Внутрисетевые системы контроля и управления доступом: задачи, функции и программные решения
Как сохранить безопасность внутри компании в условиях быстроразвивающейся сферы ИТ? На этот вопрос пытается ответить множество специалистов, поскольку информационная безопасность становится все более перспективной и сложной областью. Мировое сообщество проявляет интерес к текущей ситуации в IT-отрасли, где крупные структуры, в том числе торговые сети, банки и объекты энергетической и промышленной инфраструктуры, становятся жертвами многочисленных взломов и киберударов.
На международных и внутригосударственных конференциях и съездах, посвященных теме защиты информации, обостренный интерес к данной области подтверждается регулярно.
Одной из наиболее опасных угроз являются нарушения безопасности информационных систем компаний, создаваемые сотрудниками, имеющим доступ к конфиденциальной информации. Их действия могут быть как случайными, так и преднамеренными. Различные источники именуют внутренних нарушителей IT-безопасности по-разному, но все же можно выделить три основных типа: халатные, обиженные и манипулируемые, или внедренные.
Халатные работники, действующие незлонамеренно, могут нарушать правила хранения конфиденциальной информации из-за своей неосторожности, например, взяв работу на дом или в командировку, и потеряв при этом съемный диск. Несмотря на то, что это «безобидное» нарушение, ущерб от него может быть серьезным. Примером таких последствий может служить утечка личных данных 50 миллионов клиентов и семи миллионов таксистов компании Uber в 2016 году, произошедшая из-за небрежности программистов компании. Халатность сотрудников, по данным исследования Ernst&Young, проведенного в 2017-2018 гг., является основной угрозой кибербезопасности во всем мире, с этим согласны 77% респондентов.
Обиженные сотрудники, недовольные оценкой своей деятельности в компании или собственным местом в иерархии организации, часто действуют самостоятельно, пытаясь нанести материальный вред компании. Примером таких нарушений может служить случай с компанией StarNet в Молдавии в 2015 году, когда личные данные 53 тысяч физических и юридических лиц были опубликованы в сети.
Манипулируемые извне являются, возможно, самой опасной категорией нарушителей, имеющих заказчиков и способы обхода внутриорганизационной защиты. Такие сотрудники могут быть завербованными и внедренными в компанию, а иногда действуют под угрозой физических увечий и расправы.
Проводя грамотную политику информационной безопасности, необходимо предусмотреть разграничение прав доступа между специалистами организации. Как отмечает компания Ernst&Young, 89% банков во всем мире включили кибербезопасность в список приоритетов 2018 года. Очевидно, что информационные данные, ценные документы и материалы должны быть под надежной защитой.
Контроль доступа в компаниях: основные задачи и возможности
Не существует единого решения, которое позволило бы гарантировать 100% безопасность от угроз, как изнутри, так и снаружи. Тем не менее, существует множество вариантов, которые помогают компаниям контролировать угрозы, выполнять задачи и защищаться от потенциальных рисков.
В первую очередь, блокировка несанкционированного доступа к корпоративной сети может быть обеспечена межсетевым экранированием. Такой подход позволяет определять политику безопасности путем анализа объемных контекстных данных и обеспечивать соблюдение возможных мер безопасности. Современные системы позволяют также проводить глубокий анализ трафика и гибко настраивать политику безопасности. В настоящее время корпоративные межсетевые экраны отличаются масштабируемостью, надежностью и управляемостью.
Для исключения нецелевого использования служебной электронной почты может быть использован контент-анализ каждого письма. Современные инструменты позволяют анализировать не только текстовое содержание сообщения, но также и вложения, включая графические элементы и ссылки.
Решения, направленные на исключение нецелевого использования информационных ресурсов, могут включать применение средств против утечки конфиденциальных данных. Некоторые программные продукты сканируют исходящий трафик на наличие конфиденциальной информации. Однако, в большинстве случаев администратор должен вручную указать, какие данные не должны быть утеряны. В результате такие подходы не гарантируют полностью защиту информации от разглашения, например, при использовании чата или других онлайн-сервисов. Чтобы минимизировать риски, многие работодатели, такие как банки, блокируют доступ к социальным сетям и другим популярным сайтам.
Фильтрация web-трафика может быть реализована через базу данных URL, объединенную по тематикам записей. Каждая запрашиваемая страница отфильтровывается и затем относится к определенной категории. Если это необходимо, автоматизированная система проводит анализ контента и определяет тематику страницы. Этот подход помогает администратору настроить группам пользователей права доступа к страницам конкретных категорий.
Согласно исследованию компании InfoWatch, российские организации наиболее озабочены утечкой конфиденциальной информации, которую назвали главной угрозой. Одинаково важными также были считаются искажение информации и сбои информационных систем из-за халатности сотрудников. В то же время, другие угрозы, такие как потеря данных, кража оборудования и другие, не были оценены как особенно важные.
Как работает система контроля и управления доступом?
Компании всё чаще ориентируются на использование систем контроля и управления доступом, обеспечивающих физическую и сетевую безопасность. Физическая охрана включает охранников, замки и биометрические системы идентификации, которые контролируют пропускной режим в здание и фиксируют время входа и выхода сотрудников. Подобная защита также применяется в информационных системах, где логины и пароли заменяют замки, а администраторы и специальные программные продукты играют роль сторожей.
Организациям с развитой сетевой инфраструктурой хотелось бы использовать стандартные средства информационной безопасности, такие как межсетевые экраны, шлюзы безопасности или IPS. К сожалению, это недостаточно. Для достижения эффективного управления доступом создали программные продукты Network Access Control (NAC), которые осуществляют:
- контроль доступа в сеть за счет аутентификации;
- проверку соответствия политике безопасности состояния подключаемых устройств;
- инвентаризацию устройств и приложений корпоративной сети;
- ограничение гостевого доступа к ресурсам.
Контроль доступа в сеть осуществляется путем распознавания нового MAC- и IP-адреса устройства (для устройств VPN - по итогам построения туннеля, для систем на базе DHCP - после запроса DHCP от новых устройств). Сервер принятия решений тогда проводит проверку устройства на безопасность. После передачи запроса от устройства на внутренние серверы (антивирусные, серверы обновления программного обеспечения, LDAP) каждый из них принимает решение о том, соответствует ли устройство минимальным требованиям. Новое устройство получает доступ к сети, который может быть полностью или ограниченно предоставленным.
Несоблюдение критериев хотя бы одного правила ИТ-безопасности может стать причиной запрета доступа к сети. Простейший способ применения NAC - запрет на доступ для устройств, не соответствующих политике информационной безопасности компании. Условиями доступа могут быть установлены корпоративный антивирус, регулярное обновление ОС и т.д. Без соответствия этим условиям доступ в сеть будет запрещен.
NAC также позволяет разделять сети на сегменты (VLAN), чтобы различные отделы внутри компании имели свой сегмент. Каждый отдел может иметь свою политику безопасности, доступ к которой будет предоставлен сотрудникам соответствующего подразделения. Ключевым элементом здесь будет корпоративная служба каталогов, которая облегчает подключение к нужному VLAN сотрудников.
Контроль доступа также осуществляется путем разделения сети на рабочие и карантинные сегменты. Устройства, не соответствующие установленной политике, попадают в последний. В карантинном сегменте установлены серверы обновлений, которые могут привести компьютеры или иные устройства в соответствие с установленной политикой информационной безопасности. После выполнения всех условий доступ вновь предоставляется в рабочий сектор.
С помощью NAC компании могут предоставлять доступ к определенным ресурсам сотрудникам, гостям, партнерам и другим пользователям из установленных в сети сегментов. Количество сегментов корпоративной сети может быть неограниченным.
NAC также контролирует состояние устройств, подключенных дистанционно. Во время удаленного подключения к корпоративной сети происходит проверка компьютера на соответствие политике безопасности, после чего принимается решение.
Некоторые производители также предоставляют решения для предотвращения вторжений на уровне хоста. Такие решения могут комбинироваться со средствами на базе сети.
Для эффективной работы системы контроля и управления доступом требуется понимание целей. Для этого нужно объединить разные отделы, ответственные за работу сети, серверов и обеспечение информационной безопасности. Рабочую модель нужно тщательно проработать перед внедрением системы.
Контроль управления доступом внутри сети является одним из ключевых элементов информационной безопасности. Существует множество программных продуктов, предназначенных для решения этой задачи. Различные решения предназначены для разных типов компаний и организаций.
Компания GFI является одним из лидеров в разработке программных продуктов контроля доступа. Компания предлагает десятки решений, ориентированных на малые и средние бизнесы, а также на крупные корпорации. Одним из продуктов компании GFI является EndPointSecurity, программа, которая борется с угрозами, связанными с использованием USB-устройств. EndPointSecurity позволяет контролировать доступ к различным дискам, блокировать попытки кражи данных и обнаруживать вирусы и другие угрозы.
DeviceLock DLP Suite - это программный комплекс, который предлагает несколько модулей для контроля доступа к сетевым коммуникациям, почте и другим средствам обмена данными. Он позволяет контролировать доступ к сменным устройствам и отслеживать их использование. Утилита Ivanty Device Control создана для контроля доступа пользователей к портам ввода-вывода. Эта утилита предотвращает проникновение вредоносного ПО в сеть, а также утечку конфиденциальных данных.
Zecurion Zlock (Device Control) - еще одно решение, предлагаемое для контроля доступа к сети. Эта программа позволяет блокировать доступ к различным устройствам, таким как флеш-карты, USB-устройства и мобильные устройства. Она также включает модуль для контентной фильтрации и возможность блокировки доступа в интернет при нахождении компьютера вне корпоративной сети.
Symantec Endpoint Protection - это программа, которая позиционируется как самая быстрая и эффективная в своем классе. Она использует данные крупнейшей в мире гражданской сети анализа угроз. Программа предлагает гибкие средства настройки политики в зависимости от характеристик и расположения пользователей, а также единую консоль управления для физических и виртуальных платформ.
Существует множество факторов, которые влияют на формирование цен на системы контроля доступа внутри корпоративной сети. Вендоры учитывают объем предоставляемых услуг и функциональных возможностей ПО, местонахождение центрального офиса производителя, стоимость рабочей силы, а также многие другие субъективные факторы.
Компания GFI предлагает одну из самых доступных по стоимости программ среди современных вендоров - GFI EndPointSecurity. За лицензию на один год, (до 150 устройств), цена начинается от 1300 рублей. В одну лицензию в зависимости от редакции ПО может входить обслуживание от одного до неограниченного числа пользователей. На сайте есть раздел "Расчет стоимости" и "Акции и скидки", чтобы клиенты могли самостоятельно выбрать наиболее подходящий вариант.
Решение DeviceLock будет стоить 2000 рублей при установке на один компьютер, 1900 рублей при инсталляции на 50-199 компьютеров и 1700 рублей на 100 и более компьютеров. Если требуется обслуживание от 1 до 49 компьютеров, то цена составит 2000 рублей.
Цены на программы Ivanty Device Control и Zecurion Zlock (Device Control) рассчитываются индивидуально по запросу покупателей.
По правилу "оптом дешевле", можно приобрести ПО Symantec Endpoint Protection. Если покупка осуществляется на 1 год, то одну лицензию можно приобрести за 1865 рублей, а на 3 года - за 3357 рублей. Таким образом, если вы планируете воспользоваться лицензией более длительное время, то годовое обслуживание обойдется дешевле.
Фото: freepik.com