ТЕРМИНЫ
За последние полгода-год я обратил внимание на ряд статей разных авторов, посвященных такой непростой задаче, как доказательство возможности разработки абсолютно защищенной системы. Некоторые компании уже даже выпускают системы, рекламируя их как "абсолютно защищенные". Чаще всего такие заявления делают фирмы, занимающиеся криптографической защитой. К ним относится, в частности, компания Meganet (www.meganet.com), создавшая Virtual Matrix Encryption и TriStrata Securities. Однако и в далеких от криптографии областях регулярно всплывают фирмы, сообщающие о революции в области информационной безопасности и создании абсолютно защищенной системы. Так, компания AlphaShield (www.alphashield.com) выпустила одноименное устройство и даже гарантирует возврат денег, если ее систему взломают.
Но это все небольшие компании, которые, выйдя на уже поделенный рынок, пытаются привлечь к себе внимание любыми способами. А что же крупные и известные игроки этого рынка? И здесь есть свои герои. Например, такой гранд в области информационной безопасности, как Symantec, проводил в июле семинар "Абсолютная защита корпоративной сети предприятия на основе интегрированных решений Symantec". Может быть, специалисты Symantec знают что-то такое, что действительно позволяет им создавать неприступную систему обороны ИС любой компании?
Попробуем показать, почему абсолютной защиты не существует. В качестве примера для рассуждения возьмем обычную сеть (аналогичные рассуждения применимы к любой системе или объекту) обычной компании. Вероятность взлома такой сети внешним хакером или внутренним злоумышленником зависит по крайней мере от трех параметров. Первый параметр - эффективность средств, защищающих сеть, или, иными словами, вероятность их взлома или обхода. Таких средств может быть несколько - системы обнаружения атак, антивирусные системы, системы контроля содержимого и т. п., а может быть и так, что линия обороны состоит только из единственного межсетевого экрана (к сожалению, это самый распространенный вариант).
Данный параметр никогда не будет равен максимальному значению - единице. Связано это с тем, что нет систем, лишенных ошибок и уязвимостей. Ведь людям, создающим их, свойственно ошибаться, и эти ошибки могут стоить очень дорого. Однако и нулю этот параметр равен быть не может, какой-то уровень защиты эти средства обеспечивают (а иначе зачем они нужны?).
Второй параметр, влияющий на защищенность сети, - это уже не качество реализации, а качество настройки и конфигурации системы защиты. На него также влияет человеческий фактор, но поскольку число возможных настроек несоизмеримо меньше числа строк программного кода в системе, то максимальное значение этого параметра, единица, вполне достижимо. По умолчанию это значение не равно нулю: обычно система защиты как-то настроена (пусть и не самым лучшим образом).
И наконец, третий параметр - быстрота реагирования на атаки злоумышленников не только со стороны автоматизированных средств защиты, но и со стороны специалистов по безопасности. Расторопный администратор даже пропущенную периметровыми защитными системами атаку способен вовремя заметить и предотвратить ее разрушительные воздействия. Этот вероятностный параметр, как и предыдущий, может быть равен единице.
Перемножив показатели, получаем, что вероятность защиты от взлома или обхода защитной системы никогда не будет равна единице, т. е. создать абсолютно защищенную систему в принципе нельзя.
Отсюда следует несколько интересных выводов. Во-первых, абсолютно защищенную сеть создать никому не удастся до тех пор, пока вероятность взлома системы защиты не достигнет нулевого значения (и наоборот - пока эффективность защиты не достигнет единицы). А это возможно лишь в том случае, если устранить из процесса разработки защитного средства или механизма (как и из создания системы вообще) человеческий фактор, являющийся главной причиной всех ошибок. Очевидно, что на современном этапе развития науки и информационных технологий это сделать нельзя.
Во-вторых, надежность даже суперзащищенной системы может быть сведена на нет некачественной или неграмотной настройкой (т. е. если второй из описанных выше параметров не равен единице). Любая система требует квалифицированного персонала, не только знающего, но и умеющего грамотно настраивать средства защиты. (Это лишний раз доказывает необходимость обучения.) Приведу такую аналогию. Если на двери стоит сверхсекретный замок, но вы просто забыли его запереть, то о какой защите может идти речь?
В-третьих, несвоевременное реагирование (или его отсутствие) на попытки проникновения в корпоративную сеть также делает ее незащищенной.
В заключение повторю, что абсолютной защиты не существует, что бы вам ни рассказывали продавцы межсетевых экранов, антивирусов и других систем безопасности. В любой ситуации всегда присутствует человеческий фактор, который и вносит в стройную на бумаге картину массу проблем, нарушающих с трудом найденный паритет между обороной и нападением.
С Алексеем Лукацким можно связаться по адресу: luka@infosec.ru.
