Некоторые атаки способны разрушить иную компанию, а другие — самое большее — доставить неприятности
|
| Курт Монаш — независимый консультант. С ним можно связаться по адресу curtmonash @monash.com |
Мы живем в эпоху террора и страхов, которые зачастую неоправданны. Можно сказать, что политики и журналисты располагают целым арсеналом средств запугивания граждан.
Заявления об угрозах информации могут быть столь же обманчивыми. Некоторые атаки способны разрушить иную компанию, а другие — самое большее — доставить неприятности. Разумнее всего попытаться выделить различные категории угрозы защите информационных систем и понять, какие меры безопасности имеют смысл. Рассмотрим некоторые из этих категории, чтобы показать, как воспользоваться подобным подходом.
Средства разрушения систем, такие как вирусы, спам и DoS-атаки (Denial of Service — «отказ в обслуживании»).
Вероятность: очень высокая.
Потенциальный ущерб: зачастую преувеличен, поскольку его оценка базируется на сомнительной теории о том, что прерывание работы компании всегда ведет к убыткам.
Приемлемые меры безопасности: межсетевые экраны, системы обнаружения вторжений, виртуальные частные сети, антивирусные программы и средства для борьбы со спамом, а также продуманные политики защиты.
Нарушение физических элементов защиты технологических процессов, например прерывание электрической сети и прекращение работы сталелитейного завода.
Вероятность: очень низкая.
Потенциальный ущерб: очень высокий.
Приемлемые меры безопасности: по мере возможности изолируйте системы управления процессами от общей сети; следите за тем, чтобы злоумышленники не могли проникнуть в пункты контроля системы управления процессами.
Шпионаж, угрожающий национальной безопасности, например кража чертежей средств вооружения.
Вероятность: низкая.
Потенциальный ущерб: большой — вас могут убить или нанести ущерб вашей репутации, в силу чего вы будете вынуждены закрыть компанию.
Приемлемые меры безопасности: если вы работаете на правительство или оборонную отрасль, соблюдайте правила безопасности без каких-либо исключений. Кроме того, ведите мониторинг своих систем с целью обнаружения нестандартных попыток доступа к данным.
Намеренное привнесение ошибок в транзакции, например генерация фальшивых банковских операций.
Вероятность: от низкой до средней.
Потенциальный ущерб: в банковской сфере — большой, в остальных — средний.
Приемлемые меры безопасности: защитите свою основную базу данных с информацией о транзакциях с помощью тщательно продуманных систем безопасности. Используйте возможности защиты системы управления базами данных и аудита. Но соблюдайте разумный баланс, думайте об удобстве клиентов.
Кража интеллектуальной собственности, например чертежей продуктов или списков пользователей.
Вероятность: преувеличена.
Потенциальный ущерб: судебная практика предлагает хорошие меры по возмещению ущерба.
Приемлемые меры безопасности: базовые меры защиты; осмотрительнее увольняйте сотрудников.
Нелегитимное использование Internet, например хождение по порносайтам, использование систем мгновенного обмена сообщениями для переписки с приятелями, рассылка оскорбительных писем по электронной почте.
Вероятность: очень высокая.
Потенциальный ущерб: низкий (за исключением того, что сотрудники могут слишком много времени проводить в Internet в ущерб работе).
Приемлемые меры безопасности: фильтры для контроля использования Internet сотрудниками — для мониторинга, но не для блокировки.
Разглашение данных клиента, например при краже номеров кредитных карт.
Вероятность: от низкой до средней.
Потенциальный ущерб: высокий и иногда недооцениваемый.
Приемлемые меры безопасности: защищайте данные ваших клиентов, по крайней мере, не хуже своих собственных; если значительная часть пользовательских данных передается в виде документов по сети, объедините их в СУБД и защищайте так же надежно, как свои данные о транзакциях.
Последняя категория не столь очевидна, как предыдущие. Потеря частной информации редко ведет к действительно большому ущербу. С другой стороны, законы и административные нормы гарантируют конфиденциальность данных. Любая утечка такой информации крайне негативно влияет на репутацию компании, поэтому, несмотря на отсутствие серьезной опасности, необходимо обеспечивать максимально надежную защиту данных клиента.
Некоторые из угроз слишком преувеличены, а ряд предлагаемых «решений» на самом деле не решает никаких реальных проблем. Но каждому предприятию, безусловно, необходимо иметь надежную инфраструктуру защиты. Минимальная разумная защита большинства организаций должна включать в себя следующее.
- Межсетевые экраны и средства обнаружения вторжений, установленные в каждой точке доступа, с поддержкой виртуальных частных сетей и приемлемой сегментацией сети.
- Эффективные системы борьбы с вирусами и со спамом.
- Защита на уровне СУБД для данных, касающихся финансовых транзакций, и документов.
- Дополнительные средства защиты для критически важных баз данных.
- Интегрированные средства управления идентификационными данными (вполне достаточно реляционной базы данных или виртуальной базы данных, использующей протокол LDAP).
- Поддержка архивов и аудиторских следов для всех важных документов и данных.
- Физический контроль доступа к устройствам защиты и критически важным базам данных.
- Разумные правила поддержки паролей (смарт-карты и т. п.).
- Системы и правила поддержки и контроля состояния клиентских, серверных и сетевых систем.
Ни одна из стратегий защиты не может быть совершенной, но всегда следует начинать с реалистичной оценки угроз, с которыми может столкнуться предприятие.