Противостояние

В каждой организации существуют две противоборствующих стороны. С одной стороны - это администрация, которая хотела бы знать о своих сотрудниках все. На каких сайтах они бывают, какую получают и отправляют корреспонденцию, о чем беседуют с помощью мессенджеров. И даже какие программы они используют и что с их помощью делают. С другой стороны - сотрудники этой компании. Которые хотели бы держать в тайне некоторые стороны своей деятельности, сохранять тайну переписки, не показывать, на какие сайты они иногда заходят, особенно, если это их личные пристрастия. Это противостояние также бесконечно, как и проблема отцов и детей.

Каждая из сторон привлекает себе на помощь различные средства наблюдения и защиты от него. Это и технические средства, когда, например, в помещении ставятся камеры наблюдения. Это и программные средства - ведь в небольших компаниях почти все сотрудники сегодня работают на компьютерах. Вот и попробуем рассмотреть, что же может использовать администрация для наблюдения за своими сотрудниками, и могут ли сотрудники каким-либо образом "уйти" от такого наблюдения.

Начнем с того, каким арсеналом располагает администрация. Все же, в ее руках все возможности управления политикой безопасности, правами доступа к различным ресурсам и устройствам. Но прежде хотелось бы затронуть нечто иное - правомерность и правомочность наблюдения за сотрудниками. Имеющиеся средства позволяют фиксировать любые действия человека, работающего за компьютером. Можно фиксировать все, что он набирает на клавиатуре, все программы, которые он запускает, просматривать весь Интернет-трафик, включая переписку и общение через службы мгновенных сообщений. Насколько эти возможности идут вразрез с правом человека на личную неприкосновенность и правом на частную жизнь? Компания JSB Software Technologies, разработчик набора программ SurfControl, разместила на своем сайте предупреждение для корпоративных пользователей, что применение средств мониторинга в ряде штатов может быть признано незаконным. Наше местное законодательство на сегодняшний день ответа на этот вопрос не дало.

Спорить на эту тему можно долго и при этом каждый будет оставаться при своем мнении. До тех пор, пока технические и программные средства компании не будут использоваться сотрудником в личных целях, а компания при этом будет еще и платить своему работнику. И когда вопрос "следить или нет" начинает бить по карману, часто принимается одинаковое решение - "следить нужно". Есть еще один аргумент, применяемый руководством компаний - следить надо и для того, чтобы избежать утечки конфиденциальной информации. С этого и начнем разговор.

Доступ к Интернету

Первое, от чего хочет защититься администрация - нецелевое использование доступа к Интернету (видимо потому, что эта задача наиболее просто решается и требует небольших материальных вложений). К нецелевому использованию относятся и посещение развлекательных сайтов, и переписка на личные темы, общение через службы мгновенных сообщений, которые не столько занимают трафик, сколько занимают значительное рабочее время. Каким образом администрация может проследить за этой Интернет-активностью, если в то же время использование Интернета необходимо для выполнения работы?

Одним из самых простых решений является установка прокси-сервера, на котором можно запретить все, оставив доступ к самому необходимому. Но когда необходимого становится много, такое решение не будет являться оптимальным.

Internet Access Monitor

Одно из возможных решений предлагает компания Red Line Software. Работа программы Internet Access Monitor основана на анализе логов прокси-серверов. Среди поддерживаемых - такие известные решения, как MS ISA Server, Kerio WinRoute, Eserv, WinGate, Squid и ряд других.

Обработка лог-файлов осуществляется после их импорта в базу данных. При импорте можно использовать определенные правила (например, не включать собственные сайты). При импорте можно выполнять группировку записей - это специальный механизм, позволяющий существенно сократить объем базы данных и увеличить скорость формирования отчетов. Группировка заключается в том, что все запросы, исходящие от одного и того же пользователя, исходящие с одного и того же IP адреса на один и тот же сайт в течение указанного интервала группировки записей, будут объединены, а трафик по ним просуммирован.

Результаты анализа можно вывести в виде отчетов, в которых данные будут сгруппированы по доменам второго уровня, пользователям, группам пользователей. Можно получить отчеты и по тому, какие файлы скачивал из Интернета тот или иной пользователь. Также можно описать группы сайтов (образовательные, чаты, форумы, иные) и правила, по которым посещенные сотрудниками сайты будут относиться к той или иной группе. В результате такой сортировки можно получить отчет о том, какого типа сайты интересуют того или иного сотрудника.

И что же получается в результате такого анализа? Специалисты компании IDC провели исследование, которое показало, что 30-40% времени, которое сотрудники проводят в Сети, тратится отнюдь не на работу. Например, 31% сотрудников планируют, куда они поедут отдыхать во время отпуска, а 30% служащих совершают банковские операции или занимаются брокерством с помощью своего ПК. Естественно, для всех этих личных целей сотрудники используют ИТ-ресурсы компании.

Можно ли в автоматическом режиме определить, к какому типу ресурсов относится сайт, посещенный сотрудником? Программа Proventia Network Multi-Function Security говорит - да, можно, и автоматически разносит посещенные сайты по 58 категориям (поиск работы, порнография, экстрим, медицина, IT, частная страница, заказ товаров и т.д.). Для определения типа сайта используются фильтры, применяющие уже готовую постоянно пополняемую базу, покрывающую более 2.8 миллиардов веб-страниц. А если посещенная страница в базе отсутствует, то программа способна самостоятельно выполнить ее обработку, используя около дюжины разных алгоритмов (поиск ключевых слов, байесовские и статистические алгоритмы, алгоритмы векторных машин и т.д.). Помимо текста анализу подвергаются и изображения, находящиеся на страницах сайтов. Если на этих изображениях находится текст, то он распознается с помощью OCR-технологий. А для распознавания порнографических фотографий используется оригинальная и очень эффективная технология Face/Pornography Recognition.

Mail Access Monitor

Что понимается под контролем почтовых сообщений и как решается эта задача в разных программах? Программа Mail Access Monitor выполняет эту работу путем анализа логов почтовых серверов. Главная задача программы - сбор информации о распределении трафика. При этом все данные группируются по различным аналитическим признакам: пользователям, группам пользователей, используемым сервисам, IP-адресам, протоколам, датам, дням недели, часам и так далее.

С помощью Mail Access Monitor руководство легко сможет определить, кто из сотрудников наиболее активно отправляет и получает электронные письма, время отправки и количество этих сообщений, а также объем генерируемого ими трафика. Вся информация, собираемая Mail Access Monitor, выводится в виде удобных отчетов, из которых видны все аспекты использования корпоративного почтового сервера. Сформированные программой отчеты могут автоматически отправляться на электронный адрес администратора. Чего программа сделать не может, так обеспечить контроль за почтовым трафиком, проходящим помимо почтового сервера организации.

SurfControl E-mail Filter

Иначе работает программа SurfControl E-mail Filter. Программа фильтрует весь SMTP-трафик, проходящий по локальной сети. Установленная между корпоративным почтовым сервером и файрволом, она обеспечивает проверку не только той почты, которая отправляется через него, но и почты, которая отправляется из локальной сети на внешние почтовые серверы. Программа обеспечивает несколько уровней защиты, включающих защиту от спама, угрозы передачи конфиденциальной информации, фильтра изображений, несоответствующих установленным в компании требованиям, фильтрование по адресам сайтов, также несоответствующим установленным в компании ограничениям, антивирусную защиту.

Отсев нежелательных изображений выполняет модуль Virtual Image Agent, использующий для этого свыше 22 000 различных алгоритмов, включающих проверку на цветность, текстуру, очертания (к нежелательным относятся в первую очередь изображения с непристойным содержанием). По мнению разработчиков, вероятность ошибки практически сведена к минимуму, и VIA не ошибется, запретив к прохождению с письмом красивой фотографии с золотистого пляжа, спутав ее с обнаженным телом. В качестве антивирусного модуля используется лицензированное решение от компании McAfee.

Для проверки текстов на наличие конфиденциальной информации используется модуль Virtual Learning Agent. Этот модуль подвергает каждое выходящее письмо лингвистическому анализу, проверяя, является ли оно конфиденциальным или нет. Перед тем как VLA сможет приступить к выполнению задачи, его необходимо "научить", предоставить ему доступ к электронной почте с тем, чтобы система смогла проиндексировать содержание и сформировать массив шаблонов.

SurfControl Instant Message Filter

И, наконец, контроль за использование служб мгновенных сообщений, а также программ передачи файлов - Kazaa, Morpheous, NeoNapster и других, относящиеся к так называемым сетям P2P. Общий "недостаток" вышеперечисленных программ связан с тем, что большинство защитных экранов не могут полностью блокировать их. Связано, как правило, это с тем, что используемые этими программами протоколы могут сканировать открытые порты и осуществлять соединение через них, в том числе даже через защищенный туннелированием 80-й порт (используемый для доступа браузеров в Интернет). Поэтому оказывается невозможным блокировать эти протоколы за счет простого закрытия портов. Для надежного "прикрытия" этих программ нужно использовать внешние средства. Одним из таких средств является программа SurfControl Instant Message Filter. Основными функциями SurfControl Instant Message Filter является выявление пользователей, работающих с данного рода программами, а также избирательное блокирование этих средств передачи данных

Программа SurfControl Instant Message Filter не занимается анализом передаваемых данных. Ей совершенно неважно, что и как передается через службы мгновенных сообщений или системы обмена файлами. Главное, что делает эта программа - определяет наличие сетевой активности от контролируемых протоколов. А дальнейшие действия зависят от настройки программы - разрешать эту активность или запрещать.

При обнаружении неразрешенной активности Instant Message Filter будет блокировать ее, а на компьютер, с которого была произведена попытка запуска запрещенной программы. Но можно не только заблокировать работу запрещенного приложения. Программа позволяет полностью заблокировать сетевую активность компьютера, с которого была осуществлена попытка несанкционированного запуска приложения. Ну а что делать с пользователем дальше - решать будет уже администрация.

Доступ к периферийным устройствам

Появление USB-портов дало мощный толчок к развитию устройств, которые можно стало подключать через них. Каких только устройств не напридумывали - мышки, принтеры, накопители на жестких дисках, устройства для чтения и записи CD, флешки, электронные брелки. Самое большое преимущество USB-порта заключается в том, что внешние устройства можно подключать и отсоединять, не выключая компьютера.

Но у любой светлой стороны есть и темная. А заключается она в том, что стало крайне просто запустить на компьютер вредоносную программу или скинуть на внешний носитель важную информацию. Либо просто использовать принтер для распечатки личных документов. Пустячок, скажете? Да, возможно. Но делается это за счет организации, и если таких работ будет выполняться много, то и неучтенных расходов у организации будет порядочно.

Одно из решений, обеспечивающих контроль за доступом к USB-портам, представляет компания "Анкад". Установленная на компьютер программа "USB фильтр" обеспечивает жесткое управление доступом к устройствам, которые могут быть подключены к USB порту. Фильтр USB запрещает доступ ко всем устройствам, подключаемым через эти порты, которые не заданы в явном виде в списке разрешенных устройств. Опционально предусмотрена возможность дополнительной идентификации устройств по уникальным серийным номерам. Для включения проверки серийных номеров необходимо при добавлении устройства выставить флаг "Проверять серийный номер". Для проверки и снятия серийных номеров используются средства драйвера, поэтому необходимо наличие загруженного драйвера в момент добавления устройства.

DeviceLock

Но ограничивать доступ нужно не только к USB-портам. Закачать и списать информацию с компьютера можно и с использованием CD-ROM, Zip-дисков, магнитооптики, устройств WiFi, Bluetooth, FireWire. Решить проблемы стандартными возможностями Windows не удастся - их просто нет, поэтому единственное на сегодня решение - использование специального программного обеспечения сторонних производителей. Сегодня можно говорить о двух конкурирующих между собой продуктах, очень близких по своим возможностям. Первый - программа DeviceLock компании "Смарт Лайн Инк". Второй - программа Sanctuary Device Control компании SecureWave.

DeviceLock позволяет контролировать доступ пользователей к различным устройствам в системе, подобно тому, как Windows контролирует доступ к файлам на NTFS разделах жесткого диска. Для USB устройств DeviceLock предоставляет дополнительные возможности контроля. Например, можно полностью заблокировать USB порт для обычных пользователей, но разрешить использование клавиатуры и мышки (или принтера, сканера и т.п.). Кроме того, системный администратор может создать свой список разрешенных к использованию USB устройств. Данный механизм позволяет заранее аутентифицировать некоторые устройства, разрешенные к использованию корпоративной политикой, и в дальнейшем DeviceLock не будет блокировать доступ пользователей к устройствам из "белого" списка, вне зависимости от заданных разрешений на USB порт.

Важная функция, которую поддерживает DeviceLock это режим "только для чтения" (read only). Наличие этого режима позволяет выстраивать политику безопасности более гибко - пользователи могут читать данные внутри корпоративной сети, но не могут ничего копировать на внешние носители. DeviceLock имеет встроенные средства централизованного управления, что позволяет легко устанавливать права доступа к устройствам внутри большой сети. Так же, DeviceLock оснащен очень простым и эффективным механизмом автоматической установки на сетевые компьютеры

Борьба с инсайдерами

Инсайдеры - это сотрудники компании, случайно или намеренно совершающие действия, которые могут привести к раскрытию конфиденциальной информации конкурентам или злоумышленникам. Возможно, внешних атак на корпоративную информацию больше - и это не только конкуренты и злоумышленники, но и различные вирусы, трояны, иные вредоносные программы. Однако возможности инсайдера значительно выше и потери от раскрытия им информации могут быть значительнее. Тем более что от внешних угроз хорошо ли, плохо ли, но защищаться научились. Сложнее защититься от собственных сотрудников.

Insider

Один из способов защиты от инсайдеров был рассмотрен выше - разграничение доступа к периферийным устройствам. А теперь о том, как можно отслеживать остальные действия работы сотрудников. Для этого можно предложить использование программы Insider компании "Праймтек".

Для сбора информации и ее последующего анализа в программе используются специальные программные сенсоры. Они могут работать в режиме "невидимки", обычном и серверном (последний рекомендуется использовать на серверах). При установке сенсоров можно выбрать один из режимов - активный и пассивный. Активный режим включает реагирование на события. Сенсоры "маскируются" под системные процессы, в результате чего они не видны пользователю, к тому же имеют и собственную систему защиты. Настройка сенсоров заключается в задании правил сбора информации. Набор правил формируется на основании экспертной оценки состоянии информационной системы организации и действующей политики безопасности.

При настройке параметров определяются такие правила, как:

• программы, не подлежащих мониторингу (например, текстовый редактор);
• программы, которые не должны отключаться (например, антивирусные);
• разрешенные TCP-соединения и интенсивность IP-трафика (разрешенное количество принятых и отосланных пакетов за определенное время);
• имена файлов и разделов, за доступом к которым необходим мониторинг;
• мониторинг носителей, реестра, печати.

В основе системы анализа и принятия решений лежит статистический анализатор, предназначенный для анализа потоков событий. Задачей статистического анализатора является не только поиск аномалий, но и определение, в каком объекте контролируемой сети найдена зарегистрированная аномалия, поэтому дерево потоков соответствует списку объектов сети (компьютеров, серверов) и обычно строится автоматически в режиме обучения. После обучения будет построено дерево потоков и для них будет необходимо задать набор профилей. Реакция на события, описываемые и контролируемые профилем, возможны двух типов - в виде сообщения или реакции на событие. (При неадекватном использовании оборудования сотрудником возможно формирование и отправка сообщения, а при попытке изменить системные ресурсы может потребоваться и незамедлительное вмешательство.) Реакция на события отрабатывается специальным модулем реакции.

 

Использование системы Insider позволяет весьма жестко контролировать события, происходящие в сети и на компьютерах сотрудников. Постепенный набор статистических данных обеспечивает последовательную подгонку эталонных значений под реальные потребности, что снижает процент ошибочных срабатываний. Система позволяет собирать и обрабатывать сведения о событиях и в распределенной сети, сводя данные о локальных событиях в единую базу данных, по которой можно получать сводные результаты.

Actual Spy

А вот наблюдать за другими действиями сотрудников, работающих на компьютерах, позволяет программа Actual Spy. Это - программа-шпион, умеющая не только подсматривать за пользователями, но и аккуратно прятаться от внимательных взглядов. За чем и как наблюдает программа? Выполняется регистрация всех нажатий клавиш, при этом определяется, в каком регистре нажата клавиша. Русская раскладка также определяется безошибочно. Ведется сохранение скриншотов, но не по каждому открываемому окну, а с определенным промежутком времени. Запоминается запуск и закрытие программ, отслеживается содержание буфера обмена. При сохранении скриншота можно указать качество, с каким он будет выполняться. Возможна и еще одна опция - сохранение положения курсора в момент создания скриншота

Для программ фиксируется время их запуска и завершения, заголовок окна и имя пользователя. При фиксировании данных буфера обмена отмечается, в каком окне была выполнена операция и кто ее сделал. Аналогичные сведения фиксируются и по работе с клавиатурой - когда, в окне какого приложения была набрана та или иная фраза. Вот здесь-то полный контроль за тем, что и кому пишет пользователь как в своих почтовых сообщениях, так и через службы мгновенных сообщений.

Аналогичные возможности есть и у программы LanAgent. Программа регистрирует работу на клавиатуре, делает снимки экрана, фиксирует запуск и закрытие программ, следит за буфером обмена. А кроме того - отслеживает соединения с Интернетом, перехватывает посещенные сайты, определяет подключение и отключение носителей информации, ведет учет документов, отправленных на печать. И так же при этом совершенно не видна для пользователя. И еще одна программа, о которой нельзя не сказать, обладающая подобными же характеристиками - это COBA PC.

Противодействие

При таком обильном и разнообразном арсенале средств контроля и наблюдения, есть ли у "маленького человечка" возможность избавиться, или, хотя бы, ослабить давление со стороны администрации? Ответ на этот вопрос не столь очевиден, как можно подумать. Обойти ограничения, накладываемые на политику доступа к Интернет-ресурсам можно хорошему хакеру, либо человеку, случайно узнавшему об имеющихся исключениях в правилах доступа и сумевшему "втиснуться" в эти ряды. При наличии жесткого контроля за периферийными устройствами их использование может оказаться нереальным. А вот избежать перлюстрации своих почтовых сообщений, разговоров через службы мгновенных сообщений, защитить от просмотра личную информацию, а также исключить возможность снятия информации при ее вводе с клавиатуры вполне реально, и об этом мы сейчас и поговорим.

Криптография. PGP и другие

И первое, что сразу приходит на ум, заключается в использовании криптографии. Для обмена почтовыми сообщениями самым простым вариантом является использование PGP. Система, которая поддерживается всеми основными почтовыми клиентами. Для ее использования достаточно каждому из тех, кто принимает участие в переписке, создать пару ключей и обменяться открытыми ключами. Чтобы не забыть зашифровать письмо, можно настроить почтовый клиент соответствующим образом - тогда он по умолчанию будет выполнять перед отправкой письма его шифрование. Такое письмо, конечно, будет включено в список отправленных писем, но вот прочитать его содержимое ни один фильтр либо администратор уже не сможет.

Помимо PGP можно использовать и другие криптопровайдеры, поддерживающие инфраструктуру открытых ключей (PKI), в том числе сертифицированные российские. Но суть их применения от этого не меняется. А главный результат, которого вы таким образом добьетесь, заключается в защите вашей персональной переписки.

PrivacyKeyboard

Разработчики, создающие программы для наблюдения, создают и программы противоборствующие этому. Например, разработчики программы COBA PC создали программу PrivacyKeyboard, которая обеспечивает защиту от перехвата информации, набираемой на клавиатуре. Блокируется работа любых (как уже известных, так и возможных к появлению в будущем) программ, перехватывающих нажатие клавиш (software keyloggers), а также аппаратных устройств(hardware keyloggers), выполняющих ту же функцию. В отличие от антивирусных программ, работа PrivacyKeyboard основана не на использовании сигнатурных баз, а интеллектуальных алгоритмов.

Но программные "перехватчики" - далеко не все возможности, которые могут быть использованы для "похищения" вашей конфиденциальной информации. Особенно важно защитить свои пароли, ключевые слова и иную особо важную информацию, которую приходится вводить с клавиатуры. Для борьбы с аппаратными средствами слежения PrivacyKeyboard предлагает воспользоваться виртуальной клавиатурой, являющейся составной частью этой программы. Клавиатура поддерживает как алфавитно-цифровые, так и все функциональные и дополнительные клавиши, которые вам могут потребоваться, а ввод с нее осуществляется с помощью мыши.

R-Wipe&Clean

Даже если в вашей организации не установлены программы-шпионы, отследить за вашей активностью можно по тем следам, которые оставляют на компьютере используемые программы. Хотите вы этого или нет, но программы формируют логи, создают временные файлы, хранят резервные копии открытых документов. Грамотный системный администратор сможет на основе этих последствий вашей работы получить достаточно информации для того, чтобы сделать определенные выводы о ваших занятиях. Если вы не хотите допустить этого, вам нужно выполнять чистку винчестера от следов работы всех ваших программ. Вариантов, как это можно организовать, достаточно. В качестве примера можно привести программу R-Wipe&Clean.

Ее назначение - поиск различного рода ненужных файлов и удаление их с обеспечением невозможности восстановления. В процессе поиска файлов для удаления будут проверены все возможные последствия вашей офлайновой или онлайновой активности, такие как временные интернет-файлы, история посещения сайтов, cookies, формы автозаполнения и пароли, списки последних открытых файлов и временные файлы. Поддерживается две файловые системы - FAT и NTFS.

Для разных разделов (типов) программа предлагает свой, наиболее соответствующий ему способ удаления - для файлов это удаление и зачистка места, для ссылок, истории посещений, набранных адресов - очистка. Аналогично зачистке дискового пространства, очистку или удаление можно выполнить как немедленно, для того раздела, который у вас в текущий момент выбран, так и занести эту работу в задачу, которая будет выполняться впоследствии или по расписанию.

Секретные диски для вашей информации

И еще один вариант защиты личной информации - использование программ для создания шифрованных дисков. Здесь предложений очень много - от простейших, шифрующих диски на основе пароля, до программ, использующих ключи шифрования PKI. Программы шифрования дисков есть в системе PGP, свою версию предлагают компании Aladdin, SecurIt, "Лан Крипто" и многие другие. Среди них - и компания SecurStar со своей программой DriveCrypt. Из особенностей, присущих этой программе, можно отметить возможность работать не только в графическом интерфейсе, но и в режиме командной строки, что позволяет использовать ее из внешних приложений. Имеется возможность создать мобильную версию и использовать ее на втором компьютере во время поездок. Еще одна особенность - возможность создания внутри зашифрованного раздела еще одного тайного диска, доступ к которому осуществляется по отдельному паролю. Сохраните информацию внутри зашифрованного диска - и никто, кто не знает пароля доступа, не сможет ее получить.

Таким образом, некоторые возможности противодействия административным средствам слежения у сотрудников все же есть. Далеко не полностью закрывающие их деятельность, но позволяющие в определенной мере скрыть свои действия. И вряд ли администрация сможет успешно противостоять подобным способам самозащиты, в противном случае она признает и свои, не вполне законные действия.