Белорусская цифровая библиотека




AboutPC
Реклама в журнале
 [скрыть меню]

Раздел "Безопасность". Содержание:

Статьи:

Вперед Безопасность домашних систем
Вперед Проблема перлюстрации (досмотра) email
Вперед Как достичь максимального уровня защиты игры от пиратского копирования и взлома, не изучая SDK и даже не имея исходного кода?

Новости:

Вперед Хакеры взломали сайт компании VoteHere, разрабатывающей технологии для электронного голосования
Вперед Кибер-вымогатели устроили охоту за офисными служащими
Вперед Хакеры успешно атаковали сайт NASA
Вперед Праздничные черви: W32.Jitux.Worm и W32.HLLP.Belzy@mm

Раздел "Безопасность". Статьи:

В конец страницы

Безопасность домашних систем

Дениэл Р. Мисслер (Daniel R. Miessler) - см. www.dmiessler.com/ - предложил несколько полезных советов по повышению безопасности домашних систем в интерактивном мире. Он считает э-почту наиболее простым средством проникновения извне в домашнюю сеть.

Поэтому не следует ни под каким видом открывать свой почтовый адрес посторонним людям. Кроме того, нужно отключить в почтовом клиенте функцию предварительного просмотра (preview), чтобы не загружать сомнительные коды до оценки безопасности почтового сообщения. Лучше перейти на почтового клиента не-Microsoft, например Mozilla Thunderbird (см. www.mozilla.org/products/thunderbird/ ) просто потому, что большая часть атакующих нацелена на продукты Microsoft. Полезно договориться со своим провайдером Интернета об установке и настройке фильтров блокирования спама и вирусов.

Помните, что неправильно настроенный браузер позволяет загрузить на локальный компьютер нежелательный код без какого-либо уведомления владельцу компьютера. Проще всего, обезопасить путешествия в Интернете за счет замены браузера Internet Explorer от Microsoft браузером Mozilla Firebird ( www.mozilla.org/products/firebird/ ), что позволит почти полностью предотвратить локальный запуск нежелательных кодов (ActiveX, Java, сценариев и т.д.).

Внимательно относитесь к установке обновлений. Можно подписаться на почтовую рассылку Microsoft Security ( www.microsoft.com/security/security_bulletins/alerts2.asp ), чтобы из первоисточника узнать о выпуске исправлений и обновлений. Когда в рассылке появятся данные о действительно необходимом изменении системы, немедленно обратитесь на сайт Windows Update для загрузки и установки соответствующей "заплатки". Следует обратить особое внимание на ключевые исправления (critical update) для систем Windows, которые обычно отмечены символом глобуса в правом нижнем углу экрана. Такие исправления нужно устанавливать немедленно.

Для паролей необходима сложная и неудобная для запоминания схема. Существует множество простых способов формирования псевдо-случайных фрагментов, например брать первые буквы пословицы или поговорки, затем менять полученные буквы цифрами через одну, через две или как-нибудь иначе. Легко запомнить крылатую фразу, но созданный на ее основе пароль трудно взломать. Чтобы автоматизировать процесс создания и периодической смены паролей, используйте одну из бесплатных программ, например Password Safe ( www.schneier.com/passsafe.html ).

Нужно быть готовым к наихудшему повороту событий, поэтому следует постоянно обновлять антивирусное ПО, например AVG от Grisoft ( www.grisoft.com/us/us_index.php ), Panda ( www.pandasoftware.com/ ) или Norton ( www.symantec.com/ ). Самое главное - загрузка описаний новых вирусов.

Лучше закрыть все возможные пути проникновения в систему извне. Для этого подойдет служба трансляции сетевых адресов NAT, либо более эффективный брандмауэр, например бесплатный Zone Alarm Free Edition ( www.zonelabs.com/ ).

Полезно отслеживать действия установленного ПО. Для этого можно применить бесплатную программу Ad-aware ( www.lavasoftusa.com/support/download/ ), позволяющую устранить все шпионские штучки (Spyware).

При просмотре сайтов в Интернете нужно посещать только респектабельные места и избегать всяких "темных" углов. Не следует отвечать на почтовые сообщения, которые вы считаете спамом. От них не удастся отписаться, но ваши действия покажут спамерам реальное использование данного адреса. Рекомендуется перенаправить спам на uce@ftc.gov и/или сообщить об этом по адресу www.house.gov/writerep/ .

Назад В начало страницы На главную страницу В конец страницы Вперед 

В конец страницы

Проблема перлюстрации (досмотра) email

Читать чужие письма неприлично, к тому же можно угодить под статью Уголовного кодекса. Но если речь идет об электронной корреспонденции, отправленной сотрудником компании со своего рабочего места? Имеет ли право руководство фирмы просматривать такие письма? В большинстве компаний на этот вопрос дают положительный ответ. Иначе как объяснить, что объем мирового рынка программ для перлюстрации e-mail уже подбирается к $1 млрд?

Весной 2000 года в Красноярске разгорелся необычный скандал. Руководители фирмы MaxSoft Максим Стефин и Алексей Бабий разошлись во мнениях со своим московским партнером и поставщиком программных пакетов Игорем Карауловым, директором АО «Русская промышленная компания» (РПК). Стефин и Бабий были против того, чтобы наращивать в регионе продажи систем автоматизированного проектирования (САПР). Караулов рисковал остаться без красноярского рынка и предложил организовать и возглавить местный филиал РПК Владимиру Демочко, ведущему специалисту MaxSoft. Демочко, фактически оставаясь сотрудником MaxSoft, начал работать на РПК, продавая ее продукцию: с московским офисом этой фирмы он контактировал через почтовый ящик на портале yahoo.com.

В апреле руководство MaxSoft узнало о том, что их сотрудник ведет двойную игру. Демочко был немедленно уволен, а вскоре после этого в открытом доступе на сайте, принадлежащем MaxSoft, были вывешены документы, якобы являвшиеся содержимым его почтового ящика. К распечаткам прилагался убийственный комментарий за подписью Алексея Бабия. В опубликованных письмах обсуждались размеры «откатов», оговаривалась стратегия ценовой дискриминации MaxSoft, а также фигурировали ее бухгалтерские данные и сведения о клиентах. «Говорить о том, что все приведенные там письма фальшивые, я не буду, – заявил в интервью «Ко» Владимир Демочко (ныне генеральный директор РПК-Красноярск). – Однако доказать, что вот это письмо писал я, а это за меня придумали, я не могу».

В скандал вскоре оказались втянуты местные силовые органы, суды двух инстанций и средства массовой информации. Владимир Демочко подал жалобы в ФСБ и в прокуратуру о нарушении права на неприкосновенность частной жизни, охраняемого 23-й статьей Конституции и 137-й, 138-й статьями Уголовного кодекса, а также подал гражданский иск о защите чести и достоинства. MaxSoft ответила иском в адрес редактора Интернет-портала, который опубликовал комментарий Игоря Караулова.

Однако за три года дело Демочко так и не сдвинулось с мертвой точки: в разрешении подобного рода конфликтов нет судебной практики. Суду даже не удалось восстановить цепь событий. По версии Стефина и Бабия, Демочко заключил за их спиной сговор с РПК, используя рабочий компьютер, а доступ к его почтовому ящику на yahoo.com был получен путем автоматической подстановки пароля, сохраненного в памяти машины. Вся переписка, осуществляемая сотрудниками MaxSoft в том числе и через сетевые почтовые сервисы, согласно устной инструкции считается служебной. Владимир Демочко утверждает, что переписку с руководством РПК он вел не с рабочего компьютера, а из городского Интернет-кафе, а доступ к его личному ящику Бабий и Стефин получили, взломав защиту.

Не для распространения

История MaxSoft – тот редкий случай, когда корпоративные дрязги, поводом для которых стало содержимое электронных писем сотрудника, выплеснулись за стены офиса. Обычно служащие, подозревающие, что их письма просматриваются, не обсуждают эту тему даже в анонимных чатах, где их могут отследить системы анализа Web-трафика. Те же, кто был уволен по причине перехвата руководством письма, содержащего нелестные отзывы о начальнике или коммерческие секреты компании, не спешат отстаивать свои конституционные права в суде. Публичный скандал равнозначен признанию собственных грехов и ставит крест на дальнейшей карьере. «Я участвовал во внутренних расследованиях, после которых нечистые на руку менеджеры, чтобы покрыть нанесенный компании ущерб и уволиться без скандала, были вынуждены продавать свои дома и автомобили», – рассказывает один из собеседников «Ко», глава российской IT-фирмы, пожелавший сохранить анонимность.

Компании в подобных ситуациях также заинтересованы в том, чтобы разрешить конфликт без привлечения внимания общественности. Удовольствие с шумом выставить за дверь сотрудника-шпиона может обойтись еще дороже, чем компенсация ущерба, причиненного в результате утечки информации. Например, если в чужие руки «уплыла» корпоративная база данных, содержащая конфиденциальные сведения о клиентах.

Но в неофициальных беседах сотрудники компаний часто высказывают подозрения, что их письма, отправленные с рабочего компьютера, прочитываются начальством. Ведь техническими возможностями для этого располагает руководитель любой российской фирмы: если в компании построена внутренняя сеть, корреспонденция архивируется в компьютерах или на сервере.

Некоторые начальники не заглядывают в письма сотрудников по принципиальным соображениям. «Мониторинг переписки противоречит внутреннему корпоративному духу компании. Мы уверены, что слежка за сотрудниками приводит к созданию в коллективе нервозной обстановки, что в итоге отражается на лояльности персонала к компании, – говорит Андрей Назаров, глава службы персонала компании «Комус» (торговля канцелярскими товарами). – При приеме на работу с каждым сотрудником заключается договор о неразглашении коммерческой тайны, и до тех пор пока в отношении этого работника не возникнут обоснованные подозрения, руководство будет ему доверять».

В большинстве же компаний систематическая перлюстрация корреспонденции не ведется по той причине, что это довольно затратное занятие, которое к тому же далеко не всегда окупается. Чтобы просмотреть и проанализировать недельный объем почтового трафика даже в небольшой организации, требуется несколько новых штатных единиц. Да и с точки зрения обеспечения информационной безопасности компании такие проверки бессмысленны: они позволяют обнаружить утечку информации или письмо, несущее в себе потенциальную угрозу, только post factum.

Практическую пользу такие проверки приносят лишь в тех случаях, когда в организации проводится профилактическая оценка уровня лояльности и благонадежности персонала. Руководство хочет знать, кто из подчиненных подошел к границе, за которой следует нарушение правил (использование ресурсов компании в личных целях, кражи, другие проступки и преступления). В ряде структур перлюстрация электронной почты и прослушивание телефонных переговоров применяются для оценки преданности коллектива интересам компании. Чаще всего причины, вынуждающие руководство идти на такие меры, – это усиление конкуренции на рынке и стремительный рост организации.

Вырванные из контекста

Определенные гарантии защиты от утечек конфиденциальной информации дают системы автоматического мониторинга почтового и Web-трафика, получившие широкое распространение как на Западе, так и в России. Такие программы, как, например, MAILsweeper, позволяют заблокировать прием и отправку сообщений, которые содержат «опасные» словосочетания или изображения. По оценкам независимого фонда Privacy Foundation, в 2002 году компании во всем мире потратили $140 млн на программное обеспечение для контроля и фильтрации электронной переписки сотрудников. В 2004 году, по прогнозам, емкость этого рынка достигнет $0,9 млрд – $1 млрд.

Корпоративные фильтры анализируют переписку примерно 100 млн человек, или около 27% всех офисных служащих мира. В России, по оценкам сотрудников научно-инженерного предприятия «Информзащита», за прошлый год продажи такого ПО составили всего $500 000 при стартовой цене программного пакета в $3000 (для фирмы с персоналом 50 человек). В основном их покупали банковские структуры и нефтяные компании.

Системы анализа содержимого электронных сообщений помещают подозрительные послания в «карантин» или автоматически удаляют из них вложения. Подобные программы также осуществляют контекстный поиск в письмах и приложениях. Руководитель определяет список ключевых слов и фраз, которые могут содержаться в сообщениях, представляющих потенциальную угрозу информационной безопасности компании. Например, названия и технические термины текущих проектов, имена партнеров, некоторые цифры, слова «откат», «взятка» и т.п.

«На днях мы устанавливали MAILsweeper в офисе одного из наших клиентов, – рассказывает Михаил Савельев, ведущий специалист научно-инженерного предприятия «Информзащита», которое поставляет на российский рынок системы мониторинга почтового и Web-трафика. – Компания готовилась к тендеру и просто, чтобы продемонстрировать возможности системы, мы ввели слово «тендер» в базу поиска. Через полчаса программа заблокировала письмо главного инженера, в котором тот «сливал» техническую документацию по проекту конкурирующей структуре».

Безусловно, подобные программы могут обезопасить бизнес компании, но правомерность их использования пока остается открытой темой для дискуссий. «138-ю статью УК («Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений граждан») никто не отменял, – говорит Савельев. – Внедряя наши системы, мы, безусловно, идем на нарушение этой статьи... если, конечно, не получено согласие лиц, в отношении которых будет осуществляться этот контроль».

Тем не менее многие руководители российских компаний не сомневаются в своем праве просматривать корреспонденцию подчиненных. Стандартная аргументация: вся информация, которую сотрудник передает в рабочее время, пользуясь рабочим компьютером или средствами связи, является служебной и принадлежит компании.

Например, в офисе корпорации «Галактика», одного из ведущих разработчиков систем управления, для перлюстрации переписки и анализа Web-трафика используется собственная программа «Галактика-Зум», а также практикуется выборочное прослушивание телефонных разговоров, в случае если возникают подозрения в недобросовестности того или иного сотрудника. «Электронная переписка, так же как все содержимое рабочего компьютера, считается собственностью корпорации, – говорит президент компании Николай Красилов. – На мой взгляд, это соответствует международной практике. Вмешательство в личную жизнь я считаю недопустимым, но анализ профессиональной деятельности в рабочее время – это принципиальный для любой компании вопрос. Важным аспектом здесь является то, что сотрудники информированы о выборочном прослушивании».

В представительствах западных компаний также применяется практика перлюстрации писем. «В соответствии с российским законодательством фирма имеет право защищать сведения, составляющие ее коммерческую тайну, – объясняет Анна Рабушка, PR-менеджер табачной компании BAT Russia. – В связи с этим BAT оставляет за собой право периодически контролировать переписку служащих с лицами, не являющимися сотрудниками компании».

Под колпаком

Но так ли все просто? По мнению адвоката Александра Глушенкова, специализирующегося на решении правовых споров, касающихся Интернета, ситуация с правом на перлюстрацию переписки сотрудников очень неоднозначна. «Не существует правовых норм, которые позволяли бы считать собственником электронного письма кого-либо, кроме его автора, – уверен Глушенков. – Владелец компьютера, на котором создается корреспонденция, имеет право определять правила эксплуатации техники: например, полностью запретить ее использование для ведения личной переписки, но такая политика должна быть четко выражена и согласована с пользователями».

Что касается международной практики, то, несмотря на очень широкое распространение систем слежки и анализа переписки сотрудников, власти ряда стран уже признали ее полностью или частично противозаконной. Верховный суд Великобритании в ходе разбирательства по иску сотрудника к компании Nikon установил запрет на перлюстрацию работодателями частной корреспонденции служащих. Национальная комиссия Франции по информатике признала практику контроля переписки сотрудников и запретов на использование служебного e-mail в личных целях противоречащей Европейской конвенции прав человека. В Аргентине распоряжение о мониторинге переписки может стоить руководителю шести месяцев тюремного заключения. Довольно жесткое законодательство, охраняющее частную жизнь сотрудников, принято и в США.

Чтобы избежать возможных проблем с законом, юристы и продавцы специального ПО рекомендуют российским заказчикам первым делом составить перечень сведений, которые составляют коммерческую тайну, и ознакомить с ним сотрудников, а также поставить их в известность, что в компьютерной системе теперь действуют средства контроля содержимого писем. Кроме того, в российских компаниях сотрудникам предлагают подписывать документы, обязывающие их не использовать рабочее место в личных целях. Работодатель же получает право контроля, в том числе с помощью технических средств.

Персонал должен быть ознакомлен и с процедурами обжалования (в случае несогласия с ними) действий контролирующих подразделений компании. Но обычно работодатели ограничиваются тем, что заставляют сотрудников подписывать отказ от права на тайну личной корреспонденции.

Почтовые переводы

Что же заставляет компании идти на значительные материальные расходы и юридические риски, связанные с перлюстрацией переписки сотрудников? Вряд ли это можно объяснить обычным интересом к личной жизни подчиненных и поиском свежих тем для офисных сплетен (хотя и такое, безусловно, случается).

В американских компаниях, которые выступали пионерами внедрения систем мониторинга переписки, подобные действия рассматривались в первую очередь как способ избежать судебного преследования по обвинениям в половой и расовой дискриминации. В середине 1990-х большинство компаний начали строить внутренние информационные сети, а офисные служащие увлеклись рассылками по спискам корпоративных адресов шуточных посланий.

Чувство юмора сотрудников сыграло со многими фирмами злую шутку. Некоторые получатели таких сообщений воспринимали их как оскорбление и подавали иски против собственников технических средств. Осенью 1994 года служащий компании Chevron разослал по внутренней сети позже ставшие знаменитыми «25 тезисов о том, почему пиво лучше женщины». Группа сотрудниц обратились в суд с иском к работодателю, который, по их словам разрешал использовать внутреннюю информационную сеть для рассылки сексуально оскорбительных материалов. Chevron пришлось выплатить компенсацию $2,2 млн.

В 2002 году аналогичные иски были предъявлены 27% компаний из списка Fortune 500, их общие судебные издержки (без учета компенсаций) превысили $6,5 млн. А в ходе исследования E-mail 2003, которое проводила американская ассоциация менеджеров, выяснилось, что из-за нецелевого использования сотрудниками электронной почты 14% всех компаний США в текущем году были втянуты в судебные и административные разбирательства.

В конце сентября 2001 года в прессу попали карикатуры на Джорджа Буша и Усаму бен Ладена, которыми обменивались по e-mail служащие шведского концерна Volvo. Руководству концерна пришлось публично извиниться и выступить с заявлением, в котором утверждалось, что в Volvo не считают трагедию в США поводом для шуток.

Угрожает корпоративным интересам не только хлещущее через край остроумие сотрудников. По оценкам исследовательского агентства Gartner Group, ежегодные финансовые потери вследствие утечки конфиденциальной информации через электронную почту составляют $24 млрд. Электронная переписка, которая осуществляется с рабочего компьютера через онлайновые почтовые ящики, – один из основных каналов распространения коммерческих секретов компаний: от оперативной информации о поведении на рынке до клиентских баз данных. Нашумевший случай начала 1990-х: вице-президент Borland в течение нескольких лет продавал секреты компании ее прямому конкуренту – Symantec, после чего перешел туда на работу.

Электронные письма довольно часто дают повод для подозрений в недобросовестной конкуренции. Британской страховой компании Norwich Union пришлось выплатить компенсацию в размере 450 000 фунтов стерлингов своему конкуренту – Western Provident Association. Суд признал клеветническими сведения, разосланные по e-mail одним из служащих Norwich. Случались также прецеденты, когда пользователи корпоративных сетей проводили с рабочих компьютеров хакерские атаки. В случае если не удавалось обнаружить виновника, ответственность ложилась на компанию.

Далеко не всегда причиной утечки бывает злой умысел. Основная масса коммерческих тайн становится доступной из-за банальной небрежности. Пользователи обычно относятся к электронной переписке и Интернет-пейджерам – вроде ICQ – как к средствам неформального общения. Тем не менее электронные документы практически во всех странах мира суды считают корпоративной информацией и признают в качестве доказательств. Кроме того, копии посланного сообщения остаются на всех серверах, через которые оно проходит.

Менеджеры, имеющие доступ к конфиденциальным сведениям, часто не отдают себе отчета в том, что не стоит слишком уж откровенничать даже в сугубо деловой переписке. Siemens Solar Industries приобрела подразделение корпорации Atlantic Richfield Co. (ARCO), которое занималось вопросами использования солнечной энергии. Вскоре выяснилось, что технологии ARCO не представляют коммерческой ценности, и в компании в момент сделки об этом знали. Siemens представила суду обнаруженный на резервном носителе фрагмент переписки между менеджерами ARCO, где прямо утверждалось: «Мы попытаемся скрыть от Siemens тот факт, что у нас возникли серьезные трудности при передаче новой технологии из лаборатории на производство. Технология ничего не стоит, так пусть хоть Siemens нам заплатит».

В антитрестовском преследовании Microsoft роль ключевых доказательств сыграли резервные копии писем Билла Гейтса и других высокопоставленных менеджеров компании, в которых обсуждались «экстремальные» способы борьбы с конкурентами и допускались оскорбительные выражения в их адрес.

Летом 2002 года сотрудник службы протокола принца Уэльского, пересылая программу европейского турне принца Чарльза, случайно ввел неверный адрес, в результате чего конфиденциальные сведения попали в почтовый ящик постороннего лица и немедленно были проданы нескольким желтым изданиям. Отделы протокола и безопасности вынуждены были в сжатые сроки выработать новую программу поездки, а также выплатить неустойку отелям и транспортным компаниям, с которыми были заключены контракты.

Еще одна проблема, вынуждающая работодателей прибегать к контролю Web-трафика и перлюстрации переписки – это снижение производительности труда персонала в результате нецелевого использования электронной почты и Интернета. По данным исследования Harris Interactive, в 2002 году сотрудники американских компаний проводили в Интернете 21 час в неделю, из которых 8 уходило на посещение не относящихся к работе сайтов и личную переписку. В обзоре «Компьютерные преступления и безопасность» за 2002 год приводятся следующие данные: 70% порнографического трафика фиксируется с 9.00 до 17.00, то есть в рабочее время; 70% всех личных онлайновых сделок осуществляется с места работы; 9% сотрудников с низкой зарплатой и 11% с высокой используют технические средства компании для поиска новой работы и рассылки резюме.

Уход от слежки

Распространение практики мониторинга переписки сотрудников вводит служащих в состояние, которое можно назвать офисной паранойей. В марте 2003 года компания Yahoo! провела анкетирование среди 18 000 служащих Великобритании. Выяснилось следующее: 60% опрошенных полагают, что IT-служба постоянно просматривает корреспонденцию. Только 15% респондентов уверенно ответили, что в их компании такой практики не существует.

Как реакция на увольнения сотрудников, обвиненных в нецелевом использовании служебных адресов, растет число исков против нарушителей privacy. По данным американской ассоциации менеджеров, более четверти компаний США практикуют увольнение сотрудников, нарушающих стандарты пользования e-mail, с различными формулировками. В США уже были предприняты попытки требовать от компаний компенсации за нарушение личной тайны, но суды пока не удовлетворили эти иски. Впрочем, американские юристы умеют и любят прошибать крепко запертые двери, так что не исключено, что компаниям рано или поздно придется соблюдать Билль о правах.

Судебные разбирательства и жалобы в органы власти – удел уволенных активистов, которым некуда девать свободное время. Действующие сотрудники обычно практикуют тактику тихого саботажа, которая в последние годы очень активно влияла на развитие Интернета. Ситуация чем-то напоминала гонку вооружений, появление принципиально новых методик контроля стимулировало появление новых способов контроль обойти.

После введения первых систем мониторинга корпоративной почты бурно начали развиваться бесплатные почтовые сервисы. При этом оказалось, что так называемые онлайновые адреса, которые регистрируют служащие с рабочих компьютеров, представляют собой еще большую угрозу, чем нецелевое использование корпоративного адреса. Через них совершается более половины хакерских атак на корпоративные сети, засылаются «черви», «троянцы» и прочая компьютерная нечисть.

Борцы за неприкосновенность частной жизни также пытаются защитить личные тайны с помощью скачиваемых из Интернета программ шифрования. Обычно используются либо стенографические шифраторы (которые позволяют спрятать сообщение внутри «контейнерного» файла – цифровой картинки, аудио- или видеоклипа), либо криптографическое ПО, превращающее содержимое письма для всех, кроме владельцев электронного ключа, в набор бессмысленных символов. Несколько лет назад известный борец за демократические свободы Интернет-сообщества Фил Циммерманн создал и вывесил в свободном доступе криптошифратор PGP, который скачали уже миллионы пользователей. Это позволяет судить о масштабах сетевой паранойи.

Нет почты – нет проблемы

Некоторые специалисты по корпоративной компьютерной безопасности считают, что дальнейшие попытки решить проблему «Читать или не читать почту сотрудников?» ведут в тупик.

«Защититься от утечек информации можно только путем разработки политики доступа к ресурсам, – считает служащий IT-отдела международной аудиторской компании, пожелавший остаться неназванным. – Слежка за поведением сотрудников в Сети практикуется лишь в конторах, где начальство неспособно организовать работу. А лучший сетевой экран, дающий 100-процентную гарантию защиты от внешних проникновений – это метр кондиционированного воздуха».

Последний тезис уже принят на вооружение в ряде российских компаний, особо обеспокоенных проблемами информационной безопасности. В некоторых банках, например, компьютеры, подключенные к внутренней сети, не имеют выхода в Интернет. Для связи с внешним миром сотрудникам выдаются персональные лэптопы.

Известно, что в офисе одного из федеральных сотовых операторов к каждому рабочему месту выведены три компьютерных слота: первый позволяет подключиться к Интернету, второй – к внутренней информационной сети, третий – к межкорпоративной финансово-расчетной системе.

«Я глубоко убежден в том, что во многих случаях перлюстрация электронной почты сотрудников и прослушивание телефонных переговоров является демонстрацией неэффективной организации системы управления, – считает исполнительный директор Ассоциации менеджеров Сергей Литовченко. – С другой стороны, в целом ряде компаний такие методы контроля просто необходимы. Например, в современных розничных и инвестиционных банках обслуживание клиентов осуществляется по телефону и контроль работы персонала, в том числе через запись всех телефонных разговоров, важен для качества работы и соблюдения конфиденциальности клиентской информации».

«Можно лицемерно отметить, что компании, заботящиеся о своей безопасности, действительно нарушают права личности. Закон не должен ущемлять права участников трудовых отношений. Но пока этот закон несовершенен, компании будут на свой страх и риск проводить работы по профилактике нарушений и утечки информации, – уверен Константин Харский, директор петербургской компании «Эксперт», которая предоставляет услуги по оценке лояльности и благонадежности персонала. – Когда в нашей стране закон противоречит здравому смыслу, то каждый раз побеждает здравый смысл». Остается только добавить: главное, чтобы здравого смысла не теряли ни работодатели, ни сотрудники.

Назад В начало страницы На главную страницу В конец страницы Вперед 

В конец страницы

Как достичь максимального уровня защиты игры от пиратского копирования и взлома?

StarForce Technologies впервые представляет новую расширенную версию защиты от копирования ПО на CD-ROM дисках StarForce Professional 3.0

Участники и посетители международных выставок ECTS и Games Convention первыми увидят новую версию защиты StarForce Professional 3.0, которая будет продемонстрирована компанией StarForce Technologies, являющейся представителем Protection Technology за рубежом.

Разработчики StarForce Professional 3.0 заявляют, что их новое детище использует самые последние достижения в области идентификации лицензионных носителей без нанесения каких либо "некопируемых" меток на поверхность CD, а также в десятки раз превосходит предыдущую версию 2.0 по уровню защиты программных приложений от взлома и копирования. Уникальная технология контроля физических параметров CD позволяет не только отличать от подделок лицензионные диски, произведенные на любом заводе со стандартным оборудованием для стеклянного мастеринга, но и различать между собой диски одного программного продукта, изготовленные с различных рабочих матриц. Это уникальное свойство значительно расширяет возможности издателя по контролю выпуска заводских партий лицензионных CD.

StarForce Professional 3.0 расширяет свои возможности новой опцией File Protection, предназначенной для защиты файлов данных, используемых приложением. Устанавливая эту опцию, издатели многоуровневых игр, образовательных программ и энциклопедий могут скрыть разнообразные ресурсы, которые используются только на определенном уровне работы приложения. Нейтрализация такого рода защиты невозможна без детального исследования всех разделов мультимедийного приложения или "уголков" компьютерной игры от начала и до конца, что повлечет дополнительную потерю времени и финансовые затраты, снижающие экономическую целесообразность взлома. Важно, что дефект нелицензионной копии проявляется лишь спустя некоторый промежуток времени, когда партия пиратских дисков уже изготовлена.

Помимо опции File Protection, StarForce Professional 3.0 реализует новый, необычный подход в построении максимально эффективной защиты приложения на уровне отдельных функций выполняемых файлов. Традиционно, подобная защита может быть достигнута только путем "ручной" модификации исходного программного кода и внедрения в него отдельных элементов защитной библиотеки (специальных функций, структур, пр.), описанных в комплекте разработчика (SDK). Статистика, собранная инженерами StarForce Technologies показывает, что 97% издателей игр не идут на то, чтобы модифицировать исходный код продукта для внедрения глубокой защиты по целому ряду причин:
- опасаются возникновения новых ошибок в работе приложения - 20%
- не желают или не могут изучить многосложную документацию для работы с SDK- 40%
- не обладают достаточным уровнем в области программирования - 10%
- просто не имеют исходных кодов приложения - 30%.

В результате большинство защит сводится лишь к шифрованию выполняемых файлов, что само по себе не способно уберечь приложение от профессионального взлома, нейтрализации модуля защиты и, как следствие, незаконного распространения продукта через Интернет.

StarForce Professional 3.0 позволяет осуществить усиленную защиту отдельных функций уже готовых выполняемых файлов и динамических библиотек приложения непосредственно из программного интерфейса установки защиты Protection Wizard. После того, как издатель указывает выполняемые файлы и библиотеки приложения, которые он желает защитить, Protection Wizard автоматически изображает их внутреннюю древовидную структуру, включающую полный перечень всех используемых импортируемых и экспортируемых функций. Остается просто указать отдельные функции для дополнительной усиленной защиты. В процессе запуска защищенного приложения эти функции становятся недоступными для взломщика, поскольку будут выполняться исключительно виртуальной машиной защиты, и не будут содержать прямых ссылок на стандартные функции Windows API. Это также не позволит хакеру восстановить таблицу импортов и получить рабочую копию приложения с помощью дампа (dump) программы из оперативной памяти компьютера.

Т.о., используя StarForce Professional 3.0, издатель игры или иного приложения может достичь максимального уровня защиты от взлома и копирования, не имея исходного программного кода и даже не беспокоясь о том, на каком языке и в какой среде он написан. Время на изучение SDK, которое предполагает любая другая профессиональная защита, сводится к нулю и может быть израсходовано на предварительное тестирование работы приложения и оперативное изменение параметров защиты с целью получения оптимального соотношения: защита программного кода / быстродействие.

Само управление процессом установки стало проще. В зависимости от навыков и желаний разработчика, он сможет установить более продвинутый уровень защиты приложения. Предустановленные наборы параметров позволят неискушенному издателю потратить минимальное время на защиту игры или мультимедийного приложения. Среди новинок в удобстве установки StarForce Professional 3.0, можно отметить несколько видов графических интерфейсов и инструменты их создания, позволяющие создать собственное окно ввода ключа, соответствующее общему дизайну программного продукта.

Назад В начало страницы На главную страницу В конец страницы Вперед 

Раздел "Безопасность". Новости:

В конец страницы

Хакеры взломали сайт компании VoteHere, разрабатывающей технологии для электронного голосования

Автор:Е. Волынкина
Сайт:www.rol.ru

Идею проведения выборов через Интернет новой не назовешь. В некоторых странах уже делаются кое-какие подвижки в этой области. Однако полномасштабных национальных выборов, например, президента или парламента нигде еще не проводилось. Такой способ голосования всем хорош (радует хотя бы то, что не придется тащиться на избирательный участок), но всем понятно, что такая система голосования должна быть надежно защищена от взломов.

Например, в США разработкой технологий защиты электронной системы голосования занимается компания VoteHere. Но, по всей видимости, она не удосужилась (или не смогла) столь же надежно защитить свой собственный Web-сайт. Вчера компания подтвердила, что он был взломан хакерами, которые смогли получить доступ к внутренним документам компании и, возможно, даже скопировали предварительные версии разрабатываемого компанией ПО. Каковы бы ни были цели этих хакеров, этот взлом явно сыграл на руку противникам введения электронного голосования.

Следует отметить, что взлом произошел в октябре, и тогда же компания VoteHere заявила об инциденте в полицию. Но информация об этом появилась только сейчас. Возможно, она замалчивалась в интересах следствия. И оно, по всей видимости, было успешным. Во всяком случае, вчера исполнительный директор VoteHere Джим Адлер (Jim Adler) заявил, что правоохранительным органам известны имя и адрес проживания хакера. Адлер также полагает, что этот взломщик имеет отношение к дебатам по поводу защищенности электронного голосования и может быть причастен мартовской краже документов компании Diebold Election Systems, которая занимается аналогичными технологиями. Он также сообщил, что дыра в компьютерной сети компании, через которую произошел взлом, уже заделана.

Что же касается ликвидации последствий возможной кражи исходного кода ПО VoteHere, то компания и так собиралась опубликовать его, чтобы сторонние специалисты по компьютерной безопасности смогли исследовать его на предмет наличия дыр и ошибок.

Назад В начало страницы На главную страницу В конец страницы Вперед 

В конец страницы

Кибер-вымогатели устроили охоту за офисными служащими

Все большую моду в Европе приобретает кибер-шантаж, мишенью которого становятся офисные служащие, сообщает агентство Reuters. Вымогатели присылают сообщения по электронной почте с требованиями заплатить небольшую сумму выкупа, как правило 20-30 евро. В противном случае они угрожают уничтожить все документы на компьютере жертвы или разместить там изображения с детской порнографией.

Преступники утверждают, что они имеют доступ в корпоративную компьютерную сеть, и жертвы обычно предпочитают перевести небольшую сумму на банковский счет шантажиста, опасаясь исполнения угрозы. Специалисты по борьбе с кибер-преступностью советуют ни в коем случае не идти на поводу у вымогателей. Если преступники увидят, что жертва проявляет слабость, то в следующий раз они потребуют заплатить уже гораздо больший выкуп.

Полиция считает, что такого рода преступления с трудом поддаются раскрытию. Так как сумма выкупа невелика, люди предпочитают заплатить и не сообщать о случившемся органам правопорядка. Поэтому статистические данные по кибер-рэкету достаточно приблизительны, хотя у полиции есть основания полагать, что волна компьютерных вымогательств идет на спад.

Нападениям кибер-шантажистов подвергаются также и отдельные фирмы, в основном среднего или небольшого размера, у которых нет развитой системы компьютерной безопасности. Обычно преступники имитируют атаку хакеров, перегружая сервер компании большим количеством входящих сообщений, а потом блефуют, заявляя о похищении конфиденциальной информации, за возращение которой нужно заплатить выкуп.

Назад В начало страницы На главную страницу В конец страницы Вперед 

В конец страницы

Хакеры успешно атаковали сайт NASA

Хакеры снова напали на 13 сайтов NASA и изменили их содержание, сообщил представитель агентства Брайен Дунбар. В результате агентство отключило сайты до определения и исправления уязвимости.

Все сайты на домене Nasa.gov, включая nren.Nasa.gov, nas.Nasa.gov, ipg.Nasa.gov и cict.Nasa.gov изолированы от Сети. Все четыре сайта управляются серверным ПО Apache под Unix.

Консультационная фирма Mi2G Ltd., специализирующаяся на обеспечении безопасности пояснила, что нападение было приурочено к празднованию сотой годовщины со дня первого полета аппарата тяжелее воздуха.

Фирма сообщила, что следы неизвестных вредителей ведут в Бразилию. Столь странная причина для нападения вызвана убеждениями хакеров в том, что действующий самолет первым на самом деле построил бразилец Алберто Сантос-думонт, и осуществил свой полет до принятого за официальную точку отсчета дату полета братьев Райт.

Назад В начало страницы На главную страницу В конец страницы Вперед 

В конец страницы

Праздничные черви: W32.Jitux.Worm и W32.HLLP.Belzy@mm

Антивирусные компании предупреждают: появился новый червь W32.Jitux.Worm, который распространяется через MSN Messenger. После запуска тела червя он начинает посылать сообщения всем пользователям в вашем контакт-листе MSN, с настойчивым предложением загрузить его по такой ссылке:

hттp://www.home.no/[***адрес***]/jituxramon.exe

Jitux написан на Visual Basic, а размер его равен 24 кб.

Другой червь, PE_QUIS.A worm (или W32.HLLP.Belzy@mm) использует незащищённый Outlook для рассылки себя всем адресатам. Тема таких писем гласит "Merry Christmas!", а сообщение —

"You've probably received enough e-cards. Here's a nice Christmas screensaver instead :)".

К письму приложен файл xmas.scr. После запуска червь заражает все исполняемые файлы в каталогах My Documents и C:\program files\mirc. Кроме того, вирус запускает при старте системы файл startup.exe, который предлагает ответить на несколько вопросов в виде викторины.

Назад В начало страницы На главную страницу В конец страницы Вперед 

 
design: ФуксЪ, Solmex 
Реклама в журнале


@ library.by