Линда Маккарти - IT-безопасность - стоит ли рисковать корпорацией?

Как потенциального пациента, меня такая ситуация начинала пугать. Все критичные системы были доступны, и, насколько я видела, нигде не было контрольных журналов. [38] Audit trails. — Примеч. пер. (Контрольный журнал фиксирует деятельность пользователей и ее характер). Опытный хакер мог хорошо позабавиться и уйти необнаруженным. В конце концов, мне удалось лично сегодня взломать 60 серверов, и ни в одном меня не заметили.

Мария появилась в 5.15. Всего я ей пока не рассказывала. Я дала ей понять, что смогла пробраться в некоторые системы и все еще собираю информацию. Бывает полезно придержать информацию о ходе аудита до его окончания. Я не люблю размениваться на мелочи, пока не соберу все факты.

Мария сообщила мне, что запланировала беседу на следующее утро. Я должна была встретиться с менеджером технической поддержки Мэттом Борландом и системным администратором Джилл Розенберг. Так как Мария была пунктуальна в составлении графика, то я решила закончить тестирование после проведения интервью сотрудников.

Сначала я встретилась с Мэттом. Он выглядел вполне порядочным человеком, но его пронизывал карьеризм. Иногда встречаются деловые люди, по которым сразу видно, что их интересует в основном продвижение по службе. Наши главные интересы с Мэтом расходились. Мой служебный интерес состоял в определении рисков и сборе информации. У Мэтта было не так уж много информации для меня. Он собирал информацию от других менеджеров, но мне не хотелось тратить время на беседу с ним. Я коротко с ним поговорила и решила перейти к беседе с Джилл, системным администратором группы технической поддержки систем.

Джилл выглядела спокойной, но все равно волновалась из-за предстоящей беседы и проверки. (Нельзя сказать, что я всю вину перекладывала на нее, но в чем-то и она была виновна!)

Я начала беседу с просьбы показать мне политики и процедуры. У нее они уже были наготове. В основном документы выглядели хорошо. Но раздел, касающийся безопасности, был очень коротким (почти незаметным). Джилл объяснила, что сейчас раздел дорабатывается.

Я была озадачена тем, как они настраивали безопасность систем во время их оптимизации, не написав прежде процедур для этого. Настройку они не проводили. Руководство знало, что защиты не было, но график был плотным, и они решили вернуться к мерам безопасности позднее. И в результате Rockland эксплуатировала новую сеть целый год без защиты.

Кроме отсутствия защиты систем, в Rockland также отсутствовала их классификация. Следующей моей задачей было допросить с пристрастием Джилл о содержимом систем. Получив от нее эти сведения, я могла бы больше времени уделить тестированию, сбору информации и написанию отчета. Мне нужно было узнать, какие из систем содержат критичную информацию, какой характер имеет эта информация и почему она считает эту информацию критичной. Это позволило бы мне при проведении аудита нацелиться на наиболее важные системы.

Джилл знала, где хранится некоторая критичная информация, но ей не приходилось обеспечивать для этих систем более высокий уровень защиты. Из сведений, полученных от Джилл, я тем не менее поняла, где находится самая аппетитная информация.

В моей деятельности я видела, как аудиторы задают вопросы техническому персоналу о том, на каких системах лучше запускать аудиторские программы. Иногда им отвечали честно. Иногда — нет. Даже не имея задних мыслей, персонал технической поддержки не всегда понимает, где в их сети находятся участки повышенного риска. Поэтому, если вам скажут, что DS19 является системой повышенного риска, эту информацию все равно надо проверить.

Джилл рассказала, что истории болезни пациентов хранятся на серверах с именами от PR1 до PR10. Ага! Теперь я знала, что буквы PR обозначали историю болезни. [39] по-английски — Patient Records. — Примеч. пер. Как я об этом не догадалась раньше? Как бы то ни было, эти системы должны считаться особо критичными и в них должны быть установлены средства защиты. Как я уже рассказывала, эти системы были взломаны мной в первую очередь.

Джилл попала прямо в яблочко. Я убедилась в этом, проверив типы операционных систем и серверов и изучив содержащуюся в системах информацию. Закончив эту проверку, я решила, что у меня достаточно информации для написания отчета. Конечно, проблем с безопасностью было много. Но главными в моем списке проблем были следующие: