Уже несколько лет назад, приступая к разработке средств добавочной защиты информации под торговой маркой "Панцирь" (для ОС семейств Windows и Unix), в качестве основной решаемой средствами защиты конфиденциальной информации задачи, нами формулировалась и решалась задача защиты информации от возможности ее хищения санкционированным пользователем (или, как сейчас говорят, инсайдером). То, что внутренние угрозы, рано или поздно, начнут доминировать над внешними, не сложно было предположить, ввиду того, что защитить информацию от внутренних угроз не сравнимо сложнее, чем от внешних. Решение данной задачи предполагает необходимость пересмотреть ключевые требования к механизмам защиты (причем, как в части защиты информации от несанкционированного доступа, так и в части криптографической защиты, в частности, к реализации ключевой политики). Результатами наших исследований является создание новых технологий защиты информации и 14 запатентованных технических решений, используемых в разработках компании. Сегодня компьютерная обработка информации стала нормой на любом предприятии, а вычислительные средства стали основным инструментарием хранения и обработки конфиденциальной информации, которая априори является "товаром" и, соответственно, потенциальным объектом хищения. Не защищенность же информации современными системными средствами от санкционированных пользователей, переводит внутренние угрозы хищения конфиденциальной информации в разряд наиболее вероятных, что уже становится очевидным для большинства специалистов и потребителей средств защиты информации. Это обусловливает тот факт, что основной потребительской стоимостью (или назначением) современных средств добавочной защиты конфиденциальной информации становится противодействие внутренним ИТ-угрозам.

До настоящего времени, в качестве основной задачи защиты конфиденциальной информации, общепринято было рассматривать ее защиту от внешних угроз. Как следствие, это привело к кардинальному перераспределению источников угроз - доминировать стали внутренние угрозы, что очень наглядно иллюстрирует исследование Infowatch о внутренних ИТ-угрозах в России, опубликованное на сайте: www.itsec.ru от 22.11.2005 г.

Заметим, что исследования, проведенные в период с 01.09 по 15.12.2004 г., основаны на опросе представители 387 государственных и коммерческих организаций Российской Федерации, что с одной стороны, позволяет говорить об объективности полученных оценок, с другой стороны, об актуальности и о понимании специалистами и потребителями средств защиты информации рассматриваемых проблем.

Обратимся к этому исследованию и приведем основные сформулированные в нем тезисы.

Исследование "Внутренние ИТ-угрозы в России 2004" выявило целый ряд исключительно интересных фактов, которые могут представлять профессиональный интерес для специалистов в области информационной безопасности (ИБ), маркетинга и продаж:

• В России только начинает формироваться культура профессионального отношения к ИБ: лишь 16% респондентов имеет выделенные отделы ИБ. В 94% случаев эти отделы были сформированы в течение последних 2 лет.
• 62% респондентов считают, что действия инсайдеров являются самой большой угрозой для российских организаций.
• 98% считает, что нарушение конфиденциальности информации - самая большая внутренняя ИТ-угроза.
• 89% считают электронную почту самым распространенным путем утечки конфиденциальной информации.
• 67% не осведомлены о наличии инцидентов в сети организации, связанных с утечкой данных.
• 99,4% допускают возможность наличия незарегистрированных инцидентов внутренней ИБ.
• 87% считают технические средства эффективным способом защиты. Однако всего 1% респондентов используют их, в то время как 68% вообще не предпринимают никаких действий.
• Российские организации осознают опасность внутренних ИТ-угроз, но не знают как с ней бороться: 58% не осведомлены о существующих технологических решениях.
• 76% планируют внедрение систем защиты от нарушения конфиденциальности информации в ближайшие 2 года.
• Чем больше организация, тем выше озабоченность угрозой утечки конфиденциальной информации.

Теперь, в порядке иллюстрации, приведем из данного исследования некоторые статистические данные и попытаемся их прокомментировать.

Мнения респондентов практически совпадает, в части определения наиболее опасных ИТ-угроз, что проиллюстрировано на рис.1. Вместе с тем, на практике сегодня широко применяются средства защиты, отнюдь не предназначенные для противодействия этим угрозам, что иллюстрирует рис.2. Естественно, что эти результаты исследований напрямую зависимы - из рис.2 следуют результаты, представленные на рис.1.

В чем же причина сложившейся ситуации, почему большие средства затрачиваются на решение второстепенных задач защиты информации, а наиболее актуальные для сегодняшнего дня задачи продолжают оставаться нерешенными?

Ответ на этот вопрос в большой части следует из исследования, проиллюстрированного на рис.3, из которого видим, что большая часть респондентов просто не знает, как подойти к решению данных задач, при этом заметим, что доминирующая их часть вполне обоснованно считает, что решение состоит в использовании технических средств защиты компьютерной информации, что проиллюстрировано на рис.4 (а как еще защищать информацию от нарушения ее конфиденциальности, или, попросту, хищения санкционированными пользователями, т.е. теми сотрудниками предприятия, которые должны обрабатывать эту информацию в рамках выполнения своей служебной деятельности?).

Рис.1


Рис.2


Рис.3


Рис.4

Возникает вопрос - возможно респонденты просто недостаточно осведомлены о возможных путях утечки конфиденциальной информации, либо о возможностях существующих средств защиты информации, а может быть эти задачи могут быть решены встроенными средствами защиты современных ОС, например, Windows, и проблемы надуманы (хотя, объективности ради, сразу можем отметить, что если все было бы так просто, то не появилось бы и подобного исследования)?

Чтобы ответить на эти вопросы, рассмотрим, какие угрозы респонденты считают самыми опасными, что проиллюстрировано на рис.5, а пути утечки данных наиболее вероятными, что проиллюстрировано на рис.6.

В порядке замечания отметим, что если внутренние ИТ-угрозы априори всегда будут доминировать над внешними, т.к. решение задачи защиты информации от санкционированного пользователя на порядки сложнее, чем от внешних угроз, то пути утечки данных определяются возможностями средств защиты и потому, естественно, со временем их вероятность будет перераспределяться в соответствии с изменением возможностей средств защиты информации.

Рис.5


Рис.6

Из рис.5 и рис.6 можем заключить, что все проблемы респондентами прекрасно осознанны, приоритеты расставлены. Тогда, в чем же дело, почему на практике сегодня не решаются наиболее актуальные задачи защиты конфиденциальной информации? Что делать?

Тому есть ряд причин. Во-первых, в основе архитектуры защиты современных универсальных ОС (в частности, ОС семейств Windows и Unix) лежит принцип "ПОЛНОГО ДОВЕРИЯ К ПОЛЬЗОВАТЕЛЮ" (не будем в данной работе технически обосновывать данный тезис, что потребует не один десяток страниц, т.к. это касается практически любого механизма защиты современных ОС, однако, отметим, что его объективно подтверждает само наличие представленного исследования). По-видимому, это обусловливается самой историей создания данных системных средств, изначально операционные системы создавались как персональные ОС. Как следствие, наверное, не стоит ждать от разработчиков ОС быстрой адаптации возможностей механизмов защиты, встроенных в ОС, применительно к защите информации от санкционированного пользователя, т.к. решение данной задачи требует кардинального пересмотра самой архитектуры системных средств (при этом необходимо учитывать, что в современной конкурентной борьбе мало кто может себе позволить создание сложного системного средства "с нуля" - без использования наработанного десятилетиями программного кода).

На основании этого можно сделать вывод, что, по крайней мере, в ближайшее время (исчисляемое годами) решение данной задачи может осуществляться лишь добавочными средствами защиты информации.

Во-вторых, в требованиях к добавочным средствам защиты, в частности, сформулированных в соответствующих нормативных документах в области защиты информации, задача защиты информации от несанкционированных пользователей не определена, как таковая, поэтому и требования не адаптированы к решению данной задачи. Отчасти, это иллюстрируют и исследования, приведенные на рис.3 (пять процентов респондентов отметили: "отсутствие стандартов"). Как следствие, разработчики средств добавочной защиты, реализуя данные требования, что является для них обязательным, не пытаются решить рассматриваемые в работе наиболее актуальные задачи защиты конфиденциальной информации. В-третьих, как мы уже отмечали, задача защиты от санкционированного пользователя на порядки сложнее, чем от внешних угроз. Ее эффективное решение требует совершенно новых подходов при построении системы защиты, требует проведения серьезных исследований, разработки и внедрения новых технологий и технических решений по реализации основных механизмов защиты. Но далеко не все разработчики средств защиты (а точнее сказать, подавляющая их часть) обладают подобными технологиями и проводят необходимые исследования в этом направлении. Результатом этого является то, что создаваемые ими добавочные средства защиты в той или иной мере повторяют (а то и просто используют) возможности встроенных в ОС механизмов защиты, в результате чего, разрабатываемые ими добавочные средства защиты становятся бесполезными в части решения рассматриваемых здесь задач защиты информации от возможности ее хищения санкционированными пользователями - на сегодняшний день - наиболее актуальных задач защиты конфиденциальной информации.

Проиллюстрируем сказанное несколькими простыми примерами.

Если мы говорим об идентификации и аутентификации пользователя при входе в систему, то для защиты от внешней угрозы возможно решение этой задачи еще до загрузки ОС. Говоря же о защите от инсайдеров, уже необходимо усиливать этот механизм для всех возможностей входа в систему и смены текущего пользователя, предоставляемых ОС, в том числе и в режиме Safe Mode (вход в который ОС предоставляет обычному пользователю, и в котором можно просто отключить компоненты добавочной защиты). Здесь уже актуальной становится задача контроля заимствования пользователем маркеров безопасности других пользователей, контроля олицетворения маркеров безопасности и т.д. Т.е. задача многократно усложняется.

Если мы говорим о контроле доступа к ресурсам, то, прежде всего, что наиболее очевидно, появляется проблема полноценного разграничения доступа к устройствам (в части подключения устройств ОС Windows предоставляет массу возможностей, в том числе, и возможность взаимодействия с мобильным телефоном, кстати говоря, не контролируя их). А если требуется одному и тому же пользователю на одном и том же компьютере обеспечить возможность и обработки конфиденциальной информации, и работы с сетевыми ресурсами. Здесь вообще задача защиты формулируется принципиально иначе. Уже необходимо реализовать разграничение прав доступа к файловым объектам для приложений, решить задачу их изоляции (например, предотвратить возможность взаимодействия приложений с использованием буфера обмена) и т.д. Если различные пользователи на одном компьютере имеют различные права обработки информации, необходимо предотвратить возможность обмена ими информации, в частности разделить между ними файловые объекты, неразделяемые системой и приложениями, например, All Users. Задач здесь много, не будем на них детально останавливаться.

Если коснуться вопросов криптографической защиты данных, сразу возникает необходимость реализации следующих противоречивых требований к реализации ключевой политики:

• Ключ шифрования не должен храниться вместе с зашифрованными им данными;
• Ключ шифрования должен принадлежать пользователю для его ввода при доступе к зашифрованным данным;
• Ключ шифрования не должен быть известен пользователю, в противном случае невозможно воспрепятствовать санкционированному пользователю в хищении конфиденциальных данных.

Этот ряд, казалось бы, локальных требований, невыполнение любого из которых приводит к уязвимости добавочного средства защиты в рассматриваемых приложениях, делая во многом бесполезным данное средство, можно продолжить.

Однако, уже приведенных примеров, по мнению автора, вполне достаточно, чтобы сделать вывод о том, что требования к средствам защиты от внешних и от внутренних угроз кардинально различаются. Следствием этого является то, что большая часть средств защиты, в том числе и добавочной, представленных сегодня на рынке, созданных для противодействия внешним угрозам, не может применяться в данных приложениях (применяться, конечно, может, но это не только неэффективно, но, вообще говоря, во многом бессмысленно).

Вывод. Защита от внутренних угроз - это вполне самостоятельная задача защиты информации, требующая разработки инновационных технологий и новых средств добавочной защиты, а также адаптации, применительно к этой задаче, требований к средствам защиты информации, сформулированных в соответствующих нормативных документах.

Отметим, что в части реализации подобных требований сегодня на рынке можно выделить разработки ЗАО "НПП "Информационные технологии в бизнесе": Комплексная система защиты информации (КСЗИ) "Панцирь-К" для ОС Windows 2000/XP/2003 и Система защиты данных (СЗД) "Панцирь" для ОС Windows 2000/XP/2003 и это не случайно, т.к. данные средства защиты изначально создавались с целью обеспечения эффективной защиты конфиденциальной информации от возможности ее хищения санкционированными пользователями.

КСЗИ "Панцирь-К" для ОС Windows 2000/XP/2003 не только оказывает эффективное противодействие потенциально возможным атакам инсайдеров, но и в общем виде решает задачу предотвращения запуска на защищаемом вычислительном средстве вредоносных программ (троянов, черверй, вирусов и т.д.), оказывает эффективное противодействие хакерским атакам (в том числе, и за счет устранения архитектурных недостатков встроенной в ОС защиты, например, в общем виде обеспечивает противодействие атакам на расширение привилегий, за счет устранения привилегий системных пользователей, в частности, System), снижает вероятность угроз, связанных с халатностью сотрудников, исключая в принципе рядовых сотрудников (пользователей) из схемы администрирования средств защиты (в частности, как таковая исключается сущность "Владелец" объекта в механизмах контроля доступа к ресурсам). Таким образом, следуя рис.1, можем утверждать, что данное средство нацелено на решение наиболее актуальных сегодня задач защиты конфиденциальной информации.

СЗД "Панцирь" для ОС Windows 2000/XP/2003, поставляемое разработчиком и как самостоятельное средство защиты, и в качестве компонента КСЗИ "Панцирь-К" для ОС Windows 2000/XP/2003, реализует функции шифрования/расшифрования данных "на лету", при этом защищаемыми объектами (для которых устанавливается атрибут "Шифрование") могут выступать любые объекты файловой системы (диски, каталоги, папки, файлы) на жестком диске и внешних накопителях, причем, как локальные, так и разделенные в сети (при шифровании/расшифровании удаленных объектов, данные по сети передаются в зашифрованном виде). Принципиальное отличие (кроме функциональных возможностей) от аналогов данного средства состоит в реализуемых ключевых политиках, адаптированных к защите информации от инсайдеров. Реализуемые в СЗД "Панцирь" для ОС Windows 2000/XP/2003 политики хранения и ввода ключевой информации не позволят злоумышленнику, даже имея зашифрованные данные, ключ шифрования и средство защиты, несанкционированно раскрыть (расшифровать) эти данные, даже в случае хищения с предприятия собственно компьютера, на котором хранятся и обрабатываются эти данные.

В порядке замечания отметим, что со средствами защиты Комплексная система защиты информации (КСЗИ) "Панцирь-К" для ОС Windows 2000/XP/2003 и Система защиты данных (СЗД) "Панцирь" для ОС Windows 2000/XP/2003, а также с технологиями и запатентованными техническими решениями, которые могут эффективно использоваться в части защиты информации от санкционированных пользователей (инсайдеров), заинтересованный читатель может познакомиться на сайте компании: www.npp-itb.spb.ru, либо может обратиться с соответствующим запросом по почте, по адресу: info@npp-itb.spb.ru.

Таким образом, на вопрос "Что делать?", сформулированный в названии статьи, можем ответить - использовать добавочные средства защиты, ориентированные на решение рассматриваемых в статье задач. Технологические решения данных задач, основанные на использовании новых технологий защиты информации и на применении новых (запатентованных) технических решений, существуют и апробированы - осталось только ими воспользоваться!

В заключение отметим, что все чаще потенциальные потребители средств защиты информации стали нам задавать вопрос: в чем состоит отличие возможностей разработанных компанией средств защиты от возможностей предоставляемых встроенными в ОС механизмами защиты? Особенно данные вопросы участились после проведения сертификации (заметим, не доработки) ОС Windows XP и Windows 2003 по требованиям информационной безопасности, что позволяет теперь считать эти системные средства защищенными и использовать их в обработке конфиденциальной информации без обязательного применения добавочных средств защиты информации.

Наверное, в рамках данной статьи будет уместным в очередной раз ответить на этот вопрос. Наши добавочные средства не только устраняют принципиальные архитектурные недостатки встроенной в ОС защиты, делающие их уязвимыми и со стороны внешних угроз (о чем автор неоднократно отмечал в своих работах), но и призваны решать совершенно иные задачи, в частности, задачи, противодействия внутренним угрозам, рассмотренные в данной статье (для решения которых встроенные в современные универсальные ОС механизмы защиты не применимы в принципе), актуальность которых, как видим, уже не вызывает сомнений у специалистов и потенциальных потребителей средств защиты информации. Поэтому подобный вопрос некорректен априори, наши добавочные средства защиты информации применяются для решения иных задач, чем встроенные в современные универсальные ОС механизмы защиты информации.

Д.т.н, проф. А.Ю.Щеглов
ЗАО "НПП "Информационные технологии в бизнесе"
info@npp-itb.spb.ru

обсудить  |  все отзывы (0)
Выберите оценку 10 (изумительно) 9 (отлично) 8 (хорошо) 7 (неплохо) 6 (средненько) 5 (сойдет) 4 (так себе) 3 (слабо) 2 (плохо) 1 (отвратительно) Вернуться в раздел Перейти к рейтингу Перейти к обсуждению Вернуться к статье	[19827; 2; 8.5]