Защита информационных систем. Часть 1. Самое слабое звено

Пока робо-Крош готовит следующий выпуск дайджеста, в блогах делятся планами на прошлое-будущее, можно пописать посты о наболевшем: о контрацепции. Нет, не той, другой. Про ту обычно и так все знают. А вот какими методами может предохраняться хозяин какого-нибудь MMORPG-сервера, или корпоративной информационной системы, или чего ещё такого подобного - знают не все. В том числе из тех, кто пишет нынче киберпанк или ЛитРПГ. Нет, оно, конечно, можно и без знания скучных деталей. Условности в творчестве, как и разного рода допущения, никто не отменял. Но если хочется чуть ближе к реальности - тогда велком читать дальше.

Проблема и немного теории

Для многих очевидный факт, что сейчас (а в будущем ещё больше) огромную роль в жизни играет информация и доступ к ней. А сама информация находится внутри самых разнообразных информационных и компьютерных систем. От некоторых таких систем может напрямую зависеть жизнь и благополучие людей (рванет, скажем, какая-нибудь нефтеперегонка или химзаводик - "весело" жить станет не только хозяевам). Роботизированные и автоматизированные производства, огромные базы данных и знаний, домашняя автоматизация, IoT и Industrial IoT, аугментация с помощью умных протезов, корпоративные сети с кучей конфиденциальной информации, IA, ML, DS и прочие баззворды. Примеров можно приводить массу. Объединяет эти все примеры одно: рано или поздно кто-то захочет такие системы взломать. Разумеется, защита в стиле ковбоя Джо, которого никто не ловит, потому что он нафиг никому не нужен, тоже имеет место быть. Но мы то сейчас о другом. Кто-то хочет выкрасть корпоративные секреты, вывести из строя производственную цепочку, слить базу данных юзверей, и тэ дэ. Вариантов тут может быть множество. И, разумеется, всем этим поползновениям надо мочь что-то противопоставить. Что-то более существенное чем "А у нас Мак/Линь, а вирусы только для винды пишут!". И тут надо учитывать один важный критерий: абсолютно защищённых систем не бывает. То есть сломать можно всё. Критически важно увеличить стоимость взлома настолько, чтобы возможный профит взломщика (в случае успеха) оказался существенно ниже. В этом случае игра просто не будет стоить свеч. Если же это соотношение оказывается в пользу взломщика, то то методы могут применяться самые разнообразные (в рамках заявленного бюджета, разумеется). И какие ми бы ни были эти методы, преследовать они будут три основные цели:

• Доступ к конфиденциальной/чувствительной информации;
• Доступность системы для пользователей;
• Целостность системы как таковой. 

Например, DDoS-атака не помогает добыть чьи-либо пароли из атакуемой системы или вывести её из строя. Она просто делает атакуемый ресурс недоступным для пользователя. Вирус, который приводит к остановке основных процессов, отвечающих за обслуживание клиентских запросов, нарушает целостность. Ну а кража пароля суперюзера методом терморектального криптоанализа - это нарушение конфиденциальности. Как можно заметить, цели эти - разные (принципиально разные) и могут достигаться разными способами для разных типов систем. Соответственно, и противодействие взломщику по каждому из этих трёх направлений будет разное. То есть ещё раз: защита целостности системы, обеспечение её доступности и сохранение секретной информации в секрете - это три принципиально разные задачи. Причём для разных защищаемых систем они будут решены по-разному. Или какая-то из них может быть вообще не решена (если те, кто эту систему строит, уверены в том, что именно таким способом их ломать не будут).

В некоторых случаях ещё различают такие термины, как safety и security, понимая под первым обеспечение безопасности физической, а под вторым - информационной. Например, для упомянутой выше нефтеперегонки критически важно, чтобы если всё пошло по..., не по плану, в общем, то физический ущерб был бы минимизирован. Это safety. Security же - это обеспечение информационной безопасности самого тех.процесса нефтеперегонки, чтобы анонимус из интернетов не залез на пульт SCADA и не покрутил там уставки своими шаловливыми ручонками. Долгое время, к слову, разработчики как софта, так и харда в этой области забивали на секьюрити и заботились только о сафети. Пока не поняли, что многие заводики торчат голым задом в интернет, и можно на них прийти и... Но не будем о грустном. Достаточно сказать, что всё это же можно отнести к любой области, в которой пересекаются вопросы человеческой жизни и информационных технологий: робототехника, беспилотные автомобили (и другие системы), медицина, hi-tech-протезирование и импланты, и т. п. Safety - отдельно, security - отдельно. Причём safety наверняка будет обеспечиваться более грубыми (и менее технологичными) способами, ибо должно срабатывать с максимальной гарантией.

Возможно, в некотором условно-отдалённом будущем пост-индустриального киберпанка всё будет не так и всё поменяется, но лично я в этом сомневаюсь. Как мне кажется (но я, разумеется, могу быть не прав), основные принципы останутся теми же. Технологии защиты и нападения, обеспечения тех или иных видов безопасности, устойчивости и т. п., разумеется, поменяются. Например, широкое распространение квантовых вычислений сделает RSA и прочие современные алгоритмы шифрования слабыми, и будет придумано что-то ещё. Но, скажем, сам принцип ассиметричного шифрования наверняка останется. Как и основные области его применения.

Самое слабое звено

Неизменным останется и самое слабое звено в цепочке обеспечения безопасности: человек. Человеку свойственно ошибаться. На человека можно надавить, подкупить, да и просто ввести в заблуждение. Зачастую гораздо проще и дешевле найти нужного человека, чем долго и нудно пытаться прорваться сквозь фаерволы и прочую навороченную защиту, которая работает ровно так, как запрограммировали-настроили, взяток не признаёт и паяльнику не сдаётся. Варианты и подходы тут возможны такие:

Брут-форс. Или метод терморектального криптоанализа. Можно, конечно, долго и нудно подбирать рутовый пароль к системе. Но можно взять за причинные места условного админа и настойчиво его распросить о жизни, о приоритетах и ценностях. Может оказаться так, что собственную жизнь и благополучие условный админ ценит больше, чем какие-то двадцать-тридцать рандомных символов пароля (опять же, условно). Другое дело, что пароль, который выдаст в таких условиях админ, может оказаться "тревожным" и давать доступ совсем не к тому, до чего хотят добраться интервьюеры. Или, скажем, тревогу поднимать. Но это - тоже риск. Можно и без головы по итогу оказаться, когда правда всплывёт.

Инсайд. Кто смотрел "ТАСС уполномочен заявить" могут помнить, насколько опасным может оказаться недооценённый сотрудник с большим ЧСВ и амбициями. Он может сливать информацию, давать доступ туда, куда не надо, запускать софт, который не надо, тыкать условные флешки туда, куда не надо. В общем, нанести ущерб, многократно превышающий свою недооценённость. Найти такого, убедительно мотивировать - и ломать ничего не надо. Другое дело, что для такого сотрудника многократно повышается риск остаться без головы уже от условных своих.

Социальная инженерия. Или игра на человеческих слабостях и невнимательности. Отличается от инсайда тем, что человек, к которому эти методы применили, может даже не подозревать, что делает что-то плохое. Ну открыл пришедшее по почте поздравление с НГ. Ну нажал пару раз на "Yes!". Чего такого то? Тут жирный нюанс в том, что таким методам могут быть подвержены даже лучше из лучших, ибо и на старуху бывает проруха. В сочетании с ранее изученными особенностями построения системы безопасности социальная инженерия может давать убийственный результат. Например, начало одной APT-атаки, о которой я читал, выглядело примерно так: у сотрудника был настроенный TeamViewer на рабочий десктоп. Чтобы, значит, человек мог из дома работать. Вроде, ничего страшного. А дальше было вот что: упомянутым выше методом соц. инженерии (путём отправки невинного письма) был заражён домашний компьютер пользователя, после чего вирус во время очередного сеанса удалённой работы переполз на рабочий десктоп, перенастроил серверную часть вьювера и, используя домашний комп как транспортный канал, предоставил доступ злоумышленникам во внутреннюю сеть. Bingo!

Раздолбайство. Тут вариантов может быть масса, и все они крутятся вкруг недостаточного соблюдения персоналом правил техники безопасности. Сотрудники приходят на работу с собственными девайсами, втыкают их в корпоративную сеть (или куда ещё похуже), перенастраивают систему обеспечения безопасности, чтобы немешала порнхаб смотреть или из дома настройками рулить. Нафантазировать можно много чего, а до многих вещей секьюрити даже додуматься не могут, что "и так тоже можно было???" Человек стремится к собственному комфорту, иногда - в ущерб окружающим. И этим, разумеется, пользуются. Поэтому появляются паразитные каналы в интернет (в обход существующих фаерволов и проксей), перенастроенные системы контроля доступа, лишние левые девайсы, которые не обсекьюрены и потому могут быть рассадником чего угодно (помним же, да? вирусы ведь только под венду пишут! :D ), отключенные системы аварийного оповещения и т. д. и т. п. Раздолбайство в комбинации с инсайдом или соц. инженерией легко может вывернуть защищаемую систему потрохами наружу, и узнают об этом слишком поздно. А главное - стоить всё это может много меньше, чем поход в лоб на специально настроенный фаерволл.

Можно ли от всего этого хоть как-то защититься или минимизировать ущерб? Разумеется. Для разных методов атаки есть разные методы противодействия. Некоторые - очевидные. Другие - не очень. Их предполагаю вкратце описать в следующих частях, первая из которых будет посвящена APT - "Advanced Persistent Threat".