Многим организациям не удается должным образом защититься от внутренних угроз, нередко приводящих к разрушительным последствиям.

Даже если в настоящий момент безопасности вашей системы ничто не угрожает, очередная брешь может появиться в самом неожиданном месте, там, где ее меньше всего ожидают. Ни межсетевые экраны, ни система выявления вторжений не станут у нее на пути — скорее всего, они ее не заметят.

Причины появления такой лазейки различны — от элементарной небрежности, когда системный администратор забывает закрыть консоль управления или кто-то из персонала приносит на работу зараженный ноутбук, до установки неконтролируемой точки беспроводного доступа. Угроза возможна и со стороны затаившего обиду и жаждущего отмщения сотрудника.

Внутренние атаки, подобные одной из перечисленных, могут обойтись организации в миллионы долларов. И не будет ошибкой сказать, что когда-нибудь это обязательно произойдет. Вот несколько впечатляющих цифр: по данным международной организации InterGov, сотрудничающей со следственными органами в борьбе с виртуальными преступлениями, до 80% компьютерных и связанных с Internet правонарушений совершается собственными сотрудниками компаний, а вызванные подобными действиями убытки составляют в среднем 110 тыс. долларов в расчете на одну жертву.

А знают ли в компании, кто из их сотрудников бесконтрольно и незаметно занимается «прослушиванием» сети? В свете недавних событий можно с уверенностью утверждать, что не многие владеют такой информацией. Джастин Пелтиер, технический директор консалтинговой компании Peltier Associates, специализирующейся на оценке потерь от наличия уязвимых мест в системе безопасности и выработке рекомендаций по их предотвращению, признается, что сам недавно беспрепятственно и никем не замеченный прошелся по офисам одной компании с многомиллиардным оборотом, оценкой системы безопасности которой он занимался, в поисках того, что могло представлять угрозу безопасности, и обнаружил массу интересного.

Самое удивительное, что он смог войти в кабинет главы компании и послать электронное сообщение безо всякой авторизации. Среди информации конфиденциального характера, оставленной в доступном для чтения месте, были документы на копировальном аппарате о кадровом составе и копии прогнозов по продажам настольных ПК компании на предстоящий год.

В качестве примера атаки со стороны собственного персонала, можно привести действия Раймонда Блюма, бывшего руководителя технического отдела компьютерной консалтинговой компании Askit.com, арестованного министерством юстиции по обвинению в преследовании своего прежнего работодателя. Одно из выдвинутых обвинений состояло в том, что Блюм использовал некоторую внутреннюю информацию для того, чтобы опубликовать на корпоративном сайте угрозы в адрес «обидчика» с обещаниями смертельной расправы.

Еще один пример просчетов системы внутренней безопасности приводит Кристофер Клаус, директор технической службы в компании ISS: для оценки безопасности корпоративных беспроводных локальных сетей его специалисты проехались по Атланте и обнаружили 2000 точек беспроводного доступа, открытых для прослушивания. Эти потенциальные ворота для проникновения злоумышленников в корпоративные системы были доступны любому, у кого есть ноутбук с поддержкой интерфейса 802.11b, причем без авторизации и на удалении до шести миль.

Еще более неутешительна информация организации CERT Coordination Center. По ее сведениям, количество обнаруженных брешей в общедоступном программном обеспечении защиты компьютеров за последний год удвоилось — с 1090 в 2000 г. до 2437 в 2001 г., а в первом квартале 2002 г. оно уже составило более 1065; при этом число инцидентов, связанных с компьютерной безопасностью, также значительно выросло: с 21756 в 2000 г. до 52658 в 2001 г., а в первом квартале 2002 г. оно достигло 26 892.

Наличие лазеек делает корпоративные ресурсы незащищенными перед различными способами нарушения безопасности изнутри. На два программных продукта Microsoft, наиболее широко используемых в корпоративной сети, — Web-сервер Internet Information Services (IIS) и браузер Internet Explorer, покушаются чаще всего. Что же делать компании, обнаружившей бреши в своей внутренней инфраструктуре?

В дополнение к обычным мерам безопасности (созданию политики безопасности и следовании ей) можно воспользоваться массой новых продуктов, разработанных специально для пресечения атак изнутри, — от программного обеспечения для управления множеством паролей пользователей и атрибутами до распределенных систем, способных прервать сеанс связи, если в сети будут выявлены запрещенные действия.

В статье рассматриваются несколько приемов предотвращения внутренних атак, а также некоторые продукты, способствующие достижению этой цели.

БУКЕТ ПРОБЛЕМ

По мнению Джона Пескатора, руководителя научно-исследовательского отдела по вопросам безопасности Internet компании Gartner, основные финансовые потери вследствие наличия брешей в системе безопасности связаны именно с внутренними атаками. Согласно полученным данным, 70% «кибератак», которые обходятся жертвам в 20 тыс. долларов и более, организованы сотрудниками пострадавших компаний.

«Внутренние атаки более опасны и лучше спланированы, нежели атаки извне», — убежден Михаэль Расмуссен, руководитель научно-исследовательского отдела по вопросам безопасности компании Giga Group и член профессиональной ассоциации экспертов по безопасности информационных систем. В отличие от типичных атак на сетевые ресурсы извне, которые, как правило, ограничиваются сканированием портов и переполнением буферов на серверах Web, собственные сотрудники имеют гораздо более широкие возможности доступа к обширному спектру систем и ресурсов. У них есть прямой доступ к большинству критических систем, обычно по собственному паролю либо паролю коллеги.

В качестве примера, Расмуссен приводит такую ситуацию: многие организации предоставляют всем своим сотрудникам внутри различных подразделений одинаковый уровень авторизации по так называемому «групповому списку контроля доступа» (Access Control List, ACL). Проблема в том, что все они получают доступ, например, к платежной ведомости через общую учетную запись отдела кадров, хотя в действительности эта информация необходима только нескольким сотрудникам. Внутренние нарушители могут также знать слабые места в системе безопасности компании, что открывает путь к мошенничеству и воровству не только информации, но и денег. Как замечает Пелтиер, степень серьезности подобных атак колеблется от простой небрежности, когда системный администратор оставляет управляющую рабочую станцию без надзора, до откровенного криминала, когда служащий компании сознательно устанавливает неконтролируемую точку беспроводного доступа либо использует свободно распространяемые программные средства хакеров для того, чтобы выявить местоположение критически важной системы и выполнить подрывные действия.

Сотрудники обычно владеют информацией об архитектуре сети их компании, и в том числе о местоположении представляющих интерес файлов и систем. К тому же многие организации особое внимание уделяют защите периметра сети и недостаточное — тому, что происходит внутри ее границ.

Типичная стратегия доморощенного злоумышленника включает расширение прав и привилегий пользователя путем кражи либо подбора пароля системного администратора и получении недозволенного доступа к таким ресурсам, как платежная ведомость или финансовая система. Пит Линдстром, директор по стратегии безопасности компании Hurwitz Group, отмечает, что подобные приемы социального инжиниринга особенно трудно распознать персоналу по безопасности.

Как объясняет Линдстром, документальные следы, оставленные нарушителями политики безопасности из числа персонала, зачастую идентичны тем, что оставляют законные пользователи системы. Эти виды стратегии вынуждают специалистов по безопасности выяснить, использует ли тот или иной сотрудник компании некорректно учетную запись или же собирает информацию недозволенным способом (например, постепенный сбор информации из пользовательских баз данных).

Специалисты по безопасности вынуждены применять самые изощренные способы для управления и наблюдения за входом в критически важные системы компании. Самое трудное — собрать, проанализировать и сделать выводы на основании информации из множества журнальных файлов, что требует немало времени, знаний и терпения.

Новое поколение продуктов безопасности, ориентированное именно на предотвращение атак изнутри, призвано помочь в решении подобных задач. Поскольку атаки могут осуществляться по многим направлениям, для защиты применяются самые разнообразные приемы.

В некоторых продуктах информация собирается из журнальных файлов, куда, в свою, очередь она поступает от серверов, приложений, а также межсетевых экранов, систем выявления вторжений и маршрутизаторов, после чего для уточнения проблемы выполняется аналитическая обработка этих данных. Хотя все упомянутые здесь продукты используют журнальные файлы с целью анализа, они делают это разными способами.

Например, программный продукт eTrust 10/20 компании Computer Associates помимо данных из журнальных файлов использует технику визуализации для более точной оценки действий персонала. Приложение eAudit CONSUL компании CONSUL Risk Management построено по принципу упорядочивания журнальных файлов от различных устройств, оно отслеживает и сравнивает поступки сотрудников, противоречащие политике безопасности.

Еще один производитель этой категории продуктов — компания Guidance Software; ее продукт EnCase содержит средства интеллектуальной проверки контента сетевых устройств, в отношении которых имеется подозрение, что они используются для проникновения или создания брешей. К такого рода средствам принадлежит и система выявления вторжений IntruShield компании IntruVert. Сюда же можно отнести программную систему сбора информации о событиях enVision компании Network Intelligence, а также систему DeepSight компании Secure Focus.

Другой класс продуктов помогает управлять политикой безопасности в отношении внутренних угроз в глобальном масштабе. Среди них — программное обеспечение для сервера и настольного компьютера Cyber-WallPLUS компании Network-1, StormWatch от Okena и FireBlock, FireMarshal, SmokeDetector от Palisade Systems. К этой же категории относится программное обеспечение Builder, Scanner, Enforcer от PoliVec и Lighthouse от Waveset.

Продукты для предотвращения внутренних атак предлагают SilentRunner (подразделение компании Raytheon), TripWire и AirMagnet. Программный продукт SilentRunner оказывает помощь в защите от кражи интеллектуальной собственности (например, патентной информации, хранящейся на сервере) со стороны сотрудников компании. Программное обеспечение TripWire осуществляет наблюдение за другими приложениями и устройствами корпоративных сетей на предмет изменения в конфигурации и атрибутах файлов. Устройство на базе ПК AirMagnet Handheld Pocket помогает защитить и обезопасить беспроводные сети от несанкционированной установки шлюзов доступа.

С некоторых пор на рынке предлагается программное обеспечение для контроля использования персоналом Internet. Среди таких продуктов — Internet Manager компании Elron Software, NetSpective от Telemate и SmartFilter от Secure Computing. Одноименные продукты компаний SuftControl и WebSense также попадают в эту категорию. Еще один продукт KeyGrost одноименной компании позволяет регистрировать нажатие кнопки клавиатуры сотрудниками, как только они приступают к работе на корпоративном ПК.

ВИЗУАЛЬНОЕ НАБЛЮДЕНИЕ ЗА ПЕРСОНАЛОМ

Программное обеспечение eTrust 20/20 компании CA позволяет системному администратору наблюдать за перемещениями сотрудников как в интерактивном режиме, так и от места к месту внутри предприятия. Оно собирает данные от различных источников, включая модули чтения именных карточек сотрудников, системы электронной почты, серверы Web и прочие сетевые устройства. eTrust агрегирует информацию и осуществляет графическое описание наблюдаемой среды. Специалисты отдела безопасности могут проверить, сколько времени проводит сотрудник компании в Internet и обращается ли к ключевым корпоративным ресурсам, таким, как базы данных ключевых сотрудников. Программное обеспечение способно показать, где находятся служащие и даже через какие двери они проходили, фиксируя время посещения той или иной зоны.

Персонал информационных служб может воспроизвести запись определенных действий любого лица за определенный период времени, а кроме того, просмотреть записи из журнала, связанные с такими действиями. Чтобы не допустить фальсификации данных журнала со стороны злоумышленников из числа сотрудников компании, в CA применяется алгоритм сравнения воспроизводимых данных с отпечатком журнального файла, созданным сразу же после его записи.

В результате система eTrust 20/20 начинает различать, что является «нормальным» поведением для того или иного сотрудника, а что — отклонением. Сандип Дайвекар, руководитель подразделения компании CA, разработавшего этот продукт, полагает, что такой подход позволяет устранить ложные тревоги. Он считает, что система eTrust 20/20 (первый продукт CA с лицензией исключительно по принципу подписки) в итоге будет интегрировать изображения от внутренней видеосистемы. Подписка предоставляется сроком на год, а стоимость зависит от числа сотрудников и физических точек доступа, за которыми производится наблюдение. Оплата включает в себя пакет услуг с выездом на место инженера CA в течение первых 90 дней со дня установки системы и 5 дней ежемесячно по истечении этого срока.

БЛОКИРОВАНИЕ ДОСТУПА К СЕТИ

Один из наиболее передовых методов борьбы с внутренними угрозами реализован в устройстве безопасности FireBlock компании Palisade Systems. Оно устанавливается в сети либо близ межсетевого экрана, либо перед сервером и осуществляет пассивный мониторинг источника поступающих пакетов, а также адресов назначения и портов TCP. При обнаружении несанкционированного соединения с адресатом или портом, тому клиенту или устройству, которое инициировало подключение, посылается пакет, инициирующий разрыв соединения.

FireBlock, управляемый программной консолью компании FireMarshal, позволяет предоставлять право доступа к частным ресурсам с учетом разнообразных факторов, включая IP- или MAC-адреса, а также имена пользователей.

Вместе с FireBlock и FireMarshal для имитации критических сетевых узлов устанавливается приманка SmokeDetector. Приманки привлекают ни о чем не догадывающихся злоумышленников покуситься на не существующие, но кажущиеся реальными сетевые ресурсы. Любая попытка обратиться к SmokeDetector указывает в лучшем случае на не в меру любопытного пользователя, а в худшем — на потенциального злоумышленника.

Джеф Горбаль, вице-президент аутсорсинговой компании Kingland Systems по оказанию финансовых услуг, делится опытом работы с FireBlock, рассматривая эту систему в качестве одного из уровней многоступенчатой инфраструктуры системы безопасности. Его компания предоставляет клиентам комплекс финансовых услуг: биржевые сделки, сопровождение заказов, ведение счетов — и все это посредством разделяемой инфраструктуры, где обрабатывается в среднем 30 млн транзакций ежемесячно. Доступ к ресурсам сети клиенты осуществляют по отдельным виртуальным локальным сетям и спискам контроля доступа.

Применение FireBlock для разделения пользователей сети и претворения в жизнь политики безопасности дает ряд преимуществ по сравнению с системой выявления вторжений на базе сервера или сети без свойственных последним недостатков. Из-за того, что устройство работает в пассивном режиме, никто не замечает его присутствия, оно не создает «узкого места», а его отказ не оборачивается отказом всей системы.

В компании Kingland не приходилось сталкиваться с внутренними атаками, однако, по словам Горбаля, «хотелось бы чувствовать себя защищенными». У них не было попыток проникновения со стороны сотрудников туда, «куда им не положено, но корпоративные клиенты подразумевают и требуют принятия разумных и необходимых мер».

По мнению Линдстрома, самая серьезная проблема, с которой сталкиваются компании, использующие продукты Palisade, состоит в том, чтобы разобраться и определить, какой тип поведения в сети приемлем, а какой нет. Он считает, что на уровне приложения это сделать непросто, ведь пользователи вынуждены во многом уповать на способности продукта к автоматическому обнаружению и гибко подходить к его возможностям активного и пассивного управления.

ЧЕРВИВЫЙ ИЗНУТРИ...

Хотя «черви» Code Red и Nimda обычно появляются в результате атак извне, они могут стать серьезной внутренней проблемой. Лоуренс Балдвин, президент компании myNetWatchman.com, построившей распределенную систему выявления вторжений на основе 1300 устройств в 40 странах, установил, что по меньшей мере 15—20 тыс. компьютеров, зараженных вирусами Code Red или Nimda, находились под защитой межсетевых экранов внутри корпоративных сетей.

Балдвин объясняет, что в силу своей природы вирусы Nimda и Code Red продолжают напоминать о себе спустя год после того, как произошла первоначальная атака. Они распространяются в основном по IP-адресам в близких диапазонах, причем более 75% этих адресов подобны адресу уже зараженного компьютера, что делает остальные устройства позади межсетевого экрана прямыми кандидатами на получение вируса.

Инфицированные компьютеры, связанные с Internet через межсетевые экраны или маршрутизаторы, как правило, имеют частный IP-адрес, а их пользователи работают в Internet под общим IP-адресом межсетевого экрана или маршрутизатора. Крупные организации, где применяются межсетевые экраны и маршрутизаторы, наиболее подвержены риску, поскольку 75% атакуемых IP-адресов будут сходны с частными адресами установленных поблизости компьютеров позади межсетевого экрана или маршрутизатора. Балдвин сравнивает «червей» в таких системах с крысами, разбегающимися по трущобам. В течение долгого времени они остаются неопознанными и способными к размножению.

Компания American Tower, владеющая большинством мачт телефонной сотовой связи в Америке и эксплуатирующая их, использует систему StormWatch для обнаружения и истребления вирусов Code Red и Nimda. Роб Шерман, менеджер по сетевым операциям и ответственный за хранение информации в компании American Tower, полагает, что связанные с ними проблемы обычно вызваны подключением к корпоративной сети ноутбуков сотрудников, зараженных у них еще дома. Он припоминает недавнее происшествие, когда некто попытался воспользоваться учетной записью администратора на одном из серверов Web, а StormWatch немедленно это пресекла.

СОВЕРШЕНСТВУЯ ПОЛИТИКУ БЕЗОПАСНОСТИ

Системы Builder, Scanner и Enforcer работают совместно и предназначены для разработки, претворения в жизнь, проверки политики безопасности компании и дальнейшего наблюдения за ее исполнением. Это программное обеспечение позволяет установить несогласованность компьютерных ресурсов компании и корпоративной политики безопасности.

Система Builder включает шаблоны для создания новых правил и помогает персоналу по безопасности транслировать корпоративную политику безопасности в правила эксплуатации. Модуль Scanner регулярно проверяет операционные системы на соответствие, а Enforcer осуществляет непрерывный мониторинг работающих в сети систем в поисках изменений конфигураций. Если таковые обнаружены, Enforcer проводит сравнение с политикой, детально определенной в Builder, чтобы установить, не является ли это изменение нарушением политики.

По словам Роберто Медрано из компании PoliVec, программное обеспечение может автоматически осуществлять проверку функциональности сетевых ресурсов. Оно также дает в руки персонала ИТ инструмент для выявления фактов нарушения политики безопасности и средство убедиться, что все корпоративные системы отвечают последним требованиям.

Медрано считает, что неправильная конфигурация систем и ошибки человека приводят к 95% нарушений, которые можно было бы предотвратить. Проблема, по его мнению, состоит в том, у какой из систем отсутствуют надлежащие заплаты и какая из них сконфигурирована неверно.

Программное обеспечение PoliVec поставляется вместе с шаблонами, отвечающими требованиям нормативных актов. Это позволяет компаниям, работающим в сфере финансовых услуг или органах здравоохранения, удовлетворять разнообразным стандартам в области безопасности и конфиденциальности. Обратная сторона использования систем, основанных на применении шаблонов, заключается в большей сложности при создании собственных правил в соответствии со специфическими требованиями организации.

СРЕДСТВА НАКАЗАНИЯ

Если все же кто-то предпринял внутреннюю атаку, это влечет за собой еще одну серьезную проблему — сбор достаточной информации, чтобы изловить нарушителя. Главное при этом — не разрушить улики, особенно когда осуществляется доступ или просмотр файлов на жестких дисках, в отношении которых есть подозрение, что их атаковали.

Программное обеспечение EnCase компании Guidance Software используется для выявления имеющихся улик в случае преступления и для сохранения этих улик, как того требует закон. С помощью программы деликатно снимается копия с жесткого диска, а ее модуль FastBlock физически не дает операционной системе осуществлять запись на него. Продукт позволяет специалистам по безопасности гарантировать, что система, на которую, по их подозрениям, совершено покушение изнутри компании, не подвергнется никаким дальнейшим изменениям. Последняя версия дает возможность проводить дистанционный анализ систем через корпоративную сеть.

Производители продукта утверждают, что он уже зарекомендовал себя положительно в некоторых компаниях, где применялся в отношении людей, покинувших компанию либо подозревающихся в незаконных или недопустимых действиях. Новая сетевая версия облегчает работу со множеством устройств и помогает усилить внутрикорпоративную политику безопасности при одновременной защите образа компьютера.

Чарльз Колоджи, аналитик из компании IDC, считает, что проблема, с которой компании Guidance придется неизбежно столкнуться при реализации своего продукта, связана с предубежденностью против слежки, поскольку система позволяет внедряться в компьютеры пользователей, когда те об этом и не догадываются. Производителю следует убедить потенциальных заказчиков, что данный продукт может оказать помощь в разрешении многих спорных вопросов, касающихся безопасности контента, например в случае преступлений, вызванных ненавистью или связанных с сексом, и что такая защита поможет компании доказать, что продукт, напротив, обеспечивает интересы сотрудников, заставляя их быть осмотрительнее.

В КОНЕЧНОМ СЧЕТЕ

Сама по себе проблема борьбы с внутренними атаками нетривиальна. Невозможно остановить хорошо подготовленного сотрудника, задумавшего недоброе, и нет гарантированного средства сделать сеть абсолютно неуязвимой.

Следовательно, компания может защитить себя единственным способом — разработать единую архитектуру безопасности для пресечения подобных атак.

Джим Карр — независимый журналист, специализирующийся на вопросах бизнеса и технологий. С ним можно связаться по адресу: jecarr13@charter.net.

? CMP Media LLC

Ресурсы Internet

Сайт правительства Соединенных Штатов http://www.cyber.gov посвящен отслеживанию компьютерных преступлений.

ФБР поддерживает домашнюю страничку группы по компьютерным преступлениям по адресу: http://www.emergency.com/fbi-nccs.htm.

Федеральный центр реагирования на компьютерные инциденты (Federal Computer Incident Response, FedCIRC) занимается вопросами безопасности, если они касаются гражданских компаний и правительственных организаций. Его адрес: http://www.fedcirc.gov.

Международные организации InterGov и WebPolice оказывают помощь в борьбе с преступлениями в сети Internet. Их сайты http://www.intergov.org и http://www.web-police.org содержат ссылки на различные ресурсы, включая способы описания преступлений в этой области.