Меры контроля за конфигурацией
Понятие контроля за конфигурацией обычно применяется в области разработки программ. Тем не менее, в какой-то степени оно также применимо и к функционированию программ. Напомним, что многие из системных программ так или иначе реализуют ПРД, поэтому важно, чтобы они корректно работали. То есть не следует разрешать произвольно изменять системные программы (такие, как операционную систему, и т.д.). По крайней мере, эти меры должны определять, кто имеет право изменять их, в каких случаях, и как эти изменения должны быть задокументированы.
В некоторых средах, контроль за конфигурацией также желателен в отношении физической конфигурации оборудования. Сохранение правильной конфигурации оборудования также должно быть отражено в ваших ПРД.
Меры контроля за паролями
Контроль за паролями в СРД может быть важен, если ваша организация хочет сделать пароли на самом деле секретными. Эти меры могут варьироваться от действий, направленных на периодическое изменение пользователями своих паролей (просьбы или приказы), до активных попыток вскрыть пароли пользователей с целью информирования их о том, как это легко сделать. Другая часть мер контроля за паролями касается вопроса о том, кто распределяет пароли - могут ли пользователи сообщать свои пароли другим пользователям?
обсуждает некоторые вопросы, на которые нужно ответить для организации правильного контроля за паролями. Независимо от ПРД требуется установить строгие меры по контролю за паролями во избежание раскрытия паролей. Важен выбор первых паролей для регистрационных имен. В некоторых случаях пользователи могут никогда не войти в АС для активизации своего регистрационного имени; поэтому первый пароль не должен быть легко угадываемым. Никогда не следует назначать пароли по умолчанию регистрационным именам: всегда назначайте новые пароль для каждого пользователя. Если есть списки паролей на бумаге, они должны держаться в защищенном месте, а еще лучше их вообще не записывать.
Меры контроля за регистрационными именами
Меры контроля за регистрационными именами важны при защите от несанкционированного доступа к вашей АС. Необходимо ответить на несколько вопросов: Кто может иметь регистрационное имя в вашей АС? Сколько времени кто-либо может использовать свое регистрационное имя без перерегистрации? Как старые регистрационные имена удаляются из АС? На все эти вопросы в ваших ПРД должны быть явно указаны ответы.
Кроме того, при ответе на вопрос, кто может использовать АС, важно установить, для чего может использовать АС каждый пользователь (разрешено ли использование в личных целях). Если вы соединены с внешней сетью, управление вашей организацией может иметь определенное мнение о том, для чего может быть использована сеть. Поэтому, для любых ПРД важно определить адекватные меры контроля за регистрационными именами как для администраторов, так и для пользователей. Обычно системный администратор должен отвечать за создание и удаление регистрационных имен пользователей и осуществлять общий контроль за использованием АС. В какой-то степени контроль за регистрационным именем лежит и на каждом пользователе АС в том смысле, что пользователь должен следить за сообщениями АС и событиями, которые могут указывать на нарушение ПРД. Например, пользователь должен доложить о сообщении при входе, указывающем дату и время последнего входа в АС, если оно указывает неверное время последнего входа в АС.
| |
Нестандартные конфигурации
Иногда может оказаться выгодным слегка изменить конфигурацию, для того чтобы расстроить стандартные атаки, используемые некоторым злоумышленниками. Нестандартная часть конфигурации может включать измененные алгоритмы шифрования паролей, другое местоположение файлов, а также переписанные или функционально ограниченные системные команды.
Тем не менее, нестандартные конфигурации имеют свои недостатки. Изменяя "стандартную" АС, эти модификации затрудняют поддержание работы программного обеспечения, требуя написания дополнительной документации, модификации программ после обновления операционной системы, и обычно, кого-то, кто знает все об этих изменениях.
Из-за этих недостатков, нестандартные конфигурации часто используются на ЭВМ с "горящими стенами "(смотри раздел ). ЭВМ с "горящей стеной" модифицируется для более успешного отраже- ния атак, в то время как во внутренних ЭВМ позади "горящей стены" конфигурация остается стандартной.
| |
Организуйте плановые тренировки
Плановые тренировки не являются тем мероприятием, которое должно проводиться каждый день, но помогут вам определить, адекватны ли применяемые меры для ожидаемых угроз. Если ваша основная угроза - стихийное бедствие, то тренировка должна быть связана с проверкой механизмов производства архивных копий и восстановления с них. С другой стороны, если угроза исходит от злоумышленников, пытающихся проникнуть в вашу АС, то тренировка может быть связана с реальной попыткой проникновения для наблюдения за эффективностью СРД.
Тренировки являются важным способом проверки эффективности ваших ПРД и СРД. С другой стороны, тренировки могут требовать времени для своего проведения и мешать нормальной работе. Важно сопоставить выгоды тренировок с возможными потерями времени, связанными в ними.
Процедуры изменения паролей
То, как производится изменение паролей, очень важно для сохранения паролей в тайне. В идеале, пользователи должны оперативно изменять свои пароли. (Отметим, что программы изменения паролей - излюбленная мишень злоумышленников. Смотрите об управлении конфигурацией для более подробной информации).
Тем не менее, существуют исключительные ситуации, в которых нужно поступать очень осторожно. Пользователи могут забыть пароли и потерять доступ к АС. Стандартной процедурой является назначение пользователю нового пароля. Следует проверять, что запросил изменение пароля и получил его настоящий пользователь. Распространенной среди злоумышленников уловкой является звонок или посылка сообщения системному администратору с запросом нового пароля. Нужно по другому каналу связаться с пользователем и проверить, что это действительно он, перед тем, как назначать пароль. В некоторых организациях пользователям требуется лично прийти к администратору.
Также могут возникнуть ситуации, когда требуется изменить сразу много паролей. Если АС скомпрометирована злоумышленником, то он может украсть файл паролей из АС и стереть его. В таком случае единственным решением должна быть замена всех паролей в АС. Ваша организация должна иметь процедуры того, как это сделать быстро и эффективно. Что конкретно вы будете делать, зависит от ситуации. Если это атака, имевшая целью разрушение АС, то можно принудительно удалить все регистрационные имена и назначить пользователям новые пароли до того, как они смогут войти в АС. В некоторых организациях пользователям посылается сообщение о том, что им нужно изменить свой пароль в течение определенного периода времени. Если пароль не меняется по истечении указанного периода времени, то регистрационное имя блокируется.
Пользователи должны быть извещены о том, какова стандартная процедура, применяемая при замене паролей, в случае нарушения защиты. Один хорошо известный инцидент, о котором сообщила CERT, заключался в том, что пользователям посылались сообщения, якобы от местного системного администратора, требующие их заменить свой пароль на новый, указанный в этом сообщении. На самом деле эти сообщения были посланы не администратором, а злоумышленником, пытающимся узнать регистрационные имена. Поэтому пользователей следует предупредить, чтобы они немедленно сообщали о всех подозрительных сообщениях, аналогичных этому, администрации организации.
| |
Проверка безопасности СРД
Многие бизнесмены каждый год выполняют проверку своих финансовых операций в процессе их деловой жизни. Проверка безопасности АС является важной задачей для любой АС. Эта часть СРД должна включать в себя как обзор всех правил, связанных с защитой АС, так и механизмы, реализующие их.
Проверьте действие мер безопасности
Если было принято решение не проводить плановые тренировки для проверки всей вашей СРД в комплексе, то важным становится частая проверка отдельных мер безопасности. Проверьте вашу процедуру создания архивных копий, чтобы удостовериться, что вы сможете восстановить данные с лент. Проверьте файлы журналов, чтобы быть уверенным, что информация, которая должна находиться в них, действительно записывается в них, и т.д.
После принятия решения о проверке безопасности АС нужна большая осторожность при определении набора тестов работоспособности ПРД. Важно четко определить, что тестируется, как проводятся эти проверки, и какие результаты вы ожидаете от этих проверок. Все это должно быть документировано и включено в документ о ПРД.
Важно проверить все аспекты ПРД, как организационные,так и автоматизированные, особо обратив внимание на автоматизированные механизмы, используемые для проведения политик в жизнь. Тесты должны быть составлены таким образом, чтобы можно было получить законченное представление обо всех особенностях ПРД, то есть, если проводится проверка того, как пользователь входит в АС, то должно быть явно установлено, что будут использоваться как корректные, так и некорректные имена и пароли пользователей для демонстрации правильной работы программы входа в АС.
Помните, что существуют разумные пределы для тестов. Целью тестирования является проверка того, что ПРД корректно реализуются, а не доказательство того, что ПРД или АС абсолютно защищена. Целью должна быть некоторая уверенность в том, что меры защиты, реализующие ваши ПРД, являются адекватными.
| |
Выбор пароля
Наверное, самой уязвимой частью любой АС является пароль регистрационного имени. Любая АС, независимо от того, насколько она защищена от атак из сети, из модемов, троянских коней, и т.д., может быть полностью использована злоумышленником, если он или она получат доступ к ней с помощью плохого пароля. Важно определить хороший набор правил для выбора пароля, и применять эти правила ко всем пользователям. Если возможно, программное обеспечение, которое генерирует пароли пользователям, должно быть модифицировано для реализации ваших правил.
Ниже приводится простой набор рекомендаций для выбора пароля:
НЕ используйте ваше регистрационное имя в каком бы то ни было виде (как есть, обращенное, заглавными буквами, удвоенное, и т.д); Не используйте ваше имя, фамилию или отчество в каком бы то ни было виде; НЕ используйте имена вашего супруга (супруги) или ваших детей; НЕ используйте другую информацию о вас, которую легко можно получить. Она включает номера телефонов, номера лицевых счетов, номер вашего автомобиля, название улицы, на которой вы живете, и т.д.; НЕ используйте пароль из одних цифр или из одних букв; НЕ используйте слово, которое можно найти в словарях; НЕ используйте пароль короче шести символов; используйте пароль с буквами из разных регистров; используйте пароль с небуквенными символами (цифрами или знаками пунктуации) используйте пароль, который легко запомнить, чтобы у вас не возникало желания записать его используйте пароль, который можно быстро набрать на клавиатуре, не смотря на нее.
Методы выбора пароля, соответствующие этим рекомендациям, включают :
выберите строку или две строки из песни или поэмы и используйте первую букву каждого слова; замените в слове из семи-восьми букв одну согласную и одну или две гласных. Это даст вам слово-абракадабру, которое обычно произносимо и поэтому легко запоминается; выберите два коротких слова и соедините их вместе со знаком пунктуации между ними.
Пользователям также следует периодически напоминать, что им надо изменить пароли, обычно раз в три-шесть месяцев.
Это поможет быть уверенным в том, что злоумышленник, раскрывший пароль, впоследствии потеряет доступ к АС, а также любой украденный список паролей станет недействительным. Многие АС позволяют системному администратору заставлять пользователей менять пароли после определенного периода времени; эти программы должны использоваться, если они есть в АС (например, утилита SYSCON в Netware 3.Х).
Некоторые АС содержат программы, которые заставляют регулярно пользователей регулярно изменять пароли. Многие из этих АС также имеют генераторы паролей, которые обеспечивают пользователя набором паролей, из которого он может выбирать. Пользователю этих АС не разрешается самому задавать пароль. Существуют аргументы и за , и против таких АС. С одной стороны, используя сгенерированные пароли, пользователи защищены от выбора плохих паролей. С другой стороны, если только генератор не делает легкие для запоминания пароли, пользователи начнут записывать их для того, чтобы запомнить.
