Порты хостов, коммутаторов и беспроводные устройства

Общая схема проведения внутреннего аудита ИТ-безопасности

Существующие подходы к проведению аудита информационной безопасности (ИБ) обладают серьезными недостатками, прежде всего неполнотой и неадекватностью получаемых результатов. И по мнению Михаила Маркевича, аналитика по информационной безопасности, наиболее оптимальным является идея активного аудита. Активный аудит сочетает тест на проникновение и аудит ИБ в традиционном понимании. В основе активного аудита лежат несколько основополагающих принципов.

1. Наличие четкого описания модели нарушителя, в рамках которой действуют аудиторы. Рассматриваются отдельно внутренний нарушитель (например, сотрудник компании) и внешний нарушитель (хакер, действующий через Интернет). Уровень квалификации нарушителя считается достаточным для выполнения сложных задач по проникновению в информационную систему. Это автоматически означает, что квалификация самих аудиторов должна соответствовать данному уровню.

2. Уточнение области проведения аудита непосредственно в процессе работы на объекте. На практике заказчик часто предоставляет ограниченный набор сведений об информационной системе (что происходит, когда информационная система развивалась непланомерно и, как следствие, плохо документировалась), а аудиторы проводят инвентаризацию ресурсов информационной системы. Это позволяет выявить «потерянные» ресурсы (и в большинстве случаев плохо защищенные), что особенно актуально для крупных корпоративных информационных систем.

3. Аудитор изначально имеет только физический доступ к обследуемой информационной системе, логические права доступа (аутентификационные данные) ему не предоставляются (за редким исключением). Далее аудитор отрабатывает все возможные пути повышения привилегий от «нулевого» уровня, оценивая критичность и вероятность их реализации.

4. С одной стороны, например, наличие уязвимости в программном обеспечении автоматически не приводит к нарушению безопасности, так как многие уязвимости могут быть успешно реализованы только при определенном сочетании факторов. С другой стороны, использование штатных функций (именно функций, а не ошибок программного обеспечения или конфигурации) информационной системы в определенной комбинации может привести к нарушению ИБ. Выявление таких ситуаций невозможно без применения творческого, неформального подхода к анализу защищенности, хотя сами пути повышения привилегий, безусловно, легко формализовать и зафиксировать документально.

5. Анализ влияния выявленных в ходе активного аудита уязвимостей на защищенность всей информационной системы в целом. Критика существующих подходов аудита ИБ, в частности, заключается в том, что выявленные в ходе аудита уязвимости «всего лишь» отражают состояние информационной системы на момент аудита. Предлагаемый подход, который ставит своей целью сделать аудит более эффективным и актуальным, заключается в следующем: не столь важно, какая именно уязвимость была обнаружена, важно то, как наличие той или иной уязвимости влияет на защищенность всей информационной системы, насколько вся система устойчива к уязвимостям. Другими словами, в ходе аудита проводится анализ архитектуры безопасности информационной системы.

6. Поиск новых уязвимостей (не зафиксированных в различных базах уязвимостей, таких как CVE, OSVDB и т. п.) непосредственно в ходе работы на объекте в режиме реального времени.

7. Строгая система классификации уязвимостей. Каждая выявленная в ходе аудита уязвимость оценивается (по шкале с простыми и понятными описаниями уровней) с точки зрения ее критичности, простоты и вероятности реализации. Эти данные в дальнейшем используются для проведения анализа информационных рисков.

8. Отказ от приоритетного использования сканеров уязвимостей. Подобный инструментарий используется только на этапе предварительного сбора информации для автоматизации рутинной работы. Существенным недостатком сканеров является большое количество ложных срабатываний и невозможность обнаружения уязвимостей, отсутствующих в базе сканера (например, недавно появившихся уязвимостей, большого числа локальных уязвимостей, нетривиальных ошибок конфигурации).

9. Применение методов социальной инженерии для имитации действий нарушителя ИБ, направленных на пользователей информационной системы компании. Эти методы позволяют оценить уровень квалификации пользователей в области обеспечения ИБ и вероятность реализации атак, выполняемых нетехническими способами.

C увеличением количества пользователей сети шансы того, что один из них «засветит» свой пароль, увеличиваются

Огромное количество проблем, связанных с безопасностью паролей, решается путем внедрения токенов

В ИТтерминологии есть даже специальный термин для обозначения подглядывания на экран через плечо — «shoulder surfing»