SecretsSaver - как система защиты от инсайдеров

В последнее время проблемы защиты информации привлекают к себе все большее внимание IT-специалистов, сотрудников служб безопасности и топ-менеджеров компаний. Ставшие практически регулярными вирусные эпидемии, взломы сайтов и утечки информации происходящие в крупнейших компаниях, обеспечили темам посвященным компьютерной безопасности присутствие на страницах практически всех средств массовой информации.

Это приводит к значительному росту рынка продуктов предназначенных для предотвращения различного рода угроз, направленных на информационную систему предприятия. Анализ продуктов представленных на рынке копьютерной безопасности, показывает, что наибольший ассортимент предлагается в области програмных и аппаратных межсетевых экранов и антивирусных средств. И именно темам защиты периметра и борьбы с вирусами, троянами и спамом посвящена большая часть литературы об организации систем информационной безопасности. Таким образом внимание специалистов концентрируется в основном на внешних угрозах.

Однако по данным совместного исследования Computer Security Institute и ФБР (CSI/FBI Computer Crime and Security Survey), объем потерь от утечки информации 1000 участвовавших в опросе предприятий США, составил более $70 млн. Этот показатель значительно опередил другие ИТ-угрозы, в том числе вирусы ($27 млн.), хакерские атаки ($65 млн.), финансовые мошенничества ($10 млн.) и составил около 40% общего объема зарегистрированного ущерба. Согласно тому же исследованию, средний размер потери от действий инсайдеров составил $300 тыс., при максимальном размере $1,5 млн. К аналогичным выводам пришла и компания Ernst&Young, подтвердив наметившиеся тенденции данными ежегодного исследования проблем ИТ-безопасности (Global Information Security Survey 2004). Именно в области внутренних угроз наблюдается наибольший рост озабоченности ИТ-профессионалов. Респонденты поставили эту проблему на второе место в списке наиболее серьезных опасностей. 60% опрошенных заявили, что неправомерные действия сотрудников действительно представляют угрозу нормальному функционированию информационных систем. Этот показатель опередил такие "громкие" темы, как спам (56%), DoS-атаки (48%), финансовое мошенничество (45%) и бреши в системах безопасности ПО (39%) и уступил лишь угрозе со стороны вирусов и червей (77%).

Таким образом значительная часть ущерба от нарушений в области информационной безопасности, происходит в следствии утечки и хищения (кражи) информации, т.е. угроз исходящих от сотрудников предприятия.

Наиболее часто используемые способы защиты.

Рынок систем защиты против утечки и кражи информации только начинает формироваться. Наиболее распространенным семейством программных средств предлагаемым в качестве противодействия нелояльным сотрудникам, являются различные контекстные анализаторы трафика, реализованные как в качестве самостоятельных продуктов, так и в качестве модулей расширяющих функциональность файерволов и прокси-серверов. Даже не вдаваясь в подробный анализ конкретных продуктов, очевидно, что анализаторы трафика способны только частично решить проблему случайной утечки информации. Во-первых - они просто физически не закрывают такие каналы передачи информации, как беспроводные сети (Bluetooth, wi-fi) и сменные носители различных типов (дискеты, флеш-диски и т.д.). Во-вторых – анализаторы не позволяют гарантировнно предотвратить кражу информации путем передачи ее по сети (например практически любой анализатор можно обойти используя стеганографию).

Другим способом защиты является чисто административный - физическое отключение дисководов для гибких и компакт дисков, а также опломбирование USB портов. В сочетании с отключением сети, в которой обрабатывается конфиденциальная  информация, от внешних сетей, подобный подход является возможно максимально надежным решением рассматриваемой проблемы. С другой стороны применение подобных мер не только крайне не удобно, но еще и не всегда возможно чисто технически. Например, когда через USB-порт подключаются клавиатура и мышь.

В качестве альтернативы административных мер можно рассмотреть появившеесе в последнее время программное обеспечение позволяющее осуществлять контроль доступа к сменным носителям путем настройки прав доступа пользователя на дисководы и различные порты ввода/вывода. Пожалуй единственными преимуществами подобного ПО перед административными мерами, является возможность централизованного удаленного управления и возможность устанавливать различным сотрудникам персональные права доступа к устройствам компьютера. С учетом того, что в большинстве случаев, на компьютере работает только один сотрудник, последнее не очень актуально.

Система Защиты Информации SecretsSaver.

Принципиально иной подход противодействия утечкам информации и кражам конфиденциальной информации сотрудниками, реализован в Системе Защиты Информации (СЗИ) SecretsSaver.

Возможности предоставляемые СЗИ SecretsSaver:

— реализовать полномочный контроль доступа к сменным носителям информации, таким как дискеты, usb- флеш-диски и т.п.;

— ограничить доступ к конфиденциальной информации сотрудников ИТ-подразделений;
— разделять информацию хранящуюся как на рабочих станциях сотрудников, так и на серверах по степени секретности;
— присвоить каждому сотруднику предприятия персональный уровень доступа к информации;
— ограничить несанкционированное распространение информации на основе степени секретности информации и уровней доступа сотрудников;
— динамически регулировать права доступа сотрудников к устройствам переноса информации (дискеты, флеш-диски, интернет) в зависимости от уровня доступа сотрудника и уровней секретности документов с которыми ведется работа.
— предоставлять полную историю работы с конфиденциальной информацией;

Из приведенного описания видно, что в основе механизмов реализуемых SecretsSaver лежит разделение информации по степеням секретности, а сотрудников предприятия по уровням допуска. По умолчанию в системе существуют следующие степени секретности информации (грифы) – общедостпная, служебная и секретная. Для сотрудников предусмотрены следующие типы уровней допуска:

— Уровень Доступа Пользователя (UAL) - определяет максимальный гриф информации, доступ к которой может получить сотрудник;
— Уровень Доступа к Сети (NAL) - определяет максимальный гриф информации, которую сотрудник может передавать по сети;
— Уровень Доступа к Сменным Носителям (RMAL) - определяет максимальный гриф информации, которую сотрудник может копировать на внешние носители.

Кроме этого вводится Уровень Безопасности Компьютера (CSL) – который определяет максимальный гриф документа, который можно открыть на данном ПК; это необходимо для предотвращения например ситуации, когда пользователь с высоким уровнем полномочий, открывает на компьютере менее доверенного сотрудника, секретный документ, в следствии чего к этому документу может быть получен не санкционированный доступ. Еще одним эффектом от введения Уровня Безопасности Компьютера является противодействие хищению конфиденциальных данных шпионскими программами

Для информации предоставляемой серверами с помощью технологии клиент-сервер (например 1С, SharePoint, Axapta и т.п.), вводится уровень конфиденциальности сервера (CISL) – который определяет гриф информации, хранящейся на данном сервере, к которой предоставлен сетевой доступ. Попытка подключения к такому серверу обрабатывается SecretsSaver также, как попытка открыть локальный документ гриф которого равен CISL сервера.

Таким образом SecretsSaver не только позволяет ограничивать доступ сотрудников к информации – эта возможность присутствует практически во всех современных операционных системах, но и позволяет ограничить возможность перемещения информации в зависимости от уровня ее важности и прав сотрудника, что значительно затрудняет не только хищение информации сотрудниками включая ИТ-персонал, но также значительно снижает вероятность кражи информации с помощью различного шпионского ПО.

Установка и настройка

СЗИ SecretsSaverфункционирует в домене Windows 2000/2003, на рабочих станциях под управлением ОС windows 2000/XP/2003.

Инсталяция выполняется под учетной записью администратора домена, в два этапа. Первый этап – с помощью программы установки SecretsSaver.exe, она подготавливает домен и устанавливает консоль управления, установка максимально простая, можно просто оставить все настройки по умолчанию. Второй этап – установка агентов на рабочие станции, выполняется из консоли управления.

После запуска Консоль Управления, запрашивает путь к файлу с ключами, которые используются для шифрования параметров SecretsSaver, а также для разграничения доступа на запись к этим параметрам. Если ключевой файл отсутствует, то доступ возможен только в режиме просмотра. Вид консоли представлен на скриншоте 1.

Users – при выборе, в правой части отображаются пользователи домена, для которых показаны их уровни доступа

Computers – при выборе, в правой части отображаются компьютеры домена, для которых показаны их уровни безопасности

Event Logs:
Access to documents – при выборе, в правой части отображаются попытки доступа и передачи информации;
Logon/Logoff – при выборе, в правой части отображаются попытки входа и выхода;
Agents – отображает техническую информацию о работе агентов;
Console – отображает техническую информацию о работе консоли.

После первого запуска необходимо создать ключевой файл. Для открытия диалога создания нового ключа доступа, необходимо выбрать пункт меню
Settings->AccessKey.

Для инсталяции Агента, необходимо перейти в раздел Computers, выбрать в списке компьютер, на который должен быть установлен Агент и нажать кнопку (либо выбрать Install в контекстном меню). Если установка прошла успешно, статус компьютера (последний столбец) изменится на “installed, reboot need”. Для завершения установки нажмите кнопку (либо выберите пункт Reboot контекстного меню). После перезагрузки (от одной до пяти минут) нажмите кнопку (либо выберите пункт Refresh контекстного меню). Статус компьютера должен измениться на Running. Если во время инсталяции агента, или выполнения любой другой опреации в консоле управления, произойдет ошибка, подробную информацию о ней следует искать в разделах Log->Agents и Log->Console.

Для измения уровней доступа пользователей и уровней безопасности компьютеров, выберите нужный объект в соответствующем разделе и вызовите диалог настройки с помощью кнопки или соответствующего пункта в контекстном меню.

Просмотреть историю работы сотрудников с информацией, можно в разделе
Log->Access to documents, а журналы входов/выходов сотрудников в систему в разделе Log->Logon/Logoff.

Пример использования

В качестве примера рассмотрим фирму занимающуюся оптовой торговлей. Пусть фирма имеет следующую структуру:

Уровни доступа распределим следующим образом

Также должен быть сервер например для 1С, на котором хранятся данные бухгалтерии. Для него необходимо установить значение CISL равным «секретно». Разграничение доступа к информации одинакового уровня секретности осуществляется с помощью стандартных средств управления доступом ОС Windows.

Теперь сотрудники смогут работать с документами на своих рабочих местах, и переносить их на компьютеры имеющие подходящий, т.е. меньший или равный уровень безопасности. Но только руководители отделов смогут перемещать информацию за пределы информационной системы предприятия, используя сменные носители. Причем о каждом факте копирования информации будет сделана соответствующая запись в журнале доступа.

Запрет передачи информации имеющей уровень секретности выше чем "общедоступный" по сети, защитит от хищения бизнес-данных троянами и подобными шпионскими программами. Следует подчеркнуть, что возможность передачи по сети информации на компьютеры, имеющие уровень безопасности выше чем "общедоступно" остается.

Особое внимание необходимо обратить на то, что сотрудники ИТ-отдела имеют минимальный уровень доступа. Для выполнения своих обязанностей ИТ-персоналу совершенно не нужен доступ к бизнес-информации предприятия, и тем не менее в любой фирме администратор сети может получить доступ практически к любой информации. SecretsSaver не устраняет полностью угрозы хищения информации ИТ-персоналом, но тем не менее он способен, особенно в сочетании с грамотно составленными административными мерами, значительно осложнить задачу шпиона. Например, после внедрения СЗИ SecretsSaver, документ с грифом «секретно», уже нельзя будет просто скопировать с компьютера руководителя отдела по сети, и установленный троян в этом случае тоже не поможет. Потребуется гораздо более глубокое вмешательство в работу системы, которое гораздо сложнее оставить незамеченным.

Таким образом можно сделать вывод, что внедрив на предприятии СЗИ SecretsSaver, можно резко сократить число лиц, имеющих возможность выносить информацию за пределы предприятия, и практически устранить возможность сделать это не заметно.