Кевин Митник - Искусство вторжения

Хакеры смогли проникнуть в огромное число систем лишь потому, что в них своевременно не были установлены заплатки. После того, как та или иная лазейка становится известной, риск проникновения во все компьютеры резко нарастает до тех пор пока производители ПО не создадут устраняющую её заплатку и не распространят ее среди пользователей.

Любая организация должна сделать установку подобных заплаток одной из приоритетных задач ИТ-службы. разработав при этом методику максимально быстрого получения информации о заплатках и установки их с минимальными помехами основному процессу ведения бизнеса.

Но даже такое тщательное отслеживание всех появляющихся лазеек и заплаток недостаточно, как подчеркивает neOh, поскольку некоторые взломы, в которых он участвовал, происходили буквально в «час икс», когда обнаруживалась лазейка — она еще не была известна никому, кроме нескольких экспертов-хакеров. Производители ПО и эксперты в области безопасности физически не успевали создать защиту от нее.

Поскольку всегда остается вероятность, что в вашу систему проникнут именно в «час икс», каждая компания уязвима все то время, пока не появится заплатка к новой лазейке. Как же снизить риск?

На мой взгляд, единственное эффективное решение — использовать модель «глубокой защиты». Мы должны исходить из того, что наша компьютерная система в какой-то момент времени будет подвержена атаке в «час икс». Поэтому мы должны создать такое окружение, которое смогло бы минимизировать возможный вред от проникновения плохих парней в нашу систему. Один из примеров, как уже говорилось, это поместить такую компьютерную систему в « D M Z » , то есть — за межсетевой экран. Термин «DMZ» — демилитаризованная зона — взят из обихода военных и политиков, в данном случае он означает, что компьютеры общего доступа (Интернет-сервера, почтовые сервера, DNS-сервера и т.п.) изолированы от корпоративной сети и мест хранения секретной информации. Такая организация компьютерной сети компании — это один из примеров «глубокой защиты».

Даже если хакер обнаружит ранее неизвестную никому лазейку на Интернет-сервере или почтовом сервере и использует ее, он не сможет дотянуться до корпоративной информации благодаря наличию следующего уровня защиты.

Следующая эффективная контрмера против хакеров — это контроль сети или даже отдельных ее компьютеров на необычную или подозрительную активность в ней. Атакующий обычно предпринимает определенный набор действий для того, чтобы проникнуть в систему, таких, как попытки получить зашифрованные или обычные пароли, установка «черного хода», изменение файлов конфигурации для ослабления безопасности, модификация системы, приложений или log-файлов и др.

Если организовать постоянно действующий процесс, который отслеживал бы типичные для хакеров виды активности и подавал персоналу сигнал тревоги при их обнаружении, то можно было фиксировать попытки вторжения в систему.

В качестве отдельной темы стоит упомянуть, что пресса несчетное число раз спрашивала меня о наилучших способах защиты вашего компьютера и бизнеса в современных условиях. Один из основных моих советов — использовать более серьезную авторизацию, чем обычные пароли. Обычно вы понимаете, что кто-то украл ваш пароль только после того, как обнаруживаете последствия этого.

Есть много разных технологий авторизации второго уровня, которые можно использовать в сочетании с традиционными паролями, чтобы обеспечить более высокий уровень безопасности. Вдобавок к RSA Secure ID, упомянутой раньше. Safeword Premier Access предлагает специальные устройства (tokens) для генерации паролей, цифровые сертификаты, смарт-карты, биометрическую и другие технологии.

Использование таких типов авторизации, естественно, удорожает систему и добавляет определенные неудобства в работе с ней для каждого пользователя. Все зависит от того, что вы стремитесь защитить. Традиционные пароли вполне достаточны, чтобы защитить сайт газеты, где выложены новые статьи. Но достаточно ли их для того, чтобы защитить чертежи последней модели истребителя?

ПОСЛЕСЛОВИЕ

Истории, рассказанные в этой книге и на страницах прессы, демонстрируют, как небезопасны все государственные компьютерные системы, и как мы уязвимы перед подобными атаками. Очень мало систем обладают действительно надежным уровнем безопасности.

В эпоху терроризма необходимо постараться сделать все возможное. чтобы залатать имеющиеся и возникающие дыры. Эпизоды, рассказанные выше, говорят о серьезной проблеме: как легко таланты и знания наших детей могут быть обращены против нашего общества. Я не сомневаюсь, что уже в школе детям надо преподавать основы компьютерной этики параллельно с изучением основ информатики.

Не так давно я слушал выступление Франка Абагналя, ярого сторонника фильма «Поймай меня, если сможешь». Франк провел опрос среди студентов университетов по всей стране об этической стороне использования компьютеров. Каждому студенту был задан вопрос —считает ли он возможным для себя узнать пароль приятеля и проникнуть в его компьютер. Как это ни удивительно, но 48% опрошенных студентов ответили, что находят такую перспективу весьма забавной. С таким настроем молодежи несложно понять, почему люди начинают заниматься подобными делами.

Если кто-то знает, как сделать юных хакеров невосприимчивыми к попыткам наших явных и тайных врагов использовать их в своих интересах, пусть он обнародует свои предложения.

Двое молодых заключенных, отбывающих сроки за убийство, в один прекрасный день встретились во дворе тюрьмы Техаса и обнаружили, что у них есть общее увлечение — компьютеры. Они сдружились и начали хакерствовать прямо под носом у стражей порядка.

Но все это в прошлом. Сегодня Вильям Батлер каждое утро в 5.30 садится в свою машину и начинает непростой путь через плотный трафик Хьюстона. Он считает себя везунчиком уже потому, что остался в живых. У него постоянная подружка и блестящий новый автомобиль. «Недавно мне прибавили к зарплате семь тысяч долларов. Неплохо», — гордо добавляет он.

Как и Вильям, его дружок Дэнни тоже наладил свою жизнь, у него стабильная работа, связанная с компьютерами. Но они никогда не забудут, какой ценой они заплатили за свое благосостояние. Как это ни странно, но именно время, проведенное в тюрьме, дало им те умения, которые они с таким успехом применяют в «свободном мире».