Александр Самарин - Безопасность в ИТ малого бизнеса

Безопасность в ИТ малого бизнеса
Название: Безопасность в ИТ малого бизнеса
Автор:
Жанры: Эффективность бизнеса | Стартапы и создание бизнеса | Военное дело / спецслужбы
Серии: Нет данных
ISBN: Нет данных
Год: 2018
О чем книга "Безопасность в ИТ малого бизнеса"

Безопасность информационных технологий среднего и малого бизнеса основана на мероприятиях, направленных на повышение и поддержание уровней защиты данных и информационных систем, а также предотвращения атак на критичные информационные ресурсы. Некоторые аксиомы безопасности, элементарные правила и несложные приёмы помогут решению задач, поставленных перед информационной и физической безопасностью на предприятии. О методиках, эффективных действиях и примерах защиты данных и информационной среды малого бизнеса в этой книге.

Бесплатно читать онлайн Безопасность в ИТ малого бизнеса


Глава 1. Инвентаризация санкционированного и устранение постороннего ПО

Для начала коротко рассмотрим наиболее вероятные сценарии действий внешних злоумышленников. Начнем с ежедневно используемого в офисе или операционной среде предприятия программного обеспечения.

Достаточно серьезную опасность представляют «внешние» компьютеры, которые работают как интернет-ресурсы и оснащены устаревшими версиями ПО, например, веб-сервер Apache, BIND или Sendmail. Поиск и сканирование систем с такими уязвимыми версиями являются первым шагом злоумышленника к проникновению в систему или корпоративную сеть. Практически все хакеры пользуются сетевыми сканерами, позволяющими изучить сетевое окружение атакуемого и найти ресурсы сети, открытые для записи. Это предварительная стадия скрытого вторжения, за которой следует «фишинг». Операция фишинга заключается в подмене рабочего здорового файла «зараженным» или внедрение на сетевые ресурсы предприятия вредоносной программы под видом рабочей программы. Фишинг можно назвать одним из видов мошенничества, которое использует методики «социальной инженерии[1]» в электронной форме.

Другими способами проникновения посредством фишинга могут быть электронные письма с «вирусным» вложением, обман интернет-пользователей через «зараженный» контент уже взломанных сайтов или негласную подмену веб-страниц легальных сайтов сторонних владельцев страницами с вредоносным кодом.

Значительный риск в бизнесе несет использование постороннего программного обеспечения, которое попадает в локальную сеть через неграмотных в вопросах безопасности пользователей. Разъясняйте пользователям их ошибки, создайте в Политике информационной безопасности предприятия правила, которые своевременно пресекут загрузку ПО из сети интернет. Организационными мерами закрывайте такую возможность. Технические мероприятия по фильтрации парка программного обеспечения и устранению постороннего ПО стоят значительно дороже.

Когда пользователи выполняют доступ к вредоносному содержимому с помощью уязвимого браузера или клиентской программы, компьютер скрытно атакуется, предоставляя хакеру возможность проникновения в машину для получения долгосрочного контроля над чужой компьютерной системой. Некоторые сложные проникновения могут использовать уязвимости «нулевого дня»[2][3].

Когда один компьютер скрытно взломан и при этом продолжает эксплуатироваться, злоумышленники часто используют его в качестве «пункта наблюдения» для сбора конфиденциальной информации о пользователе и о других взаимодействующих компьютерах. Такая машина используется и в качестве стартовой точки для проникновения по всей сети. В результате хакер может быстро превратить одну скомпрометированную машину в армию подобных.

Предприятию, не имеющему полного реестра программ, как правило, не удастся устранить проблемы блокировки нарушителей и злоумышленников, а также выявить системы, работающие с уязвимым или вредоносным ПО. Контроль и управление всем ПО предприятия также играет важную роль в планировании и эксплуатации резервного копирования/восстановления информационных систем. Следовательно, без инвентаризации ПО проблемы по размеру больше и возникают чаще.

Инвентаризация ПО, внедренная в рамках всего предприятия, должна охватывать все типы используемых ОС на всех устройствах, включая серверы, рабочие станции и ноутбуки. Механизм инвентаризации должен записывать наименование системного и прикладного ПО, которое установлено на каждом сервере/станции, а также номер версии и релиза (уровень обновления) поименованного ПО.

Комплекс инвентаризации ПО должен быть интегрирован с инвентаризацией аппаратного оборудования таким образом, чтобы все устройства и соответствующее ПО отслеживались из единого центра. Проще говоря, аккуратная и полная инвентаризация ПО может быть противопоставлена обманным трюкам самых хитроумных хакеров. В любом случае без надлежащего контроля за программным обеспечением предприятия невозможно должным образом защитить свои информационные активы.

Глава 2. Применение «белого списка» ПО

Инвентаризация ПО является базисом для создания «белого списка». Этот список может быть внедрен путем применения специализированных коммерческих программ или с прикладными программами «белых списков», встроенными в антивирусные пакеты или ОС Windows. Системы инвентаризации ПО доступны и используются сегодня на многих предприятиях. Лучшие из них обеспечивают инвентаризацию сотни установленных и эксплуатируемых на предприятии приложений, извлекая информацию о версиях патчей каждой используемой программы, чтобы подтвердить актуальность и принадлежность программного приложения к общему перечню легального ПО.

Функции проверки по внедренным «белым спискам» разрешенных для запуска программ включены во многие современные комплексы безопасности. Более того, коммерческие решения все чаще комплектуются антишпионскими, антивирусными программами, персональным файерволом (firewall) и встроенными системами обнаружения вторжений (IDS) и предотвращения вторжений (IPS). Могут одновременно применяться и «белый» и «черный» списки. Большинство решений для такой защиты указывает наименование, расположение файловой системы и/или криптографический хэш[4], дающий исполнителю возможность определить, следует ли разрешить приложению работать на защищаемом компьютере.

Наиболее эффективны инструменты из специализированных «белых списков». Иногда применяются функции типа «серого списка», который составлен администраторами и определяет правила для выполнения конкретных программ только для уполномоченных пользователей и/или в определенное время суток.

Разрабатывая на предприятии список санкционированного ПО, необходимо учесть каждый тип системы и оборудования. Обязательно установите средства проверки целостности файлов для обеспечения гарантии того, что критические системные файлы (важных систем, исполняемых приложений, библиотечных модулей и настроек конфигураций) и файлы ПО из «белого списка» неизменны. Все изменения в таких файлах должны автоматически оповещать о событиях специалистов безопасности. Система оповещения должна иметь возможность отличить штатные изменения и выделять необычные события.

Внедренная технология «белых списков» приложений позволяет системе запускать ПО, если оно включено в «белый список», и запрещает запускать все остальное ПО. «Белый список» может быть очень обширным и включать дополнительные «белые списки» от вендоров коммерческих программ, чтобы пользователи не испытывали неудобства при использовании офисного ПО общего назначения. Для специальных систем, которые используют строго ограниченное число программ для своей необходимой бизнес-функциональности, «белый список» может быть довольно узкий. При защите системы со специализированным ПО возможно использование виртуальной среды, которая более защищена от вторжений и легко восстанавливается из копии предыдущего состояния.


С этой книгой читают
Для новичка вложения в ICO обещают немыслимую прибыль и он, сломя голову, несется к своему компьютеру покупать волшебные токены ICO, не зная о рисках, которые несут биржа, брокер и трейдеры. Книга рассматривает вопросы о возникновении доверия к компании ICO, перечисление рисков, заставляет рассмотреть некоторые аспекты безопасности, включая информационную. Как не потерять деньги инвестору в начавшейся кампании ICO и определить объект достойный вл
Елена Александровна Макарова – директор Консультационной службы «Налоги. Бизнес. Право», кандидат экономических наук, магистр юриспруденции и предприниматель.Многие стремятся стать предпринимателями, бизнесменами, сгенерировать идею и быстрее открыть свое дело, погружаясь в управление. Предприниматель не хочет ломать голову над проблемами, в то время как юристы и бухгалтеры могут обманывать или быть попросту некомпетентны. Как разобраться самому
Основной просветительской целью книги является продолжение развития позитивной ответственности и деловой этики. Первые главы затронут вопросы, что такое российское предпринимательство, виды, как оно формировалось. Акцент исследования проводился в существующих проблемах финансового, юридического и технического характера. Заключение посвятится синтезирующим компаниям в цифровую эпоху и прогнозу для будущего бизнеса.«Движение – это жизнь» – древнегр
Как в будущем будут выглядеть крупные компании? Возможно ли в искусственный интеллект заложить человеческие ценности и ценности корпоративной культуры? Как людям в конкуренции с нейросетями оставаться эффективными и сохранять мотивацию развиваться?Еркин Длимбетов – основатель и председатель совета директоров группы компаний Ordamed – рассказывает в книге о том, что медицинский бизнес – это в первую очередь не способ заработка, а большая ответстве
Познакомьтесь с Василием, самопровозглашённым бизнес-гуру, чьи неверные идеи и бесконечные собрания превращают офис в хаотичный цирк. От печально известных мозговых штурмов, приносящих только путаницу, до абсурдных KPI, измеряющих «корпоративное счастье» по тишине сотрудников – каждая страница раскрывает комические катастрофы, которые возникают, когда управление идёт не так.Через искренние (и часто смешные) воспоминания бывших сотрудников вы узна
Роман в новеллах об иностранце на Японских островах сделал Вадима Смоленского культовой фигурой в кругах японофилов, и далеко не только их. Эта поэтичная, философская, наполненная юмором и музыкой книга повествует не столько о Японии, сколько о красоте одиночества и бездомности, о счастливой неприкаянности чужака, о притягательности мира, в котором никогда не станешь своим. О том, что «гайдзин» не просто «иностранец» по японски, а особое состояни
Юные герои Анатолия Алексина впервые сталкиваются со «взрослыми», нередко драматическими проблемами. Как сделать правильный выбор? Как научиться понимать людей и самого себя? Как войти в мир зрелым, сильным и достойным человеком?
2096 год.После величайшего кризиса мир разделился на две части, где богатые – тхари – наслаждаются благами цивилизации, пользуясь услугами роботов и дронов, а бедняки живут, погрязнув в нищете и преступности. Но даже те, у кого есть всё, хотят получить еще больше: несколько могущественных семей объединяются, чтобы свергнуть Келвинов с позиции властителей мира, захватив их компанию. Для детей Келвинов выход один – бежать.Им придется спуститься с б
Продолжение истории холодной и строптивой Агнии из книги «Любовь не по сценарию», которая бежит в другой город за своей мечтой, не подозревая, что прошлое уже следует за ней по пятам. Добрая, милая, смешная и романтическая история о Аси Лавринович, самого популярного молодежного автора. Суммарный тираж ее книг составляет более 300 000 экземпляров.Яркая и взбалмошная Варя Мечетина считает свою студенческую жизнь идеальной: вечеринки, друзья, кварт