Аудит, день 2-й: Ничем не подкрепленные политики

Аудит, день 2-й: Ничем не подкрепленные политики

Дэйв встретил меня в холле JFC. Мне хотелось поскорее добраться до клавиатуры Drug10, но сначала я должна была получить политики безопасности. Мы задержались из-за них в офисе Дэйва. Политики, распечатанные им, были немногочисленными и короткими — они умещались на нескольких дюймах бумаги. Дэйв занялся чтением электронной почты. Он тихонько ругнулся и начал выстукивать на клавиатуре ответ. Должно быть, он имел дело с трудным клиентом.

Пока он этим занимался, у меня была возможность взглянуть на политики. Это были политики очень высокого уровня — в них с высоты 30 000 футов[19] руководство рисовало на песке линии. Хотя они удовлетворяли директора по информационным технологиям, но были не достаточны для непосредственного обслуживания или защиты систем компании. То, что я увидела, не содержало политики по защите брандмауэрами — это была, скорее, политика подключения. В ней предусматривалась защита брандмауэром лишь одного подключения интранет компании к Интернету. Без каких-либо оговорок. Что тут соблюдать?

Как только Дэйв оторвался от своей электронной почты, я попросила его провести меня в компьютерный зал. В JFC имелось несколько уровней безопасности для защиты компьютерного зала. За консолями и другим оборудованием следили четыре оператора. Они должны были обеспечить мою работу в системе, и Дэйв подтвердил, что я буду работать весь день. Физическая безопасность была хорошей. Видно было, что в нее были вложены серьезные средства.

Мы с Дэйвом прошли в середину зала. Со всех сторон нас окружали серверы выше моей головы. На всех них были таблички — Drug4, Drug5, Drug6. Уровень адреналина во мне стал расти. Я знала, что среди них искать. Я чувствую запах риска за милю. И за углом я увидела его — Drug10.

Дэйв создал мне учетную запись и сказал, что придет забрать меня на обед. Я уже почти зарегистрировалась в системе, когда он заканчивал фразу. По мере зондирования системы я не могла поверить своим глазам. Предположения подтвердились. Эта система оказалась подключенной к Интернету без какой-либо настройки безопасности. Это была еще одна стандартная установка системы.

Дальнейшее изучение показало, что сервер был очень сильно скомпрометирован хакером. Хакер даже заменил системные файлы и оставил «черный ход» для облегчения повторной прогулки! Невозможно себе представить, что будет, если из Интернета или интранет JFC придет хакер. Так как на сервере Drug10 легко может быть получен привилегированный доступ, то хакеру даже не придется много трудиться, Работу ему упрощало наличие неактивных учетных записей с легко угадываемыми паролями и тот факт, что патчи безопасности никогда не устанавливались.

Сервер Drug10 выполнял также и сетевые службы, которые бы следовало выключить. Есть много способов получения информации о системе с использованием сетевых служб. Например, с помощью команды "finger"[20] можно получить информацию о пользователях системы. Эта информация может быть позднее использована для запуска атаки против этих пользователей. Зачем выставлять напоказ информацию без необходимости? Это — одна из причин, по которой следует выключать ненужные вам службы.

Работа хакера не просто упрощалась, она превращалась в прогулку по парку. Было так много путей для вторжения в систему, что я не могла догадаться, какой из них использовал хакер. Может быть, по одному на каждый день для разнообразия? С этим надо было немедленно что-то делать.

Так как риск для JFC (и McConnell Drugs) был слишком велик, то на написание отчета пока не было времени. Некоторые из аудиторов присваивают степеням риска цвет — например, зеленый, желтый или красный. Данной степени риска я бы присвоила категорию: «СЕЙЧАС НЕБО УПАДЕТ НА ЗЕМЛЮ».

Я связалась с менеджером внутреннего аудита Дорис, которая меня нанимала, и сказала ей о падающих небесах и причине этого. Она сообщила о ситуации заинтересованным сторонам и созвала совещание их представителей. На него пригласили Дэна (эксперта по безопасности JFC), Фреда (так называемого эксперта JFC по брандмауэрам), Дэйва (системного администратора), менеджеров всех причастных к данному вопросу групп технической поддержки и меня. Через два часа все участники собрались в зале.

Что мне нравится в профессиональных сотрудниках внутреннего аудита, так это то, что они понимают риск и имеют полномочия внутри компании, достаточные для того, чтобы вытащить вилку из розетки у любой системы, если есть необходимость. Я как раз и рекомендовала немедленно вытащить вилку у Drug10. И спасибо менеджеру внутреннего аудита за серьезное отношение к проблеме. Обслуживающий персонал работал всю ночь, устанавливая новую систему взамен Drug10. К следующему утру новая система была подключена к сети.