С практическим контролем списка исполняемых модулей при помощи программы «СКЗИ инфо» можно ознакомиться в рекомендациях Банка России http://www.cbr.ru/mcirabis/po/recommend.pdf [1].

При поставке оборудования от производителей и поставщиков настройки по умолчанию для устройств, операционных систем и приложений, как правило, ориентированы на легкость внедрения, но не на безопасность. Конечно, возможно и обратное, когда в процессе внедрения системы приходится разрешать некоторые функции в ущерб безопасности. Тем не менее здесь необходим осознанный, квалифицированный подход, так как основные элементы управления, открытые службы и порты, аккаунты и пароли по умолчанию, устаревшие (уязвимые) протоколы, предустановленное ненужное ПО – все это потенциально может быть использовано для несанкционированного проникновения.

Вместо того, чтобы с нуля разрабатывать базовые настройки безопасности для каждой программно-аппаратной системы, предприятие должно использовать публично распространяемые, проверенные, сопровождаемые настройки безопасности, а также руководства по обеспечению безопасности и/или чек-листы.

Необходимую информацию содержат следующие порталы:

The NIST National Checklist Program [2];

Информационный портал по безопасности [3];

Информационно-аналитический портал [4];

Инвентаризация ПО Microsoft SAM [5];

Поставщики услуг и техники [6].

Далее предприятию необходимо расширять или корректировать публичные исходные настройки безопасности для удовлетворения местных политик и требований, а также обосновывать и документировать принимаемые отклонения, чтобы облегчить последующие осмотры или служебные проверки.

Для большого комплексного предприятия создание единой базовой конфигурации безопасности (например, один установочный образ для всех рабочих станций по всему предприятию) иногда неприемлемо или невозможно. Вполне вероятно, что необходимо поддерживать различные стандартные образы на основе соответствующих конфигураций систем и необходимых функций для первоначального старта (например, рабочая станция бухгалтера с приложением 1С или станция разработчика ПО и тому подобные). Число вариаций лучше свести к минимуму, чтобы ясно понимать свойства безопасности и управлять ими. Однако необходимо быть готовым управлять несколькими базовыми линейками образов.

ПО управления настройками можно использовать для сопоставления параметров ОС, как и для сопоставления параметров приложений, контролируемых машин при поиске отклонений от стандартной конфигурации образа.

Типичные инструменты отслеживания настроек используют некоторый комплекс: проверка через агента, установленного на каждой управляемой системе, или проверка систем без участия агентов, с удаленным входом на каждую управляемую машину. Кроме того, иногда используется гибридный подход, в процессе которого инициируется удаленный сеанс и временный или динамический агент устанавливается на целевой системе для сканирования, а затем агент удаляется.

Старайтесь аккуратно и строго управлять конфигурациями. Создайте исходный безопасный образ и используйте его для создания всех новых систем, которые появляются в IT-среде предприятия. Всякую востребованную систему, которая «сломана», можно повторно восстановить с помощью такого образа. Периодические обновления и/или исключения из этого образа важно интегрировать в процессы управления изменениями на предприятии. Образы необходимо создать для базовых вариантов рабочих станций, серверов и, возможно, для некоторых виртуальных машин предприятия.

Типовые образы компонуются как сконфигурированные версии базовой операционной системы и приложений. Конфигурирование обычно включает в себя: блокирование или удаление избыточных учетных записей, удаление или отключение ненужных служб, установку необходимых обновлений, закрытие открытых и неиспользуемых сетевых портов, удаление неисполняемых скриптов, а также включение файрволов и систем обнаружения вторжений. Типовые образы должны пересматриваться и обновляться на регулярной основе, чтобы поддержать необходимый уровень безопасности в противодействии «свежим» уязвимостям и модифицированным хакерским атакам.

Хранить мастер-образы рекомендуем на надежно защищенных серверах, оснащенных инструментами проверки целостности файлов, руководствуясь принципом постоянного контроля и управления изменениями, чтобы гарантировать возможность только авторизованных изменений. В качестве альтернативы мастер-образы могут быть сохранены на автономных машинах, отключенных от производственной сети. Иногда образы могут быть скопированы на безопасные, надежные носители для их перемещения между серверами и станциями производственной сети. В общем случае мастер-образ является частным случаем «резервной копии», так называемого бэкапа, о котором немного позже.

Сразу отметим, что информация корпоративного ноутбука зачастую стоит дороже самого ноутбука. Как пользоваться переносным устройством вне офиса, защитить оборудование и его данные, пойдет речь в этой главе.

Корпоративная техника обычно является предметом коллективного использования. Не является исключением и такое устройство, как ноутбук, принадлежащий организации. Переносной компьютер представляет удобную возможность выполнять служебные обязанности вне помещений и офисов, занимаемых бизнесом, но это удобство несет определенные риски. Именно поэтому наличие в ноутбуке служебной, коммерческой информации или программ с возможностью доступа в корпоративную сеть вынуждает применять к этому устройству три главных принципа информационной безопасности: конфиденциальность, целостность, доступность. А это, в свою очередь, означает, что нарушения принципов или правил использования ноутбука, регламентированных на предприятии, в большинстве случаев приведут к возникновению инцидентов информационной безопасности.

Самый опасный инцидент, который может произойти с переносным компьютером, – это потеря или утечка конфиденциальной информации с устройства. Стоимость такой информации с учетом вероятных рисков во много раз превышает стоимость самого ноутбука.

Для использования вне офиса при временном владении и эксплуатации устройства, переходящего из рук в руки, применяются различные превентивные меры безопасности. Оговоримся сразу, речь идет о переносном компьютере, совместимом с архитектурой IBM PC, причем этот компьютер не попадает в разряд устройств BYOD⁵.

Мобильное рабочее место на базе ноутбука обычно подготавливается специалистом IT в соответствии с типовой конфигурацией, предписанной политикой ИБ предприятия.

– При выдаче в служебном журнале или базе регистрируется серийный номер ноутбука для исключения возможности его подмены. Комплект с переносным устройством включает в себя силовой шнур и соответствующий блок питания.

– Устанавливается пароль на BIOS⁶/UEFI⁷ ноутбука во избежание изменения аппаратной конфигурации и/или замены внутренних компонент устройства.

– Специальными средствами (BitLocker, TrueCrypt, SecretDisk⁸) шифруется системный диск для защиты собственного содержимого, предотвращая несанкционированный доступ к операционной системе и доступ посторонних к параметрам и конфигурациям программ ноутбука, включая удаленный вход в корпоративную сеть.