Несколько лет назад отдел внутреннего аудита InterMint Financial нанял меня для тестирования безопасности в офисе их компании. Работа по контракту с отделом внутреннего аудита компании является обычным делом. В состав отделов внутреннего аудита, как правило, не входят эксперты по безопасности. Поэтому эти отделы заключают контракты на выполнение работ по вопросам безопасности с экспертами, которые затем представляют отчет о рисках. В данном случае отдел аудита попросил меня взглянуть на их корпоративную сеть и представить отчет по найденным рискам.

В отличие от большинства проводимых мной аудитов, этот не был вызван какой-либо возникшей проблемой. Руководители компании хотели только убедиться в том, что уровень риска в их корпоративной сети был низким. Вначале аудит показался глотком свежего воздуха. Компания хочет провести аудит не потому, что ей нужно реагировать на возникшую проблему, а только потому, что ей нужно убедиться в отсутствии скрытых проблем!

 

День 1-й: Сбор фактов

Я начала этот аудит, как и большинство других, с просмотра сетевой схемы, чтобы понять конфигурацию сети и возможные риски. Мне нравится проводить аудит корпоративных сетей, потому что это одно из мест, в которых хакер будет искать секреты компании. Мне заплатили за то, чтобы я вычерпала всю грязь. Для этого нужно было думать как хакер. Так как я проводила аудит не сети разработчиков, то я не стала искать коды программ или результаты исследований. Вместо них я искала стратегическую информацию высшего уровня. Я делала то, что мог делать конкурент, притворившийся сотрудником компании. Я искала легкий доступ к административным системам, хранящим стратегическую информацию компании или даже личные сведения о руководителях. Так как конкуренты могут иметь такие намерения и имеют их, то системы генерального директора, директора по информационным технологиям и финансового директора нужно всегда считать потенциальными целями взлома. Для недопущения хакера к этим зонам и снижения риска должны быть приняты дополнительные меры предосторожности при установке систем и проводиться профилактический аудит.

В первый раз, когда со мной говорил руководитель внутреннего аудита Рэндалл Миллен, он подчеркнул, что хочет от меня проведения аудита безопасности с целью лишь подтвердить отсутствие риска. Мой аудит, однако, был первым случаем, когда отдел внутреннего аудита проверял безопасность корпоративной сети, поэтому я была уверена, что риск будет обнаружен. Данная компания не поразила меня особой расслабленностью в вопросах безопасности. Компании, не проводящие аудита безопасности своих сетей, не могут иметь доказательств их безопасности. Они лишь предполагают, что сети безопасны. По моему опыту, такое предположение само по себе является одним из главных рисков.

Я продолжила изучение сетевой схемы и типов хранящейся в сетях информации. Я обнаружила много аппетитных вещей. Они начинались с того, что вся административная информация хранилась в сети. Для получения призовых очков тем не менее имелись системы юридического и финансового отделов и отдела охраны компании, которые обещали улов соблазнительной конфиденциальной информации. Я запланировала систематически нападать на каждую систему в этих группах, фокусируясь на самой вкусной конфиденциальной информации. Характер этой информации обеспечивал в случае успешного взлома систем вполне понятное изумление.

Интересной особенностью сетевой схемы было то, что информация отделов хранилась в разных сетях, обслуживаемых разными сотрудниками. Административные системы контролировались Хосе Гарсией, юридические системы — Дон Форбс, финансовые системы — Кендзи Абэ, операционный зал — Смитой Кумар, а охрана компании — Тией Фэрчайлд. Такая структура обслуживания уже добавляла риск в общую картину. Она также увеличивала вероятность плохой обученности или плохих процедур у множества системных администраторов, отвечающих за сеть. Я понимаю, что одному системному администратору невозможно тщательно обслуживать тысячи машин, и поэтому компании обычно имеют более одного сотрудника на этом участке. Но чем больше людей занимаются одним делом, тем выше становится общий риск и, конечно, больше возможностей появляется у предприимчивого хакера. Не делайте такой ошибки. Хакеры знают о вероятности риска, связанного с чрезмерным количеством обслуживающего персонала. То, о чем они мечтают, — это толпы системных администраторов, мало знающих, как обеспечивать безопасность наиболее важных систем.

 

День 2-й: Тестирование систем

После моих первоначальных исследований я решила, что в этом аудите требуется тест на проникновение. Были три причины для такого тестирования. Во-первых, руководитель аудита не знал, какой риск имеется (и есть ли он вообще) в сети. Это говорило мне о том, что руководство ничего не знает о состоянии безопасности. Они, скорее всего, думают, что все в порядке, так как никто не говорил им другого. Было ясно, что это случай, когда я была должна доказать руководству возможность взлома их систем. Во-вторых, я считала, что из-за характера содержащейся в них информации эти системы будет просто интересно взламывать. Последней причиной было то, что я хотела поиграть с моими новыми игрушками. Брэд Пауэлл, давно известный в наших кругах эксперт по безопасности, только что передал мне несколько отличных новых инструментов взлома.

Как и хакеры, профессионалы по вопросам безопасности часто передают друг другу новые инструменты для взлома систем. Конечно, вы должны входить в наш закрытый круг, чтобы получить их. Это является частью нашего кодекса чести. В любом случае я уже попробовала эти инструменты в своей сети, и они работали чудесно. Теперь мне представилась возможность применить их в «реальном мире».

Я начала аудит с зондирования информации в административных системах, а затем запустила свои обычные тесты на дыры. (В общем, я делала то же, что делал бы хакер.) К удивлению, я обнаружила, что административная система довольно крепка. Хосе, очевидно, знал свое дело и потратил время на обеспечение защиты систем. Несомненно, он был хорошо обучен и знал точно, что ему делать для поддержки его административных машин. Разумеется, некоторые из экспертов по безопасности стали бы спорить и хвастаться, что они могут забраться в любую машину. Тем не менее во время моего теста на проникновение я проверила все уязвимые места. Если после проведения всех запланированных мной тестов я не смогла проникнуть в систему, то это значит, что система тест прошла. А системы Хосе прошли через мои тесты победным маршем.

Продолжая работать на административных системах, я попросила Хосе создать мне учетную запись. Я также дала ему понять, что он хорошо поработал. Системные администраторы редко слышат такое от аудиторов безопасности, и улыбка Хосе подтвердила, что он оценил мои слова.

Я вошла в одну из систем Хосе и поискала ошибки в базовой системе файлов и настройках. Такие ошибки не могут быть обнаружены вне сети — ими являются избыточность в разрешении доступа к файлам, наличие неактивных учетных записей и программы setuid (set user ID — установка идентификатора пользователя). В общем, система выглядела хорошо. Еще оставалась возможность кое-что усовершенствовать, но ничего такого, что я могла бы указать в отчете. После выхода из системы я сообщила Хосе, что ему можно было бы ужесточить разрешения на доступ к файлам в большинстве своих систем. Короче говоря, он проделал блестящую работу. И я собиралась сказать начальству: «Этот парень — звезда!»

Коллеги Хосе вовсе не заслуживали такой же оценки. Юридические системы были поразительно уязвимыми. Мне хватило нескольких минут, чтобы получить контроль над первой системой. Я без усилий прошлась по системам всех юристов компании. Очевидно, Дон имела совершенно другой подход к установке и обслуживанию систем. Выглядело так, как если бы Дон (или ее начальник) считали юридические системы не столь важными, чтобы их защищать или контролировать. Несомненно, юристы InterMint испугаются, это узнав.

Я обнаружила, что юридические системы открыты настежь. Либо Дон не имела времени или желания настроить безопасность, либо она не знала, как это делать. Контроль и наблюдение также не работали — никто не заметил, как я перепрыгивала из одной системы в другую, выискивая все их юридические секреты. Я уверена, что конкурентам очень бы хотелось взглянуть на некоторые отрывки из информации, по которой я прошлась. Я набрала достаточно свидетельств (по доступу к файлам ограниченного пользования и юридическим документам), чтобы обеспечить юридический отдел ночными кошмарами, и перешла на финансовые системы.

Системы Кендзи были защищены не лучше, чем системы Дон. Через несколько минут я имела доступ к первой системе в финансовой сети. Еще через несколько минут я получила контроль над всеми финансовыми системами. Может быть, в этой компании юридическая и финансовая информация считается не столь важной, чтобы ее защищать? Или Кендзи и Дон просто бестолковы? Моим предположением было то, что руководство не понимает вопросов безопасности и риск для своей информации. Оно никогда серьезно не смотрело на меры защиты информации в своей сети. Если бы руководство поняло, что вся их информация в сети доступна любому, то, я уверена, их бы расстроила мысль о том, что кроме штатных сотрудников во внутренней сети могут законно присутствовать и другие. Подрядчики, клиенты, консультанты, временные сотрудники, надомные работники — выбор большой. В зависимости от вида бизнеса и степени развития компании список может быть еще длиннее.

Состояние систем Смиты было еще хуже. Я смогла получить полный контроль и доступ к информации в ее системах так же, как и в двух ранее тестируемых сетях. Но действительно пугало то, что я смогла бы сменить пароль, хранящийся в PROM аппаратной части, и обрушить систему. Смита лишилась бы доступа к ее системам до тех пор, пока я не сообщила бы ей новый пароль, иначе ей пришлось бы менять PROM в аппаратуре. С небольшими творческими способностями (и еще с меньшими моральными устоями) хакер мог бы захватить власть над всем операционным залом и перевести несколько миллионов долларов на оффшорный счет. Чтобы разориться за неделю, такой компании нужно потерять несколько миллиардов долларов, поэтому что для них значат несколько миллионов при таком богатстве?

Теперь меня стала беспокоить легкость, с какой можно было взломать системы фирмы. Конечно, последняя группа (системы отдела охраны компании) должна была опровергнуть мое мнение. Уж над этими-то системами должен осуществляться тщательный контроль. Не так ли?

А вот и нет! Тию, должно быть, учили «защищать» свою сеть Дон, Кендзи или Смита! Снова я, никем не замеченная, получила полный контроль над системами. Некоторая полученная мной информация была действительно аппетитной. Среди всего прочего я смогла добраться до файлов с подробной информацией по ведущимся расследованиям. Представьте себе, что вы мошенник, по которому ведется расследование в компании. Имея самый малый опыт взлома, вы сможете получить всю информацию по расследованию, проводящемуся против вас. Убрать немного информации здесь, изменить немного информации там, и вот — никаких вопросов к вам от отдела охраны! Расследование закрыто.

Я набрала достаточно фактов, чтобы закончить в аудите раздел тестирования. К тому же я чувствовала, что вволю начиталась конфиденциальной информации за этот день. Как большинство профессионалов в вопросах безопасности, меня беспокоила, главным образом, защищенность сетей. В данном случае очень беспокоила. Такая большая сеть и с таким чрезвычайным уровнем риска вызывала у меня подавленность. Так как эта корпоративная сеть существовала уже пять лет, то, скорее всего, такой уровень риска присутствовал все это время.

Многие думают, что аудиторы безопасности наслаждаются, обнаруживая неряшливое отношение к безопасности и риск в системах, и видят в этом смысл своего существования. По правде сказать, иногда меня захватывает возможность взламывать одну систему за другой. Как бы то ни было, в этот день у меня было более чем достаточно «прав на существование».

Я собрала материал и отправилась в суши-бар (Хигаши-Вест). Повара Ричард, Крейг и Гарт всегда встречали меня там с улыбкой в конце тяжелого дня, Наградой мне будет лучшее суши в Пало-Альто. Немного суши, немного участия и подбадривающая беседа позволят мне забыть о депрессивном состоянии безопасности в корпоративных сетях. Так и случилось.

 

День 3-й: Обучение безопасности оставлено за рамками бюджета

Не успела я забыться, как зазвонил будильник. Было 4.30 утра — как раз есть время, чтобы пробежаться перед работой. В сонном состоянии я пошла на зарядку. Подсознательно я все равно прикидывала мой дневной план по завершению аудита в InterMint.

После пробежки я отправилась в InterMint и встретилась в холле с руководителем аудита Рэндаллом Милленом. Он выписал мне пропуск на этот день и определил время беседы с системными администраторами.

Я не распространялась Рэндаллу о моих находках, Я просто сказала, что нашла некоторые любопытные вещи, о которых сообщу позднее. Мне не хотелось слишком рано говорить о них. По взгляду Рэндалла я поняла, что он доволен моей работой. Но он еще не знал, что эта работа заставит его понять риск, увеличить финансирование и, что важнее остального, обеспечить обучение.

Еще раньше мое чутье подсказывало о существовании здесь проблем с обучением. Я знала, на что похожа «окопная» работа системного администратора. Во многих компаниях обучение является роскошью. Кроме того, что они должны быть быстрыми, сообразительными и способными справиться с любой неисправностью, системные администраторы считаются всезнайками, выведенными в пробирке, унаследовавшими хорошую карму или полученными с помощью другого метода, но только не в результате хорошего обучения. Администраторы, не вписывающиеся в такие рамки, будут съедены в сыром виде — совсем как суши.

Я побеседовала с каждым из системных администраторов отдельно, чтобы узнать их мнение о том, почему административная сеть защищена, а другие системы широко открыты. Чтобы сразу узнать больше, я начала с системного администратора, обслуживающего административные системы. Хосе хорошо знал свою работу, и я хотела узнать, как он смог этому научиться и почему другие этого не смогли сделать. Беседуя с Хосе, я обнаружила, что он очень много знает. Он был доброжелателен, и с ним легко было говорить. Он понимал всю важность административных систем. Как я уже говорила, система генерального директора была взломана, когда Хосе только начал работать. Он быстро выяснил, где и какой недостаток имеется в системе. После этого случая в компании усилили контроль над безопасностью, а Хосе прошел полный курс обучения по поддержанию безопасности в сети. Я спросила его, что он думает о состоянии безопасности остальных систем компании. Он не мог на это ответить, но сказал, что сомневается в хорошем состоянии безопасности, так как никто из других системных администраторов не был обучен ее поддержке. Он также деликатно заметил, что сомневается в способности коллег сделать свои системы безопасными.

Опрос остальных системных администраторов подтвердил подозрения Хосе. Ни один из них не был обучен поддержанию безопасности. С Тией даже не проводилось базового обучения как системного администратора целых шесть месяцев с момента ее поступления на работу! Для таких, как Тия, это большая проблема, так как она никогда раньше не занималась поддержкой платформ UNIX. Ее успех в настройке безопасности систем зависел от того, как она будет обучена одним из других системных администраторов. А так как другие системные администраторы не знали, как безопасность настроить, то и Тия не могла ничему от них научиться.

Дон, Кендзи, Смиту и Тию с Хосе объединяло то, что все они были очень умными людьми. У всех был опыт программирования, а Тия и Кендзи даже имели ученые степени по вычислительной технике. В нашей среде необразованных людей не встретишь. Просто их заталкивают на должности персонала технической поддержки, как это обычно случается с системными администраторами, и говорят, чтобы они учились в процессе работы.

Метод «плыви или тони» в области обеспечения безопасности редко срабатывает. Вы не сможете научиться защите систем на своем рабочем месте, если рядом с вами никто этим не занимается. Нужно создавать хорошо налаженную практику обучения. По меньшей мере, тот, кто уже обучен, как, например, Хосе, должен передать имеющиеся у него приемы и знания остальным сотрудникам. А именно приемы, как настроить общую безопасность, и знание того, почему некоторым системам необходимо обеспечивать повышенный уровень безопасности. В идеале остальные сотрудники тоже должны были бы пройти курс профессионального обучения безопасности, чтобы научиться настраивать и поддерживать сети, не допуская взлома.

Подобная ситуация сложилась по двум причинам. Во-первых, руководство обязано было обеспечить необходимое обучение. Оно не думало о проблемах безопасности в полной мере. Вместе с тем руководители не могут читать чужие мысли. Дон, Кендзи, Смита и Тия должны были указать на пробел в безопасности и попросить, чтобы им обеспечили необходимое обучение. Они этого не сделали.

По этому аудиту у меня было собрано достаточно информации. Я потратила несколько дней на составление отчета. Иногда на его составление уходит столько же времени, как и на само проведение аудита. Важно показать риски и рекомендуемые решения так, чтобы они были понятны руководству и вызывали у него стремление к действиям. На это нужно время. Некоторые аудиторы используют стандартный шаблон для всех своих аудитов и заполняют эту заготовку стандартными словами, описывая обнаруженные проблемы и рекомендации по их решению. Таким людям нужно менять профессию. Компании платят им не за стандартный набор проблем и решений. Компаниям нужно, чтобы эти специалисты ориентировались на определение рисков в их среде и на то, как в их среде эти проблемы устранить.

Написав такой ориентированный на их среду отчет, я передала мой труд нанявшему меня руководителю внутреннего аудита. Рэндаллу, в общем, он понравился. Ему не понравились мои находки, но он понял риски и узнал, что надо сделать для решения проблем. С отчетом в руках Рэндалл направился к своему начальству. Моя работа была на этом закончена.

 

Как и в других видах повседневной технической поддержки, в обучении безопасности не много романтики. Тем не менее оно столь же необходимо для долгой поездки, как и проверка тормозов или уровня масла в вашей машине. Игнорируя этот факт, InterMint чуть-чуть не оказалась выброшенной на обочину информационного хайвэя.

Вот что им следовало бы сделать во избежание этого.

 

Просвещать высшее руководство

Если руководство поднимет тревогу, что у них не все в порядке с безопасностью, то большинство в компании последует его примеру. Руководство должно обеспечить доступность занятий по безопасности для сотрудников всех уровней — это касается и высшего руководства.

Хотя все руководители должны проходить обучение безопасности, но не всегда можно на этом настаивать. По самой меньшей мере, высшее руководство должно представлять себе, почему безопасность важна.

Причина этого проста. Мало кто из генеральных директоров выделит средства, если ему непонятна важность цели. Ему нужно объяснить существующий риск. Подумайте об этом. Будете ли вы покупать страховку на случай землетрясения, если вы живете в Уэст-Бенд, штат Индиана? Вряд ли. Купите ли вы эту страховку, если ваш дом высится над разломом Сан-Андреас в штате Калифорния? Вы ответите «Да» (если только вы не законченный глупец), потому что вы осознаете риск. По моему опыту, руководители, осознавшие риски, более склонны выписывать чеки на обучение.

 

Отстаивать бюджет обучения безопасности

Не позволяйте выбрасывать в первую очередь статью на обучение безопасности из напряженного годового бюджета. Иначе придется заплатить позднее. Создаваемая сегодня безопасность требуется для скрепления всех последующих частей. Ведь вам не придет в голову вложить все средства в разработку нового продукта, а затем не запереть двери лабораторий? Конечно нет. Но, оставляя открытыми ваши корпоративные сети, вы с большой вероятностью можете подвергнуться такому же риску.

 

Включать вопросы безопасности в обязанности руководства

Некоторые из руководителей ловят случай для продвижения по служебной лестнице. Иначе говоря, они прыгают от одних денег к другим. Для того чтобы чеки к ним поступали, им нужно их заслужить, выполняя поставленные перед ними цели. Чтобы при таком продвижении руководители не забывали о вопросах безопасности, постарайтесь, чтобы в поставленные перед ними цели была включена безопасность. Включите награду за достижение цели по обеспечению безопасности в план премий.

Когда система генерального директора InterMint была взломана, то перед одним из руководителей сразу же возникла цель по решению этой проблемы. Но то, что один из менеджеров имеет цель в вопросах безопасности, не много значит, если вся остальная цепочка управления не имеет таких целей. Если бы перед начальником Смиты была поставлена цель в отношении безопасности, то мне пришлось бы гораздо больше потрудиться для взлома систем операционного зала.

 

Делать обязательным обучение системных администраторов

Системные администраторы чрезвычайно занятые люди. Очень легко составить для системного администратора общий учебный план, а затем в конце года убедиться в том, что по нему ничего не сделано.

Часто системные администраторы так заняты, что не могут оставить свои сети или клиентов. Не создавайте ситуацию, в которой системные администраторы не могут оставить свою работу хотя бы на неделю. Например, Тия не должна чувствовать, что если она будет отсутствовать неделю, то вся ее сеть обрушится, или же по возвращении ее будет ждать полный беспорядок. Для этого, пока она будет на занятиях, ее начальник должен поручить ее территорию другому сотруднику. Нельзя допускать и того, чтобы после полного учебного дня ваши люди должны были отработать еще шесть часов, делая ваших пользователей счастливыми. Системные администраторы просто сбегут с занятий, если увидят в них дополнительную нагрузку к той работе, которую они обязаны сделать в этот же день. А вы сами стали бы заниматься при таких условиях?

Чтобы заставить системных администраторов вашей компании получить необходимое им обучение, отражайте его в служебной характеристике.

 

Посещать семинары по безопасности

Семинары по вопросам безопасности — это прекрасное место для распространения и получения информации, которую трудно получить где-либо еще. Выберите некоторые из профессиональных семинаров по безопасности для посещения вашими системными администраторами (такие, как SANS и USENIX). Так как всех туда послать невозможно, то пошлите по одному человеку на каждую конференцию и поручите им поделиться полученными там знаниями. Если возможно, то пусть они сделают краткий доклад по возвращении с семинара.

Те из вас, кто уже имеет большой опыт в вопросах безопасности, могут предложить свои выступления на таких конференциях.

 

Организовывать деловые ланчи

Большинству из нас крайне не хватает времени. Если вы пытаетесь втиснуть обучение в ваш перегруженный дневной график, то вспомните о том, что почти всем нужно есть! Попытайтесь проводить ежемесячно или ежеквартально доклады во время ланча. Выберите важные темы по безопасности и распределите намеченный материал между своими и приглашенными докладчиками. Это хороший способ держать ваших системных администраторов в курсе важных вопросов безопасности и эффективно использовать ценное время.

 

Распространять информацию по безопасности

Не заставляйте всех бегать в поисках свежей информации. Поручите одному из сотрудников поддерживать свою осведомленность на современном уровне и передавать остальной группе информацию об ошибках, снижающих безопасность, патчах, новых видах уязвимых мест, продуктах и т. д.

Не пожалейте дать его должности звучное название, а ему самому добавку к заработной плате. Многие работают из убеждений, но даже им деньги не повредят. Работа по поддержанию вашей группы в хорошо информированном состоянии заслуживает вознаграждения. Не пренебрегайте распространением информации. Некоторые люди любят придерживать ее, помня старое изречение: «Информация — это власть». Я лично нахожу таких людей небезопасными. Но их кругом слишком много. Помните об этом, стараясь обеспечить вашу компанию потоком фактов по вопросам безопасности.

 

Присоединиться к спискам рассылки по вопросам безопасности

Важно вовремя узнавать об очередной угрозе, возникающей в Интернете. Если ваш персонал технической поддержки не будет в курсе новых дыр и проблем в безопасности, то хакеры опередят его на несколько шагов. Добейтесь, чтобы ваши системные администраторы были лидерами в информационной стае, иначе она растопчет их. При сборе информации большую помощь окажут защищенные псевдонимы.

 

Выпускать «белые статьи»

[34]

Я знаю множество действительно талантливых системных администраторов. Если вы один из них, то поделитесь своим опытом с другими. «Белые статьи» являются отличным способом это сделать.

«Белые статьи» сделают вас более известным за пределами вашей компании. Они будут позитивным посланием, показывающим всему миру стремление вашей компании к открытости технологий и информации.

 

Писать в периодические издания

Хороший материал ищут многие газеты, журналы и бюллетени, освещающие вопросы безопасности. Если у вас есть что рассказать о технической поддержке, о продуктах, инструментах и т. п., то поделитесь своей информацией с другими. Это прекрасный способ поразить публику.

 

Превращать инструменты в продукты

Если вы разрабатываете инструменты для поддержки безопасности в вашей среде, то подумайте о превращении их вашей компанией в выпускаемые продукты или выставьте их в Интернете для бесплатного пользования. Может быть, ваши инструменты смогут применять и другие люди.

 

Контрольный список

Используйте этот список для определения того, как идут дела с обучением в вашей компании. Можете ли вы поставить «Да» против каждого пункта?

— Все ли руководители (сверху донизу) выразили общее стремление к безопасности?

— Подкрепили ли они это стремление финансированием обучения безопасности?

— Имеется ли программа обязательного обучения системных администраторов?

— Включены ли в эту учебную программу темы по настройке и поддержке безопасности?

— Существуют ли политики обучения безопасности?

— Составлены ли они тщательно, отвечают ли современным требованиям и широко ли известны?

— Все ли сотрудники, включая и высшее руководство, обучаются их обязанностям в области безопасности в компании?

— Существует ли инфраструктура для повышения и продолжения образования в сфере безопасности?