Доклады, выступления, видео и электронные публикации

Об инсайдерах и о флешках

Сегодня очень распространены рассуждения о том, каковы причины, делающие сотрудника источником проблем — инсайдером. Все, что касается людей и их мотивов — всегда интересно, однако есть область, в которой проблему инсайдеров можно решить без углубления в психологию явления. Это использование в организации USB-накопителей — флешек.

В отличие от угроз данным в сетях или на локальных компьютерах, которые реализуются весьма разнообразными атаками, угрозы, связанные с флешками, характеризуются очень мощными общими признаками возможных атак: физическое завладение устройством и получение доступа к его памяти на каком-то ПК.

Защитить маленькое устройство от кражи (или находки в результате целенаправленного поиска, провокации потери) — крайне сложно, а техническими методами — вообще практически невозможно.

Да и применение организационных мер крайне затруднительно, поскольку на физическое владение таким маленьким предметом очень сильно влияет характер пользователя - рассеянный он, или любит похвалиться, или нечист на руку, или доверчивый...

Значит, задача защиты флешки сводится к тому, чтобы сделать нелегальное физическое обладание ею бессмысленным.

Именно эта логика и положена в основу защищенных флешек семейства «СЕКРЕТ».

Сравним эффективность противодействия атакам на USB-накопители традиционными способами и с применением «Секретов».

Находка или кража

Потерять маленькое устройство очень просто, тем более если пользователь по характеру не очень внимательный и собранный.

Невозможно быть уверенным ни в том, потеряна или украдена флешка, ни в том, что случайно нашедший ее человек не воспользуется записанными данными.

В такой ситуации совершенно не успокаивает наличие в системе организации USB-фильтров и DLP-систем. Это утешение звучит даже несколько издевательски.

Насколько в этой ситуации может успокоить PIN-код — вопрос философский. Предназначенные для подбора PIN-кода программы сегодня есть у каждого студента. Теоретически можно бороться с этим, увеличивая длину PIN-кода. Но чем длиннее PIN-код, тем выше вероятность того, что он записан на корпусе флешки.

Отпечаток пальца «подобрать» сложнее, чем PIN-код. Но если задуматься о том, как может быть реализована биометрическая аутентификация в обычной флешке, то становится предельно ясно, что эталон хранится на самой же флешке (флешке больше негде его хранить), а сравнение производится в оперативной памяти ПК (так как у флешки нет своих вычислительных ресурсов). Все следствия очевидны:

1) у системы есть доступ к флешке до аутентификации (иначе как она получит эталон?),

2) решение «сошлось» принимается в оперативной памяти компьютера (иначе кто?).

Это значит, что на специально подготовленном компьютере (иными словами, на своем компьютере) злоумышленник сможет открыть флешку.

Шифрование данных на флешке — пожалуй, самый убедительный из традиционных способов. Однако ограничения у него все те же, что описаны выше в отношении биометрии: где-то на флешке хранится ключ, на котором в оперативной памяти ПК будут расшифровываться данные. Чтобы система получила доступ к ключу, нужно корректно аутентифицироваться. Таким образом, шифрование вообще никак не повышает защищенности флешки с PIN-кодом или «пальцем», так как задача сводится к той же — передать данные о корректной аутентификации.

Как же обстоит дело в случае применения «Секрета»?

Злоумышленник добыл «Секрет» и подключает его к своему «специально обученному» компьютеру. Все, что он увидит — это появившаяся строка «другое устройство» в «Устройствах». Запускать какие-то специальные программы для взлома злоумышленнику бессмысленно, так как в системе не появилось никакого подключенного съемного диска.

Отъем

За такую мелочь, как флешка, скорее всего, человек не будет биться до последнего, значит, «выяснить» PIN-код не вызовет затруднений у «серьезно настроенного» злоумышленника.

Фантазировать насчет биометрии — совершенно не хочется.

Шифрование не поможет по тем же причинам: достаточно выяснить данные, необходимые для доступа к ключу.

Как же обстоит дело в случае применения «Секрета»?

Применять силовые меры обычно неприятно, поэтому, скорее всего, отняв флешку и выяснив аутентифицирующую информацию, злоумышленник с невольным «инсайдером» расстанется.

А на его компьютере «Секрет» не примонтируется и не запросит PIN-код.

Развивая сюжет боевика, можно вообразить ситуацию, что злоумышленник взял владельца с собой, чтобы убедиться, что тот назвал ему верный PIN-код. Мол, «если не подойдет — поговорим по-другому».

Ничего страшного, он сам убедится, что «флешка сломанная» — не появляется диск в «Моем компьютере», некуда вводить PIN-код.

Завладение оставленным без присмотра устройством

Наверное, самый распространенный способ получить чужую флешку — это взять ее там, где пользователь ее бросил «на 5 минут», вздремнув или отойдя попить кофе. В этот момент сотрудник и становится «инсайдером».

С точки зрения противодействия злоумышленнику этот случай не отличается от случая с кражей. С точки зрения действий злоумышленника — тоже.

Однако в случае с кражей или потерей владелец устройства знает о том, что инцидент произошел. А тут пользователь видит флешку на месте и не имеет ни малейших оснований для опасений.

Причем если для подбора PIN-кода или иной аутентифицирующей информации компьютер (ноутбук) злоумышленника должен быть снабжен минимальным инструментарием, а сам злоумышленник должен иметь минимальную квалификацию, то для того, чтобы записать на флешку вредоносный код или просто заразить ее вирусами, ничего этого не нужно.

У системы есть доступ к флешке, значит, есть он и у вредоносного ПО. Game over.

Как же обстоит дело в случае применения «Секрета»?

До успешного прохождения взаимной аутентификации «Секрета» с компьютером и успешной аутентификации пользователя в устройстве — взаимодействие производится только с модулем аутентификации «Секрета», который физически отделен от флеш-памяти. Флеш-диск при этом не примонтирован и недоступен системе — ни на чтение, ни на запись.

Заметим, что для случаев, когда важно не только не допустить успешной реализации такой атаки, но и знать обо всех попытках атак, в продукте «Секрет Особого Назначения» ведется аппаратный журнал событий, в котором фиксируются все попытки подключения устройства к различным компьютерам — вне зависимости от того, успешной или нет была попытка.

Если у Вас возникли хоть малейшие подозрения (флешка, кажется, лежала не совсем здесь) — можно проверить, чтобы знать точно.

Завладение путем мошенничества и социальной инженерии

По сути дела, это «мягкий» вариант «отъема», отягченный, впрочем, дополнительными обстоятельствами:

1) пострадавший не знает (во всяком случае, в первый момент), что стал жертвой покушения, — и не предпринимает своевременных мер;

2) при определенной квалификации мошенник может выстроить многоступенчатый сценарий атаки на систему, включающий не только единовременное завладение флешкой, но также и подмену данных, то же заражение системы или внедрение в нее нужных ему закладок.

Очевидно, что, если флешки с PIN-кодом, биометрией и шифрованием бессильны в случае отъема и кражи, бессильны они и в этом случае. Наоборот, доверяя злоумышленнику, пользователь не только введет PIN-код и приложит палец, но и проследит, чтобы у злоумышленника все было хорошо.

Как же обстоит дело в случае применения «Секрета»?

Возможны два сценария развития событий.

Если пользователь не знает, как организована система защиты (пользователям это знать не обязательно), а работает просто по факту — «на легальных компьютерах работать сможешь, на нелегальных — нет», он подумает, что либо компьютер нелегальный, либо флешка сломалась. Так или иначе, даже будучи предельно доверчивым, помочь злоумышленнику открыть «Секрет» он не сможет.

Если же пользователь в курсе, как работает «Секрет», но мошенник сможет убедить пользователя, что правда на его стороне, пользователь будет вынужден обратиться к администратору за предоставлением разрешения на доступ, а администратор четко знает политику назначения прав.

Покупка у мотивированного инсайдера

Невозможно спорить с тем, что ни PIN-код, ни биометрическая аутентификация, ни шифрование данных не могут защитить от того, что легальный пользователь сам может отдать флешку заинтересованным лицам на привлекательных для себя условиях, или скопирует данные на домашний компьютер и отправит куда-то по почте, или принесет в информационную систему какие-то программы или данные в интересах третьих лиц.

Легальный пользователь — полновластный хозяин флешки.

Неужели с этим нужно смириться и подозревать всех, кто работает с флешками, каждый раз, когда они унесли их домой? Ведь проверить, «было или не было?», невозможно.

Как же обстоит дело в случае применения «Секрета»?

Основной этап системы контроля доступа в «Секрете» — взаимная аутентификация «Секрета» и компьютера. В «Секрете» есть база компьютеров, а на компьютерах — база «Секретов». Только после того, как «Секрет» опознал компьютер, который для него разрешен, а компьютер опознал «Секрет», которому можно на нем работать, процедура контроля доступа переходит к стадии аутентификации пользователя.

То есть если «Секрет» подключен к «постороннему» компьютеру, он даже не станет выяснять, легален ли пользователь.

В таком случае просто бессмысленно уносить «Секрет» с собой.

Если же владелец хочет иметь возможность в любой момент проверить честность своих сотрудников - проверить, не пытались ли они подключать «Секрет», то это можно сделать, используя «Секрет Особого Назначения». В его специальном аппаратном журнале администратор может увидеть записи обо всех случаях подключений, даже неудачных. Это даст возможность не сомневаться, а проверить — и убедиться в добросовестности своих сотрудников. Мы знаем, как важно доверять своей команде, и создали инструмент борьбы с сомнениями.

Автор: Конявская С. В.

Дата публикации: 01.01.2014

Библиографическая ссылка: Конявская С. В. Об инсайдерах и о флешках // Национальный банковский журнал. М., 2014. № 9. С. 92–93.


Scientia potestas est
Кнопка связи