ОПЫТЫ: Хорошо ли защищены ваши данные?
Во многих организациях руководство полагает, что раз денег на защиту данных выделяется немало, то и защищены данные качественно, то есть для их взлома нужно нанимать хакеров редкой квалификации, платить им немалые суммы, идти на контакт с криминалом и вообще быть гораздо умнее конкурентов (потенциальных заказчиков кражи).
Кроме того, принято считать, что хакерской атаки можно не опасаться, ибо хакеров мало. Олигарху еще есть какой-то смысл бояться, что их наймут конкуренты, а среднему и малому бизнесу — нет.
Эти стереотипы не соответствуют действительности. Ниже мы опишем несколько реальных заказов на аудит компьютерной безопасности[Как сообщил нам автор, описанные ниже ситуации относятся в основном к 2003 году. — Прим. ред.].
Заказчик Куваев (здесь и далее фамилии и информация, позволяющая идентифицировать фамилии, изменены) — сотрудник крупнооптовой фирмы-импортера компьютерных комплектующих, работает старшим менеджером по закупкам в США. Традиционно бо,льшая часть переговоров Куваева с партнерами происходит по ICQ.
Руководство фирмы прочитало в газете «Известия», что программа ICQ — ненадежная. Учитывая, что список американских компаний, у которых закупается товар, есть информация конфиденциальная, цены и объемы закупок — средне-конфиденциальная, а из фирмы недавно со скандалом ушел один из ключевых сотрудников, руководство решило провести аудит компьютерной безопасности. Перед экспертом был поставлен вопрос: что может сделать враг с бюджетом в $1000?
Изучение ситуации показало, что ICQ-номер Куваева зарегистрирован больше семи лет назад. При регистрации нужно было указывать e-mail-адрес. Вероятно, в тот момент у Куваева не было e-mail-адреса или он не хотел его давать, — так или иначе, был указан адрес qwert@lkjlkj.asdfsdfs.com. Предположительно, Куваев набрал на клавиатуре случайную последовательность символов, выглядящую как e-mail-адрес (даже доменного имени asdfsdfs.com не существовало).
Атака состояла в регистрации доменного имени asdfsdfs.com, создании в домене компьютера lkjlkj.asdfsdfs.com и заведении на нем пользователя qwert; после этого в фирму Mirabilis (владельцы системы ICQ) была направлена просьба выслать якобы утраченный пароль на адрес, указанный при регистрации, что и было выполнено.
Зная пароль, можно его сменить (то есть сделать невозможным пользование данным номером для легального адресата), а можно и получать всю текущую информацию от многочисленных поставщиков.
Если бы атака была проведена врагом, как подсказал нам Куваев, враг мог уведомлять соединяющихся по ICQ поставщиков об изменении адреса склада в Финляндии и просить их срочно перенаправить поток грузов по новому адресу. Учитывая объемы поставок и принятую в этом бизнесе оплату с отсрочкой 60 суток после получения товара, враг мог неплохо поживиться и создать немало проблем организации, в которой работает Куваев…
Демонстрация уязвимости была осуществлена за двое суток, расходы по осуществленному пути составили $150. В Москве есть десятки организаций, способных осуществить такую атаку[Здесь и далее формулировки взяты из официальных отчетов. — Прим. ред].
Специфика работы заказчика была такова, что клиенты в офис не приходили, а деятельность в целом носила сугубо конфиденциальный характер. Перед аудитором был поставлен вопрос: может ли враг, располагающий суммой в $5000, украсть какие-либо данные. Персонал заказчика о мероприятиях уведомлен не был.
Изучение ситуации показало, что физическая защищенность офиса исключает проникновение посторонних лиц; подкуп сотрудников тоже был маловероятен, благодаря специфике их подбора по национальному признаку и личной преданности заказчику.
Удачной оказалась следующая атака:
Наружное наблюдение позволило предположить, что системный администратор заказчика Чхеидзе увлекается мексиканскими народными песнями. Это было подтверждено осмотром открытых форумов Рунета, где Чхеидзе размещал сообщения по данной теме под своей фамилией.
Сообщения Чхеидзе в форумах были проанализированы. Выяснилось, что он разочарован имеющимися в Рунете музыкальными серверами, уделяющими недостаточное, на его взгляд, внимание песням народов Мексики.