Безопасность в опасности

Карен Уинтон
CFO Asia

Больше эффективности

Несмотря на все дорогие технологии, призванные предотвратить вирусные атаки, повсюду вероятность заражения до сих пор удручающе высока. В прошлом году минимум одна из десяти компаний списка Fortune 500 пережила серьезный кризис, связанный с воздействием вирусов.

В сентябре со скоростью лесного пожара распространился вирус Nimda (слово «админ» задом наперед, если вы не поняли хакерского юмора), заразив гигантов вроде General Electric, Yahoo и Microsoft. Сообщали, что вирус вывел из строя GE на три дня.

Пробоины в системах заставили экспертов задуматься о правильности современной философии защиты. И тогда верховный жрец компьютерной безопасности, а в прошлом и сам разработчик вездесущих антивирусов для ПК усомнился в верности подхода технологий.

«Технология – не ответ», – говорит Питер Типпетт (Peter Tippett), основатель и технологический директор поставщика услуг безопасности TruSecure. Нет, утверждает он, технология – только одна из линий стратегии обороны, сочетающей ряд мер по осознанию риска и повышению бдительности в компании.

Похоже, метод Типпетта продиктован простым здравым смыслом. Однако, не желая уступать хакерам в подкованности, он отмечает, что подход основан на стандартной теории вероятности, известной как умозаключение Бэйза (Bayes): теолог Бэйз в XVIII веке научился рассчитывать вероятность события, применяя к известной ситуации новые условия.

Применительно к безопасности при взломе систем и проникновении в компьютер используется не одно слабое звено в системе, а несколько. Знание вероятности каждого риска по отдельности ничего не добавит к общему пониманию проблем, стоящих перед компанией.

Так что риск можно считать движущейся мишенью. Типпетт пытается на модели Бэйза строить нечто вроде сети-ловушки.

Если эффективность некоего средства или решения равна 80%, то один раз из пяти у нее будет прокол, говорит Типпетт. Для двух устройств с эффективностью 80% вероятность составляет 1 к 25. Три таких устройства дают соотношение 1 к 125: вероятность неудачи равна 0,8%, значит, возможность удачи - 99,2%.

Иными словами, чем эффективнее средства против взлома компьютера, тем менее вероятен взлом, особенно если эти средства связаны в единую систему блокировки.

Спокойнее спать по ночам

Этот метод подтверждается опытом профессионалов в плане уязвимости своих компаний. Джейн Рэдбоун (Jayne Radbone) руководитель службы бизнес-решений Nortel Networks в Австралии, считает, что лучшее средство для корпоративной безопасности – внутренняя политика, которая создает среду, вводит инструкции по контролю соблюдения и обслуживания – в дополнение к соответствующей технологии. «Суть стратегической безопасности в компании состоит в интеграции правил, процесса, культуры и технологии для комплексной безопасности», – говорит Рэдбоун.

Лян Те-хан, вице-президент и руководитель рабочего управления в NET263 (поставщик интернет-услуг в Пекине), формализовал этот подход. В идеале, говорит он, у безопасности пять уровней: сеть, доступ, сервер, приложение, правила управления.

Однако, утверждает он, руководители не видят деталей риска на каждом уровне. «Брандмауэр, например, защищает только один уровень – доступ, но его ошибочно считают защитой от всех вирусов».

Установив ПО безопасности Nokia Internet Centre, NET263 ввела круглосуточное, без выходных, дежурство команды специалистов ИТ, задача которых – незамедлительно реагировать на вторжение. «Нет смысла полагаться только на брандмауэр, – говорит Лян, – Нужно наблюдать и за работой сети, а кто-то обязательно должен быть на месте, чтобы принять меры в случае прорыва. Концепция круглосуточного наблюдения – важнейший аспект сетевой безопасности».

Конечно, не одни Nokia и TruSecure практикуют в отрасли компьютерную безопасность в режиме 24/7: Symantec, Nortel Networks и McAfee тоже предлагают руководство по установке систем, обнаруживающих вторжение, брандмауэры и иные конкретные продукты, плюс аппаратное и программное обеспечение.

Однако TruSecure продает программу управления риском предприятия. Консультация по оценке риска на год и план действий стоит от 50 тыс. долларов. Для сравнения: Gateway Security от Symantec – корпоративное комплексное приложение на платформе Linux, – обойдется от 20 тыс. и достигает 50 тыс. долларов за инсталляцию, в зависимости от размера компании и сложности внедрения.

Продолжение в выпусках: #204