Антивирусная защита реализацией разграничительной политики доступа к ресурсам для субъекта «Процесс»

[Илья Рабинович 521]

Как по мне - без теории и функционала построить нормальную систему ИБ нельзя.

А как же практика? По-моему, именно практика больше нужна в ИБ.

[alexgr 556]

практика начинается с момента формирования модели безопасности, а не наоборот - интуитивно чувствуем, стороим систему, а потом оцениваем функционал

[А.Щеглов 6]

Спасибо за столь развернутый ответ.

Вы пишете:

Со студентами еще хуже - с трудом находишь в аудитории заинтересованные глаза - и это на профильных факультетах. Студент все знает, он одинаково хорошо разбирается в боксе, футболе и ИБ. Когда просишь представить матрицу рисков - делает страшные глаза и называет это ненужной теорией, а уж про мотивацию нарушителя промолчу...

Как по мне - без теории и функционала построить нормальную систему ИБ нельзя. Мрак!

У меня такое же мнение - мрак!!!!! Если раньше (еще лет 7-8 назад) из потока в 120 человек потенциально для работы у себя я мог отобрать человек 5, последние годы - ни одного. Сколько-нибудь приличный дипломный проект уже редкость - одни базы данных и прочие примитивные вещи. Программный проект вообще редкость, как правило, исследования ни о чем.

А мы о теории, о ролевых и процессных моделях, о нормальных системах ИБ. Не знаю, как для Вас, а для меня, как для разработчика средств защиты, это весьма критично. Какая система защиты будет восстребована, если отсутствуют основополагающие знания у ее потенциального потребителя, если "коснуться руками" реестра ОС для него - это "подвиг". Вот что делать разработчику в такой ситуации? Идти "на поводу", понимая, что о безопасности в этом случае "лучше молчать", либо оставаться верным себе, понимая, что техническая поддержка превратится в "муку", а предоставление демо-версии в пару недель вопросов и ответов на общеобразовательные темы в области вычислительной техники?

Относительно же практики. Она необходима, если из теории понимаешь, что нужно сделать. Из практики теория не получится, нонсенс.

[ASMax 20]

Я стараюсь не опубликовывать чисто теоретические выкладки, как правило, о чем-либо пишу лишь после апробации теоретических посылов. Все эти решения реализованы в одном из наших средств защиты, на которое есть ссылка в статье, и которое уже внедряется более двух лет. Так что "пощупать сие чудо" многим уже удалось - на сегодняшний день более сотни внедрений в корпоративном секторе (некоторые внедрения на 500 и более компьютеров в сети). Не в порядке рекламы - я лишь отвечаю на Ваш вопрос. Мы работаем с корпоративным сектором и придерживаемся определенного правила предоставления демо-версии. Вся информация об этом есть на нашем сайте. Можете и Вы "пощупать".

Я имел ввиду несколько иное, а именно мнение профессионалов, попытавшихся преодолеть вашу защиту. Думаю Вы согласитель со мной, что уровень среднего офисного работника, на рабочем месте которого внедрена система, никак не позволяет сделать глобальный вывод о надежности системы. Я очень сомневаюсь, что непоколебимая защита может сойти исключительно "с кончика пера".

Какая система защиты будет восстребована, если отсутствуют основополагающие знания у ее потенциального потребителя, если "коснуться руками" реестра ОС для него - это "подвиг".

Я рекомендую Вам к прочтению следующую цитату, чтобы не ошибиться с вектором для дальнейшего развития. На мой взгляд - весьма показательно.

Кренкель Т. Э., Коган А. Г., Тараторин А. М.

Персональные ЭВМ в инженерной практике. - М.: Радио и связь, 1989.

…Одним из примеров громоздкой и, по мнению авторов, бесполезной надстройки является интегрированная система WINDОWS фирмы Micrоsoft. Эта система занимает почти 1 Мбайт дисковой памяти и рассчитана на преимущественное использование совместно с устройством типа <мышь>…

…Таким образом, читатель уже понял, что среди надстроек над ДОС бывают довольно бесполезные системы, которые только выглядят красиво, а на самом деле отнимают время пользователя, память на дисках и оперативную память ЭВМ. Обманчивая красота таких систем, однако, сильно воздействует на неискушенных пользователей, которые не имели практики работы на машине. Инерция мышления бывает столь сильна, что авторам приходилось наблюдать, как люди, начавшие работать с подобной настройкой, впоследствии с трудом заставляют себя изучать команды ДОС. Хочется предостеречь от этой ошибки читателей…

[А.Щеглов 6]

Я имел ввиду несколько иное, а именно мнение профессионалов, попытавшихся преодолеть вашу защиту. Думаю Вы согласитель со мной, что уровень среднего офисного работника, на рабочем месте которого внедрена система, никак не позволяет сделать глобальный вывод о надежности системы. Я очень сомневаюсь, что непоколебимая защита может сойти исключительно "с кончика пера".

Наши утверждения отнюдь не противоречивы. Я же не отказываюсь от практики! "С кончика пера" сходит концепция, которая в результате практической реализации и последующей апробации может сильно меняться. Но без общего понимания и хорошей теоретической продуманности задачи, ничего осмысленного построить невозможно. Прежде чем приступить к созданию средства, необходимо разработать на него ТЗ (я не говорю о формальных требованиях ЕСКД), где определить назначение, набор механизмов, оценить вопросы достаточности набора механизмов и корректности их реализации, а как иначе, что-то "слепить" на коленке? А вот собственно постановка задачи идет частично из практики, частично из теории (например, практика - это статистика успешных атак, теория - это анализа архитектурных решений - нужно же противодействовать не только известным, но и потенциально возможным - не выявленным, угрозам).

И о надежности (наверное, речь о безопасности) системы можно сделать вывод, исходя, как из теории, так и из практики - здесь теория определяет ожидаемые результаты (которые следует проверять на практике), а практика подтверждает, либо опровергает теорию.

Уровень среднего офисного работника ни при чем. Важными являются результаты аудита. Настройте механизм обеспечения замкнутости программной среды и по аудиту увидите, сколько за несколько недель было внедрений вредоносных программ и попыток их запуска. А если при этом на компьютере еще установлен антивирус, сможете оценить и его эффективность, при чем здесь работники?

Я рекомендую Вам к прочтению следующую цитату, чтобы не ошибиться с вектором для дальнейшего развития. На мой взгляд - весьма показательно.

Вторая Ваша цитата, честно говоря, непонятна. Предлагаете возвратиться к командной строке, отказаться от интерфейсов? Мы имеем проблему записи администратором трех строк в интерфейс, а Вы о чем?

[Илья Рабинович 521]

Из практики теория не получится, нонсенс.

Как физик с дипломом, уверяю- данная сентенция есть нонсенс. Все физические теории выведены так или иначе из эксперимента (то есть опыта проб физической реальности наблюдателем). Со всеми остальными теориями ситуация аналогична.

[ASMax 20]

Наши утверждения отнюдь не противоречивы. Я же не отказываюсь от практики! "С кончика пера" сходит концепция, которая в результате практической реализации и последующей апробации может сильно меняться. Но без общего понимания и хорошей теоретической продуманности задачи, ничего осмысленного построить невозможно. Прежде чем приступить к созданию средства, необходимо разработать на него ТЗ (я не говорю о формальных требованиях ЕСКД), где определить назначение, набор механизмов, оценить вопросы достаточности набора механизмов и корректности их реализации, а как иначе, что-то "слепить" на коленке? А вот собственно постановка задачи идет частично из практики, частично из теории (например, практика - это статистика успешных атак, теория - это анализа архитектурных решений - нужно же противодействовать не только известным, но и потенциально возможным - не выявленным, угрозам).

Согласен. Замечу только, что в условиях быстро меняющегося мира ПО никакая теория не может быть всеобъемлющей.

Уровень среднего офисного работника ни при чем. Важными являются результаты аудита. Настройте механизм обеспечения замкнутости программной среды и по аудиту увидите, сколько за несколько недель было внедрений вредоносных программ и попыток их запуска. А если при этом на компьютере еще установлен антивирус, сможете оценить и его эффективность, при чем здесь работники?

Средний офисный работник - это модель инсайдера, с очень ограниченными возможностями. Равно как и средний вирус. Чтобы эти показатели вышли из рамок "средних", по моему мнению, должна быть очень существенно увеличена выборка, а кроме того должен стать доступен сам продукт, чтобы персонально под вас начали "копать". Только тогда будет преодолен эффект, извините за шутку, "Неуловимого Джо".

Вторая Ваша цитата, честно говоря, непонятна. Предлагаете возвратиться к командной строке, отказаться от интерфейсов? Мы имеем проблему записи администратором трех строк в интерфейс, а Вы о чем?

Вы поняли меня с точностью до наоборот.

Я привел эту цитату к тому, чтобы взглянуть на нее с позиций нашего времени: каким было мнение профессионалов, и какую роль играет теперь Windows в нашем мире. Прогресс движется в сторону упрощения формы при усложнении содержания, когда речь идет о массовом продукте. Я вполне разделяю Ваше недовольство бестолковыми пользователями и ленивыми системными администраторами, боящимися веток реестра и тонкой настройки, однако естественный отбор будут осуществлять именно они, и им подобные недовольства будут глубоко безразличны.

[BiTA 15]

Как физик с дипломом, уверяю- данная сентенция есть нонсенс. Все физические теории выведены так или иначе из эксперимента (то есть опыта проб физической реальности наблюдателем). Со всеми остальными теориями ситуация аналогична.

Илья, соглашусь с Вами, но только в аспекте естественных наук.

"В основе научного метода лежат наблюдения в природе, построение гипотез, объясняющих эти наблюдения и экспериментальная проверка выводов, вытекающих из сделанных гипотез.. <>... Согласно классическим представлениям, при проведении научных исследований создание гипотез следует за сбором фактических данных."

/ О. Солбриг, Д. Солбриг "Популяционная биология и эволюция". М.:Мир, - 1982. - с.31-33 /

Но не соглашусь с вами в случае математических наук, когда теория не обязательно должна следовать из массы наблюдений. Разработка новой теории может преследовать целью решение важной научно-практической задачи. Конкретнее, на примере, возможно, наиболее научно-обоснованной области информационной безопасности - криптографии

"For most of the history of cryptography, a key had to be kept absolutely secret and would be agreed upon beforehand using a secure, but non-cryptographic, method; for example, a face-to-face meeting or a trusted courier. There are a number of significant practical difficulties in this approach to distributing keys. Public-key cryptography was invented to address these drawbacks — with public-key cryptography, users can communicate securely over an insecure channel without having to agree upon a shared key beforehand."

Предложенная парадигма является решением важной потребности практики (была очень вовремя, фактически явилась ответом на брошенный вызов в понятиях "вызова-ответа") и уж совсем сложно, имхо, назвать ее следствием "опыта проб физической реальности" или, в целом, обобщением каких-либо практических данных.

Если вернуться к исходному посылу:

Относительно же практики. Она необходима, если из теории понимаешь, что нужно сделать. Из практики теория не получится, нонсенс.

Cоглашусь, что для разработчиков средств безопасности понимание теории действительно критично. Для специалистов, обеспечивающих ИБ на предприятии, знание теории является существенным подспорьем. Те же риски, можно рассчитать "на коленке", руководствуясь своим частным опытом, а можно - системно, обоснованно, используя существующие математические модели. Впрочем, можно и, не вникая получить те же результаты, воспользовавшись готовой программой, скрывающей суть происходящего. Но толку-то без понимания сути? Особенно, если речь идет о тех же технологиях, использующих криптографию - PKI и т.д.

Когда просишь представить матрицу рисков - делает страшные глаза и называет это ненужной теорией, а уж про мотивацию нарушителя промолчу...

Имхо, многое зависит от того, как преподносить материал. Надо собирать feedback - почему и что не нравится/не интересует/проходит мимо - анализировать и изменять подачу материала ("с высоты" моего небольшого педагогического стажа ). Любую скучную теорию можно преподнести так, что она найдет отклик в массах. Это отдельное, "педагогическое" умение или дар, если хотите. Я думаю все же - умение. Показателен пример с сериалом "Числа" (да, да, сериалом ), где действительно классно привносят математику в детективный сюжет.

Если раньше (еще лет 7-8 назад)...

Андрей Юрьевич, как Ваш бывший студент (правда, не такой "давности"), могу отметить, что Ваши семинары, когда мы в группе разбивались на подгруппы и поочередно докладывались на основные секьюрные темы, отбиваясь от других подгрупп, отвечая на ваши вопросы и, в свою очередь, дотошно расспрашивая другие подгруппы - весьма эффективный прием преподнесения и закрепления знаний. Воспоминания свежи и ныне, а что важнее и обсуждаемый материал Это такой небольшой feedback Теория - штука нужная и не просто, чтобы бравировать умными словами. Но опять же, закрепляется только, если полученные знания применять на практике.

[alexgr 556]

Как физик с дипломом, уверяю- данная сентенция есть нонсенс. Все физические теории выведены так или иначе из эксперимента (то есть опыта проб физической реальности наблюдателем). Со всеми остальными теориями ситуация аналогична.

Из данного топика выводим парадокс для физика - Кюри, перемыв тонны породы, получили новый элемент. Все протчие должны перемывать тонны породы? Это про современный подход и проблеме ИБ.

Ведь так или иначе ИБ не физика. Увы и ах интуитивное осознание угроз и рисков- не фундамент для построения серьезной системы ИБ. Именно из-за подобного подхода родилось понимание руководителя того, что ИБ - чисто затратный механизм. Доказать "как-то так", что это защита инвестиций - не получится. Тезис - "у всех есть, а мы что - хуже" не аргумент. Дайте решение минимаксной задачи - и руководство вас поймет, даже самое "тупое".

2BiTA

Я согласен. Однако, Болонский процесс, который семимильными шагами внедряют - требует некоей сущности в виде набранных баллов. Тогда сущность опыта и практики становится втиоричной. И даже реальная практика на предприятии, занимающейся ИБ, не спасает. Ведь тому, который хочет, в такой практике мало практики (сорри за тавтологию), а всем иным это нагрузка, которая не нужна. И тут парадокс - Яония и США постепенно уходят от этого процесса в сторону того, что когда делалось в России (или СССР, если быть более точным). Но борьба за студента была и будет. Потому у меня чаще работают выпускники - физики (видимо, они более открыты для восприятия некоего нового, доселе неведомого).

[А.Щеглов 6]

Согласен. Замечу только, что в условиях быстро меняющегося мира ПО никакая теория не может быть всеобъемлющей.

Средний офисный работник - это модель инсайдера, с очень ограниченными возможностями. Равно как и средний вирус. Чтобы эти показатели вышли из рамок "средних", по моему мнению, должна быть очень существенно увеличена выборка, а кроме того должен стать доступен сам продукт, чтобы персонально под вас начали "копать". Только тогда будет преодолен эффект, извините за шутку, "Неуловимого Джо".

Это философский вопрос - какая квалификация инсайдера страшнее, грамотного или с ограниченными возможностями. Грамотный хоть осознает, что делает, иного можно использовать "вслепую". Что страшнее?

Вы поняли меня с точностью до наоборот.

Я привел эту цитату к тому, чтобы взглянуть на нее с позиций нашего времени: каким было мнение профессионалов, и какую роль играет теперь Windows в нашем мире. Прогресс движется в сторону упрощения формы при усложнении содержания, когда речь идет о массовом продукте. Я вполне разделяю Ваше недовольство бестолковыми пользователями и ленивыми системными администраторами, боящимися веток реестра и тонкой настройки, однако естественный отбор будут осуществлять именно они, и им подобные недовольства будут глубоко безразличны.

А ведь речь, в конце концов, не о выборе какого-либо средства. Если естественный отбор будут осуществлять именно "они", а разработчик будет создавать средства для "ленивых", все это, рано или поздно, закончится весьма печально!