Сегодня очень распространены рассуждения о том, каковы причины, делающие сотрудника источником проблем – инсайдером. Все, что касается людей и их мотивов, всегда интересно, однако есть область, в которой проблему инсайдеров можно решить без углубления в психологию явления. Это использование в организации USB-накопителей – флешек.

В отличие от угроз данным в сетях или на локальных компьютерах, которые реализуются с помощью весьма разнообразных атак, угрозы, связанные с флешками, характеризуются очень мощными общими признаками возможных атак: физическое завладение устройством и получение доступа к его памяти на каком-то ПК.

Защитить маленькое устройство от кражи (или находки в результате целенаправленного поиска, провокации потери) крайне сложно, а техническими методами практически невозможно. Да и применение организационных мер крайне затруднительно, поскольку на физическое владение таким маленьким предметом очень сильно влияет характер пользователя – рассеянный он или любит похвалиться, нечист на руку или доверчивый.

Значит, задача защиты флешки сводится к тому, чтобы сделать нелегальное физическое обладание ею бессмысленным. Именно эта логика положена в основу защищенных флешек семейства «Секрет».

Сравним эффективность противодействия атакам на USB-накопители традиционными способами и с применением «Секретов».

НАХОДКА ИЛИ КРАЖА

Потерять маленькое устройство очень просто, особенно если пользователь по характеру не очень внимательный. Невозможно быть уверенным ни в том, потеряна флешка или украдена, ни в том, что случайно нашедший ее человек не воспользуется записанными данными. В такой ситуации совершенно не успокаивает наличие в системе организации USB-фильтров и DLP-систем. Это утешение звучит даже несколько издевательски.

Насколько в подобной ситуации может успокоить PIN-код – вопрос философский. Предназначенные для подбора PIN-кода программы сегодня есть у каждого студента. Теоретически можно бороться с этим, увеличивая длину PIN-кода. Но чем длиннее PIN-код, тем выше вероятность того, что он записан на корпусе флешки.

Отпечаток пальца подобрать сложнее, чем PIN-код. Но если задуматься о том, как может быть реализована биометрическая аутентификация в обычной флешке, то становится предельно ясно, что эталон хранится на этой же флешке (флешке больше негде его хранить), а сравнение производится в оперативной памяти ПК (так как у флешки нет своих вычислительных ресурсов). Все следствия очевидны:

1) у системы есть доступ к флешке до аутентификации (иначе как она получит эталон?),

2) решение «сошлось» принимается в оперативной памяти компьютера (иначе где?).

Это значит, что на специально подготовленном компьютере (иными словами, на своем компьютере) злоумышленник сможет открыть флешку.

Шифрование данных на флешке, пожалуй, самый убедительный из традиционных способов. Однако ограничения у него все те же, что описаны выше в отношении биометрии: где-то на флешке хранится ключ, на котором в оперативной памяти ПК будет расшифровываться информация. Чтобы система получила доступ к ключу, нужно корректно аутентифицироваться. Таким образом, шифрование вообще никак не повышает защищенности флешки с PIN-кодом или «пальцем», так как задача одна – передать данные о корректной аутентификации.

Как же обстоит дело в случае применения «Секрета»?

Злоумышленник добыл «Секрет» и подключает его к своему «специально обученному» компьютеру. Все, что он увидит, – это появившаяся строка «другое устройство» в «Устройствах». Запускать какие-то специальные программы для взлома злоумышленнику бессмысленно, так как в системе не появилось никакого подключенного съемного диска.

ОТЪЕМ

За такую мелочь, как флешка, скорее всего, человек не будет биться до последнего, значит, выяснить PIN-код не вызовет затруднений у серьезно настроенного злоумышленника.

Фантазировать насчет биометрии совершенно не хочется.

Шифрование не поможет по тем же причинам: достаточно выяснить данные, необходимые для доступа к ключу.

Как же обстоит дело в случае применения «Секрета»?

Применять силовые меры обычно неприятно, поэтому, скорее всего, отняв флешку и выяснив аутентифицирующую информацию, злоумышленник с невольным инсайдером расстанется. А на его компьютере «Секрет» не примонтируется и не запросит PIN-код.

Развивая сюжет боевика, можно вообразить ситуацию, что злоумышленник взял владельца с собой, чтобы убедиться, что тот назвал ему верный PIN-код. Мол, если не подойдет – поговорим по-другому.

Ничего страшного, он сам убедится, что флешка «сломана» – не появляется диск в «Моем компьютере», некуда вводить PIN-код.

ЗАВЛАДЕНИЕ ОСТАВЛЕННЫМ БЕЗ ПРИСМОТРА УСТРОЙСТВОМ

Наверное, самый распространенный способ получить чужую флешку – это взять ее там, где пользователь ее бросил на пять минут, вздремнув или отойдя попить кофе. В этот момент сотрудник и становится «инсайдером».

С точки зрения противодействия злоумышленнику этот случай не отличается от кражи. С точки зрения действий преступника тоже.

Однако в случае с кражей или потерей владелец устройства знает о том, что инцидент произошел. А тут пользователь видит флешку на месте и не имеет ни малейших оснований для опасений.

Причем если для подбора PIN-кода или иной аутентифицирующей информации компьютер (ноутбук) злоумышленника должен быть снабжен минимальным инструментарием, а сам мошенник должен иметь минимальную квалификацию, то для того чтобы записать на флешку вредоносный код или просто заразить ее вирусами, ничего этого не нужно.

У системы есть доступ к флешке, значит, есть он и у вредоносного ПО. Game over.

Как же обстоит дело в случае применения «Секрета»?

До успешного прохождения взаимной аутентификации «Секрета» с компьютером и успешной аутентификации пользователя в устройстве взаимодействие производится только с модулем аутентификации «Секрета», который физически отделен от флеш-памяти. Флеш-диск при этом не примонтирован и недоступен системе – ни для чтения, ни для записи.

Заметим, что для случаев, когда важно не только не допустить успешную реализацию такой атаки, но и знать обо всех попытках атак, в продукте «Секрет Особого Назначения» ведется аппаратный журнал событий, в котором фиксируются все попытки подключения устройства к различным компьютерам – вне зависимости от того, успешной была попытка или нет.

Если у вас возникли хоть малейшие подозрения (флешка, кажется, лежала не здесь), можно проверить, чтобы знать точно.

ЗАВЛАДЕНИЕ ПУТЕМ МОШЕННИЧЕСТВА И СОЦИАЛЬНОЙ ИНЖЕНЕРИИ

По сути дела, это мягкий вариант отъема, отягченный, впрочем, дополнительными обстоятельствами:

1) пострадавший не знает (во всяком случае, в первый момент), что стал жертвой покушения, и не предпринимает своевременных мер;

2) при определенной квалификации мошенник может выстроить многоступенчатый сценарий атаки на систему, включающий не только единовременное завладение флешкой, но и подмену данных (заражение системы или внедрение в нее нужных ему закладок).

Очевидно, что если флешки с PIN-кодом, биометрией и шифрованием бессильны при отъеме и краже, то бессильны они и в этом случае. Наоборот, доверяя злоумышленнику, пользователь не только введет PIN-код и приложит палец, но и проследит, чтобы у преступника все было хорошо.

Как же обстоит дело в случае применения «Секрета»?

Возможны два сценария развития событий.

Если пользователь не знает, как организована система защиты (пользователям это знать не обязательно), а работает просто по факту – на легальных компьютерах работать сможешь, на нелегальных – нет, он подумает, что либо компьютер нелегальный, либо флешка сломалась. Так или иначе, даже будучи предельно доверчивым, помочь злоумышленнику открыть «Секрет» он не сможет.

Если же пользователь в курсе, как работает «Секрет», но мошенник сможет убедить его, что правда на его стороне, пользователь все равно будет вынужден обратиться к администратору за предоставлением разрешения на доступ, а администратор четко знает политику назначения прав.

ПОКУПКА У МОТИВИРОВАННОГО ИНСАЙДЕРА

Невозможно спорить с тем, что ни PIN-код, ни биометрическая аутентификация, ни шифрование данных не защитят от того, что легальный пользователь сам может отдать флешку заинтересованным лицам на привлекательных для себя условиях, скопирует данные на домашний компьютер и отправит куда-то по почте, принесет в информационную систему какие-то программы или данные в интересах третьих лиц.

Легальный пользователь – полновластный хозяин флешки.

Неужели с этим нужно смириться и подозревать всех, кто работает с флешками, каждый раз, когда они унесли их домой? Ведь проверить, было или не было, невозможно.

Как же обстоит дело в случае применения «Секрета»?

Основной этап системы контроля доступа в «Секрете» – взаимная аутентификация устройства и компьютера. В «Секрете» есть база компьютеров, а на компьютерах – база «Секретов». Только после того как «Секрет» опознал компьютер, который для него разрешен, а компьютер опознал устройство, которому можно на нем работать, процедура контроля доступа переходит к стадии аутентификации пользователя. То есть если «Секрет» подключен к постороннему компьютеру, он даже не станет выяснять, легален ли пользователь.

В таком случае просто бессмысленно уносить «Секрет» с собой.

Если же владелец хочет иметь возможность в любой момент проверить честность своих сотрудников, определить, не пытались ли они подключать «Секрет», то это можно сделать используя «Секрет Особого Назначения». В его специальном аппаратном журнале администратор может увидеть записи обо всех случаях подключений, даже неудачных. Это даст возможность не сомневаться, а убедиться в добросовестности своих сотрудников. Мы знаем, как важно доверять своей команде, и создали инструмент борьбы с сомнениями.