Маккарти Л. It-безопасность: стоит ли рисковать корпорацией? Пер с англ

Вид материала

Содержание

Выяснение риска
Первая фаза: Физическая безопасность
Вторая фаза: Прохождение через систему физического контроля
Третья фаза: Неавторизованный доступ
День 2-й: Риск для персональной информации

Подобный материал:

1 ... 15 16 17 18 19 20 21 22 ... 42

Выяснение риска

Из разговора с Марией я не получила много информации. Она говорила лишь о подозрении на риск. Я попросила у нее сетевую схему компьютерного зала и список систем, подозреваемых на риск.

Мария предоставила мне временный офис с телефоном и системой. Она также создала мне в системе учетную запись - на случай, если я захочу здесь писать мой отчет. Это было прекрасно. Я взглянула на сетевую схему. Ого, да здесь тонны серверов баз данных. Меня это не удивило - так бывает после основательной оптимизации. Удивительным было другое: ни одному из этих серверов не был присвоен класс риска. Иначе говоря, ни один из них не был обозначен как критичный, особо критичный или некритичный.

Так как Мария не знала, какие серверы подвергаются большему риску, то я решила определить это сама. Есть два способа получить эту информацию. Вы можете открыть сессию на каждом сервере и осмотреть хранящуюся в них информацию. (Этот способ отнимает много времени при наличии большого количества серверов.) Вы также можете опросить системных администраторов. Я не могла этого сделать, так как их не предполагалось уведомлять об аудите. Оставался первый способ. Теперь я вступала в игру. Ее целью было раскрыть как можно больше информации и рисков прежде, чем меня обнаружат.

Первая фаза: Физическая безопасность

Чтобы начать игру, я должна была надеть костюм и исполнить свою роль. Моей целью было проникнуть в компьютерный зал без получения официального разрешения. Надев костюм, я попала в точку - я выглядела как своя.

Мария предложила мне пропуск в компьютерный зал, но я отказалась. Важной стороной моего аудита будет определение возможности, не вызвав подозрений, проникнуть в зал. Для этого я и принарядилась.

Вторая фаза: Прохождение через систему физического контроля

Я попросила Марию побыть в моем офисе и ждать моего звонка, если меня не пропустят. Легко было видеть, что мой подход ей понравился. (Ей самой, наверное, хотелось пойти со мной и посмотреть, что будет. Но она понимала, что у меня ничего не получится в ее присутствии.) Если я пройду, то одно это будет говорить многое о состоянии безопасности. Ведь положение дел, при котором любой сможет пройти в компьютерный зал, не имея на то полномочий, означало бы высокую степень риска. В случае моей удачи Мария уже бы окупила свои расходы. Все другие риски, какие я бы нашла, были бы лишь глазурью на пироге.

С такими мыслями я начала спускаться в компьютерный зал, расположенный в подвале. Согласно документам, я должна была иметь нагрудный знак с разрешением на вход. Но я просто сняла трубку телефона у входа и подождала, когда парень в компьютерном зале мне ответит. Я сказала ему, что прислана внутренним аудитором для проверки некоторых систем. Он немедленно открыл первую дверь и впустил меня. На входе в компьютерный зал было два комплекта дверей и, следовательно, два уровня безопасности. Но когда я прошла и вторые двери, то поняла, что ни один из этих уровней не действовал. Назвав себя, сотрудник вернулся к телефону, по которому он продолжил прерванную мной беседу. Задание выполнено. Он обманут. Я выглядела официально. Я пробралась.

Серверы были расположены аккуратными небольшими рядами, и место выглядело чистым. Не было видно ни клочка бумаги. В принтерах тоже ничего не оставалось. Даже на полу не было ни пятнышка. С потолка не свисало кабелей, должно быть, их спрятали под пол. Можно было сказать, что эти парни здорово потрудились над внешним видом компьютерного зала.

Я прошлась вдоль рядов серверов, высматривая монитор, на котором бы не закрыли сессию. Бесполезно. Мне придется забираться в сеть другим способом. Я поблагодарила впустившего меня парня, одарила его улыбкой и вышла.

Даже если я не смогла легко получить доступ к информации, пробравшись в компьютерный зал, я могла бы оставить бомбу и разрушить всю систему управления. Как знать. Вот поэтому и нужна надежная физическая защита.

Хотя их физическая безопасность оставляла желать лучшего, Rockland Genera! имела очень чистый компьютерный зал. По крайней мере, на день моего прихода. Через неделю я обнаружила, что он замусорен файлами пациентов. Но сегодня они прошли мои тесты наполовину.

Третья фаза: Неавторизованный доступ

Возвращаясь в свой офис, я размышляла над тем, как получить доступ к системам компьютерного зала. Оказавшись в офисе, я вошла в систему. Посмотрев на сетевую схему, я попыталась найти систему, в которой бы содержалась пикантная информация.

Иногда люди дают своим системам открытые имена (как в платежной ведомости), и по ним можно определить, какая информация в них хранится, даже не входя в них. Но не здесь. Все системы были обозначены буквенно-цифровой комбинацией (PR1, PR2 и т. д.). Никаких подсказок.

Я начала зондировать информацию систем наугад. Вы не знаете, как это делается? Я умела получать доступ в системы. Я достала из портфеля мою «походную» дискету и загрузила в систему несколько моих любимых инструментов. Инструменты облегчают нам жизнь. Набор хороших инструментов делает мир совершенно другим. В мой план входило попытаться войти в систему в качестве обычного пользователя, взломать корневой каталог и получить контроль над системой.

Я начала тестировать, доверяет ли мне какая-либо система компьютерного зала. В данном случае доверие означало, что системы были настроены доверять моей системе. Доверяемая система позволяет вам осуществлять легкий доступ без пароля. (Доверительные отношения в сетях могут быть опасными, так как если хакер взломает одну из систем, которой доверяют 50 других систем, то затем он сможет войти в эти 50 систем без пароля.) После того как скрипт был выполнен, оказалось, что мне доверяют десять систем. Не так плохо для меня. Но, определенно, плохо для больницы, для информации и для пациентов.

Я была в системе. Так как я имела учетную запись в машине, то мне представилась хорошая возможность получить информацию. Как только я вошла в первую машину (PR1), в мой офис зашла Мария. Я рассказала ей, что смогла без проблем пройти в компьютерный зал, но не сумела получить оттуда доступ к какой-либо информации. Она не поверила, что кто-нибудь смог бы зайти туда. Мне пришлось объяснять ей, почему я надела костюм.

Продолжая работать, я объяснила Марии мой способ входа в системы компьютерного зала. Я дала ей понять, что проведу остаток дня, собирая информацию. Я попросила ее организовать мне встречу с одним из системных администраторов и менеджером технической поддержки на следующий день. Она согласилась и довольная ушла от меня.

За небольшое время, около минуты, я получила полный контроль над системой. Если вы знакомы с приемами взлома, то это, возможно, покажется вам довольно долго. Как бы то ни было, десять систем, в которые я легко проникла, имели старую версию операционной системы. (Старые версии операционных систем могут сделать систему уязвимой, так как в них, скорее всего, остались старые программные ошибки, используемые хакерами для взлома.) Было похоже, что в этих системах выполнялись приложения, которые не были перенесены на новую версию операционной системы. По крайней мере, это была моя догадка.

Я запомнила эту мысль и начала искать доступ к остальным системам. За интересной работой время летит быстро. Я это поняла, когда было уже почти 5 часов дня. В любой момент за мной могла зайти Мария, чтобы проводить меня к выходу. Я приготовилась уйти. Результатом этого дня было получение доступа и полного контроля над 60 серверами. Кажется, системные администраторы Rockland установили их системы стандартным способом, без настройки безопасности или добавления патчей. Они также очень облегчили мне работу, установив доверительные отношения между значительным количеством серверов.

Как потенциального пациента, меня такая ситуация начинала пугать. Все критичные системы были доступны, и, насколько я видела, нигде не было контрольных журналов2. (Контрольный журнал фиксирует деятельность пользователей и ее характер). Опытный хакер мог хорошо позабавиться и уйти необнаруженным. В конце концов, мне удалось лично сегодня взломать 60 серверов, и ни в одном меня не заметили.

Мария появилась в 5.15. Всего я ей пока не рассказывала. Я дала ей понять, что смогла пробраться в некоторые системы и все еще собираю информацию. Бывает полезно придержать информацию о ходе аудита до его окончания. Я не люблю размениваться на мелочи, пока не соберу все факты.

Мария сообщила мне, что запланировала беседу на следующее утро. Я должна была встретиться с менеджером технической поддержки Мэттом Борландом и системным администратором Джилл Розенберг. Так как Мария была пунктуальна в составлении графика, то я решила закончить тестирование после проведения интервью сотрудников.

День 2-й: Риск для персональной информации

Сначала я встретилась с Мэттом. Он выглядел вполне порядочным человеком, но его пронизывал карьеризм. Иногда встречаются деловые люди, по которым сразу видно, что их интересует в основном продвижение по службе. Наши главные интересы с Мэтом расходились. Мой служебный интерес состоял в определении рисков и сборе информации. У Мэтта было не так уж много информации для меня. Он собирал информацию от других менеджеров, но мне не хотелось тратить время на беседу с ним. Я коротко с ним поговорила и решила перейти к беседе с Джилл, системным администратором группы технической поддержки систем,

Джилл выглядела спокойной, но все равно волновалась из-за предстоящей беседы и проверки. (Нельзя сказать, что я всю вину перекладывала на нее, но в чем-то и она была

виновна!)

Я начала беседу с просьбы показать мне политики и процедуры. У нее они уже были наготове. В основном документы выглядели хорошо. Но раздел, касающийся безопасности, был очень коротким (почти незаметным). Джилл объяснила, что сейчас раздел дорабатывается.

=======================

2. Audit trails. - Примеч. пер.

Я была озадачена тем, как они настраивали безопасность систем во время их оптимизации, не написав прежде процедур для этого. Настройку они не проводили. Руководство знало, что защиты не было, но график был плотным, и они решили вернуться к мерам безопасности позднее. И в результате Rockland эксплуатировала новую сеть целый год без защиты.

Кроме отсутствия защиты систем, в Rockland также отсутствовала их классификация. Следующей моей задачей было допросить с пристрастием Джилл о содержимом систем. Получив от нее эти сведения, я могла бы больше времени уделить тестированию, сбору информации и написанию отчета. Мне нужно было узнать, какие из систем содержат критичную информацию, какой характер имеет эта информация и почему она считает эту информацию критичной. Это позволило бы мне при проведении аудита нацелиться на наиболее важные системы.

Джилл знала, где хранится некоторая критичная информация, но ей не приходилось обеспечивать для этих систем более высокий уровень защиты. Из сведений, полученных от Джилл, я тем не менее поняла, где находится самая аппетитная информация.

В моей деятельности я видела, как аудиторы задают вопросы техническому персоналу о том, на каких системах лучше запускать аудиторские программы. Иногда им отвечали честно. Иногда - нет. Даже не имея задних мыслей, персонал технической поддержки не всегда понимает, где в их сети находятся участки повышенного риска. Поэтому, если вам скажут, что DS19 является системой повышенного риска, эту информацию все равно надо проверить.

Джилл рассказала, что истории болезни пациентов хранятся на серверах с именами от PR1 до PR10. Ага! Теперь я знала, что буквы PR обозначали историю болезни (по-английски -Patient Records. - Примеч. пер.). Как я об этом не догадалась раньше? Как бы то ни было, эти системы должны считаться особо критичными и в них должны быть установлены средства защиты. Как я уже рассказывала, эти системы были взломаны мной в первую очередь.

Джилл попала прямо в яблочко. Я убедилась в этом, проверив типы операционных систем и серверов и изучив содержащуюся в системах информацию. Закончив эту проверку, я решила, что у меня достаточно информации для написания отчета. Конечно, проблем с безопасностью было много. Но главными в моем списке проблем были следующие:

• Никто и никогда не проводил оценку рисков.

• Политики и процедуры были неполными.

• Системы, содержащие жизненно важную информацию3, были установлены стандартным способом.

• Информация могла быть легко изменена, украдена или уничтожена без следа.

Очевидно, никто не уделил достаточно (или вовсе не уделил) внимания рискам изменения, уничтожения или кражи информации, когда ее переносили из отдельного компьютера в серверы сети. В результате оказались подвергнуты риску истории болезни.