Защита компьютерных систем

ПРОЕКТЫ

Экспертам по информационной безопасности очень часто приходится сталкиваться с тем, что пользователи пренебрегают самыми банальными мерами безопасности, которые при минимальных затратах вполне эффективно защищают от простых атак, а таковых в общем числе атак - подавляющее большинство. В нашем материале мы рассмотрим функциональность и особенности выбора ПО для обеспечения безопасности, представленного на российском рынке в настоящее время, и обозначим критерии, опираясь на которые можно выстроить полноценную систему защиты. Обзор ориентирован на частных пользователей и администраторов небольших локальных сетей.

Иерархия безопасности

Для построения грамотной системы безопасности целесообразно, на наш взгляд, выстраивать ее в виде нескольких рубежей, каждый из которых будет прикрывать свое направление.

Первую линию обороны компьютерной системы образуют организационные меры - вроде бы банальные и простые, но тем не менее действенные и необходимые для любой компании или домашнего офиса. Статистика специальных служб РФ и США, занимающихся расследованием компьютерных преступлений, свидетельствует: примерно в половине случаев несанкционированного доступа виновными являются либо сослуживцы, либо (если речь идет о домашнем компьютере) родственники и знакомые, которым не надо преодолевать сложные сетевые экраны или искать незащищенную кабельную линию для подключения, слушать эфир в надежде, что пользователь перешлет пароль для доступа к сети по Wi-Fi в открытом виде. Им достаточно просто подойти в отсутствие хозяина к компьютеру, ведь как получить к нему доступ, они уже давно знают. Поэтому первый шаг - это парольная защита.

В идеальном случае паролей должно быть два - для доступа к загрузке операционной системы на ПК и для доступа к собственной учетной записи, которая активирует ту или иную конфигурацию разрешенных ресурсов локальной сети. Дома на рабочей станции или на ноутбуке будет полезно установить пароль в BIOS и запретить запуск компьютера с любых устройств, кроме жесткого диска (если это невозможно, стоит поставить жесткий диск в качестве первого загрузочного устройства).

Есть и более надежный вариант - специальные USB-ключи и смарт-карты. Правда, подойдут они лишь компаниям с количеством пользователей больше 20-30 человек, иначе стоимость самой системы просто не окупается. В этой ситуации всем пользователям выдаются индивидуально закодированные миниатюрные ключи с USB-разъемом, с помощью которых они могут получить доступ к той или иной компьютерной технике, установленной в офисе. Это позволяет обходиться без дорогостоящих сканеров отпечатков пальцев или радужной оболочки глаза (эти решения обычно инсталлируют при разграничении доступа в научные лаборатории, банковские хранилища, в серверные комнаты с дорогостоящим оборудованием и т. д.) и одновременно весьма существенно повысить уровень защиты системы разграничения доступа.

Вторая линия обороны - грамотная настройка ПО. Во-первых, это выбор операционной системы. Не секрет, что наиболее распространенными средствами являются продукты корпорации Microsoft (Windows XP, Windows NT, потенциально - Windows Vista), хотя они и страдают от собственной популярности - большинство вирусов создано исключительно для этих ОС, а подавляющее большинство хакеров специализируется на поиске "дыр" именно для программ данного производителя. Впрочем, стоит ли переходить на Linux и Mac OS X - большой вопрос. Для того чтобы можно было реально взвесить все "за" и "против", мы изложили основные моменты безопасности в табл. 1.

Таблица 1. Сильные и слабые стороны систем безопасности наиболее распространенных операционных систем

Во-вторых, работа с прикладными программами. К примеру, Internet Explorer и Outlook Express - самое распространенное ПО для доступа к ресурсам сети Интернет и к электронной почте не только среди пользователей, но и среди хакеров и спамеров, пристально изучающих программный код этих приложений для поиска всевозможных уязвимостей. Чтобы избежать непрошеных "всплывающих окон" и "хелперов" (которые могут содержать вредоносный код, загружающийся с помощью веб-скриптов), а также рекламного ПО, при замене информации на домашней странице необходимо, как минимум, усилить режим безопасности. Для этого в настройках браузера стоит отказаться от установки элементов управления ActiveX, которые предлагается загрузить на некоторых веб-страницах, а в программе электронной почты предусмотреть возможность просмотра заголовков писем до их загрузки на пользовательский компьютер. Многие эксперты по безопасности советуют поступить еще более радикально - отказаться от Internet Explorer в пользу другого браузера, не поддерживающего ActiveX, например Mozilla или Opera, а Outlook Express заменить на The Bat. Учитывая тот факт, что возможности данных программ весьма широки, это имеет смысл сделать.

Третий рубеж обороны - настройка специальных защитных программ. Обычно для качественной защиты большинства пользовательских рабочих станций хватает программ двух классов - брандмауэров и антивирусов.

Надо отметить, что программы-брандмауэры - это довольно серьезное ПО, контролирующее запросы тех установленных на компьютере пользователя прикладных программ, что пытаются взаимодействовать с глобальной или локальной сетью, проверяя корректность таких запросов. Это своеобразные "стражи", "фильтры", которые соотносят функциональное предназначение прикладных программных средств и выдаваемых ими запросов во внешнюю среду. При некорректном поведении прикладного ПО брандмауэр запрещает такой запрос и сигнализирует об этом пользователю.

Антивирусы защищают компьютер от вредоносных программ, способных повредить рабочие программы, файлы данных, вывести из строя как отдельную рабочую станцию, так и локальную сеть. Многие антивирусы в последнее время поставляются в виде специальных интегрированных комплексов, в которых наряду с программами-сканерами, антивирусными мониторами и базами вирусных сигнатур присутствует защита от спама, шпионского ПО, фишинга и т. д. На наш взгляд, расширение функциональности таких комплексов следует только приветствовать, ведь благодаря этому пользователь получит единое решение вместо разрозненных программ. Об особенностях выбора этих программных средств мы поговорим более подробно в следующих разделах.

И наконец, четвертый уровень безопасности - безопасность беспроводных точек доступа (хотспотов). Учитывая, что в России пока больше распространено проводное широкополосное подключение к сети Интернет, в настоящий момент мы считаем этот пункт опциональным. Принимая во внимание ту частоту, с которой пользователи заявляют о найденных ими дома, на работе или в кафе незащищенных сетях Wi-Fi, либо о том, что кто-то другой пытается войти в их собственные сети, исследователи из американской компании ABI Research, изучавшие эту проблему в 2006 г., делают неутешительный вывод: "Большинство схем безопасности Wi-Fi настолько трудно настроить, что зачастую люди бросают это занятие на полпути, а многие просто сдаются, открывая свои WLAN для любого желающего" (см. PC Week Mobile, N 5-6/2006, с. 12-13). В этой связи необходимо произвести несколько относительно простых действий, причем осуществить их может даже человек, не обладающий специальными знаниями в области информационной безопасности.

Во-первых, если вы используете точку доступа, которая имеет свой IP-адрес и управляется через Web-интерфейс, обязательно поменяйте пароль доступа к настройкам, установленный в этой точке по умолчанию. Дополнительно к паролю активируйте фильтрацию по MAC-адресу. Поскольку это уникальный и неповторимый адрес (узнать его можно в сетевых соединениях или в информации о сетевой карте компьютера), фактически создается список "дружественных" компьютеров, которым разрешено подключение к вашему хотспоту. Для полного счастья стоит установить еще и VPN (Virtual Private Network), что значительно усилит оборону от посторонних внедрений. Во-вторых, отключите трансляцию заголовка (SSID) сети. Известно, что в нормальном режиме точка доступа вещает свой сетевой идентификатор, чтобы любой, кто выполняет поиск беспроводных сетей, мог ее найти и четко определить границы вещания. Заодно смените имя своей сети, выставленное по умолчанию, - тогда подключиться к вашей сети сможет только тот, кто заранее знает это имя, а найти и взломать беспроводную сеть станет гораздо сложнее.

В-третьих, для защиты данных по пути от одного сетевого контроллера к другому зашифруйте их - для этого на всех устройствах установите соответствующий протокол и ключи к нему. Самый простой способ - использование протокола WEP (Wired Equivalence Privacy). Степень защиты определяется длиной ключа (64, 128 или 256 бит), что позволяет добиться такого же уровня безопасности, что и в случае проводных сетей. В современном сетевом оборудовании можно записывать несколько WEP-ключей и выбирать из них активный по согласованию с клиентами. Ну и, естественно, задаваемые при подключении пароли должны включать в себя буквы, цифры и специальные символы.

Выбор средств безопасности

Брандмауэры (межсетевые экраны) - надежное средство обеспечения безопасности, которое важно правильно использовать. Оговоримся, что в данном обзоре мы будем рассматривать только программные решения, предназначенные для частных лиц. Наиболее интересными из представленных на рынке можно считать продукты Outpost, KIS и Comodo - судя по регулярно обновляемому рейтингу Firewall Leak Tester, они обеспечивают полноценную и надежную защиту компьютеров от хакерских нападений извне и блокируют передачу информации от вирусных и шпионских программ в глобальную сеть Интернет (см. табл. 2).

Таблица 2. Рейтинг рабочих качеств брандмауэров по блокировке внешних и внутренних атак

Межсетевой экран должен обеспечивать контроль информационных потоков, при этом его работа должна быть прозрачна для пользователя - не секрет, что ложные срабатывания, многократные подтверждения доступа и слишком долгая проверка файлов, отправляемых по электронной почте, приводят к тому, что надоедливую систему, если хватает прав администрирования, просто-напросто отключают. Таким образом, брандмауэр, на наш взгляд, должен обладать всего несколькими важными функциями.

Во-первых, это блокировка большинства типов внешних атак, включая сканирование портов, IP-спуффинг, распределенные атаки на отказ в обслуживании типа DoS (Denial of Service), подбор паролей и пр., а также блокировка утечки информации, даже если вредоносный код уже проник в компьютер (необязательно через сеть, а например, в виде вируса на купленном пиратском CD).

Во-вторых, это контроль приложений. У компьютера, подключенного к глобальной сети, особенно по каналу широкополосного доступа, имеется много открытых портов, которые могут стать местом утечки информации. Скажем, интернет-браузер может и должен получать информацию с удаленных узлов глобальной сети, а вот какому-нибудь драйверу принтера или системной утилите настройки шрифтов нет совершенно никакой необходимости каждое утро пересылать некоторый набор данных на удаленный FTP-сервер.

В-третьих - поддержка зональной защиты. Довольно часто работа в локальной сети компании подразумевает высокую степень доверия к локальному контенту, благодаря чему уменьшается количество проверок и увеличивается скорость обмена информацией. С другой стороны, скорость доступа в Интернет меньше, да и уровень доверия к интернет-контенту значительно ниже. Поэтому брандмауэр должен уметь поддерживать динамические настройки безопасности в зависимости от типа узлов, с которыми общается компьютер пользователя. Рекомендуется распределить брандмауэры таким образом, чтобы не только отделять ими внутреннюю сеть от агрессивной среды глобальной сети Интернет, но и расположить локальные ресурсы по принципу герметичных отсеков подводной лодки - т. е. устанавливать их как на локальных рабочих станциях, так и на серверах электронной почты, в файловых хранилищах и т. д., причем с разными настройками безопасности, в зависимости от того, с каким типом трафика (локальным или внешним) им придется иметь дело.

Персональная защита от вредоносного ПО

С выбором антивируса в отличие от межсетевого экрана у пользователя хлопот будет побольше. Если раньше эти программы делились на классы (сканеры, мониторы и т. д.), то сейчас все продается по принципу "много в одном". ПО соответствующего класса стало многофункциональным и создается на основе модели всеохватности - фактически покупать по отдельности вакцину, программу-сканер или программу-монитор уже нет смысла, да и мало кто создает отдельные решения, разве что только для локализации эпидемий определенных вирусов. В табл. 3 представлены 13 антивирусов, выдержавших несколько жестких тестовых испытаний, проводившихся Virus Bulletin.    

Таблица 3. Рейтинг "боевых" качеств антивирусов в реальных условиях агрессивной информационной среды

     Хочется отметить трудоемкость создания и поддержки в боевом режиме эвристического анализатора (основного действенного оружия, с помощью которого любой антивирусный программный комплекс распознает действия вредоносных программ) и необходимость содержания довольно значительной группы разработчиков, выпускающих обновления для антивирусных баз в оперативном режиме и создающих программный код для дополнительных программ-спутников (к примеру, защитников от спама).

Немаловажный момент при выборе подобной программы - надежность срабатывания антивирусного средства. Кроме как просмотром результатов независимых тестов, это, к сожалению, никак не определить. По мнению аналитиков Virus Bulletin, количество записей в антивирусной базе является чисто внутренним параметром конкретного антивируса и не может адекватно отражать его надежность. Для идентификации одного и того же экземпляра вируса различным антивирусам требуется разное количество записей своей антивирусной базы. При этом чем совершенней алгоритм антивируса, тем меньше записей он использует; таким образом, погоня многих разработчиков за большим числом записей о вирусах с целью придания своему продукту более значимого веса в глазах пользователей и аналитиков рынка приводит к тому, что в базу вносится немалое число вредоносных программ, которые, впрочем, не представляют никакой реальной угрозы. Такие "вирусы" (они, к слову, могут быть шпионскими программами или неудачными рекламными скриптами) существуют только в коллекциях разработчиков и не встречаются в "диком" виде.

Антивирусные программы должны уметь работать в режиме мониторинга и своевременно перехватывать весь поток входящих данных - как минимум, осуществлять оперативную проверку загружаемых веб-страниц, электронной почты (как самих почтовых баз, так и аттачей), сообщений и аттачей интернет-пейджеров (ICQ и MSN, если они разрешены в офисной сети), а также файлов, передаваемых через коммуникационные программы типа Skype. И конечно, требуется безусловная проверка любого типа электронного носителя, который пользователь пытается установить на свою рабочую станцию (чаще всего USB-накопитель, реже - CD- или DVD-диск). Кстати, желательно, чтобы такой антивирус умел "сотрудничать" с рабочими станциями Windows 98/Me/2000/ NT/XP и Linux.

При подборе антивирусной программы для небольшой или средней локальной сети необходимо обратить внимание на грамотную интеграцию подобного ПО - обязательна поддержка файловых серверов Windows NT 4.0/2000/2003 Server, Novell NetWare, Linux, FreeBSD/ OpenBSD и, возможно, Samba Server, почтовых систем Microsoft Exchange 2000/2003, Lotus Notes/Domino, а также Sendmail, Qmail, Postfix, Exim и интернет-шлюзов Microsoft ISA Server и CheckPoint Firewall. Желателен интерфейс на русском языке - дело в том, что обычно программы-клиенты, даже подчиняясь централизованной политике безопасности, часто спрашивают у конкретного владельца компьютера, что делать с зараженными файлами; пользователь, естественно, должен это понимать.

Защита мобильных устройств

Информационная безопасность мобильных компьютеров и смартфонов - задача, которая серьезно отличается по степени сложности от обеспечения безопасности обычных рабочих станций. Большинство распространенных мобильных устройств обладает браузерами, хранилищами для файлов и средствами работы с электронной почтой. Однако просвещенность пользователей в области безопасной работы таких устройств находится на крайне низкой отметке.

Коммуникации в мобильных устройствах (GPRS, Bluetooth, MMS, IrDA, Wi-Fi и т. д.) имеют слабую защиту. К примеру, почти у любого коммуникатора в фабричных настройках предусмотрена возможность принимать все передачи по ИК-порту, на прием без авторизации работает Bluetooth, а сообщения MMS (Multimedia Messaging Service) загружаются на устройство по умолчанию и без просмотра заголовков. Это позволяет вытащить из данного устройства любое количество информации, даже без разрешения владельца.

При обеспечении безопасности мобильных устройств следует обратить пристальное внимание на ту информацию, которую стоит защищать, - как и в обычном компьютере, это файлы данных и электронная почта, но есть и специфические записи - списки деловых контактов, пароли. Обеспечить их безопасность можно по-разному. К примеру, для защиты списков деловых контактов можно использовать помимо обычного пароля специальные решения ( для Pocket PC, допустим, подойдет решение CodeWallet Pro компании DeveloperOne).

С электронной почтой сложнее - большинство систем шифрования быстро "подвесят" слабый процессор КПК, поэтому подбирать ПО нужно в индивидуальном порядке, и к тому же надо активировать запрет на загрузку вложенных файлов в мобильные устройства (запретить сотрудникам посылать почтовые сообщения с конфиденциальными деловыми данными с мобильных устройств все равно практически невозможно). Такое ограничение можно установить в большинстве устройств, и обычно оно не вызывает возражений, так как вложенные файлы загружаются медленно. Для защиты ящика голосовой почты (в которой, надо отметить, может содержаться довольно большое количество оперативно-коммерческой или приватной информации) имеет смысл активировать хотя бы простой пароль из четырех символов и не сохранять комбинацию этих клавиш в процедуре быстрого доступа с помощью одной кнопки.

Кроме всего прочего есть еще один тип данных, подверженный весьма существенной вероятности похищения из-за своей высокой ценности и малого объема, - это всевозможные секретные коды (пароли, номера кредитных карт, коды предупреждений и комбинации цифр для сейфов), которые, как правило, записываются пользователями в текстовый файл в явном виде. Защитить данные в таком случае можно с помощью специального ПО - при его активации они не будут потеряны ни в случае вирусной атаки, ни в случае кражи. Все это относится, например, к программам Keyring для Palm OS (бесплатная утилита, обеспечивающая шифрование по методу triple-DES со 112-разрядным ключом, генерируемым из пароля) или KeePass для Pocket PC (это также бесплатная утилита, использующая алгоритмы шифрования Advanced Encryption Standard, AES, и Twofish).

В каждое мобильное устройство необходимо инсталлировать антивирусную программу (решения от "Лаборатории Касперского", F-Secure, McAfee, Symantec и т. д.). Дело в том, что карманные устройства могут быть синхронизированы с компьютером, поэтому вирусы способны распространяться через них точно так же, как через обычную систему.

Смартфоны тоже имеет смысл оснастить антивирусами - современные мобильные вирусы для этих классов устройств любят не только похищать данные, но и не прочь поживиться пользовательским счетом. Особенно большой проблемой это становится для корпоративных пользователей - счета за использование сотрудниками мобильных телефонов чаще всего оплачиваются по кредитной системе, т. е. все потери и проблемы становятся очевидными в конце месяца, когда троянца уже и след простыл. Действуют такие программы изощренно - к примеру, J2ME-троянец Wesber, обнаруженный в начале сентября 2006 г., может функционировать не только на смартфонах, но и практически на любых современных мобильных телефонах - благодаря тому, что он написан для платформы Java (J2ME). Wesber, как и его предшественник вирус RedBrowser, занимается тем, что отсылает на платный номер несколько SMS-сообщений, за каждое из которых с мобильного счета абонента списывается сумма в 2,99 долл. Поскольку процедура функционирования подобных premium-номеров у российских мобильных операторов предельно проста, выйти на след злоумышленника проблематично.

Еще одна напасть, от которой пока не придумано грамотной защиты, - атаки вирусов в беспроводных сетях. В начале октября минувшего года компания Intel объявила о наличии серьезной уязвимости в платформе Intel Centrino - речь идет об ошибке в ПО, дающей вирусу-червю возможность перебираться с ноутбука на ноутбук в радиусе действия его Wi-Fi-адаптера. Принцип действия этого вируса аналогичен принципу действия классических сетевых червей Lovesan, Sasser или Slammer: при включенном адаптере Wi-Fi-ноутбука вирус обнаруживает уязвимый мобильный компьютер (им может быть и КПК, и смартфон) и посылает на него специальный пакет-эксплоит уязвимости. В результате у червя появляется возможность передать свое тело на атакованный компьютер и выполнить очередной цикл заражения-распространения.

Спасение от этого вида зловредных программ - в грамотной настройке программы-антивируса и брандмауэра, поскольку разбираться с вирусом придется уже непосредственно на компьютере, куда из-за недостаточной защищенности ОС ему не составит труда проникнуть.

Версия для печати