Кевин Митник - Искусство вторжения

Несмотря на то, что Дастин какое-то время занимался сетевым администрированием, он всегда считал себя экспертом в области безопасности, по его словам, ощущение, что он создан для этого, появилось у него во время службы в авиации: «Я культивировал мою скрытую паранойю: такое состояние души, когда вам кажется, что в любой момент на вас могут напасть».

К компьютерам в седьмом классе его приобщила мачеха. Она тогда работала в одной компании системным администратором. Дастин был совершенно очарован иностранным звучанием ее речи. когда она говорила о своей работе по телефону. Однажды, когда ему было тринадцать, «она принесла домой компьютер, который я забрал в свою комнату и запрограммировал его на создание героев игр Dungeos and Dragon и игры в кости».

Роясь в учебниках по языку Basic и схватывая все, чему он мог научиться у друзей, Дастин развивал свои таланты. Он научился использовать модем для соединения с рабочим местом своей мачехи, чтобы играть в приключенческие игры. Вначале ему нужно было лишь все больше и больше компьютерного времени, но по мере того как он взрослел, он осознал, что его свободный дух плохо монтируется с проведением всей жизни перед терминалом. В качестве консультанта по безопасности он мог сочетать свои таланты со своей тягой к авантюре. Это было оптимальное решение.

Его карьера складывается отлично. «Я просто в восторге от своей профессии», — говорит он. «Это как игра в шахматы. На каждый ваш ход есть ответный ход. И каждый ход полностью меняет ситуацию на доске».

ПРАВИЛА И Г Р Ы

Для каждой компании имеет смысл озаботиться уровнем своей уязвимости — подумать, насколько успешно меры, которые она предпринимает по защите своей интеллектуальной собственности, могут обезопасить компанию от потери конфиденциальности и от проникновения хакеров, а сотрудников — от электронных вторжений, нацеленных на персональную информацию.

У некоторых компаний есть еще более жесткие резоны, например, защита от правительственных детективных агентств, проигрыш которым может означать потерю важного контракта или исследовательского проекта. Любая компания, имеющая контракт с министерством обороны, попадает в эту категорию. Поэтому любая компания, занимающаяся серьезными биотехнологическими исследованиями, должна помнить о том, что департамент администрации по контролю над лекарствами и продуктами буквально заглядывает через ее плечо — именно в этот разряд и попадал новый клиент Callisma. В соседстве с опасными химикатами, в лабораториях, где ученые проводят такие опыты, о которых эксперты по безопасности и слыхом не слыхивали, этот опыт обещал быть очень интересным.

На первой же встрече с представителями Biotech команда Callisma поняла, что от нее требуется проведение всех возможных типов атак, которые только можно себе представить: от простых до сложных технических атак, от применения методов социальной инженерии до физических взломов. Руководители ИТ-подразделения компании, как часто бывает в таких случаях, были уверены, что все попытки взломщиков окончатся их полным поражением. Biotech сразу же установила такое правило: неприемлемы никакие неточности в документальных доказательствах.

Был продуман механизм прекращения работы проверяющих. Иногда это могло быть сделано достаточно просто, например, для остановки атаки, которая могла негативно повлиять на работу компании, любой из сотрудников должен был произнести предварительно согласованное кодовое слово. Компания также разработала четкие правила по обращению с добытой информацией — как ее следует хранить, когда и кому она должна предоставляться.

Поскольку проведение проверок может пересекаться с обычной работой компании, предусмотрено несколько «а что, если…». Кого следует уведомить, если вдруг нарушится предоставление той или иной услуги? В какую часть системы можно проникать и как? И как проверяющие поймут, до какого предела можно проводить атаку, чтобы не нанести непоправимые потери и не повредить бизнесу компании?

Клиенты часто просят ограничить проверки только техническими атаками и упускают из виду другие лазейки, которые могут быть еще более опасны для компании. Дастин Дюкс говорит:

«Независимо от того, что они говорят, я знаю, что поначалу они хотят только выяснить технические слабости их системы, но на самом деле их уязвимость может быть совсем в другом.. Опытный атакующий всегда пойдет по пути наименьшего сопротивления, отыскивая самое ненадежное звено в системе безопасности. Как поток воды, бегущий вниз по склону, атакующий пойдет к успеху самым простым и эффективным путем».

Атаки из области социальной инженерии, по мнению Дастина, всегда должны входить в состав проверок. (Более подробно о социальной инженерии мы поговорим в Главе 10 «Социальные инженеры — как они работают и как их остановить»).

В этот раз он был почти готов отказаться от этих «номеров из своего репертуара». Если атака физического проникновения не получится «в легкую», он не будет и пытаться это делать. Для него это самый нежелательный вариант даже при наличии «индульгенции». «Если что-то плохое должно случится, оно случается тогда, когда я пытаюсь проникнуть в здание так, чтобы меня не заметили охранники или бдительные сотрудники».

Главное, что следовало определить его команде, прежде чем приступать к делу: в чем самое ценное для тестируемой компании, ее «Священный Грааль». В этой игре электронного слежения с высокими ставками очень важно знать это в точности. Как выяснилось, для фармацевтической компании таким «Священным Граалем» являются финансовые отчеты, списки клиентов, поставщиков, процесс производства и научно-исследовательские разработки.

ПЛАНИРОВАНИЕ

План Дастина заключался в том, чтобы начать проверку «по-тихому» — с незначительной активности, постепенно развивая ее до тех пор, пока кто-нибудь ее не заметит и не подаст знак. Такой подход Дастин выработал на основе своей философии, которую он применяет в ходе тестирования, руководя специально сформированной для «мозгового штурма» группой ( red team — см. прим. ред. к главе 2 ). «Я пытаюсь во время проверок прежде всего проанализировать оборонительную стратегию, которую применяет компания, и затем обратить ее против нее самой. Они думают: „Давайте поставим себя на место атакующих. Что мы можем им противопоставить?“ Это подход легко использовать против них же. Они никогда не поймут, как им действовать или реагировать, пока не поймут, что самое важное для них самих».

Трудно с этим не согласиться. Как пишет китайский философ Сун Тзу: познай своего врага и самого себя — и ты победишь.