Защита офиса от маски-шоу
Хочу обсудить такую тему: стоит задача обезопасить офис от внезапного вторжения "маски шоу". В офисе 5 компов, на 4 из них сотрудники работают с конфиденциальной информацией (чаще всего xls файлы), на 5-м хранится база 1С к которой остальные 4 компа почти постоянно подключены. Идея обеспечить такую защиту чтобы при вторжении можно было быстро выключить компы и успеть сделать глупые лица типа "ниче незнаем" :)
Есть два варианта: 1) зашифровать винты всех компов каким нибудь WDE. Недостаток: все WDE имеют некоторые проблемы которые могут привести к порче существующей информации; также WDE сильно тормозят систему, а компы не самые новые. diskcryptor не тормозит, но его пока что стремно ставить на чужое добро – на своем уже давно стоит.
2) установить один мегашифрованые темже WDE сервер и хранить на нем все файлы и базы 1С. При необходимости выключил его и все. На остальных компах отрубить файлы подкачки и возможно сделать дополнительные настройки.
Пока склоняюсь к 2-у варианту потому что на настройку первого уйдет много времени и он более рискованый. Также интересует какие еще настройки нужно сделать на компах кроме отключения файлов подкачки.
Прошу ваших советов как лучше сделать. Желательно на основе бесплатного ПО. Всякие проприетарные решения с "красной кнопкой" не подходят потому что дорогие и проприетарные :)
А уверенны, что под стволом "винтореза" ручонки смогут дотянуться до кнопки резет:(
И на каком уровне у вас "безопасность" – ведь то, что вы планируете, зависит от многих факторов: начиная от стремности ваших сотрудников и заканчивая крепкостью входной двери.
ЗЫ Присмотритесь к TrueCrypt – довольно стабильная прога!
ну если поставить сервер в комнату директора которая далеко от входной двери то будет время на нажатие кнопки. есть видео наблюдение так что если вокруг офиса будет подозрительное движение об этом сразу сообщит охрана. трукрипт стабилен но очень тормозной. я его ставил для експеримента на ноутбук core2 2.8GHz виста грузилась около 3-5 минут + очень большие тормоза при работе. у самого стоит diskcryptor но пока я его поставил то пришлось автору исправить 2 бага так что пока стремно. зато не тормозит.
Как вариант – вынести терминальный сервер за пределы офиса, клиенты – грузятся, работают через сеть. Самое главное – избавиться от дисковых накопителей как таковых, в пределах офиса разумеется.
А что мешает тогда опергруппе / омону вломиться в помещение дислокации терминального сервера?
Думаю, если будут причины такого интереса к фирме, если это действительно "рога и копыта", то помимо ПК большой интерес будет к банковским операциям, печатным документам, договорам, липовым сделкам и проч., а все это вы не сможете уничтожить "по кнопке".
Честный бизнес – вот лучшая безопасность. А при желании, при необходимости набор доказательств на "нормальный срок" всегда СК найдет.. Тут ни TrueCrypt, ни DiskCryptor ни новая спецификация Full Hard Disk Encryption – ничего не поможет. Помимо внутренних электронных документов и БД есть много компрометирующей информации. Опыт т.н. маски-шоу показывает, что даже в случае успешного уничтожения информации успех следственных действий был бы не меньшим.
Вот сам порядок "шоу" (по словам следователей)
1. После этапа "захват" (непросредственное проникновение сепцгруппой в помещение, ликвидация ЛЮБОЙ угрозы противодействию производства следственных действий) следует этап "лицо" (идентификация всех находящихся в помещении, ликвидация возможности противодействия производству следственных действий)
2. Непосредственное производство следственных действий
– Вам представляется старший группы (показывает удостоверение), он же ведет протокол, объясняет суть происходящего (какое именно следственное действие производится)
– Если у Вас производят обыск, то предъявляют постановление следователя, если обыск поручен оперативникам, то и поручение о производстве следственного действия.
– В протоколе указываются ВСЕ участники обыска (у большинства следователей есть дурная привычка не записывать оперативников, спецгруппу, присутствующих, (сам такой был, до одного случая )).
– Обыск производится последовательно, т.е. помещение за помещеним, а не во всех сразу, если во всех сразу, то в каждом должны быть понятые и Ваш представитель.
– Не бойтесь по прочтению протокола делать в нем замечания, кроме того, Вам должны дать его копию.
– В протоколе должны расписаться ВСЕ участники обыска, а не Вы, понятые и следователь
3. Есть вариант, что у Вас будут делать Осмотр места проишествия, тогда все замки можете оставить закрытыми.
Для обыска в офисе не требуется судебное постановление, только постановление следователя
Плюс к этому вы можете не успеть ничего выключить / уничтожить, если группа нагрянет как раз в момент, когда вы еще в офис не зашли (т.е. встретит вас)
Всем спасибо за ответы. Фирма нарушает закон вмеру как и все :) но учитывая кризис очень вероятно начало "охоты на ведьм" и ведьмой может оказатся кто угодно. На бумаге все чисто, а то что нечисто есть только в цифровом виде. Терминальный сервер это хорошо но надо отталкиватся от бюджета 0$ ну или максимум деньги на простенький файл сервер с WDE который будет сутра включатся, а вечером выключатся. Всетаки может кто подскажет какие еще настройки можно сделать на ПК кроме отключения файла подкачки чтобы минимизировать следы открываемых с файл сервера файлов? Вот думаю стоит временные файлы затирать хотябы нулями в один проход...
Юрисдикция другой страны, к примеру.
Я думаю, что у автора статьи просто паранойя, менты просто так, без денег работать не будут, а кто, скажите, пожалуйста, даст бабла на наезд в контору, где 4 тётеньки сидят за старыми компами, а даже покупка нового сервера является проблематичной? Тем более, что если людям, имеющим доступ к паролям, наступят на яйца, либо начнут надфилями рихтовать зубы, то, наверное, проблем с доступом к зашифрованной информации не будет вне зависимости от стойкости алгоритма шифрования. Поэтому только прятать данные, да ещё находящиеся локально в одном месте, особого смысла нет, гораздо важнее спрятать процедуры интерпретации этих данных
[off topic]
Думаю тут надо несколько перефразировать
Трукрипт стабилен, но на моем ноуте стоит очень тормозная Виста.
Использую TrueCrypt как дома (ноту, Core2 1.8Ghz, 2Гб ОЗУ), так и на работе (целерон 2.4, 1ГБ ОЗУ).
Никакой разницы в скорости я не ощущаю. Ой не надо, прочитай еще раз "Я не ощущаю", я не сказал, что ее нет, видимо она на столько мала, что ее не заметно. Винда на ноуте грузится не больше 15 секунд. Так что я бы не стал грешить на TrueCrypt.
[/off topic]
ПО теме: можно поставить отдельную тачку, зашифровать ее диски, и чтобы без флешки не грузилась, флешка у директора (если он конечно каждое утро будет на работе). Все документы на этой тачке хранить. На клиентах поставить прогу типа Eraser'a, в ней выставить рассписание когда и какие файлы чистить. Выставить папку temp на очистку каждые сколько нибудь промежутков времени. А еще лучше конечно терминал сервер, чтобы клиенты вообще бездисковые были.
Ну еще, если определнный орган зажмут в тиски, установить на шифрованную тачку скрытую ОС, и выдать пароль от нее. Она загрузится отлично, будет работать, для наглядности туда засунуть чего нибудь не компроматного.
Трукрипт тормозит и это факт проверенный не только на тормозной висте, но еще и минимум 4-х других ПК с разными конфигурациями. Но на вкус и цвет... Я не говорю что ТС плохой просто он не подходит лично мне. А учитывая что в обычном офисе за компами сотрудников особо никто не следит т.е. дефрагментацию, чистку реестра и тому подобные вещи делаються раз в пол года, то можно предположить что ТС там не место так как он будет тормозить тормоза еще больше. Но это касается только WDE части. Для шифрования флешек или работы с шифроваными дисками в файлах пока ничего лучше ТС нет ИМХО.
Эта "уловка" настолько тривиальна и широко известна (даже разрекламирована коммерческим DCPP) что вряд ли защитит от профессионального подхода к выяснению пароля. Лучше такой способ не использовать вовсе, чтобы избежать ложной иллюзии защищенности.
Это уловка наивна по определению – наличие скрытой ОС можно легко доказать имея на руках ложную ОС и сетевой трафик, который хорошие маски шоу обязательно соберут, хотя бы за пару минут работы сети. Рекомендую всем горе-советчикам читать методики Интерпола перед тем как давать "советы".
Около шести лет назад я тоже увлекался "оптимизацией" винды, но подобные действия приводили только к ухудшению работы системы (в частности дефрагментация в винде реализована настолько коряво, что приводит к парадоксальному увеличению фрагментирования), а игры с реестром вообще приводили к необходимости переустановки системы. По опыту использования офисного компа могу сказать, что если его использовать только для работы, а не для экспериментов типа поставил-снес, то на протяжении 4,5 лет ежедневного использования потери производительности не отмечено.
Ссылочкой не поделитесь?
Будьте добры, дайте ссылочку на данное чтиво.
Насчет оптимизации винды, то по своему опыту скажу что на стандартной офисной машине в среднем за 6 месяцев уже много проблем. В среднем фрагментация системного раздела до 60-80% + реестр размером в пару раз больше чем надо. А учитывая что для офиса обычно покупаються не самые дорогие ПК потому что по факту это будущие печатные машинки, то тормоза очень заметны. Дефрагментацию и другой "тюнинг" лучше делать сторонним софтом типа O&O Defrag. Лично у меня на домашнем ПК виндовс ХР не переустанавливался уже около 5 лет – только ставил сервиспаки и жив он досихпор только благодаря оптимизации.
После O&O Defraga, мой ноут начинал работать просто ужасно. Винда грузилась после первой дефраги довольно шустро. Но все последующие дефрагментации не вызывали никакого эффекта. Из 17% фрагментации, максимум что дефрагментировалось это 1-2%. Пришлось винду переставлять. Причем на рабочем компе такой же казус с ОиО Дефрагом. Так что решил от него отказаться. Попробую что нить типа бесплатного Defragger'a.
Ну да офф топ :(
Чтобы винда работала долго, надо у юзеров админские права забирать, нехрен. И будет винда работать долго и счастливо.
Из платных дефрагментаторов лучший PerfectDisk, из бесплатных – Auslogics Disk Defrag[link1]
Вынос информации за пределы офиса принципиально.
Настройка терминального сервера, пернос информации и рабочих программ на сервер, вынос собственно терминального сервера либо в стойку к провайдеру (самый простой вариант но не самый безопасный) либо в места никак собственно с организацией не связанные – например в помещение арендованное другим юр. или физ. лицом. Построение защищенного VPN тунеля к терминальному серверу. PROFIT!
После чего в случае внезапных "маски-шоу" достаточно просто потушить инет или VPN сервис, для того чтобы указанный сервер исчез из локальной сети.
При этом, в случае например конфискации рабочих машин работа организации продолжается.
Ну а далее собственно можно закручивать гайки – использование криптографии на терминале и/или VPN шлюзе, использование достаточно простых средств для удаленного ресета и/или шатдауна терминалки и/или VPN шлюза etc.
Собственно схема действует даже против "не внезапных" маски и не очень шоу, органам придется пройти достаточно долгий путь от офиса юр. лица к которому применяются те или иные меры к месту на территории которого размещен собственно терминальный сервер. Цепочка представляется достаточно длинной – понимание того что необходимой информации в офисе просто нет, анализ того, а где бы она могла находится собственно, поход к провайдеру, получение связки (IP адрес с которого происходит VPN подключение в офис указанной компании) + (физический адрес по которому предоставляется услуга подключения к сети Интернет) – помним а том что помещение арендовано лицами никак не связанными или связанными косвенно с организацией на которую наехали. Зато время которое потребуется на проход по всей цепи инфу или серв можно переместить.
В догонку решение представляется конечно не копеечным, но дает много побочных плюсов. Например возможность размещения ПО которое требует приобретения лицензий на терминалке, что собственно слабо выкупается при проверке (см. предидущие посты), использование впринципе на рабочих машинах того же Linux например (терминальные клиенты есть под кучу платформ), впринципе использование тонких клиентов (экономия на железе), удобство администрирования. Впринципе плюсы и минусы терминальных решений хорошо описанны на просторах интернетов.
Путь может быть ещё дольше, если использовать скрытый Tor-сервис.
Я в курсе того что есть Tor но, последний раз когда я его щупал – скорость доступа к ресурсам через сеть Tor была крайне не удовлетворительна, возможно ситуация изменилась. Лаги создадут дискомфорт и пользователи взвоют.
http://www.securit.ru/
Брали у них программы Z-server для защиты серверов и компьютеров. В комплекте радиокнопка-брелок, при нажатии которой серверы гасятся, пароли сбрасываются. Для того, чтобы запустить сервер, необходимо собраться трём человекам одновременно с разными смарт-картами, на которых хранятся ключи.
К вопросу "тормознутости" ТруКрипта. да, абсолютно "незаметного" по производительности шифрования в широком доступе ;-) на текущий момент нет. На достаточно стареньком офисном ПК разными бенчиками определили падение производительности порядка 10%, но это – для конкретного железа и окружения. В последних версиях, как говорят разработчики, они ОЧЕНЬ продвинулись в плане использования возможностей многоядерных процессоров, так что – покупайте ноутбуки на i7, и будет вам щастье и высокая производительность при прозрачном шифровании :-)
И к вопросу о "терморектальном криптоанализе" – если в качестве ключа TrueCrypt использовать файл на, к примеру, флешке, при извлечении которой контейнеры/система закрывается, а сама флешка физически разрушается при начале "шоу" – сможет ли это уберечь персонал от силовых воздействий по получению паролей?
Только от получения, от воздействий – вряд ли. ;)
Флэшка хранится в ректальном контейнере с пиропатроном?
если определнный орган зажмут в тиски, методики Интерпола не понадобятся, сами все скажете
Как пример:
сервер с бд стоит вне офиса, и юридически с фирмой никак не связан. Подключение к нему – строго VPN через VDS на зарубежном хостинге.
Все правильно. Тут нужно говорить о конкретике. Какие спецслужбы интересуются, какими сведениями обладают, да и все зависит от следователей и оперов. К примеру, если следственные действия выполняются строго в соответствии с законодательством, тут гораздо сложнее собрать/забрать что-либо, нежели скрыть. Любая ошибка следователя/опера – и делу конец. Но, если ребята действуют жестко и имеют рычаги давления – тогда и правда сами все скажете. Да и всегда можно найти что-либо другое и использовать для развязывания языка. Да и не факт что в организации все такие стойкие и не сдадут с потрохами.
То что они скажут если сдадут еще доказать надо!
На тему этого и этого[link2] топика есть интересное обсуждение[link3].
Занятно. Спасибо за ссылку.