Рыбный день #10: Безопасность, безопасность, а я маленький такой…

Сетевая безопасность является, наверное, самой загадочной для «casual user» областью IT. Ведь где-mо там, в горних высях, стоят Большие Серверы, которые ломают Крутые Хакеры с помощью скриптов, вирусов, пингов и трейсроутеров. Те же, в свою очередь, отгораживаются маршрутизаторами, проксями, роутерами и файрволами… А над всем этим, аки души неприкаянные, витают сисадмины и секьюрити-офицеры, сверху же сидит (правда, уже не сидит — выпустили) Кевин Митник, который един в трех лицах, и одно из них — ленинградский программист Вова Левин. И от всего этого нам, беднягам, нужно себя защитить. Сегодня мы поговорим про сетевую безопасность в любимом мной «гуманитарном ключе». Без технологических изысков, стандартов и спецификаций, руководств и рекомендаций. Просто попытаемся понять, что это за зверь такой…



Из разговора двух сисадминов:
— У меня знакомый вчера сервер сломал!
— Он что — хакер?
— Да нет, просто ИДИОТ!!!


Вечная игла для несуществующего примуса

Вообще, довольно-таки логично для начала попытаться определиться с одной элементарной вещью: а есть ли нам что охранять? Автору, например, до сих пор лениво поставить на свою домашнюю машину, работающую под управлением ОС Windows XP даже самый элементарный (бесплатный, к слову) персональный firewall. Просто потому, что я совершенно четко себе представляю, какую опасность для нее (и для меня, соответственно) представляет даже Самый Наикрутейший Хакер — НИКАКУЮ. Пусть ломает. Я думаю, что вряд ли он будет жутко обрадован, получив в результате список e-mail адресов и телефонов некоторых моих друзей, несколько черновиков готовящихся к выходу статей, фотографии жены и ребенка, и полный дистрибутив Warcraft III (даже если он успеет его выкачать по моему dial-up каналу, работающему даже в самые хорошие дни на скорости 33,600). Конечно, он может со злости отформатировать мне диск или что-то стереть — но я все-таки не совсем полный чайник, и все что действительно важно и необходимо храню на флеш-драйве и CDRW. И вовсе даже не потому, что опасаюсь взлома, а потому, что винчестеры, как и люди «не только смертны, но и, что самое неприятное — внезапно смертны» (прошу прощения у Михаила Афанасьевича за вольную манеру цитирования). То есть самый что ни на есть максимум неудобств от взлома лично для меня — это перспектива переустановки системы. Исходя из вышесказанного — стоит ли организация крупномасштабной сетевой Великой Китайской Стены тех хлопот, которые мне может причинить случайно ломанувшийся на мой IP молодой идиот, начитавшийся хакерских FAQ? Судя по времени, в течение которого ничего подобного не происходило — однозначно не стоит. Вот я и не переживаю. Но, разумеется, бывают и другие случаи. Итак, предположим, нам есть от кого прятаться, и есть что прятать. Теоретически — есть. А практически? Практически мы имеем выражение с довольно большим количеством переменных. Перечислим их по порядку.

Доступность. Самым надежным способом защиты своих данных, хранимых на некоем компьютере, от взлома извне — является банальнейшее отключение данного компьютера (компьютеров) от Глобальной сети. Физическое отключение. То есть просто-напросто между системами, имеющими доступ в Internet, и теми, на которых хранится что-то важное — не должно ни быть одного физического соединения, ни одного провода, кабеля, и т. д. и т. п. Между прочим, ввиду стопроцентной надежности и потрясающей простоты, данный способ и по сей день пользуется немалым успехом в военных «конторах» и серьезных коммерческих предприятиях. Разумеется, панацеей его назвать нельзя — именно потому, что он предусматривает четкое разделение компьютеров на два класса — имеющих доступ в Internet, и хранящих важную информацию. Однако, с другой стороны, такое разделение иногда приносит гораздо меньше дискомфорта, чем может показаться на первый взгляд. Тот же самый «бухгалтерский» компьютер в категорию «отрезанных от сети» так и просится, по крайней мере, более чем в половине случаев. А учитывая наши местные реалии — тем более.

Актуальность. Сам по себе факт того, что нечто кроме вас стало известно еще кому-то — совершенно никакой опасности не представляет. Опасность представляет не сам этот факт, а другое — то, что этот «некто» может данной информацией воспользоваться в целях, которые противоречат вашим. Таким образом, мы наблюдаем значительно более длинную цепочку, чем «у меня это украли — я погиб!». Украли. Потом — ознакомились. Неплохо бы не только ознакомиться, но и понять, о чем идет речь. Потом — подумать, что с понятым делать. И уже только потом — начинать предпринимать действия, которые опять-таки лишь через некоторое время после того как они будут предприняты, приведут к определенному результату. И вот если результат будет именно таким, какой задумал вор — только тогда хозяин информации может начинать горевать. К чему я веду — думаю, уже понятно: информацию, срок актуальности которой меньше, чем время, необходимое потенциальному вору для того чтобы на основании знания этой информации что-то предпринять — воровать практически бесполезно. А раз бесполезно воровать — то бесполезно и охранять, не таки ли?

Возможность использования. Нелишним будет заметить, что само по себе знание каких-то фактов, не подкрепленное возможностью их использовать — также совершенно бесполезно. Первый пришедший в голову пример (по принципу полного абсурда) — даже если какой-то ужасно шустрый опер с хакерскими наклонностями из налоговой полиции «утянет» у вас документ, в котором перечислено, сколько денег «черным налом» вы заплатили своим работникам в этом месяце — то это, наверное, не очень приятно, но, с другой стороны — совершенно не является поводом для волнений. Потому что с одной стороны — видя официальные суммы зарплат, он и так предполагает с точностью 99,9% наличие подобных способов оплаты труда. С другой же — сворованный у вас представителем власти документ, принадлежность которого именно вашей компании доказать практически невозможно (это ведь всего лишь последовательность байтов) при его обнародовании создаст массу проблем скорее этому шустрому оперу, чем вам. Это, разумеется, самый примитивный случай — но я уверен, что массу других на ту же тему вы сможете придумать сами. Однако перейдем наконец-то к случаям, когда защищаться все-таки имеет смысл. Или опять не имеет?…

Оценка потенциального противника. Итак, у нас действительно есть нечто, что нужно охранять от недоброго глаза конкурентов. И конкуренты, которые в принципе не отказались бы на «это» глаз положить — тоже есть. Все? Нет, не все. Теперь давайте выясним, имеют ли они возможность положить на это глаз именно интересующим нас образом. То есть посредством взлома наших компьютеров, подключенных к Глобальной Сети. Разумеется, если вы — директор автомобильного концерна X, а ваши конкуренты — директора автомобильных концернов Y и Z — то дальше можно и не продолжать. Однако если вы — директор Захухринского мебельного комбината (пусть даже и серьезного в масштабах данного города), а ваш основной конкурент — директор местной лесопилки, который, вдохновившись вашим примером, также решил заняться мебельным бизнесом, и организовал при своей лесопилке соответствующий цех — то мне почему-то никак не удается представить себе в данной ситуации такой нетривиальный шаг с его стороны, как взлом вашей компьютерной сети. По целому ряду причин: начиная с того, что директор лесопилки может вообще не иметь представления о самой возможности подобной диверсии, и заканчивая тем, что найти в городе Захухринске стоящего хакера может быть еще более нетривиальной задачей, чем организовать цех при лесопилке :). Не говоря уже о том, что стоит сей скорбный труд (хакерский) довольно-таки недешево, а в новом цеху даже станочный парк еще не укомплектован. Делаем вывод: оценка возможностей потенциальных воров иногда оказывается совсем не лишней…

Что ж, всевозможнейшие варианты ухода от проблемы мы обсудили, теперь перейдем к тем, когда отвертеться от нее не представляется возможным. Итак — у нас есть локальная сеть с выходом в Internet, и к ней подключены в том числе те компьютеры, на которых хранится жизненно важная для нас информация. Кроме того, срок старения у нее довольно большой, конкуренты вооружены до зубов и не жалеют никаких денег, и соответствующие люди, вполне вероятно, получили команду кровь из носу достать к концу следующей недели наши файлы.

Программно-аппаратные средства защиты от взлома

…Нас в данном материале практически не интересуют, потому что мы, «чайники», в них просто-напросто ничего не понимаем. Автор, кстати (совершенно не комплексуя по данному поводу), себя относит к тем же «чайникам» — ибо даже если какие-то обрывочные знания из этой области в его голове и присутствуют, то основной вывод, который он может сделать на их основании — это как раз и есть вывод о своей полной некомпетентности. Поэтому ограничимся упоминанием того, что программно-аппаратные средства защиты локальной сети от несанкционированного проникновения извне существуют, их довольно много, они бывают как самыми примитивными, так и ужасно продвинутыми, и в большинстве своем требуют обслуживания профессионалами именно в данной области, услуги которых стоят довольно-таки серьезных денег, и стоят вполне оправданно. В идеале, мы предположим, что эффективность этих средств равняется 100% т.е. если мы настроим соответствующим образом сервер, компьютеры локальной сети, аппаратные и программные средства защиты, после этого включим все это, запечатаем офис, и уйдем — то нашу сеть будут ломать лучшие умы человечества долгие-долгие годы, и, так и не сломав, пойдут и повесятся все без исключения на подтяжках в собственных туалетах с золотыми унитазами. Предположим, что все будет именно так. Однако в реальности утром дверь офиса открывается, и…

Царь Природы во всей своей красе

«Что один человек сделал — другой завсегда сломать может!». Причем совершенно не обязательно он будет задаваться целью это ломать. Помните знаменитый анекдот, где на месте главного героя в зависимости от рассказчика оказывается и русский, и украинец, и белорус, и молдаванин? — про три стеклянных шара и запертую на ключ комнату? «Один разбил, другой потерял, а третий — украли, наверное!», — именно так отвечал герой на вопрос о том, куда делись шары через неделю, когда комнату открыли. И это — самая замечательная иллюстрация к вопросу о взаимодействии наших сверхзамечательных программно-аппаратных средств с реальными людьми. Пожалуй, я ограничусь одним-единственным примером, но зато каким красивым! Им будет не так давно появившийся на сайте The Register материал, ссылку на который привел Slashdot с замечательным заголовком «Social Engineering Still Best Way to Crack Security». Для свободно читающих по-английски, приведу ссылку на оригинальный материал (поверьте — незабываемое чтиво!), для остальных же расскажу одну из этих реальных историй кратко прямо здесь. Суть в том, что сотрудникам London's Waterloo Station было предложено сыграть в «викторину» «назови пароль своего компьютера и получи шариковую ручку». Девять из десяти (90%!) работников тут же назвали пароль своего компьютера! В прошлом году эта цифра составляла 65%… А кто из нас не слышал разговоры по внутреннему (хорошо еще если внутреннему!) телефону из серии: «Посмотри, какая у меня цифра во второй строчке слева на экране! Что? Скринсейвер сработал? Пароль …». Кто не видел на компьютерах пользователей замечательного пароля «password»? Хорошо еще если по-английски… Пароль в виде собственного имени? Имени ребенка? Номера личного автомобиля? Кто не видел, как при просьбе «дай мне какую-нибудь дискету», сотрудник, не глядя, вынимает ее из щели дисковода своего компьютера, и дает просящему, даже не посмотрев, что на ней записано? Я уже не говорю, что если партия в тетрис находится на грани краха, то он может запросто даже не посмотреть, кто же ее, собственно, просил… Самый страшный враг сетевой безопасности — вон он, за рабочими столами сидит. Ставь ты хоть тысячу аппаратных firewall и самую надежную в мире ОС со всеми патчами — он эти твои детские попытки «зарубит» одной левой — и даже не поймет, что сделал. Спросите у любого security officer более-менее крупной компании, сколько процентов в его работе составляет борьба с «внешними» хакерами, и сколько — с «внутренними» разгильдяями. И с кем из них тяжелее бороться…

Впрочем, еще более страшный враг зачастую сидит в отдельном кабинете со всеми удобствами. Можете спросить «админа попроще», что ему недавно сказал шеф фирмы в ответ на вопрос, что это за кипу компакт-дисков директорское чадо притащило в кулечке, зайдя к папе на работу, и нельзя ли на эти компакты одним глазком взглянуть… Безопасность?! Да наш «бизнесмен» за бутылкой «Столичной» с друзьями-бизнесменами им не только про организацию сети расскажет (если вспомнит, конечно, и если знает) — но еще и домашний адрес и мобильный телефон системного администратора даст: «Ты звони ему, если что — толковый парень, поможет, скажешь — я дал «добро». Я уже не говорю о вариантах, когда директора четырех компаний обмениваются в сауне историями про то, как они свои пароли выдумывали (слава Богу, тогдашний «мой» наутро все-таки рассказал об этом мне, и попросил поменять). Безопасность… Кого и от кого — вот в чем вопрос…

Однако не всегда спасает и защита от дурака. Потому что внутри у нас может быть отнюдь не дурак — но это еще не значит, что он тих и безобиден. Вернемся немного назад, к нашей любимой мебельной фабрике, и предположим, что масштабы города Захухринска и мебельного бизнеса в данном регионе таковы, что ценность вашей информации вполне способна подвигнуть потенциального противника на некие мероприятия по овладению ей. Будут ли они иметь отношение к хакерству? Вероятно, но отнюдь не однозначно. Не нужно забывать про то, что информация, которая хранится на ваших компьютерах, может быть «вынута» оттуда громадным количеством способов, из которых взлом сети — отнюдь не всегда самый простой. Можно взломать сеть. А можно просто взломать ночью офис. Между прочим — метод хоть и «тупой», но по гарантированности успеха — намного более результативный. Но можно сделать все проще и красивее, и вообще ничего не ломать. А встретиться, к примеру, в уютном баре с вашей секретаршей, и предложить ей энную сумму денег за то, что она принесет вам всю необходимую информацию на дискетке. Между прочим, секретарша (бухгалтер, инженер, сметчик, технолог) наверняка гораздо лучше нашего нанятого хакера знают, где что лежит, и что может представлять наибольший интерес. В конце концов, если среди сотрудников не оказалось ни одного взяточника — можно просто-напросто прибегнуть к шантажу или угрозам расправы. Уголовщина? Однако не стоит забывать, что все вышеперечисленное тоже является способами получения нужной информации. И если хотя бы один из них является для потенциального вора более дешевым и/или более надежным — то доморощенные Кевины Митники, вполне вероятно, снова останутся без работы.

Заключение

Итак, подведем итоги. Как оказалось (вот ведь удивительно — правда?!) перед тем, как начинать Глобальную Кампанию по Борьбе с Крутыми Хакерами в рамках отдельно взятого дома, семьи, или фирмы, нам неплохо бы определиться с одной простой вещью: а насколько мы вообще можем быть для них интересны? И чего такого страшного они могут у нас натворить? И если вдруг (опять совершенно неожиданно) выясняется, что в результате взлома локальной сети пришлось переустановить Windows на компьютере секретарши, что обошлось в час простоя и вызов «приходящего техсуппорта» за 30 рублей — то именно эти 30 рублей и должна стоить та сетевая безопасность, которая нас устроит. А все остальные разновидности данного зверя следует признать элементарно убыточными — и в силу этого — неактуальными.

Что же касается сетевой безопасности в тех случаях, когда она реально нужна… Как ни странно (более опытные сетевики скажут — «наоборот, совершенно закономерно»), одним из основных ее элементов по-прежнему является не только блестяще отлаженная программно/аппаратная часть, но и элементарная грамотность организации рабочего процесса. И основным «слабым звеном» в сетевой безопасности являются (и будут являться) вовсе не неправильно настроенные программные и аппаратные средства, а ЛЮДИ. Обычные люди. Которые запускают «троянов» в локальную сеть перед (несправедливым, как они считают) увольнением с работы, пишут свои пароли карандашом на верхней кромке монитора, и за тридцать сребреников сами найдут тысячу и один способ пронести нужный файл через проходную в накладном кармане бюстгальтера :). Разумеется, можно оградить свою сеть и от подобных вещей. Хотя бы частично. И (чисто теоретически) можно даже полностью. Если нам нужна та самая «одна на всех — Победа», в честь которой «мы за ценой не постоим». Но еще одна мысль, которую хотелось бы подчеркнуть — давайте же начнем, наконец-таки, считать свои деньги.

Что проще — менять пароли каждые два дня, или один пару раз оштрафовать на пол-зарплаты сотрудника, на мониторе которого была замечена вышеупомянутая запись? Предупредив, естественно, перед этим, о недопустимости такого безалаберного отношения к своим прямым служебным обязанностям? Что проще — устанавливать всем персональные антивирусные пакеты на каждую локальную машину (поинтересуйтесь, сколько это стоит…) — или оставить антивирус на сервере и просто снять дисководы другие приводы для чтения мобильных носителей с тех компьютеров, на которых они не нужны? Почему у сотрудников некоторых компаний не возникает мысли стереть с сервера все, что только можно, и накидать туда пачки вирусов перед увольнением с работы, а у других — возникает? Может быть (экая крамольная мысль) хотя бы половину денег, уходящих на войну с потенциальными саботажниками, имеет смысл направить на поднятие зарплаты персонала, после чего их ряды сами собой сократятся в несколько раз?

Возвращаясь к исходной теме — стоит ли организация защиты от всех возможных «дурацких» и намеренно деструктивных действий собственных сотрудников тех сил, средств и денег, которые необходимо на нее потратить? Или проще что-то поменять «в консерватории», обойдясь разумным управлением и планированием вместо покупки аппаратных firewall за тысячи долларов и их установки между каждыми двумя соседними комнатами?

Сетевая безопасность… По сути, она мало чем отличается от «безопасности вообще», и набор «гримас» у них общий. Первая из гримас — это когда мы возводим пятиметровую бетонную стену с ДЗОТами, колючей проволокой, охранниками и злыми собаками — вокруг глинобитной хибарки с земляным полом и соломенной крышей. Вторая — когда мы тратим кучу денег на содержание штата уборщиц, подметальных машин и пылесосов — вместо того чтобы научить людей не сплевывать на пол и не выкидывать бутылки в окно. Еще одна — когда мы платим своим работникам две копейки в час, но нанимаем десять мордоворотов за $10.000 в месяц, которые должны предохранять нас от «саботажа и воровства». «Гримасы безопасности» мне приходилось видеть довольно часто. Впрочем, что радует — иногда встречается у нее и нормальное, человеческое лицо. Все еще редко, правда.




15 мая 2003 Г.

« » #10

#10: , , …

, , «casual user» IT. -m , , , , , . , , , , … , , -, (, — ) , , — . , , . « ». , , . , …



:
— !
— — ?
— , !!!


, - : ? , , , Windows XP (, ) firewall. , , ( , ) — . . , , e-mail , , , Warcraft III ( dial-up , 33,600). , - — - , - CDRW. , , , , « , , — » ( ). — . — , IP , FAQ? , — . . , , . , , , . — . ? . .

. , , — () . . - , Internet, , - — , , , . . . . , , «» . , — , — Internet, . , , , . «» « » , , . — .

. , - — . , — , «» , . , , « — !». . — . , , . — , . — , - , . , — . — , : , , , - — . — , ?

. , - , — . ( ) — - «» , , « » — , , , , — . — , 99,9% . — , ( ) , . , , — , . - , - . ?…

. , , . , «» — . ? , . , . , . , — X, — Y Z — . — ( ), — , , , , — - , . : , , , , :). , () - , . : …

, , , . — Internet, , . , , , , , .

-

… , , «», - . , ( ), «» — - , , — . , - , , , , , - , . , , 100% .. , , , , , — - , , , . , . , …

« — !». . , , , , ? — ? « , , — , !», — , , . — - . , - , ! The Register , Slashdot «Social Engineering Still Best Way to Crack Security». -, ( — !), . , London's Waterloo Station «» « ». (90%!) ! 65%… ( !) : «, ! ? ? …». «password»? -… ? ? ? , « - », , , , , , ? , , , , , … — , . firewall — «» — , . security officer - , «» , — «» . …

, . « », , - , , … ?! «» «» - ( , , ) — : « , — , , — «». , , ( , «» - , ). … — …

. — , . , , , , . ? , . , , , «» , — . . . — «», — . , . , , , , . , (, , , ) , , . , — - . ? , . / — , , .

, . ( — ?!) , , , , : ? ? ( ) , Windows , « » 30 — 30 , . — — .

, … ( — «, »), - / , . « » ( ) , . . «» (, ) , , :). , . . ( ) . « — », « ». , — , -, .

— , - , ? , , , ? — (, …) — , ? , , , — ? ( ) , , , ?

— «» , , ? - « », firewall ?

… , « », «» . — , , — . — , — . — , $10.000 , « ». « » . , — , . , .