Разрабатывая на предприятии список санкционированного ПО, необходимо учесть каждый тип системы и оборудования. Обязательно установите средства проверки целостности файлов для обеспечения гарантии того, что критические системные файлы (важных систем, исполняемых приложений, библиотечных модулей и настроек конфигураций) и файлы ПО из «белого списка» неизменны. Все изменения в таких файлах должны автоматически оповещать о событиях специалистов безопасности. Система оповещения должна иметь возможность отличить штатные изменения и выделять необычные события.
Внедренная технология «белых списков» приложений позволяет системе запускать ПО, если оно включено в «белый список», и запрещает запускать все остальное ПО. «Белый список» может быть очень обширным и включать дополнительные «белые списки» от вендоров коммерческих программ, чтобы пользователи не испытывали неудобства при использовании офисного ПО общего назначения. Для специальных систем, которые используют строго ограниченное число программ для своей необходимой бизнес-функциональности, «белый список» может быть довольно узкий. При защите системы со специализированным ПО возможно использование виртуальной среды, которая более защищена от вторжений и легко восстанавливается из копии предыдущего состояния.
Технологию «белых списков» необходимо поддерживать регулярным сканированием для обнаружения нелегального ПО. Чтобы обнаружить любые изменения или установки ПО на устройствах в сети, должен быть реализован строгий процесс контроля изменений. Например, с помощью контроля целостности файлов или состояния системы. Этот процесс включает оповещение, когда неопознанные объекты (исполняемые файлы, библиотеки DLL и т. п.) выявлены в системе. Контроль изменений должен включать проверку модифицированных версий ПО с использованием сравнения хэш-значений файлов. Злоумышленники часто используют измененные версии известных программ для нападения, а сравнение файлового хэша укажет на взломанные программные компоненты.
С практическим контролем списка исполняемых модулей при помощи программы «СКЗИ инфо» можно ознакомиться в рекомендациях Банка России [1].
Глава 3. Использование стандартных безопасных системных образов для ноутбуков, рабочих станций и серверов
и поставщиков настройки по умолчанию для устройств, операционных систем и приложений, как правило, ориентированы на легкость внедрения, но не на безопасность. Конечно, возможно и обратное, когда в процессе внедрения системы приходится разрешать некоторые функции в ущерб безопасности. Тем не менее здесь необходим осознанный, квалифицированный подход, так как основные элементы управления, открытые службы и порты, аккаунты и пароли по умолчанию, устаревшие (уязвимые) протоколы, предустановленное ненужное ПО все это потенциально может быть использовано для несанкционированного проникновения.
Вместо того, чтобы с нуля разрабатывать базовые настройки безопасности для каждой программно-аппаратной системы, предприятие должно использовать публично распространяемые, проверенные, сопровождаемые настройки безопасности, а также руководства по обеспечению безопасности и/или чек-листы.
Необходимую информацию содержат следующие порталы:
The NIST National Checklist Program [2];
Информационный портал по безопасности [3];
Информационно-аналитический портал [4];
Инвентаризация ПО Microsoft SAM [5];
Поставщики услуг и техники [6].
Далее предприятию необходимо расширять или корректировать публичные исходные настройки безопасности для удовлетворения местных политик и требований, а также обосновывать и документировать принимаемые отклонения, чтобы облегчить последующие осмотры или служебные проверки.
Для большого комплексного предприятия создание единой базовой конфигурации безопасности (например, один установочный образ для всех рабочих станций по всему предприятию) иногда неприемлемо или невозможно. Вполне вероятно, что необходимо поддерживать различные стандартные образы на основе соответствующих конфигураций систем и необходимых функций для первоначального старта (например, рабочая станция бухгалтера с приложением 1С или станция разработчика ПО и тому подобные). Число вариаций лучше свести к минимуму, чтобы ясно понимать свойства безопасности и управлять ими. Однако необходимо быть готовым управлять несколькими базовыми линейками образов.
ПО управления настройками можно использовать для сопоставления параметров ОС, как и для сопоставления параметров приложений, контролируемых машин при поиске отклонений от стандартной конфигурации образа.
Типичные инструменты отслеживания настроек используют некоторый комплекс: проверка через агента, установленного на каждой управляемой системе, или проверка систем без участия агентов, с удаленным входом на каждую управляемую машину. Кроме того, иногда используется гибридный подход, в процессе которого инициируется удаленный сеанс и временный или динамический агент устанавливается на целевой системе для сканирования, а затем агент удаляется.