BugTraq.Ru: Интервью с Алексеем Лукацким

Интервью с Алексеем Лукацким
mindw0rk
Опубликовано: dl, 03.08.04 01:01

"Хороший админ - это сплав опыта, знаний и реакции"

В российском security-сообществе не так уж много громких имен. Попробуйте на досуге составить список и, я уверен, он остановится на первой десятке. Сегодня в гостях у ][ один из самых известных в России спецов по безопасности, аналитик НИП "Информзащита" Алексей Лукацкий, который прославился благодаря своим многочисленным статьям и ряду книг, включая "Обнаружение атак" и "Атака из интернет".

mindw0rk: Расскажите про то время, когда вы только начинали осваивать компьютер. Как давно это было, на чем тогда работали, первые эксперименты программирования, самые яркие воспоминания? С чего началось ваше знакомство с сетями?

АЛ: Давно это было ;-). Я тогда учился в школе и у нас создали компьютерный класс, в котором стояли БК-0010Ш и вершина компьютерной мысли - ДВК. Допускали к ним только особо продвинутых учеников. Раз БК, то первым моим языком программирования был Бейсик. Уже в институте нас обучали С, но я на него забил и самостоятельно изучал Turbo Pascal. Были попытки работать на Ассемблере (для писюков и ЕэСок), но длилось это недолго. Сейчас время от времени программирую на Delphi, больше для своих нужд.

Ярких воспоминаний не так уж и много. Помню своего школьного учителя информатики Алексея Геннадиевича, выпускника мехмата. Он учил нас тому, что хороший программист не тот, кто виртуозно владеет С или Ассемблером, а тот, кто умеет создавать алгоритмы для решения поставленных задач и запрограммировать их на том языке, который лучше всего для этого подходит. Собственно, то же самое можно сказать и про специалиста по защите. Неважно с какими межсетевыми экранами ты работаешь, главное - знать как работает тот или иной сервис, софт, устройство. Зная это, написать правила можно для любого экрана. С сетями (на тот момент одноранговыми) я познакомился на последнем курсе МИРЭА, но учитывая уровень технической оснащения ВУЗов, знакомство это имело поверхностный характер. Только в Информзащите я занялся изучением сетей серьезно. Что касается экспериментов - в основном это были попытки обойти блокировщики запуска игрушек, установленные преподами ;-). Учитывая то, что интернет в России в то время был уделом избранных, мы и не думали о всяких DoS-атаках, червях, сканах и т.д.

mindw0rk: Как вы стали работать в "Информзащите"? Какая у вас там сейчас официальная должность? Чем занимаетесь большую часть времени на работе?

АЛ: После института я больше года проработал администратором безопасности в одном холдинге, но после сокращения вынужден был искать новое место работы. Попал в один из крупнейших на тот момент банков (он почил после дефолта) в отдел защиты информации и трудился на испытательном сроке около полугода. Параллельно с этим меня пригласили в Информзащиту, где я также проходил испытательный срок. В какой-то момент мне пришлось делать выбор, где остаться и решение выпало в пользу Информзащиты. Платили там гораздо меньше, чем в банке, но работа была куда как интереснее.

Начиная аналитиком, со временем я стал главой отдела интернет-решений, кем и работаю на протяжении последних 6 лет. А т.к. наш отдел входит в структуру Департамента маркетинга, то числюсь еще и заместителем директора этого подразделения. Передо мной стоит 2 основные задачи: заниматься продвижением решений по интернет-безопасности (системы обнаружения атак, сканеры безопасности и т.д.) и развивать наш интернет-сайт. Все время уходит на написание различных публикаций и статей, выступление на семинарах, преподавание на курсах и т.д.

mindw0rk: Почему вы решили связать жизнь с IT? Об этом ли вы мечтали в детстве? :) Что вам больше всего нравится в своей работе и где кроются "подводные камни"?

АЛ: О чем я мечтал в детстве уже не помню. Но после 10 класса решил стать программистом, т.к. это было модно и актуально. Такой выбор мне помог сделать мой преподаватель. На втором курсе института меня случайно распределили в отдел защиты информации одного из "ящиков". Там я увлекся этой темой и уже осознанно выбирал тему диплома именно по безопасности. А дальше пошло-поехало. Сейчас о сделанном выборе не жалею. Скажу больше, со временем защита информации будет становиться все более востребованной специальностью. Уже сейчас ощущается нехватка профессионалов, а что будет через пяток годков? Ведь компьютеры проникают во все сферы человеческой деятельности, а где они, там и их защита.

mindw0rk: Опишите свое рабочее место. Какие в нем самые необходимые вещи, есть ли что-то, что лежит "мертвым грузом"? Рабочее место многих компьютерщиков (особенно хакеров) завалено разным хламом, бороться с которым бывает очень сложно. Как насчет вас?

АЛ: У меня два рабочих места - стационарное и мобильное. На офисном столе стоит 2 компьютера, телефон и, конечно, куча бумаг. Недавно, прочитав умную книжку про оптимизацию персональной деятельности, я поставил себе на стол 2 больших ящика с лотками для бумаг. Теперь всю макулатуру теперь складываю туда ;-). Ею же у меня забиты находящиеся рядом книжная полка и тумбочка. Вообще-то для эффективного управления своим рабочим местом, как и временем, нужен особый склад характера. Мобильное рабочее место - это мой КПК, с которым я работаю по дороге с дома на работу и обратно. Именно на нем я пишу свои статьи и книги, на нем храню большие объемы данных по security, на нем читаю книги и т.д. С КПК я не теряю в дороге 3 часа времени.

mindw0rk: Нужен ли в работе, связанной с компьютерной безопасностью, творческий подход, талант или достаточно просто нарабатывать опыт, читать умные книги? Какие качества в первую очередь должен иметь/выработать в себе security-эксперт?

АЛ: Все зависит от того, что этот эксперт делает. Я, например, практически не занимаюсь администрированием каких-либо систем. Исходя из моей прошлой деятельности, могу сказать, что хороший админ - это сплав опыта, знаний и реакции. Причем на первое место я ставлю опыт, который делает админа админом. Без реакции в security вообще не обойтись. Именно умение вовремя заметить и среагировать на ту или иную атаку отличает эксперта от начинающего. А знания? Ими может обладать каждый, но не каждый становится гуру в информационной безопасности.

Сейчас у меня несколько иная работа. Я скорее занимаюсь ликбезом и рассказываю людям, почему надо защищаться, как и чем? А здесь без творческого подхода не обойтись. Иначе очень трудно спуститься с небес на землю и начать говорить с людьми на их языке, без всех этих терминов: "RAID", "кластеризация", "Common Criteria" и "субъект доступа".

А умные книги читать всем полезно ;-). Даже если ты не будешь вторым Крисом Клаусом, Кевином Митником или ЗАРАЗой, то все равно имеешь шанс стать грамотным специалистом, который хорошо выполняет свою работу. Главное - это нарабатывать опыт, чтобы потом уметь вовремя распознать все подводные камни, предвестники серьезных проблем и т.д. А еще хороший security-эксперт - это психолог, который не только умеет найти общий язык с неграмотными в области security сотрудниками, но также не допускать конфликтов с ИТ-подразделением если отделы разделены.

mindw0rk: Расскажите о самых интересных security-проектах, в которых вам доводилось принимать участие за последние несколько лет. Именно интересных, не обязательно известных или коммерчески успешных.

АЛ: По правде, ни в чем интересном пока участвовать не приходилось ;-(. Все больше крутился в своем собственном соку. Только сейчас решил замутить несколько проектов, но пока до их завершения далеко, не хочу раскрывать карты ;-). Хотя: интересным проектом можно назвать написание книжки "Обнаружение атак". Помимо того, что я для самого себя систематизировал многие вопросы по сетевой безопасности, я вдобавок получил интересный опыт написания таких объемных трудов. Ведь создание книги сильно отличается от написания статьи в журнал.

mindw0rk: Часто ли вам доводится общаться с зарубежными коллегами? Отличаются ли чем-то их sec ppl от наших? :) Какой опыт, полученный в результате такого общения (совместной работы), вы особенно цените?

АЛ: Не так часто. Мне и российского общения достаточно ;-), тем более, что в России специалисты не хуже, а иногда даже лучше западников. Нам приходилось изучать многие вещи в условиях нехватки информации. Да и с техникой всегда были проблемы. Поэтому в России стремятся досконально изучить то, что есть. Я помню, что мы творили с БК в школе: Мы занимались постоянным поиском, который и делает эксперта экспертом. А сейчас? Многие хотят получить все готовое. Лишь у единиц присутствует желание создать что-то свое, зато критиковать или писать в форумах "Лажа! Не фурычит!" могут все. Поэтому script kiddies сейчас много, а грамотных специалистов мало. И здесь мы постепенно равняемся с западом.

mindw0rk: Как представитель крупной IT-компании вы наверняка участвуете в специализированных конференциях. Расскажите про самые яркие из них, например, про Первый IT-Security Форум и АДЭ. Там все сугубо официально, с галстуками и скучными лекциями, или интересные моменты тоже имеются? :)

АЛ: Участвую, но ярких впечатлений нет ;-(. В России нет конференций, которые можно было бы назвать эталоном. На большинстве мероприятий выступающие занимаются рекламой своих продуктов и услуг, что очень негативно воспринимается участниками. Хотя и докладчиков можно понять - они заплатили деньги и хотят за них получить максимуму отдачу. Если же докладчики выступают бесплатно, то организатор со временем прогорает и ставит свое мероприятие на коммерческие рельсы, что, конечно, сужает круг возможных посетителей. Промежуточных вариантов практически нет. Есть еще одна проблема - в России очень мало действительно грамотных экспертов по безопасности, которые могут: 1) рассказать что-то интересное, 2) имеют время, чтобы поехать на конференцию, 3) умеют увлекательно подать свой доклад.

mindw0rk: Если произойдет своеобразный "мортал комбат": сертифицированный IT-специалист VS хакер-энтузиаст, живущий одними компьютерами, на кого вы поставите? :) Смогли бы вы взять на работу молодого компьютерного гения, который даст фору всем вашим специалистам, но который не имеет ни записей в трудовой, ни ВО?

АЛ: На первый вопрос однозначного ответа нет. Если ИТ-специалист прикрывается бумажкой, за которой ничего нет, то энтузиаст, конечно, выиграет. Но если у них уровень примерно одинаков, то проиграет тот, кто первым сделает ошибку. Ставки делать я не буду, я не азартен ;-). Ответ на второй вопрос зависит от множества факторов: на какую должность претендует молодой "гений", в какую компанию он намерен устроиться, сможет ли он работать в команде. В небольших конторах такого "гения" примут с распростертыми объятиями. А вот в крупной, тем более, западной компании, он может попросту не пройти по формальным признакам. Будь он семи пядей во лбу, его могут отсеять еще на этапе собеседования с менеджером по кадрам. К сожалению, кадровик (их сейчас модно называть директорами по персоналу) ни бельмеса не понимает в ИТ и тем паче в security, он не сможет распознать в молодом пареньке без корочки и галстука гения. И тот обижается, начинает мстить: Но это уже другая история.

mindw0rk: Какие компьютерные сертификаты считаются самыми престижными? Какие из них дают реально полезные знания, а какие больше помогают как галочка в резюме?

АЛ: В безопасности сейчас бум на сертификат CISSP. Но я не разделю оптимизма по поводу важности как этих бумажек, так и вообще сертификации. Сертификат - это всего лишь кусок бумаги или пластика, который свидетельствует, что вы ответили на ряд вопросов теста. Т.е. они оценивают ваши знания, а не опыт, который и является мерилом квалификации специалиста. Во-вторых, сертификация - это не более чем потакание своим "низменным" инстинктам: тщеславию, карьеризму и т.д. Хороший специалист и без сертификата найдет себе работу. А плохому и сертификат не поможет. К сожалению, в России сейчас нет ни одной схемы сертификации, которая могла бы оценить именно опыт, а не знания испытуемого. На западе есть GIAC, где вы должны решить ряд серьезных задач и поучаствовать в лабораторных работах, прежде чем вам выдадут заветную бумагу. Аналогом такой схемы является сертификация Cisco. Замечательно было бы, если в России появилась такая система, но пока увы:

mindw0rk: На протяжении многих лет производители выпускают "защиты, которые невозможно взломать". И всегда их ждет одна участь. Возможно ли вообще создать такую защиту? И какой она должна быть в теории?

АЛ: Я как-то написал статью, в которой развеивал миф об абсолютной защите. Пока системы создаются людьми, абсолютной защиты быть не может. Ведь человек - это очень слабое во всех смыслах существо, которому свойственно ошибаться. И средства защиты не являются исключением. Нет ни одной системы на рынке, лишенной каких-либо дыр. И, даже если такую систему кто-нибудь когда-нибудь создаст, где гарантия, что настраивать ее будет грамотный админ? В последнее время наметилась тенденция создания самонастраивающихся систем защиты, но проблема далека от решения. К тому же нельзя забывать, что на атаки еще надо как-то реагировать. А без человека это практически нереально. Человеческий фактор как и раньше решает все.

mindw0rk: Насколько сложно поймать хакера? Как происходит процесс "ловли" в нашей стране? Насколько подготовлены наши "анти-хакеры" (тот же отдел К) к противодействию компьютерным преступникам?

АЛ: Дело не в сложности, дело в квалификации. Если безопасник опытен, то ему не составит труда загнать хакера в ловушку и собрать доказательства его противоправной деятельности. Другой вопрос, что в России таких специалистов по пальцам можно пересчитать. И многие из них уходят из МВД, так как жить впроголодь, за идею, могут не все. К сожалению, у нас нигде не готовят специалистов по расследованию инцидентов и поимке хакеров. Обычно учат юридическим аспектам этой деятельности: как расколоть, как доказать вину, как оформить ордер на обыск и провести экспертизу. Хочется надеяться, что со временем у нас появятся грамотные "антихакеры" не только в МВД, но и в других спецслужбах.

mindw0rk: Интересуетесь ли вы компьютерным андеграундом? Кого из русских хакеров/хак-групп вы бы отнесли бы к наиболее опасным?

АЛ: Интересуюсь постольку поскольку. Бывает интересным посмотреть на сделанные ими дефейсы ;-). Периодически посещаю андерграундовые сайты. Но действительно серьезные группы обычно не светятся и не рекламируют ни себя, ни свои проекты.

mindw0rk: Доводилось ли вам общаться с "крутыми" компьютерными взломщиками? Если да, какое впечатление у вас оставила эта встреча? Какую характеристику вы бы им дали?

АЛ: Моя профессия не позволяет "крутым" взломщикам общаться со мной ;-). Я общаюсь с людьми, которые серьезно занимаются безопасностью и могли бы стать великими взломщиками, но они к этому не стремятся. Если брать известную классификацию, то все они "white hat". "Black hat" остаются вне поля моего общения.

mindw0rk: Лично меня интересует ваше мнение о нашем журнале :). Находите ли вы в нем интересную для себя информацию? Вы считаете, что мы больше приносим пользы, или таки взращиваем новое поколение скрипт-кидисов?

АЛ: Я являюсь подписчиком ][ уже не первый год. Но он меня интересует не с точки зрения получения информации по безопасности - ее я получаю немного раньше выхода журнала и по другим каналам. У ][ есть ряд достоинств, которые меня привлекают. Во-первых, это раздел "Сцена", в котором много интересного из истории security. Интересны также разделы PC-Zone и Юниты, т.к. там публикуются описания интересного и порой очень нужного в работе софта.

mindw0rk: Какое из всех компьютерных зол (спам, хакатаки, вири и т.п.), по вашему мнению, в ближайшие 10 лет станет самым актуальным?

АЛ: Гибридные угрозы, совмещающие в себе сразу несколько вариантов распространения (мейл, IRC, P2P, шары, дыры в сайтах и т.п.). Но это произойдет гораздо раньше. На 10 лет я бы не стал загадывать. Если уж межсетевые экраны прошли такой путь развития всего за 14 лет своего существования, то мне трудно представить, до чего дойдет хакерская мысль в течение следующих 10 лет.