"Безопасность – это не состояние, это процесс. Находиться в процессе – это значит заниматься им вечно, пока вы в нем находитесь". Из доклада.

Владимир Мамыкин сразу обратил внимание слушателей на необычное представление своей персоны (сотрудник "кабинета Президента Microsoft в России и СНГ"), сняв тем самым некоторые вопросы относительно изменений в высшем руководстве Microsoft в России. С начала этого года Ольга Дергунова стала Президентом Microsoft в России и СНГ. У нее образован небольшой кабинет, который занимается стратегическими проектами, которые важны не только для России, но и для других стран. У Microsoft есть представительства в Киеве и Казахстане – это самостоятельные подразделения Microsoft, со своими Генеральными директорами. С 31 августа 2004 года на должность Генерального директора ООО "Майкрософт Рус" назначен Биргер Стен (Birger Steen).

Обзор стратегии Microsoft в области создания защищенных систем

"Когда кто-то говорит, что я сделаю систему лучше, безопасней, я не верю по одной простой причине: если бы кто-то мог сделать пятью, десятью, ста людьми то, что могут сделать десятки тысяч людей, в течение многих лет занимающиеся этим делом, это означает, что потенциал таких людей в десятки, сотни тысяч раз превышает потенциал одного человека, что для коллективов категорически неправильно, и тогда вопрос следующий: а почему он не работает в том месте и не делает общее дело?" Из доклада.

Владимир начал с того, что указал на очевидную смену мотивации кибер-преступников за минувший год. С приходом серьезных криминальных структур в область, связанную с хакерством, оказалось, что последнее может приносить очень приличные деньги. И можно уже говорить об организованной преступности, бороться с которой становится гораздо сложнее, поскольку руководят этим не подростки, а, нередко опытные специалисты, которые умеют многое. Людей в службе информационной безопасности категорически не хватает не только в Microsoft. Их не хватает во всем мире.

Владимир привел статистику взломов информационных систем за 2004 год (ноябрьский отчет английской компании mi2g, которая занимается исследованиями в области безопасности), см. Рисунок 1.

При этом необходимо учесть статистику распространенности серверных операционных систем (данные IDC) и количества взломанных Internet-серверов (данные mi2g), см. Рисунок 2 и Рисунок 3.

С учетом распространенности Windows во всем мире надежность решений от Microsoft приближается к аналогичным показателям BSD. Многие серьезные системы работают на IIS 6.0. По самым последним данным, с момента выхода IIS 6.0 (а продукту уже больше года) в нем была обнаружена одна существенная и две небольшие ошибки. "NASDAQ работает на IIS 6.0", - подчеркнул Владимир.

По данным IDC, как и в прошлом году, 95% уязвимостей в сетях связано с человеческим фактором. Это, в первую очередь, обусловлено недостаточной квалификацией персонала. Именно поэтому средние и небольшие компании терпят такие колоссальные убытки (см. Рисунок 1) – у них просто нет возможности содержать квалифицированный персонал. В целях выявления и поимки кибер-террористов Microsoft создала поощрительный фонд - 5 млн. долларов. Эта инициатива корпорации была подхвачена SCO и рядом других крупных компаний, которые также предлагают деньги за поимку кибер-преступников.

Далее Владимир упомянул о стратегии построения защищенных информационных систем (Trustworthy Computing), представленной в докладе Кирилла Фаенова на открытии конференции «Платформа 2005», и о четырех столпах TWC: Privacy, Security, Reliability и Business Integrity. Особое внимание Владимир обратил на то, что privacy (конфиденциальность) и security (безопасность) мы часто переводим одним словом – безопасность. У нас еще нет законов, которые разделяли бы эти понятия внутри нас самих, поэтому то, что связано с конфиденциальностью, у нас часто не принимается во внимание вовсе (пример - последняя утечка баз данных Пенсионного фонда).

Некоторые примеры технологий

Стив Балмер в ответ на вопрос "Почему у Microsoft нет исследовательских центров ни в России, ни в Англии – только в Редмонде?" сказал: "Мы можем собрать любое количество талантливых людей в одном месте как рабочую команду - мы считаем это более эффективным".

Инфраструктура открытых ключей (PKI) в продуктах Microsoft. Инициатива TWC неразрывно связана с инфраструктурой открытых ключей (PKI) – это то, что пронизывает все продукты Microsoft. Она бесплатна и входит в серверы Microsoft, начиная с Windows 2000 (эти серверы проходили в Еврокомиссии тесты на совместимость, кросс-сертификацию и т.д. – все тесты были успешно пройдены). Отличие серверов сертификации Microsoft от коммерческих серверов сертификации (например, VeriSign) только одно и оно обусловлено бизнес-логикой, бизнес-ориентацией самой компании Microsoft. VeriSign по мощности и функциональности – такая же система, но количество услуг, которое пользователь может себе позволить, работая с сертификатами VeriSign, - около 500, тогда как в Windows Server 2003 – 40-50. Однако сама структура PKI в Microsoft такова, что все необходимое уже присутствует непосредственно в ядре, и партнерам Microsoft очень легко и удобно писать новые приложения и новые службы на базе этих сертификатов.

"Мы делаем базовые продукты лучше всех. Но без приложений наши операционные системы и серверы баз данных не играют никакой роли. А приложения пишут партнеры, и мы этих партнеров всегда поддерживаем, - подчеркнул Владимир. - Философия Microsoft: PKI должна быть бесплатной, потому что это веление времени. Это стандартное дополнение современных информационных систем".

Использование средств аутентификации. В текущем году Microsoft совместно с RSA, глобальным международным партнером по безопасности, осуществила разработку генераторов одноразовых паролей (что давно применялось, скажем, в CISCO, всего порядка 200 систем используют одноразовые пароли для аутентификации) и возможность ввода паролей с помощью смарт-карт. С 14 октября эти решения уже продаются через сеть дистрибьюторов Microsoft.

Несколько недель тому назад в Копенгагене на конференции TechEd было анонсировано другое интересное решение. Специалисты Европейской компании Axalto создали смарт-карту, полностью совместимую с международным стандартом, но разработали ее, используя .NET-технологию. Они создали свой интерфейс, который является подмножеством международного стандарта, и теперь все, кто умеет пользоваться, например, Visual Basic, могут писать приложения, связанные со смарт-картами, см. Рисунок 4.

Управление цифровыми правами документов. Владимир обратил внимание слушателей на то, что Rights Management Services (RMS) можно рассматривать как дополнительную защиту в условиях уязвимости информации в беспроводных сетях, в том числе при использовании технологии Bluetooth. Рабочий процесс при использовании RMS выглядит следующим образом, см. Рисунок 5. Эта технология не совсем связана с безопасностью в явном виде. Это технология защиты конфиденциальной информации на уровне ролей по отношению к информации, например, в бизнесе.

Обзор основных усовершенствований, вошедших в SP2 для Windows XP. Владимир напомнил слушателям, что речь идет о четырех основных областях – межсетевом экране (сеть), диспетчере вложений (обработка вложений электронной почты), защите от исполнения и контроле переполнения буфера (память) и Internet Explorer (работа в Internet). Очень бегло ознакомив слушателей с дополнительными усовершенствованиями в SP2, приведенными на Рисунке 6, он напомнил о выходе в начале 2005 года Windows 2003 SP1 и Windows Update Services, привел пример внедрения WUS в Министерстве иностранных дел в Швейцарии, см. Рисунок 7, после чего остановился на описании реального процесса Trustworthy Computing (TWC), который сейчас работает при создании новых продуктов Microsoft, см. Рисунок 8.

"Все это начало работать два года тому назад. Прежде ничего этого не было: не строились атаки на этапе разработки, не моделировались угрозы, не были описаны даже потенциальные угрозы, не привлекались третьи фирмы для пробных атак на рабочую систему, и т.д.", – уточнил Владимир. Говоря об инициативах безопасности, он подчеркнул, что значительная доля от общего объема затрат на исследования и разработку (R&D) на 2004 год – 7,8 млрд. долл. – ушло на инвестиции в разработку систем безопасности.

Владимир привел несколько примеров, позволяющих оценить масштаб вложений в R&D, и выразил надежду, что текущая позиция руководства Microsoft изменится, и в недалеком будущем исследовательские центры Microsoft появятся и в России. После чего перешел к заключительной части своего доклада.

Стратегические проекты в России

"Существует две школы криптографии – американская и российская, на их базе развивалась безопасность. То, что мы делаем здесь в России, настолько востребовано зарубежными компаниями, они в высшей степени заинтересованы в наших решениях в этой области – а мы не даем нашим компаниям возможности продавать и зарабатывать на международной арене". Из доклада.

Два года назад Microsoft подписала с ФАПСИ соглашение о передаче исходных кодов, см. Рисунок 9. Почему это было сделано? Позиция Microsoft, в отличие от позиции ряда других компаний, производящих коммерческое программное обеспечение, IBM, Oracle, или компаний, исповедующих Open Source, таких как RedHat, заключается в следующем. Существует всего лишь три больших организованных группы людей, которые могут проверить, насколько хорошо что-то устроено. Главное – люди в этих группах должны быть обученными. Это, прежде всего, государство, которое, вне всякого сомнения, имеет такие институты. Это учебные заведения, институты, университеты. И, наконец, это крупные компании, у которых просто есть необходимые ресурсы – человеческие, временные, денежные - чтобы заниматься такими проблемами.

Всем трем категориям Microsoft предоставляет свои коды. Что касается России, то Microsoft предоставляет коды только государству, поскольку уровень защиты прав интеллектуальной собственности иного не позволяет. Более 70 университетов в мире исследуют коды Microsoft (в Швейцарии, например, этим занимаются очень многие университеты). Но они знают, что если они эти коды кому-то передадут, за это придется отвечать. И третья группа – крупные компании, которые легально купили программное обеспечение Microsoft и для лучшей интеграции своих ресурсов с продуктами Microsoft им нужны исходные коды. "Я получал некоторые вопросы от крупных российских компаний – ни в одной крупной российской компании – ни в Газпроме, ни в Юкосе – нет такого количества легально купленного программного обеспечения, чтобы даже начинать разговор. Поэтому пока - только государству", - с сожалением отметил Владимир.

По программе Government Security Program, в соответствии с переподписанным с ФСБ соглашением (ранее было подписано с ФАПСИ), техническая информация и исходные коды Microsoft Windows становятся доступны организациям, работающим над повышением уровня защищенности государственных информационных систем, в первую очередь ФСБ, Гостехкомиссии России и Министерству обороны, см. Рисунок 10.

На сегодня в России организован Центр доступа к исходным кодам на базе НТЦ "Атлас" в интересах различных государственных организаций, но не для частных компаний. Ответственность за соблюдение этого пункта несет государство в лице ФСБ. Если ФСБ скажет, что "вам не нужно, это для государства", тогда даже желания Microsoft будет недостаточно для того, чтобы разрешить доступ к кодам. Но если ФСБ скажет "нужно", а Microsoft скажет – "нет, это не та компания, которой можно доверить", тоже доступа к кодам никто не получит; это относится к любой компании, которая докажет, что коды ей необходимы. Одним из обоснований является сертификация, которую проводит компания. Сертификация, опять же, согласовывается с Microsoft. Сейчас для исследований предоставлены коды Windows XP, Windows Server 2003, Windows 2000 (сервер и рабочая станция, включая результаты международных тестовых испытаний по исследованию Общих Критериев) и Office 2003 (начиная с января 2005 года).

Владимир Мамыкин является убежденным сторонником того, что России совершенно необходимо присоединиться к Общим Критериям по двум причинам. Первая: присоединение никоим образом не нарушит ту структуру систем национальной безопасности, которая сейчас сложилась. Это делается очень просто, поскольку Общие Критерии – гибкая система, и, например, все, что требуется для защиты государственной тайны, может быть выведено на 5-й уровень, который не является взаимно признаваемым, это будет личный уровень России. Система национальной безопасности не пострадает, и это все понимают, в том числе и Совет Безопасности России. И второе, очень важное обстоятельство: природные ресурсы рано или поздно иссякнут, в отличие от "мозгов", которые являются возобновляемым ресурсом и на этом очень многие страны уже сейчас живут – пример Швейцарии в фармацевтике и механике, а не только в области банковского дела, см. Рисунок 11 и Рисунок 12.

Если в России будут созданы лаборатории, которые позволят здесь, в России, сертифицировать российские продукты по Общим Критериям, по международному стандарту, а это уже будет международный сертификат, то тогда лаборатория Касперского, ABBYY и другие достойные компании с хорошими продуктами мирового класса смогут продаваться не только среди мелких и средних компаний за рубежом, но и среди крупных и государственных учреждений. А это всегда основной рынок, который на сегодня для них закрыт именно потому, что сертифицировать по Общим Критериям, например, антивирус, для того чтобы продавать его правительству Германии, нашим компаниям не по карману. Специальные условия государства для российских компаний сертификации в России могут решить эту проблему и дать возможность выйти на международный рынок с очень неплохими продуктами, особенно в области информационной безопасности, см. Рисунок 13.

Цель Microsoft при работе с государственными учреждениями – сертифицировать все, что необходимо государству, чтобы государство, а также крупные и мелкие компании, могли построить свои защищенные системы на базе сертифицированных решений.

Почему надо строить защищенные решения на основе сертифицированных решений? "Если вы строите что-то и защищаете что-то сами, вы сами за это и отвечаете, – напомнил Владимир. – Если вы что-то построили, особенно если речь идет о государственной организации или большой компании, и надо перед кем-то отвечать, например, перед органами Гостехкомиссии, которые периодически могут прийти и спросить: "А где у вас транзакции, связанные с госбюджетом, как вы их защищаете в своей сталелитейной компании?", то именно для того, чтобы не иметь серьезных проблем и упростить себе жизнь, ставятся сертифицированные решения". Тем самым, часть ответственности перекладывается на то, что вынес сертифицированный орган. В действительности это очень непростая вещь для самих сертифицирующих органов – ФСБ, Гостехкомиссии – и довольно тяжкий груз для них, но такой функционал определен законодательством, и они обязаны за него отвечать.

Чтобы строить защищенные системы было легко и удобно, Microsoft организует производство сертифицированных версий программного обеспечения (сейчас пока только XP), и все, что Microsoft сертифицирует, будет организовано в производство. Это означает, что каждый диск будет проверен, является ли он именно тем, который был на сертификации, включая все исправления.

В заключение Владимир Мамыкин выразил надежду, что взаимопонимание, установившееся в ходе совместных работ между Microsoft и Гостехкомиссией (и ФСБ не должно стать в этом отношении исключением – к тому есть определенные предпосылки) не позволит заказчику выйти за рамки сертифицированных версий. Все исправления, все пакеты обновлений также являются сертифицированными, и, купив сертифицированную версию продукта после выхода исправления и установив ее, заказчик гарантированно получит сертифицированный продукт, поскольку сертификация проходит на довольно раннем этапе, задолго до выпуска самого исправления для широкого применения, см. Рисунок 14.

Олег Лохин – редактор электронной версии журнала “Windows IT Pro”.