IT-безопасность: стоит ли рисковать корпорацией? - [3]

Конечно, я должна также поблагодарить моего прежнего работодателя Sun Microsystems. Особую благодарность я испытываю к техническому директору Sun Эрику Шмидту, за создание обстановки, в которой поощрялись творчество и тяга к знаниям. Среди его сотрудников я особо хочу поблагодарить Хамфри Поланена.

Многие из экспертов по компьютерной безопасности отдавали мне свое время и делились ценной информацией, чтобы научить меня хитростям своей профессии. Мне бы хотелось сказать спасибо Мэтью Арчибальду, Касперу Дику, Дэну Фармеру, Алеку Маффетту, Брэду Пауэллу и Маркусу Рануму.

Специалисты из других областей также нашли для меня время в своей занятой жизни, чтобы сделать общие замечания, предложения и оказать поддержку. Этими щедрыми людьми, в алфавитном порядке, являются: Диана Браунинг, доктор Том Хафкеншил, Сьюзен Ларсен, Джон Маккарти, Тим Мерфи, Мишель Парри, Ричард Пауэр, Боб Шотвелл, Стив Смаха, Джин Спаффорд, Кейт Уотсон и Дебора Ярборо.

Наконец, я хочу выразить признательность всем моим друзьям и семье за неиссякаемые вдохновение и поддержку.

Спасибо!

Об авторе

Линда Энн Маккарти является признанным авторитетом в области технологий безопасности, а также писателем и «глашатаем» данной отрасли. Кроме того, Маккарти — руководитель службы консультантов по вопросам безопасности отдела технического директора в Symantec Corporation. Совсем недавно Маккарти занимала пост вице-президента по системным разработкам в Recourse Technologies, компании по разработке программ для обнаружения, поимки и отслеживания хакеров.

До этого Маккарти была старшим вице-президентом в NETSEC, компании, предоставляющей услуги по управляемому обнаружению вторжения и реагированию на него. Еще раньше она работала менеджером по исследованиям и разработкам в области безопасности в Sun Microsystems и была основателем Network Defense Fund.

По просьбе руководителей компаний Маккарти взламывала системы в их корпоративных сетях и показывала, как легко можно получить доступ к секретам компании, обрушить промышленные системы и даже вызвать катастрофу в их глобальных операциях. Вместо этого она направляла свои знания на обучение менеджеров тому, как избегать подобных бедствий.

Линда вела несколько учебных курсов в Sun Microsystems по архитектуре аппаратных средств, системному администрированию и безопасности UNIX.

Введение

Век массового подключения очень агрессивен. Поток свободно перемещающейся во всех направлениях информации и электронная коммерция, вышибающая все новые двери, больше не позволяют нам обходиться в сетевой защите одним только хорошим брандмауэром при подключении к Интернету.

Я затратила много времени, проводя аудиты безопасности распределенных сетей. Во многих случаях я обнаруживала, что информация могла быть легко изменена, украдена или уничтожена и при этом не оставалось бы следов произошедшего инцидента. Системные администраторы и другие «полномочные представители» знали, что настройка защиты их систем не была проведена. Но они не знали, каким высоким оставался при этом уровень риска. Также не знали об этих рисках и руководители компаний.

Эта книга научит вас, как избежать их ошибок. Если вы являетесь руководителем высшего уровня, менеджером, системным администратором или любым другим сотрудником, отвечающим за безопасность сети, то вы должны занять активную позицию в этом вопросе.

Не делайте тех же ошибок, что и эти люди. Это может вам стоить вашей компании.

Об этой книге

То, что вы собираетесь прочитать, не является плодом моего воображения. Здесь собраны описания реальных аудитов. Каждая глава посвящена отдельному аудиту, который я проводила в реальной, живой, функционирующей компании. Если бы я использовала действительные названия компаний, то вы, вероятно, узнали бы среди них своих партнеров по бизнесу.

Конечно, я не использовала действительных названий компаний, имен сотрудников или других участников событий по очевидным юридическим и этическим причинам. Но я привела здесь реальные факты, касающиеся риска и моего подхода к аудиту в каждом конкретном случае.

Читайте внимательно, особенно если вы являетесь руководителем верхнего уровня, линейным менеджером, системным администратором, юристом или профессиональным представителем правоохранительных органов. Описываемые риски являются рисками, которые вы должны себе представлять.

В любом случае реальные риски кроются не только внутри операционных систем. Серьезные риски скрываются в способах установки систем, проведения настройки, технической поддержки и управления. Именно эти факторы главным образом определяют риск для вашей компании.

Указывая на эти риски, я надеюсь, что люди, отвечающие за информацию в сетях, начнут занимать активную и вдумчивую позицию в обеспечении безопасности.

Как устроена эта книга

Хотя все описываемые аудиты являются реальными, я начинаю каждую главу с выдуманной истории, рассказанной от первого лица. Работая в различных компаниях, я начала понимать, что большинство людей станут воспринимать безопасность серьезно только тогда, когда что-либо произойдет с их системами, их информацией и их компанией, — это одна из причин, по которой детское «Я» остается в людях на всю жизнь. Я ввожу читателя в каждую из этих историй для передачи ощущения того, что это может случиться с вашей информацией и с вашей компанией.