Столкновение взглядов: 2х факторная аутентификация

И вновь о спорах на профессиональную тему. В этот раз предлагаю обсудить тему использования средств 2х-факторной аутентификации в корпоративной среде.

Сколько уже писалось о недостатках комбинации логин/пароль как механизма аутентификации, но пароли по-прежнему повсюду и похоже что в ближайшей перспективе своих позиций не потеряют.  А вот 2х-факторная аутентификация так и не находит широкого применения. Давайте рассмотрим возможные аргументы.   

Аргументы "за":

• Более надежная аутентификация, позволяющая в т.ч. бороться с атаками MitM, подбором паролей и проч.;

• Возможность обеспечить неотказуемость пользователя от выполненных им действий (ну или по крайней мере повысить вероятность того, что совершенное действие действительно было выполнено пользователем, предъявившим идентификатор);

• Пользователям не нужно заморачиваться с запоминанием паролей, их регулярной сменой и другими смежными вопросами;

• Более простой способ обеспечить соответствие различным законодательным и отраслевым требованиям (PCI DSS, СТО БР, 152-ФЗ и др.) 

Аргументы "против":

• Более дорогостоящее решение;

• Токены, карточки и тому подобные средства 2х-факторной аутентификации могут быть утеряны, оставлены дома (или в других местах) или повреждены, что сделает невозможным работу пользователя (до получения нового идентификатора);

• Не все приложения поддерживают 2х-факторную аутентификацию, а значит полный отказ от паролей подчас невозможен, стоит ли тогда заморачиваться ?

Думаю что многие смогут добавить к этому списку еще ряд своих. Что скажете, коллеги ? Стоит ли по вашему мнению игра свеч ?  На мой взгляд все другие аргументы кроме финансового вполне устранимы и не должны быть препятствием к внедрению 2х-факторной аутентфикации.

Столкновение взглядов: сертифицироваться или нет

И вновь о спорах на профессиональную тему. В этот раз предлагаю обсудить тему сертификаций. Относительно недавно я проводил опрос на эту тему и по его результатам видно, что почти 85% опрошенных подумывают над сертификацией или дополнительным образованием.

Довольно известные аргументы против сертификации:

- сертификация не показывает опыт и знания, а лишь подтверждает умение пройти тест (причем, возможно, заранее наловчившись на дампах);

- серьезные специалисты не сертификации получают, а делом занимаются;

- знания, проверяемые при сертификации, как правило не соответствуют необходимым на практике.

Несколько аргументов за:

- для некоторых вакансий наличие сертификаций является либо обязательным либо крайне предпочтительным (т.е. дает дополнительный плюс при прочих равных);

- для иностранных организаций наличие сертификации является универсальным языком общения (наши институты и специальности, если это не МГУ, для них темный лес);

Мое мнение - все же сертификаты получать нужно, но к выбору того, какой сертификат получать, следует отнестись довольно серьезно. И чувство меры тоже должно быть.

По своему опыту могу сказать, что из тех сертификаций, которые я получал, в качестве серьезных я могу выделить CISSP, CISA и RHCE. Первые две потому как помимо довольно серьезного экзамена (который кстати многие не сдают с первого раза), они еще и требуют постоянное подтверждение компетенции. А RHCE потому что это одна из немногих сертификаций, которая сдается путем именно практического экзамена, т.е. нужно не на вопросы отвечать, а реальную систему настраивать по предоставленному заданию.

Справедливости ради стоит сказать, что мне доводилось встречать CISSPов, которые рассказывали как готовились к экзаменам по брошюркам и дампам, но тем не менее это не уменьшает для меня ценность сертификации.

Столкновение взглядов: Обновлять или не обновлять

Итак, коллеги, продолжая тему споров на профессиональные тематики хочу сегодня предложить обсудить вопрос обновления/установки патчей. Тема эта опять же не однозначная, с одной стороны все понимают, что обновлять системы необходимо, т.к. хакеры как правило ориентируются именно на непропатченные уязвимости. С другой стороны, само по себе обновление систем может создать проблемы посерьезнее, чем вредоносный код, т.к. частенько случается, что новый патч может стать причиной сбоя системы, потери работоспособности прикладного ПО, скрытых глюков, которые даже не сразу проявляются.

Итог, некоторые специалисты предпочитают либо вообще не обновлять некоторые критичные системы (по принципу "не стоит менять то, что работает"), либо делать это крайне редко.

Мое мнение - обновлять все (!) системы необходимо, но:

во-первых это необходимо делать по согласованному графику (не часто, не редко, в среднем критические уязвимости должны закрываться в течение 1-2 месяцев)

во-вторых все обновления должны быть предварительно протестированы либо на тестовых системах, либо на схожих "живых" системах, но не выполняющих критические функции (например, прежде чем обновить весь парк рабочих станций можно протестировать обновления на десятке активных пользователей, готовых мирится с возможными сбоями)

в-третьих, исключения для ряда систем возможны (например, установленное ПО вообще никак не работает с новым патчем, а разработчик обновлять ПО не собирается, т.к. эта версия уже не поддерживается), но они должны быть согласованы с руководством (включая обсуждение возможных рисков), документально закреплены и должны быть продуманы и реализованы компенсирующие меры

Я убежден, что найдутся и противоположные мнения, давайте поспорим, коллеги.

Столкновение взглядов: DLP – внедрять или нет

Споры в среде безопасников случаются часто J. Но когда этот спор конструктивный, а не базарная перебранка, то как правило есть шанс, что из него родится что-то стоящее. В качестве темы для сегодняшнего спора я предлагаю DLP.

Технология DLP не так уж и нова, на моей памяти ее активное распространение началось около 5 лет назад. Инициатором была компания Infowatch, а затем уже в Россию пришли крупные западные вендоры – Symantec (купив Vontu), Websense, McAfee. И с тех пор не утихают споры о том, надо или не надо внедрять систему DLP.

Аргументы «за»:

- возможность контролировать информацию, передаваемую по внешним каналам, а также на сменные носители или печатающие устройства;

- легко показать результаты работы службы ИБ руководству; вот, установили систему, нашли столько-то нарушителей, вот ТАКАЯ важная информация у нас уходит и прочее;

- в случае внедрения стандарта PCI DSS есть возможность контролировать наличие критичной информации только в области аудита;

- ну и еще ряд приятных мелочей вроде красивых графиков, центрального архива переписки с возможностью поиска и проч.

Аргументы «против»:

- неоправданно дорого;

- я знаю сотню способов обойти всю эту фильтрацию, так что все это фигня;

- проблемы юридической чистоты такого мониторинга в свете наличия неотъемлемых конституционных прав на тайну личной переписки.

Мое мнение: против систем класса DLP работает их же название – системы контроля (защиты от) утечки информации. Название получается слишком многообещающим, да и сейлз-блок производителей периодически преподносит это решение как панацею от множества бед. Все это рождает неоднозначное отношение, т.к. заявленные ожидания от решения на деле не реализуются.

К тому же клиенты, купившие DLP, предполагают, что все что нужно – это установить систему (Next – Next) и все, мы защищены от утечки информации. На деле так, конечно же, не происходит, и у покупателей наступает разочарование, которым они начинают делиться с окружающими.

НО, если бы мне довелось в роли менеджера по информационной безопасности принимать решение о том, внедрять или не внедрять DLP, то я бы склонялся к тому, чтобы внедрять (конечно же ориентируясь на бизнес-потребности моей организации), но внедрять не просто DLP, а целый комплекс мер, в котором DLP было бы одним из ключевых решений, но далеко не единственным.

Давайте спорить, коллеги.