Скорость существенна. Чем быстрее вы проанализируете нападение, тем быстрее ответите на него.

Поговорим о способах реагирования. Беспрерывно звонящая сигнализация, на которую никто не реагирует, ничем не лучше, чем полное ее отсутствие. Ответ – это то, для чего, собственно, и нужны средства обнаружения.

Иногда реагировать легко: если украден номер телефонный карточки, значит, его следует аннулировать. Иногда бывает сложнее: кто-то проник на сервер электронной торговли. Можно закрыть сервер, но потери составят 10 миллионов долларов в час. И что теперь?

Ответить непросто, хотя часто бывает, что люди принимают разумные решения за доли секунды. «Кто-то забрался на стену и приближается к застекленной крыше. Что нам сейчас делать?» Это во многом зависит от ситуации. Но вы не можете бездействовать. Можно просто прогнать его. Можно прогнать его и удостовериться, что он больше не вернется. Можно прогнать его, определить, как ему удалось туда попасть, и закрыть уязвимое место.

Пресечь нападение – это только половина дела. Не менее важно выследить и найти нападающего. Это бывает очень трудно в некоторых случаях: например, в Интернете нападающий может переходить с одного компьютера на другой, чтобы «замести следы». Полиция не может тратить много времени на расследование таких случаев до тех пор, пока не будут привлечены дополнительные людские или финансовые ресурсы, и я думаю, что частные компании могут оказать помощь правосудию, например, собирая досье на некоторых взломщиков.

Столкнувшись с судебным разбирательством, большинство людей из компьютерного мира, чуждых правовой сфере, обнаруживают, какая это помойная яма. Недостаточно идентифицировать нападающего, необходимо еще доказать это в суде. В Англии предпринимались попытки привлечь к ответственности обвиняемых в мошенничестве с кредитными картами. Как проходит рассмотрение дела в суде?

Защитник требует представить подробные сведения о средствах безопасности, используемых банком: описание технологии, записи в контрольных журналах; обо всем, что может прийти ему в голову. Представитель банка обращается к судье: «Мы не можем представить эти сведения, поскольку это причинит ущерб нашей безопасности». Судья прекращает дело. Система безопасности могла бы быть идеальным образцом обнаружения, она могла бы правильно указать преступника, но если она не переносит процесса раскрытия информации, значит, она недостаточно полезна.

Когда Джон Уокер предстал перед судом за шпионаж, Агентство национальной безопасности тщательно взвешивало, что лучше: раскрыть информацию о том, как Уокер взламывал механизмы шифрования, или сохранить в тайне истинные размеры причиненного им ущерба. Хорошие способы обнаружения должны выдерживать судебный процесс, включая перекрестные допросы с привлечением экспертов, не теряя при этом своей эффективности. Хорошие средства обнаружения и контроля обязаны делать записи в контрольных журналах, которые могут быть использованы в суде в качестве доказательств. Должна быть возможность демонстрировать эти записи, не раскрывая секретов безопасности (это называется разделением знаний, knowledge partitioning).

Бдительность нельзя терять никогда. Чтобы обнаружение и реагирование были эффективны, необходимо работать все время: 24 часа в сутки, 365 дней в году. Службы охраны работают круглосуточно. Компании, обслуживающие системы охранной сигнализации, работают без выходных. В компьютерном мире не может быть по-другому. Вы не можете повесить объявление при входе в вашу сеть: «Пожалуйста, взламывайте нашу сеть только с девяти часов утра до пяти вечера, с понедельника по пятницу, исключая отпускное время». У хакеров свои планы.

Нападения часто происходят в то время, когда к нему не готовы. Преступные хакерские нападения связаны с определенными периодами академического года. Все виды мошенничества в торговле – с банкоматами, кредитными карточками, – учащаются в Рождественские праздники, когда люди тратят много денег. Банковские системы взламываются чаще всего после полудня в пятницу, когда банки закрываются на выходные. В 1973 году арабы напали на Израиль во время празднования Йом Кипур, самого священного еврейского праздника. Если кто-нибудь готовит серьезное нападение, он выберет столь же неудобное время.

Бдительность означает своевременность обнаружения и реагирования. Обнаружить нападение, когда оно происходит, намного важнее, чем через неделю или даже час после случившегося. Гораздо лучше закрыть уязвимые места сразу после их обнаружения, а не в следующем месяце. Запоздалая реакция часто не лучше, чем ее полное отсутствие.

Бдительность также означает подготовленность. Необходимо ясно представлять, что делать в случае нападения. Когда в 2000 году Yahoo! подверглась атаке, приводящей к отказу в обслуживании, потребовалось целых три часа, чтобы возобновить работу. Частично это произошло потому, что Yahoo! никогда раньше не сталкивалась с нападениями этого типа. Когда все идет гладко, люди забывают, как следует реагировать в исключительных ситуациях. Службы слежения и реагирования полезны только в том случае, если они регулярно обнаруживают нападения и реагируют на них.

В банковском деле давно известно, что хорошую безопасность можно обеспечить только с помощью нескольких уровней контроля. Управляющие контролируют кассиров. Бухгалтеры контролируют управляющих. Аудиторы также проверяют, все ли в порядке, но уже другими способами, и их проверки являются эффективным средством контроля деятельности бухгалтеров. Внешние аудиторы действуют как доверенные третьи лица, им платят за проведение проверки независимо от того, найдут они что-нибудь или нет. В игорном бизнесе также используется многоуровневый контроль. Крупье наблюдают за игроками, администраторы наблюдают за крупье, а специальные контролеры наблюдают за администраторами.

В банковском деле эта схема усилена за счет обязательных отпусков. Идея состоит в том, что если кто-нибудь другой займется вашими делами, он, возможно, обнаружит ваши незаконные действия. Некто Ллойд Бенджамин Льюис, младший сотрудник расчетного отдела крупного банка, более двух лет подготавливал крупную аферу. За все это время он ни разу не уходил в отпуск, не болел и не опаздывал на работу. Он должен был всегда быть на рабочем месте, иначе кто-нибудь мог обнаружить мошенничество.

Недостаточно иметь в штате хороших системных администраторов, которые знают все о компьютерах и проблемах безопасности сети, следят за работой системы и отвечают на нападения 24 часа в сутки. Кто-то должен наблюдать за ними. И не только потому, что они могут иметь злой умысел, хотя это и бывает. (Множество преступлений было совершено банковскими руководителями высшего звена, так как у них гораздо больше возможностей уйти от ответственности. Некий контролер игровых автоматов, убедившись, что они не находятся под наблюдением, пытался изменить работу их запоминающих устройств так, чтобы сорвать банк.) Причина в том, что люди есть люди и они совершают ошибки. Даже компьютеры могут ошибаться, и необходимо предусмотреть средства обнаружения и устранения ошибок.

В 2000 году была взломана французская смарт-карта. Ничего нельзя было сделать, кроме как прекратить всякие операции с ней. Подобные проблемы возникали и с проездными карточками в Нью-Йорке, канадской кредитной карточкой и со средствами защиты DVD. Если все ваше время уходит на обдумывание предупредительных мер, вы можете совершенно упустить из виду план действий в случае неудачи.

Предупредительные меры постоянно оказываются неэффективными. Устранение проблемы и выслеживание злоумышленников – очень важные этапы, но не менее важно привести все в порядок после нападения. При разработке систем следует ориентироваться на возможность их модернизации в процессе эксплуатации.