Незащищенные системы

Как правило, большинство сотрудников компании, покидая свое рабочее место, не удосуживаются выйти из системы или временно закрыть доступ к компьютеру, тем самым предоставляя злоумышленнику право делать что угодно от лица этого пользователя. Системному администратору, в первую очередь, следует попытаться донести до каждого, что он несет всю ответственность за действия, произведенные с eгo аккаунта и системы. На самом деле достаточно легко установить своевременное отключение доступа через заданное время после определенного периода нeактивности, используя встроенные методы хранителя экрана или операционной системы. При этом стандартной практикой является блокирование аккаунта после трех неуспешных попыток доступа для предотвращения попыток угадать пароль. Кажется мелочь, но отсутствие такой мелочи может в два счета привести к получению отрицательного заключения от аудитора.

Если доступ к компьютеру закрыт экраном логина, атакующий может всегда перегрузить хост с дискеты, CD или флэшки для смены пароля. Также помните, что для станций, на которых установлены множественные операционные системы, уровень безопасности при перезагрузке равен уровню для самой незащищенной системы. В классическом варианте Windows/Linux если одна из систем не запаролена в бутлоадере, то защита другой системы бутлоадер-паролем более не имеет значения — получить доступ из одной системы к другой на одном хосте элементарно.

Посему, если не все, то хотя бы критические системы, хранящие конфиденциальную информацию, должны быть защищены BIOS-паролями, а методы загрузки с периферических устройств должны идти в BIOS-списке только после загрузки с жесткого диска. Защищать паролем бутлоадера полезно, но далеко не так надежно, как в случае защиты BIOS'а.

Для того чтобы выдать конфиденциальную информацию посторонним, необязательно отходить от своей рабочей станции. В английской ИТ-терминологии есть даже специальный термин для обозначения подглядывания на экран через плечо — «shoulder surfing». В первую очередь, все вводимые пароли на экране монитора должны обозначаться звездочками, причем количество звездочек не должно совпадать с количеством символов в пароле. В большинстве операционных систем при логине так оно и есть, тем не менее доводилось видеть коммерческие приложения, в том числе разработанные внутри клиентских компаний, где эта элементарная мера безопасности отсутствует напрочь. Пользователи должны быть предупреждены о «сующих свой нос через плечо» без надобности и реакции на такие инциденты. Все эти моменты должны быть отражены в политике безопасности, которую, как и полагается, все пользователи обязаны изучить и подписать.