Интервью с Зараза

профессии «администратор» нет

Спецвыпуск: Хакер, номер #068, стр. 068-078-4

1 Физический доступ (к компьютеру с информацией, архивам на лентах и т.д.)

2 Доступ к каналам связи.

3 Доступ к данным через автоматизированную систему.

Кто может получить физический доступ:

1 Системные администраторы.

2 Сотрудники (тут всегда анализируются обе категории — и сотрудники, и бывшие сотрудники).

3 Обслуживающий персонал.

4 Посетители.

5 Посторонние.

Какие будут адекватные меры защиты, если максимальный ущерб может составить $50000? Посадить вахтера на входе и проверять пропуска — наверное, неплохо. Хороший замок в серверной — да. Сейф для хранения бэкапов. А ввод системы разграничения доступа, камер видеонаблюдения и систем самоуничтожения данных — будет явным перебором.

При рассмотрении рисков потери информации вероятность, что уволенный со скандалом сисадмин оставит «бомбу», которая потрет всю информацию — довольно высока. Потери при этом могут быть значительные, особенно если он же следил и за бэкапом. Значит, можно потратить довольно много денег, чтобы убедиться в том, что он этого не сделает. Например, дать ему хорошие отступные и уволить без скандала :).

Идея в том, что рассчитывается вероятность реализации угрозы и риски (вероятные финансовые потери). Определяются средства минимизации рисков, например – защитный софт или железо. По каждому из таких решений рассчитывается, насколько и какие риски они снижают, и какова стоимость решения (с учетом стоимости внедрения и поддержки на планируемый период). А дальше решается очень сложная математическая задача расчета средств, которые нужно внедрить, чтобы риски минимизировать :).

Конечно, все это в теории. На практике большая часть оценок производится на глаз, главное — не упустить в защите что-то важное и не вбухать деньги в дорогую, но малоэффективную систему.

СПЕЦ:

Все вроде бы гладко. Но почему же тогда дефейсят и ломают тех, кто реально оценивает свои риски, тратит крупные суммы на безопасность и имеет в штате не одного администратора? Я имею в виду сервера крупных компаний.

ЗАРАЗА:

Ну, во-первых, дефейс — это не самая большая угроза. Что такое дефейс? Это модификация публично доступной информации. Если основной бизнес компании не связан с веб-сервером, то прямые финансовые потери от этого небольшие. Потеря репутации — вещь довольно скользкая... А некоторая реклама за счет отзывов в прессе, пусть даже и негативных, обеспечена.

При этом веб-приложения — это приложения, разрабатываемые «на заказ» в штучном исполнении. Естественно, что они хуже отлажены и проверены, чем приложения, которые используются массово. Обеспечить безопасность таких приложений можно лишь проводя аудит исходного кода, что очень дорого. Поэтому выходит, что при небольших рисках стоимость защиты получается большой, и защитой веб-серверов часто пренебрегают.

А во-вторых, сломать можно кого угодно. Любая защита снижает риски, но ни одна не устраняет их! Если есть один шанс из миллиона, и если есть миллион людей, которые попробуют, — то вероятность, что кому-то повезет, очень высока.