защита от администратора сети

[secn 0]

Всем добрый день!

Недавно у меня появились новые обязанности, обеспечивать информационную безопасность.

И в качестве первой задачи, я получил такую:

"обеспечить безопасность, точнее недоступность информации в файлах word от сотрудников имеющих административные права на компьютере с сохранением возможности удалённого подключения для оказания срочной помощи"

что посоветуете?

[Milord 55]

Зашифровать, куда уж проще) если документов много, ограничить права.

[secn 0]

Зашифровать, куда уж проще) если документов много, ограничить права.

администратор имеет доступ к компьютеру в любое время, он сам может ограничить права и ограничивает.

Он так же имеет доступ к ключам, если они хранятся на данном компьютере.

[alexgr 556]

хранить ключи на том же компьютере - дискредитировать саму идею криптографической защиты информации

[Зайцев Олег 402]

администратор имеет доступ к компьютеру в любое время, он сам может ограничить права и ограничивает.

Он так же имеет доступ к ключам, если они хранятся на данном компьютере.

Существует правило: если админу нет доверия, то админ должен быть уволен в 24 часа, после чего должны быть изменены все пароли и коды доступа. Удаленный доступ и сохранность конфиденциальных документов - это вообше несовместимые понятия.

В остальном если криптоконтейнер защищен паролем и пароль знает только владелец, то это уже защита. Правда, если владелец откроет контейнер, а админ в это время потихоньку заберется и скачает их - тут уже ничего не поможет.

[dot_sent 140]

Существует правило: если админу нет доверия, то админ должен быть уволен в 24 часа, после чего должны быть изменены все пароли и коды доступа. Удаленный доступ и сохранность конфиденциальных документов - это вообше несовместимые понятия.

В остальном если криптоконтейнер защищен паролем и пароль знает только владелец, то это уже защита. Правда, если владелец откроет контейнер, а админ в это время потихоньку заберется и скачает их - тут уже ничего не поможет.

Кроме того, ничто не мешает злонамеренному админу поставить на машину кейлоггер, например. Антивирус тот же админ может отключить или внести "свой" кейлоггер в список исключений. В общем, возможностей достаточно

[Сергей Ильин 1538]

Если не брать в расчет криминал типа кейлоггеров и прочие методы неправомерного получения доступа к данным, то шифрование ИМХО вполне себе решает проблему. Ключи хранятся у пользователя информации, никто посторонний к ним доступ не имеет.

Если говорить конкретно, то для офисных документов есть фактически штатное средство - Microsoft Information Rights Management, поддерживается начиная с Office 2003, в новом Office 2013 (Office 365) на этот функционал делается большая ставка. Вот например, статьи можно почитать

http://office.microsoft.com/en-us/excel-he...A010354260.aspx

http://technet.microsoft.com/en-us/library/cc178985.aspx

[secn 0]

Кроме того, ничто не мешает злонамеренному админу поставить на машину кейлоггер, например. Антивирус тот же админ может отключить или внести "свой" кейлоггер в список исключений. В общем, возможностей достаточно

Да, наверное так оно и есть.

Но, за кейлогеры и нарушение работы, администратора можно и к уголовному делу привлечь, а учитывая то, что сейчас администратора это профессия, вряд ли кто-то захочет так портить карьеру.

Конечно, если знать врага в лицо, его можно и уволить, но в моём случае это неизвестно.

Если не брать в расчет криминал типа кейлоггеров и прочие методы неправомерного получения доступа к данным, то шифрование ИМХО вполне себе решает проблему. Ключи хранятся у пользователя информации, никто посторонний к ним доступ не имеет.

Если говорить конкретно, то для офисных документов есть фактически штатное средство - Microsoft Information Rights Management, поддерживается начиная с Office 2003, в новом Office 2013 (Office 365) на этот функционал делается большая ставка. Вот например, статьи можно почитать

http://office.microsoft.com/en-us/excel-he...A010354260.aspx

http://technet.microsoft.com/en-us/library/cc178985.aspx

rms хорошее средство, а вот может Битлокер рассмотреть на 7-ке?

Существует правило: если админу нет доверия, то админ должен быть уволен в 24 часа, после чего должны быть изменены все пароли и коды доступа. Удаленный доступ и сохранность конфиденциальных документов - это вообше несовместимые понятия.

В остальном если криптоконтейнер защищен паролем и пароль знает только владелец, то это уже защита. Правда, если владелец откроет контейнер, а админ в это время потихоньку заберется и скачает их - тут уже ничего не поможет.

согласен, если бы владельцы бизнеса всегда знали о доверенных и недоверенных сотрудниках и могли точно определить момент, когда сотрудник из одного состояния в другое переходит, то наверное не было бы и вида деятельности как информационная безопасность..

практике абсолютно неизвестно когда, как и почему доверенный админ, вдруг становится недоверенным.

[Зайцев Олег 402]

согласен, если бы владельцы бизнеса всегда знали о доверенных и недоверенных сотрудниках и могли точно определить момент, когда сотрудник из одного состояния в другое переходит, то наверное не было бы и вида деятельности как информационная безопасность..

практике абсолютно неизвестно когда, как и почему доверенный админ, вдруг становится недоверенным.

Вот на этот случай владельцам бизнеса и нужна служба безопасности в общем, и информционной безопасности - в часности. В идеале ИБ не должна быть в отрыве от общей безопасности фирмы, и одна из задач - знать, кто, когда, где, с кем, на кого ... Кого-то можно завербовать (и он вовремя даст нужную информацию), кто-то поделится информацией просто так, кто-то донос напишет. Плюс мониторинг всего, что можно мониторить - начиная от круглосуточной записи активности на ПК админа, логи могут многое рассказать. Плюс провоцирование ситуаций - например пользователь идет по коридору, а там флешка валяется. Вопрос - что он будет делать ? Может пройти мимо, может положить себе в карман и никому не сказать, может честно отдать охране или начальнику, может втихоря посмотреть - а что же там. Если посмотрит - а там документы явно секретные и явно не для его глаз. Что он будет делать в такой ситуации ? Вариантов много - может доложить куда следует, может рассудить, что сначала "посмотрю - а потом доложу", может посмотреть/скопировать себе и подбросить флешку туда, где он ее нашел... - каждая из линий поведения дает богатую почву для размышлений.

Кроме того, если говорить о защите документов, то стоит перво-наперво прошерстить ПК на предмет:

- расшаренных папок (какой толк от криптоконтейнера, если он расшарен всейсети с правами полного доступа всем. Смешно, но я такое видел

- всякие "облачные хранилища" начиная с Яндекс.Диск и drobox, если ими пользуются юзеры, то ни о какой конфиденциальности речи быть не может

- флешки. Если поьзователи могут копировать документы - они будут их копировать

- передача документов почтой, через Инет ...

Все это в итоге выростает в проблему создания регламентирующих документов, значительного закручивания гаек и быть может внедрения DLP

[Milord 55]

Вообще то топикстартер по моему не с того начинает выполнение своих обязанностей, почему он сразу пытается себя противопоставить админу, что за практика? может стоит обговорить с тем же админом, ху из ху, и расставить все точки...

[secn 0]

Вообще то топикстартер по моему не с того начинает выполнение своих обязанностей, почему он сразу пытается себя противопоставить админу, что за практика? может стоит обговорить с тем же админом, ху из ху, и расставить все точки...

А что это даст в практическом смысле? У руководителя есть опасение в том, что админ видит его документы, он хочет чтоб не видел.. что руководителю надо сказать НИЧЕГО страшного... я с Админом познакомился.. он человек хороший, если посмотрит то никому не расскажет..

А если Вам как опытному безопаснику Админ не скажет правду, не расскроет свои замыслы? Возмёт и не скажет, что он давно читает все файлы с грифом КТ не компьютере руководителя, а что-то копирнул себе, так на всякий случай..

Все это в итоге выростает в проблему создания регламентирующих документов, значительного закручивания гаек и быть может внедрения DLP

А как DLP то тут поможет... Админ ничего не копирует.. просто смотрит...

[Зайцев Олег 402]

А как DLP то тут поможет... Админ ничего не копирует.. просто смотрит...

DLP можно настроить по разному. Можно например так, что будет фиксироваться, что смотрит админ ... Я же не зря писал про документы-ловушки и просмотры протоколов (если например речь идет о удаленном подключении и просмотре, то поймать любопытного админа проще простого).

[Sergo 0]

насколько я понял нужно защититься от доступа к документам админов через дефолтные шары C$, D$, а также защитить от просмотра документов которые находятся на файловом хранилище и должны быть доступны бизнес-пользователям. В то же время должен выполняться их техническое обслуживание -администрирование компьютера, выдача\ограничение прав доступа, резервное копирование ну и пр.

соответственно просто шифрование разделов\дисков(bitlocker, truecrypt) в этом случае не поможет, так как при открытии раздела он становится виден для всех.

В данном случае необходим способ при котором информация становится доступна только при прямом обращении к ней и при наличии секрета у пользователя.

Может быть подойдут EFS, secret net.

[secn 0]

насколько я понял нужно защититься от доступа к документам админов через дефолтные шары C$, D$, а также защитить от просмотра документов которые находятся на файловом хранилище и должны быть доступны бизнес-пользователям. В то же время должен выполняться их техническое обслуживание -администрирование компьютера, выдача\ограничение прав доступа, резервное копирование ну и пр.

соответственно просто шифрование разделов\дисков(bitlocker, truecrypt) в этом случае не поможет, так как при открытии раздела он становится виден для всех.

В данном случае необходим способ при котором информация становится доступна только при прямом обращении к ней и при наличии секрета у пользователя.

Может быть подойдут EFS, secret net.

А у Вас опыт внедрения подобных систем есть? EFS это что?

[Kapral 311]

EFS это что?

http://ru.wikipedia.org/wiki/EFS

[secn 0]

http://ru.wikipedia.org/wiki/EFS

спасибо. Думаю EFS подойдёт, конечно наверное не обойдётся без тонкостей..

О результатах напишу, если интересно.

[secn 0]

спасибо. Думаю EFS подойдёт, конечно наверное не обойдётся без тонкостей..

О результатах напишу, если интересно.

ситуация такая.

1) ИТшники заняли оборону и сообщили руководству, что если на компьютере будет какой-либо сторонний софт или сторонние подключения, например безопасников, то ИТшники не гарантируют работоспобность компьютера.

2) Во все средства безопасности затребовали адмнистративный пароль, для оперативного разрешения проблем..

в общем какой-то замкнутый круг..

зачем вообще безопасники?

[secn 0]

Вот ещё нашёл обсуждене этого вопроса

http://www.itsec.ru/forum.php?sub=6063&from=0

Коллеги, получается, что защится от администратора в общем случае нельзя.

Что можно, можно настроить контроль действий и тратить ресурсы на анализ логов, административно админов надо будет обязать фиксировать все случаи подключения в специальном журнале, доступном для пользователя и ибшникам..

[Зайцев Олег 402]

ситуация такая.

1) ИТшники заняли оборону и сообщили руководству, что если на компьютере будет какой-либо сторонний софт или сторонние подключения, например безопасников, то ИТшники не гарантируют работоспобность компьютера.

2) Во все средства безопасности затребовали адмнистративный пароль, для оперативного разрешения проблем..

в общем какой-то замкнутый круг..

зачем вообще безопасники?

Как говорится "ну я же предупреждал" на самом деле все просто:

1. Необходим пакет документов:

- положение об отделе безопасности, где прописаны функции отдела, включа я функции ИБ.

- должностные инструкции специалиста по ИБ. Где четко сказаны его права и обязанности (чтобы потом ИТ не могли сказать - "а что это он сюда нос сует" ?!). Без положения об отделе и должностных инструкций например незаконно что-то от кого-то требовать, например сотрудник А не может затребовать от сотрудника Б объяснительную или подвегунть его ПК некоей инспекции, сотрудник Б может его послать и будет прав.

- положение о коммерческой тайне. Без него вообще неясно, что именно мы защищаем и зачем. Положение доводится до всех под роспись, создается комиссия (возможно с участием ИТ), которая решает, что конкретно относить к КТ, а что нет. На документах появляется гриф ... это все дает основу к том, чтобы шировать, не допускать утечек и карать в случае ее выявления

- концепция обеспечения ИБ, набор политик и регламент использования информационных ресурсов. Регламент всем пользователя под роспись, а вот политики - саоме интересное. В политиках в том числе расписываются роли - что должны/имеют право/обязаны делать ИТ, что должны/имеют право/обязаны делать ИБ для обеспечения того-то. Например в антивирусной политике - роль ИТ в том, чтобы установить антивирус на все ПК и поддерживать в рабочем состоянии. Роль ИБ - разработать конфигурацию антивирусной защиты и следить, чтобы она бла применена всюда и все работало, что не так - ИТ по башке.

2. если применяется ПО мониторинга, некие спец. средства типа DLP или криптографии и т.п., то

- пользователь должен быть уведомлен о том, что за его действиями могут следить и эти самые действия могут протоколироваться и использоваться затем для его привлечения к ответственности. И за это пользователь обязан расписаться. Более того, если например пользователь работает с конфиденциальными документами, то он должен расписаться в том, что он обязан соблюдать заданные правила работы с этими документами, в идеале вопросы ИБ должны быть пунктом в договоре.

- в регламентах должно быть прописано, что управляет средствами мониторинга и защиты ИБ, и любая попытка противодействовать работе этих средств с стороны пользователя или ИТ наказуема. В такой ситуации "затребовали пароль" будет звучать смешно.

- в некоторых случаях требования о знании пароля оправдано, например на случай, если накая система работает, а управляющего ей безопасника внезапно задавит трамвай. Вопрос - как быть ?! Смех смехом, но ситуация дурацкая. Выход есть: пароли записаны на бумажку, бумажка в конверте, конверт - в сейфе безопасности, сейф заперт на ключ, копия ключа у руководства. В итоге пароли как-бы есть на случай чего, но какбы их и нет.

3. Из практики - любая попытка "ударного закручивания гаек", в особенности без четких регламентирующих документов приведет к противодействию пользователей, ИТ и т.п.

4. Следствие п.п. 3: ИТ могут "заделать козу", пользователи будут придумывать разнообразные методики обхода политик и обмана ИБ. Такова жизнь, и недаром придумана пословица - "запретный плод всегда сладок"

[secn 0]

Как говорится "ну я же предупреждал" на самом деле все просто:

1. Необходим пакет документов:

- положение об отделе безопасности, где прописаны функции отдела, включа я функции ИБ.

- должностные инструкции специалиста по ИБ. Где четко сказаны его права и обязанности (чтобы потом ИТ не могли сказать - "а что это он сюда нос сует" ?!). Без положения об отделе и должностных инструкций например незаконно что-то от кого-то требовать, например сотрудник А не может затребовать от сотрудника Б объяснительную или подвегунть его ПК некоей инспекции, сотрудник Б может его послать и будет прав.

- положение о коммерческой тайне. Без него вообще неясно, что именно мы защищаем и зачем. Положение доводится до всех под роспись, создается комиссия (возможно с участием ИТ), которая решает, что конкретно относить к КТ, а что нет. На документах появляется гриф ... это все дает основу к том, чтобы шировать, не допускать утечек и карать в случае ее выявления

- концепция обеспечения ИБ, набор политик и регламент использования информационных ресурсов. Регламент всем пользователя под роспись, а вот политики - саоме интересное. В политиках в том числе расписываются роли - что должны/имеют право/обязаны делать ИТ, что должны/имеют право/обязаны делать ИБ для обеспечения того-то. Например в антивирусной политике - роль ИТ в том, чтобы установить антивирус на все ПК и поддерживать в рабочем состоянии. Роль ИБ - разработать конфигурацию антивирусной защиты и следить, чтобы она бла применена всюда и все работало, что не так - ИТ по башке.

2. если применяется ПО мониторинга, некие спец. средства типа DLP или криптографии и т.п., то

- пользователь должен быть уведомлен о том, что за его действиями могут следить и эти самые действия могут протоколироваться и использоваться затем для его привлечения к ответственности. И за это пользователь обязан расписаться. Более того, если например пользователь работает с конфиденциальными документами, то он должен расписаться в том, что он обязан соблюдать заданные правила работы с этими документами, в идеале вопросы ИБ должны быть пунктом в договоре.

- в регламентах должно быть прописано, что управляет средствами мониторинга и защиты ИБ, и любая попытка противодействовать работе этих средств с стороны пользователя или ИТ наказуема. В такой ситуации "затребовали пароль" будет звучать смешно.

- в некоторых случаях требования о знании пароля оправдано, например на случай, если накая система работает, а управляющего ей безопасника внезапно задавит трамвай. Вопрос - как быть ?! Смех смехом, но ситуация дурацкая. Выход есть: пароли записаны на бумажку, бумажка в конверте, конверт - в сейфе безопасности, сейф заперт на ключ, копия ключа у руководства. В итоге пароли как-бы есть на случай чего, но какбы их и нет.

3. Из практики - любая попытка "ударного закручивания гаек", в особенности без четких регламентирующих документов приведет к противодействию пользователей, ИТ и т.п.

4. Следствие п.п. 3: ИТ могут "заделать козу", пользователи будут придумывать разнообразные методики обхода политик и обмана ИБ. Такова жизнь, и недаром придумана пословица - "запретный плод всегда сладок"

Я так и сделал, но есть одно НО..

Вопрос то в том, что Администратор всё понимает, всё знает и аргументирует.. Время же сейчас неспокойное, все боятся лишиться работы.

Поэтому возникает конфликт Системное+прикладное ПО VS Средства безопасности от администратора.. Получается администратор должен согласится с тем, что появился безопасник, безопасник в свою очередь начинает выступать или в роли победителя или в роли некого недоразвитого ИТшника, к которому сниходительно отнёсся администратор.. В любом случае и то и другое временно, так как для конечного пользователя, первостепенней будет всё-таки администратор, нежели чем безопасник, по крайней мере до той поры, пока проблемы с прикладным ПО и системным ПО будет разрешать Администратор..

Безопасник должен обрести другую роль.. Роль контролёра, наблюдателя и вот данная роль действительно сводит на нет все потуги администратора показать свою приоритетность..

Вообще конечно, Олег, спасибо за подход. Я уже многое понял. Буду разговаривать с руководством.

[Guest decоnf]

напишите своё ПО, его будет труднее поломать и вы сможете использовать информационные каналы и технологии специфичные для вашего производства

[B . 90]

Эх, хорошо, когда "отдел IT" и "отдел информационной безопасности" - это один и тот же отдел

На самом деле, Олег прав - значительную часть проблем с соблюдением конфиденциальности можно решить административными методами: например, вводом режима коммерческой тайны и изданием приказа о персональной ответственности сотрудников за разглашение конфиденциальной информации (под подпись). Ограничивать доступ системного администратора к ресурсам рабочих станций, особенно, если администрирование осуществляется удаленно (Radmin, TeamViewer) - не лучший метод, к тому же вызовет лишнюю конкуренцию между отделами и напряженность в коллективе. Да и практика показывает, что "безопасники", если они не являются специалистами в области ИБ, в IT-сфере разбираются не очень. Я сталкивался с различными представителями этой профессии - в основном это бывшие военные, сотрудники милиции, спецслужб... Отношения с айтишниками у них были, мягко говоря, напряженные. Вам нужны конфликты?

Да и в любом случае, сколь бы ни были жесткими меры безопасности, при желании сотрудник всегда найдет лазейку. Помнится, когда-то я работал в одной госконторе с, как это принято говорить, "режимом". Видеонаблюдение, рамки на входе, строгая охрана, досмотр вещей на входе-выходе, "тамбурные" двери с кодовыми замками (пока не закроется наружная дверь, не откроется внутренняя)... Опечатывание помещений с помещением ключей в специальный ящичек, который тоже опечатывался и сдавался в спецхранилище под роспись, "первый отдел", все, как положено. Так вот - документы с грифом "ДСП" на спор выносили с территории и заносили обратно без всяких проблем... Несмотря на все меры безопасности

[СВЕТЛО ЗЕЛЕНЫЙ КОВЧЕГ 1]

Как защитить себя от блокировки аккаунта администратором в социальных сетях, сообществах, группах, своей страницы! 

                    

Отредактировал Сентябрь 29, 2019 СВЕТЛО ЗЕЛЕНЫЙ КОВЧЕГ