Компания ЛАНИТ провела семинар для заказчиков на тему «Информационная безопасность».
Компания ЛАНИТ провела семинар для заказчиков на тему «Информационная безопасность». Его участникам были представлены последние разработки производителей программных и аппаратных средств, с которыми этот ИТ-холдинг заключил партнерские соглашения. Организаторы мероприятия сосредоточились на первопричине уязвимости данных — пресловутом человеческом факторе.
Замки
Надежные засовы и замки — испытанное средство от проникновения непрошеных гостей. В современных информационных системах применяются свои «замки» — аппаратные и программные средства, защищающие владельцев корпоративных данных от хакерских атак и вредоносных программ.
Генеральный директор NetWell Дмитрий Коваль представил на семинаре ряд новых продуктов компании NetScreen. В отличие от многих производителей, поставляющих на рынок отдельные устройства и приложения для выполнения самостоятельных задач, NetScreen предлагает заказчикам многофункциональные «коробочные» решения. Недавно был анонсирован интегрированный продукт производительностью до 20 Мбит/с, поддерживающий функции межсетевого экрана, VPN и антивирусного сканера.
Еще одно устройство компании поддерживает технологию SSL. Подчеркивается, что прежде в линейке продуктов NetScreen таких средств попросту не было. Ожидается, что на российском рынке оно появится в начале 2004 года.
NetScreen также объявила о скором выходе новой версии операционной системы Screen OS, под управлением которой работают все устройства компании. Очередной релиз программного пакета включает механизмы обнаружения вторжения. Таким образом, в изделия NetScreen будут интегрированы практически все необходимые средства для защиты информационных систем. Кроме того, до конца года на рынке появится новая версия системы управления политикой защиты сетей NSM 2004 с усовершенствованным пользовательским интерфейсом.
Рамиль Яфизов из Symantec познакомил слушателей с глобальным сервисом раннего предупреждения о компьютерных опасностях — DeepSightSolutions. По сути, это всемирная служба оповещения о потенциальных уязвимостях сетей (например, о брешах в популярном ПО) и активных источниках угроз (новых вирусах, червях и пр.). Пополнение списка сетевых опасностей осуществляется путем постоянного сканирования киберпространства.
Ключи
Чтобы попасть в закрытое помещение, необходимо либо открыть дверь своим ключом, либо получить разрешение хозяев. Это правило одинаково справедливо и в отношении информационных систем, в которых механизм разграничения прав доступа, образно говоря, является ключевым элементом.
Процедура регистрации пользователей в ИТ-системе состоит из трех этапов: идентификация, аутентификация и авторизация. Все три процесса могут протекать в разных условиях и по различным сценариям, например с применением разных криптографических алгоритмов или протоколов связи. Существуют одно- и двухсторонние системы аутентификации. В последнем случае пользователь проверяет подлинность системы, к которой он получает доступ. Процедура идентификации может осуществляться в отношении самого пользователя и устройства, с помощью которого он собирается взаимодействовать с корпоративной системой.
Основным препятствием для надежного функционирования систем контроля за доступом является наличие гетерогенной информационной инфраструктуры. Зачастую в рамках одной организации для каждого бизнес-приложения нанимаются выделенные администраторы. Как показывает практика, нарушение режима безопасности чаще всего происходит в подобных многоуровневых системах.
Другая проблема — «всесилие» администраторов ИТ-систем. Как правило, они наделены правами неограниченного доступа ко всем ресурсам предприятия, в том числе к важной и секретной информации. Очевидно, что такое положение дел грозит утратой или дискредитацией ценных сведений о бизнесе компании.
Перечисленные проблемы можно решить с помощью продукции компании «Аладдин» (именно с двумя «д»), считает ее директор по продажам Антон Крючков. Для организации доступа он рекомендует использовать аппаратные средства двухфакторной аутентификации с применением смарт-карт и USB-ключей. Основу продуктовой линейки составляют ключи и карты EToken. В настоящий момент они поддерживают отечественную криптографию и более 70 приложений различных производителей. Развернув систему доступа на основе смарт-карт, заказчик одновременно получает готовую инфраструктуру для внедрения средств ЭЦП.
Вдобавок «Аладдин» предлагает комплект специализированного программного обеспечения. Среди новых продуктов был представлен пакет Universal Secure Logon для организации единой точки входа в гетерогенных средах и приложениях. Благодаря тому что атрибуты для регистрации пользователей хранятся в домене Active Directory Windows 2000 и зашифрованы с помощью ключевой технологии, доступ к необходимым ресурсам может получить только сам владелец ключа.
А ларчик просто открывался
Начальник управления информационной безопасности ЛАНИТ Игорь Лягунов сделал доклад о практических аспектах защиты ИТ-систем. Он отмечает, что 60—80% утечки информации в компаниях приходятся на собственных сотрудников. Кроме того, невозможно гарантировать полную защиту периметра сети. Как показывает статистика, даже при использовании самых современных межсетевых экранов блокируется лишь 35% инициированных атак. А от 45 до 70% случаев утечки информации просто не обнаруживаются службами безопасности.
Чаще всего потенциальные угрозы возникают из-за ошибочных действий пользователей или системных администраторов. Затем следуют сознательные утечки данных через персонал и информационные носители. Еще реже безопасность систем нарушается в результате аварий, пожаров и сбоев электропитания. И только на последнем месте по актуальности находятся инциденты, непосредственно связанные с атаками хакеров, вирусными эпидемиями и другими действиями внешних злоумышленников.
Лягунов повторил известный постулат о необходимости комплексного подхода к защите информации. Он подразумевает набор организационных и технических мероприятий, перманентно поддерживающих спланированную политику безопасности, цикличный учет и контроль за всеми изменениями в ИТ-системе. Но ответственность за соблюдение политики ИБ ложится, прежде всего, на сотрудников компании, а все технические средства служат лишь инструментальной базой для организации системы защиты.