Глава 8
Безопасность внутренней сети
Когда вы в очередной раз предстанете перед судом из-за плохой защиты вашей сети, то вы, должно быть, подумаете о том, прочитал ли принимающий у вас присягу судья книгу Линды, и о том, что он, скорее всего, спросит, читали ли вы ее тоже.
Фред Крис СМИТ, юрист и соавтор книги "A Guide to Forensic Testimony"
Поздравляю! Вы — директор знаменитого музея. Долгие месяцы вы деловито готовили важную выставку. Сегодня к вам поступила первая партия изящных и представляющих историческую ценность шедевров из государственных и частных коллекций, и их будет бесконечное число. Сотрудники музея суетятся вокруг этих скульптур. Уже составлен план, предусматривающий прием и электронный учет сотен фарфоровых статуэток, которые будут поступать волна за волной в течение следующих недель. Множество стран принимают участие в этой выставке и присылают наиболее достойные из своих коллекций!
Из-за широкого размаха этой экспозиции были заключены договоры с рядом компаний-перевозчиков, которые должны справиться с потоком поставок со всего мира. Координация такого проекта должна быть непрерывной и продуманной. И как директор, отцом этого проекта являетесь вы.
Разве не удача, что в наши дни есть компьютеры? Двадцать лет назад координация такого проекта оказалась бы кошмаром.
Но действительно ли это удача? В нашем компьютеризованном мире высоких технологий можно забыть о том, что сервер базы данных, хранящий критичную для выставки информацию, широко открыт. В результате этого любой может получить доступ к архиву, содержащему подробные сведения о приливах и течениях в море бесценных произведений. Ищете нового Ремингтона[46] для пополнения вашей подпольной коллекции? Посмотрите, вот он прибывает в следующий вторник в 4.00 дня из аэропорта имени Кеннеди по наземному маршруту на грузовике компании Joe's Family Tracking. Это вовсе не та информация, которую бы вы хотели представить широкой публике.
Несомненно, директор известного музея должен проявлять исключительную заботу о безопасности. Но сомнительно, что он видит возможный риск для безопасности в компьютерной базе данных. Люди, не связанные непосредственно с информационной безопасностью, редко это видят.
Представим себе, что вы как раз перед проведением большой выставки узнаете о том, что ваша сеть не защищена. Этот факт заставит вас остерегаться ввода конфиденциальной информации в вашу собственную сеть.
Нелепо? Может быть. Но в точности с такой ситуацией столкнулся Джеральд Пушман в музее Chambersburg Museum of Art.[47] Давайте посмотрим…
Джеральд Пушман был нанят руководить совершенно секретным проектом в Chambersburg Museum of Art. В музее он был новым руководителем, но не новичком в секретных проектах. Он имел большой опыт в своем деле и знал, как хранятся секреты.
Джеральд заботился о физической безопасности и настройках средств защиты его компьютерных систем. Так как он придерживался стиля в руководстве «возьми в свои руки», а не стиля «отдай в другие руки» (ответственность за безопасность систем), то Джеральд прежде всего встретился с администратором сети Кирстен Смит.
Кирстен работала в музее уже несколько лет и знала каждый дюйм сети. Джеральд сказал ей, что вследствие конфиденциального характера информации проекта он озабочен состоянием сети, в которой должны будут устанавливаться новые системы.
Кирстен ответила прямо: «Если вы собираетесь подключать системы к сети, то меня тревожат установка и настройка этих систем, особенно из-за высокой секретности проекта». Беседуя с Кирстен, Джеральд узнал, что серверы базы данных музея широко открыты для доступа. На этих серверах хранилась крайне конфиденциальная информация. Из нее можно было узнать не только о ценности произведений искусства, но также о дате и времени их поступления и отправки и планах перевозок. Вор, специализирующийся на произведениях искусства и оснащенный по последнему слову техники, мог бы под видом сотрудника музея получить доступ к какой-либо одной системе сети и использовать эту информацию для налета с целью похищения экспоната на его пути в музей или из него.
Удача Джеральда заключалась в том, что Кирстен была с ним достаточно откровенной и сообщила так много сведений. Он попытался разузнать побольше и выяснил, что группа обеспечения безопасности сражается с системными администраторами уже несколько лет из-за принципов настройки безопасности систем. Так как общий подход к этому вопросу выработан не был, то у большинства систем в сети настройки безопасности не было вообще.
Джеральд понял, что, пока группа обеспечения безопасности и системные администраторы не уладят своих разногласий, безопасность его систем может быть скомпрометирована. Из-за такой предыстории конфликт вряд ли мог разрешиться быстро. Как временный сотрудник, Джеральд решил установить свои системы отдельно от сети музея в изолированном помещении. Представьте, что у вас строят отдельную сеть с тем, чтобы уберечь информацию от краж и саботажа! Посмотрим, как ситуация дошла до такого состояния.
Начало событий: В обход корпоративной сети
Для того чтобы отделить свои системы от сети музея, Джеральд должен был создать свою сеть и нанять своего системного администратора. На это требовалась добавка к его бюджету в виде приличного количества долларов. Для одобрения такого шага Джеральд должен был встретиться с руководством музея.
Не нужно говорить, что руководство такому подходу не обрадовалось. По правде, оно просто не поверило, что их собственная сеть не защищена. В конце концов Джеральд получил, что просил. Но руководство заставило его перед этим «попрыгать через кольцо». Оно включило в пакет договора требование, чтобы он представил доказательства незащищенности сети музея. И здесь на сцене появляюсь я.
День 1-й: Сбор доказательств
Джеральд передал мне всю информацию о месте действий. Он посвятил меня в детали продолжающейся междоусобицы между системными администраторами и группой безопасности. Я поговорила с Кирстен, и она сообщила мне, что вся информация в сети подвергается риску.
Узнав это, я поняла, что впереди у меня тяжелая работа. Во-первых, я должна была установить, действительно ли системы не защищены. И если так, то затем я должна буду определить причину этого.
Руководство в лице Джеральда чувствовало, что системы сети не защищены. Однако это было лишь голословным заявлением. Каких-либо ощутимых доказательств этого не было, но они должны быть найдены в моем аудите.
Так как главной задачей аудита была проверка предположения Джеральда, то я решила провести аудиты систем, интервьюирование персонала и тестирование на проникновение.
В данном случае удача Джеральда заключалась в том, что Кирстен обеспечила его большим количеством информации. Такое происходит не всегда. Иногда вся сеть подвергается риску, а персонал технической поддержки не говорит об этом ни слова. Зная это, я не питала особых надежд на то, что остальные сотрудники технической поддержки сообщат мне такие же подробности, как Кирстен.
В некоторых аудитах полезно собрать как можно больше фактов перед проведением бесед с персоналом. Тогда вы сможете их использовать как рычаг воздействия на сотрудников, не испытывающих желания делиться с вами информацией или своим знанием существующей проблемы. Так как мне казалось, что этот аудит будет именно таким, то я решила собрать информацию до проведения бесед.
Кирстен создала мне учетную запись в сети и дала сетевую схему, по которой можно было бы определить системы повышенного риска. Сетевая схема выглядела вполне логично. Так как я обычно начинаю тестирование безопасности с систем с самым высоким уровнем риска, то именно их я ищу в схеме. Однако я не смогла точно определить по схеме, какие из систем попадают в эту категорию.
Я обратилась снова к Кирстен. Она показала мне группу систем, которые она считала представлявшими наибольший риск. Мы немного поговорили об этом, чтобы убедиться, что я ничего не пропустила. Со списком особо критичных целей я была готова начать аудит.
Я всегда удивляюсь, когда мне удается войти в первую намеченную для аудита систему даже без ввода пароля. Это похоже на то, как если бы вы подошли к банкомату и он выдал бы вам деньги до того, как вы достали свою карточку из бумажника. Я попала в такую же ситуацию.
Первая же выбранная мной система доверяла системе, в которой у меня была учетная запись. Как только я открыла сессию на главном сервере базы данных, я смогла получить доступ ко всем другим особо критичным системам. Мне даже не пришлось вытирать пот. Доверительные отношения между этими системами были поразительными. Все они доверяли первой взломанной мной системе, поэтому я входила в одну систему за другой.
