Доклады, выступления, видео и электронные публикации
Флешки или сеть: почему из двух зол бессмысленно выбирать меньшее.
1 Использование USB-флеш-накопителей в организации
USB-флеш-накопитель (USB-накопитель) представляет собой запоминающее устройство, использующее в качестве носителя флеш-память и подключаемое к компьютеру или иному считывающему устройству по интерфейсу USB.
К основным преимуществам USB-накопителей традиционно относят следующие характеристики:
- малый вес и размер (портативность);
- бесшумность работы;
- наличие интерфейса для подключения во всех современных персональных компьютерах;
- высокий уровень устойчивости к механическим воздействиям по сравнению с НЖМД;
- работоспособность в широком диапазоне температур;
- высокая по сравнению с CD и DVD плотность записи;
- низкий уровень энергопотребления по сравнению с НЖМД;
- высокий уровень устойчивости к воздействию царапин и пыли (по сравнению с оптическими носителями и дискетами).
Перечисленные характеристики во многом предопределяют порядок применения USB-накопителей в организациях. В рамках корпоративного использования USB-накопители, как правило, используются для реализации следующих функций:
- хранение данных (в том числе, резервное копирование);
- перенос и обмен данными;
- загрузка операционных систем и др.
При этом, размещая данные на USB-накопителе, корпоративный пользователь может преследовать следующие цели:
- ограничение доступа к данным - достигается за счет возможности определения порядка доступа к USB-накопителю как к физическому устройству. Наличие данной возможности позволяет пользователю в некоторых случаях использовать устройство в качестве единственного места хранения данных. Достижение цели поддерживается функцией хранения данных;
- распространение данных - достигается за счет возможности выполнения адресной транспортировки данных. Корпоративный пользователь самостоятельно доставляет данные, размещенные на USB-накопителе, на выбранный компьютер и, возможно, контролирует их использование (ознакомление, копирование, пересылка и т. д.) на компьютере. Достижение цели поддерживается функцией переноса и обмена данными.
Следует отметить, что в длительной перспективе данные цели не являются взаимоисключающими - корпоративный пользователь самостоятельно определяет политику в отношении размещенных на USB-накопителе данных и имеет возможность изменить ее в некоторый произвольный момент времени. Таким образом, USB-накопитель может использоваться для достижения цели, производной от приведенных выше, - отложенное распространение: в случае возникновения соответствующей потребности пользователь может реализовать контролируемое распространение данных, ранее размещенных на USB-накопителе с целью ограничения к ним доступа.
2 Использования USB-флеш-накопителей в распределенной среде организации
Использование в организации сетевой инфраструктуры предоставляет дополнительные (альтернативные) механизмы для достижения целей, идентифицированных в 1:
- ограничение доступа к данным. Если пользователь испытывает потребность в размещении корпоративной информации в некотором хранилище, находящемся вне границы его персонального компьютера, у него, как правило, имеется возможность воспользоваться некоторым сетевым ресурсом (например, выделенный каталог на сервере), доступ к которому ограничивается средствами сетевой инфраструктуры в соответствии с используемыми в организации политиками;
- распространение данных. Для переноса и обмена данными могут использоваться следующие механизмы, предоставляемые сетевой инфраструктурой:
- общие каталоги (shared folders) АРМ;
- разделяемые ресурсы файловых серверов;
- электронная почта;
- ftp-сервер и др.
- отложенное распространение. В случае возникновения соответствующей потребности пользователь может реализовать контролируемое распространение данных, ранее размещенных в хранилище с ограничением доступа, посредством сочетания перечисленных выше механизмов сетевой инфраструктуры.
Предполагается, что механизмы, предоставляемые сетевой инфраструктурой, хотя и способствуют достижению идентифицированных целей пользователя, не могут во всех случаях рассматриваться в качестве равноценной замены механизмам, реализуемым посредством USB-накопителя. В этом отношении следует принимать во внимание два аспекта:
- технологический:
- возможны ограничения, налагаемые на объем данных, передаваемых с использованием сетевых механизмов;
- зачастую требуется наличие специальных полномочий по администрированию объектов для задания правил доступа к данным;
- использование некоторых сетевых технологий подразумевает наличие специальных знаний правил и особенностей, связанных с их эксплуатацией;
- USB-накопители, по-видимому, следует рассматривать в качестве основного механизма распространения данных между автономными АРМ в организации или между изолированными сетями (обособленными сегментами сети) организации;
- безопасность данных. Для механизмов хранения и передачи данных, используемых в сетевой среде, характерны угрозы, к числу которых традиционно относят:
- анализ сетевого трафика с перехватом передаваемой из ИС и принимаемой в ИС из внешних сетей информации;
- модификация защищаемой информации при ее передаче по каналам связи;
- выявление паролей;
- навязывание ложного маршрута путем несанкционированного изменения маршрутно-адресных данных внутри сети и во внешних сетях;
- внедрение ложного объекта как в ИС, так и во внешних сетях;
- подмена доверенного объекта и др.
Кроме того, при использовании сетевых механизмов существует угроза превышения полномочий со стороны привилегированных пользователей, настраивающих правила доступа к данным, размещаемым пользователем на сетевом ресурсе.
Реализация угроз несанкционированного доступа к данным, размещенным на USB-накопителе, преимущественно связана с получением непосредственного физического доступа к устройству. При этом существует также угроза, связанная с воздействием со стороны вредоносных программ, однако она является общей для обеих рассматриваемых технологий.
Следует отметить, что с точки зрения безопасности данных концептуальное различие между рассматриваемыми технологиями состоит в том, что USB-накопитель физически является персональным механизмом хранения и распространения данных (пользователь физически контролирует порядок его использования и получения доступа, см. раздел 1), тогда как сеть физически является коллективным механизмом хранения и распространения данных, а свойство «персональности» реализуется в ней только на логическом уровне.
Технология работы с данными обусловливает характер угроз безопасности данных, и смена технологии неизбежно влечет за собой трансформацию угроз. При осуществлении выбора между рассматриваемыми технологиями данное обстоятельство приводит к постановке вопроса о составе угроз, признанных актуальными в организации, а также степени доверия той или иной технологии со стороны как пользователя, так и организации в целом.
3 Защищенный USB-флеш-накопитель в распределенной среде (распределенные версии «Секрет»)
Итак, при определенных условиях использование USB-накопителей в целях ограничения доступа к данным и распространения данных является предпочтительным даже в случае наличия в организации сети.
При этом следует признать, что использование незащищенных USB-накопителей представляет уязвимость организации, связанную с возможностью получения непосредственного физического доступа к устройству за пределами организации и, как следствие, утечки корпоративных данных. А поскольку уязвимости, связанные с применением флешек очевиднее, не требуют серьезной подготовки, атаки с их использованием легко реализуемы, то USB-накопители приняты считать уязвимостью сами по себе, в отличие от сетевых механизмов.
Отчасти это так и есть, но только для незащищенных флешек (незащищенная сеть, кстати, тоже весьма и весьма уязвима).
И само по себе, на наш взгляд, это не основание подменять технологию «носителя» на технологию обмена.
Носителями принято называть средства хранения данных.
Носители данных в информационной системе могут быть стационарными и мобильными. Помимо этого носители информации могут быть составной частью оборудования, выполняющего также и обработку данных, а могут быть носителями в собственном смысле слова - устройствами, с помощью которых информацию носят, и во время того, как ее носят, она там хранится. А потом, когда информацию перенесли, она обрабатывается с помощью какого-либо другого оборудования. И вновь сохраняется на носитель, чтобы быть перенесенной куда-то еще.
Тезис о том, что защищенность различных элементов информационных систем обеспечивается разными способами, очевиден. Он объясняется тем, что защищенность понятие относительное, и она тем выше, чем более прямое отношение имеет именно к тем атакам, осуществление которых наиболее вероятно по отношению к данному элементу системы. Спасательный круг существенно повысит защищенность на воде, но совершенно не повысит ее при пожаре или, скажем, морозе.
Вполне естественно в связи с этим то, что защищенный обмен и защищенное хранение - это не одно и то же, поэтому сравнение, что защищеннее - обмен через сеть или хранение и перенос на флешках - несколько спекулятивно.
Самая главная особенность мобильных носителей состоит в том, что они подвержены дополнительным (по отношению к угрозам, актуальным для системы в целом) угрозам, связанным с тем, что контур системы для них проницаем: они могут не только выноситься (и выносятся!) за пределы системы, но и использоваться там. А как следствие - приводят к утечкам информации из системы и к притоку вредоносного ПО в систему.
Значит, защищенный носитель - это такой, который может использоваться только внутри системы и не может использоваться вне ее.
Назовем такой носитель служебным.
Критерии оценки, которые адекватны понятию «защищенный носитель», следующие:
- является ли продукт средством хранения и переноса информации (носителем).
- удобно ли его использование (аппаратные требования, требовательность к навыкам эксплуататора, мобильность, дружественность).
- снижает ли применение продукта чувствительность кражи или утери носителя с данными для системы.
- защищает ли продукт данные от доступа посторонних лиц.
- при использовании вне защищенной системы, способен ли продукт предотвратить «заражение» вредоносным ПО, способным в дальнейшем попасть в систему.
- можно ли при помощи продукта защитить данные от хищения мотивированным инсайдером.
Очевидно, что сетевые механизмы никаким образом не могут оцениваться по этим критериям, и наоборот, никакой защищенный носитель не может конкурировать с сетями по критериям, актуальным для них. Флешки - это вообще не сети.
В то же время USB-накопители, соответствующие требованиям к служебным носителям - есть, это продукты семейства «Секрет».
Распределенные версии «Секрет», реализуя основные функции, типичные для незащищенных USB-накопителей (хранение данных, возможность контролируемого распространения на компьютерах, подключенных к сети организации), дополнительно обеспечивают:
- защиту корпоративной конфиденциальной информации, размещенной на USB-накопителе, от получения доступа со стороны посторонних лиц в случае кражи и потери устройства;
- защиту корпоративной конфиденциальной информации, размещенной на USB-накопителе, от получения доступа в случае выноса за пределы организации.
Выбор между сетью и флешкой - всегда искусственный и вынужденный. Если есть возможность не выбирать, то ни один разумный владелец или архитектор системы делать этого не будет.
Авторы: Лыдин С. С.; Конявская-Счастная (Конявская) С. В.
Дата публикации: 01.01.2012
Библиографическая ссылка: Лыдин С. С., Конявская С. В. Флешки или сеть: почему из двух зол бессмысленно выбирать меньшее // Комплексная защита информации. Безопасность информационных технологий. Материалы XVII Международной конференции 15–18 мая 2012 года, Суздаль (Россия). М., 2012. С. 177–179.
Метки документа:
секрет
сети и сетевое оборудование
флешки и usb-накопители
Обратная связь
Отправьте нам сообщение или закажите обратный звонок.