Криптография, защита, безопасность информации.

Bugi:

Дежавю

Т.е. вы не верите в существование таких приборчиков? И что с помощью их вся ваша суперзащищенная система становится для третьих лиц как на ладони.

Bugi:

Если на клетке с бегемотом написанно "Слон", не верь глазам своим (с) Прутков Козьма

Ваше право не верить.Тем, кому будет интересна ваша инфа будет намного легче из-за вашего неверия ее получить.

Вот немного по теме:

http://z-oleg.com/secur/articles/keylogger2.php

MaxRusak, говоря про клав. шпионы вы забываете о двухфакторной аутентификации, которая есть стандарт-дефакто для более-менее секьюрной системы. Так же о других методах, как , например, сертификаты, привязки и IP и проч.

Т.е. в нормальной секьюрной системе этот кейлоггер ничего особо не даст.

Дзмiтрок:

MaxRusak, говоря про клав. шпионы вы забываете о двухфакторной аутентификации, которая есть стандарт-дефакто для более-менее секьюрной системы. Так же о других методах, как , например, сертификаты, привязки и IP и проч.

Т.е. в нормальной секьюрной системе этот кейлоггер ничего особо не даст.

Это само собой разумеещуеся. просто некоторые считают, что затраты на такую весч, как организация ЗИ не только на уровне жесткого диска, а на уровне комплексных мер есть простое выдергивание денег у клиента.

MaxRusak:

... просто некоторые считают, что затраты на такую весч, как организация ЗИ не только на уровне жесткого диска, а на уровне комплексных мер есть простое выдергивание денег у клиента.

Комплексная защита - это очень дорого и очень неудобно.

Только ограниченное количество организаций могут позволить себе весь комплекс мер по защите информации.

Большинство не могут позволить себе такие издержки.

Приходится оценивать риски и искать компромисс. Перекрывать только наиболее вероятные каналы утечки информации.

ive7, в любом случае , защита она должна быть комплексная.

Для того, чтобы было оптимально для бюджета - делается анализ рисков.

Т.е. действительно, очень дорого реально защищать сверхсекретные документы, и если мы , условно говоря, ведомость по ежечасной уборке туалета , отнесем к такой категории информации - то да, никаких денег не хватит.

Так же довольно распространенна ошибка - это ошибочное присвоение категории (грифа) инофрмации, что влечет либо перерасход бюджета, либо информация попадает не туда, куда нужно. Так же ошибки планирования жизненного цикла информации - т.е. слишком длинный жизненный цикл, ненужное хранение и проч.

Копромисс - он практически ищется всегда.

Но базовые, так сказать , системообразующие мероприятия - role-based security, grained access, правильное категорирование и управление жизненным циклом информации, основыне политики - типа "чистого стола", настройка систем на security by default, двухфакторная аутентификация - возможно, дороговаты на этапе внедрения в уже работающую организацию (на начальном этапе все это дешевле) , зато не очень накладны в поддержке.

И окупаются при фактически первой любой более-менее серьезной возможности компрометации информации.

Например, возьмем наиболее близкий к нынешнем экономическим реалиям - случай массового сокрашения сотрудников.

Когда фактически в 90 % фирм любой "менеджер по продажам" может взять ВСЮ инфу, что есть в его бывшей организации - и открыть за углом такую же контору (бывает довольно часто). Или же просто напакостить.

ive7, чем же он неудачный? Реальные , абсолютно жизненные примеры.

У сотрудника есть вся цепочка поставок и логистики, так же есть все комм . предложения, над которыми работал его отдел, а возможно - и лично наработанные "сладкие" контракты и контакты с клиентами. И тут ему работодаель урезал "бонус" . Через три дня - у него оформленное юр.лицо - и десятки-сотни тысяч прибыли идут прямо ему в карман . Вы , возможно, мало сталкивались с такими случаями, но, я уверяю вас, они происходят довольно часто.

Кризис сдесь приведен, потому что под эту марку сокращают персонал/уменьшают з.п. и потенциально недовольных больше.

А описаные выше примеры происходит и без кризиса.

Регулярный бэкап - он защищает только от потери информации при физическом или логическом ее уничтожении . И так же , если он регулярный и полный- то снижает даунтайм при аварии и расходы на восстановление системы.

От потери конфиденциальности и компрометации - он не защищает. Почему вы берете нашу гипотетическую пакость сотрудника только как уничтожение файл-сервера? Возможных путей доставить проблем гораздо больше. При этом не нарушая УК.

MaxRusak, причем тут клавиатурные шпиены.

Tin Hat - это сферический конь в вакууме. сделанный людми у которых время девать некуда.

сделанный незвестно для чего и кого. даже не могу представить практическое применение этого чуда. кроме конечно использования его закончеными дрочерами-теоретигами в научных целях.

gooblin, дистрибутивы типа Live CD, особенно, если они , как указывают авторы в данном случае, обладают Hardened Security - существенно уменьшают площадь атаки на мобильного пользователя/устройство. Я опущу проблемы совместимости (допустим, ДОПУСТИМ , их нет, либо, мы можем собрать свой дистрибутив с нужными драйверами под требуемый ноутбук).

Есть такой принцип - "less privelegy", т.е. системы должны настраиваться по умолчанию для предоставления только тех сервисов, которые прямо указаны - например, удаленный доступ RDP или серфинг через браузер.

Есть пользователь.

Случай 1. Рабочий ноутбук с установленной по умолчанию Win XP, пользователь в домене. Мы его направляем в командировку. Что произойдет при краже его ноутбука ? Мы теряем массу документов, tmp, pst файлы, кэш браузера - в общем, риск компрометации в данном случае серьезный.

Случай 2. Рабочий ноутбук со сферическим конем в вакуме. Доступ в корп. сеть через RDP only. В корп. сети через RDP интер запрещен в принципе. Т.е пользуется через внутренний сферический браузер, если надо. Доступ к данным есть? Есть. Фильм посмотреть при желании можно - можно. В нете полазить - тоже. И НИКАКИХ отпечатков. (Мы допускаем, что наш пользователь соблюдает нашу политику безопасности, которая говорит - что если с системой не работаешь, то ее выключаешь физически). Т.е. потенциальная площадь атаки - меньше.тИ в случае потери/кражи бука , кроме железки, мы ничего не потеряем.

Ес-сно что Случай 1 - тоже можно настроить Винду соотв. образом, включить шифрование, убрать кэш, и тоже настроить ее секьюрно - вне всякого сомнения . И оно так и будет сделано, если корпорация более-менее имеет вменяемых админов и тратит деньги на создание такого вот дистрибутива под XP (или под Вистой).

Но если стоит задача -дать паре пользователям более-менее безопасный доступ иногда - то сферический конь - вполне приемлимое решение. И дешевое. И "по дизайну" является более секьюрным.

ive7,

Пример жизненный, только вот одна проблема - комплексная защита информации такой компании не по карману. Мелкий импортер/оптовик моментально разорится. Слишком дорогое это удовольствие. Дешевле будет продолжать платить менеджерам.

Ну если он совсем уже мелкий и совсем безденежный - то туда ему и дорога

На самом деле, приведенный мной выше набор , так сказать, базовой безопасности, для небольшой компании на десятка два пользователей будет стоить , ну навскидку, тысяч 15 внедрение. Плюс - толковый админ чтобы все хозяйство содержать в порядке - не студент за 500 долл. Реализуется на базе Windows Server 2008 (2003) и Active Directory. Плюс ISA /Forefront.

Ну давайте прикинем навскидку:

ПО - лицензионное все - потянет на тысяч 6-8 (я считаю только необходимое серверное плюс CAL Терминальные)

Рутокены или подобное - чуть больше тыщи.

Железо - Тысяч 7-8

Видеонаблюдение + IP телефония - тыщ 5-8 с сервером вместе.

Тонкие клиенты - 6-8 тыщ, где-то 10 с мониторами

Сетевое - 1000

Ну и внедрить плюс секютрити - десятка уйдет.

Итого: гм. ну да. Около 60 тысяч. На 20-25 пользователей. По 2 - 3 тысячи на пользователя. На самом деле - не так и много.

За базово секьюрную ИТ инфраструктуру.

Причем мероприятия конкретно на обеспечение прямой IT Security - как я и говорил вначале, тысяч 15. Т.е. затраты на пользователя - в р-не 600 долл.

А теперь посчитайте - если перодически проскакивают контракты на 300-500 тысяч, то прибыль до уплаты налогов - ну по-любому процентов 10 с контракта будет.

Итого: наши вложения в инфобезопасность окупятся при первом же серьезном инциденте.

НО! Здесь можно сэкономить. Можно не покупать лицензионное ПО и сервера - а использовать SaaS (Software as a Service - т.е. использовать провайдера, отдавая фактически всю инфраструктуру на аутсорс и беря ПО в аренду). Это существенно снизит первоначальные затраты.

Масса вариантов есть . Или лизинг.

Здесь не то , что нет денег или возможности - нет желания.

Но, вы правы, учитывая то , что во многих конторах люди крутят свои приложения на явном старом говне, а сотрудники работают на выпуклых мониторах - то вопросами ИТ и целом и ИБ в частности они не озабочены.

Дзмiтрок:

Реализуется на базе Windows Server 2008 (2003) и Active Directory. Плюс ISA /Forefront.

Ну давайте прикинем навскидку:

ПО - лицензионное все - потянет на тысяч 6-8 (я считаю только необходимое серверное плюс CAL Терминальные)

Рутокены или подобное - чуть больше тыщи.

Железо - Тысяч 7-8

Видеонаблюдение + IP телефония - тыщ 5-8 с сервером вместе.

Тонкие клиенты - 6-8 тыщ, где-то 10 с мониторами

Сетевое - 1000

Ну и внедрить плюс секютрити - десятка уйдет.

Давай навскидку посмотрим на недостатки такого решения.

Технические проблемы:

1) Для работы удаленных пользователей требуется постоянное высокоскоростное соединение с офисом. Это очень трудно обеспечить в командировке и стоит недешево. Есть места, где это требование невыполнимо (а работать надо).

2) Не подходит для приложений интенсивно работающих с графикой. Перерисовка графики через RDP работает медленно даже по локальной сети. Работа с чертежами на низком разрешении в 256 цветах + медленная перерисовка превращается в пытку.

3) Если не запретить Clipboard mapping и Local Printer mapping, то информацию из системы можно будет красть через этот канал. Если запретить, то пользователи не смогут печатать документы и переносить локальные данные на сервер. Как следствие - система станет неприемлемо неудобной для удаленных пользователей.

Всегда остается возможность снимать информацию с сервера посредством скриншотов.

Пользователи, столкнувшись техническими проблемами созданными системой безопасности, начнут сохранять рабочую информацию локально, пересылать ее по почте, сводя на нет все усилия направленные на защиту информации.

4) Не учтены меры и не посчитаны затраты на защиту информации в головном офисе. Они будут весьма значительны, и обойдутся дороже, чем предложенные тобой меры.

Организационные вопросы:

1)Необходимо нанять штат сотрудников которые будут круглосуточно контролировать соблюдение политики информационной безопасности, оборудовать им рабочие места.

2)Для разделения информационных потоков придется изменить организационную структуру организации.

Это приведет к раздуванию штата сотрудников минимум в полтора раза.

3)Адаптация информационных систем организации к новой структуре.

Раздувание штата увеличит организационные издержки организации (офис, менеджмент, затраты на согласование вопросов, etc.)

По моими оценкам только развертывание системы защиты информации потянет порядка 180 тыс.

Ежемесячные издержки на эксплуатацию будут тоже весьма значительны.

Еще раз повторю, что такие издержки могут позволить себе только очень узкий круг организаций.

Даже крупные банки не могут себе позволить развернуть весь комплекс мер по защите информации.