На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Защита от взлома


Десять советов по защите серверов для Web-коммерции:
1. Следует ограничить число людей, имеющих удаленный доступ к управлению вашим Web-сервером, и тщательно следить за этим доступом. Дистанционное администрирование (как и доступ к корневому каталогу) — отличная лазейка для хакера.
2. Проверьте, правильно ли сконфигурированы списки доступа и вносятся ли в них каждодневные изменения, отражающие состояние деловой жизни компании (такие, например, как добавление новых пользователей и клиентов, удаление старых ).
3. Насколько возможно, отделите ваш коммерческий сервер от прочих услуг. Можно дополнительно укрепить сервер, отменив все не­обязательные функции приложений и операггионньгх систем. Если вы не в состоянии этого сделать, следует всерьез подумать об использова­нии сторонних услуг (outsourcing).
4. Установите систему обнаружения вторжений, которая немед­ленно будет ставить в известность администратора сети обо всех проблемах, требующих устранения. Помните, что обнаружить хакера -это полдела; главная задача состоит в пресечении его деятельности.
5. Система должна реагировать на любые необычные события,
происходящие на серверах. Невозможно остановить злоумышленни­ка, не зная, что он делает.
6. Неправильно написанные, сконфигурированные и установ­ленные скрипты Perl и CGI (Common Gateway Interface) могут стать причиной возникновения «дыр» в системе защиты. Этими средствами надо пользоваться осторожно; все скрипты должны проверяться опыт­ными специалистами.
7. Для обеспечения безопасности некоторых коммерческих сер­веров использования паролей недостаточно. Стоит обдумать возмож­ность раздачи клиентам физических и электронных жетонов (они сто­ят примерно 50 дол. за штуку).
8. Следует обеспечивать и аутентификацию администраторов. Все большее распространение получают различные биометрические средства идентификации по голосу, отпечаткам пальцев и узору сетчат­ки (они стоят примерно по 300 дол. в расчете на одного пользователя).
9. При переводе денежных сумм (с использованием кредитных карточек или путем обращения к мэйнфрейму, где поддерживаются полномасштабные банковские операции) ваш узел обращается к дру-
тим сетям. При взаимодействии с критически важными системами следует применять такие средства обеспечения безопасности, как Secure Socket Layer, Secure Hypertext Transfer Protocol или Kerberos.
10. Подумайте, не стоит ли снабдить критически важные данные и соответствующие им системные файлы оболочками для обеспечения их целостности. Криптографические оболочки вокруг этих файлов позволят не допустить их модификации или внесения вредоносного кода.
Как работать с оценивающей надежность системы информационной безопасности
Выберите себе консультанта с хорошей репутацией.
Потребуйте, чтобы в группе велись подробные контрольные
журналы в течение всего срока работ.
Необходимо, чтобы группа оценки могла приостановить свою деятельность за несколько минут, если начнет происходить нечто не­желательное.
Группа должна выдать несколько различных отчетов, рассчитан­ных на технических специалистов, руководителей среднего звена и высшее руководство компаний.
Ознакомьтесь с результатами проверки и используйте их как ру­ководство к действию.
Десять недорогих способов укрепления системы обеспечения внутренней безопасности
1. Стоит выяснить о нанимаемых на работу людях несколько больше, чем можно узнать из их резюме; особенно это касается таких
критически важных должностей, как системный администратор. По­думайте, не надо ли ввести систему психотестов, которые позволят выявить этические принципы их особенности.
2. Рассмотрите вопрос о снятии дисководов с пользовательских ПК. Это затруднит сотрудникам установку своего собственного программного обеспечения и компьютерных помешает им зара­жать систему вирусами и «выносить» из компании закрытую инфор­мацию. Такая мера позволит избежать и еще одной угрозы для инфор­мационной безопасности — диски, разбросанные на столе сотрудника, легко могут пропасть.
3. Не допускайте, чтобы на одну сетевую станцию приходилось более одного идентификатора пользователя. Установите безопасные эк­ранные заставки — это поможет решить административные проблемы.
4. Предоставляйте корневые привилегии только тем администра­торам, которым они реально нужны. Помните, что каждый раз, когда вы даете такие привилегии, в системе защиты появляется еще одна по­тенциальная «дырка».
5. Уничтожайте или сжигайте важную закрытую информацию: списки персонала, идентификационные имена сотрудников, сводки отдела кадров, папки с данными о клиентах, памятки, руководства, схемы сетей и вообще все, что может представлять интерес для зло­умышленников.
6. Мусорные контейнеры должны находиться на территории ор­ганизации; в противном случае злоумышленник не устоит перед
соблазном в них порыться.
7. Постарайтесь, чтобы сотрудники компании стали вашими со­юзниками в борьбе за корпоративную безопасность. Попробуйте реа­лизовать программы партнерства: пообещайте вознаграждение тому, кто обнаружит недочеты в системе безопасности или уличит кого-ли­бо в недобросовестности.
8. Внимательно изучайте все продукты, обеспечивающие инфор­мационную безопасность. Убедитесь, что они работают именно так,
как было обещано производителем. Подумайте, можно ли укрепить систему защиты, не устанавливая новый продукт, который потребует от вас определенных усилий.
9. Уполномочьте кого-либо из сотрудников принимать оператив­ные меры в случае угрозы информационной безопасности — от ава­рийной остановки Web-сервера до вызова охраны для удаления проштрафившегося сотрудника за пределы организации.
10. Оповестите сотрудников, что вы используете самые совре­менные средства мониторинга сети и контроля за действиями работ­ников компании. Объясните, что вы не собираетесь устанавливать то­талитарный режим, а просто боретесь со злоумышленниками.
В результате ваши сотрудники будут с меньшей легкостью нару­шать правила пользования информационной системой и обеспечения
защиты данных.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика