НОВОСТИ

ДРУГИЕ НОВОСТИ

РЕКОМЕНДУЕМ




ПОПУЛЯРНЫЕ НОВОСТИ


АВТОРИЗАЦИЯ

КАЛЕНДАРЬ НОВОСТЕЙ

«    Июль 2018    »
ПнВтСрЧтПтСбВс
 1
2345678
9101112131415
16171819202122
23242526272829
3031 

НАШ АРХИВ

Январь 2018 (1)
Август 2017 (1)
Июль 2017 (1)
Июнь 2017 (1)
Апрель 2017 (3)
Январь 2017 (2)


Не звони мне, не звони...

Угрозы при использовании мобильных устройств в бизнесе

Рост популярности мобильных устройств заставляет задуматься о необходимости их интеграции с информационными системами и выработке стратегии по управлению связанными рисками.

Количество мобильных устройств, используемых, как в личных целях, так и в корпоративной среде, растет очень стремительно. Так, рост продаж смартфонов и мобильных ПК оценивается в 66-85%, а трафик, генерируемый такими устройствами, вырос за год более чем в 2,5 раза.

Бизнес-процессы часто требуют от сотрудника всегда быть на связи для возможности доступа к определенным документам. В зависимости от занимаемой должности сотрудник может даже чаще общаться по мобильному, чем внутреннему телефону. Например, менеджер или торговый агент в офисе появляется лишь для отчетов, а все заказы принимает по телефону или накапливает их в мобильном компьютере.

Компании для удобства сотрудников начали внедрять облачные сервисы, уже изначально ориентированные на доступ с разных, в том числе и мобильных устройств. Многие средства коллективной работы, календари, почтовые серверы позволяют подключаться со смартфонов и планшетных ПК и синхронизировать данные. Пользователи получают доступ с разных гаджетов к корпоративной почте, адресной книге, порталу, файлам. Все это повышает эффективность процессов управления и обмена информацией.

Но, с другой стороны, появление мобильных гаджет повысило риски утечки информации. По данным исследования «Лаборатории Касперского», в каждой третьей отечественной компании малого и среднего бизнеса видят серьезную угрозу бизнесу в заполонивших рынок портативных устройствах, а в каждой второй организации серьезно обеспокоены вопросами безопасности корпоративных смартфонов и планшетов. Поэтому следует оценить все риски и произвести ряд мероприятий, позволяющих защитить информационные ресурсы компании.

Еще один важный момент. При рассмотрении вопросов организации информационной безопасности не следует разделять мобильное устройство (планшетник, смартфон, телефон и пр.) и фотоаппарат или портативный носитель информации. Ведь последние есть производное от первого. Небольшая флешка или gsm модем также могут быть использованы для выноса данных или проникновения вирусов в корпоративную сеть, а фотоаппарат позволяет скопировать любые данные на флешку или с помощью пересьемки.

Утечка информации

Человеческий фактор является едва ли не основной причиной утечки конфиденциальных данных, как преднамеренного, так и случайного. Отсутствие ограничений на подключение устройств к системам в корпоративной сети дает возможность пользователям занести внутрь вирус или скопировать и вынести любые данные. Мобильный телефон, подключенный к ПК, можно использовать в качестве модема для несанкционированного подключения к Интернету.

Блокировка съемных устройств - это уже аксиома правил безопасности, поэтому в любой организации должны быть средства, позволяющие управлять подключениями и анализировать обмен данными. В современных ОС уже все необходимое имеется.

Групповые политики блокировки сменных устройств впервые появились в Windows Server 2008 и Vista, в дальнейшем доступный функционал только рос. В Windows 7 к ним добавился еще и AppLocker, позволяющий контролировать запускаемые приложения. Правда, гибкими установки назвать было нельзя, например, чтобы разрешить доступ, следовало подключить устройство к компьютеру и получить его GUID или код устройств.

В новых версиях ОС Microsoft Windows Server 2012 все политики, касающиеся работы сменных устройств, которые появились в Vista, перешли без изменений. Добавилась лишь возможность аудита съемного носителя, позволяющая отследить обращения пользователя к объектам файловой системы. Настраивается такая политика в Политики/Параметры безопасности/Конфигурация расширенной политики аудита/Политики аудита. Или с помощью auditpol (в Windows Server 2012 консоль никуда не исчезла, просто хорошо спрятана):

Вот, собственно, и все. Поэтому продукты сторонних разработчиков FileControl, Devicelnspector, DeviceLock, Zecurion Zlock и другие еще будут востребованными.

Кроме удобства управления в большой среде, они имеют функции DLP - анализ копируемой информации и блокировка конфиденциальных данных, контроль распечатанной документации, архивирование информации и так далее.

Невозможность установки дополнительных средств защиты вроде VPN на некоторые ОС увеличивает вероятность перехвата трафика по Bluetooth и Wi-Fi при передаче данных между мобильными телефонами или компьютером, а также GSM, 3G, GPRS.

Комплект для вардрайвинга (wardriving) в виде специальных антенн и ложной станции стоит относительно недорого, софт легко найти в Интернете. Реализация стека Bluetooth может содержать ошибки, приводящие к несанкционированному доступу к устройству (bluesnarfing) или прослушиванию телефона (bluebugging). Недостаточное WEP/WPA-шифрование позволяет легко расшифровать трафик.

Защититься от перехвата сложно, пользователь не в состоянии отличить ложную станцию от настоящей. Поэтому выход один - для обеспечения защиты использовать VPN.

Кроме этого, нужно просто информировать сотрудников, особо акцентируя внимание на том, чтобы важные переговоры и данные по телефону не передавались.

К слову, часть данных может собирать сам разработчик ОС, например, используя местоположение для таргетирова-ния рекламы, однако гарантий того, что эта информация не уйдет на сторону, сегодня никто не даст. Недавнее похищение базы Apple UDID вскрыло еще одну проблему. Некоторые приложения и сервисы (например, WhatsApp) для аутентификации использовали этот самый UDID. API сервисов (например, социальная сеть для игроков OpenFeint) позволяет по номеру получить некоторую информацию об активности устройства. Есть вероятность, что при доступе могут задействоваться IMEI телефона и прочие идентификаторы, которые очень легко узнать (сервис whatismyudid.com, нажав *#06# на телефоне и т.п.), но в отличие от пароля невозможно изменить.

В iOS 5 Apple рекомендует отказаться разработчикам приложений от использования UDID, но все ли последуют совету, неизвестно.

Кроме технических средств, возможно и банальное похищение мобильного устройства, содержащего важные данные или его потеря владельцем.

К этому нужно быть готовым. Данные на носителе должны быть как минимум зашифрованы, конкретные решения выбираются в зависимости от ситуации. Например, в Windows начиная от Vista для шифрования дискового тома можно использовать штатный BitLocker, в Windows 7 к ней добавилась технология шифрования съемных носителей BitLocker То Go. Чтобы получить к ним доступ, потребуется ввод пароля или смарт-карта. Подойдут и решения сторонних разработчиков - TrueCrypt, BestCrypt или LUKS/Linux.

Кроме этого, существует ряд аппаратных и программных решений для ноутбуков и флешек, позволяющих уничтожать данные в случае нескольких попыток неудачного ввода пароля или кражи. Например, Kaspersky Tablet Security и Mobile Security, помимо защиты от вредоносных и мошеннических программ, с помощью веб-портала АнтиВор позволяет найти утерянное устройство посредством GPS, GSM или Wi-Fi, заблокировать его или удалить данные, сделать фото. В случае смены SIM-карты на устройстве владелец получит SMS с информацией о событии (SIM-Watch).

Другое решение avast! Free Mobile Security обеспечивает полную антивирусную защиту для Android, определение местонахождения устройства с Anti-Theft, фильтр SMS и звонков, веб-фильтр, подсчет трафика, брандмауэр. Управление осуществляется через веб-портал или отправление команд SMS. Аналогичные возможности предоставляют ESET NOD32 Mobile Security и Dr.Web Mobile Security Suite, кроме Android, поддерживающие еще и Windows Mobile и Symbian.

Реалии утечки конфиденциальной информации

Аналитический центр компании Zecurion опубликовал результаты своего международного исследования об утечках конфиденциальной информации. Сообщается, что в 2011 году всего было зарегистрировано 819 инцидентов, суммарный ущерб от которых оценивается более чем в 20 млрд долларов, не менее 1 млрд из них пришлось на российские компании. Отмечается, что отсутствие адекватных политик безопасности и современных технических средств защиты делает бизнес уязвимым перед внутренними угрозами. Наибольшее число инцидентов произошло не по причине внешних атак или подготовленных инсайдеров, а вследствие ошибок или халатности персонала (45,2%), низкой осведомленности сотрудников компаний в вопросах информационной безопасности. Самыми распространенными каналами утечек исследователи называют ноутбуки и мобильные накопители (суммарно 19,4%), веб-сервисы (18,2%), компьютеры (16,1%) и неэлектронные носители (14%). Последние остаются популярным каналом утечки из-за некорректной утилизации: бумаги с конфиденциальными данными просто выбрасывают в общедоступные мусорные баки. В России исследователи компании Zecurion зарегистрировали 41 публичный инцидент. Как наиболее громкие отмечаются утечки SMS «МегаФона», базы данных 1,6 млн абонентов МТС, публикация персональных данных на сайте Пенсионного фонда России, массовая компрометация данных о клиентах российских интернет-магазинов.
Опубликовано в категории: Наука и технологии

14-10-2012, 03:45