Внутрисетевые системы контроля и управления доступом: задачи, функции и программные решения
В настоящее время информация является ключевой социальной ценностью в XXI веке. Большинство частных лиц, организаций и государственных структур активно ведут кибервойны, которые направлены на разрушение главных ценностей своих конкурентов - информационных систем. Одним из главных вызовов ИТ-сферы является вопрос внутренней безопасности. Однако, с помощью ряда логических действий и специальных программных решений, возможно подготовить систему к "обороне". В этой статье мы разберемся, как и зачем использовать эти решения в настоящее время.
Как сохранить безопасность внутри компании в условиях быстроразвивающейся сферы ИТ? На этот вопрос пытается ответить множество специалистов, поскольку информационная безопасность становится все более перспективной и сложной областью. Мировое сообщество проявляет интерес к текущей ситуации в IT-отрасли, где крупные структуры, в том числе торговые сети, банки и объекты энергетической и промышленной инфраструктуры, становятся жертвами многочисленных взломов и киберударов.
На международных и внутригосударственных конференциях и съездах, посвященных теме защиты информации, обостренный интерес к данной области подтверждается регулярно.
Одной из наиболее опасных угроз являются нарушения безопасности информационных систем компаний, создаваемые сотрудниками, имеющим доступ к конфиденциальной информации. Их действия могут быть как случайными, так и преднамеренными. Различные источники именуют внутренних нарушителей IT-безопасности по-разному, но все же можно выделить три основных типа: халатные, обиженные и манипулируемые, или внедренные.
Халатные работники, действующие незлонамеренно, могут нарушать правила хранения конфиденциальной информации из-за своей неосторожности, например, взяв работу на дом или в командировку, и потеряв при этом съемный диск. Несмотря на то, что это «безобидное» нарушение, ущерб от него может быть серьезным. Примером таких последствий может служить утечка личных данных 50 миллионов клиентов и семи миллионов таксистов компании Uber в 2016 году, произошедшая из-за небрежности программистов компании. Халатность сотрудников, по данным исследования Ernst&Young, проведенного в 2017-2018 гг., является основной угрозой кибербезопасности во всем мире, с этим согласны 77% респондентов.
Обиженные сотрудники, недовольные оценкой своей деятельности в компании или собственным местом в иерархии организации, часто действуют самостоятельно, пытаясь нанести материальный вред компании. Примером таких нарушений может служить случай с компанией StarNet в Молдавии в 2015 году, когда личные данные 53 тысяч физических и юридических лиц были опубликованы в сети.
Манипулируемые извне являются, возможно, самой опасной категорией нарушителей, имеющих заказчиков и способы обхода внутриорганизационной защиты. Такие сотрудники могут быть завербованными и внедренными в компанию, а иногда действуют под угрозой физических увечий и расправы.
Проводя грамотную политику информационной безопасности, необходимо предусмотреть разграничение прав доступа между специалистами организации. Как отмечает компания Ernst&Young, 89% банков во всем мире включили кибербезопасность в список приоритетов 2018 года. Очевидно, что информационные данные, ценные документы и материалы должны быть под надежной защитой.
Внутрисетевые системы контроля управления доступом являются неотъемлемой частью стратегии информационной безопасности компании. Хотя комплексное решение, способное на 100% защитить компанию от воздействия внутренних и внешних угроз, не существует, сегодня поставщики услуг в сфере ИТ-безопасности предлагают разные варианты, которые позволяют контролировать значительную часть угроз, выполняя ряд задач.
Первая и наиболее очевидная задача - блокировка несанкционированного доступа к корпоративной сети, которая решается с помощью межсетевого экранирования. Это позволяет определять политику безопасности с использованием объемного спектра контекстных данных и обеспечивать ее соблюдение. Безопасность контролируется посредством инновационных разработок последних лет, которые позволяют глубоко анализировать трафик и настроить политику безопасности. Современные системы позволяют проводить глубокий анализ пакетов, проводить аутентификацию пользователей и предотвращать вторжения (IPS, intrusion prevention system). Корпоративные межсетевые экраны, в которых нуждаются крупные компании, характеризуются масштабируемостью, надежностью и управляемостью.
Другая задача - исключение нецелевого использования служебной электронной почты путем проведения контент-анализа каждого письма. Для этого используются передовые разработки, которые позволяют анализировать не только формальное содержимое сообщения, но и вложения, которые могут быть как графическими, так и текстовыми, а также представленными в виде ссылки.
Важной задачей является исключение возможности нецелевого использования информационных ресурсов, которую решают с помощью применения средств против утечки конфиденциальных данных. Ряд программных продуктов позволяют проверять исходящий трафик на содержание в нем конфиденциальной информации. Тем не менее, проблема разглашения конфиденциальной информации сохраняется в чатах и других соцсетях, где данные остаются незащищенными.
Фильтрация web-трафика осуществляется за счет базы данных URL-адресов, классифицированных по темам записей. Автоматизированная система анализирует каждую запрашиваемую сотрудниками страницу и относит ее к определенной категории, такой как почтовая, порнографическая, туристическая и другие. Это позволяет администратору настроить группам пользователей права на доступ к страницам конкретных категорий.
Согласно исследованию компании InfoWatch, российские организации наиболее озабочены утечкой конфиденциальной информации (98% опрошенных). Другие опасности, которые волнуют организации значительно меньше, такие как искажение информации (62% опрошенных), сбои информационных систем из-за халатности сотрудников (15% опрошенных), потеря данных (7% опрошенных), кража оборудования (6% опрошенных) и другие проблемы (28% опрошенных).
В чем заключается работа системы контроля и управления доступом в компании? На самом деле, такие системы представляют собой сочетание физической и сетевой охраны. К физической охране относятся различные замки, системы биометрической идентификации, а также наличие охранников, которые контролируют доступ в здание и фиксируют время входа и выхода сотрудников.
С другой стороны, информационные системы также требуют подобной защиты. Безопасность здесь обеспечивают логины и пароли, администраторы и специальные программные продукты.
Для компаний с развитой сетевой инфраструктурой стандартных средств информационной безопасности мало. Для решения этой проблемы созданы программные продукты, известные как "системы управления доступом к сети" (Network Access Control). Они позволяют проводить контроль доступа к сети, аутентифицируя пользователей и подключаемые устройства, а также убеждаться в соответствии технических устройств политике безопасности.
Кроме того, NAC осуществляет инвентаризацию сетевых приложений и устройств корпоративной сети, а также ограничивает доступ гостей к ресурсам.
Что касается конкретно контроля доступа в сеть, его осуществляют благодаря распознаванию нового MAC- и IP-адреса. Сервер принятия решений проводит проверку каждого устройства на безопасность, после чего новое устройство получает доступ к сети, который может быть полным или ограниченным.
Существует также простой способ использования NAC, который заключается в запрете доступа устройств, не соответствующих политике ИТ-безопасности компании. В этом случае условиями доступа в сеть могут быть установленный корпоративный антивирус, регулярные обновления операционной системы и другие параметры. Несоблюдение хотя бы одного из этих правил станет основанием для запрета доступа в сеть.
С помощью виртуальных локальных сетей (VLAN) во многих компаниях выполняется сегментация сетей, что позволяет разделять их по отделам и структурам компании. NAC позволяет подключить сотрудников к соответствующему сегменту VLAN, для чего необходима корпоративная служба каталогов.
Контроль доступа может осуществляться и путем разделения сети на рабочий и карантинный сегменты. В карантинном сегменте располагаются устройства, не соответствующие установленной политике безопасности, а все новые устройства проверяются на соответствие. Если какое-то устройство не удовлетворяет условиям политики безопасности, оно получает доступ только к серверам обновлений, которые приводят его в соответствие с требованиями. Затем оно вновь размещается в рабочем сегменте.
Число сегментов корпоративной сети может быть бесконечным. NAC позволяет предоставлять доступ к определенным ресурсам для различных категорий пользователей, включая сотрудников, гостей, партнеров и других пользователей, принадлежащих к определенным сетевым сегментам.
Наконец, NAC может контролировать и состояние устройств, подключенных дистанционно. Для удаленного доступа к сети проводится проверка компьютера на соответствие политике безопасности, после чего принимается решение.
Существуют системы предотвращения вторжений на уровне хоста, которые обычно сочетаются с решениями на базе сети, включая коммутаторы доступа и специализированные устройства.
Для внедрения любой системы контроля и управления доступом компании нужно определить цели и понимать взаимоотношения между разными отделами, отвечающими за работу сети, серверов и обеспечение безопасности информации. Работа любой системы возможна только после тщательной проработки ее рабочей модели.
Контроль управления доступом внутри сети является одним из ключевых элементов информационной безопасности. Существует множество программных продуктов, предназначенных для решения этой задачи. Различные решения предназначены для разных типов компаний и организаций.
Компания GFI является одним из лидеров в разработке программных продуктов контроля доступа. Компания предлагает десятки решений, ориентированных на малые и средние бизнесы, а также на крупные корпорации. Одним из продуктов компании GFI является EndPointSecurity, программа, которая борется с угрозами, связанными с использованием USB-устройств. EndPointSecurity позволяет контролировать доступ к различным дискам, блокировать попытки кражи данных и обнаруживать вирусы и другие угрозы.
DeviceLock DLP Suite - это программный комплекс, который предлагает несколько модулей для контроля доступа к сетевым коммуникациям, почте и другим средствам обмена данными. Он позволяет контролировать доступ к сменным устройствам и отслеживать их использование. Утилита Ivanty Device Control создана для контроля доступа пользователей к портам ввода-вывода. Эта утилита предотвращает проникновение вредоносного ПО в сеть, а также утечку конфиденциальных данных.
Zecurion Zlock (Device Control) - еще одно решение, предлагаемое для контроля доступа к сети. Эта программа позволяет блокировать доступ к различным устройствам, таким как флеш-карты, USB-устройства и мобильные устройства. Она также включает модуль для контентной фильтрации и возможность блокировки доступа в интернет при нахождении компьютера вне корпоративной сети.
Symantec Endpoint Protection - это программа, которая позиционируется как самая быстрая и эффективная в своем классе. Она использует данные крупнейшей в мире гражданской сети анализа угроз. Программа предлагает гибкие средства настройки политики в зависимости от характеристик и расположения пользователей, а также единую консоль управления для физических и виртуальных платформ.
Цены на системы контроля доступа внутри корпоративной сети
Цены на программы контроля и управления доступом внутри корпоративной сети определяются вендорами и зависят от таких факторов, как объём услуг, функциональности ПО, местоположения офиса производителя и стоимости трудовых ресурсов. Влияние на ценовую политику могут оказывать и другие субъективные факторы, но производители не всегда готовы делиться информацией об этом.
Одной из самых доступных программ является GFI EndPointSecurity. Лицензия на один год для использования на 150 устройствах стоит всего 1300 рублей. Кроме того, в одну лицензию включается обслуживание от одного до неограниченного числа пользователей. Удобство выбора продукта обеспечивают расчёт стоимости и список акций и скидок на официальном сайте.
Решение DeviceLock стоит 2000 рублей при установке на один компьютер, 1900 рублей – при установке на 50-199 компьютеров и 1700 рублей на 100 и более компьютеров.
Цены на программы Ivanty Device Control и Zecurion Zlock (Device Control) рассчитываются индивидуально по запросам покупателей.
Если вы планируете продолжительное использование программного обеспечения, то приобретение лицензии Symantec Endpoint Protection на 3 года обойдётся вам дешевле, чем на один год. Так, при покупке на 3 года за одну лицензию необходимо заплатить всего 3357 рублей, тогда как при её приобретении на 1 год цена составляет 1865 рублей.
Фото: freepik.com