Безопасность и человеческий фактор

Сегодня злонамеренные хакеры пишут "любовные" письма и организуют
распределенные атаки, завтра вместе со следующим поколением системных программ
появятся совершенно иные способы нарушения их функционирования. И как бы ни
старались специалисты по компьютерной безопасности, сколько бы бессонных ночей
ни провели за настройкой корпоративного сервера ваши специалисты, полностью
исключить вероятность взлома они не сумеют.

Если правильный путь выполнения задачи всего один, то способов все испортить
существует великое множество. Поэтому тематика безопасности никогда не потеряет
своей актуальности.

Как все испортить…

Число вполне реальных угроз в сегодняшнем Internet таково, что любой технически
неподготовленный читатель просто увязнет в обилии терминов. И если некоторые
из них, вроде "spoofing" и "flooding", хоть звучат привычно
(для англоговорящей аудитории), то "Ping of Death" больше напоминает
название триллера.

Впрочем, для понимания негативных последствий DDoS-атак, спама и почтовых "червей"
достаточно самых банальных знаний, почерпнутых в публикациях о громких инцидентах
последних лет. Они вряд ли помогут разобраться с технической стороной проблемы
и средствами для ее решения, но хотя бы дадут для этого повод.

Однако мало кто подозревает, что вполне соизмеримая опасность таится в недрах
любой организации и заключается в… поведении его работников. 97% компаний,
опрошенных в ходе CSI/FBI Computer Crime and Security Survey (1999 г.), утверждают,
что их сотрудники злоупотребляют доступом в Internet. Причем в 70% из них доступ
в Internet имела более чем половина персонала. Поскольку подавляющее большинство
компаний руководствовались на тот момент выработанными правилами пользования
Сетью, то 60% опрошенных сумели приструнить нарушителей, а в 30% фирм таковые
вообще были уволены.

Есть две основные (по мнению автора) причины, почему следует опасаться нецелевого
серфинга: риск потери репутации и снижение производительности сети.

Первую необходимо расшифровать. Как известно, мало что может сравниться по популярности
с сайтами фривольного содержания. Проблема, безусловно, не в том, что "развращенные"
работники будут плохо влиять на атмосферу в компании (хотя, кто знает). Однако
даже хранение материалов определенного характера — детской порнографии, документов
с расистскими призывами и т. д. — вступает в противоречие с международными
законами.

Вторая же — "несанкционированный" рост трафика — довольно очевидна.
Чтобы полностью загрузить канал на 128 Kbps (типичная пропускная способность
выделенных линий в Киеве) необходимо всего три (!) радиотрансляции с наиболее
популярным потоком 56 Kbps. Три бездельника слушают радио, а десяток других
не в состоянии получить важную деловую корреспонденцию или финансовый отчет
из банка.

А теперь вспомним о набирающих популярность видеотрансляциях… "Согласно
отчету Старра, датированному октябрем 1998 года, Internet-трансляции обошлись
бизнесу более чем в 450 млн. долл. Конечно, потоковое видео и аудио — крайний
случай, тем не менее не стоит думать, что массовое посещение перегруженных графикой
развлекательных сайтов не сказывается на производительности сети.

Еще один эффект "отвлеченного серфинга" — снижение производительности
труда сотрудников. По данным Nielsen-NetRatings, в среднем служащие тратят на
это более часа в день, что может стоить компании со штатом в 1000 человек 35
млн. долл. в год.

Оценка эта весьма условна, и дело даже не в абсолютных показателях. Сотрудник,
привыкший попусту тратить рабочее время, всегда найдет для этого повод. Если
же вместо традиционного "перекура" он посетит парочку сайтов или поболтает
в ICQ, результат останется прежним. Этот факт, естественно, не отвергает необходимость
борьбы с "производственными издержками". Тем более что вместе с порнографией,
апплетами для игры в казино и развлекательной информацией на ПК пользователей
попадают вирусы и троянские программы, подвергая угрозе всю тщательно построенную
систему корпоративной безопасности.

…и исправить…

Чтобы бороться с такими проблемами, как DDoS-атаки, крупным корпорациям следует
в первую очередь побеспокоиться о наличии резервного или альтернативного канала
подключения к Internet. Что это означает? Каким бы крупным и надежным ни был
ваш провайдер, в один прекрасный день он может вас подвести. Это будет "сетевой
затор", атака на одного из его клиентов, сти­хийное бедствие или финансовый
кризис.

Под номером два в списке спасательных средств, несомненно, стоит дублирование
важнейших серверов и обеспечение грамотного баланса нагрузки. Можно положиться
на программные реализации, а можно и приобрести интеллектуальный маршрутизатор.

Неплохой способ предотвратить хакерскую атаку — сымитировать ее самостоятельно, ликвидировав затем обнаруженные "дыры". Подобные методики разрабатываются различными специалистами и многочисленными организациями, занимающимися проблемами компьютерной безопасности, — недостатка в них нет. Например, для случая Windows NT/2000 четкие рекомендации можно найти на этом сайте.

Многие в вопросах безопасности полагаются исключительно на возможности межсетевого
экрана (firewall). Не следует, однако, забывать, что по сути своей данный компонент
сети должен только контролировать доступ к определенным портам (тем самым регламентируя
работу служб HTTP, FTP, Telnet и т. д.) и выполнять наиболее примитивную фильтрацию
IP-адресов (ограничивая права доступа по "территориальному" признаку).
Более изощренные задачи могут оказаться ему "не по зубам". Например,
недавно в Национальном техническом университете Украины случился скандал —
неожиданно пришли колоссальные счета от провайдера. Оказалось, студенты смогли
обойти ограничения на доступ к Internet путем туннелирования трафика всех протоколов
через один единственный открытый порт.

Для борьбы с "внутренним врагом" — праздными "серферами"
— также имеются специальные технические средства, предназначенные для фильтрации
контента. Они поставляются различными компаниями и существуют в самых разнообразных
вариантах — от масштабирующихся корпоративных систем (например, Symantec I-Gear)
до небольших для локальных сетей на 10—20 ПК (www.internetwatcher.com).

Обычно они основываются на списках сайтов и словарях. Можно также ограничивать
доступ к Internet по расписанию, например отключая его в нерабочие часы. Часто
подобные пакеты предлагают функции кэширования, так что вместе с "цербером"
вы получите и Web-ускоритель.

Механизм фильтрации контента вполне реально сделать не только "гильотиной",
но и профилактическим средством — получение отчетов о деятельности сотрудников
в Internet позволит выявить основные виды их активности, определить наиболее
часто посещаемые ресурсы.

Кстати, вовсе не обязательно наглухо закрывать доступ к сайтам неделового содержания,
достаточно настроить механизм предупреждений, которые в этом случае будет получать
руководитель или системный администратор.

Можно также установить фильтр на отсеивание файлов определенного типа, генерирующих,
по мнению специалистов, наиболее неравномерный трафик (avi, wav, mov, qt, ra,
rm и т. д.) или представляющих угрозу безопасности (com, exe, jar и т. д.).
Наибольшую же популярность сегодня приобрела фильтрация почты, поскольку проблема
спама является насущной для каждого владельца электронного почтового ящика.

…но не переусердствовать

Проблема доверия в Internet выросла до огромных размеров, полностью затмив собой
поднимающееся "солнце" электронной коммерции и отбрасывая обширную
тень на те блага, что несет с собой новая среда коммуникаций.

Согласно последним исследованиям MIT, только половина покупателей предпочитает
выбирать онлайновые магазины с наиболее низкой ценой, другая половина отдает
предпочтение сайтам, которым они доверяют.

Еще более ярко обрисовывает ситуацию работа Джудит и Гэри Олсон (Judith Olson,
Gary Olson), опубликованная в декабре 2000 г. В ней показано, что в корпоративной
среде степени доверия распределены следующим образом (по нисходящей): личное
общение, телефонный разговор, текстовый чат, электронная почта. Побочным результатом
является прогноз бурного развития систем видеоконференций, поскольку они наиболее
приближены к личному общению.

Обратной стороной низкого уровня доверия в Internet стала чрезмерная защищенность
сайтов электронной коммерции. Покупатель подобного заведения зачастую находится
в весьма унизительном положении. Прежде чем совершить покупку, ему придется
зарегистрироваться, заполнить анкету и получить пароль и логин. И так на каждом
сайте.

Вообразите, что продавцы гастрономов, служащие заправочных станций, мелкие лотошники
и даже старушки на базаре не станут иметь с вами дела, пока вы не скажете соответствующий
пароль, для получения которого необходимо принести паспорт и заполнить подробную
анкету. И при этом вы еще будете рыться в записной книжке, поскольку по совету
авторитетного журнала выбирали себе различные и весьма замысловатые пароли.

Как справедливо заметил Ричард Паттон (Richard Patton) из Maritz Travel Company:
"Я не хочу поддерживать взаимоотношения с каждым торговым "доткомом",
который я постоянно посещаю. Я просто хочу там что-то покупать".

Та же проблема возникает и внутри корпоративной среды, а также при взаимодействии
партнерских компаний. Большинство действительно опасных взломов обычно имеют
свои корни с "внутренней" стороны брандмауэра и вовсе не являются
проделками китайских хакеров. 57% системных администраторов и CIO, опрошенных
eWEEK, заявили, что нарушения правил доступа происходили по вине работников
предприятий, 21% признали, что их компания стала жертвой обиженного служащего.
В совокупности с нерациональным использованием Internet это дает основание менеджерам
информационных систем максимально ограничивать свободу пользователей.

Пароли, разграничение доступа, фильтрация контента, временные ограничения…
Так можно продолжать до бесконечности или… до тех пор, пока один из ключевых
специалистов не сможет выкачать необходимые ему презентационные материалы за
час до начала конференции только потому, что файлы avi или mp3 попали в "черный
список".

Безопасность имеет смысл только тогда, когда установленные правила не мешают
и не замедляют работу. Например, упреждающее кэширование — отличная вещь, снижающая
нагрузку на внешние каналы, но только если вашим сотрудникам не требуются котировки
акций или ленты новостей.

И, наконец, наиболее активно обсуждаемая сегодня дилемма: Большой Брат или анархия,
дисциплина или свобода. Сторонники свободы слова и либеральных ценностей утверждают:
фильтрация контента, ограничение доступа к Intern­et — первый шаг к оруэлловской
антиутопии. А менеджеры корпораций требуют большей отдачи от работников, жаждут
сокращения непроизводственных затрат, оптимизации использования сетевых ресурсов.

Проблема довольно сложна. С одной стороны, корпоративная сеть является собственностью
корпорации, служащие пользуются ею, равно как и любым другим инструментарием
(принтерами, сканерами, компьютерами) исключительно в рамках своих обязанностей.

С другой стороны, зачастую последние используют средства коммуникации (обычные
и мобильные телефоны, факсы, пейджеры) и для неделового общения. Это негласно
допускается во множестве рабочих коллективов. Чаще всего применяется правило
— внутренний прямой номер телефона служащие не имеют права давать кому-либо.
Внешние звонки приходят исключительно через секретаря. Таким образом, полный
запрет отсутствует, регуляция происходит по времени доступа.

В связи с конвергенцией всех средств коммуникаций в рамках Internet, было бы
неразумно пытаться полностью запретить нерабочее использование Сети. А контроль
трафика и почтовых ящиков непременно будут вызывать самое активное противодействие
общественности.