программному серверу, сервер следует защищать надлежащими мерами безопасности. Но сервер сети банка тем не менее не обладал достаточной степенью защиты. Он был широко открыт и ждал, когда в него зайдет хакер.

Так и случилось. Когда хакер получил полный доступ к доверяемому серверу, то ему был предоставлен удаленный привилегированный доступ ко всем системам сети. Нельзя сказать, что это удалось ему с большим трудом.

Давайте рассмотрим подробнее этот случай вторжения и то, что последовало за ним в последующие дни.

День 1-й: Неавторизованный доступ

Дэйв обнаружил хакера в системе в 11. 45 ночи в понедельник, во время плановой проверки сети. Он заметил, что выполняются необычные процессы и загруженность ценфальпого процессора значительно выше нормальной загруженности для этого позднего времени. Эта необычная активность разожгла любопытство в Дэйве, и он продолжил исследование. Просмотрев регистрацию, он обнаружил, что в системе зарегистрировался Майк Нельсон, сотрудник группы обеспечения безопасности банка. Майк являлся законным пользователем, но он должен был входить в систему, вначале предупредив об этом кого-нибудь из группы Дэйва. Может быть это хакер маскирующийся под Майка? Или это сам Майк работает над проблемами безопасности? Но если это Майк, то он либо забыл сделать предварительное уведомление, либо умышленно его не сделал.

Дэйв запутался. Хуже того, он не знал, кого позвать и что ему самому делать.

Затем произошло то, что случается с большинством людей, которые впервые обнаружили вторжение хакера в их систему, Дэйв ощутил прилив адреналина, вызванный чувством возбуждения, смешанного со страхом и отсутствием определенности необходимых в таком случае действий. Он был в одиночестве посреди ночи. Если бы он не работал в столь позднее время, то, может быть, никто бы и не узнал об этой атаке. И он решил, что раз он отвечает за систему, то должен сделать что-то для восстановления контроля над ней. Он удалил пользователя из системы, а затем отключил учетную запись, заблокировав пароль пользователя. Дэйв восстановил контроль над системой и, думая, что выполнил свою миссию, отправился домой.

К несчастью, Дэйв не предполагал, что подобные его действия являются лишь краткосрочным решением проблемы. Удаление неавторизованного пользователя из системы часто означает только то, что тот будет в таком качестве только один день и сможет вернуться.

После первого вторжения в систему хакер часто оставляет «черный ход» (back doors), через который он легко может проникнуть в следующий раз. Действия Дэйва создали ложное чувство безопасности. Он считал, что проблема решена простым удалением хакера из системы. Но это оказалось не так, и проблема защиты от хакера даже им не была затронута. Дэйв выгнал грабителя из дома, но оставил дверь незапертой.

День 2-й: Проблема решена

Во вторник утром Дэйв сообщил о своем полночном приключении управляющему и двум другим системным администраторам. Они немного поговорили об этом инциденте, но все еще не пришли к единому мнению о том, вторгся ли в систему неизвестный хакер или же это был Майк из группы безопасности. Во всяком случае, они посчитали проблему решенной — подозрительная учетная запись недействительна, и в системе нет больше неавторизованных пользователей. Они закрыли вопрос и вернулись к работе. За текущими делами время прошло быстро.

В конце своей смены Дэйв просто из любопытства вошел в программный сервер. Он обнаружил в нем только еще одну регистрацию — Эда Бегинза, системного администратора, выполнявшего резервное копирование на серверах ночью. Это ему показалось нормальным и даже ожидаемым. Система работала прекрасно. Итак, отработав еще 12 часов, Дэйв вышел из системы и пошел домой.

День 3-й: Защита взломана снова

Дэйв отсыпался. В конце концов, это только еще утро среды, а он уже проработал 24 часа на этой неделе. Во второй половине дня он вернулся в офис и заметил, что Эд не выходил из сервера с прошлой ночи. Это показалось странным. Эд работал в ночную смену и обычно не оставался на день. Помня о необъяснимой регистрации в понедельник, Дэйв связался с Эдом по пейджеру на предмет работы того в системе. Эд ответил тотчас же, что не выполнял какого-либо копирования прошлой ночью и не работает в системе в настоящее время. Похоже было на то, что хакер теперь маскируется под Эда.

При дальнейшем исследовании Дэйв обнаружил, что ложный «Эд» пришел с системы Майка. Более того, этот пользователь не только проверял, кто еще находится в системе, но и запускал анализатор паролей. Дэйв подумал, что это Майк проверяет систему, и вошел в нее, маскируясь под Эда. (Дэйв не допускал ситуации, в которой неизвестный хакер находится в системе и крадет информацию.) Теперь Дэйву это стало действительно надоедать. Он считал, что Майк заставляет его ходить по кругу и тратить время зря. Дэйв был нетерпелив. Он удалил из системы «Эда», заблокировал его пароль и сообщил о новом повороте событий управляющему.

Управляющий вызвал Майка и спросил, регистрировался ли тот в системе, запускал ли анализатор паролей и работал ли ночью в понедельник. Майк настойчиво утверждал, что не является этим таинственным пользователем. Майк также заявил, что на его системе не мог зарегистрироваться какой-либо хакер, так как он уверен, что она не взломана. По мнению Майка, хакер занимается имитацией (spoofing), то есть притворяется, что приходит из системы Майка, хотя в действительности запрос формируется где-то в другом месте.

Ситуация выродилась в простое тыканье пальцем друг в друга. Системный администратор продолжал верить, что Майк «лазит» по сети. Майк продолжал настаивать, что вторжение имеет характер имитации и его ложно обвиняют. Все лишились сна и стали тратить больше времени на выяснение того, что же в действительности произошло.

Дни с 4-й по 7-й: Эскалация инцидента

В четверг начальник Дэйва привлек к решению проблемы руководителя службы безопасности банка и отдел внутреннего аудита. Несколько дней все собранные силы — группа обеспечения безопасности, отдел аудита и системные администраторы — ожидали нового появления хакера.

Но хакер уже не появлялся. Руководитель внутреннего аудита продолжал сомневаться, что главной причиной произошедшего был хакер. Достаточно ли было удаления того из системы, чтобы он отказался от дальнейших атак? Может быть, это Майк сам занимался взломом ради забавы и затих, когда осознал, что все ополчились против него?

День 8-й: Слишком поздно собирать улики

Только спустя неделю после вторжения отдел внутреннего аудита связался с Дэйвом и запросил техническую информацию, полученную им во время инцидента, которая бы могла показать действия хакера на сервере. Так как банк не имел штатного эксперта по безопасности, то руководитель аудита нанял меня. Я должна была определить по этой технической информации, кто же проник в сервер.

День 9-й: Кто был этим плохим парнем?

Приехав, я обсудила этот случай с руководителем аудита и просмотрела информацию. С момента второго вторжения прошло несколько дней, и хакер больше не возвращался. К сожалению, я не смогла дать ответ руководителю аудита на интересующий его вопрос, так как было невозможно выследить хакера по собранной информации. Из нее было ясно, что взломщик использовал бесплатно распространяемый хакерский инструмент (esniff), который легко доступен в Интернете, маскировался под нескольких законных пользователей системы, собирал целую охапку паролей и будто бы приходил из системы Майка. Но информации было недостаточно, чтобы сказать, находился ли хакер вне системы, был ли это Майк или кто-то еще из сотрудников компании.

Когда Дэйв удалил Майка из системы, то он не оставил возможности отследить источник вторжения. Любой из моих ответов был бы чистой догадкой. Опрос сотрудников не дал результатов. Многие указывали на Майка, но не приводили ни одного доказательства. Оставив это, я посчитала лучшим посоветовать руководителю аудита поскорее разработать и внедрить процедуры реагирования на инцидент.

Если это был хакер, то, возможно, в системе остался «черный ход». В деловом мире неделя может показаться не таким большим сроком. Но при расследовании места компьютерного преступления (а взлом систем является преступлением!) — это вечность. Когда так много времени проходит между взломом и расследованием, ценная информация изменяется, теряется и иногда невозможно найти какие-либо следы.

Мной был сделан вывод о том, что вторжение стало возможным из-за недостаточной защиты доверяемого программного сервера и что эта уязвимость должна быть устранена. Более того, не представлялось возможности узнать, каким образом хакер проник в сервер, из-за того, что имелось несколько уязвимых сторон, которые он мог использовать для получения привилегированного доступа. Не были стерты старые учетные записи с паролями, разрешения на доступ к файлам были слишком широкими, исправления программ (патчи), повышающие безопасность, не были установлены и т. д. У хакера был широкий выбор подходов.

Я сообщила руководителю аудита обо всех этих фактах, которые очевидны любому. Один незащищенный сервер открывает доступ ко всей сети. Так как система может быть взломана реальным хакером, то Дэйву нужно переустановить сервер, добавить соответствующие средства защиты сервера и подумать о других технических решениях по обновлению программного обеспечения своей корпоративной сети.

Я также обсудила с руководителем отдела аудита важный вопрос подбора в группу обеспечения сотрудников, которым можно было бы доверять, подчеркнув необходимость тщательной проверки персонала обеспечения безопасности перед их приемом на работу. Я объяснила, что необходимо наличие правильных инструкций для группы обеспечения безопасности. То, что они являются самыми квалифицированными специалистами, вовсе не означает, что им позволено «бродить» по любой из систем без должного уведомления. Так как в нашем случае подозревается их сотрудник, то было бы полезным выработать процедуру передачи расследований в отношении группы безопасности вышестоящему руководству. Такую непредвиденную ситуацию нужно отразить в разделе конфликтов интересов инструкции по реагированию на инцидент.

Резюме: Атаки изнутри

Эти два вторжения заставили нескольких сотрудников банка потратить много рабочего времени на расследование проблемы хакера, вместо того чтобы заниматься своей работой. Дэйв взял решение проблемы на себя и принял ряд решений, которые поставили под угрозу сеть с ее системами и информацией. Он также решил, что имеет дело с Майком из группы безопасности, не имея для такого обвинения должных оснований.

И хотя мы никогда не узнаем, прав Дэйв или нет, обвиняя Майка, все же он правильно думал, что хакеры могут прийти в сеть изнутри так же, как и снаружи. Как ясно видно на рисунке 1.1, внутренние хакеры представляют собой серьезную угрозу. Но одно дело знать, что внутренние хакеры являются угрозой, и совсем другое — делать с этим что-то. Для защиты ваших данных нужны политика безопасности, процедуры и обучение. Для многих руководителей идея защиты информации от своих же сотрудников выглядит нелепой. Им следовало бы взглянуть на единицы и нули, составляющие эту информацию, как на реальные деньги. У банков не возникает сомнений о надлежащем контроле над денежными хранилищами. Например, никто не оставит сейф широко открытым, так чтобы любой работник банка или зашедший посетитель мог забраться в него и взять деньги. Когда информация будет считаться столь же ценной, как и деньги, контроль над ее безопасностью станет требованием, а не поводом к раздумьям.

На этот раз банку First Fidelity повезло. С неограниченным доступом к сети в течение трех дней хакер мог бы уничтожить информацию, вывести из строя системы или даже изменить настройки аппаратуры. В негодность пришла бы вся сеть или часть ее. Системные администраторы работали бы днями и неделями, запуская вновь системы, при условии, что сохранились текущие резервные копии.

Хакер способен очень быстро заметать свои следы, делая очень трудным и слишком часто невозможным отслеживание пути к исходным точкам атаки. Если не принять незамедлительных мер, то можно даже не узнать, была ли информация украдена, изменена или уничтожена. Только по этой причине каждый, кто владеет компьютерной сетью и обслуживает ее, должен разработать ясные и конкретные процедуры по реагированию на подобные инциденты.

Мы пойдем другой дорогой…

Сохранив свою конфиденциальную информацию, в First Fidelity вздохнули с облегчением. Но, разумеется, полагаться на счастливый случай в деле защиты информации не принято. И вот что они должны были бы сделать вместо этого.

Сосредоточиться на упреждающих мерах

Зная теперь об альтернативных решениях, вы, возможно, удивляетесь, почему в First Fidelity использовалась столь уязвимая конфигурация. Так зачем подвергать и вашу информацию такому риску? Возможен уверенный ответ: «А почему бы и нет?» В конце концов, ведь хакер вторгся не в вашу систему. Поразительно, но во многих компаниях думают именно так.

Не думать, что такое не может случиться с ними

Во многих компаниях взлом компьютеров считают игрой в лотерею. Они уверены в своем иммунитете от вторжения хакера и пренебрегают даже основными мерами предосторожности. Это никогда не может с ними произойти, поэтому они не тратятся на безопасность. Они не предусматривают процедур реагирования на инцидент, и их сотрудники не имеют навыков такого реагирования.

Как это ни просто звучит, но самое главное в предотвращении взлома — это осознать, что он может случиться у вас! Для его предотвращения используйте самый эффективный инструмент защиты — обучение. Обучайте каждого! От руководителя самого высокого уровня до самого последнего оператора по вводу данных — все должны знать, как защищать информацию от кражи, изменения и уничтожения неавторизованными пользователями. Ведь хакер-злоумышленник, получивший слишком широкий доступ, может всех лишить работы!

Рисунок 1.1

Строго говоря, неавторизованным использованием является любое использование компьютерной системы без разрешения на это системного администратора. Поэтому неавторизованным пользователем нужно считать и хакера-злоумышленника, и безвредного путешественника по киберпространству, и даже сотрудника компании, не имеющего разрешения на работу в конкретной системе в определенное время или с определенной целью. В инциденте, произошедшем с First Fidelity, таким неавторизованным пользователем мог быть любой из трех его типов, описанных выше.

Как видно из недавнего обзора CSI (Института защиты информации в компьютерных системах), результаты которого показаны на рисунке 1.2, слишком многие из руководителей компаний не представляют себе, как широко распространен неавторизованный доступ и незаконное использование.

Рисунок 1.2

Знать, что началась атака

Главным при отражении вторжения является способность распознать, что ваша система взламывается! Вам нужно точно знать, что наблюдаемое вами явление действительно взлом, а не аппаратный или программный сбой или причуда пользователя. Определить, подвергается ли ваша система атаке, помогут вам в первую очередь программы-детекторы вторжения. Поэтому установка программ-детекторов до того, как вы подвергнетесь атаке, абсолютно оправдана. Вспомним недавнее вторжение вируса Code Red. 19 июля 2001 года Code Red «заразил» 359 104 хост-компьютера, которые были взломаны всего лишь за 13 часов. На пике своих действий вирус поражал около 2000 новых сайтов в минуту, даже тех, на которых были установлены программы обнаружения вторжения.

Большинство IDS (Intrusion-Detection Systems — систем обнаружения вторжения) могут определить атаку, только если имеется сигнатура атаки.^[4]

Если подумать, то это выглядит глупо. Это похоже на то, что вы думаете, что грабитель не заберется в дом, но забыли купить замок на дверь. Более того, после установки у себя такой сигнатуры у вас не будет уверенности в том, что противник не запустит новый вариант атаки и будет пропущен IDS.

Убедитесь в том, что ваша IDS может обнаруживать атаки «дня Зеро» (zero-day attacks), или атаки «первого удара» (first-strike attacks), или «неизвестные атаки» (unknown attacks), названные так потому, что о них еще не сообщалось, о них ничего пока не знают и их сигнатур не существует. Если ваша IDS не может определять атаки «дня Зеро», то нужно усовершенствовать вашу архитектуру. Это поможет защититься от атак, нацеленных на протоколы и осуществляемых вирусами Code Red, Nimda и их разновидностями.

Я не предлагаю вам устанавливать программы-детекторы на каждую систему вашей сети. Но стратегическое размещение их в ключевых местах (в сетях и наиболее важных для работы системах) даст вам несомненное преимущество.

Готовиться к худшему

Хотя предупредительные меры составляют 80 % всех средств, остаются еще целых 20 %. В действительности, как бы тщательно вы ни планировали, всегда остаются непредвиденные проблемы. Способность их решать часто сводится к подготовке к неожиданностям. Поэтому, чтобы избежать ситуации, в которой оказался First Fidelity, нужно проделать следующее.

Разработать политику действий при вторжении в письменном виде

Если в вашей компании нет политики действий при вторжении в письменном виде, то вы не одиноки. Хотя мы сосредоточились на больших компаниях США, но ослабленное внимание к безопасности простирается далеко за национальные границы. Опрос, проведенный KPMG^[5] в 2001 году среди канадских фирм, показал, что только у половины респондентов имелись стандартные процедуры на случай взлома систем безопасности электронной торговли.

Рисунок 1.3

При необходимости нанять эксперта

Создание группы реагирования на инциденты (IRT — Incident-Response Team), разработка политик и процедур и поддержание общей обстановки на современном уровне является объемной задачей. Это требует времени, знаний и координации сотрудников и ресурсов. Если у вас нет процедур и у компании нет опыта по их разработке, то наймите эксперта. «Эксперт» не надо переводить как «хакер». Будьте внимательны к тому, кого нанимаете. Как показывает рисунок 1.3, большинство компаний не хочет принимать на работу бывших хакеров в качестве консультантов.

Есть ряд компаний, серьезно относящихся к этому вопросу и могущих оказать ценные услуги. (Подробнее см. Приложение А, «Люди и продукты, о которых следует знать».) При разработке процедур реагирования на инциденты для одной из компаний я беседовала с ответственным сотрудником консультационной компании, занимающейся вопросами безопасности, о том, какую поддержку они могут предоставлять. Я спросила, как скоро может их эксперт прибыть на место происшествия. «У нас глобальный охват, — ответил тот, — и мы можем прислать команду сотрудников на требуемое место в любой точке земли в течение минут или часов, в зависимости от вашего местонахождения». Компании, занимающиеся вопросами безопасности и предлагающие такой вид услуг, готовы и стремятся вам помочь. Они пришлют немедленно своих экспертов, как только возникнетпроблема. Они повидали много бедствий и знают, как трудно наводить порядок после серьезного взлома. Важно установить с ними контакт до того, как взлом произойдет. При этом у вас появится уверенность в том, что кто-то способен откликнуться на ваш зов, когда вы окажетесь в зоне бедствия.

Обучиться самому (или обеспечить обучение сотрудников)

Даже когда процедуры реагирования на инцидент имеются, системные администраторы и пользователи могут быть не обучены их применению. Политики и процедуры, которые не были ясно усвоены, не принесут много пользы. При этом создается ложное чувство безопасности. Нужно не только хорошо отразить в документах и раздать всем процедуры для чрезвычайных ситуаций, но и добиться того, чтобы каждый пользователь компьютера компании (от генерального директора до оператора по вводу информации) знал, как их применять. Ответственность за компьютерную безопасность должна ложиться на плечи каждого сотрудника.

Хорошей идеей является проверка ваших политик и процедур до возникновения инцидента. Можно провести имитационный прогон. Вы можете захотеть привлечь группу проникновения к тестированию безопасности вашего сайта. Скажем, «Группа тигров» попытается взломать ваш сайт и в то же время проверить действия вашей группы при взломе. Было бы неверным заставлять людей гадать о том, реальный ли это взлом или нет. Другими словами, не кричите «Волк!». Если вы привлекли консультанта по безопасности для тестирования защиты вашего сайта и реагирования на взлом, то предупредите об этом обслуживающий персонал. Пусть они знают, что это имитационный прогон, а не реальное событие.

Установить точку контакта

Во время вторжения часы продолжают тикать. Пока вы будете раздумывать о том, кому позвонить или что вам делать, вы упустите драгоценное время. В процедурах нужно указать, кого оповещать при взломе. В компании должен быть определен контактный телефон, наподобие линии службы спасения 911, по которому пользователи смогли бы позвонить в случае взлома.

Понять цели и установить их приоритеты

Цели и приоритеты вашей компании и соседних организаций могут взаимно отличаться. Главным при этом будет то, что при сложных инцидентах не будет времени оценивать приоритеты. Поэтому ваши цели при обнаружении взлома должны быть отражены в документах и понятны вам еще до того, как взлом произойдет.

Знание своих целей важно при составлении соответствующего плана действий. Цели действий в условиях вашей сети могут включать в себя некоторые или все из нижеперечисленных.

Защитить информацию клиента. Возможно, ваша сеть хранит важную для клиентов информацию. Если хакер похитит, изменит, уничтожит или даже выставит такую информацию в Интернете, то вы можете предстать перед судом.

Изолировать атаку. Предотвратите использование ваших систем для запуска атаки против других компаний. В некоторых случаях вам будет нужно отключить систему от сети, чтобы предотвратить дальнейший ущерб и ограничить масштабы атаки. Например, если у вас имеется внешняя клиентская сеть (extranet), подключенная к вашей сети, а хакер пытается получить доступ к системе, которая соединяет вас с клиентской сетью, то вы должны защитить сеть вашего клиента. Если вы осознали это, то будьте готовы (и знайте как) перекусить провод.

Оповестить вышестоящее руководство. Руководство отвечает за соответствие, точность и надежность информации. Если системы в вашей компании взламываются, то руководитель информационной службы^[6] должен знать об этом и быть в курсе событий.

Обеспечить документирование события. Запись всех подробностей может помочь руководству в получении информации по оценке взлома и при проведении расследований в отношении конкретных лиц.

Сделать «моментальный снимок» системы. «Моментальный снимок» представляет собой содержимое памяти компьютера (ОЗУ, регистров и т. д.) в определенный момент времени. (Иногда «моментальный снимок» называют «разгрузка памяти» или «дамп».) В «моментальном снимке» может сохраниться информация, которую хакер не успел стереть до завершения или отражения атаки и которая может помочь поймать взломщика. Для расследования такая информация может оказаться крайне важной.

Соединитесь с группой реагирования на инциденты, связанные с компьютерной безопасностью (CSIRT - Computer Security Incident Response Team). Важно связаться с одной из CSIRT^[7] на ранней стадии вторжения, так как, возможно, у них имеется информация, которая может помочь вам прервать вторжение. Например, они могут знать, как устранить «дыру» в программе или аппаратуре изготовителя, через которую взломщик способен проникнуть в вашу сеть. Они также накапливают статистику по общему количеству взломов и способов, применяемых хакерами для получения доступа. Если вы добились контроля над ситуацией и устранили проблему доступа хакера в сеть, вам все равно следует обратиться к CSIRT для пополнения их статистики. Они не будут предавать огласке название вашей компании и тот факт, что она подверглась взлому. В мире существует множество CSIRT. Подробнее о них можно узнать в Приложении А, «Люди и продукты, о которых следует знать».

Установить взломщика. Данный пункт кажется очевидным, но не все помнят о его важности. Конечно, проще оставить все как есть. Но лучше его поймать. Не сдавайтесь в своих попытках установить взломщика, который нанес вред вашей информации. Если вам не удается сразу отследить путь атаки на вашу сеть, не оставляйте мысли о том, как важно иметь возможность для этого. Ряд изготовителей предлагают программное обеспечение, способное легко отследить путь атаки (если оно установлено на коммутирующем узле). Такая мера должна быть предусмотрена в стратегии вашего руководства.

Знать, кто и за что отвечает. Четко очерченные обязанности устраняют возникновение неопределенности. Знание того, кто и за что отвечает, ускоряет расследование и помогает установить виновного.

Знать, кому вы можете доверять. Сам по себе взлом оказался лишь частью реальной проблемы в First Fidelity. Другой ее частью явилось отсутствие доверия между главными игроками. Если предположить, что Майк виновен, то вопрос доверия превратится в проблему подбора сотрудников. Проводились ли соответствующие проверки персонала? Хотя это может показаться вторжением в чью-то личную жизнь, все же нужно проверять каждого, кто будет отвечать за компьютерную безопасность.

Если считать, что Майк невиновен, то вопрос доверия переходит в плоскость проблем общения. Почему Майку никто не сообщил сразу же о случившемся? Может быть, Дэйву помешало то, что Майк был из службы безопасности? Телефонный звонок мог бы положить начало конструктивному диалогу, и не пришлось бы тыкать друг в друга пальцами и «темнить» при расследовании. Может быть, существует молчаливое недоверие между системными администраторами и группой безопасности? Обида или недоверие сотрудников компании в отношении группы безопасности представляют серьезную проблему, которой надо уделять внимание. Ее игнорирование ставит компанию в рискованное положение. Процедура, в которой отражены действия при конфликте интересов, могла бы помочь и Дэйву. Он мог бы обойти группу безопасности, передав расследование вышестоящему руководству.

Реагировать быстро и решительно

Как красноречиво говорят нам надписи на футболках, в жизни чего только не бывает. Поэтому, если хакер вторгся в вашу систему, несмотря на все принятые вами меры защиты, выполните хотя бы следующее.

Действуйте быстро!

Бесспорной истиной безопасности является то, что чем медленнее вы реагируете, тем больше вероятность ухода взломщика от наказания вместе с вашей информацией, причем неопознанного и готового нанести повторный удар.

Придерживайтесь плана действий

Главная цель заблаговременного написания процедур реагирования на инцидент состоит в том, что вы (или ваши сотрудники) можете реагировать немедленно и не раздумывая. Не пытайтесь как-либо истолковывать план — просто выполняйте его!

Записывайте все!

Как только возникнут подозрения, что система подвергается атаке, крайне важно получать об этом информацию. Сделайте «моментальный снимок» системы. Любая собранная вами информация имеет ценность для расследования и может оказаться решающей для установления источника атаки и привлечения взломщика к ответственности.

При необходимости прибегайте к эскалации проблемы

Эскалация — это привлечение к решению проблемы вышестоящего руководства^[8] В процедуре реагирования на инцидент должно быть указано, при каких обстоятельствах нужно прибегать к эскалации — как внутренней, так и внешней.

Внутренняя эскалация — это передача проблемы на более высокий уровень руководства внутри компании. Она требуется, когда масштаб взлома выходит за пределы знаний, имеющихся у группы обслуживания. Внешняя эскалация заключается в вызове эксперта со стороны, и к ней прибегают, когда инцидент слишком сложен для сотрудников компании.

Также важно иметь в плане способ эскалации в условиях конфликта интересов. Он необходим, если под подозрение попадает кто-нибудь из группы обслуживания. (В случае с First Fidelity главный подозреваемый входил в группу безопасности. Эскалация при конфликте интересов могла бы разрядить стрессовую ситуацию и последующие проблемы с персоналом.)

Создайте надежную систему отчетов

Разумным будет создание механизма составления отчета обо всех вторжениях, даже тех, которые не причинили системе какого-либо очевидного вреда. Отчеты о взломах дают общую картину состояния безопасности сети. Они также помогают обнаружить участки в вашей сети, представляющие угрозу ее безопасности.

Завершающие действия

После взлома вы должны провести оценку случившегося. Следовал ли ваш персонал намеченным целям и приоритетам? Какие уроки вы извлекли? Что бы вы хотели в дальнейшем сделать по-другому? Возвращены ли ваши системы в безопасное состояние и не осталось ли «черного хода»?

После любого инцидента, связанного с безопасностью, проделайте следующее.

Просмотрите ваши политики и процедуры

Тщательно изучите надежность работы ваших процедур и примите решение, нужно ли их изменить на будущее.

Представьте отчет по инциденту (и как вы действовали в нем) руководству

Если вы сами являетесь руководителем, то потребуйте, чтобы обо всех инцидентах вам были представлены отчеты. Стандартная процедура составления отчета по любому и каждому взлому заключается в создании всеохватывающей картины состояния безопасности сети. Если из отчетов будет видно, что взломы приобретают хронический характер или их частота увеличивается, то, очевидно, нужно совершенствовать или усиливать меры безопасности. По протоколам отчетов также можно установить участки вашей сети, на которые нацеливаются взломщики для получения информации (например, стараются получить исходный код проектируемого вами нового чипа).

По-новому взгляните на ваш бюджет

На бумаге все любят безопасность. Но когда речь заходит о вложении средств, то расходы на планирование и осуществление мер безопасности часто урезаются. «Так как с бюджетом в этом квартале имеются трудности, то руководство говорит, что нужно подождать с расходами на реагирование на инциденты». За этим последует конец года, и процедуры все еще останутся ненаписанными.

Важность безопасности легко забывается. Лишь на некоторое время после самых значительных из взломов какая-нибудь несчастная компания оказывается в фокусе передач «60 минут» или CNN. Все вдруг сразу беспокоятся о мерах безопасности и о том, чтобы такое не произошло с ними. Затем в телестудиях гаснет свет, шум в прессе затихает, а хакер отправляется за решетку или исчезает в киберпространстве. Интерес к безопасности пропадает, и руководство снова не хочет включать ее в бюджет.

Маркус Ранум (Marcus Ranum), часто упоминающийся как отец брандмауэров, однажды сказал: «Когда дело доходит до безопасности, то нужно, чтобы парень, стоящий рядом с вами, получил пулю в голову прежде, чем руководство обратит внимание на безопасность». Если вы руководитель, отвечающий за безопасность, то не занимайте позицию «ожидания пули» в этих вопросах. Ведь на самом деле стоимость восстановления после серьезного взлома значительно превосходит расходы на установку защиты. Для уменьшения этой стоимости до минимума в будущем убедитесь, что в бюджет включено финансирование требуемой безопасности.

Контрольный список

Используйте этот список для определения готовности вашей компании реагировать на взлом. Можете ли вы поставить «Да» напротив каждого пункта?

— Есть ли у вас процедуры реагирования на инцидент?

— Понятны ли эти процедуры и отвечают ли они современным требованиям?

— Обучены ли все ответственные сотрудники использованию этих процедур?

— Есть ли в процедурах инструкции по контакту с экспертами по безопасности 24 часа в сутки и 7 дней в неделю?

— Предусмотрена ли процедура эскалации проблемы на вышестоящий уровень, если не удается связаться с экспертом по безопасности?

— Есть ли процедура, определяющая, когда обращаться за внешней помощью и к кому?

— Предусмотрено ли в процедурах немедленное уведомление руководителя информационной службы при возникновении вторжения и после его отражения?

— Выделено ли достаточно средств на разработку и поддержание реагирования на инциденты, связанные со взломом?

— Действительно ли ответственные сотрудники посещают все требуемые занятия?

— Проводятся ли личные проверки ответственного персонала?

— Все ли гладко во взаимоотношениях между системными администраторами и группами обеспечения безопасности?

— Имеются ли планы восстановления системы после инцидента?

— Надлежащим ли образом контролируются меры безопасности в системах? («Надлежащим» здесь означает, что такая оценка дана реальной аудиторской проверкой.)

— Включены ли контрольные журналы систем?

— Просматриваются ли периодически журналы регистрации в системах?

— Установлены и работают ли необходимые инструменты по обнаружению вторжения?

— Установлены ли в вашей сети программы-детекторы, обнаруживающие «неизвестные» атаки?

— Можете ли вы обнаружить и предотвратить атаки как на сеть, так и на хост-компьютер (многоуровневый подход к обнаружению)?

— Легко ли отслеживается путь атаки в вашей сети?

Заключительные слова

Статистика, которую ведет CERT, показывает, что количество нарушений безопасности более чем удваивается каждый год. По данной статистике, число инцидентов возросло с 3934 в 1998 году до 9859 в 1999 году, а затем до 211 7569 в 2000 году и до 52 658 в 2001 году. Только за первый квартал 2002 года было зарегистрировано еще 26 829 инцидентов. Пугает то, что о многих нарушениях не было сообщений, так как их не удалось обнаружить. В то время как 38 % респондентов, участвующих в опросе CSI 2002 года, сообщили о неавторизованном использовании своих веб-сайтов в прошедшем году, 21 % других респондентов честно признались, что не знают, были ли взломаны их сайты или нет.

Легко видеть, что даже если у вас нет причин поверить в существование факта взлома систем вашей компании, вы все равно можете быть жертвой незамеченной атаки. В одном из своих действительно показательных исследований Министерство обороны США провело тестирование, которое продемонстрировало, как редко взломы обнаруживаются и регистрируются (рисунок 1.4). В данном тесте было атаковано 8932 компьютера. В результате атаки было взломано 7860 систем — около 88 %. И только о 19 атаках были сделаны сообщения — менее 0,003 %!

Тест Министерства обороны, показывающий, как редко регистрируются атаки

Источник: Defense Information Systems Agency.

Рисунок 1.4

Дэн Фармер (Dan Farmer), хорошо известный исследователь компьютерной безопасности, провел тестирование высокопрофессиональных коммерческих веб-сайтов. Результаты тестирования показали серьезную уязвимость Интернета. Из 1700 веб-серверов, подвергшихся тестированию в данном исследовании, более 60 % могли бы быть взломаны или выведены из строя, и только на трех сайтах было замечено, что их тестируют.

В стремлении подключиться к Интернету вы можете забыть о безопасности, и ваша система легко может оказаться среди этих уязвимых 60 %. Если вы не уверены в том, что контролируете безопасность вашего веб-сервера (или любой другой системы), то проведите проверку на безопасность сами или вызовите эксперта по безопасности, который проведет оценку вашего сайта.

Тесты Министерства обороны и Дэна проводились несколько лет назад. Сегодня трудно сказать, сколько компаний смогли бы обнаружить подобные атаки. На многих сайтах установлены программы-детекторы вторжений, отслеживающие атаки. Если в вашей компании их еще не установили, то нужно это сделать. Не ждите, пока название вашей компании появится в выпуске новостей CNN.

Глава 2 Безопасность в стандартной поставке

Подсистемы должны находиться в выключенном состоянии по умолчанию, и пользователь будет знать (по возможности), что он действительно включает, перед тем, как это включит. Это не столь очевидно для одной или двух подсистем, но если их сотни… не надо дожидаться того времени, когда целое поколение системных инженеров будет проводить половину своей рабочей жизни, выключая одно и то же на каждой машине.

Тео де Раадт, исследователь проблем безопасности.

Проект OpenBSD^[9]

Уже год, как вы занимаетесь бизнесом в Интернете, и вы только начали получать прибыль. Наконец-то на взлете! Вы счастливы, став одним из первых, поставивших свой бизнес в Сети, который движется и приносит вам прибыль. Вы забрались на новую территорию, которая неизвестна большинству, — в Интернет. Это напоминает вам приключения первопроходцев, захотевших попытать счастья и пересечь всю страну после того, как они услышали о богатейших просторах Калифорнии. Они нашли золото. И вы тоже стали одним из первопроходцев в Интернете и скоро тоже найдете свое золото!

Вы так загружены работой, что отпуск кажется вам несбыточной мечтой. Вы довольны вашим провайдером Интернет-услуг (ISP — Internet Service Provider). Ведь провайдер открыл дверь вашему бизнесу в Интернет. Более того, провайдер помогает хранить и обслуживать всю информацию по вашему бизнесу, включая вашу домашнюю веб-страницу. Вам не нужно тратить время на обслуживание систем или на раздумья, как построить веб-страницу и подключиться к Интернету. Честно говоря, вы не очень задумываетесь о том, как работают компьютеры, да это и не нужно — ведь вы же платите за это провайдеру!

Забыв об отдыхе, вы налегаете на работу. Время поднимать цены. Теперь можно больше запросить за ваши консультационные услуги, так как на них возрос рыночный спрос. Уже почти полночь, но вы решаете войти в систему и до утра внести свои изменения. Вы пытаетесь зайти на вашу веб-страницу, но это не удается. Вы пытаетесь снова и снова. Безуспешно! Что же случилось? Может быть, трафик в Сети так плох, что не дает получить доступ к вашей веб-странице? Вы пытаетесь позвонить вашему провайдеру, но его номер занят. Вы не можете получить доступ к вашей веб-странице, и линия провайдера постоянно занята. Вы ворочаетесь и мечетесь всю ночь, гадая о том, что же происходит.

К несчастью, беды на этом не закончились. Следующим утром вы узнаете, что хакер взломал системы вашего провайдера. Он обрушил их и уничтожил всю информацию. Подождите! Так это же ваша информация! Хуже того, вы обнаруживаете, что жизненно важная для вашего бизнеса информация и домашняя страница не могут быть восстановлены, так как ваш провайдер никогда не делал резервных копий диска, на котором хранилась ваша информация.

Как теперь быть? Вся информация по вашим клиентам безвозвратно утеряна! Вы думаете, что такое невозможно? Подумайте получше.

Храните ли вы ваши драгоценные цифры в изолированной от внешнего мира корпоративной сети или же храбро выставили их в неопределенность Интернета, вы в любом случае должны иметь возможность доверять целостности вашей информации и способности провайдера защитить ваши ресурсы. Провайдер должен знать, как устанавливать системы и защищать вашу информацию. Ведь так же? Это часть его услуг, за которые вы платите. Но, к сожалению, быстрый рост информационных технологий и необходимость развития новых видов бизнеса, требующих новых технологий, не вызвали такого же повышения уровня квалификации в вопросах безопасности у профессионалов.

В современной информационной среде большинство людей знает, что подключение системы к Интернету без мер безопасности во многом похоже на «русскую рулетку» — только вопрос времени, когда на кого-то придется выстрел. Если это так, то почему профессиональные провайдеры устанавливают стандартные системы, не проводя их дополнительных настроек, и играют в «русскую рулетку» с информацией своих клиентов? Им нет дела до сохранности информации клиентов?

Если вы все еще верите в то, что большинство информационных брокеров, системных администраторов и провайдеров Интернет-услуг являются специалистами по безопасности, то давайте посмотрим…

Безопасностью займемся позднее

Три года назад Джордж Марковиц и Натан Лински были лучшими инженерами в своем бизнесе. Они стремились как можно дольше работать на своем месте, продвигаться по служебной лестнице и разбогатеть, работая в крупной компании. Как и многие другие, они двигались к своим целям, полагаясь только на себя.

Джордж и Натан назвали свою новую компанию «TransWorld Internet Services». Занятая ими ниша предоставляла их клиентам дешевый и высококачественный доступ в Интернет и хранение их информации. Обычно TransWorld обеспечивала простым домашним пользователям соединение с Интернетом и легкодоступное хранение их информации, не беспокоясь о резервном копировании информации.

К несчастью, они не смогли всего предусмотреть — как, например, настройку безопасности. Они подключили свои системы к Интернету стандартным способом, без настройки безопасности, и оставили широко открытыми для атаки свои системы и информацию клиентов.

День 1-й: Ложное чувство безопасности

Способности Джорджа и Натана по работе на рынке услуг были почти на той же высоте, как и их техническая подготовка. Через шесть месяцев TransWorld обслуживала личные каталоги и веб-страницы более чем 1000 клиентов.

Как и любые другие начинающие предприниматели, Джордж и Натан были озабочены накладными расходами. К счастью, их технический опыт позволял им выполнять большую часть работы самостоятельно. Например, они без проблем сами устанавливали системы и программное обеспечение.

Но, к сожалению, Джордж и Натан оставили конфигурацию всех своих систем стандартной, не принимая при этом дополнительных мер безопасности. Скорее всего, они еще раз не подумали о безопасности (а может быть, и первого раза не было). В этом нет ничего необычного, так как большинство инженеров не любят безопасность. Они стремятся поскорее добраться до информации и считают меры безопасности препятствием. Но для компаний, отвечающих за поддержание надежности и целостности информации клиентов, это вопрос их пребывания в высшей лиге.

Два года спустя: Замечена атака

Джордж и Натан проработали около двух лет, пока на их сайт из Интернета не «забрел» хакер. Натан обнаружил хакера благодаря написанной им программе для отслеживания времени доступа клиентов (программа была довольно хорошей). На выходе она выдавала Натану сообщение, какой счет выставлять клиентам за использованное ими время доступа. Натан заметил, что однажды в корпоративной сети TransWorld какой-то хакер создал каталог, установил инструменты для взлома безопасности (для сбора паролей, отслеживания путей и т. д.), а затем начал взламывать системные пароли и искать информацию и доступ к другим системам. (Как изнутри выглядит такая атака, см. главу 12, «Прогулка хакера по сети».)

В конце концов, Натан выяснил, что хакер проник с использованием учетной записи, оставшейся от старой коммерческой демонстрации. Он отключил учетную запись и посчитал проблему решенной.

+Две недели: Хакер возвращается

Двумя неделями позднее хакер вновь всплыл в сети TransWorld. На этот раз хакер переписал на их сервер программу, которая при исполнении могла пересылать по почте файл с паролями на другую систему в Интернете. Вначале Натан не мог понять, как хакер вошел в его сеть. При дальнейшем исследовании Натан обнаружил, что установленная им система позволяла переписывать на его сервер и исполнять файлы из Интернета. Хакер просто переписал программу на сервер TransWorld и запустил ее на исполнение.

При исполнении эта программа скопировала файл TransWorld с паролями и переслала его по почте на неизвестную систему в Интернете. Затем хакер взломал пароль. Удача! И вот хакер внутри. Программа Натана по отслеживанию использования системы была хорошей, но она не могла заменить собой контрольные журналы.

Так как контроль за действиями не был установлен, то сотрудники TransWorld не могли даже сказать, заменил ли хакер какие-либо системные файлы, или им был оставлен «черный ход» в систему. Натан заткнул дыры так крепко, как он смог, и ограничил разрешения на доступ к файлам в системе.

+Три недели: Усиление защиты

Взломы продолжались. Время от времени хакер (или хакеры!) запросто заходил из Интернета. Каждый раз, когда Натан затыкал одну дыру в защите, хакер быстро находил другую. К этому времени сотрудники TransWorld работали в режиме реагирования. Они тратили так много времени, реагируя на непрекращающиеся взломы, что начали терять сон от страха перед настоящим бедствием.

В этот момент Джордж позвал меня на помощь. Так как Джордж и Натан были моими старыми друзьями, то я согласилась проверить их системы в обмен на приятную беседу и пару банок холодного пива.

Так как эти парни знали очень много о системах, то я полагала, что мне предстоит устранить проблему относительно быстро. В конце концов, у них обоих за плечами был большой опыт в управлении и поддержке систем, и они обслуживали реальную провайдерскую сеть. Я знала, что опытность не всегда является показателем осведомленности в вопросах безопасности, но хотела убедиться в осознанности их действий. Так как именно провайдер отвечает за информацию своих клиентов, то мне хотелось знать, предприняли ли они необходимые меры предосторожности.

Оглядываясь назад, я убеждаюсь, что, возможно, фантазировала насчет практических способностей этих парней в области безопасности. Раз так, то я обещаю больше не фантазировать.

Я надеялась на быстрое решение проблемы и сказала Натану, что загляну к ним по дороге на свою работу. Натан сообщил мне, что последний взлом был в его домашней сети, и я решила начать отсюда. Сначала я спросила Натана, почему его домашняя сеть подключена к TransWorld. Натан объяснил, что он хранит разрабатываемые программы на этой системе и ему нужен легкий доступ к ним при работе в главном офисе.

Из ответа я поняла, что решение проблемы не будет быстрым. Часто «легкий доступ» означает «риск». При работе с электронной информацией вам всегда придется взвешивать риск и нужды бизнеса. Если меры безопасности слишком строги, то это может препятствовать возможности клиентов вести свои дела. Очевидно, никому этого не хочется. В любом бизнесе необходима некоторая гибкость. Тем не менее некоторые компании не подсчитывают, как такая гибкость влияет на величину риска. Вместо этого они устанавливают облегченный доступ, надеясь, что их информация достаточно защищена. По дороге к дому Натана я не могла понять, почему Натан так ценит свой легкий доступ.

Утром в 6.30 я подъехала к дому Натана. Натан предложил мне чашку кофе. Но я уже и так была взвинчена — адреналин уже начал выделяться. «Нет, спасибо, — сказала я. — Где система?» Он подвел меня к клавиатуре.

В течение пяти минут после входа в систему я обнаружила, в чем заключается проблема безопасности. Безопасности не было вообще! Системы были установлены «как есть», стандартным способом, и подключены к Интернету.

Один из самых больших рисков при стандартных установках состоит в том, что вставки, повышающие безопасность (security patches), в стандартную поставку не входят. Все операционные системы имеют уязвимые места с точки зрения безопасности. К ним необходимо добавлять вставки безопасности для решения подобных проблем, иначе системы могут остаться широко открытыми (в зависимости от уязвимости).

По мере того как я просматривала настройки системы, я удивлялась своим находкам. Они экспортировали личные каталоги через Интернет с разрешениями чтения/записи (с глобальным доступом). Я не верила своим глазам! Экспортирование файловых систем через Интернет с разрешениями чтения/записи позволяло каждому в Интернете читать, красть или уничтожать информацию. О чем эти парни думали? Я проверяла снова и снова, надеясь, что результаты будут как-то меняться, так как не хотела верить в то, что увидела.

Такого со мной еще не случалось. Два парня, которые намного умнее меня в программировании и которые берут деньги с клиентов за доступ в Интернет и хранение информации, создали сеть без установки каких-либо средств обеспечения безопасности.

В то время как я пыталась продолжать мое исследование, Натан не переставал задавать мне вопросы. Я не могла сосредоточиться. Я «зациклилась», и все в моей голове перемешалось. Я вынуждена была прервать проверку и сказала Натану, что мне надо ехать.

Он подвергался серьезному риску, а я не могла быстро устранить проблему. В действительности, он хотел только быстрого решения. К сожалению, он не собирался получить решение проблемы от меня (или от кого-либо еще на планете). Вместо решения я дала Натану список неотложных мер (опасно — устранить немедленно!) и сказала, что еще вернусь.

Как только у меня появилась возможность обдумать его вопрос, я ему позвонила и сказала, что проблем безопасности в его домашней сети так много, что я не могу даже сказать, с чего ему начать. Лучше всего провести полномасштабный аудит безопасности его сети. Я сказала, что очень занята работой в Sun, помогая клиентам защищать свои сети от Интернета, и что смогу вернуться к нему только через несколько недель. Кроме того, я не собиралась тратить время на помощь ему в установке защиты, я могла только сообщить ему о результатах моих исследований. Я полагала, что он наймет кого-то для проведения аудита и принятия мер безопасности в своей сети.

Натан сказал, что подождет. Несколько недель для него не много значили. Хотя Натан явно был озабочен безопасностью, но он еще не был так напуган, чтобы нанять кого-то для решения проблемы. Я продолжала удивляться, каково же его клиентам при такой угрозе надежности и целостности их информации.

Продолжение саги: Сеть остается под угрозой

Через несколько недель я отправилась в главный офис TransWorld для проверки состояния дел. Первой проблемой, обнаруженной мной при полномасштабном аудите, была физическая безопасность. Сеть располагалась в здании, офисное пространство которого было поделено между несколькими компаниями. Сетевые серверы, компьютеры, брандмауэры и коммутационную аппаратуру отделяли от остальных компаний лишь внутрикомнатные стенки высотой пять футов.^[10] Системы даже не были заперты в стойках.

Более того, все адреса и учетная информация клиентов были в персональных компьютерах (ПК). ПК имели резервное копирование, но устройства для этого находились прямо рядом с ними. Любой, кто бы ни пожелал, мог перепрыгнуть через невысокие стенки, взять систему и устройство резервного копирования и просто уйти. Разве это не беспорядок? Представьте себе, что ваш провайдер вызывает вас, чтобы поискать, заплатили ли вы ему за прошедший месяц!

Безопасность информации не выглядела лучше. Я уже это предполагала, но всегда нужны твердые факты. Я села за клавиатуру и начала аудит. Через несколько секунд я взломала корневой каталог и получила полный контроль над их главным сервером. При этом я не «выкладывалась», а просто использовала незащищенное место в операционной системе, о котором широко известно много лет.

Я обычно выискиваю подобные программные ошибки, когда пытаюсь взломать корневой каталог в системе. Если мне удается взломать корневой каталог за считанные секунды, то я точно знаю, перед чем я оказалась. И обычно за этим стоит серьезный риск.

Продолжая проверку, нашла подтверждение моим ожиданиям. Настроек безопасности здесь тоже не было. Эти системы были установлены «как есть», без настройки их безопасности и без добавления дополнительных средств защиты. В основном, проблемы были теми же, что и с домашней сетью Натана (и неудивительно).

И снова масса уязвимых мест в безопасности. Список разновидностей риска, которым подвергалась TransWorld, возглавляли следующие пункты:

• Существовала избыточность разрешений на доступ к файлам.

• Не были стерты старые учетные записи пользователей.

• В программы не были внесены исправления (патчи), повышающие безопасность.

• Не была обеспечена надлежащая физическая безопасность.

Уже только в этом скрывался огромный потенциал для бедствия. В TransWorld нужно было поработать экспертам по вопросам безопасности не менее двух недель и с полным рабочим днем, с тем чтобы защитить их сеть. Как и во многих других начинающих компаниях, им не хотелось тратить деньги на сотрудника, занимающегося безопасностью. Я думаю, что они хотели вместо этого купить побольше оборудования, а может быть, они ожидали предъявления им какого-то счета к оплате в этом месяце.

Как бы то ни было, я передала свою информацию Джорджу в обмен на обещанное пиво. А что касается безопасности их сети — то я не питала особых надежд. У Джорджа не было времени поговорить со мной за его пивом. Он был так занят работой сети, обслуживанием клиентов, написанием программ и общественной жизнью. Иногда мне казалось, что серьезное отношение к безопасности мне никогда не встретится.

Резюме: Будете ли вы подключаться через такого провайдера?

Как бы плохо ситуация ни выглядела, Джордж и Натан все же действительно хорошие люди. Они знают, как устанавливать и обслуживать системы. Им известны все тонкости подключения к Интернету. Но их проблема заключается в том, что они не знают, как защитить свои системы, и не обращаются за посторонней помощью. Они не думают о возможном вторжении хакера в их сеть. Так как они не считают безопасность приоритетной, то тратят свои финансы на любые другие цели. И конечно, получат то, за что платили.

У Джорджа и Натана могут возникнуть реальные причины для беспокойства в будущем. Взаимоотношения «провайдер/клиент» подразумевают ответственность провайдера, хранящего вашу веб-страницу и личный каталог, за безопасность, надежность и целостность вашей информации. Но до настоящего времени через суд не прошло ни одного дела в отношении безответственного провайдера, потерявшего информацию клиента. Довольно трудно сказать, чем должны руководствоваться судьи. Я считаю (и большинство клиентов думает так же), что суд должен принимать во внимание то, что если вы оплатили данную услугу, то ваша информация попадает в руки к специалистам, которые должны обеспечить ее защиту и безопасность. В конце концов, разве не за это вы платите?

Так или иначе, клиентам TransWorld пока везет. Забавно, но они даже не знают о том, что их информация находится на краю пропасти. И она может безвозвратно в ней исчезнуть.

Джорджу и Натану пока тоже везет. Насколько мне известно, на них не подавали в суд и их не подкарауливали их клиенты. Но я бы не захотела выбрать их в качестве своего Интернет-провайдера.