Реакция на нарушения режима безопасности

Программа безопасности, принятая организацией, должна предусматривать набор оперативных мероприятий, направлен­ных на обнаружение и нейтрализацию вторжений хакеров и зло­вредного кода. Важно, чтобы в подобных случаях последователь­ность действий была спланирована заранее, поскольку меры нужно принимать срочные и скоординированные.

Реакция на нарушения режима безопасности преследует две главные цели:

• блокирование нарушителя и уменьшение наносимого вреда;

• недопущение повторных нарушений.

В организации должен быть человек, доступный 24 часа в сутки (лично, по телефону, пейджеру или электронной почте), отвечающий за реакцию на нарушения. Все должны знать коор­динаты этого человека и обращаться к нему при первых призна­ках опасности. В общем, нужно действовать, как при пожаре: знать, куда звонить, и что делать до приезда пожарной команды. Правда, пользователя может удержать от вызова помощи сознание собственной вины и боязнь наказания, если он сам принес на работу зараженную дискету. Для таких случаев целесообразно

смотреть процедуру анонимного вызова, поскольку лучше наказать одного виновного, чем допустить распространение последствий нарушения.

Важность быстрой и скоординированной реакции мож продемонстрировать на следующем примере. Пусть локаль сеть предприятия состоит из двух сегментов, администрируемых разными людьми. Пусть, далее, в один из сегментов был внесен вирус. Почти наверняка через несколько минут (или, в крайн случае, несколько десятков минут) вирус распространится и другой сегмент. Значит, меры нужны немедленные. Далее, вычищать вирус нужно одновременно в обоих сегментах; в противном случае сегмент, вычищенный первым, заразится от другого а затем вирус вернется и во второй сегмент.

Для недопущения повторных нарушений необходимо анали­зировать каждый инцидент, выявлять причины, накапливать статистику. Каковы источники зловредного кода? Какие пользо­ватели имеют обыкновение выбирать слабые пароли? На подоб­ные вопросы и должны дать ответы результаты анализа.

Хотя «реактивный» подход к информационной безопасности недостаточен, но некоторая обратная связь все же должна суще­ствовать. Заранее все предусмотреть невозможно. Появляются новые вирусы, совершенствуются приемы нападения, новые системы приносят с собой новые угрозы. Кто-то в организации должен отслеживать этот процесс, принимать краткосрочные меры и корректировать программу безопасности для принятия долгосрочных мер.