Úniky firemních tajemství

mohou odnášet citlivá data. Nedávno jsem se dozvěděl, že jeden z vrcholových manažerů naší firmy odchází. Norm...


mohou odnášet citlivá data.

Nedávno jsem se dozvěděl, že jeden z vrcholových manažerů naší firmy odchází.
Normálně by na tom nic nebylo. Konec konců ve velkých společnostech lidé
přicházejí a odcházejí neustále. Ale pracovní smlouva dotyčného manažera
obsahovala ustanovení, které mu umožňovalo nechat si přenosný počítač. Pro mě
jako bezpečnostního manažera to byl důvod ke znepokojení, byť je zde uzavírání
takových smluv při přijímání manažerů běžnou praxí.
Manažeři vždy odcházeli se svými počítači a až dosud se nikdo nezatěžoval s tím,
aby z jejich disků mazal citlivé programy a data. Například počítače v obchodní
a marketingové skupině obsahují kontakty na zákazníky, důvěrné ceníky,
e-mailovou korespondenci či informace o akvizicích a fúzích.
Manažer, o kterém mluvíme, byl před několika měsíci předmětem šetření, které
zahrnovalo vytvoření kopie obsahu pevného disku jeho laptopu. Pracovník právního
oddělení se doslechl o jeho plánovaném odchodu, a protože si pamatoval ono
šetření zavolal mi. Řekl mi mimo jiné, že dotyčný od společnosti odchází v
dobrém.
I přesto jsem požádal o jeho laptop, abychom mohli udělat novou kopii dat z
disku, disk smazat a poté na něj nahrát standardní počáteční image. K mému
překvapení a úleku se můj požadavek setkal se značným odporem u vedení. Ale
nakonec jsem méně než 24 hodin před zaměstnancovým odchodem jeho počítač dostal.
Po této příhodě vyhlásil náš CIO (šéf informatiky) nařízení, že každý počítač
opouštějící firmu spolu se zaměstnancem musí mít smazaný disk. Toto ustanovení
bude zahrnuto v příštích nabídkách, kdykoli bude firmou poskytnuté počítačové
vybavení předmětem pracovní smlouvy.

Bezpečnost aplikací
Když jsem měl tuto nepříjemnou záležitost za sebou, obrátil jsem svoji pozornost
zpět na jiný palčivý problém. Kromě celopodnikových aplikací jako PeopleSoft,
Oracle či Siebel si naše společnost vytváří sama téměř veškerý software, který
používá. A právě tady hrozilo oslabení naší bezpečnosti.
Před nasazením do provozu musí každá námi vyvíjená aplikace projít definovaným
životním cyklem projektu, který zahrnuje řadu kontrol. Většina bodů, o které se
zajímám, se týká řízení přístupu, šifrování, serverové a aplikační bezpečnosti a
vhodného síťového připojení.
Bohužel je tento proces ještě docela nový a je stále vylepšován. Je to teprve
nedávno, co jsme do různých fází projektů delegovali zástupce pro informační
bezpečnost. Nyní vždy někdo z mé skupiny navštěvuje schůzky plánování projektu a
všechny porady zabývající se architekturou a technickými otázkami projektu. Ale
občas nám menší programátorský projekt unikne.
Před několika měsíci jsem narazil na aplikaci umožňující vytvářet a publikovat
průzkumy týkající se prodejů. Protože byl program určen pro skupinu, která jej
používala k jednorázovému sběru nijak zvlášť citlivých dat z prodejní
organizace, rozhodli jsme, že nemusí podstoupit projektový životní cyklus. Dobře
si ale pamatuji své obavy z toho, že by se o tomto nástroji dozvěděla další
oddělení a zkusila jej použít pro sběr citlivějších informací.

Je to tady
Od té doby, přesně jak jsem se obával, projevilo o tuto aplikaci zájem několik
oddělení. Když jsem se o tom doslechl, trval jsem na tom, že pokud má být
aplikace použita v produkčním prostředí pro sběr citlivějších dat, pak musí
projít formálním životním cyklem projektu.
V rámci bezpečnostní prověrky provádíme řadu testů. Zkoumáme jak vytvořený
program, tak server, na kterém bude běžet. Navíc prověřujeme architekturu
aplikace, což typicky zahrnuje zjištění portů, které je třeba používat a všech
vazeb mezi aplikací a dalšími produkčními servery. Nechceme, aby díky vztahu
důvěryhodnosti vedlo kompromitování jednoho systému ke kompromitování dalších.
Dále ověřujeme, zda jsou na firewallu definována vhodná pravidla a zda jsou
povoleny pouze nezbytné služby.
Nástroj pro vytváření průzkumů je tvořen samostatně běžící aplikací, která
připravuje výsledky. Ty pak jsou přes zabezpečené spojení nahrány na webový
server. Proto musí pravidla firewallu povolovat přístup na webový server pouze
ze serveru, kde běží tato aplikace. Dále bylo třeba zavést pravidla, která pro
webový server povolují pouze webovou komunikaci a monitorování spojení z našeho
síťového dohledového centra.
Pro provedení serverových a aplikačních testů jsme použili open source skenovací
program Nessus a software Web Inspect od firmy SPI Dynamics. Čas nám dovoloval i
další testování serveru a aplikace, takže jsme navíc použili i vlastní skripty a
některé další techniky. Všechny zjištěné problémy musejí být buď opraveny, nebo
je třeba zavést adekvátní kontroly.
Test serveru aplikace dopadl výborně. Bylo to proto, že máme špičkový základní
obraz systému, který byl stabilizován a záplatován. Avšak test aplikace odhalil
několik věcí, které zasluhovaly pozornost, a to včetně zranitelnosti vůči útokům
pomocí skriptů (cross-site scripting), kterou by šlo využít ke spuštění
zlomyslného kódu. Jakmile budou tyto zranitelnosti odstraněny nebo alespoň
zmírněny, dáme vedoucímu projektu zelenou pro nasazení aplikace.

Další práce
Já nyní pokračuji v hledání automatického způsobu detekce ilegálních
bezdrátových přístupových bodů. Testujeme triangulační vlastnosti bezdrátového
vybavení od Cisco Systems. Pokud je správně nastaveno, může díky nim detekovat
přístupový bod v okruhu o průměru více než 5 metrů. Problémem ale je, že
přístupové body jsou často skryté a hledání je třeba stále opakovat. Pracujeme
proto i na automatickém sledování MAC adres od našich síťových přepínačů zpět k
přípojkám v jednotlivých kancelářích. Stále to není ideální řešení, ale je to
rozhodně dobrý začátek.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.