Меры безопасности для защиты информации IT-службы

ЛЕВ МЫШКИН

Меры безопасности для защиты информации IT-службы

Существует огромное количество статей, книг и других публикаций о защите важной бизнес-информации. Но ситуация сильно осложняется, когда речь идет о защите информации самой IT-структуры. Обеспечению конфиденциальности информации IT-службы в весьма непростых условиях и посвящена эта статья.

Не секрет, что у любого системного администратора рано или поздно возникает потребность в сверхурочной работе. Однажды мне довелось остаться после десяти вечера на работе. Надо отметить, работал я в весьма благополучной на первый взгляд компании. Офис был очень симпатичный, чистенький. Уборка проводилась регулярно после десяти вечера. Ранее я не придавал особого значения этому факту. Но тут довелось, что называется, вживую увидеть, как она происходила.

Двери помещений не просто открывались, а распахивались настежь. Рабочие и другой персонал, в основном иностранные граждане СНГ, сновали туда-сюда, а вместе с ними задержавшиеся по той или иной причине допоздна сотрудники офиса. Можно было запросто посидеть в директорском кресле или попить чаю в VIP-переговорной.

А что же охрана? Ноль эмоций. Судя по реакции службы безопасности, подобный «шабаш» происходил каждый вечер и был в порядке вещей. Камеры видеонаблюдения стояли в основном в коридорах, и в суматохе и сутолоке проследить, кто куда ходил, практически было невозможно. Тем более что раскрытые по всему коридору двери неминуемо должны были закрывать обзор для телекамер.

И, естественно, подобная участь не миновала и помещения IT-отдела. Дождавшись конца и выпроводив уборщиков из кабинета, я задумался о безопасности своего рабочего места. Особенно мне не понравилась возможность свободного проникновения сотрудников офиса в помещение IT-отдела.

Не секрет, что любая документация по инфраструктуре IT и тем более компьютер администратора – лакомый кусочек не только для хакера, но и для недоброжелательно настроенного офисного сотрудника, ведь бизнес-информация – важная часть работы любой компании.

Меры по защите оборудования в серверной комнате

Оборудование, размещенное в серверной комнате, нуждается в защите от несанкционированного доступа. Ситуация усугубляется тем, что помимо кражи информации злоумышленник может нанести ощутимый вред, просто выключив то или иное устройство. Не говоря уже об уничтожении информации или порче оборудования, посторонний человек может натворить здесь много бед.

Рекомендую:

Запирать дверь в серверную. В ряде компаний ограничиваются запиранием двери на магнитный замок системы контроля доступа. Это не совсем правильно, так как в этом случае доступ могут получить сотрудники службы охраны, уборщики помещений, электрики и другие лица, присутствие которых в серверной, мягко говоря, далеко не всегда необходимо. Лучше доверить сотруднику службы безопасности. (И только ему одному. Не следует «оставлять ключи охране».) Все остальные «походы в серверную», например, представителей электрослужбы или интернет-провайдера должны осуществляться только с ведома руководства IT-отдела.

Вести журнал регистрации посещений серверной комнаты. В дополнение к первому пункту эта простая мера позволяет отсечь изменения, сделанные сотрудниками IT-отдела, от изменений, сделанных посторонними лицами. Например, если осуществлялся консольный вход в определенное время, а соответствующей записи в данном журнале нет, это дает право предполагать, что пароль сотрудника и сервер, на который осуществлялся доступ, были скомпрометированы. Например, в моем случае имел место инцидент, когда от провайдера пришла распечатка с ошибочной статистикой, судя по которой, с телефона из серверной осуществлялись звонки по всему СНГ. Наличие журнала регистраций посещений позволило выяснить и доказать, что это ошибка. Позднее оказалось, что это была статистика совсем другой компании.

Блокировать серверную консоль. Первое и самое строжайшее правило, которому необходимо следовать всю жизнь. Никаких оправданий наподобие «Я отошел на одну минутку, за это время ничего не случится...». Случится. И очень многое. Уходя из серверной комнаты, любой сотрудник обязан тщательно заблокировать все консоли на всех серверах, включая серверы, не входящие в его зону ответственности. В случае наличия консоли в свободном доступе немедленно сообщить сотруднику безопасности или руководителю отдела.

Ограничить возможность работы с консоли (использование клавиатуры и мыши). По возможности размещайте консоль управления серверами в запирающемся стоечном шкафу или используйте USB-клавиатуру и мышь для управления серверами, которые впоследствии можно легко спрятать. Отсутствие возможности подключить к серверу устройства ввода могут послужить весьма существенным препятствием для кражи или порчи информации.

По возможности использовать двойные блоки питания в серверах, подключенные к разным UPS. Эта простая мера позволяет избежать ошибочного отключения сервера, например, при уборке. Случайно задетый провод может иметь губительные последствия для бизнес-процессов компании. Особенно если дело касается серверов с файловой системой с отложенной записью (lazy file system). В этом случае может потребоваться длительная процедура реанимирования файловой системы или даже восстановление с резервной копии. Если же на сервере 2 блока питания, случайное отключение одного из них не приведет к остановке сервера. Если же все серверы имеет более одного блока питания и подключены к разным источникам бесперебойного питания (UPS), то даже отключение или сбой одного UPS не приведет к катастрофическим последствиям.

Описание мер по защите локальных ресурсов

Следует сразу отметить, что мы не ставим своей целью создать некий непробиваемый барьер. Известное правило «100 долларов за безопасность» гласит: «Первые 90 процентов защиты стоят 10 долларов, оставшиеся 10 процентов обойдутся в 90 долларов». Далее речь пойдет о «первых 10 долларах».

Не проще ли все хранить на сервере?

Написано множество статей и книг о сетевой безопасности, о том, как сделать сетевые ресурсы практически неуязвимыми для хакеров. Но весь этот накопленный опыт становится бесполезным, когда любой сотрудник может получить доступ в помещение IT-отдела. Какие же меры возможно применить для повышения уровня безопасности в условиях легкого доступа в помещение?

Первый вопрос, который возникает: а не проще ли все хранить на сервере? На первый взгляд ответ очевиден: да, проще. Но не всякую информацию разумно хранить на сетевых ресурсах. Документы, содержащие ключевую информацию доступа или информацию, необходимую для восстановления работы серверного и сетевого оборудования (например: описание работающих служб, перечень правил для firewall, список административных паролей и т. д.), обязательно должны храниться на локальных или съемных носителях. Иначе вполне возможно возникновение ситуации, описанной в известном анекдотичном высказывании: «Ключ от «срочной медицинской комнаты» хранится в «срочной медицинской комнате»». То есть документы, необходимые для восстановления сервера или любого другого сетевого ресурса, хранятся на этом самом ресурсе.

Итак, что же нам остается? Либо хранить информацию на компьютере, принадлежащем системному администратору, либо на съемном носителе, либо на «твердой копии», то есть в распечатанном виде. Соответственно для каждого вида информации предпочтителен тот или иной способ хранения и соответственно свои методы защиты.

Компьютер системного администратора

Здесь так или иначе приходится хранить какие-либо наброски, планы работ, схемы бэкапов и другую сиюминутную информацию, которая может быть изменена в любой момент. Стандартная система установки пароля на операционную систему оставляет много возможностей для взлома. Существует множество программ для сброса административного пароля как для Windows, так и для UNIX-платформ. Поэтому нужны дополнительные меры по защите от несанкционированного доступа. Надо:

• Установить пароль на BIOS при загрузке компьютера. Удивительно, как много неприятностей можно избежать этой простой превентивной мерой. Как правило, злоумышленник не имеет возможности получить в свои руки рабочую станцию в длительное использование. Поэтому снять крышку компьютера и обнулить BIOS будет весьма сложно. К тому же сброс пароля даст понять, что компьютер скомпрометирован.
• Использовать средства шифрования. В случае если злоумышленник все же получил доступ к аппаратной части компьютера и сумел получить доступ к файловой системе (например, снял жесткий диск), он не сможет получить доступ к зашифрованной части данных. На работе в служебных целях я использую программу Secret Disk.
• По возможности огранить доступ к компьютеру. Мне повезло, у меня служебный ноутбук, который можно просто запереть в сейфе или на худой конец в ящике тумбочки, закрывающемся на ключ. Другое дело, если приходится работать с настольным ПК. В этом случае могу посоветовать по возможности ограничить доступ к компьютеру, а также спрятать устройства ввода: мышь и клавиатуру. Вряд ли «офисный гуляка», шатающийся по кабинетам в вечернее время, догадается прихватить с собой мышь и клавиатуру.
• Использовать незнакомые форматы файлов. Например, если в компании в качестве корпоративного стандарта используется MS Office, файлы в формате OpenOffice могут весьма озадачить злоумышленника. В нашем случае было принято решение всем отделом перейти на использование OpenOffice и перевести всю документацию, включая схемы сети и кроссировки СКС, в соответствующие форматы.

Съемные носители

На съемных носителях имеет смысл держать более или менее постоянную информацию, менее подверженную изменениям, а также резервную копию данных, которые хранятся на компьютере администратора. На сегодняшний день чаще всего используются флеш-накопители («флешки») и перезаписываемые диски DVD-RW (CD-RW). Для обеспечения их сохранности, а также для сохранения конфиденциальности информации могут помочь простые правила:

• Вести учет съемных носителей. В ситуации, когда информация бесконтрольно записывается на болванки или разносится на флешках, трудно определить, что могло быть вынесено за пределы IT-одела, а что осталось неприкосновенным. Если же ведется строгий учет накопителей, на которых ведется запись резервных копий материалов IT-отдела, то пропажа, скажем, одного диска должна насторожить сотрудников и указать на необходимость принятия экстренных мер по предотвращению несанкционированного использования записанной на этом носителе информации.
• Хранить съемные носители, содержащие важную информацию, а также дистрибутивы в запирающемся сейфе. Вкупе со строгим учетом данная мера позволит предотвратить кражу и несанкционированное копирование информации об IT-структуре. Кража дистрибутивов с целью пиратского использования может свести на нет дорогостоящие усилия по лицензированию программного обеспечения и навлечь неприятности с законом. Хранение носителей с дистрибутивами в сейфе устраняет эту проблему.
• Хранить информацию на съемных носителях в зашифрованном виде. Представим себе интереснейшую ситуацию: у системного администратора пропадает флешка с данными, в том числе файлы, содержащие пароли. Или еще интереснее: системный администратор теряет флешку, например, по пути в серверную. Где окажется данная флешка, сколько паролей придется сменить после этого – будет весьма трудно искать ответы на данные вопросы. И самое главное, что делать это придется в кратчайшие сроки. Другое дело, если посторонний человек найдет на флешке один-единственный зашифрованный файл (криптоконтейнер). Чтобы получить доступ к зашифрованной информации, злоумышленнику потребуются некоторое, зачастую весь-ма продолжительное время и определенная квалификация. Большая же часть людей, найдя подобный носитель, попросту сотрет непонятный файл и будет использовать флешку просто как устройство.

Твердая копия (распечатки)

В распечатанном виде имеет смысл хранить только то, что имеет действительно смысл держать в распечатанном виде. Глупо каждый раз перепечатывать общую схему сети, участники которой постоянно изменяют свое местоположение. Но все же есть информация, которую нужно хранить именно в таком виде.

• Все копии распечатанной информации должны подлежать строгому учету. Например, если есть один распечатанный экземпляр проекта сети, должно быть ясно, что распечатан только один экземпляр. Это поможет предотвратить бесконтрольный вынос информации из помещений IT с целью последующего копирования, уничтожения и т. д.
• Все копии распечатанной конфиденциальной информации должны храниться в запирающихся сейфах (шкафах). Совместно с первым пунктом это послужит хорошим препятствием для злоумышленников и просто для любопытных.
• Особо важная информация должна храниться в запечатанном конверте. Далеко не всякий случайный посетитель решится вскрыть запечатанный конверт. Пропажа или вскрытие подобного конверта даст ясно понять, что информация попала в чужие руки и необходимо провести соответствующие меры по нейтрализации данной проблемы. Например, если в конверте хранился перечень резервных логинов/паролей для доступа к серверам и сетевому оборудованию, необходимо срочно сменить пароли.

Важное замечание. Во избежание утраты критически важной информации по техническим или иным причинам обязательно нужно иметь две копии, хранящиеся в различных местах. Например, если это файл с резервными паролями, имеет смысл разместить его на зашифрованном контейнере, а распечатанную копию заклеить в конверт и запереть в сейф.

Заключение

Небезызвестный Козьма Прутков писал: «Невозможно объять необъятное». Создание некоего единого свода правил, позволяющего избежать любой возможности кражи или порчи информации, и есть та пресловутая необъятная задача. Но использовать ряд простых превентивных мер, способных в большинстве случаев остановить злоумышленника при попытке нанести урон в сфере IT, вполне по силам любому системному администратору. Я описал именно те методы, которые помогли в вышеописанной ситуации. Перечень и характер подобных мер могут весьма различаться в зависимости от возможностей и требований бизнеса.