от Nick Angelow(22-06-2005)

рейтинг (-11)   [ добре ]  [ зле ]

Printer Friendly Вариант за отпечатване

АДАПТИВНОСТТА КАТО ПЪТ КЪМ СИГУРНОСТТА

http://www.osp.ru/os/2004/10/017_print.htm

Леонид Черняк
27.10.2004, списание “Отворени системи, № 10, 2004.



Създадените от човека средства за нападение преминаха в своята еволюция пътя от тоягата до термоядреното оръжие, средствата за защита – от щита до подземните бункери с пълно жизнено осигуряване. Но в XXI век, развитите страни, разполагащи с чудовищни арсенали, неочаквано се оказаха беззащитни срещу действията на терористи, използващи съвсем прости технологии. Само използването на активни средства за защита ще позволи успешно противопоставяне. Нещо подобно се случва сега и в областта на осигуряване на информационна сигурност.



«Нямайки възможност да управлявам
събитията, аз управлявам себе си, а ако
условията не се адаптират към мен,
то аз самият се адаптирам към тях».
Мишел Монтен (1533-1592)



Цялата история на средствата, предназначени за осигуряване на сигурност във всяка една област, свидетелства за неизбежността на прехода от статични средства за защита към динамични такива, способни да се адаптират в околната среда. Древният Китай искаше да се спаси от набезите на номадите от север с издигането на Великата китайска стена, но въпреки, че това каменно съоръжение е толкова голямо, че се вижда от космоса, то е имало само ограничено значение за защитата на империята. Същото може да се каже и за останалите статични средства за отбрана. Появата на огнестрелното оръжие обезсмисля рицарските доспехи, артилерията и самолетите обезсмислят средновековните замъци, и накрая, в XX век, подвижността на армейските съединения води до отпадането на нуждата от щурмуване на такива исторически отбранителни съоръжения като финската линия „Манерхайм“ или френската „Мажино“ – тяхното заобикаляне се оказа далеч по-просто.

Не представляват изключение и технологиите за осигуряване на информационна сигурност. На пръв поглед ни се струва, че те спадат към най-съвременните информационни технологии, но на фона на приведените примери не може да не отбележим известна архаичност в идеологията на сигурността, като допълнителен пример за това може да бъдат посочени имена като „Дозор“, „Застава“, „Virtual vault“ (Виртуален замък), отразяващи стремежа към превръщане на корпоративните информационни системи в укрепени райони с ешелонирана отбрана. Подобен „фортификационен“ подход е бил напълно закономерен и достатъчен на определен етап на развитие. Освен това (което е напълно естествено), той води своето родословие от времената, когато различни „органи“ осигуряваха сигурността на правителствените структури и който се запази донякъде, когато възникна необходимост от осигуряване на безопасност за финансовите институции. Защитният подход се формираше от предположението за статичност на околната среда и условия на бавна еволюция на средствата за нападение.

Но развитието на мрежовите технологии и навлизането на компютрите буквално във всички сфери на човешка дейност промениха радикално ситуацията – заплахите станаха разнообразни и многобройни, и вече се налага да се защитават не само някакви особено ценни неща, а практически всички технически и информационни ресурси на корпоративните системи и даже, на личните компютри. Ние живеем в индустриална епоха, когато компютърните системи се превръщат във всепроникващи такива (ubiquitous computing) и превръщат в такъв целият обкръжаващ ни свят. В този нов свят, информацията трябва да бъде достъпна за потребителя в произволно място и в произволно време, което води до размиване на периметъра за отбрана. Трябва да се отчита и обстоятелството, че тектоничните по мащаб размествания в областта на осигуряване на информационна безопасност, се извършват на фона на нарастващите изисквания към защитата правата на личността.

Събитията в момента, ни дават право да говорим за формиране на нова парадигма за сигурността, която не е непосредствен резултат от еволюцията на съществуващите средства за осигуряване на информационна сигурност, тъй като със средствата на информационните технологии се осигуряват много по-широк кръг от проблеми, включително и проблеми, свързани с физическата сигурност. Явно времето, когато физическата и информационна сигурност съществуваха независимо една от друга вече свършва.

АДАПТИВНАТА СИГУРНОСТ СПОРЕД CAPGEMINI

Сред първите организации, опитали се да определят този нов подход към осигуряването на корпоративната сигурност, в това число и информационната, беше голяма консултантска компания, специализирала се в областта на сигурността, носеща в момента името Capgemini (отскоро тя е в състава на консултантският концерн Ernst & Young). Ръководителя на направлението за IT сигурност, Бари Биил (Barry Beal) формулира по следния начин нуждата от промяна: „Забравете старото „крепостно“ мислене; новият подход, на първо място, се нуждае от управление на риска“1.

Според експертите от Capgemini, бъдещето принадлежи на адаптивната сигурност (adaptive security)2, като тя трябва да стане една от най-важните съставни части при създаването на адаптивната компания (adaptive enterprise)3, за което се говори толкова много в последно време. Адаптивната сигурност може да се разглежда едновременно и като нова философия, и като сбор от технологии; във всеки случай, главен е прехода от статично към динамично състояние, от частни към общи решения. Адаптивната сигурност ще позволи създаването на доверителна екосистема и ще даде възможност за намиране на баланс между стойността на общата сигурност и допустимия риск. Разликата между адаптивната и „крепостна“ сигурност е най-вече в това, че тя се интерпретира не като отделна IT услуга или продукт, а като част от бизнес процеса и съответно управлението на сигурността се вписва в общото управление на бизнес процесите.

В опит да определят съвременните изисквания към сигурността, Capgemini, съвместно с компанията Cisco Systems са изследвали над 270 американски компании, в резултат на което е съставен каталог, Adaptive Security Index, на най-успешните опити за създаване на системи, осигуряващи адаптивна сигурност. Ще цитираме няколко препоръки от него:

    1. Разширете планирането на сигурността върху цялата организация

      Само една трета от компаниите осигуряват достатъчна съгласуваност между IT, бизнеса и усилията, насочени за постигане на сигурност. Оставащите пролуки представляват най-голямата опасност, поради което трябва да се създаде единна работна група (Security Working Group), отговорна за планирането на сигурността отгоре надолу;

    2. Разработете активна интегрирана инфраструктура на сигурността

      Компаниите трябва да изграждат единна инфраструктура на сигурността, включваща както технически, така и нетехнически средства, притежаваща елементи за обратна връзка, която да позволява усъвършенстването на инфраструктурата. Тя трябва да се състои от пет компонента: защитни стени; средства за удостоверяване на потребителите; средства за откриване на заплахи и уязвимости; средства за осигуряване сигурността на мобилните потребители; средства за управление на инфраструктурата.

    3. Създайте система за оценяване на ефективността от инвестициите в сигурността

      Изследването показа, че въпреки факта, че 98% от компаниите имат намерение да увеличат инвестициите си в областта на сигурността, само 40% правят опити да оценят ефективността от тези инвестиции. При липса на необходимата система за оценяване е невъзможно да се създаде система за сигурност, адекватна по разходите си на стойността на съхраняваните данни;

    4. Работете с приемливо ниво на риск

      Ако нещо не струва да бъде защитавано, то не трябва да се влагат средства в неговата защита;

    5. Управлявайте инфраструктурата в съгласие с юридическите изисквания

      От гледна точка на законодателството, съвременният бизнес има особеността да бъде интернационален с помощта на мрежовите технологии. Доставчика и потребителя могат да се подчиняват на различни национални юридически норми. Подценяването на това обстоятелство може да доведе до финансови загуби, а понякога и до загуба на бизнеса.

    6. Разработете гъвкава и балансирана политика за сигурност

      Бавно, но сигурно компаниите започват да осъзнават, че формалното определение на политика на сигурност е абсолютно необходимо. Тя трябва да бъде балансирана между оперативната гъвкавост и регулиращите норми, на които е подчинена компанията.

    7. Разработете и въведете в корпоративната култура обща грижа за сигурността

      Трябва да помним, че най-слабото звено в сигурността – това са хората, поради което най-ефективни от хакерските инструменти са методите на социалното инженерство. Грижата за сигурността и информираността в тази област са най-добрите средства за защита.

КАКВО ИМАМЕ И КАК (ГО) ЗАЩИТАВАМЕ?

За да осигурим информационна сигурност в съвременните условия, традиционните мерки за защита на каналите за връзка вече не са достатъчни. Необходимо е проблемът да бъде разглеждан в неговата пълна цялост. Сложността на подобна постановка на задачата се увеличава и от това, че практически никой от тези, които защитават информацията, колкото и да е странно, не си дава труда да определи самият предмет на защита. Тук, както и в много други области на информационните технологии, пагубна роля изигра сляпата инженерна вяра в уникалността на определението за информация, формулирано в статистическата теория за информацията и теорията за пренос на сигнали. А много по-логично е да тръгнем по стъпките на специалистите по информатика (на истинската информатика, изучаваща информацията, а не информационните технологии) и философия, заемайки от тях триадата данни – информация – знание.

Разделянето на предмета на защита на тези три категории ще позволи да им съпоставим съответните средства. Данните не са нищо друго, освен записи от нули и единици, съхранявани върху носителите или казано с други думи, суровина за получаването на информация от тях. Информацията не се измерва с байтове – в тези единици се изразява единствено обема на данните. Както всеки друг продукт с материално представяне, данните могат да бъдат унищожени, загубени, откраднати, прехванати и т. н. За предотвратяване на тези събития, трябва да се използват адекватни технически мерки и на практика, по-голямата част от това, което е прието да се нарича средства за защита на информацията, всъщност са само средства за защита на данните. Информацията е доста по-сложна материя; без да задълбаваме много, може да се каже, че това са полезните сведения, които могат да бъдат извлечени от данните, че без човек информацията не съществува и следователно, защитата на информацията неизбежно включва както технически, така и социални мерки4. А носител на знанията са хората – ролята на техническите средства за защита на знанията е съвсем специфична и ограничена.

От изключителен интерес ще е появата на работи, намиращи се на границата между осигуряването на сигурност и управлението на знания, но за съжаление, толкова дълбок анализ на предмета на информацията не успях да открия. Една от малкото статии, в които се прави опит за комплексно представяне на задачата за постигане на сигурност на корпоративната информационна система, принадлежи на швейцарският автор Шон Боран (Seán Boran). Името на статията – „Преглед на корпоративната информационна сигурност – съчетаване на организационна, физическа и IT сигурност (An Overview of Corporate Information Security, Combining Organisational, Physical & IT Security) звучи многообещаващо. И въпреки, че Боран в своя анализ не излиза извън рамките на областта на информацията, неговата работа привлече немалко внимание.

Боран разделя областта на „съществуване“ на информацията на три съставни части – физическа, социална (или персонална) и логическа (или мрежова). Това разделяне позволява да се структурира някакъв подход към осигуряване на сигурността. Физическата съставяща е мястото, на което се съхранява информацията (на хартия, на сменяеми носители5, в компютрите). Обезопасяването на тази съставна част се свежда до физическа защита на зданията, помещенията и контрол на достъпа до тях. Социалната съставяща – под нея Боран има предвид нематериалния капитал (капитала на знанията и интелектуалния капитал), носител на който се явява и човека. Мрежовата съставяща – това са данните, които се съхраняват „някъде в мрежата“.

Всяка от тези съставящи има характерни за нея типове интерфейси, които на свой ред могат да бъдат източник на специфични заплахи (за сигурността):

  • Физически интерфейси

    Ние живеем в свят, в който има здания, оборудване, кабелни мрежи, компютри, разнообразни носители на данни. Физическите интерфейси позволяват на хората и оборудването да напускат охраняваното място, като при това в момента термина „охраняем периметър“ се размива, тъй като мобилните компютри могат да съхраняват значителен обем информация. Не само сътрудници, но и външни хора могат по един или друг начин да проникнат в корпоративните помещения, където могат да откраднат, повредят или копират данни. В офиса на компанията достъпна може да бъде несекретна, но важна информация. Основната заплаха тук е неупълномощения достъп.

  • Социални интерфейси

    Служителите в компанията могат да имат външни връзки, използвайки телефон, факс, електронна поща, SMS съобщения, както и лични контакти. Основна заплаха са методите на социално инженерство, които могат да бъдат насочени към всички сътрудници като цяло или към служителите от поддръжката в частност. Основни източници на опасност на нивото на социалния интерфейс са нарушаване на привилегиите, незаконно използване на ресурси или просто допускането на чисто човешки грешки.

  • Мрежови интерфейси

    През последните години, компютърните мрежи се превърнаха в един от основните източници на заплаха. Интерфейсите от този род откриват възможности за много заплахи, сред които има три основни. Обикновено телефона и гласовата поща биват забравени, докато подслушването често се използва от хакерите при подготовката на атаките. Комутируемият достъп до internet също е много удобна входна точка за хакерите, тъй като обикновено е по-лошо защитен и се контролира по-слабо, отколкото наетите линии (опасностите за наетите линии са достатъчно добре известни).

Преди да се предприемат каквито и да са защитни мерки е необходимо да се анализират вътрешната и външна среда по редица параметри. Необходимо е да се вижда потенциалния противник, да се оценят неговите ресурси (финансови, времеви и технически). Може да се инвестират огромни средства в защитни стени, осигуряващи защита от външни „кракери“, но не трябва да се забравя и за възможните нелоялни и злонамерени хора от собствения персонал. Струва си да има вътрешна служба (или отдел), който да се отнася внимателно към вредните навици на служителите и към останалите фактори, спомагащи за нарушаването на корпоративните правила. Обикновено се акцентира върху загубите, нанасяни отвън, макар че е добре известно, че щетите, които могат да бъдат нанесени отвътре са много по-съществени. Но в средствата за масова информация за подобен род щети се говори много по-малко, тъй като инциденти от подобен род най-често не стават достояние на широката общественост и не привличат внимание към себе си, което между другото не намалява степента на опасност. От друга страна, трябва да се направи оценка на важността на съхраняваните данни, да се отчете жизнения цикъл и остаряването им и да се влагат средства за защита на това, което е най-актуално. И разбира се, трябва да се направи оценка на вероятност за природни или техногенни катастрофи, а в сегашните условия – и на възможността за терористични атаки.

За защита на физическите интерфейси могат да бъдат предприети следните мерки:

  • ограничаване на достъпа, разделяне на зони, използване на вътрешни пропуски;

  • регистрация на достъпа до данни;

  • контролиране на процеса на унищожаване на документите;

  • криптиране на информацията върху преносимите компютри;

  • осигуряване на достъпност на данните, създаване на резервни копия, в това число и на отдалечени места.

За защита на социалните интерфейси трябва да се изработи политика на сигурност, осигуряваща защита на важните данни и процеси, разпространяваща балансирани и взаимно свързани стандарти върху потребителите на информационните системи, администраторите и техническия персонал. В частно, към тях спадат обучението на всички гореизброени категории персонал по проблемите на сигурността, използване на силни пароли и блокиране на екраните, лична идентификация, вътрешно разузнаване и контрол.

За защита на мрежовият интерфейс трябва да се използват такива добре известни мерки като:

  • идентификация на потребителите и компютрите;

  • криптиране;

  • цифрови подписи;

  • контрол на достъпа;

  • изолиране на ресурси;

  • антивирусна защита;

  • надеждна система за съхраняване на данните;

  • постоянно наблюдение.

Разгледаната работа на Боран, публикувана само преди 5 години въпреки, че отразява традиционния възглед за света, все още не е загубила своето значение. Но трябва да се има предвид, че за това време са протекли значителни изменения в околната среда о изискванията към осигуряването на информационна сигурност съответно също са се променили – днес, на първо място излиза отразяването на заплахите от страна на Internet, както и човешкият фактор.

АКТИВНО СЪДЪРЖАНИЕ

В сегашните условия, мрежовия интерфейс най-вероятно е връзката с Internet. Глобалната мрежа, в нейната съвременна форма, напомня за бързо развиваща се територия, превърнала се за кратко време от пасторално село в огромен мегаполис със всички намиращи се в него порочни и криминални съставки. Едва ли преди 30 години създателите на мрежата са могли да предположат каква хранителна среда за престъпността създават. Така или иначе, днес всички ние сме се превърнали в обитатели на тази опасна среда и няма стени, с които да можем да се обградим, както и няма ваксина, която би могла да предотврати влиянието на развиващите се в нея вируси. Следователно остава възможността да се адаптираме към всички обстоятелства, от което следва значимостта на адаптивната сигурност.

Използвайки езика на информационната сигурност, може да кажем, че две от основните и най-популярни категории инструменти – защитните стени и антивирусните програми, не са в състояние повече да осигуряват пълноценна защита от новата заплаха – активното Internet съдържание6. Активно съдържание се нарича мобилните кодове, които могат да се изпълняват без одобрението на потребителя на неговия компютър, с цел организиране на динамично взаимодействие с мрежовото приложение, например анимация на страниците на web сайтовете. Активното съдържание, поддържано от технологиите Java, ActiveX, JavaScript и Visual Basic Script, създава илюзия за посещение на сайт – в действителност сайтът получава достъп до компютъра, зарежда на него своето съдържание и го изпълнява в границите на web страницата на локалния компютър.

  • Java – езикът, предложен от компанията Sun Microsystems, може да бъде използван за разработване на вложени малки приложения (аплети) в web страниците. Аплетите се изпълняват от виртуалната Java машина на потребителският браузър. Опасността от тях се състои в това, че без съответен контрол върху сигурността, тези приложения могат да получат достъп до локалните файлове и да изпращат данни по мрежата без да информират за това собственика на машината;

  • ActiveX – разработен е от корпорацията Microsoft, позволяващ получаването достъп до операционната система на компютъра на потребителя. Дава възможност за създаване на мощни приложения, но е пълен с рискове за достъп до всички ресурси на клиента и предоставя широки възможности за внедряване на тежки и вредни приложения. ActiveX приложенията могат да съдържат цифров подпис за проверка на техния произход, но тези ограничения могат да бъдат лесно преодолени;

  • JavaScript – език, разработен от компанията Netscape, превърнал се в общоприето средство за написване на вградени приложения, изпълнявани под управлението на браузъра, а не на операционната система. Предназначен е за анимиране и озвучаване на сайтове, редакция на въвежданите от потребителя данни, изпълняване на изчисления и повишаване на интерактивността. JavaScript притежава малки пълномощия, не може сам да получи достъп до файловете и операционната система, но може да променя бисквитки и да стартира разширителни модули, които вече са инсталирани на клиента, подпомагайки по този начин несанкционираното предаване на данни навън;

  • Visual Basic Script – скриптов език, близък до JavaScript, силно ограничен, но все пак позволяващ създаването, отварянето и писането в текстови файлове, стартирането на ActiveX директиви без одобрението на потребителя, с всички произтичащи от това негативни последствия;

  • Cookies — механизъм, използван от web сайтовете за съхраняване на малки порции данни върху дисковете на потребителите, един вид етикети, позволяващи натрупването на персонализирана информация за потребителите, посещаващи редовно сайта. Недобрите възможности на бисквитките се крият в това, че те могат да съхраняват пароли, което открива възможности за тяхното прехващане със надеждата, че същата тази парола може да бъде използвана за съхраняване на значително по-важни данни;

  • Plugins – разширителни модули, използвани от съвременните браузъри за зареждане и инсталиране на мултимедийни данни. Обикновено разширителните модули на известни производители не предизвикват опасения, но не е изключена тяхната злонамерена модификация.

Опасността от гореизброените средства се състои в това, че с тяхна помощ, чуждо съдържание може да получи възможност за работа върху потребителя. Естествено, че тези технологии станаха възможност, от която незабавно започнаха да се възползват злосторници. Повечето защитни стени «не забелязват» активното съдържание – те са разработени на основата на теоретично обосновани представи за границите между компания и Internet, оставяйки множество пролуки за приложните услуги, използващи HTML, SNMP, SMTP, POP3, FTP, TFTP и други мрежови услуги. Ако активното съдържание не открие дупки в отбраната, то може да ги създаде, оставяйки ресурсите на компанията без всякаква защита. То може да проникне в информационната система на компанията, приемайки формата на злонамерен код (malicious code), програмни микроби (software microbe), порочно съдържание (salacious content), червеи (worm), задни вратички (backdoor trap), крадци на пароли (password stealer), пощенски мошеници (email handle grabber) и разбивачи на портове (port snatcher).

Първоначалната реакция от страна на производителите на средства за информационна сигурност на новите заплахи станаха системите за откриване на нарушители (intrusion detection systems – IDS). Но и те не се превърнаха в адекватно средство за всеобщо решение – първо, защото са тромави и пораждат прекалено голям брой данни, предназначени за последващ анализ и второ, основавайки се на разпознаването на „образи“, не са достатъчно ефективни.

Особена опасност представляват някои популярни програмни продукти. Например, на сайта http://www.sans.org/, където се анализират най-сериозните заплахи за информационната сигурност, може да се намери следното предупреждение: „Различните скриптови уязвимости в Internet Explorer и Office 2000 позволяват абсолютно незабележимо разпространяване на вируси във Windows, като при това Microsoft Outlook и Outlook Express могат да изпълняват html код от получените писма“. По-подробни сведения за особеностите на работа на тези продукти може да се намери в статията на Роджър Греймс «Скрити опасности при работа със съобщения от електронната поща и новинарските групи» 7. Като елементарна, но много ефективна превантивна мярка препоръчваме преминаването към използване на алтернативен браузър – Mozilla Firefox, който може свободно да бъде изтеглен от сайта http://www.mozilla.org/products/. Той е по-сигурен, може би и затова, че все още е по-непопулярен и поради това не толкова привлекателен за злосторниците8.

КАКВО (МОЖЕ) ДА ПРОТИВОПОСТАВИМ НА МРЕЖОВИТЕ ЗАПЛАХИ?

Всички предложени досега доктрини за информационна сигурност се основаваха на три типа достъп до данните:

  • Избирателно управление на достъпа (discretionary access control – DAC) – метод, основан на идентификацията и разпознаването. Негова отличителна черта е възможността за предаване на пълномощия;

  • Пълномощно управление на достъпа (mandatory access control – MAC) – метод, основан на степени на секретност или критичност на информацията;

  • Неизбирателно управление на достъпа (nondiscretionary access control – NAC) – метод, предполагащ централизиран контрол и контрол, основан на индивидуални роли (role-based control) или на роли, следващи от решаваните задачи (task-based control).

Методите MAC и NAC най-често се използват за работа със секретни документи в съответните органи, докато при комерсиалните приложения на практика винаги се реализира метода DAC. Същността на този метод е в това, че удостоверения потребител може да се разглежда като пълноценен собственик на пълномощията, които може да се разпростират върху всички политики и компоненти на сигурността (защитни стени, маршрутизатори, системи за управление на бази данни, операционни системи, приложения и т. н.) към именованите обекти (други потребители, приложения, скриптове, файлове, памет, принтери ....). Подобно строго разписание на кого и какво е достъпно, напълно отговаря на приетите корпоративни изисквания. Но този подход притежава един съществен недостатък – при него не е предвидена възможност за анализ на информационния поток и отделяне на вредните опити за достъп до разпределените ресурси. Ако липсва „самоанализ“, тогава всеки, било то сътрудник, партньор, нарушител или промишлен шпионин ще може да преодолее разпределените бариери и да получи това, което иска.

Гореизброените методи са създадени на основата на детерминирана среда, която така или иначе може да се опознае и да се построи система за противодействие на основата на тези знания. Прилаган напълно успешно в продължение на десетилетия, той е слабо пригоден за мрежова среда с активно съдържание, където врагът не е ясно определен. Как да не си спомним за китайският пълководец Сън Цзу, който в своята книга «Изкуството на войната» е написал: „Ако познаваш врага и самия себе си, то може да не се съмняваш в резултата на стотици сражения. Ако познаваш себе си, но не познаваш врага, то на всяка победа ще имаш и по едно поражение. Ако не познаваш нито себе си, нито врага си, тогава ще загубиш всичко“. Анализа на тази ситуация неволно ни връща на същата мисъл за недостатъка на кибернетичното мислене, за доминирането на програмистките подходи над подходите, основани на обратната връзка.

И тук, както и при решаването на проблема за сложността на програмното и апаратно осигуряване (вижте тематичния брой на списание «Отворени системи», № 9, 2004), възниква необходимостта от създаване на адаптивни и адаптиращи се системи. В този случай е необходимо да си спомним, че един от механизмите, създадени от природата в процеса на еволюционно развитие – способността на живото да устоява на неизвестни заплахи, е основан на активната защита и адаптацията.

На един от възможните подходи към създаването на изкуствени системи, притежаващи подобни свойства, е посветен обширния отчет на аналитичната компания Aberdeen Group, озаглавен „Active eIRM: New Realities in Security for Managing Electronic Infrastructure Risks“9. Това е извънредно интересен документ, на който не му липсват и недостатъци. Първо, както повечето отчети на анализаторите, той е платен. Второ, на авторите явно не им достига кибернетично образование – когато говорят за проблемите на управлението, те явно имат трудности с изложението. Но тези недостатъци по никакъв начин не намаляват ценността на анализа, който заслужава да му се обърне съвсем сериозно внимание.

Предложената от Aberdeen Group концепция Active eIRM не е нищо друго, освен хипотетичен опит за представяне на това как може се построи автоматизирана система за сигурност, способна да се адаптира към измененията в околната среда. Трябва да се има предвид, че това е работа на аналитична компания, която вижда проблемите, но самата тя не създава нищо ново, с изключение на отчетите. И все пак, концепцията Active eIRM не трябва да се отнася към областта на научната фантастика, тъй като тя, макар и частично (фрагментарно) е реализирана в продуктите на редица компании. Корените на Active eIRM са в работите на такива компании като e-Security, Finjan, Gilian Technologies, Lumeta, Mazu Networks, Microsoft, Recourse Technologies (купена впоследствие от Symantec), SurfControl, Zone Labs и др.

В бъдещата система, постигането на информационната сигурност трябва да бъде съставено от следните основни компоненти:

    • приложения, осигуряващи сигурността;

    • агенти, анализиращи потоците от данни;

    • приложения, осъществяващи наблюдение и анализ на риска.

За разлика от присъщото на съвременността съсредоточаване върху отделни технологии за сигурност, подобна система за автоматизация на сигурността ще позволи поставянето под контрол на цялата инфраструктура. Автоматизацията на процесите на сигурност (security process automation – SPA) ни обещава средства за управление на опасни Internet приложения и канали, допускащи изтичане на данни. Ефектът от автоматизацията би трябвало да бъде същия като ефекта от автоматизацията в други сфери ...

eIRM = АКТИВНА ПОЛИТКА + АГЕНТИ + УПРАВЛЕНИЕ НА РИСКА

Във всяка адаптивна автоматизация е заложена обратна връзка, която в дадения случай е способността за интелектуален анализ и управление на потоците данни в системата. Аналитиците от Aberdeen Group го наричат активна политика (active policy), виждайки в нея средството за преодоляване на ограниченията на политиките за сигурност, построени на основата на избирателното управление на достъпа (DAC). Изложението на техните възгледи поразително напомня на задачите, които се налага да се решават в обществото.

Активната политика на сигурност, както и действията на специалните служби, не може да мине без агентура. В дадения случай, агентите се реализират с програмни технологии или програмно-апаратни средства и могат да бъдат разделени на два класа – активни и пасивни. И двата класа агенти действат в рамките на инструкциите и ограниченията, поставени от политиката за сигурност. Пасивните агенти са по-близки до средствата за наблюдение, използвани в традиционните системи за сигурност, те изпълняват това, което им е възложено без да интерпретират политиката за сигурност. Активните агенти действат в рамките на зададените им гранични условия и самостоятелно интерпретират политиката за сигурност. Управлението на риска се осъществява от специализирани аналитични приложения, способни да откриват инциденти и да инициират ответни действия.

Според аналитиците от Aberdeen Group, въвеждането на eIRM и SPA ще съчетава в себе си както еволюционни (никой не може отведнъж да отмени съществуващата система за сигурност), така и революционни елементи.

ЗА «ДУРАКОУСТОЙЧИВОСТТА»10 НА ИНФОРМАЦИОННИТЕ СИСТЕМИ

Защитата от човешката глупост не е на последното място в компонентите на сигурността. Ако едновременно се използват различни средства за нападение, атаката със сигурност ще бъде резултатна. Затова, колкото и ефективни да са разработваните средства за защита на мрежовите интерфейси, те не могат да предотвратят опасностите, идващи от другите два типа интерфейс – физическият и социалният, където ролята на човешкия фактор е един от най-съществените. По признание на един от патриарсите на хакерите (а в момента напълно преуспяващ собственик на консултантска фирма), Кевин Митник (Kevin Mitnick), убеден, че „глупостта е непоправима“, истинската атака задължително трябва да се осъществява с методите на социално инженерство.

Според тълковния речник Meriam Webster, социалното инженерство е «управление на човешките същества в съответствие с тяхното място и функции в обществото» и служи за постигане на практически цели, използвайки отношенията между хората. Владеенето на методите на социалното инженерство не изисква сериозни технически познания – напълно достатъчно е наличието на определени социални навици. Социалните инженери използват различни тактики, в това число злоупотреба с доверие, спекулация с безпомощност, познаване на вътрешните процеси в компаниите.

В едно от многобройните си интервюта, Митник характеризира значението на социалното инженерство по следния начин – «Най-голямата опасност за компаниите не са компютърните вируси или пролуките в програмите, нито слабостта на защитните стени. Най-голямата опасност сте вие самите. Имах възможност да се убедя в това, че да манипулираш хора е много по-лесно, отколкото технологиите, защото в много компании недооценяват ролята на сътрудниците».

ЕДИН МЕТОД ЗА ОСИГУРЯВАНЕ НА РАБОТНОТО МЯСТО

Обстоятелството, че на повечето потребителски работни места стоят пълноценни персонални компютри не може да се разглежда другояче, освен като абсурд. Тънкият клиент не създава такива проблеми, каквито създава персоналният компютър, то такъв е живота. Някой експерт, не без чувство за хумор, беше отбелязал, че съвременният персонален компютър с количеството си потенциални места за проникване напомня на къща, в която живее американско семейство. В такава къща има две врати към улицата, врата от гаража, люк в мазето и още един в гаража за пускане на мръсното бельо в пералната машина, и разбира се, врата от всяка стая на първия етаж. Точно както всеки порт на компютъра, които стават все повече и повече, всяко сменяемо устройство може да бъде използвано за похищаване на полезни данни или за въвеждане на вреден код. По-рано беше по-просто – достатъчно беше да се махне флопидисковото устройство от компютъра. В момента количеството на възможните устройства, които могат да бъдат включени към компютъра не подлежи на оценка и практически не е възможно да изолираме компютъра от тях.

Следователно, трябва да се адаптираме към новите условия и да вземем под контрол всички периферни устройства, включвани към компютъра; всички портове, чрез които нещо може да бъде включено; всички допълнителни карти, осигуряващи безжична връзка с външни устройства. Както и преди, и сега има радикално решение – да се махнат от компютъра всички периферни устройства и разширителни карти, да забраним в BIOS достъпа до такива устройства, да забраним на потребителя самостоятелно да променя каквото и да е в BIOS. Възможно е за малки компании, с малък брой компютри този подход да се окаже удобен, но си представете работата, която трябва да извърши системният администратор в компания, в която има двеста или повече компютъра? Освен това, винаги ще се намерят работни места, на които е невъзможно да бъдат напълно изключени периферните устройства, просто защото спецификата на изпълняваните на тях операции не го позволява.

Пример за решение, осигуряващо централизирано решение за управление на периферните устройства на компютрите от локалната мрежа на организацията е програмният продукт DeviceLock на компанията SmartLine11. Той е предназначен за контрол на достъпа до сменяемите носители и до устройствата. За осигуряване на връзка непосредствено между услугата и административната част, DeviceLock използва технологията Remote Procedure Call. За удостоверяване (на потребителите) се използва стандартната подсистема за защита на операционната система. Услугата на DeviceLock при инсталацията се интегрира в подсистемата за контрол на достъпа на операционната система, поради което достъпа до отдалечен компютър с инсталирана програма може да бъде осъществен само от потребители, притежаващи администраторски права.

В числото на защитаваните устройства влизат:

  • твърди дискове; магнитооптични устройства, компактдискови устройства, устройства с магнитна лента и ZIP устройства12, които не се включват през USB порт;

  • допълнителни адаптери (WiFi, Bluetooth, FireWire, инфрачервени портове), а също и външните паралелни и серийни портове;

  • USB портове и включваните чрез тях устройства.

Използвайки възможностите на DeviceLock, може да установим права за всеки потребител или група потребители, в това число и интервал от време, през което е възможен достъп до устройството, типа на достъп – „Пълен достъп“, „Само за четене“ или „Отказан достъп“. Избраният тип настройка за един компютър може да се приложи върху всички компютри от локалната мрежа.


Превод: Николай Ангелов


Преводът се разпространява при условията на
Creative Commons Attribution-NonCommercial-NoDerivs 2.0.

1 Risking It All, Computer Business Review Online,

2 Повече подробности за адаптивната сигурност могат да се намерят в Google.

3 Терминът 'adaptive enterprise' е използван за пръв път от Hewlett-Packard (http://www.hp.com/products1/promos/adaptive_enterprise/us/adaptive_enterprise.html).

4 Добър пример в подкрепа на това твърдение може да се намери в статията „Human firewall a crucial defense“

5 Дискети, магнитни ленти или оптични дискове (IОmega дискове).

6 aka active content.

7 На посочения адрес се намира руският превод.

8 Тази ситуация в последните няколко месеца се промени – бяха открити няколко уязвимости във Firefox, позволяващи получаването на несанкциониран достъп или изпълнение на код върху машина­та на потребителя – графика, показваща откриването на уязвимости във Firefox има на страниците на Cybercoyote.org, а повече подробности – на сайта на проекта Mozilla, както и на други места в мре­жата.

9 Тук абревиатурата eIRM означава electronic Infrastructure Risks Management, т. е. «управление на риска в електронната инфраструктура» – бел. на автора.

10 Въпреки, че според Мърфи (закон No 269), силата на човешката глупост е неизмерима (или пък «нищо не може да се направи идиотоустойчиво, защото идиотите са гениални»)

11 то това заприлича на реклама, но ще се направим, че не сме я забелязали.

12 като тези, произвеждани от компанията Iomega Corporation.



<< Алгоритми за разпределяне на процесорното време | Приложимост на свободните лицензи >>