Информация ценилась во все времена. Чтобы владеть ею происходили убийства, войны. В наши дни она имеет не меньшую ценность. Эта ценность может определяться не только количеством труда потраченного на ее создание, но и количеством прибыли, полученной от ее возможной реализации. Поэтому очень популярен промышленный шпионаж между родственными предприятиями не считая военного шпионажа. Развитие вычислительных сетей, в ряде случаев, способствует хищению информации. Существует огромное количество фактов подтверждающих это. Человеческий фактор играет не меньшую роль в деле хищения, порчи информации. В этой статье мы попытаемся указать на возможные каналы утечки ее и сформулировать общие подходы в деле защиты информации в организации.

Рис. 1 Возможные каналы утечки информации из помещения

На рис. 1 показаны возможные пути хищения информации. Как видно из него существуют следующие виды утечки информации:

1. Радиоизлучение монитора.
2. Микрофонный эффект, закладки в телефонном аппарате.
3. Стекло вибрация, видеонаблюдение.
4. Вибрация стен, перекрытий, систем отопления, вентиляции, дверей.
5. Анализ передаваемых данных (электромагнитное излучение, использование атак по сети, паразитное радиоизлучение, вирусы).
6. Прослушивание телефонного и факс-модемного трафика.
7. Жучки, направленные микрофоны.
8. Доступ посторонних лиц.
9. Человеческий фактор.

К другим способам получения необходимых данных можно отнести:

1. Анализ открытых источников информации.
2. Анализ деятельности предприятий, его продукции, отходов и так далее.
3. Шантаж.
4. Слежка.

Первые семь перечисленных пунктов возможно устранить техническими средствами защиты. Восьмой - нормативными актами, а девятый, самый сложный, почти не возможно. Но рассмотрим все по порядку, сделав одно допущение – в помещении не могут находиться “жучки”, “закладки” в аппаратуре.

Радиоизлучение монитора. Перехват изображения монитора достаточно распространенный способ хищения информации. Это становится возможным в связи с его паразитным излучением, прием которого возможен до 50 м. Основной защитой можно считать экранирование помещения, металлический корпус ПЭВМ, а также использования устройств маскирующих побочное электромагнитное излучение, например, генератор радиошума ГШ-1000, который зашумляет диапазон частот от 0,1 до 1000 МГц.

Микрофонный эффект. Акустические колебания микрофона или обмоток звонка возникают при положенной трубке и могут быть сняты с телефонного кабеля, например, на АТС. Таким образом, для защиты от такого перехвата можно использовать устройства, подавляющие эти колебания, например, “Гранит-Х”.

Видеонаблюдение за пом6ещением. Это возможно как через окно, так и с помощью вмонтированных камер в предметы помещения (мы это исключили), либо в вещи постороннего человека, попавшего в закрытое помещение. Основная защита – это использование жалюзей на окнах, и досмотр посторонних лиц.

Считывание вибрации стекла. Такое удаленное действие возможно с помощью лазера. Основная защита: использование двойных стекл, а также не ведение секретных переговоров там, где это не безопасно.

Аналогичный способ утечки можно реализовать путем считывания вибрации стен, дверей, перекрытий. Защита от этого – установка устройств виброакустической защиты, например, “Заслон-2М”.

Сегодня существуют устройства, способные раскодировать факс-модемную передачу, с записи ее на магнитофон, либо непосредственно с телефонной линии. Запретить это не возможно, так как подключиться к телефонной линии можно на любом участке прохождения телефонного соединения. Единственная защита – это не передавать с помощью подобного оборудования сведений не желательных для разглашения. Если же передача необходима, то они, данные, должны быть зашифрованы. Подобное необходимо делать и на ПЭВМ, работающей с секретной информацией. Ниже представлены некоторые из возможных средств, способствующих предотвращения не санкционирования доступа к информации:

• разграничение доступа в сети (Dallas Lock (ООО “Конфидент”), “Соболь” (“Информзащита”));
• электронные замки, обеспечивающие идентификацию пользователей, например, Smart-карты, Touch memory;
• средства шифрования файлов на дисках: Crypton LITE (“Анкад”), Secret Disk (Аладин), PTS DiskGuard (Техинформконсалтинг);
• парольный доступ.

Ну и конечно, доступ в помещения, где ведется работа с конфиденциальной или секретной информацией, должен быть ограничен, там должны находиться лишь люди работающие с закрытой информацией, обслуживающей спецаппаратуру, которые должны пройти соответствующую проверку. В случае необходимости, в выделенное для этих целей помещение, могут попасть посторонние, например, уборщицы, слесари, электрики и другие, но дежурный по помещению не должен оставлять их одних.

Для регламентации доступа в спецпомещения, а также правила работы, охраны, составляются документы, в соответствии с которыми и осуществляется защита конфиденциальной или секретной информации.

После подготовки помещения для работы в нем с закрытой информацией его необходимо сертифицировать в надлежащих органах на право работы с необходимым грифом.

Особое внимание следует уделить кадрам. Прежде всего, с закрытой информацией должны работать люди, которые прошли соответствующую проверку и которым доверят руководство. Также эти люди должны быть специалистами в своем деле, то есть обязаны пройти соответствующее обучение, так как дилетанты способны загубить хорошо поставленную работу и допустить утечку информации. И третье, оплата работы сотрудников этого подразделения должна хорошо оплачиваться, что позволит исключить продажу секретов третьей стороне. По статистике, пособничество в утечке информации своими сотрудниками составляет до 80 % от всех других видов хищения информации. Довольно свеж пример недавнего громкого судебного разбирательства о шпионаже с участием некоего Хоупа. Поэтому на оплату труда сотрудников работающих с закрытой информацией следует обратить большое внимание руководителям предприятия.

Следование правилам по работе с закрытой информацией, разработанным на предприятии также позволит предотвратить утечку информации для которых используется анализ открытых источников информации и деятельности предприятия.

Таким образом, мы рассмотрели возможные способы утечки информации и меры для ее предотвращению, и поняли, что защититься возможно, но остается еще один аспект – это утечка информации при организации корпоративной сети.

Потребность этого возникает сейчас все чаще и чаще. Некоторые предприятия разрастаются, появляется потребность по объединению локальных сетей, но возникает проблема защиты информации от ее утечки, повреждению, модификации уничтожению. Информационные технологии несут в себе не только удобство, но и новые угрозы, связанные с перечисленным выше. Для этой цели используются следующие средства:

• антивирусные средства;
• межсетевые экраны;
• системы обнаружения атак;
• анализаторы системных журналов;
• криптомаршрутизаторы;
• системы анализа уязвимостей.

Сегодня никого не удивишь существованием компьютерных вирусов. Нетрудно вспомнить такие вирусы как “I love you”, “Анна Курникова”, “Чернобыль” … Большинство пользователей ПЭВМ теперь знают, что при получении электронной почты ее необходимо проверить на наличие вирусов, аналогично поступать при получении посторонних файлов. Но тем не менее, периодически приходят сообщения об очередном массовом заражении очередной заразы. Этому, прежде всего, способствует всемирная сеть Интернет.

Если обратиться к истории, то можно увидеть, что одним из первых был создан вирус, который распространялся по глобальной сети, был создан в 1988 году. Его написал аспирант факультета информатики Корнелльского университета Роберт Моррисан-младшим. В течении нескольких часов 2 ноября 1988 года было заражено более 6000 компьютеров. Для заражения виру, названный “червь Морриса”, использовал изъяны в sendmail и finger. Цель написания была благородна – проверка уязвимостей серверов, включенных в Интернет, но из-за допущенной ошибки смог саморазмножаться в сети, а также существенно уменьшить быстродействие зараженных рабочих станций.

Подобные программы создаются и сейчас. И для распространения, также используют бреши в системах защиты серверов. Кроме программ, которые занимаются порчей, уничтожением данных, порчей аппаратного обеспечения, замедлением работы компьютера, существуют вирусы, которые стараются ничем не выдать своего присутствия, а потихоньку собирают информацию, например, пароли, ведут контроль за нажатием клавиш пользователя ПЭВМ, а затем передают найденную информацию на заранее определенный адрес, либо совершают какие-либо определенные действия. Эти вирусы относятся к так называемым “троянским коням”. И наконец, программы, которые позволяют получить доступ на удаленной машине, используя бреши в используем операционной системе. Последние два типа вирусов наиболее опасны.

Основным средством защиты от вирусов можно считать использование антивирусов, лучше если это будет две независимые программы, например Dr.Web, AVP. Антивирусные средства рекомендуется установить на ПЭВМ и на почтовом сервере, либо заставить сканировать весь трафик, а также правильная политика безопасности, включающая обновление используемых программ и антивирусных средств, так как антивирусные средства пассивны и не в состоянии гарантировать 100 % защиту от неизвестных вирусов, поможет избежать вирусного заражения.

Межсетевой экран (МЭ) (firewalls) или брандмауэр предназначен для контроля над исходящей и входящей в систему информацией, то есть он занимается фильтрацией потока данных на заранее оговоренных условиях. Эти условия задаются системным администратором сети и способствует предотвращению атак со стороны внешней сети. Кроме внешних МЭ существуют и внутренние, которые занимаются контролем над потоком между сегментами локальной сети.

Межсетевые экраны можно классифицировать по тому на каком уровне они работают: канальном, сетевом, транспортном, прикладном. В зависимости от уровня различаются и задачи МЭ. Чем ниже уровень, тем выше производительность и ниже стоимость. Чем выше уровень, тем больше задач способен решать межсетевой экран. Например, при фильтрации на сетевом уровне возможно просмотреть структуру локальной сети из глобальной.

Кроме фильтрации МЭ должны вести журналы и учет, позволять производить администрирование и настройку правил фильтрации, применять средства аутентификации, а также, по возможности, использовать средства шифрования. Основные требования к межсетевым экранам записаны в Руководящем документе Государственной технической комиссии при Президенте России “Межсетевые экраны. Защита от несанкционированного доступа к информации. Классификация межсетевых экранов”. – М.: “Военное издательство”. – 1997.

Сегодня на российском рынке МЭ присутствует огромное количество их наименований, но рекомендуется при их выборе исходить из того, что приобретаемые средства должны быть сертифицированы Гостехкомиссией при Президенте РФ или ФАПСИ. В табл. 1 представлены некоторые из сертифицированных межсетевых экранов.

Как видно из таблицы все МЭ разделены на классы. Всего установлено 5 классов защищенности. Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации. Например, для автоматизированных систем (АС):

• 2 класс, работа с грифом СС;
• 3 класс, работа с грифом С.

Таблица 1. Сертифицированные межсетевые экраны

Система обнаружения вторжений (СОВ) (Intrusion Detection System) предназначены для регистрации враждебного трафика, обнаружения атак, сигнализации системного администратора о уже начавшейся атаке и ее отражении. Подобные средства появились не так давно и поэтому в России пока не производятся. В табл. 2 [1] представлены некоторые из существующих на мировом рынке СОВ.

Системы обнаружения вторжений делятся на три типа:

• уровень хоста;
• уровень сети;
• процедурные.

Системы первого типа занимаются ведением журнала регистрации, наблюдением за процессами, а также контролем за целостностью двоичного кода.

Таблица 2. Краткая характеристика продуктов СОВ

Системы уровня сети занимаются тем, что анализируют проходящий трафик, сравнивают его с известными сигнатурами атак и принимают решение о вторжении в случае совпадения кода. В этом случае делается запись журнале и извещается системный администратор. Ну и конечно же СОВ пытается сама противодействовать атаке.

Процедурная же модель систем обнаружения вторжений занимается тем же, что и система сетевого уровня, а также фиксирует и исследует проходящую работу, пытаются адаптироваться к данной сети.

Система обнаружения вторжений является неплохим дополнением к МЭ и в ряде случаев занимаются облегчением труда системных администраторов, но в тоже время обладает существенным недостатком, коим обладают и антивирусные сканеры: СОВ не способны обнаружить неизвестные вторжения, пока не будут обновлены сигнатуры.

Назначение этих продуктов определяется из названия, они предназначены для облегчения работы с журналами, если системным администратор ленится, либо не успевает их просматривать.

При построении территориально-распределенной корпоративной сети, в которой происходит передача секретной или конфиденциальной информации (данные, голос, видеоконференции) необходимо обеспечить не возможность прослушивания этого трафика, а также для невозможности попасть в закрытую сеть из внешней, используется криптование передаваемой информации, которое осуществляется криптомармрутизаторами.

Сеть построенная подобным образом носит название виртуальной частной сети (VPN). Ее построение возможно как на базе импортных средств, так и на отечественных. Но, во-первых, ряд стран ограничивает ввоз в Россию криптографических средств, во-вторых, российское законодательство, по понятным причинам, никогда не сертифицирует ввозимые средства для работы с государственной тайной, и в-третьих, в России уже достаточно много существует сертифицированных Гостехкомиссией и ФАПСИ средств. В табл. 3 приведен далеко не полный их список.

Таблица 3

Основные преимущества криптомаршрутизаторов заключаются в следующем:

• скрытие структуры защищенной сети;
• полная прозрачность для конечных пользователей;
• защита защищаемой сети от атак из вне;
• эффективная защита передаваемой информации, что позволяет использовать открытые каналы связи, например, Интернет, правда законодательство России запрещает использовать публичные сети для передачи по ним информации содержащей сведения, составляющие государственную тайну;
• целостность данных;
• защиту от анализа трафика;
• маштабируемость сети.

Использование всех предложенных выше средств защиты информации может спасовать перед очередной брешью в операционной системе или же прикладной программой. Устранение ее в кратчайшие сроки не позволит злоумышленнику как-либо навредить вам. Но если сеть очень большая и вы, являясь ее администратором, не всегда способны полностью проконтролировать, то, что устанавливает у себя пользователь, во время ли устанавливается очередная заплата… Для этих целей и существуют системы анализа уязвимостей, которые позволяют выявить бреши в вашей системе безопасности.

Их существует огромное множество. Приведем некоторые из них. NetRecon фирмы Axent Technologies, HakerShield фирмы BindView, Internet Scanner фирмы Internet Security System, Retina фирмы eEye Digital Security, CyberCop Scanner фирмы Network Associates, WebTrends Security Analyzer, System Analyst Integrated Network Tools фирмы World Wide Digital Security, программное обеспечение с открытым кодом Nessus Security Scanner и Security Administrator’s Research Assistant. В [2] приводится подробное тестирование некоторых средств оценки уязвимости.

Большинство этих средств достаточно дорого и кроме того не способны на 100 % дать уверенность в том, что ваша система не лишена уязвимостей. Но они также как СОВ и антивирусы могут обнаружить только известные дыры в операционных системах, и бессильны перед новыми неизвестными атаками. Поэтому, даже если постоянно заниматься обновлением сигнатур, может случиться так, что атака произойдет раньше, чем выйдет очередное обновление. Эти средства хороши, но не являются панацеей от всех бед.

Рис. 2 Пример организации защищенной корпоративной сети

Таким образом, защита конфиденциальной или секретной информации на предприятии подразумевает собой комплекс мероприятий, направленных на устранение возможных каналов утечки информации, а именно:

1. Защита помещения от возможного прослушивания и утечки информации.
2. Необходимо разработать нормативную базу, которая позволит соблюсти необходимый режим в организации, позволяющий не допустить посторонних лиц к секретам фирмы.
3. Использование сертифицированных криптографических средств при передаче и хранении секретной информации.
4. Электрическое разделение корпоративной сети на две независимые: сеть для передачи секретной информации, сеть для передачи открытой информации (см. рис. 2).
5. Необходимо обучение обслуживающего персонала, его постоянное повышение квалификации.
6. Защита открытого трафика сети от вторжения с публичной сети:

• межсетевые экраны;
• системы обнаружения атак;
• антивирусные средства;
• анализаторы системных журналов;
• системы анализа уязвимостей.

Руководствуясь перечисленным выше, а также используя принцип разумной достаточности, позволит организации исключить возможность утечки секретной информации.

1. Грег Шипли, Наблюдение за наблюдателями//Сети и системы связи - #3. – 2001. – С. 98 - 105.
2. Джефф Форристал, Грег Шипли, Сканеры для обнаружения изъянов в корпоративной сети//Сети и системы связи - #7. – 2001. – С.114 – 124.

Выше представлен первоначальный вариант статьи опубликованной в:

Мухин С.В. КАК ОСТАНОВИТЬ УТЕЧКУ ИНФОРМАЦИИ//Мир связи. CONNECT. - #10. - М: - 2001. - с. .