|
|
|
Учебное пособие Самоучитель системного администратора
9. БезопасностьРасходы на обеспечение защиты информации растут впечатляющими темпами. Но при этом часто не соизмеряют реальную ценность информации с мерами по ее защите и ставят перед собой невыполнимую задачу достижения абсолютной надежности. В каждом конкретном случае затраты, выделяемые на обеспечение безопасности, должны коррелировать с потенциальной опасностью. Если злоумышленник задастся целью "сломать" систему, он обязательно это сделает и нам не поможет никакая защита. Важно снизить вероятность такого вторжения до экономически оправданных значений и минимизировать возможный ущерб. Человеческий факторКак руководители, так и системные администраторы должны четко понимать, что удобство в работе пользователей и безопасность предъявляют к системе совершенно противоположные требования. Чем безопаснее система, тем больше ограничений накладывается на текущую работу и тем более неудобной она становится, и наоборот. Проще всего использовать систему, в которой отсутствуют какие-либо ограничения по безопасности данных. Любая реальная система содержит разумные компромиссы, определяемые в каждом конкретном случае индивидуально. При реализации тех или иных организационных и технических мероприятий всегда следует учитывать человеческий фактор. Если вы потребуете от сотрудников частой смены пароля, то, чтобы не забыть, они начнут записывать пароли на различные памятки. Контроль сложности паролей не заставит пользователей формировать их при помощи генераторов случайных чисел. Скорее всего, большинство будет постоянно использовать один и тот же пароль, составленный на основе некоторой осмысленной последовательности символов, изменяя в нем (когда настанет срок очередной смены пароля) по одному символу. Любая идеально спроектированная система защиты окажется неработоспособной, если она не будет учитывать практические аспекты эксплуатации информационной системы. Интернет-ресурсы, посвященные безопасностиСистемному администратору необходимо быть достаточно информированным о текущем состоянии компьютерной безопасности. Это предполагает периодическое ознакомление с данными специализированных сайтов, посвященных этой тематике, по возможности подписку на оповещения об обнаруженных критических уязвимостях. Отмечу следующие источники.
Попытаемся разложить по полочкамЗащита информации представляет собой настолько всеобъемлющую задачу, что очень легко запутаться во всех мерах защиты. Прежде чем начать что-то делать, ответьте на несколько вопросов:
И только после этого можно решать как защищать. Что защищаемИнформация может быть различных категорий. Часть данных публична, часть — является коммерческой тайной, часть подлежит защите как имеющая соответствующий гриф. При этом системный администратор должен иметь четкое представление, каким категориям работников организации и в каком объеме разрешен доступ к информации определенного уровня. Соответствующее распоряжение должно быть сформулировано руководителями бизнеса совместно со специалистами. Где защищаемНеобходимо четко представлять, где и как обрабатывается информация, как построена сеть организации, как данные из одной программы переносятся в другую, каким способом реализуется доступ в глобальную Сеть и т. п. Объем информации зависит от уровня необходимой защиты. Например, если мы предполагаем реализовывать защиту от утечки данных через электромагнитное излучение, то должны получить схемы электропитания с указанием расположения кабелей (насколько они близко проложены к информационным линиям), схемы охранной и пожарной сигнализации, заземления, расположения оборудования относительно окон и т. п. Чем точнее и полнее будет собрана информация, тем лучше можно будет организовать защиту. От чего защищаемПосле того, как в организации определено, что и где подлежит защите, необходимо подготовить список угроз, которым подвержена система. Говорят, что в этом случае нужно составить модель угроз. Информация может быть утеряна, повреждена (временно недоступна) или же стать доступной третьим лицам. Все эти события нежелательны для системы. Причины, способные привести к указанным событиям, можно разделить на следующие группы:
Для удобства подготовки мер противодействия удобно рассматривать эти угрозы по следующим уровням информационной системы:
Таким образом, последовательность подготовки мер по защите информации будет выглядеть примерно так. Рассматриваем транспортный уровень сети. Что могут сделать допущенные к управлению сетью пользователи? Наверное, получить несанкционированный доступ к информации, модифицировать ее в своих интересах или нарушить связь. После этого пытаемся в общих чертах сформулировать возможности по каждому выявленному риску. Например, для получения доступа можно изменить настройки оборудования и направить копию данных на интерфейс своего компьютера. Можно подключиться к порту оборудования в другой частной сети, если для этого порта не настроен контроль доступа. И так далее. После того как мы сформулируем риски, можно уже приступать к выработке мер противодействия. Понятно, что для выявления возможных рисков и подготовки мероприятий необходимо наличие соответствующего опыта у системного администратора. Хотя для начала работ вполне достаточно тех материалов, которые есть в свободном доступе. Наиболее трудоемки в определении риски, связанные с конкретной реализацией информационной системы и используемым в ней программным обеспечением. Чтобы правильно предусмотреть возможные опасности при использовании на одном компьютере программного продукта "А", на другом — "В" и при наличии, например, конкретного типа хранения данных на сервере, нужно обладать высокой квалификацией практически по всем используемым продуктам. Хорошо, если такие специалисты в организации есть, и они могут выработать какие-либо предупреждающие мероприятия. В подавляющем же большинстве случаев используется информация только о типовых уязвимостях, которые известны техническому персоналу.
В силу особой важности этого положения, хочу еще раз акцентировать внимание на том, что ни одна программа, сканирующая сеть на наличие уязвимостей, ни одна аудиторская организация, приглашенная для анализа безопасности, не смогут предложить вам исчерпывающий перечень мероприятий. В большинстве случаев вы получите анализ типовых уязвимостей в типовой структуре. Так, сканеры безопасности проверяют, прежде всего, реализацию всех мер, предлагаемых изготовителем в инструкции по повышению безопасности (см. разд. "Индивидуальная настройка серверов" далее в этой главе), и установку обновлений (см. разд. "Исключение уязвимостей программного обеспечения" далее в этой главе). При сертификации системы особое внимание уделяется наличию комплекта организационно-распорядительной документации (приказов, инструкций, матриц доступа и т. п.). "Закрытие" всех этих уязвимостей не даст шанса "покоиться на лаврах". Как защищаемПри выработке мер противодействия нужно учитывать стоимостные факторы. Как правило, существует несколько возможных путей решения, и вам необходимо, исходя из специфики организации, выбрать оптимальный. Например, риску кражи сервера с важной информацией можно противопоставить введение круглосуточной охраны, а можно предусмотреть какое-либо аппаратное шифрование данных на жестком диске. Если стоимость сервера меньше стоимости мер его защиты от пожара, то выгоднее пожертвовать конкретным компьютером, ограничившись резервным копированием данных. В итоге описанной ранее процедуры анализа вы получите достаточно большой перечень возможных рисков. Понятно, что реализовать все мероприятия будет практически невозможно. Поэтому следует руководствоваться достаточно общим правилом "30/70": 70% всех уязвимостей могут быть закрыты реализацией лишь 30% мероприятий, надо только правильно ранжировать их по значимости. К сожалению, практика оперативного появления в продаже практически любых баз данных, имеющих коммерческое значение, свидетельствует, что многие меры защиты существуют больше "для отчетности", чем реально обеспечивают конфиденциальность информации. Без постоянного внимания к вопросам информационной безопасности говорить о безопасности бессмысленно. Три "кита" безопасностиОбъем работ по обеспечению безопасности информационной системы составляет основную часть рабочего времени системного администратора, поэтому важно правильно организовать свою работу. На какие принципиальные моменты я бы советовал обратить внимание.
И последний совет. Сколько бы усилий вы не прилагали, защищая систему, всегда может обнаружиться уязвимость, которая может позволить злоумышленнику провести успешную атаку. Поэтому целью защиты должна быть не гарантия 100%-й надежности — это недостижимая цель, а реализация таких мер, которые позволят уменьшить эффект от вторжения и с минимальными затратами для предприятия восстановить работу информационной системы. Типовые меры защиты информационной системыВ каждой организации "лидеры" по эффективности мер обеспечения безопасности будут свои. Тем не менее существуют типовые мероприятия, реализовывать которые необходимо любому системному администратору. Условно эти меры можно сгруппировать по следующим характеристикам:
|
|
|