Из пушки по воробьям не попадешь

Защита от инсайдеров - выражение почти такое же абстрактное, как «защита от плохой погоды». Совершенно по-разному имеет смысл защищаться от дождя, мороза и зноя. Инсайдеры - явление такое же многообразное, как проявления «плохой» погоды, если рассматривать их как источник угроз, а не с морально-философской точки зрения. Морально-философской стороной вопроса заниматься очень важно для правильной профилактики этого явления. Но специализация ОКБ САПР - защита информации, и поэтому, воздерживаясь от советов, как не допустить снижения лояльности коллектива, проанализируем, как можно избежать потерь в том случае, если снижение лояльности все же произошло.

С точки зрения защиты информации инсайдеры, как и любые другие нарушители, интересны не тем, что их толкнуло на враждебные действия, а тем, какие каналы утечки информации они используют для их реализации. Именно это важно для предотвращения негативных последствий.

Тот факт, что флешка с важной базой данных может попасть к конкурентам «благодаря» халатности добросовестного сотрудника или в результате осознанных действий мотивированного инсайдера, имеет, безусловно, большое значение. Для того чтобы понять, что дружественный климат в коллективе не заменит систем защиты информации.

С другой стороны, именно в этом - в смешении феноменологического и технического подходов - генезис растущей неудовлетворенности рынка системами DLP, которая отмечена в этом номере журнала в статье «Бойцы невидимого фронта»: эти системы дороги, объемны и сложны в эксплуатации именно потому, что они направлены на защиту от угроз совершенно разного типа, объединенных только одним - потенциальный нарушитель в них - сотрудник организации.

При этом если смотреть на те механизмы, которые используются в системах DLP и в тех подходах, которые предлагаются как альтернативные, то применительно к USB-накопителям (флешкам), они отличаются незначительно: это полная или частичная блокировка USB-портов (то есть вообще для всех, или только для части сотрудников), настройка правил разграничения доступа таким образом, чтобы контролировать то, что, кем и на какие флешки записывается, или, как предложено в той же статье «бойцы невидимого фронта» - контролировать объем записываемого на флешки.

Фактически, этим исчерпываются все предлагаемые до сих пор методы защиты работы с флешками. Они сводятся к тому, чтобы регламентировать работу с теми или иными USB-носителями внутри защищенной информационной системы (механизмами установленных в ней средств защиты), либо к тому, чтобы шифровать записанные на флешки данные.

В то же время очевидно, что главная опасность применения флешек в информационной системе состоит не в том, что они тем или иным способом применяются внутри системы, а в том, что они могут с тем же успехом применяться и снаружи.

Хорошо понятно, что ни ограничения на применение USB-флешек только по тем или иным правилам, ни шифрование их содержимого защищает от того, что легальный пользователь будет использовать служебный USB-носитель за пределами компании так, как ему вздумается. В лучшем случае, то есть если он абсолютно благонадежен и предельно бдителен, он просто принесет в служебную систему вирусы. В худшем же - все понятно без комментариев.

И в этом смысле не много дает ограничение «использовать только строго определенные флешки», ведь и с разрешенной к использованию флешки можно переписать то, что не следует, туда, куда не следует.

Традиционные подходы к защите от утечек через USB-носители несут в себе принципиальную ущербность, поскольку применение флешек на посторонних ПК при этом никак не ограничивается.

В идеальном случае владелец информационной системы (ИС) должен определять:

1. кто может использовать флешку,
2. какую именно флешку сотрудник может использовать,
3. на каких именно компьютерах данный сотрудник может использовать данную флешку.

При этом должна быть исключена возможность использовать служебные флешки на каких-либо компьютерах вне ИС организации, а в ИС организации должно быть запрещено использование каких-либо других флешек, помимо разрешенных.

Казалось бы, это просто утопия - как можно что-то запретить на тех компьютерах, круг которых даже не может быть очерчен.

Однако, это не так. Именно такую возможность предоставляет система на основе защищенного служебного носителя информации Секрет.

Принцип работы систем линейки СЕКРЕТ состоит в том, что устройство опознается операционной системой (ОС) как mass-storage (USB-накопитель, флешка) только на заранее определенных компьютерах. При подключении к любому другому компьютеру не будет даже запрашиваться PIN-код - компьютер просто не обнаружит устройства. Это очень важно, потому что если незнание PIN-кода может не дать нарушителю возможности получить доступа к данным, но не может помешать зараженной системе записать на флешку вирусы и прочие вредносные программы, то не примонтированное устройство недоступно не только пользователю, но и системе, поэтому защищено от всякого рода незаметных пользователю воздействий.

Достигается такой эффект тем, что устройство Секрет - это не просто флешка, у него есть собственный активный процессор, который участвует в процедуре взаимной аутентификации рабочей станции (или сервера аутентификации, в зависимости от модификации Секрета) и подключенного к ней USB-устройства. Только в том случае, если и установленное на компьютер ПО, и процессор устройства приняли положительное решение, «узнали» друг друга, устройство будет примонтировано и запросит PIN-код пользователя.

В модификации, предназначенной для систем, компьютеры которой работают в сети - «Секрет фирмы», - есть еще один очень важный защитный механизм: эмиссия. Устройства, которые при покупке абсолютно нейтральны, эмитируются на специальных АРМ непосредственно эксплуатирующей организацией, что исключает возможность применения Секретов для промышленного шпионажа. В системе смогут зарегистрироваться только эмитированные в ней Секреты, а Секреты, эмитированные в какой-либо другой системе - не смогут. Если же в целях осуществления шпионажа злоумышленник сможет «обнулить» свой Секрет и по сговору с сотрудниками организации эмитирует его в интересующей его системе, то его устройство автоматически перестанет монтироваться на любых других компьютерах, что сведет смысл его усилий на нет.

Очень важным в контексте профилактики инсайда - поддержания лояльности сотрудников и психологического комфорта в коллективе - является тотт факт, что использование Секретов позволяет ничего не запрещать. Ведь очень обидно, когда флешки использовать нельзя. Кому-то может быть обидной необходимость сдавать их вечером под учет, а уж дисциплинарное взыскание за то, что просто забыл сдать флешку, и даже не трогал ее дома! - уж совсем обидно. И так далее, и тому подобное.

В случае применения Секретов, Вы не только не запрещаете флешки, чем существенно облегчаете жизнь персоналу, но и можете не запрещать уносить их домой и даже существенно менее строго наказывать за утраты (даже если есть подозрение, что флешка не потеряна, а украдена), ведь на компьютерах вне системы, для которой эмитированы эти Секреты, они будут выглядеть неисправными флешками, неопределяемыми системой как mass storage. Обнаружив в кармане случайно унесенный с работы «Секрет», или не обнаружив в кармане «Секрет», который там точно был, сотрудники будут знать, что совершенный ими проступок не критичен для информационной безопасности фирмы, поскольку данные, хранящиеся в Секрете, могут быть раскрыты только там и только тем, где и кому это положено. Это позволит не бороться с инсайдерами, а просто сделать невозможным их возникновение. К чему доводить людей до греха?

Автор: Конявская С. В.

Дата публикации: 01.01.2011

Библиографическая ссылка: Конявская С. В. Из пушки по воробьям не попадешь // Национальный банковский журнал. М., 2011. № 12 (декабрь). С. 86–87.

---