Previous: 6.12 DoS-атаки. Фильтрация на входе сети: Отражение атак DoS, которые используют подмену IP-адреса отправителя (RFC-2827)    UP: 6 Сетевая безопасность     Next: 6.14 Технология IpSec

6.13 Правила безопасности для пользователей

Семенов Ю.А. (ИТЭФ-МФТИ)
Yu. Semenov (ITEP-MIPT)

В 1997 году одна из подгрупп IETF выпустила справочник Site Security Handbook (RFC-2196). В нем содержатся рекомендации системным администраторам по разнообразным вопросам защиты сети, правилам использования и методике работы. По существу это важная часть политики безопасности. Такая политика всегда содержит перечень запретов и ограничений. Политика всегда должна быть явно прописанной. Желательно, чтобы были прописаны отдельно правила для работы с серверами (файлами), электронной почтой, системой Instant Messaging, P2P (если использование этой техники вообще разрешено) и т.д. В большинстве стран руководитель организации несет ответственность за действия сотрудников, если они наносят другой организации или частным лицам существенный ущерб. Важно, чтобы все сотрудники понимали причины вводимых ограничений, а для этого необходимо регулярно проводить обучение персонала. Этот документ предлагает включить в правила следующие разделы:

• Рекомендации по закупке оборудования и программного обеспечения. Участие системных администраторов в выборе оборудования и программного обеспечения может оказать большую пользу, так как часто они знают о его недостатках и ограничениях то, чего не афишируют продавцы и производители.
• Политика секретности. Устанавливает степень контроля над почтой и действиями пользователей, а также политику размещения пользовательских файлов.
• Политика доступа. Определяет, кто может иметь доступ в систему, что можно делать в рамках этих прав доступа, какое программное обеспечение можно установить и пр. Данный документ должен включать те же меры предосторожности относительно авторизации доступа и степени контроля, что и политика секретности.
• Политика учетных записей. Содержит описание прав и обязанностей пользователей и системных администраторов.
• Политика аутентификации. Устанавливает правила использования паролей и порядка лишения доступа.
• Политика доступа. Определяет, в какое время система должна быть доступна, содержит расписание обслуживающих мероприятий, перечень действий при появлении проблем, а также инструкции по документированию проблем и оповещению о них администраторов и ориентировочное время их устранения.
• Политика управления. Устанавливает правила общения с внешним миром и порядок доступа для приглашенных из других организаций специалистов.

Помимо названных рубрик может присутствовать политика использования e-mail, IM и других сервисов. Вообще говоря, из соображений безопасности может быть введена фильтрация содержимого любых входящих и исходящих сообщений (порнография, сетевые игры и пр.). Допустимо введение ограничений на используемые языки. Целесообразно четко прописать ответственность пользователей за определенные действия, которые подвергают опасности интересы организации (фирмы) или отдельных лиц. Можно напомнить пользователям правила поведения воспитанных людей в сети. (Netiquete)

Правила для пользователей

В правилах для пользователей необходимо регламентировать следующие вопросы:

• Использование учетных записей совместно с друзьями и родственниками.
• Выполнение программ дешифрования паролей для расшифровки локального файла passwd, например, с помощью программы crack.
• Выполнение программ дешифрования паролей для расшифровки файлов passwd других систем.
• Нарушение нормального процесса обслуживания.
• Проникновение в чужие учетные записи.
• Неправильное использование электронной почты.
• Просмотр файлов других пользователей (есть ли возможность чтения? записи? одобряется ли?)
• Публикации в UseNet (запрещены? с оговорками? разрешены?)
• Импорт программ из Интернет (запрещен? разрешен? разрешен с оговорками?)
• Использование системных ресурсов (принтеров, дисков, модемов, процессора).
• Копирование лицензионного программного обеспечения.
• Выдача разрешений на копирование лицензионного программного обеспечения другим лицам.
• Копирование защищенных авторскими правами материалов (музыки, фильмов и пр.).
• Всевозможная незаконная деятельность: мошенничество, клевета и др.
• Вовлечение в деятельность, которая является запрещенной (например, порнография)

Примером соглашения для доступа к компьютерам может служить документ такого рода для факультета информатики университета Мельбурна. Смотри также http://www.admin.com.

Я, нижеподписавшийся, настоящим объявляю, что буду придерживаться приведенных ниже правил:

• Я буду использовать возможности компьютеров и сети факультета исключительно для учебных целей, относящихся к моему обучению информатике.
• Я знаю, что факультет предоставляет регистрационное имя для его использования исключительно получателем. По этой причине я не буду способствовать использованию моей учетной записи и файлов другими лицами и сообщать свой пароль кому бы то ни было.
• Я не буду осуществлять доступ или попытку доступа ни к одному компьютеру, регистрационной записи, сети или файлу без соответствующего и явного разрешения. Такой доступ является незаконным и противоречит университетским правилам. Если мне станет известно, что такой доступ имел место, я немедленно проинформирую об этом руководство факультета.
• Я знаю, что некоторые программы и данные, находящиеся в файловой системе, могут быть защищены законом об авторских правах и другими законами или лицензионными соглашениями. Я не буду нарушать накладываемые ими ограничения.
• Я не буду использовать университетские ресурсы для получения, разработки, запуска и распространения нелицензионного программного обеспечения.
• Я обязуюсь сохранять конфиденциальность любых полученных мною от университета сведений о программном обеспечении (включая методы и принципы его использования), лицензионном для использования на ЭВМ университета, и тем самым обезопасить университет от претензий любого рода, связанных с разглашением этой информации.
• Я обязуюсь проявлять предельную честность и порядочность во всех вопросах, связанных с использованием компьютерных и сетевых возможностей университета, которые могут повредить репутации факультета или университета.
• Я понимаю, что действия, противоречащие изложенным выше принципам, повлекут за собой жесткие взыскания, включая отказ в изучении темы или предмета, временный запрет или лишение доступа к университетским вычислительным средствам, временное или полное исключение из университета, штраф и/или другие действия, предусмотренные Crimes Computer Act (этот закон действует в Австралии, но аналогичные законы имеются во многих других странах) 1988 года

Обратите внимание на неоднозначные слова о честности, порядочности и необходимости беречь репутацию университета. Подобные требования общего характера помогают охватить вопросы, которые трудно описать строгими детерминированными правилами. И хотя юридическая сила таких требований невелика, все же полезно их включить во внутренние правила компании или учреждения. Заверенная расписка пользователя о согласии следовать перечисленным правилам является юридическим документом и может использоваться в суде. Обязательно нужно проинформировать всех пользователей, что сам факт использования учетной записи, равносилен согласию соблюдать установленные правила. Должно быть известно, где можно ознакомится с правилами. Следует иметь в виду, что не имеющие юридической силы и противоречивые правила - хуже, чем их отсутствие.

Здесь нет ни слова об использовании программ сканирования, рассылки сообщений содержащих “троянских коней” или вирусы, попыток взлома защиты серверов и пр. Это все преступления, которые обычно регламентируются уголовным кодексом. И следует учитывать, что оправдания типа, я решил просто посмотреть, как работает такая программа из любопытства и т.д., не могут служить оправданием. Полагаю, никто не воспримет серьезно оправдание вроде: “Я хотел лишь проверить, работает ли этот гранатомет, у меня и в мыслях не было разносить вдребезги эту бензоколонку…”

Не нужно думать, что права системных администраторов не ограничиваются ничем. Если системный администратор злоупотребляет своими полномочиями, ему следует подобрать другую работу. Если специфика работы требует наличия нескольких администраторов, пароль root помещается в конверт, а конверт в сейф. Администраторы же пользуются программой sudo. Если в какой-то момент времени кому-то потребуется пароль root, конверт извлекается из сейфа, и после завершения операции пароль заменяется.

Рекомендуется помещать в файл /etc/motd (сообщение дня) предупреждение о действующих у вас правилах. Предупреждение должно содержать перечень мер, которые будут предприняты, при несоблюдении правил (удаление учетной записи, размер штрафа или уголовная ответственность).

Работа в экстренных ситуациях

Следует решить заблаговременно вопрос о том, кто должен руководить работами в экстремальной ситуации, определить субординацию. Имена и телефоны должностных лиц также как базовые IP-адреса следует хранить вне системы. Возможно, там (вне сети) следует держать и конфигурационную базу данных. Обычно руководитель ВЦ для этих работ не пригоден. Должно быть известно, где хранятся последние backup-копии жизненно важных частей ОС (помимо файла /etc/dumpdates). Для случай взлома WEB-сервера известной компании, нужно тщательно продумать тактику контакта со средствами массовой информации, клиентами. Это все настолько важно, что стоит подумать о необходимости специальных учений. Часто в таких ситуациях поток запросов серверу может резко возрасти (многие любопытные пытаются проверить слух об аварии, а слухи в сети распространяются как снежная лавина). Если ваш сервер не в полной мере восстановлен и излишняя загрузка для него губительна, позаботьтесь о передаресации избыточной части запросов на другой сервер, который будет уведомлять: “Извините, узел перегружен и в данный момент мы не можем обработать ваш запрос”. Рекомендуется использовать программу tripwire, чтобы согласовать действия системных администраторов, особенно если разные группы администраторов отвечают за разные аспекты работы одной ЭВМ. Например, “заплаты” СУБД Oracle и ОС могут конфликтовать друг с другом. В результате одна группа, поставившая “заплату” может и не подозревать, что текущая проблема является следствием действий другой группы. Программа tripwire идентифицирует, что и когда изменялось, и помогает доказать администраторам, что именно их действия явились причиной неполадок.

Приложение. Пример политики в отношении электронной почты

1. E-mail должна использоваться только для в служебных целях. Любое использование почты в частных целях может производиться только в случае, если это разрешено действующими правилами. Пользователям запрещается применять какие-то свои почтовые программы (например, hotmail и пр.).
2. Сотрудникам может быть разрешено общаться со своими супругами, детьми и другими родственниками, но при этом время использования e-mail должно ограничиваться обеденным перерывом. Запрещается посредством почты осуществлять сбор благотворительных средств или искать другую работу.
3. Почта подготовленная к отправке на компьютере компании или пришедшая извне может просматриваться или фильтроваться. Сотрудники не могут рассчитывать на конфиденциальность своих почтовых обменов. В связи с этим запрещается использовать шифрование (например, PGP).
4. Компания может мониторировать и архивировать весь почтовый обмен без уведомления об этом сотрудников. Компания имеет право раскрывать содержимое частного обмена, если это затрагивает интересы фирмы, предьявлять эти данные в суде, если это потребуется.
5. Запрещается рассылка оскорбительных сообщений или информации, носящий дискриминационный характер, или призывающей к насилию.
6. Администрации предприятия запрещается:
   • Рассылать, копировать, печатать тексты или грфические объекты, которые порочат кого-либо на основе рассовой, религиозной, сексуальной ориентации, возраста, происхождения или национальной принадлежности.
   • Рассылать или распространять сообщения унижающие или оскорбляющие кого-либо.
   • Распространять слухи или намеки о сотрудниках клиентах или партнерах.
   • Рассылать тексты или изображения сексуального характера.
7. Несмотря на ограничения конфиденциальности администрация должна исключить утечку персональных данных.
8. Сотрудники не должны пересылать по почте любую конфиденциальную информацию, касающуюся фирмы или ее сотрудников.
9. Электронной почтой не следует пользоваться при взаимодействии с юристами (запросы рекомендаций или консультаций).

Смотри также www.stbernard.com.