Десять непреложных законов безопасности

Закон №1. Если вы запустили на своем компьютере приложение злоумышленника, это больше не ваш компьютер

Печально, но факт: когда приложение запускается на компьютере, оно всегда выполняет те задачи, для решения которых создавалось, даже если это абсолютно противозаконно. Запуская приложение, пользователь передает ему управление компьютером — оно может делать все, что может делать на компьютере сам пользователь. Например, оно может «запоминать», какие клавиши нажимает пользователь, и отправлять эти сведения в Интернет, открывать любые документы на компьютере и произвольным образом изменять их содержимое, отправлять друзьям и знакомым пользователя оскорбительные сообщения по электронной почте и даже форматировать жесткий диск компьютера. Да, вот еще: вредоносное приложение может установить вирус или программу, которая позволит кому угодно удаленно управлять компьютером через Интернет, подключившись к нему с помощью обычного модема где-нибудь в Катманду.

Поэтому очень важно никогда не запускать и даже не загружать приложения из источников, которым вы не доверяете, — причем под «источником» подразумевается не тот человек, от которого вы получили это приложение, а тот, который его создал. Кстати, существует хорошая аналогия между приложением и бутербродом. Если незнакомый человек предложит вам бутерброд, станете ли вы его есть? Вероятно, нет. А если бутерброд предложит ваш хороший друг? Может, станете, а может, и нет — в зависимости от того, сделал ли человек этот бутерброд сам или нашел на улице. Используйте для приложений те же критерии, что и для бутербродов, и вы защитите себя от большинства опасностей.

Закон №2. Если злоумышленник внес изменения в операционную систему вашего компьютера, это больше не ваш компьютер

Фактически, операционная система — это всего лишь набор нулей и единиц, которые интерпретируются процессором и «заставляют» компьютер выполнять определенные действия. Стоит изменить эти нули и единицы, и компьютер начнет делать что-то совершенно другое. Где же хранятся эти нули и единицы? На компьютере — там же, где и все остальное! Они представляют собой обыкновенные файлы, и если другие люди, которые используют этот компьютер, смогут изменять их — все пропало.

Это легко понять, если вспомнить, что файлы операционной системы входят в число наиболее доверенных файлов и, как правило, выполняются с правами системного уровня. Иначе говоря, содержащиеся в этих файлах программы могут выполнять любые действия. Кроме того, они имеют право управления учетными записями пользователей, изменения паролей и установки прав использования компьютера. Если злоумышленник сможет заменить эти файлы, содержащиеся в них приложения будут исполнять его команды, и он сможет сделать все, что захочет — похитить пароли, предоставить себе права администратора или же добавить в операционную систему новые функции. Чтобы предотвратить подобные атаки, обеспечьте надежную защиту системных файлов и реестра.

Закон №3. Если у злоумышленника есть неограниченный физический доступ к вашему компьютеру, это больше не ваш компьютер

Вам интересно, что злоумышленник может сделать с компьютером, если сможет до него дотянуться? Что ж, вариантов масса — начиная от методов каменного века и заканчивая утонченными приемами эпохи освоения космоса.

•    Устроить высокоэффективную низкотехнологическую атаку типа «отказ в обслуживании», от души врезав по компьютеру кувалдой.

•    Отсоединить компьютер от всех кабелей, вынести его из здания, а потом потребовать за него выкуп.

•    Загрузить компьютер с дискеты и отформатировать жесткий диск. Вы рассчитываете, что этому помешает установленный в BIOS пароль на загрузку? Не надейтесь — если злоумышленник сможет открыть корпус компьютера, он просто заменит микросхему BIOS (на самом деле, есть еще более простые способы обойти этот пароль).

•    Извлечь из компьютера жесткий диск, подключить его к другому компьютеру и считать все данные.

•    Сделать копию данных с жесткого диска и забрать с собой. Тогда у злоумышленника будет сколько угодно времени, чтобы подобрать пароли для входа в систему, а с помощью специальных программ, автоматизирующих данный процесс, он почти наверняка сможет это сделать. Когда это случится, вступят в действие указанные выше законы №1 и №2.

•    Заменить вашу клавиатуру клавиатурой с радиопередатчиком, который позволит следить за всеми нажатиями клавиш, включая ввод паролей.

Всегда обеспечивайте физическую защиту компьютера, соответствующую его ценности. Помните, что ценность компьютера определяется не только стоимостью самого оборудования, но и ценностью хранящихся на компьютере данных и размером убытков, которые может повлечь за собой доступ злоумышленника к сети компании. Как минимум, необходимо, чтобы все важные компьютеры (такие как контроллеры доменов, серверы баз данных, файловые серверы и серверы печати) находились в отдельной запертой комнате, в которую могли бы заходить только сотрудники, уполномоченные выполнять задачи по администрированию и обслуживанию. Однако можно защитить и остальные компьютеры организации, а также предпринять дополнительные меры безопасности.

Пользователи, которые берут в поездки переносные компьютеры, обязаны позаботиться об их защите. Все те особенности переносного компьютера, которые делают его таким удобным в поездках — маленький размер, небольшой вес и так далее, — облегчают и его кражу. Существует целый ряд замков и сигнализаций для переносных компьютеров, а некоторые модели позволяют извлекать из компьютера жесткий диск и носить с собой. Кроме того, существуют дополнительные возможности, такие как шифрующая файловая система (EFS) в Microsoft Windows® 2000, уменьшающие ущерб, даже если переносной компьютер будет похищен. Однако единственный способ, гарантирующий, что данные находятся в безопасности, а компьютер не испорчен — это всегда носить его с собой.

Закон №4. Если злоумышленник смог загрузить приложения на ваш веб-узел, это больше не ваш веб-узел

Фактически, этот закон является зеркальным отражением закона №1. В первом случае злоумышленник заставляет пользователя загрузить вредоносное приложение на свой компьютер и выполнить его, а во втором — злоумышленник загружает вредоносное приложение на компьютер пользователя и выполняет его самостоятельно. Хотя эта опасность возникает каждый раз, когда к компьютеру подключаются посторонние лица, подавляющее большинство подобных случаев происходит с веб-узлами. Многие люди, которые управляют веб-узлами, слишком беспечны и позволяют посетителям загружать на веб-узел приложения и выполнять их. Как было показано выше, запуск на компьютере приложения злоумышленника может привести к крайне нежелательным последствиям.

Поэтому администраторам веб-узлов необходимо ограничивать права посетителей и разрешать выполнение на веб-узле только приложений, созданных доверенными разработчиками или лично администратором. Однако этого может оказаться недостаточно. Администраторы, веб-узлы которых размещаются на одном сервере с веб-узлами других пользователей, должны соблюдать особую осторожность. Если злоумышленник сможет преодолеть систему безопасности одного из веб-узлов этого сервера, возможно, ему удастся получить контроль над сервером в целом и, как следствие, — над всеми веб-узлами данного сервера. Поэтому при размещении веб-узла на общем сервере необходимо изучить политику администратора сервера.

Закон №5. Ненадежные пароли делают бесполезной любую систему безопасности

Процесс входа в систему нужен для идентификации пользователя. Получив эти сведения, операционная система разрешает или запрещает доступ к соответствующим системным ресурсам. Если злоумышленник узнает пароль пользователя, он сможет входить в систему под именем этого пользователя. Фактически, операционная система будет считать, что он и есть этот пользователь. и, соответственно, позволит ему делать все, что может делать тот. Возможно, злоумышленник захочет ознакомиться с содержимым электронной почты и другими хранящимися на компьютере важными сведениями или выполнит какие-либо операции в сети, которые в другой ситуации были бы ему недоступны. А может, он просто попытается навредить и свалить вину на того пользователя, под именем которого он зашел в систему. В любом случае, чтобы избежать подобных последствий, необходимо защищать свои учетные данные.

Всегда используйте пароль (вы не поверите, узнав, сколько учетных записей имеют пустые пароли!), причем придумывайте что-нибудь посложнее. Не используйте в качестве пароля имя своей собаки, дату рождения или название любимой футбольной команды. И не вводите в качестве пароля слово «пароль»! Выбирайте пароли, содержащие строчные и заглавные буквы, цифры, знаки препинания и т. п. Используйте пароли максимальной длины и меняйте их как можно чаще. Выбрав надежный пароль, обращайтесь с ним надлежащим образом. Никогда не записывайте пароль. Если же записать пароль все-таки необходимо, спрячьте его в сейф или запирающийся шкаф — злоумышленники, пытающиеся узнать чужие пароли, первым делом изучают содержимое верхнего ящика стола и надписи на желтых наклейках, прилепленных к верхней части монитора. Никому не сообщайте свой пароль. Помните слова Бенджамина Франклина: «Два человека могут хранить тайну, только если один из них мертв».

И последнее — чтобы идентифицировать себя в системе, используйте более надежные средства, чем пароль. Например, Windows 2000 поддерживает применение смарт-карт, значительно повышающих надежность выполняемой системой проверки подлинности. Можно также использовать проверку отпечатков пальцев или сетчатки глаза и другие биометрические процедуры.

Далее...