Инсайдеры
стали опаснее хакеров, к такому выводы пришли аналитики компании Secure
Computing, опросив около ста IT-директоров на выставке Infosecurity
Europe в Лондоне. По данным опубликованного отчета, более 80%
респондентов считают внутренние инсайдерские угрозы наиболее
приоритетными для себя. И только 17% опрошенных специалистов полагают,
что хакеры до сих пор являются основной опасностью.
Растущая обеспокоенность внутренними угрозами связана с ростом
количества утечек конфиденциальных данных – в 2007 году подобные
проблемы испытывали 37% британских компаний. Secure Computing
подчеркивает, что в это число входят не только умышленные инсайдерские
инциденты, но и случайные утечки информации, которые происходят в
результате ошибок персонала или кражи «конфиденциальных» носителей.
Само по себе слово инсайдер не имеет негативного значения – инсайдерами
являются менеджмент компаний, финансовые консультанты и даже
специалисты, которые в силу профессиональных обязанностей могут
работать с конфиденциальными данными. «Негативный смысл появляется,
когда инсайдер пытается использовать конфиденциальные сведения в личных
целях и/или во вред работодателя. Последствия разглашения информации
инсайдером могут быть сколь угодно серьезны - начиная с финансового
ущерба компании и заканчивая политическими кризисами и отставками
чиновников высокого ранга. К примеру, украинский «кассетный скандал» и
американский Watergate являются типичными случаями утечки
конфиденциальной инсайдерской информации», - говорит Владимир Илибман,
технический консультант компании Cisco.
Эксперты Symantec Corporation подтверждают, что IT-угрозы со стороны
сотрудников или подрядчиков одна из наиболее сложных проблем, с
которыми сталкиваются менеджеры - ввиду доверия, которым пользуются
собственные сотрудники. Один человек может нанести непоправимый ущерб
данным, системам, работе и репутации учреждения. Зависимость
государственных учреждений от взаимозависимых сетей и систем связи
значительно повышает риск причинения ущерба, причиной которого может
стать внутренняя диверсия.
В Украине «течет» информация
«Наибольший социальный эффект инсайдеры могут нанести в отраслях, в
которых оперируют массивами персональной информации, а такими являются
госструктуры, банки операторы связи. Даже существуют организации,
которые выполняют анализ всех общедоступных фактов утечек информации и
работы инсайдеров», - говорит эксперт Cisco. К примеру международную
базу таких инцидентов можно найти на сайте
http://attrition.org/dataloss/ , в России подобные базы поддерживают
http://www.perimetrix.ru/ и www.infowatch.ru. Так по данным
Attrition.org в течение 2008 года зафиксировано 163 факта утечки
конфиденциальной информации. «Разумеется, таких случаев гораздо больше,
но далеко не все они становятся достоянием общественности.
Мне неизвестна статистика по Украине, но в нашей стране подобные утечки
конфиденциальных сведений также происходят в значительных масштабах», -
отмечает Владимир Илибман.
Так пользователь украинского сегмента интернет или посетитель киевского
книжного рынка всегда может при небольшой доле настойчивости найти
актуальную базу по нужной тематике. А раз подобные базы регулярно
попадают на рынок, значит в соответствующих организациях есть факты
целенаправленной утечки подобной информации.
Основной мотив - месть
Согласно исследованию Секретной службы США за 2006 год, внутренние
взломы компьютеров и сетей редко бывают импульсивными действиями. В
большинстве случаев они планируются заранее, так что подготовленные
сотрудники и внимательные менеджеры часто могут заблаговременно
заметить признаки готовящейся атаки, считают в Symantec Corporation.
Секретная служба пришла к выводу, что:
- 80% сотрудников, организовавших атаки против своих компаний, проявляли недоброжелательность перед инцидентом;
- в 92% случаев инциденту предшествовало негативное для виновника
событие, связанное со службой, такое как понижение в должности,
перевод, предупреждение или уведомление об увольнении;
- на момент инцидента 59% виновников были бывшими сотрудниками или
работниками по контракту, тогда как 41% еще оставались в штате компании;
- среди бывших сотрудников 48% были уволены, 38% вышли в отставку и 7% были уволены временно;
- 86% работали на технических должностях, из них 38% были системными администраторами;
- 21% были программистами, 14% — инженерами и 14% — специалистами по ИТ;
- в 96% случаев злоумышленниками были мужчины.
- чуть менее трети инсайдеров имели судимость.
Большинство злоумышленников для организации своих атак взламывали
учетные записи, несанкционированно создавали тайные учетные записи или
использовали коллективные учетные записи. В большинстве случаев при
атаках использовался удаленный доступ. Наиболее часто называемым
мотивом была месть.
Надо отслеживать доступ к информации
Вычислять инсайдера очень сложно. Даже если службе безопасности
организации или уполномоченным органам известен сам факт утечки
информации, далеко не факт что человек, являющимся источником утечки
будет установлен. «Сидит такой «крот» в организации и периодически
«сливает» конфиденциальную информацию на тривиальную флешку. Проблема
заключается в том, что в большинстве организаций отсутствуют
организационно-технические средства, которые позволяют отслеживать
доступ к конфиденциальной информации. Поэтому после инцидента почти
невозможно проследить, кто и когда работал с «утекшей» информацией», -
объясняет эксперт Cisco.
Ввиду этого специалисты Symantec Corporation говорят, что при всей
важности защиты ИТ от внешних угроз по периметру сети не менее
существенное значение имеет знание и контроль за тем, кто чем
занимается внутри этого периметра. Для этого требуется контроль доступа
к сети, а также решения для обеспечения безопасности конечных
информационных ресурсов и базы данных.
Например, Symantec Network Access Control гарантирует, что каждый
конечный информационный ресурс, подключенный к сети, отвечает правилам
безопасности и политике доступа учреждения. Symantec Endpoint
Protection превентивно анализирует поведение приложений и сетевые
коммуникации, выявляя и блокируя атаки. Если рассерженный сотрудник
попытается установить на внутреннюю рабочую станцию такие эксплойты,
как руткиты или шпионские программы, это будет обнаружено
заблаговременно. Защита блокирует также команды
чтения/записи/исполнения, поступающие со сменных запоминающих
устройств, и предотвращает исполнение в защищенных системах
неавторизованных приложений.
Symantec Database Security обнаруживает вредоносную деятельность с
базами данных со стороны легитимных пользователей и создает контрольный
след всех действий с базами данных. Содержащаяся в этом решении
технология интеллектуального анализа автоматически изучает «нормальный»
характер работы с базой данных и предупреждает администраторов о
подозрительных действиях.
Типичный инсайдер
Как выглядит портрет типичного современного инсайдера? В опубликованном
недавно исследовании компании Pricewaterhouse-Coopers «Global Economic
Crime Survey 2007» предлагается искать инсайдера среди мужчин в
возрасте 31-40 лет, с высшим образованием и имеющих достаточно
серьезное положение в компании. Скорее всего, инсайдер работает в
компании не долго. Зная это, а также признаки работы инсайдера и
принимая внутренние меры ИТ-безопасности - это лучший способ
гарантировать защиту государственных сетей и сетей частных компаний.
