Hiljutised infoturbe uuringud, nagu iga-aastane CSI/FBI ComputerCrimeAndSecuritySurvey, on näidanud, et enamiku ohtude tõttu ettevõtetele saadav rahaline kahju väheneb aasta-aastalt. Siiski on mitmeid riske, millest tulenevad kahjud suurenevad. Üks neist on konfidentsiaalse teabe tahtlik vargus või selle käitlemise reeglite rikkumine nende töötajate poolt, kelle juurdepääs äriandmetele on vajalik ametiülesannete täitmiseks. Neid nimetatakse insaideriteks.
Enamikul juhtudel toimub konfidentsiaalse teabe vargus mobiilse meedia abil: CD-d ja DVD-d, ZIP-seadmed ja mis kõige tähtsam - kõikvõimalikud USB-draivid. See oli nende massiline levik, mis viis siseringi õitsenguni kogu maailmas. Enamiku pankade juhid teavad hästi, millised ohud võivad olla näiteks nende klientide isikuandmetega andmebaasi või pealegi nende kontodel tehtud tehingute sattumisel kuritegelike struktuuride kätte. Ja nad püüavad võidelda võimaliku teabevarguse vastu, kasutades neile kättesaadavaid organisatsioonilisi meetodeid.
Organisatsioonimeetodid on sel juhul aga ebaefektiivsed. Tänapäeval saab arvutite vahel teabe edastamist korraldada miniatuurse mälupulga, mobiiltelefoni, mp3-mängija, digikaamera abil... Muidugi võite proovida keelata kõigi nende seadmete kontorisse toomise, kuid see, esiteks, mõjutab negatiivselt suhteid töötajatega ja teiseks on inimeste üle tõeliselt tõhusa kontrolli loomine endiselt väga keeruline - pank pole "postkast". Ja isegi kõigi seadmete keelamine arvutites, millega saab kirjutada teavet välisele andmekandjale (FDD- ja ZIP-kettad, CD- ja DVD-draivid jne) ja USB-porti, ei aita. Esimesi on ju tööks vaja ja teised on ühendatud erinevate välisseadmetega: printerid, skannerid jne. Ja keegi ei saa keelata inimest minutikski printerit välja lülitamast, mälupulka vabasse porti sisestamast ja olulist infot sinna kopeerimast. Loomulikult võite leida originaalseid viise enda kaitsmiseks. Näiteks proovis üks pank seda probleemi lahendamise meetodit: nad täitsid USB-pordi ja kaabli ühenduskoha epoksüvaiguga, sidudes viimase tihedalt arvuti külge. Kuid õnneks on tänapäeval olemas kaasaegsemad, usaldusväärsemad ja paindlikumad kontrollimeetodid.
Kõige tõhusam vahend siseringi inimestega seotud riskide minimeerimiseks on spetsiaalne tarkvara, mis haldab dünaamiliselt kõiki seadmeid ja arvutiporte, mida saab kasutada teabe kopeerimiseks. Nende töö põhimõte on järgmine. Erinevate portide ja seadmete kasutamise õigused määratakse igale kasutajarühmale või igale kasutajale eraldi. Sellise tarkvara suurim eelis on paindlikkus. Saate sisestada piirangud teatud tüüpi seadmetele, nende mudelitele ja üksikutele eksemplaridele. See võimaldab teil rakendada väga keerulisi juurdepääsuõiguste levitamispoliitikaid.
Näiteks võite lubada mõnel töötajal kasutada USB-porti ühendatud printereid või skannereid. Kõik teised sellesse porti sisestatud seadmed jäävad aga kättesaamatuks. Kui pank kasutab žetoonidel põhinevat kasutaja autentimise süsteemi, siis seadetes saab määrata kasutatava võtmemudeli. Siis saavad kasutajad kasutada ainult ettevõtte ostetud seadmeid ja kõik teised on kasutud.
Eespool kirjeldatud kaitsesüsteemide tööpõhimõtte põhjal saate aru, millised punktid on olulised salvestusseadmete ja arvutiportide dünaamilist blokeerimist rakendavate programmide valimisel. Esiteks on see mitmekülgsus. Kaitsesüsteem peab hõlmama kogu võimalike portide ja sisend-/väljundseadmete valikut. Vastasel juhul püsib äriteabe varguse oht lubamatult kõrge. Teiseks peab kõnealune tarkvara olema paindlik ja võimaldama luua reegleid, kasutades suurt hulka erinevat teavet seadmete kohta: nende tüübid, mudelitootjad, igal eksemplaril olevad kordumatud numbrid jne. Ja kolmandaks peab siseringikaitse süsteem suutma integreeruda panga infosüsteemiga, eelkõige ActiveDirectoryga. Vastasel juhul peab administraator või turvaametnik haldama kahte kasutajate ja arvutite andmebaasi, mis pole mitte ainult ebamugav, vaid suurendab ka vigade ohtu.
Hiljutised uuringud infoturbe valdkonnas, nagu iga-aastane CSI/FBI arvutikuritegevuse ja turvalisuse uuring, on näidanud, et enamiku ohtude tõttu ettevõtetele saadav rahaline kahju väheneb aasta-aastalt. Siiski on mitmeid riske, millest tulenevad kahjud suurenevad. Üks neist on konfidentsiaalse teabe tahtlik vargus või selle käitlemise reeglite rikkumine nende töötajate poolt, kelle juurdepääs äriandmetele on vajalik ametiülesannete täitmiseks. Neid nimetatakse insaideriteks.
Enamikul juhtudel toimub konfidentsiaalse teabe vargus mobiilse meedia abil: CD-d ja DVD-d, ZIP-seadmed ja mis kõige tähtsam - kõikvõimalikud USB-draivid. See oli nende massiline levik, mis viis siseringi õitsenguni kogu maailmas. Enamiku pankade juhid teavad hästi, millised ohud võivad olla näiteks nende klientide isikuandmetega andmebaasi või pealegi nende kontodel tehtud tehingute sattumisel kuritegelike struktuuride kätte. Ja nad püüavad võidelda võimaliku teabevarguse vastu, kasutades neile kättesaadavaid organisatsioonilisi meetodeid.
Organisatsioonimeetodid on sel juhul aga ebaefektiivsed. Tänapäeval saab arvutite vahel infoedastust korraldada miniatuurse välkmälu, mobiiltelefoni, TZ-plssr-i, digikaamera abil... Muidugi võite proovida keelata kõigi nende seadmete kontorisse toomise, kuid esiteks mõjutab see negatiivselt suhteid töötajatega ja teiseks on inimeste üle tõeliselt tõhusa kontrolli loomine endiselt väga keeruline - pank pole "postkast". Ja isegi kõigi seadmete keelamine arvutites, millega saab kirjutada teavet välisele andmekandjale (FDD- ja ZIP-kettad, CD- ja DVD-draivid jne) ja USB-porti, ei aita. Esimesi on ju tööks vaja ja teised on ühendatud erinevate välisseadmetega: printerid, skannerid jne. Ja keegi ei saa keelata inimest minutikski printerit välja lülitamast, mälupulka vabasse porti sisestamast ja olulist infot sinna kopeerimast. Loomulikult võite leida originaalseid viise enda kaitsmiseks. Näiteks proovis üks pank seda probleemi lahendamise meetodit: nad täitsid USB-pordi ja kaabli ühenduskoha epoksüvaiguga, sidudes viimase tihedalt arvuti külge. Kuid õnneks on tänapäeval olemas kaasaegsemad, usaldusväärsemad ja paindlikumad kontrollimeetodid.
Kõige tõhusam vahend siseringi inimestega seotud riskide minimeerimiseks on spetsiaalne tarkvara, mis haldab dünaamiliselt kõiki seadmeid ja arvutiporte, mida saab kasutada teabe kopeerimiseks. Nende töö põhimõte on järgmine. Erinevate portide ja seadmete kasutamise õigused määratakse igale kasutajarühmale või igale kasutajale eraldi. Sellise tarkvara suurim eelis on paindlikkus. Saate sisestada piirangud teatud tüüpi seadmetele, nende mudelitele ja üksikutele eksemplaridele. See võimaldab teil rakendada väga keerulisi juurdepääsuõiguste levitamispoliitikaid.
Näiteks võite lubada mõnel töötajal kasutada USB-porti ühendatud printereid või skannereid. Kõik teised sellesse porti sisestatud seadmed jäävad aga kättesaamatuks. Kui pank kasutab žetoonidel põhinevat kasutaja autentimise süsteemi, siis seadetes saab määrata kasutatava võtmemudeli. Siis saavad kasutajad kasutada ainult ettevõtte ostetud seadmeid ja kõik teised on kasutud.
Eespool kirjeldatud kaitsesüsteemide tööpõhimõtte põhjal saate aru, millised punktid on olulised salvestusseadmete ja arvutiportide dünaamilist blokeerimist rakendavate programmide valimisel. Esiteks on see mitmekülgsus. Kaitsesüsteem peab hõlmama kogu võimalike portide ja sisend-/väljundseadmete valikut. Vastasel juhul püsib äriteabe varguse oht lubamatult kõrge. Teiseks peab kõnealune tarkvara olema paindlik ja võimaldama luua reegleid, kasutades suurt hulka erinevat teavet seadmete kohta: nende tüübid, mudelitootjad, igal eksemplaril olevad kordumatud numbrid jne. Ja kolmandaks peab siseringikaitse süsteem suutma integreeruda panga infosüsteemiga, eelkõige Active Directoryga. Vastasel juhul peab administraator või turvaametnik haldama kahte kasutajate ja arvutite andmebaasi, mis pole mitte ainult ebamugav, vaid suurendab ka vigade ohtu.
Loodan, et artikkel ise ja eriti selle arutelu aitab tuvastada tarkvaratööriistade kasutamise erinevaid nüansse ning on lähtepunktiks kirjeldatud probleemile lahenduse väljatöötamisel infoturbe spetsialistide jaoks.
nahna
Firma Infowatch turundusdivisjon on juba pikka aega veennud kõiki huvilisi – nii IT-spetsialiste kui ka kõige arenenumaid IT-juhte, et suurem osa ettevõtte infoturbe rikkumisest tulenevast kahjust langeb siseringi isikutele – töötajad avalikustavad. ärisaladused. Eesmärk on selge – peame tekitama nõudluse valmistatava toote järele. Ja argumendid tunduvad üsna kindlad ja veenvad.
Probleemi sõnastamine
Looge Active Directory Windows 2000/2003 baasil kohtvõrgus süsteem töötajate poolt teabe kaitsmiseks varguste eest. Kasutaja tööjaamad, kus töötab Windows XP. Ettevõtte juhtimine ja raamatupidamine 1C toodetel.Salajane teave salvestatakse kolmel viisil:
- DB 1C - juurdepääs võrgule RDP kaudu (terminali juurdepääs);
- jagatud kaustad failiserverites - juurdepääs võrgule;
- kohapeal töötaja arvutis;
Mis on turul
Jagasin vaadeldavad süsteemid kolme klassi:- Kontekstianalüsaatoritel põhinevad süsteemid - Surf Control, MIME Sweeper, InfoWatch Traffic Monitor, Dozor Jet jne.
- Seadmete staatilisel lukustamisel põhinevad süsteemid - DeviceLock, ZLock, InfoWatch Net Monitor.
- Süsteemid, mis põhinevad seadmete dünaamilisel blokeerimisel – SecrecyKeeper, Strazh, Accord, SecretNet.
Kontekstianalüsaatoritel põhinevad süsteemid
Toimimispõhimõte:Edastatavast infost otsitakse märksõnu ning otsingutulemuste põhjal otsustatakse edastamise blokeerimise vajadus.
Minu arvates on InfoWatch Traffic Monitoril (www.infowatch.ru) loetletud toodete hulgas maksimaalne võimalus. Aluseks on end hästi tõestanud Kaspersky Antispam mootor, mis võtab kõige paremini arvesse vene keele iseärasusi. Erinevalt teistest toodetest võtab InfoWatch Traffic Monitor analüüsimisel arvesse mitte ainult teatud ridade olemasolu kontrollitavates andmetes, vaid ka iga rea etteantud kaalu. Seega ei arvestata lõpliku otsuse tegemisel mitte ainult teatud sõnade esinemist, vaid ka kombinatsioone, milles need esinevad, mis võimaldab analüsaatori paindlikkust suurendada. Ülejäänud funktsioonid on seda tüüpi toodete jaoks standardsed - arhiivide analüüs, MS Office'i dokumendid, võimalus blokeerida tundmatu vorminguga failide või parooliga kaitstud arhiivide edastamine.
Kontekstuaalsel analüüsil põhinevate vaadeldavate süsteemide puudused:
- Jälgitakse ainult kahte protokolli - HTTP ja SMTP (InfoWatch Traffic Monitori jaoks ja HTTP liikluse puhul kontrollitakse ainult POST-päringute abil edastatavaid andmeid, mis võimaldab korraldada lekkekanalit andmeedastuse abil GET-meetodil);
- Andmeedastusseadmeid ei kontrollita – disketid, CD-d, DVD-d, USB-draivid jne. (InfoWatchil on selleks puhuks toode: InfoWatch Net Monitor).
- sisuanalüüsi põhjal ehitatud süsteemidest mööda hiilimiseks piisab lihtsaima tekstikodeeringu kasutamisest (näiteks: salajane -> с1е1к1р1е1т), ehk steganograafiast;
- järgmist probleemi ei saa sisuanalüüsi meetodiga lahendada - sobivat formaalset kirjeldust ei tule meelde, seega toon lihtsalt näite: Exceli failid on kaks - esimeses on jaehinnad (avalik teave), teiseks - hulgihinnad konkreetsele kliendile (privaatne teave), failide sisu erineb ainult numbritega. Neid faile ei saa sisuanalüüsi abil eristada.
Kontekstuaalne analüüs sobib ainult liiklusarhiivide loomiseks ja juhusliku infolekke vastu võitlemiseks ega lahenda probleemi.
Süsteemid, mis põhinevad seadmete staatilisel blokeerimisel
Toimimispõhimõte:Kasutajatele määratakse juurdepääsuõigused juhitavatele seadmetele sarnaselt failidele juurdepääsuõigustega. Põhimõtteliselt saab peaaegu sama efekti saavutada standardsete Windowsi mehhanismide abil.
Zlock (www.securit.ru) - toode ilmus suhteliselt hiljuti, seega on sellel minimaalne funktsionaalsus (ma ei arvesta satsid) ja see ei tööta eriti hästi, näiteks jookseb halduskonsool mõnikord kokku, kui proovite salvestada seaded.
DeviceLock (www.smartline.ru) on huvitavam toode, see on turul olnud üsna pikka aega, seega töötab see palju stabiilsemalt ja on mitmekesisema funktsionaalsusega. Näiteks võimaldab see edastatud teabe varikopeerimist, mis võib aidata juhtumit uurida, kuid mitte seda ära hoida. Lisaks tehakse selline uurimine suure tõenäosusega siis, kui leke saab teatavaks, s.o. märkimisväärne ajavahemik pärast selle tekkimist.
InfoWatch Net Monitor (www.infowatch.ru) koosneb moodulitest - DeviceMonitor (analoogselt Zlockile), FileMonitor, OfficeMonitor, AdobeMonitor ja PrintMonitor. DeviceMonitor on Zlocki analoog, standardfunktsionaalsus, ilma rosinateta. FileMonitor – failidele juurdepääsu kontroll. OfficeMonitor ja AdobeMonitor võimaldavad teil kontrollida, kuidas faile nende vastavates rakendustes käsitletakse. FileMonitorile, OfficeMonitorile ja AdobeMonitorile on praegu üsna keeruline leida kasulikku, mitte mänguasja rakendust, kuid tulevastes versioonides peaks olema võimalik läbi viia töödeldud andmete kontekstuaalne analüüs. Ehk siis paljastavad need moodulid oma potentsiaali. Kuigi tasub tähele panna, et failioperatsioonide kontekstuaalse analüüsi ülesanne ei ole triviaalne, eriti kui sisu filtreerimise alus on sama, mis Traffic Monitoris, s.t. võrku.
Eraldi on vaja öelda agendi kaitsmise kohta kohalike administraatoriõigustega kasutaja eest.
ZLockil ja InfoWatch Net Monitoril lihtsalt pole sellist kaitset. Need. kasutaja saab agendi peatada, andmed kopeerida ja agendi uuesti käivitada.
DeviceLockil on selline kaitse olemas, mis on kindel pluss. See põhineb süsteemikõnede pealtkuulamisel registri, failisüsteemi ja protsessihaldusega töötamiseks. Teine eelis on see, et kaitse töötab ka turvarežiimis. Kuid on ka miinus - kaitse keelamiseks piisab teenuse kirjeldustabeli taastamisest, mida saab teha lihtsa draiveri allalaadimisega.
Seadme staatilisel blokeerimisel põhinevate vaadeldavate süsteemide puudused:
- Teabe edastamist võrku ei kontrollita.
- -Ei oska eristada salastatud teavet mittesalajasest teabest. See toimib põhimõttel, et kas kõik on võimalik või miski pole võimatu.
- Kaitse agendi mahalaadimise vastu puudub või on kergesti möödapääsetav.
Selliseid süsteeme ei ole soovitatav rakendada, kuna need ei lahenda probleemi.
Süsteemid, mis põhinevad seadmete dünaamilisel lukustamisel
Toimimispõhimõte:juurdepääs edastuskanalitele on blokeeritud sõltuvalt kasutaja juurdepääsutasemest ja töödeldava teabe salastatuse astmest. Selle põhimõtte rakendamiseks kasutavad need tooted autoriteetset juurdepääsukontrolli mehhanismi. Seda mehhanismi ei esine väga sageli, seega peatun sellel üksikasjalikumalt.
Autoriteetne (sunnitud) juurdepääsukontroll, erinevalt suvalisest (rakendatud Windows NT ja uuemate versioonide turbesüsteemis), seisneb selles, et ressursi (näiteks faili) omanik ei saa nõrgendada sellele ressursile juurdepääsu nõudeid, kuid võib tugevdage neid ainult oma taseme piires. Ainult erivolitustega kasutaja – infoturbeametnik või administraator – saab nõudeid leevendada.
Selliste toodete nagu Guardian, Accord, SecretNet, DallasLock ja mõned teised väljatöötamise põhieesmärk oli võimalus sertifitseerida infosüsteeme, millesse need tooted paigaldatakse, et need vastaksid riikliku tehnilise komisjoni (nüüd FSTEC) nõuetele. Selline sertifikaat on kohustuslik infosüsteemidele, milles valitsuse andmeid töödeldakse. saladus, mis peamiselt tagas nõudluse riigiettevõtete toodete järele.
Seetõttu määrati nendes toodetes rakendatud funktsioonide kogum kindlaks asjakohaste dokumentide nõuetega. Mis omakorda viis selleni, et suurem osa toodetesse juurutatud funktsionaalsusest kas dubleerib Windowsi standardset funktsionaalsust (objektide puhastamine pärast kustutamist, RAM-i puhastamine) või kasutab seda kaudselt (diskrimineeriv juurdepääsukontroll). Ja DallasLocki arendajad läksid veelgi kaugemale, rakendades oma süsteemile kohustusliku juurdepääsukontrolli Windowsi valikulise kontrollimehhanismi kaudu.
Selliste toodete praktiline kasutamine on äärmiselt ebamugav, näiteks DallasLocki installimine nõuab kõvaketta ümberpartitsioneerimist, mis tuleb samuti teha kolmanda osapoole tarkvara abil. Väga sageli pärast sertifitseerimist need süsteemid eemaldati või keelati.
SecrecyKeeper (www.secrecykeeper.com) on veel üks toode, mis rakendab autoriteetset juurdepääsukontrolli mehhanismi. Arendajate sõnul töötati SecrecyKeeper välja spetsiaalselt konkreetse probleemi lahendamiseks - äriorganisatsioonis teabe varguse ärahoidmiseks. Seetõttu pöörati taas arendajate sõnul arenduse käigus erilist tähelepanu lihtsusele ja kasutusmugavusele nii süsteemiadministraatorite kui ka tavakasutajate jaoks. Kui edukas see õnnestus, jääb tarbija otsustada, s.t. meie. Lisaks rakendab SecrecyKeeper mitmeid mehhanisme, mis teistes mainitud süsteemides puuduvad – näiteks võimalus määrata kaugjuurdepääsuga ressursside privaatsustase ja agendi kaitsemehhanism.
Teabe liikumise juhtimine SecrecyKeeperis on rakendatud teabesaladuse taseme, kasutajalubade taseme ja arvutiturbe taseme alusel, mis võib võtta väärtused avalikuks, salajaseks ja ülisalajaseks. Infoturbe tase võimaldab liigitada süsteemis töödeldava teabe kolme kategooriasse:
avalik - mitte salajane teave, sellega töötamisel pole piiranguid;
salajane - salajane teave, sellega töötamisel kehtestatakse piirangud sõltuvalt kasutaja lubade tasemest;
ülisalajane - ülisalajane teave, sellega töötamisel kehtestatakse piirangud sõltuvalt kasutaja lubade tasemetest.
Teabesaladuse taseme saab määrata failile, võrgukettale ja arvutipordile, milles mõni teenus töötab.
Kasutaja kontrollitasemed võimaldavad teil määrata, kuidas kasutaja saab teavet oma turbetaseme alusel teisaldada. On olemas järgmised kasutajaõiguste tasemed:
User Permission Level – piirab teabe maksimaalset turbetaset, millele töötaja juurde pääseb;
Võrgu juurdepääsutase – piirab teabe maksimaalset turvataset, mida töötaja saab võrgu kaudu edastada;
Irdkandjale juurdepääsu tase – piirab teabe maksimaalset turbetaset, mida töötaja saab välisele andmekandjale kopeerida.
Printeri juurdepääsutase – piirab teabe maksimaalset turbetaset, mida töötaja saab printida.
Arvuti turvatase – määrab arvutis salvestatava ja töödeldava teabe maksimaalse turbetaseme.
Juurdepääsu avaliku turvatasemega teabele võib võimaldada mis tahes julgeolekukontrolliga töötaja. Sellist teavet saab piiranguteta edastada üle võrgu ja kopeerida välisele andmekandjale. Avalikuks liigitatud teabega töötamise ajalugu ei jälgita.
Juurdepääsu salajase turbetasemega teabele saavad ainult töötajad, kelle luba on võrdne salajase või kõrgema tasemega. Sellist teavet saavad võrku edastada ainult töötajad, kelle võrgu juurdepääsutase on salajane või kõrgem. Ainult töötajad, kelle juurdepääsutase irdkandjale on salajane või kõrgem, saavad sellist teavet kopeerida välisele andmekandjale. Sellist teavet saavad printida ainult töötajad, kelle printeri juurdepääsutase on salajane või kõrgem. Salajase tasemega teabega töötamise ajalugu, s.o. katsed sellele juurde pääseda, seda üle võrgu edastada, kopeerida välisele andmekandjale või printida logitakse.
Täiesti salajase salastatuse tasemega teabele pääsevad ligi ainult töötajad, kelle luba on võrdne täiesti salajase tasemega. Sellist teavet saavad võrku edastada ainult töötajad, kelle võrgu juurdepääsutase on võrdne täiesti salajase tasemega. Ainult töötajad, kelle juurdepääsutase irdkandjale on täiesti salajane, saavad sellist teavet kopeerida välisele andmekandjale. Sellist teavet saavad printida ainult töötajad, kelle printeri juurdepääsutase on täiesti salajane. Täiesti salajase tasemega teabega töötamise ajalugu, s.o. katsed sellele juurde pääseda, seda üle võrgu edastada, kopeerida välisele andmekandjale või printida logitakse.
Näide: lase töötajal lubada täiesti salajaseks, võrgu juurdepääsutase salajaseks, irdkandja juurdepääsutase avalikuks ja printeri juurdepääsutase täiesti salajaseks; sellisel juhul saab töötaja ligipääsu mis tahes salastatuse tasemega dokumendile, töötaja saab edastada võrku teavet, mille salastatuse tase ei ületa salajastust, kopeerida näiteks diskettidele, töötaja saab teavet ainult avaliku saladuse taseme ja töötaja saab printida mis tahes teavet printeriga.
Kogu ettevõttes teabe levitamise haldamiseks määratakse igale töötajale määratud arvutile arvuti turvatase. See tase piirab teabe maksimaalset turbetaset, millele iga töötaja saab antud arvutist juurde pääseda, olenemata töötaja kontrollitasemetest. See. Kui töötaja loa tase on võrdne täiesti salajase tasemega ja arvutil, kus ta parasjagu töötab, on turvatase võrdne avalikuga, siis ei pääse töötaja sellest tööjaamast ligi avalikust kõrgema turbetasemega teabele.
Teooriaga relvastatud, proovime probleemi lahendamiseks kasutada SecrecyKeeperit. Vaadeldava abstraktse ettevõtte infosüsteemis töödeldavat teavet (vt probleemipüstitust) saab kirjeldada lihtsustatult kasutades järgmist tabelit:
Ettevõtte töötajad ja nende tööhuvide valdkond on kirjeldatud teise tabeli abil:
Lubage ettevõttes kasutada järgmisi servereid:
Server 1C
Pallikestega failiserver:
SecretDocs – sisaldab salajasi dokumente
PublicDocs – sisaldab avalikult kättesaadavaid dokumente
Olgu märgitud, et standardse juurdepääsukontrolli korraldamiseks kasutatakse operatsioonisüsteemi ja rakendustarkvara standardseid võimalusi, s.o. selleks, et näiteks juht ei pääseks ligi töötajate isikuandmetele, ei ole vaja kasutusele võtta täiendavaid kaitsesüsteeme. Me räägime konkreetselt sellise teabe levitamise vastu võitlemisest, millele töötajal on seaduslik juurdepääs.
Liigume edasi SecrecyKeeperi tegeliku konfiguratsiooni juurde.
Ma ei kirjelda halduskonsooli ja agentide installimise protsessi, kõik on võimalikult lihtne - vaadake programmi dokumentatsiooni.
Süsteemi seadistamine koosneb järgmiste sammude sooritamisest.
1. samm. Installige agendid kõikidesse arvutitesse, välja arvatud serverid – see takistab neil kohe saada teavet, mille salastatuse tase on seatud avalikust kõrgemale.
2. toiming. Määrake töötajatele läbipääsutasemed vastavalt järgmisele tabelile.
| Kasutajaõiguste tase | Võrgujuurdepääsu tase | Irdkandjale juurdepääsu tase | Printeri juurdepääsutase | |
| direktor | saladus | saladus | saladus | saladus |
| juht | saladus | avalik | avalik | saladus |
| personaliametnik | saladus | avalik | avalik | saladus |
| raamatupidaja | saladus | avalik | saladus | saladus |
| sekretär | avalik | avalik | avalik | avalik |
3. samm. Määrake arvuti turbetasemed järgmiselt.
Samm 4. Konfigureerige teabeturbe tasemed serverites.
Samm 5. Konfigureerige kohalike failide jaoks töötajate arvutites teabeturbe tasemed. See on kõige aeganõudvam osa, kuna on vaja selgelt aru saada, millised töötajad millise teabega töötavad ja kui oluline see teave on. Kui teie organisatsioon on läbinud infoturbeauditi, võivad selle tulemused ülesande oluliselt lihtsamaks muuta.
Etapp 6. Vajadusel võimaldab SecrecyKeeper piirata programmide loendit, mida kasutajatel on lubatud käivitada. Seda mehhanismi rakendatakse sõltumatult Windowsi tarkvarapiirangute poliitikast ja seda saab kasutada näiteks siis, kui on vaja kehtestada piiranguid administraatoriõigustega kasutajatele.
Seega on SecrecyKeeperi abil võimalik oluliselt vähendada salastatud teabe loata levitamise – nii lekkimise kui ka varguse – ohtu.
Puudused:
- raskused kohalike failide privaatsustasemete algsel seadistamisel;
Üldine järeldus:
maksimaalsed võimalused teabe kaitsmiseks siseringi eest annab tarkvara, mis suudab dünaamiliselt reguleerida juurdepääsu teabeedastuskanalitele, olenevalt töötava teabe salastatuse astmest ja töötaja julgeolekukontrolli tasemest.
Ettevõte on ainulaadne teenus ostjatele, arendajatele, edasimüüjatele ja siduspartneritele. Lisaks on see üks parimaid veebipõhiseid tarkvarapoode Venemaal, Ukrainas ja Kasahstanis, mis pakub klientidele laia valikut tooteid, palju makseviise, kiiret (sageli kohest) tellimuste töötlemist ja tellimuse protsessi jälgimist isiklikus jaotises. .
"Konsultant", 2011, N 9
"See, kellele kuulub teave, omab maailma" - see Winston Churchilli kuulus aforism on kaasaegses ühiskonnas asjakohasem kui kunagi varem. Esiplaanile tulevad teadmised, ideed ja tehnoloogia ning turuliider sõltub sellest, kui hästi suudab ettevõte oma intellektuaalset kapitali juhtida.
Nendes tingimustes muutub organisatsiooni infoturve eriti oluliseks.
Igasugune teabe lekkimine konkurentidele või teabe avaldamine sisemiste protsesside kohta mõjutab koheselt ettevõtte positsioone turul.
Infoturbesüsteem peab pakkuma kaitset erinevate ohtude eest: tehniliste, organisatsiooniliste ja inimfaktorist põhjustatud ohtude eest.
Nagu praktika näitab, on teabelekke peamine kanal siseringi.
Vaenlane tagalas
Tavaliselt on insaider ettevõtte töötaja, kes tekitab ettevõttele kahju konfidentsiaalse teabe avaldamisega.
Kui aga arvestada kolme põhitingimust, mille tagamine on infoturbe eesmärk – konfidentsiaalsus, terviklikkus, käideldavus –, saab seda määratlust laiendada.
Insaideriks võib nimetada töötajat, kellel on seaduslik ametlik juurdepääs ettevõtte konfidentsiaalsele teabele, mis põhjustab teabe avalikuks saamist, moonutamist, kahjustumist või ligipääsmatust.
Selline üldistus on vastuvõetav, sest tänapäeva maailmas toob teabe terviklikkuse ja kättesaadavuse rikkumine ettevõtlusele sageli palju raskemaid tagajärgi kui konfidentsiaalse teabe avaldamine.
Paljude ettevõtete jaoks ähvardab äriprotsesside seiskamine isegi lühiajaliselt märkimisväärseid rahalisi kaotusi ning mõne päeva jooksul toimuv toimimise katkemine võib anda nii tugeva löögi, et selle tagajärjed võivad olla saatuslikud.
Erinevad äririski uurivad organisatsioonid avaldavad regulaarselt oma uurimistöö tulemusi. Nende sõnul on siseteave olnud infoturbe rikkumiste põhjuste edetabelis juba aastaid järjekindlalt esikohal.
Juhtumite koguarvu pideva kasvu tõttu võime järeldada, et probleemi aktuaalsus suureneb kogu aeg.
Ohu mudel
Usaldusväärse kihilise infoturbesüsteemi ehitamiseks, mis aitab probleemiga tõhusalt võidelda, on vaja ennekõike luua ohumudel.
Peate mõistma, kes on insaiderid ja mis neid motiveerib, miks nad teatud toiminguid teevad.
Selliste mudelite loomiseks on erinevaid lähenemisviise, kuid praktilistel eesmärkidel saate kasutada järgmist klassifikatsiooni, mis hõlmab kõiki peamisi siseringi tüüpe.
Sisemine häkker
Sellisel töötajal on reeglina keskmisest kõrgem inseneri kvalifikatsioon ja ta saab aru ettevõtte ressursside struktuurist, arvutisüsteemide ja -võrkude arhitektuurist.
Ta teeb häkkimistoiminguid uudishimust, sportlikust huvist, uurides enda võimete piire.
Tavaliselt on ta teadlik oma tegevusest tulenevast võimalikust kahjust, mistõttu põhjustab ta harva käegakatsutavat kahju.
Ohuaste on keskmine, kuna tema tegevus võib põhjustada mõne ettevõttes toimuva protsessi ajutise seiskumise. Tegevuste tuvastamine on võimalik eelkõige tehniliste vahendite abil.
Vastutustundetu ja madala kvalifikatsiooniga töötaja
Võib omada erinevaid oskusi ja töötada ettevõtte mis tahes osakonnas.
See on ohtlik, kuna tal ei ole kombeks mõelda oma tegevuse tagajärgedele, ta võib töötada ettevõtte inforessurssidega "katse-eksituse meetodil" ning tahtmatult teavet hävitada ja moonutada.
Tavaliselt ta ei mäleta oma tegude järjekorda ja negatiivseid tagajärgi avastades võib ta neist lihtsalt vaikida.
Võib paljastada ärisaladust kujutavat teavet isiklikus vestluses sõbraga või isegi Interneti-foorumites ja suhtlusvõrgustikes suheldes.
Ohuaste on väga kõrge, eriti kui arvestada, et seda tüüpi kurjategijaid esineb teistest sagedamini. Tema tegevuse tagajärjed võivad olla palju tõsisemad kui teadliku ründaja omad.
Tema tegevuse tagajärgede ärahoidmiseks on vaja võtta terve rida erinevaid meetmeid, nii tehnilisi (volitamine, töösessioonide kohustuslik jaotamine raamatupidamisarvestuse järgi) kui ka organisatsioonilisi (pidev juhtimiskontroll töö protsessi ja tulemuse üle) .
Psühholoogiliselt ebastabiilne inimene
Nii nagu eelmise tüübi esindaja, võib ta töötada igal ametikohal ja olla väga erineva kvalifikatsiooniga. Ohtlik kalduvuse tõttu nõrgalt motiveeritud tegudele psühholoogilise ebamugavuse tingimustes: äärmuslikes olukordades, teiste töötajate psühholoogiline surve või lihtsalt tugev ärritus.
Afektiivses seisundis võib see paljastada konfidentsiaalset teavet, kahjustada andmeid ja häirida teiste inimeste tavapärast töökäiku.
Ohtlikkuse aste on keskmine, kuid seda tüüpi kurjategijad pole nii levinud.
Tema tegevuse negatiivsete tagajärgede vältimiseks on kõige tõhusam kasutada haldusmeetmeid - selliste inimeste tuvastamiseks intervjuu etapis, teabele juurdepääsu piiramiseks ja mugava psühholoogilise kliima säilitamiseks meeskonnas.
Solvatud, solvunud töötaja
Kõige laiem infoturbe režiimi võimalike rikkujate rühm.
Teoreetiliselt on valdav enamus töötajatest võimelised panema toime ettevõttele ebasõbralikke tegusid.
See võib juhtuda siis, kui juhtkond näitab üles lugupidamatust töötaja isiksuse või ametialaste omaduste suhtes ja kui see mõjutab palgataset.
Potentsiaalselt kujutab seda tüüpi insaider endast väga suurt ohtu – võimalikud on nii infolekked kui ka kahjustumine ning nendest tulenev kahju on ettevõttele garanteeritult märgatav, kuna töötaja põhjustab seda teadlikult ja teab kõiki nõrku kohti hästi.
Tegevuste tuvastamiseks on vaja nii administratiivseid kui ka tehnilisi meetmeid.
Ebapuhas töötaja
Töötaja, kes püüab oma isiklikku rikkust täiendada selle ettevõtte vara arvelt, mille heaks ta töötab. Omandatud esemete hulgas võivad olla mitmesugused konfidentsiaalse teabe kandjad (kõvakettad, mälupulgad, ettevõtte sülearvutid).
Sel juhul on oht, et teave jõuab inimesteni, kellele see pole mõeldud, koos hilisema avaldamise või konkurentidele edastamisega.
Oht on keskmine, kuid see tüüp pole haruldane.
Selle tuvastamiseks on kõigepealt vaja haldusmeetmeid.
Konkurendi esindaja
Reeglina on ta kõrge kvalifikatsiooniga ja töötab ametikohtadel, mis pakuvad piisavalt võimalusi teabe, sealhulgas konfidentsiaalse teabe hankimiseks. See on kas olemasolev töötaja, kes on värvatud, konkurentide poolt välja ostetud (sagedamini) või spetsiaalselt ettevõttesse tutvustatud sisering.
Ohuaste on väga kõrge, kuna kahju tekitatakse teadlikult ja teadlikult info väärtusest ning ettevõtte haavatavusest.
Tegevuste väljaselgitamiseks on vaja nii haldus- kui ka tehnilisi meetmeid.
Mida me varastame?
Siseinfo probleemi mõistmine on võimatu ilma varastatud teabe olemust arvestamata.
Statistika järgi on enim nõutud nii klientide isikuandmed kui ka info kliendiettevõtete ja partnerite kohta, mida varastatakse enam kui pooltel juhtudel. Järgnevad tehingute üksikasjad, lepingute tingimused ja tarned. Suurt huvi pakuvad ka finantsaruanded.
Kaitsemeetmete komplekti moodustades seisab iga ettevõte paratamatult silmitsi küsimusega: milline konkreetne teave nõuab spetsiaalseid kaitsemeetmeid ja mis ei vaja neid?
Loomulikult on selliste otsuste aluseks riskianalüüsi tulemusena saadud andmed. Tihti on ettevõttel aga piiratud rahalised vahendid, mida infoturbesüsteemile kulutada, ning nendest ei pruugi kõigi riskide minimeerimiseks piisata.
Kaks lähenemist
Kahjuks pole valmis vastust küsimusele: "Mida kõigepealt kaitsta."
Sellele probleemile saab läheneda kahest küljest.
Risk on kompleksne näitaja, mis võtab arvesse nii konkreetse ohu tõenäosust kui ka sellest tulenevat võimalikku kahju. Seetõttu saate turvalisuse prioriteetide seadmisel keskenduda ühele neist näitajatest. See tähendab, et esmalt kaitstakse seda infot, mida on kõige lihtsam varastada (näiteks kui sellele pääseb ligi suur hulk töötajaid) ning mille vargus või blokeerimine tooks kaasa kõige raskemad tagajärjed.
Insaiderprobleemi oluline aspekt on infoedastuskanal. Mida rohkem on füüsilisi võimalusi volitamata teabe edastamiseks ettevõttest väljapoole, seda suurem on tõenäosus, et see juhtub.
Ülekandemehhanismid
Ülekandemehhanisme võib liigitada järgmiselt:
- suuline edastamine (isiklik vestlus);
- tehnilised andmeedastuskanalid (telefon, faks, e-post, sõnumisüsteemid, erinevad sotsiaalsed Interneti-teenused jne);
- kaasaskantavad meediumid ja mobiilseadmed (mobiiltelefonid, välised kõvakettad, sülearvutid, mälupulgad jne).
Meie aja uuringute kohaselt on levinumad kanalid konfidentsiaalsete andmete edastamiseks (kahanevas järjekorras): e-post, mobiilseadmed (sh sülearvutid), sotsiaalvõrgustikud ja muud Interneti-teenused (näiteks kiirsuhtlussüsteemid) jne.
Tehniliste kanalite juhtimiseks saab kasutada erinevaid vahendeid, laias valikus hetkel turvaturul saadaolevaid tooteid.
Näiteks, sisu filtreerimissüsteemid (dünaamilised blokeerimissüsteemid), teabekandjatele (CD, DVD, Bluetooth) juurdepääsu piiramise vahendid.
Rakendatakse ka administratiivseid meetmeid: Interneti-liikluse filtreerimine, tööjaamade füüsiliste portide blokeerimine, haldusrežiimi ja füüsilise turvalisuse tagamine.
Konfidentsiaalse teabe kaitsmise tehniliste vahendite valikul tuleb rakendada süstemaatilist lähenemist. Ainult nii on võimalik saavutada nende rakendamisel suurim tõhusus.
Samuti peate mõistma, et iga ettevõtte ees seisvad väljakutsed on ainulaadsed ja sageli on lihtsalt võimatu kasutada teiste organisatsioonide kasutatavaid lahendusi.
Võitlus siseteabe vastu ei tohiks toimuda üksinda, see on infoturbe režiimi tagamisele suunatud üldise äriprotsessi oluline komponent.
Seda peavad läbi viima professionaalid ja see peab hõlmama tervet tegevustsüklit: infoturbepoliitika väljatöötamine, ulatuse määramine, riskianalüüs, vastumeetmete valik ja nende rakendamine, samuti infoturbesüsteemi audit.
Kui ettevõte ei taga infoturvet kogu kompleksi ulatuses, siis suurenevad järsult riskid saada rahalisi kaotusi infoleketest ja info kahjustumisest.
Riskide minimeerimine
Läbivaatus
- Ettevõtte mis tahes ametikohtadele kandideerivate taotlejate põhjalik sõelumine. Kandidaadi kohta on soovitatav koguda võimalikult palju teavet, sealhulgas tema sotsiaalvõrgustike lehtede sisu. Abi võib olla ka eelmisest töökohast viite küsimisest.
- IT-inseneri ametikohale kandideerijad peaksid läbima eriti põhjaliku sõelumise. Praktika näitab, et üle poole kõigist insaideridest on süsteemiadministraatorid ja programmeerijad.
- Töölevõtmisel tuleb läbi viia vähemalt minimaalne kandidaatide psühholoogiline kontroll. See aitab tuvastada ebastabiilse vaimse tervisega taotlejaid.
Juurdepääsuõigus
- Süsteem juurdepääsu jagamiseks ettevõtte ressurssidele. Ettevõte peab koostama regulatiivse dokumentatsiooni, mis reastab teabe konfidentsiaalsustaseme järgi ja määratleb selgelt juurdepääsuõigused. Juurdepääs mis tahes ressurssidele peab olema isikupärastatud.
- Juurdepääsuõigused ressurssidele tuleks eraldada vastavalt „minimaalse piisavuse” põhimõttele. Juurdepääsuga tehniliste seadmete hooldusele, isegi administraatoriõigustega, ei tohiks alati kaasneda juurdepääs teabe enda vaatamiseks.
- Kasutaja toimingute võimalikult sügav jälgimine koos kohustusliku autoriseerimisega ja tehtud toimingute info logisse salvestamisega. Mida hoolikamalt logisid peetakse, seda suurem on juhtkonnal kontroll ettevõtte olukorra üle. Sama kehtib ka töötaja tegevuse kohta ametliku Interneti-juurdepääsu kasutamisel.
Suhtlusstandard
- Organisatsioon peab võtma kasutusele oma suhtlusstandardi, mis välistaks töötajate kõiksugu üksteise suhtes sobimatu käitumise (agressiivsus, vägivald, liigne tuttavlikkus). Esiteks kehtib see "juhi-alluva" suhte kohta.
Töötaja ei tohi mingil juhul tunda, et teda koheldakse ebaõiglaselt, teda ei hinnata piisavalt, teda kasutatakse asjatult ära või et teda petetakse.
Selle lihtsa reegli järgimine võimaldab teil vältida enamikku olukordi, mis provotseerivad töötajaid siseteavet andma.
Konfidentsiaalsus
Mitteavaldamise kokkulepe ei tohiks olla pelgalt formaalsus. Selle peavad allkirjastama kõik töötajad, kellel on juurdepääs olulistele ettevõtte teabeallikatele.
Lisaks tuleb isegi vestluse etapis potentsiaalsetele töötajatele selgitada, kuidas ettevõte infoturvet kontrollib.
Fondide kontroll
Esindab kontrolli tehniliste vahendite üle, mida töötaja kasutab tööks.
Näiteks, isikliku sülearvuti kasutamine on ebasoovitav, sest kui töötaja lahkub, ei ole tõenäoliselt võimalik teada saada, millist teavet sellele salvestatakse.
Samal põhjusel ei ole väliste ressursside puhul soovitatav kasutada meilibokse.
Sisemine rutiin
Ettevõte peab järgima sisemisi eeskirju.
Vajalik on omada teavet töötajate töökohal veedetud aja kohta.
Samuti tuleb tagada materiaalsete varade liikumise kontroll.
Kõigi ülaltoodud reeglite täitmine vähendab siseteabe kaudu teabe kahjustamise või lekkimise ohtu ning aitab seega vältida olulisi rahalisi või mainekahju.
Juhtiv partner
ettevõtete grupp Hosting Community
Viimasel ajal on sisemiste ohtude eest kaitsmise probleem muutunud tõeliseks väljakutseks mõistetavale ja väljakujunenud ettevõtte infoturbemaailmale. Ajakirjanduses räägitakse siseringist, teadlased ja analüütikud hoiatavad võimalike kaotuste ja hädade eest ning uudistevood on täis teateid järjekordsest juhtumist, mis viis sadade tuhandete kliendikirjete lekkimiseni töötaja vea või ettevaatamatuse tõttu. Proovime välja mõelda, kas see probleem on nii tõsine, kas sellega tuleb tegeleda ning millised on selle lahendamiseks saadaolevad tööriistad ja tehnoloogiad.
Kõigepealt tasub kindlaks teha, et oht andmete konfidentsiaalsusele on sisemine, kui selle allikaks on ettevõtte töötaja või mõni muu isik, kellel on nendele andmetele seaduslik juurdepääs. Seega, kui me räägime siseringi ohtudest, siis me räägime seaduslike kasutajate võimalikest tahtlikest või juhuslikest tegevustest, mis võivad viia konfidentsiaalse teabe lekkimiseni väljapoole ettevõtte korporatiivset võrku. Pildi täiendamiseks tasub lisada, et selliseid kasutajaid nimetatakse sageli insaideriteks, kuigi sellel terminil on ka teisi tähendusi.
Siseohtude probleemi aktuaalsust kinnitavad hiljutiste uuringute tulemused. Eelkõige avalikustati 2008. aasta oktoobris Compuware'i ja Ponemon Institue'i ühisuuringu tulemused, mille kohaselt on insaiderid kõige levinum andmelekete põhjus (75% intsidentidest USA-s), samas kui häkkerid olid alles viiendal kohal. koht. Arvutiturbeinstituudi (CSI) 2008. aasta uuringus on siseringi ohujuhtumite arvud järgmised:
Juhtumite arv protsentides tähendab, et vastanute koguarvust leidus seda tüüpi intsidente määratud protsendis organisatsioonidest. Nagu nendest arvudest näha, on peaaegu igal organisatsioonil oht kannatada sisemiste ohtude käes. Võrdluseks, sama aruande kohaselt mõjutasid viirused 50% küsitletud organisatsioonidest ja ainult 13% kohtas häkkereid, kes tungisid nende kohalikku võrku.
Seega on sisemised ohud tänapäeva reaalsus, mitte analüütikute ja müüjate väljamõeldud müüt. Nii et need, kes vanamoodsalt usuvad, et ettevõtete infoturve on tulemüür ja viirusetõrje, peavad probleemile võimalikult kiiresti laiemalt otsa vaatama.
Pinget suurendab ka «Isikuandmete seadus», mille kohaselt peavad organisatsioonid ja ametnikud isikuandmete ebaõige käitlemise eest vastutama mitte ainult oma juhtkonnale, vaid ka oma klientidele ja seadusele.
Sissetungija mudel
Traditsiooniliselt tuleks ohtude ja nende vastu kaitsmise kaalumisel alustada vastase mudeli analüüsist. Nagu juba mainitud, räägime insaideridest - organisatsiooni töötajatest ja teistest kasutajatest, kellel on seaduslik juurdepääs konfidentsiaalsele teabele. Reeglina peavad kõik nende sõnadega arvutis töötavat kontoritöötajat ettevõtte võrgu osaks, kes ei lahku töötamise ajal organisatsiooni kontorist. Selline esitus on aga puudulik. Seda on vaja laiendada, et hõlmata muud tüüpi isikud, kellel on seaduslik juurdepääs teabele ja kes võivad organisatsiooni kontorist lahkuda. Need võivad olla sülearvutiga ärireisijad või nii kontoris kui ka kodus töötavad kullerid, kes veavad meediumit infoga, eelkõige varukoopiaga magnetlinte jne.
Selline laiendatud sissetungija mudeli käsitlemine sobib esiteks kontseptsiooniga, kuna ka nende sissetungijate ohud on sisemised, teiseks võimaldab see probleemi laiemalt analüüsida, kaaludes kõiki võimalikke võimalusi nende ohtudega võitlemiseks.
Eristada saab järgmisi peamisi sisemiste rikkujate tüüpe:
- Ebalojaalne/nördinud töötaja.Sellesse kategooriasse kuuluvad rikkujad võivad tegutseda sihikindlalt, näiteks vahetades töökohta ja soovides haarata konfidentsiaalset infot, et huvi pakkuda uuele tööandjale, või emotsionaalselt, kui nad pidasid end solvatuks, soovides seeläbi kätte maksta. Nad on ohtlikud, kuna nad on kõige rohkem motiveeritud tekitama kahju organisatsioonile, kus nad praegu töötavad. Ebalojaalsete töötajatega seotud juhtumite arv on reeglina väike, kuid see võib suureneda ebasoodsate majandustingimuste ja massilise personali vähendamise korral.
- Sisse imbunud, altkäemaksu saanud või manipuleeritud töötaja.Sel juhul räägime mis tahes suunatud tegevusest, tavaliselt tööstusspionaaži eesmärgil tiheda konkurentsi tingimustes. Konfidentsiaalse teabe kogumiseks tutvustavad nad teatud eesmärkidel oma inimest konkureerivasse ettevõttesse või leiavad vähem lojaalse töötaja ja annavad talle altkäemaksu või sunnivad lojaalset, kuid hoolimatut töötajat sotsiaalse manipuleerimise teel konfidentsiaalset teavet üle andma. Seda tüüpi intsidentide arv on tavaliselt veelgi väiksem kui varasematel, kuna enamikus Venemaa Föderatsiooni majandussegmentides ei ole konkurents eriti arenenud või seda rakendatakse muul viisil.
- Hooletu töötaja.Seda tüüpi rikkuja on lojaalne, kuid tähelepanematu või hooletu töötaja, kes võib teadmatuse või unustamise tõttu rikkuda ettevõtte siseturvalisuse poliitikat. Selline töötaja võib ekslikult saata meili tundliku failiga, mis on lisatud valele inimesele, või viia koju konfidentsiaalset teavet sisaldava mälupulga, millega nädalavahetusel tööd teha, ja selle kaotada. Sellesse tüüpi kuuluvad ka töötajad, kes kaotavad sülearvutid ja magnetlintid. Paljude ekspertide arvates on seda tüüpi insaider vastutav enamiku konfidentsiaalse teabe lekete eest.
Seega võivad potentsiaalsete rikkujate motiivid ja sellest tulenevalt ka tegevussuund oluliselt erineda. Sõltuvalt sellest peaksite lähenema organisatsiooni siseturvalisuse tagamise ülesandele.
Tehnoloogiad siseohtude eest kaitsmiseks
Vaatamata selle turusegmendi suhtelisele noorusele on klientidel juba praegu palju valida, sõltuvalt nende eesmärkidest ja rahalistest võimalustest. Väärib märkimist, et praegu pole turul praktiliselt ühtegi müüjat, kes oleks spetsialiseerunud ainult siseohtudele. Selline olukord on tekkinud mitte ainult selle segmendi ebaküpsuse tõttu, vaid ka traditsiooniliste turvatoodete tootjate ja teiste selles segmendis osalemisest huvitatud müüjate agressiivse ja mõnikord kaootilise ühinemis- ja ülevõtmispoliitika tõttu. Tasub meenutada 2006. aastal EMC divisjoniks saanud ettevõtet RSA Data Security, 2005. aastal serverisalvestuse ja varukoopiate kaitsmise süsteeme välja töötanud startup Decru ostu NetAppi poolt, DLP müüja Vontu ostu Symanteci poolt. aastal 2007 jne.
Vaatamata asjaolule, et suur hulk selliseid tehinguid viitab selle segmendi headele väljavaadetele, ei too need alati kasu suurettevõtete tiiva alla kuuluvate toodete kvaliteedile. Tooted hakkavad arenema aeglasemalt ja arendajad ei reageeri turu nõudmistele nii kiiresti kui kõrgelt spetsialiseerunud ettevõte. See on tuntud suurettevõtete haigus, mis, nagu me teame, kaotab mobiilsuse ja efektiivsuse oma väiksematele vendadele. Teisalt paraneb teeninduse kvaliteet ja toodete kättesaadavus klientidele erinevates maailma paikades tänu nende teenindus- ja müügivõrgu arengule.
Vaatleme praegu sisemiste ohtude neutraliseerimiseks kasutatavaid peamisi tehnoloogiaid, nende eeliseid ja puudusi.
Dokumentide kontroll
Dokumendihaldustehnoloogia on kaasatud kaasaegsetesse õiguste haldustoodetesse, nagu Microsoft Windowsi õiguste haldusteenused, Adobe LiveCycle Rights Management ES ja Oracle Information Rights Management.
Nende süsteemide tööpõhimõte on määrata igale dokumendile kasutusreeglid ja juhtida neid õigusi rakendustes, mis töötavad seda tüüpi dokumentidega. Näiteks saate luua Microsoft Wordi dokumendi ja määrata reeglid selle kohta, kes saab seda vaadata, kes saab redigeerida ja salvestada muudatusi ning kes saab printida. Neid reegleid nimetatakse Windows RMS-i tingimustes litsentsiks ja need salvestatakse koos failiga. Faili sisu on krüpteeritud, et volitamata kasutajad seda ei näeks.
Nüüd, kui mõni kasutaja proovib sellist kaitstud faili avada, võtab rakendus ühendust spetsiaalse RMS-serveriga, kinnitab kasutaja õigused ja kui sellele kasutajale on juurdepääs lubatud, edastab server rakendusele võtme selle faili ja teabe dekrüpteerimiseks. selle kasutaja õiguste kohta. Selle teabe põhjal teeb rakendus kasutajale kättesaadavaks ainult need funktsioonid, mille jaoks tal on õigused. Näiteks kui kasutajal ei ole lubatud faili printida, pole rakenduse printimisfunktsioon saadaval.
Selgub, et sellises failis olev teave on turvaline ka siis, kui fail satub väljapoole ettevõtte võrku – see on krüpteeritud. RMS-funktsioonid on juba Microsoft Office 2003 Professional Editioni rakendustesse sisse ehitatud. RMS-i funktsioonide manustamiseks teiste arendajate rakendustesse pakub Microsoft spetsiaalset SDK-d.
Adobe'i dokumendihaldussüsteem on üles ehitatud sarnaselt, kuid on keskendunud PDF-vormingus dokumentidele. Oracle IRM installitakse klientarvutitesse agendina ja integreerub rakendustega käitusajal.
Dokumendikontroll on siseringi ohukaitse üldise kontseptsiooni oluline osa, kuid arvesse tuleb võtta selle tehnoloogia olemuslikke piiranguid. Esiteks on see mõeldud ainult dokumendifailide jälgimiseks. Kui me räägime struktureerimata failidest või andmebaasidest, siis see tehnoloogia ei tööta. Teiseks, kui ründaja loob selle süsteemi SDK-d kasutades lihtsa rakenduse, mis suhtleb RMS-serveriga, saab sealt krüpteerimisvõtme ja salvestab dokumendi selge tekstina ning käivitab selle rakenduse kasutaja nimel, dokumendile juurdepääsu miinimumtase, siis jääb see süsteem mööda. Lisaks tuleks arvestada raskustega dokumendikontrollisüsteemi juurutamisel, kui organisatsioonil on juba palju dokumente loodud – dokumentide esmane salastamine ja nende kasutusõiguste määramine võib nõuda märkimisväärset pingutust.
See ei tähenda, et dokumendikontrollisüsteemid oma ülesannet ei täidaks, tuleb vaid meeles pidada, et infoturve on kompleksne probleem ning reeglina pole seda võimalik ühe tööriista abil lahendada.
Lekkekaitse
Mõiste andmekao vältimine (DLP) ilmus infoturbe spetsialistide sõnavarasse suhteliselt hiljuti ja on juba liialdamata muutunud viimaste aastate kuumimaks teemaks. Lühend DLP tähistab reeglina süsteeme, mis jälgivad võimalikke lekkekanaleid ja blokeerivad need, kui nende kanalite kaudu üritatakse saata mingit konfidentsiaalset infot. Lisaks hõlmavad selliste süsteemide funktsioonid sageli võimalust arhiveerida neid läbivat teavet järgnevate auditite, intsidentide uurimise ja võimalike riskide retrospektiivse analüüsi jaoks.
DLP-süsteeme on kahte tüüpi: võrgu DLP ja hosti DLP.
Võrgu DLP töötavad võrgulüüsi põhimõttel, mis filtreerib kõik seda läbivad andmed. Ilmselgelt, lähtudes sisemiste ohtudega võitlemise ülesandest, seisneb sellise filtreerimise peamine huvi võimalus kontrollida väljaspool ettevõtte võrku Internetti edastatavaid andmeid. Võrgu-DLP-d võimaldavad teil jälgida väljaminevat e-posti, http- ja ftp-liiklust, kiirsõnumiteenuseid jne. Tundliku teabe tuvastamisel võivad võrgu DLP-d edastatud faili blokeerida. Samuti on valikud kahtlaste failide käsitsi töötlemiseks. Kahtlased failid asetatakse karantiini, mille turvaametnik vaatab perioodiliselt üle ja kas lubab või keelab failiedastuse. Protokolli olemuse tõttu on selline töötlemine aga võimalik ainult meili puhul. Täiendavaid võimalusi auditeerimiseks ja intsidentide uurimiseks pakub kogu lüüsi läbiva teabe arhiveerimine eeldusel, et seda arhiivi vaadatakse perioodiliselt üle ja analüüsitakse selle sisu, et tuvastada tekkinud lekked.
Üks peamisi probleeme DLP-süsteemide juurutamisel ja juurutamisel on konfidentsiaalse teabe tuvastamise meetod, st edastatava teabe konfidentsiaalsuse üle otsustamise hetk ja põhjused, mida sellise otsuse tegemisel arvesse võetakse. . Reeglina hõlmab see edastatud dokumentide sisu analüüsimist, mida nimetatakse ka sisuanalüüsiks. Vaatleme peamisi lähenemisviise konfidentsiaalse teabe tuvastamiseks.
- Sildid. See meetod sarnaneb eespool käsitletud dokumendikontrollisüsteemidega. Sildid on manustatud dokumentidele, mis kirjeldavad teabe konfidentsiaalsuse astet, mida selle dokumendiga teha saab ja kellele see saata. Siltide analüüsi tulemuste põhjal otsustab DLP-süsteem, kas antud dokumenti saab väljapoole saata või mitte. Mõned DLP-süsteemid on algselt muudetud õiguste haldussüsteemidega ühilduvaks, et kasutada nende süsteemide installitud silte; teised süsteemid kasutavad oma sildivormingut.
- Allkirjad. See meetod seisneb ühe või mitme märgijada määramises, mille olemasolu edastatava faili tekstis peaks DLP-süsteemile teatama, et see fail sisaldab konfidentsiaalset teavet. Suure hulga allkirju saab korraldada sõnaraamatutesse.
- Bayesi meetod. Seda meetodit, mida kasutatakse rämpsposti vastu võitlemiseks, saab edukalt kasutada ka DLP-süsteemides. Selle meetodi rakendamiseks luuakse kategooriate loend ja näidatakse sõnade loendit tõenäosusega, et kui sõna esineb failis, siis antud tõenäosusega fail kuulub või ei kuulu määratud kategooriasse.
- Morfoloogiline analüüs.Morfoloogilise analüüsi meetod sarnaneb signatuuriga, erinevus seisneb selles, et ei analüüsita 100% vastet signatuuriga, vaid arvesse võetakse ka sarnaseid tüvisõnu.
- Digitrükid.Selle meetodi olemus seisneb selles, et kõikidele konfidentsiaalsetele dokumentidele arvutatakse räsifunktsioon selliselt, et kui dokumenti veidi muuta, jääb räsifunktsioon samaks või muutub ka veidi. Seega on konfidentsiaalsete dokumentide tuvastamise protsess oluliselt lihtsustatud. Vaatamata paljude müüjate ja mõnede analüütikute entusiastlikele kiitustele selle tehnoloogia kohta, jätab selle töökindlus palju soovida ning arvestades asjaolu, et müüjad eelistavad erinevatel ettekäänetel jätta digitaalse sõrmejälje algoritmi rakendamise üksikasjad varju, usaldada. selles ei suurene.
- Regulaaravaldised.Kõigile programmeerimisega tegelenutele teadaolevad regulaaravaldised võimaldavad hõlpsasti leida tekstist malliandmeid, näiteks telefoninumbreid, passiandmeid, pangakontonumbreid, sotsiaalkindlustuse numbreid jne.
Ülaltoodud loetelust on hästi näha, et tuvastamismeetodid kas ei taga konfidentsiaalse teabe 100% tuvastamist, kuna nii esimest kui teist tüüpi vigade tase on neis üsna kõrge, või nõuavad turvateenistuse pidevat valvsust ajakohastada ja hallata konfidentsiaalsete dokumentide allkirjade või määramise siltide ajakohastatud loendit.
Lisaks võib liikluse krüpteerimine tekitada teatud probleeme võrgu DLP töös. Kui turvanõuded nõuavad meilisõnumite krüptimist või SSL-i kasutamist mis tahes veebiressurssidega ühenduse loomisel, võib ülekantud failides konfidentsiaalse teabe olemasolu tuvastamise probleemi olla väga raske lahendada. Ärge unustage, et mõnel kiirsuhtlusteenusel, nagu Skype, on vaikimisi sisseehitatud krüpteerimine. Peate keelduma selliste teenuste kasutamisest või kasutama nende juhtimiseks hosti DLP-d.
Kuid hoolimata kõigist keerukustest võib võrgu DLP õigesti seadistatuna ja tõsiselt võetuna oluliselt vähendada konfidentsiaalse teabe lekkimise ohtu ja pakkuda organisatsioonile mugavaid sisekontrollivahendeid.
Host DLP on installitud igasse võrgu hosti (klienditööjaamadesse ja vajadusel serveritesse) ning neid saab kasutada ka Interneti-liikluse juhtimiseks. Kuid hostipõhised DLP-d on selles võimsuses vähem levinud ja neid kasutatakse praegu peamiselt välisseadmete ja printerite jälgimiseks. Teatavasti ohustab töötaja, kes toob tööle mälupulga või MP3-mängija, ettevõtte infoturbele palju suuremat ohtu kui kõik häkkerid kokku. Neid süsteeme nimetatakse ka lõpp-punkti turbetööriistadeks, kuigi sageli kasutatakse seda terminit laiemalt, näiteks nimetatakse mõnikord nii viirusetõrjevahendeid.
Teatavasti saab välisseadmete kasutamise probleemi lahendada ilma vahendeid kasutamata, kui pordid kas füüsiliselt või operatsioonisüsteemi kasutades keelata või administratiivselt keelata töötajatel kontorisse mistahes andmekandjaid tuua. Enamasti on “odav ja rõõmsameelne” lähenemine siiski vastuvõetamatu, kuna äriprotsessides nõutavat infoteenuste paindlikkust ei pakuta.
Seetõttu on tekkinud teatud nõudlus spetsiaalsete tööriistade järele, millega saaks paindlikumalt lahendada ettevõtte töötajate välisseadmete ja printerite kasutamise probleemi. Sellised tööriistad võimaldavad konfigureerida kasutajate juurdepääsuõigusi erinevat tüüpi seadmetele, näiteks ühe kasutajarühma jaoks keelata töö kandjaga ja lubada neil töötada printeritega ning teisele - lubada meediumiga töötamist kirjutuskaitstud kujul. režiimis. Kui on vaja salvestada infot välisseadmetele üksikute kasutajate jaoks, saab kasutada varikoopiatehnoloogiat, mis tagab, et kogu info, mis välisseadmele salvestatakse, kopeeritakse serverisse. Kopeeritud teavet saab hiljem analüüsida, et analüüsida kasutaja toiminguid. See tehnoloogia kopeerib kõike ja praegu puuduvad süsteemid, mis võimaldaksid salvestatud failide sisu analüüsi, et blokeerida töö ja vältida lekkeid, nagu seda teevad võrgu DLP-d. Varikoopiate arhiiv võimaldab aga intsidentide uurimist ja võrgu sündmuste retrospektiivset analüüsi ning sellise arhiivi olemasolu tähendab, et potentsiaalse siseringi saab tabada ja oma tegude eest karistada. See võib osutuda tema jaoks oluliseks takistuseks ja oluliseks põhjuseks vaenulikust tegevusest loobumiseks.
Märkimist väärib ka kontroll printerite kasutamise üle – lekkeallikaks võivad saada ka dokumentide paberkoopiad. Hostitud DLP võimaldab teil juhtida kasutajate juurdepääsu printeritele samamoodi nagu teistele välisseadmetele ja salvestada prinditud dokumentide koopiad graafilises vormingus hilisemaks analüüsiks. Lisaks on mõnevõrra levinud vesimärkide tehnoloogia, mis prindib igale dokumendilehele unikaalse koodi, mille abil saab täpselt kindlaks teha, kes, millal ja kus selle dokumendi trükkis.
Hoolimata hostipõhise DLP vaieldamatutest eelistest on neil mitmeid puudusi, mis on seotud vajadusega installida agenditarkvara igasse arvutisse, mida peaks jälgima. Esiteks võib see tekitada teatud raskusi selliste süsteemide juurutamisel ja haldamisel. Teiseks võib administraatoriõigustega kasutaja proovida seda tarkvara keelata, et teha mis tahes toiminguid, mida turbepoliitika ei luba.
Väliste seadmete usaldusväärseks juhtimiseks on aga hostipõhine DLP asendamatu ning mainitud probleemid pole lahendamatud. Seega võime järeldada, et DLP kontseptsioon on nüüdseks täisväärtuslik tööriist ettevõtete turvateenuste arsenalis, pidades silmas neile üha suurenevat survet, et tagada sisekontroll ja kaitse lekete eest.
IPC kontseptsioon
Siseohtude vastu võitlemise uute vahendite leiutamise protsessis ei peatu tänapäeva ühiskonna teaduslik ja insenerlik mõtlemine ning võttes arvesse eespool käsitletud vahendite teatud puudusi, on teabelekkekaitsesüsteemide turg jõudnud IPC (infokaitse ja kontroll) kontseptsioon. See termin ilmus suhteliselt hiljuti; arvatakse, et seda kasutati esmakordselt analüüsifirma IDC ülevaates 2007. aastal.
Selle kontseptsiooni põhiolemus on ühendada DLP ja krüpteerimismeetodid. Selles kontseptsioonis juhitakse DLP abil ettevõtte võrgust tehniliste kanalite kaudu väljuvat infot ning krüptimist kasutatakse andmekandjate kaitsmiseks, mis füüsiliselt langevad või võivad sattuda volitamata isikute kätte.
Vaatame kõige levinumaid krüpteerimistehnoloogiaid, mida saab IPC kontseptsioonis kasutada.
- Magnetlintide krüpteerimine.Vaatamata seda tüüpi meediumide arhailisusele kasutatakse seda jätkuvalt aktiivselt varundamiseks ja suurte teabemahtude edastamiseks, kuna salvestatud megabaidi ühikuhinna osas pole sellel endiselt võrdset. Sellest tulenevalt rõõmustavad lintide lekked jätkuvalt uudistekanalite toimetajaid, kes need esilehel avaldasid, ning valmistavad meelehärmi ettevõtete CIO-dele ja turvameeskondadele, kellest saavad selliste aruannete kangelased. Olukorda raskendab asjaolu, et sellised lindid sisaldavad väga suuri andmemahtusid ja seetõttu võib suur hulk inimesi sattuda petturite ohvriks.
- Serverisalvestuste krüpteerimine.Hoolimata sellest, et serverisalvestust transporditakse väga harva ja selle kadumise oht on magnetlindi omast mõõtmatult väiksem, võib salvestusruumist eraldiseisev kõvaketas sattuda ründajate kätte. Remont, utiliseerimine, uuendamine – need sündmused toimuvad piisava sagedusega, et see risk maha kanda. Ja volitamata isikute kabinetti sisenemise olukord pole päris võimatu sündmus.
Siinkohal tasub teha väike kõrvalepõige ja mainida levinud eksiarvamust, et kui ketas on osa RAID-massiivist, siis väidetavalt ei pea muretsema selle valedesse kätesse sattumise pärast. Näib, et kirjalike andmete põimimine mitmele kõvakettale, mida teevad RAID-kontrollerid, annab ühel kõvakettal asuvatele andmetele loetamatu välimuse. Kahjuks pole see täiesti tõsi. Interleaving toimub, kuid enamikus kaasaegsetes seadmetes tehakse seda 512-baidise ploki tasemel. See tähendab, et vaatamata failistruktuuri ja vormingute rikkumisele saab selliselt kõvakettalt siiski välja võtta konfidentsiaalset teavet. Seega, kui on nõue tagada RAID-massiivis salvestatud teabe konfidentsiaalsus, jääb krüptimine ainsaks usaldusväärseks võimaluseks.
- Sülearvutite krüpteerimine.Seda on juba lugematuid kordi öeldud, kuid sellegipoolest pole konfidentsiaalse teabega sülearvutite kadumine juba aastaid intsidentide hittparaadi esiviisikust välja jäänud.
- Irdkandjate krüpteerimine.Sel juhul räägime kaasaskantavatest USB-seadmetest ja mõnikord ka salvestatavatest CD-dest ja DVD-dest, kui neid kasutatakse ettevõtte äriprotsessides. Sellised süsteemid, nagu ka ülalmainitud sülearvutite kõvaketta krüpteerimissüsteemid, võivad sageli toimida hosti DLP-süsteemide komponentidena. Sel juhul räägitakse mingist krüptograafilisest perimeetrist, mis tagab sees olevate meediumite automaatse läbipaistva krüptimise ja võimetusest väljaspool seda andmeid dekrüpteerida.
Seega võib krüpteerimine oluliselt laiendada DLP-süsteemide võimalusi ja vähendada konfidentsiaalsete andmete lekkimise ohtu. Hoolimata asjaolust, et IPC kontseptsioon kujunes suhteliselt hiljuti ja keeruliste IPC lahenduste valik turul ei ole kuigi lai, uurib tööstus seda valdkonda aktiivselt ja on täiesti võimalik, et mõne aja pärast muutub see kontseptsioon sisejulgeoleku ja sisejulgeoleku probleemide lahendamise faktistandard.kontroll.
järeldused
Nagu käesolevast ülevaatest nähtub, on sisemised ohud infoturbe vallas üsna uus valdkond, mis sellegipoolest areneb aktiivselt ja nõuab suuremat tähelepanu. Kaalutud dokumendikontrolli tehnoloogiad, DLP ja IPC võimaldavad ehitada üsna töökindla sisekontrollisüsteemi ja vähendada lekkeohtu vastuvõetava tasemeni. Kahtlemata see infoturbe valdkond areneb edasi, hakatakse pakkuma uuemaid ja arenenumaid tehnoloogiaid, kuid tänapäeval valivad paljud organisatsioonid ühe või teise lahenduse, kuna hoolimatus infoturbe küsimustes võib olla liiga kulukas.
Aleksei Raevski
SecurITi tegevjuht
