Управляющее резюме
Global Finance Inc. (в дальнейшем в кейсе будет сокращенно GFI) — крупная транснациональная компания, функционирующая на территории Северной Америки и предоставляющая своим клиентам многочисленные финансовые продукты и услуги. Конечная цель GFI — стать прибыльной и расширить свое влияние в регионе. Тем не менее, несмотря на их относительный маркетинговый успех, их восприимчивость к цифровым атакам значительно снижает шансы завоевать уважение и одобрение клиентов. В перспективе это негативно скажется на уровне общественного доверия и приведет к упадку компании. Цель настоящего тематического исследования — изучить проблемы, присущие ИТ-отделу GFI, оценить все сопутствующие риски и предложить метод устранения каждой из уязвимостей.
Процесс оценки рисков, проводимый в рамках данного тематического исследования, включает в себя все вопросы, связанные с сетью. Автор тематического исследования также уделяет особое внимание уровню каждого риска и обосновывает правильное реагирование на эти риски. Наиболее важные уровни включают сетевые/беспроводные/веб-протоколы и физическую безопасность/безопасность периметра. Автор также считает, что тщательный подход к защите этих активов GFI можно объяснить невозвратным характером работы ИТ-подразделения. Это означает, что в случае возникновения чрезвычайной ситуации столь важный компонент инфраструктуры компании может поставить под угрозу не только саму корпорацию, но и ее клиентов. Отсутствие ИТ-поддержки приведет к тому, что ряд рисков может оставить бизнес позади конкурентов. Автор тематического исследования предлагает несколько стратегий снижения рисков, которые охватывают все самые интимные регионы сети и не требуют больших затрат на реализацию. Развивающийся характер ИТ-угроз делает такие меры требованием, а не прерогативой.
Инвентаризация активов
Физические активы, доступные GFI, представлены ниже (см. Таблицу 1). Автор этого тематического исследования провел обширный анализ доступных физических ресурсов и пришел к оценке как денежной стоимости этих активов, так и их приоритетности с точки зрения распространения риска.
Таблица 1. Физические активы.
Как видно из таблицы 1, GFI чрезмерно заинтересован в инвестировании денежных ресурсов в свои физические активы. Ее рабочие станции и внутренние серверы имеют высший приоритет, поскольку они способствуют развитию сети и получению конечных корпоративных преимуществ (Сталлингс, 2016). Тем не менее, их влияние может быть столь же критическим, когда речь идет об уровне риска, связанного с сетевой безопасностью и защитой данных. Например, любые данные о клиентах могут быть потеряны, а это приведет к денежным потерям, что приведет к кризису или банкротству. Еще одним важным моментом обозначения внутренних серверов как критически важного актива является влияние последних на инфраструктуру компании и общую функциональность (Knapp, Langill & Samani, 2015).
Мягко говоря, большинство сотрудников GFI ежедневно полагаются на эти услуги, и невозможность связи с другими подразделениями компании подорвет доверие клиентов и прибыльность компании. Кроме того, автор кейса подчеркивает важность каналов связи, устанавливаемых с помощью коммутаторов и маршрутизаторов. Процесс передачи данных внутри сети будет затруднен. Мы должны учитывать доступность ежедневных операций, которые могут стать недоступными, например, из-за уязвимостей, присущих VPN или настройке сервера (Сталлингс, 2016). Такие активы, как копировальные аппараты или серверы RAS, нельзя оценивать как критически важные, поскольку большая часть ежедневных операций, выполняемых в GFI, по-прежнему будет доступна сотрудникам. Единственное, что пострадает, — это уровень мобильности сотрудников (например, в случае отключения беспроводного соединения можно будет использовать проводное соединение).
Безопасность периметра
Одним из самых первых вопросов, которые необходимо решить, является безопасность периметра, поскольку существуют внешние и внутренние точки доступа, которые влияют на состояние ИТ-дела в GFI (Столлингс, 2016). Концепция безопасности периметра также опирается на VPN и другие методы удаленного подключения. По имеющимся данным, одной из крупнейших угроз является DoS. Эта уязвимость может возникнуть из-за невозможности должным образом фильтровать входящий трафик (это ограничение является следствием плохой топологии сети). Поэтому маршрутизатор никогда не следует использовать в GFI в качестве фильтра сетевого трафика, поскольку в большинстве случаев источник входящей информации, скорее всего, останется неизвестным (Кумар, Сингх и Джаянти, 2016). Один из способов решения этой проблемы — добавить дополнительный уровень безопасности к существующему межсетевому экрану и настроить его таким образом, чтобы системные администраторы GFI могли фильтровать входящий трафик до того, как он пройдет через пограничные маршрутизаторы. Положительный эффект от такого нововведения можно охарактеризовать как возможность повысить скорость распространения информации внутри сети и увеличить возможности ограничения входящего трафика.
Инфраструктура удаленного доступа
Инфраструктура удаленного доступа в GFI должна быть основана на соответствующем VPN-шлюзе. Несмотря на многочисленные преимущества, VPN может быть довольно опасным активом. В случае GFI VPN-соединение не шифруется, и это может привести к многочисленным рискам безопасности, которые не удастся устранить в течение короткого периода времени (Kumar et al., 2016). Хорошо известен тот факт, что удаленный доступ оставляет всю информацию в виде обычного текста, если соединение инкапсулировано. Поэтому существует необходимость защитить информацию, поскольку к ней можно получить доступ из любого удаленного места. Шифрование необходимо (например, IPSec), поскольку текущий метод аутентификации требует от пользователя только ввода пароля (Knapp et al., 2015).
Этот риск необходимо снизить, и может быть полезно реализовать двухфакторную аутентификацию. Сделав это, GFI сможет защитить своих сотрудников и повысить уровень безопасности своей системы. Несанкционированный доступ, который был возможен при авторизации CHAP (защита только паролем) (Сталлингс, 2016). Компания должна сделать все возможное, чтобы свести к минимуму возможность подвергнуться прослушиванию программного обеспечения и получить доступ к любой части сети, просто подключившись к коммутатору GFI (Kumar et al., 2016). Далее автор тематического исследования обсудит способы обеспечения безопасности портов и защиты сотрудников GFI от угроз беспроводных сетей, которые могут существенно повлиять на их мобильность. В перспективе блокировка портов на маршрутизаторах компании может исключить случаи несанкционированного доступа к конфиденциальным данным.
Мобильность и безопасность
Продолжая тему мобильности и доступности связи, автор исследования приходит к выводу, что нынешнее отсутствие защиты в GFI может повлиять на будущее компании (Сталлингс, 2016). Прежде всего, сотрудники должны иметь свободу использования своих устройств в сети компании, но для работников должен быть установлен набор правил, которые ограничивали бы их взаимодействие с внешними источниками информации (Кумар и др., 2016). . Это может положительно повлиять на практику общения сотрудников и уровень производительности. Тем самым автор кейса намерен предоставить доступ к любой информации, которая может иметь отношение к работе, из любого места офиса компании. В любом случае это может негативно повлиять на безопасность данных GFI. Одним из способов решения этого вопроса является внедрение единой политики, которая бы регулировала использование мобильных устройств внутри внутренней сети компании.
Необходимо ввести ряд ограничений для мониторинга сети на наличие устройств, которые могут загрузить вредоносное ПО или нанести какой-либо иной ущерб. Основная цель этой инициативы — разрешить сотрудникам GFI использовать свои устройства, но включить ряд ограничений в корпоративную политику (Knapp et al., 2015). GFI может реализовать дополнительный уровень аутентификации, характерный для беспроводных сетей, чтобы создать сложную среду, в которой пользователь сможет взаимодействовать с сетью только в том случае, если у него есть необходимая информация, связанная с сертификацией (Сталлингс, 2016). Если человек на другом конце не знает необходимых данных (пароля), он не сможет связаться с сетью GFI. Внедрение стандарта 802.1x может привести к созданию вариантов подключения на основе портов, которые снизят нагрузку на точки беспроводного доступа и коммутаторы компании (Kumar et al., 2016). Такой унифицированный подход к защите мобильности выгоден, поскольку сеть станет интегрированной и будет обеспечивать всестороннюю безопасность.
Беспроводные уязвимости
Беспроводной протокол, который в настоящее время используется в GFI, — WEP. Проблема с этим типом протокола состоит в том, что он выходит за пределы физических ограничений сети GFI и может считаться устаревшим. Можно с уверенностью сказать, что наличие WEP не повышает уровень безопасности сети, поскольку существуют некоторые инструменты, которые могут помочь довольно легко преодолеть границы WEP. Это привело автора тематического исследования к мысли, что стандарт WPA2-AES может использоваться ИТ-отделом GFI. Данное внедрение критически повлияет на уровень уязвимости сети компании к внешним воздействиям. Более того, администрации следует обратить пристальное внимание на возможность хакеров получить доступ к беспроводным сетям, не находясь физически в офисе. Требуется внедрить стандарт WPA2 и переместить точки доступа, чтобы минимизировать шансы хакеров получить доступ к наиболее чувствительной области сети (Knapp et al., 2015). Автор кейса также предлагает максимально настроить беспроводные соединения, чтобы снизить вероятность того, что GFI подвергнется несанкционированным атакам, происходящим за пределами физического местонахождения корпорации. Обоснование этого будет обсуждаться далее в тематическом исследовании.
Протоколы аутентификации
Что касается протоколов аутентификации, автор предполагает, что использование VPN может положительно повлиять на безопасность процесса аутентификации. Общеизвестный факт, что большинство организаций в настоящее время стараются максимально эффективно использовать инструменты удаленного доступа, поэтому использование VPN может быть полностью оправдано в рамках текущего исследования. Типичный VPN-шлюз похож на концентратор удаленного доступа и может стать серьезным преимуществом в процессе построения более сложной процедуры аутентификации (Knapp et al., 2015). Одним из самых больших преимуществ этой технологии является минимизация времени, затрачиваемого на аутентификацию и передачу информации. В GFI CHAP — это протокол, который установлен в данный момент. Это одна из самых слабых инфраструктур аутентификации, и крайне важно заменить ее обновленной версией протоколов безопасности.
Компания может использовать токены или цифровые сертификаты. ИТ-отдел GFI также может попытаться объединить CHAP с протоколом шифрования. Это приведет к ситуации, когда любой потенциальный хакер попытается получить доступ к частной сети компании вместо того, чтобы атаковать само шифрование. В этом случае VPN будет защищен от атак. Учитывая тот факт, что GFI пока не использует цифровые сертификаты, им необходимо пересмотреть свою стратегию CHAP. Ключевым обоснованием отказа GFI от использования цифровых сертификатов является приоритет аутентификации не конечного пользователя, а связанного устройства (Kumar et al., 2016). Это считается неблагоприятным, поскольку доступ с нескольких устройств недоступен и вся информация может быть потеряна в случае хищения устройства (Knapp et al., 2015). Автор тематического исследования подчеркивает важность объединения CHAP и VPN из-за их взаимодополняющих характеристик аутентификации. С точки зрения безопасности GFI может рассмотреть возможность объединения протокола аутентификации CHAP со специально разработанным цифровым сертификатом, чтобы обеспечить двойную защиту.
Протоколы веб-системы
Протоколы веб-системы отвечают за защиту данных, которые могут находиться на файловом сервере компании (Кумар и др., 2016). Этот конкретный вопрос имеет большое значение для GFI, поскольку они были вовлечены в ситуации, когда скомпрометированные конфиденциальные данные приводили к неожиданным денежным затратам, предназначенным для восстановления данных и возмещения ущерба. GFI может быть заинтересована в создании специального модуля аутентификации, предназначенного для улучшения механизма аутентификации. Этот модуль LDAP можно интегрировать в сборку Apache. Тем не менее, важно учитывать небезопасную природу веб-протокола HTTP, поскольку пароль и идентификатор пользователя будут передаваться через LDAP в виде обычного текста (Knapp et al., 2015). Эта проблема довольно серьезна, поскольку она позволяет практически любому прослушивать эти данные и получать доступ к расширению протокола HTTP под названием DAV (распределенное авторинг и управление версиями). Текущая ситуация в GFI показывает, что у них нет возможности зашифровать трафик и предотвратить возможную потерю данных. Протокол SSL также отсутствует. Последнее означает, что порт 443 (HTTPS) неактивен и хакеры могут легко проникнуть в систему и обойти все существующие меры безопасности. Внедрение SSL потребует от администраторов закрыть порт 80 и поддерживать технологию SSL на своем сервере.
Среда облачных вычислений
Еще одна область, которая может оказать решающее влияние на GFI, — это облачные вычисления. Создание такой среды может помочь компании укрепить свои позиции на рынке и привлечь больше клиентов, не беспокоясь так сильно, как раньше, о безопасности или свободном месте на жестких дисках. Более того, это прекрасная возможность расширить сферу деятельности компании и привлечь больше последователей в онлайн-среде (Кумар и др., 2016). Идея среды облачных вычислений заключается в том, что все клиенты GFI будут отправлять запросы на физический веб-сервер, расположенный в пределах корпоративной сети. В перспективе это позволит компании предлагать свои услуги любому человеку из любого конкретного места. Для GFI единственный вопрос – безопасность такой среды. Решение разместить данные на веб-сервере ограничит объем входящего трафика и защитит его от самых разрушительных атак. Реализация этой инициативы серьезно зависит от физического местоположения веб-сервера. Существует необходимость разделить внешнюю и внутреннюю версии сети, чтобы ограничить все нежелательные и неаутентифицированные соединения (Knapp et al., 2015).
GFI также придется рассмотреть возможность установки двух межсетевых экранов, предназначенных для защиты раздела. Внутренняя сеть будет сохранена в безопасности за счет разделения последней и Интернета. Такая конструкция должна включать один межсетевой экран между внутренней сетью и сервером компании, а другой — между двумя межсетевыми экранами. Внешний брандмауэр будет связываться со всеми входящими источниками информации с целью их сортировки, тогда как внутренний жестко блокирует весь входящий трафик, что может привести к повреждению веб-сервера. Автор тематического исследования подчеркивает важность правильной настройки межсетевых экранов. Это понадобится для защиты внутренней сети и снижения рисков, связанных с раскрытием корпоративных данных клиентам или хакерам. В заключение отметим, что реализация конструкции двойного брандмауэра позволит блокировать весь трафик, кроме HTTP и HTTPS (порты 80 и 443 соответственно) (Стюарт, 2014). Комплексная среда облачных вычислений защитит GFI, но администрация должна потратить деньги на дополнительное оборудование, чтобы сделать такую настройку возможной.
Обзор уязвимостей
Большинство уязвимостей, которые будут оцениваться далее в ходе исследования, уже упоминались ранее — безопасность периметра, шифрование, физическая безопасность, удаленный доступ, беспроводная безопасность, удаленный доступ. Автор подробно рассмотрит их, чтобы дать ряд соответствующих рекомендаций и обосновать действия по борьбе с каждым из перечисленных рисков. В целом эти уязвимости необходимо проанализировать, поскольку они могут повлиять на международное положение компании и общую прибыльность. К концу кейса автор сможет предоставить читателям комплексный набор мер, которые смогут защитить компанию от потери данных и непрекращающихся хакерских атак. Существует два основных типа уязвимостей, которые будет рассмотрен автором тематического исследования: физические и нефизические. Хотя физические угрозы гораздо более разрушительны, исследователь утверждает, что только комплексный подход к оценке и управлению рисками может помочь GFI избавиться от устаревших протоколов и разработать лучший план защиты данных.
Количественная и качественная оценка рисков
Первый риск, который GFI должен немедленно устранить, — это отсутствие безопасности периметра (Сталлингс, 2016). Проблема здесь заключается в том, что у компании всего два пограничных маршрутизатора. Несмотря на то, что они дороги и многофункциональны, они не могут должным образом защитить сеть, и для снижения этого риска придется принять множество дополнительных мер. Ключевая проблема существующего оборудования заключается в том, что оно не может фильтровать запросы, поступающие из внешних лимитов (Kumar et al., 2016). Более того, они не обеспечивают конечным пользователям адекватных мер безопасности, поэтому крайне важно устранить этот критический риск и принять решение как можно скорее. Второй риск — отсутствие каких-либо методов шифрования (вспомним случай, когда у сотрудника GFI был украден ноутбук, а данные на жестком диске не были закодированы). Это критический риск, который нельзя игнорировать в рамках нынешнего положения дел. Практически любой может перехватить информацию, поскольку большинство ноутбуков и настольных компьютеров не защищены должным образом (Сталлингс, 2016).
Удаленный доступ к частным и конфиденциальным данным также находится под угрозой из-за отсутствия методов шифрования. Третий вопрос – физическая безопасность, и он неразрывно связан с предыдущим пунктом. Любой, кто подключит свое устройство, может получить доступ к сети GFI и обойти защиту порта (принимая во внимание, что в настоящее время в GFI не настроена защита порта). Мы также можем расширить обсуждение темы VPN и включить в него риск, связанный с удаленным доступом к данным, расположенным на серверах GFI. Здесь проблема состоит в том, что хакеры могут легко скомпрометировать сеть посредством коммутируемого доступа к информации (Кумар и др., 2016). Установка VPN — это, вероятно, единственный безопасный вариант, доступный GFI, который не окажется ни дорогостоящим, ни сложным. Если компания решит не удалять устаревшее коммутируемое соединение, она подвергнется высокому риску однофакторной аутентификации. Точку доступа, которая существует только благодаря возможности коммутируемого доступа, следует удалить из сети GFI, чтобы подготовить почву для сети на основе VPN и снизить уязвимость удаленного доступа.
Риски, связанные с концепцией облачных вычислений, включают безопасность, возможный несанкционированный доступ к данным клиента, юридические риски, отсутствие контроля и потерю контроля над платформой. В электронной коммерции такие аспекты играют очень важную роль, поэтому их нельзя игнорировать (Сталлингс, 2016). Дальнейшая настройка платформы электронной коммерции, разработанной в GFI, может привести к непредсказуемым последствиям, поэтому администрации необходимо быть готовым к последствиям таких решений. Эта тема также связана с вопросом беспроводной безопасности (Кумар и др., 2016). Существующий протокол является ключевым источником риска высокого уровня, поскольку системы на базе WEP можно взломать даже с помощью самого простого программного обеспечения, которое доступно каждому пользователю и ничего не стоит. Риск, который может быть связан с существующей системой, — это возможность доступа к сети даже за пределами физического расположения офиса. Если хакер получит полный доступ к внутренней сети GFI, это закончится последующей потерей личных данных и денег.
Процедуры снижения рисков
Одним из первых действий, которые необходимо сделать для защиты сети компании от вторжений, может быть установка двух межсетевых экранов. Это поможет GFI защитить свою внутреннюю сеть от несанкционированных взломов. Размер сети также намекает на то, что возможность взлома может привести к несортированному потоку вредоносного трафика (Стюарт, 2014). Сделав это, компания сможет усилить безопасность периметра и минимизировать вероятность потери важных активов. Приобретение межсетевых экранов обойдется GFI как минимум в 10 000 долларов, но следует отметить, что без этого оборудования у компании не будет никаких шансов против хакеров и последующих нарушений безопасности. Также есть возможность установить IDS (устройство обнаружения вторжений). Несмотря на то, что он стоит около $10 000, его преимущества очевидны – он позволит администраторам гораздо более агрессивно фильтровать входящий трафик. Также есть преимущество, заключающееся в том, что любая IDS способна генерировать оповещения при необходимости (Стюарт, 2014). Что еще более важно, критический риск, вызванный отсутствием какой-либо защиты периметра, может быть успешно смягчен путем объединения IDS и нескольких межсетевых экранов. В перспективе такая инициатива может спасти компанию и минимизировать затраты на ее восстановление.
Еще одна важная область, которую необходимо решить, — это наличие рисков, связанных с удаленным доступом и безопасностью данных. Первое можно решить путем установки IPSec. Это позволит компании предоставлять доступ своим удаленным сотрудникам, не боясь потерять свои внутренние ресурсы (Стюарт, 2014). Компания может быть заинтересована в приобретении ряда цифровых сертификатов, чтобы гарантировать успешное шифрование всех своих сообщений на протяжении всего процесса передачи данных. Когда дело доходит до безопасности данных, одним из самых простых способов справиться с рисками, связанными с этой частью сети, может быть внедрение BitLocker (Сталлингс, 2016). Это базовый инструмент, который позволит администраторам GFI защитить данные, расположенные на жестких дисках, и физически зашифровать их. Учитывая тот факт, что большинство сотрудников GFI используют ноутбуки, установка BitLocker должна быть основной задачей системных администраторов. Другими словами, использование BitLocker гарантирует безопасность активов компании даже в случае их кражи (Vacca, 2013). Учитывая потенциальную цену восстановления украденных данных, автор кейса уверен, что стоимость внедрения BitLocker значительно ниже, чем стоимость восстановления утерянных активов.
Последняя часть процедур по снижению риска должна быть посвящена защите через Интернет. Прежде всего, это среда облачных вычислений компании. Чтобы защитить его, администрации придется переместить свой веб-сервер и разместить его где-нибудь за пределами внутренней сети, чтобы свести к минимуму вероятность контакта между внутренней сетью компании и веб-сервером (Vacca, 2013). Автор кейса считает, что единственные расходы в рамках данного обновления связаны с покупкой еще одного сервера, необходимого для размещения сайта компании. Следовательно, существуют риски, связанные с безопасностью портов, которые необходимо устранить. Тем не менее, они не требуют никаких денежных затрат, поскольку единственное, что необходимо сделать – это правильная настройка имеющегося оборудования. Как уже говорилось ранее, необходимо заблокировать неиспользуемые порты (Сталлингс, 2016).
Никаким внешним источникам ни при каких обстоятельствах не разрешается подключаться к сети. Все сетевые устройства в GFI должны быть настроены соответствующим образом. Последний аспект рисков, связанных с веб-угрозами, — это безопасность беспроводной сети компании. Автор тематического исследования рекомендует применять стандарт WPA2 с целью защиты процесса аутентификации пользователя (Kumar et al., 2016). Также рекомендуется ограничить передачу беспроводного сигнала определенными зонами, чтобы не предоставлять его за пределы территории организации. Эта реализация имеет решающее значение, поскольку она полностью бесплатна и требует только правильной конфигурации оборудования (Vacca, 2013). Последнее может включать либо поиск оптимальной мощности передачи, либо перемещение точек беспроводного доступа и создание другой инфраструктуры. Это ключевые компоненты идеальной конфигурации WPA2, которые могут защитить компанию от предоставления сигнала за пределы внутренней сети и подвергания себя хакерским атакам (Сталлингс, 2016). Шансы атаковать сеть GFI будут сведены к минимуму за счет сложного пароля и необходимости физического присутствия в офисе компании, чтобы иметь возможность получить доступ к беспроводной сети.
Рекомендации
Кнапп, Э.Д., Лэнгилл, Дж.Т., и Самани, Р. (2015). Безопасность промышленных сетей: защита критически важных инфраструктурных сетей для интеллектуальных сетей, scada и других систем промышленного управления. Нью-Йорк, штат Нью-Йорк: Эльзевир.
Кумар Г., Сингх М. и Джаянти М. (2016). Атаки на сетевую безопасность и меры противодействия. Херши, Пенсильвания: IGI Global.
Столлингс, В. (2016). Основы сетевой безопасности: приложения и стандарты. Бостон, Массачусетс: Pearson Education, Inc.
Стюарт, Дж. (2014). Сетевая безопасность, межсетевые экраны и VPN. Берлингтон, Массачусетс: Jones & Bartlett Learning.
Вакка, младший (2013). Сетевая и системная безопасность. Уолтем, Массачусетс: Syngress.