Страница 1 из 2
Безопасность в ИТ-среде предприятия.
Для защиты ИТ-среды предприятия необходимо систематически проводить мероприятия, направленные на повышение уровня безопасности информационных систем и предотвращения атак на информационные ресурсы. При этом существуют общепринятые элементарные правила, по исполнению которых можно судить об уровне информационной и физической безопасности на предприятии.
Глава 1. Инвентаризация санкционированного и устранение постороннего ПО.
Для начала, коротко рассмотрим наиболее вероятные сценарии действий злоумышленников.
Начнем с программного обеспечения. Достаточно серьезную опасность представляют «внешние» компьютеры, которые работают как интернет-ресурсы и оснащены устаревшими версиями ПО, например, веб-сервер Apache, BIND или Sendmail. Поиск и сканирование систем с такими уязвимыми версиями является «первым шагом» злоумышленника к проникновению в систему или корпоративную сеть. Другими способами проникновения могут быть электронные письма с «вирусным» вложением, обман интернет-пользователей через «зараженный» контент уже взломанных сайтов или негласную подмену веб-страниц легальных сайтов сторонних владельцев страницами с вредоносным кодом.
Когда пользователи выполняют доступ к вредоносному содержимому с помощью уязвимого браузера или клиентской программы, компьютер скрытно атакуется, предоставляя хакеру возможность проникновения в машину, для получения долгосрочного контроля над чужой компьютерной системой. Некоторые сложные проникновения могут использовать уязвимости «нулевого дня»1.
Когда один компьютер взломан и продолжает эксплуатироваться, злоумышленники часто используют его в качестве «пункта наблюдения» для сбора конфиденциальной информации о пользователе и о других взаимодействующих компьютерах. Такие машины используются и в качестве стартовой точки для проникновения по всей сети. В результате, хакер может быстро превратить одну скомпрометированную машину в армию подобных.
Предприятию, не имеющему полного реестра программ, как правило, не удастся устранить проблемы блокировки нарушителей и злоумышленников, а также выявить системы, работающие с уязвимым или вредоносным ПО. Контроль и управление всем ПО предприятия также играет важную роль в планировании и эксплуатации резервного копирования/восстановления информационных систем. Следовательно, без инвентаризации ПО проблемы по размеру больше и возникают чаще.
Инвентаризация ПО, внедрённая в рамках всего предприятия, должна охватывать все типы используемых ОС на всех устройствах, включая серверы, рабочие станции и ноутбуки. Механизм инвентаризации должен записывать наименование системного и прикладного ПО, которое установлено на каждом сервере/станции, а также номер версии и релиза (уровень обновления) поименованного ПО.
Комплекс инвентаризации ПО должен быть интегрирован с инвентаризацией аппаратного оборудования таким образом, чтобы все устройства и соответствующее ПО отслеживались из единого центра. Проще говоря, аккуратная и полная инвентаризация ПО может быть противопоставлена обманным трюкам самых хитроумных хакеров. В любом случае без надлежащего контроля за программным обеспечением предприятия, невозможно должным образом защитить свои информационные активы.
Глава 2. Применение «белого списка» ПО.
Инвентаризация ПО является базисом для создания "белого списка". Этот список может быть внедрен путём применения специализированных коммерческих программ или с прикладными программами "белых списков", встроенными в антивирусные пакеты или ОС Windows. Системы инвентаризации ПО доступны и используются сегодня на многих предприятиях. Лучшие из них обеспечивают инвентаризацию сотен установленных и эксплуатируемых на предприятии приложений, извлекая информацию о версиях патчей каждой используемой программы, чтобы подтвердить актуальность и принадлежность программного приложения к общему перечню легального ПО.
Функции проверки по внедрённым "белым спискам", разрешённых для запуска программ, включены во многие современные комплексы безопасности. Более того, коммерческие решения все чаще комплектуются антишпионскими, антивирусными программами, персональным файерволом и встроенными системами обнаружения вторжений (IDS) и предотвращения вторжений (IPS). Могут одновременно применяться и «белый» и «черный» списки. Большинство решений для такой защиты указывает наименование, расположение файловой системы и/или криптографический хэш2, дающий исполнителю возможность определить, следует ли разрешить приложению работать на защищаемом компьютере.
Наиболее эффективны инструменты из специализированных "белых списков". Иногда применяются функции типа "серого списка", который составлен администраторами и определяет правила для выполнения конкретных программ только для уполномоченных пользователей и/или в определённое время суток.
При разработке на предприятии списка санкционированного ПО, необходимо учесть каждый тип системы и оборудования. Обязательно установите средства проверки целостности файлов для обеспечения гарантии того, что критические системные файлы (важных систем, исполняемых приложений, библиотечных модулей и настроек конфигураций) и файлы ПО из "белого списка" неизменны. Все изменения в таких файлах должны автоматически оповещать о событиях персонал безопасности. Система оповещения должна иметь возможность отличить штатные изменения и выделять необычных события.
Внедрённая технология «белых списков» приложений позволяет системе запускать ПО, если оно включено в «белый список» и запрещает запускать все остальное ПО. «Белый список» может быть очень обширным и включать дополнительные «белые списки» от вендоров коммерческих программ, чтобы пользователи не испытывали неудобства при использовании офисного ПО общего назначения. Для специальных систем, которые используют строго ограниченное число программ для своей необходимой бизнес-функциональности, «белый список» может быть довольно узкий. При защите системы со специализированным ПО возможно использование виртуальной среды, которая более защищена от вторжений и легко восстанавливается из копии предыдущего состояния.
Технологию «белых списков» необходимо поддерживать регулярным сканированием, для обнаружения нелегального ПО. Чтобы обнаружить любые изменения или установки ПО на устройствах в сети, должен быть реализован строгий процесс контроля изменений. Например, с помощью контроля целостности файлов или состояния системы. Этот процесс, включает оповещение, когда неопознанные объекты (исполняемые файлы, библиотеки DLL и т.п.) выявлены в системе. Контроль изменений должен включать проверку модифицированных версий ПО путём сравнения хэш-значений файлов. Злоумышленники часто используют изменённые версии известных программ для нападения, а сравнение файлового хэша укажет на взломанные программные компоненты.
С практическим контролем списка исполняемых модулей при помощи программы «СКЗИ инфо» можно ознакомиться в рекомендациях Банка России [битая ссылка] http://www.cbr.ru/mcirabis/po/recommend.pdf [1]
Глава 3. Использование стандартных безопасных системных образов для ноутбуков, рабочих станций и серверов.
При поставке оборудования от производителей и поставщиков, настройки по умолчанию для устройств, операционных систем и приложений, как правило, ориентированы на лёгкость внедрения, но не на безопасность. Конечно, возможно и обратное, когда в процессе внедрения системы приходится разрешать некоторые функции в ущерб безопасности. Тем не менее, здесь необходим осознанный, квалифицированный подход, так как основные элементы управления, открытые службы и порты, аккаунты и пароли по умолчанию, устаревшие (уязвимые) протоколы, предустановленное ненужное ПО, все это потенциально может быть использовано для несанкционированного проникновения.
Вместо того, чтобы с нуля разрабатывать базовые настройки безопасности для каждой программно-аппаратной системы, предприятие должно использовать публично распространяемые, проверенные, сопровождаемые настройки безопасности, а также руководства по обеспечению безопасности и/или чек-листы.