Коллективная защита

Коллективная защита

Применение общественной модели здравоохранения к безопасности в Интернете

Автор: Скот Чарни (Scott Charney)
Корпоративный Вице-Президент Trustworthy Computing
Корпорация Microsoft

В статье были использованы ценные замечания многих людей. Список некоторых из них представлен в Приложении А.

Интернет – глобальный всеобщий ресурс

Интернет продолжает расти с беспрецедентной скоростью, объединяя людей, стимулируя появление новых идей и создание инноваций для потребителей, предприятий и правительств. К 2009 году количество пользователей Интернета перевалило отметку в 1.96 миллиарда человек [1] и, несомненно, это число будет расти и дальше. Такое стало возможным благодаря увеличению пропускной способности каналов и широкому распространению вычислительных устройств. К примеру, прогнозируется, что к концу 2010 года число пользователей с широкополосным доступом по всему миру будет насчитываться около 500 миллионов человек [2].

Согласно отчету Международного союза по телекоммуникациям (International Telecommunications Union) за период с 2000 по 2008 год, в связи с ростом спроса на смартфоны, доля мобильных телефонов возросла с 12 до 61 процента [3]. В дополнении к этому растет разнообразие портативных устройств: смартфоны, нетбуки, электронные книги. Все это позволяет получить доступ к всемирной паутине из любой точки планеты, а также приводит к появлению удаленных датацентров (их еще называют «облаком»). Облачные вычисления позволяют организациям оперативно настраивать и быстро масштабировать их IT-системы, предоставляя доступ к широким вычислительным возможностям, которые ранее были доступны лишь очень крупным компаниям. Также это позволяет пользователям IT-системы совместно работать «откуда угодно и когда угодно» вне зависимости от их местонахождения и дает дополнительные преимущества разработчикам при использовании в своих проектах этой новейшей вычислительной парадигмы. В частности, правительства, используя облачные вычисления, могут увеличить производительность труда и сократить расходы во время экономического кризиса.

Рост числа новых пользователей, устройств, объемов информации и транзакционных данных, которые являются побочным продуктом вычислений, является благодатной почвой для роста компьютерных преступлений. Правительства и предприятия достигли успехов в уменьшении рисков кибератак путем разработки политик безопасности и реализации эффективных методов защиты. В противоположность им, обычные потребители и представители малого бизнеса [4], у которых нет возможности привлечь специалистов по безопасности, остаются главными целями киберпреступников.

Угроза безопасности в Интернете

Киберугрозы и атаки на обычных пользователей трудно охарактеризовать и среагировать на них по нескольким причинам [5]:

Большое количество злоумышленников. У них различные мотивы. Многие атаки похожи друг на друга, и поэтому по их содержанию сложно идентифицировать злоумышленника или мотив преступления. Интернет – общедоступная сеть. В ней присутствуют как рядовые пользователи и организации, так и государственные учреждения. У всех разные цели и очень часто сложно отличить одних от других (к примеру, передаваемые данные могу содержать в себе вредоносную программу или политическую речь). К тому же, трудно отслеживать лишь отдельные типы пользователей, которые занимаются определенными видами деятельности, без наблюдения за остальными участниками сети. Высокая скорость атаки делает неэффективными методы, которые требуют человеческого участия. Трудно предсказать возможные последствия угрозы. Наихудшие сценарии вызывают тревогу.

Также важно понимать, что во многих странах уже существуют организации, которые занимаются мониторингом подобных деяний, включая незаконную деятельность в Интернете, и эти организации пользуются услугами различных агентств, в зависимости от того, кто атакует и какие у него мотивы. Однако очень часто при попытке проникновения в систему вопросы «кто?» и «зачем?» остаются без ответа, и это может затруднить осуществление ответных действий. Идентификация злоумышленника уменьшит, но не снимет полностью неопределенность касаемо ответа на возможную угрозу. Первый шаг к решению этой задачи – попытка отнести киберугрозу к определенной категории, что даст возможность провести эффективные ответные мероприятия. Киберугрозы можно отнести к таким категориям:

Киберпреступление. Экономический шпионаж и другие виды деятельности, когда происходит расхождение во мнениях по поводу мотива деятельности. Военный шпионаж. Кибервойна.

Ответ на киберугрозу – новые методы коллективной защиты

Возможные действия в ответ на киберугрозу, даже если идентификация злоумышленника затруднительна, можно разделить на следующие категории: Персональная защита Коллективная защита Активная защита [6] Контрнападение

Как можно заметить, диапазон возможных действий довольно широк, начиная от простой и наименее спорной индивидуальной защиты, до более агрессивного и комплексного контрнападения. В случае с персональной защитой подразумевается лишь один объект (будь то человек, компания или правительственная организация), который защищает собственное имущество (например, путем установки файервола, системы обнаружения проникновений или ограничения доступа к информации). Здесь, как правило, не возникает никаких возражений – объект всегда может встать на защиту самого себя.

С другой стороны, коллективная защита может потребовать объединения и координации несколько участников и совместному использованию секретной или даже юридически защищенной информации. Некоторые виды активной защиты и методы контрнападения являются более спорными, поскольку могут пострадать третьи лица, которые не принимают участие в атаке или делают это неосознанно. К примеру, может быть заблокирован компьютер с установленной вредоносной программой, но ее владельцу ничего об этом неизвестно. К тому же, такая деятельность может вызвать международный скандал, если третье лицо, которое попадет под горячую руку, окажется из другой страны.

По мере развития индустрии кибербезопасности за последние десять лет, индивидуальные средства защиты: файерволы, антивирусы и автоматические обновления стали все более распространены. Однако эти достижения помогли снизить риски для лишь правительств и корпоративных сетей, но оказались недостаточными для защиты рядовых пользователей и представителей малого бизнеса. По разным причинам, широкое распространение и доступность систем защиты не всегда приводит к их использованию, что, в конечном счете, влечет за собой неадекватный риск менеджмент. В результате этого, обществу необходимо искать новые пути для реализации коллективных защит, чтобы защитить рядовых потребителей, которые могут не догадываться о том, что на их компьютере, к примеру, установлена вредоносная программа. А также уменьшить риски для Интернета в случае появления в нем зараженных машин.

Международный, государственный и частный сектор предпринимает попытки для распространений или использования различных методов коллективной защиты с разной степенью эффективности. Вот некоторые примеры:

  • Инструмент Botnet Mitigation Tool Kit, который разработал Международный союз по телекоммуникациям (International Telecommunications Union), оповещает об угрозах со стороны ботнетов, а также разрабатывает регламентирующие документы, освещает технические и социальные аспекты, которые могут помочь как в борьбе с ботнетами, так и последствиями их использования.
  • Японский Центр обеспечения киберчистоты (Cyber Clean Center, ССС) является примером организованной, скоординированной программы по коллективной защите, которая реализована на государственном уровне для борьбы с созданием ботнетов. В сотрудничестве с более чем семьюдесятью Интернет-провайдерами, центр помогает рядовым пользователям вылечить их компьютеры от вредоносных программ и предоставляет программные комплексы для защиты от повторного инфицирования [8].
  • Французская некоммерческая организация Signal Spam является государственно-частным партнерством, которое было инициировано правительством. Организация собирает отчеты пользователей о спаме и передает их правоохранительным органам и гражданским властями, а также в крупные почтовые сервисы, Интернет-провайдерам и отправителям сообщений для того, чтобы установить источник спама, который обычно является компьютером, принадлежащим ботнету [9].
  • Финская государственная группа реагирования на компьютерные происшествия (Computer Emergency Response Team, CERT-FI) запустила агрегатор AutoReporter, который в автоматическом режиме собирает информацию о вредоносных программах и фактах проникновения в финские сети, а затем передает собранную информацию хозяевам этих сетей [10].
  • Проект MARS (Microsoft Active Response for Security) сотрудничает с академическими и отраслевыми специалистами, а также предпринимает технические и правовые действия для борьбы с ботнетами. Например, сеть зараженных машин Waledac была обезврежена благодаря правовым действиям, а затем компания Microsoft в сотрудничестве с Интернет- провайдерами и CERT-группами (Computer Emergency Response Teams) помогала пользователям лечить их инфицированные машины [11].

Все эти проекты направлены на защиту пользователей и общее «оздоровление» Интернета при помощи индивидуальных и коллективных защит. Однако все подобные усилия имеют естественные ограничения. Отчасти причина в том, что компьютеры конечных пользователей не защищаются в режиме реального времени, а вылечиваются лишь по факту обнаружения ботнетов. К тому же ответные реакции на киберугрозы не автоматизированы. Поскольку растет число пользователей, устройств и приложений нужны новые подходы для борьбы с киберугрозами.

Адаптация модели общественного здравоохранения для безопасности Интернета

Для предотвращения киберугроз в целом и создания ботнетов в частности, правительствам, предприятиям и потребителям следует сконцентрировать свои усилия, взяв за основу свод правил, которые направлены на предотвращение эпидемии среди людей. Модель общественного здравоохранения опирается на несколько ключевых концепций, которые могут быть использованы для обеспечения безопасности в Интернете.

Для оздоровления общества необходимо, чтобы каждый его член был осведомлен о факторах риска и знал, как избежать этих рисков. Общепринятая практика по предотвращению распространения инфекции содержит в себе как простые меры (например, мытье рук), так и комплексные. Например, в школах и институтах перед поступлением возможна обязательная вакцинация; предупреждение о симптомах заболеваний у других студентов; обязательная домашняя изоляция в случае болезни; прохождение дополнительного обследования на соответствие определенным критериям для допуска к занятиям после болезни. В реальном мире существуют международные, государственные и местные системы здравоохранения, которые выявляют, отслеживают и контролируют распространение инфекции, а также, если необходимо, помещают на карантин больных людей, чтобы обезопасить остальных членов общества [12].

Схожие меры можно применить и для усиления безопасности в Интернете. Правительства и предприятия могли бы действовать более систематично для предотвращения заражения компьютеров, реализуя превентивные меры, детектируя инфицированные устройства, оповещая пользователей и помогая им в лечении зараженных машин. Также необходимо предпринимать дополнительные меры по предотвращению влияния зараженных машин на остальные компьютеры.

IT-отделы предприятий (включая правительственные организации) уже имеют в штате профессионалов для решения подобных задач внутри компании. Часто в их составе есть ИТ-директора, руководители службы безопасности, штат IT-специалистов и команды реагирования на инциденты. К тому же происходит непрерывное обучение персонала, разработка утилит для поиска вредоносных программ, а также предпринимаются другие действия, чтобы все устройства отвечали стандартам безопасности.

С другой стороны, у сторонних потребителей нет такой поддержки. Более того, многие потребители не горят желанием становиться не только экспертами по безопасности, но и просто повышать свою компетенцию в IT-сфере, говоря о том, что информационные технологии сложны в изучении, а способы защиты в Интернете не интуитивно понятны. В итоге многие потребители становятся невольными участниками компьютерных преступлений, когда на их машину устанавливается вредоносная программа и компьютер становится частью ботнета. Некоторые ботнеты используются для рассылки спама или проведения DOS-атак на ключевые инфраструктуры. В одних случая может генерироваться большой объем трафика в сети, в других – преступные действия могут с трудом поддаваться обнаружению и противодействию. На этом фоне, совершенно очевидно, что своевременное обнаружение и лечение инфицированных машин является важной частью стратегии по улучшению компьютерной безопасности и защите ключевых инфраструктур.

Борьба с киберпреступностью заключается в поиске наиболее эффективных способов для решения этой задачи. В течение многих лет правительства, IT-индустрия и заинтересованные группы людей участвовали в многочисленных мероприятиях, призванных помочь потребителям в управлении рисками по безопасности. К примеру, проводилось обучение пользователей о наиболее распространенных угрозах и о том, как их предотвратить или смягчить последствия после их возникновения. Давались советы по установке файерволов, антивирусных средств и обновлений. Разрабатывались инструменты по автоматическому сканированию устройств, обновлению программ, пополнению баз вирусных сигнатур и удалению вредоносных программ в случае их обнаружения. Однако какими бы полезными не были эти средства, их создание не предотвратило появление новых ботнетов. Многие пользователи не следуют советам экспертов и совершают действия, нарушающие безопасность, например, скачиваю файлы из неизвестных источников. Это приводит появлению большого количества инфицированных машин. Кроме того, даже продвинутые пользователи сталкиваются с хорошо финансируемыми и технически более грамотными злоумышленниками, чья цель – увеличить как количество, так и разнообразие подконтрольных устройств. Что ни говори, решение этих проблем является сложной задачей, и нам нужно постоянно улучшать процесс по оздоровлению IT-экосистемы. Попросту говоря, необходимо защитить компьютеры потребителей, которые подключены к Интернету. Это будет полезно не только самим пользователям, но и IT-экосистеме в целом.

Для решения этой задачи правительствам, IT-индустрии и Интернет-провайдерам, перед предоставлением доступа к сети, следует убедиться, что состояние «здоровья» подключаемого устройства должно соответствовать определенным критериям. Состояние «здоровья» можно определить, используя два взаимодополняющих подхода:

  1. Усиление мер по выявлению зараженных устройств 
  2. Улучшение методов по наглядной демонстрации текущего состояния устройства

Усиление мер по идентификации инфицированных устройств включает в себя анализ и совместное использование данных из sinkhole-серверов, сетевого трафика и телеметрии. Если выясняется, что устройство представляет опасность для Интернета, об этом следует оповестить пользователя и провести зачистку компьютера перед подключением к сети, тем самым минимизируя риск заражения других машин или совершения других незаконных деяний. В большинстве случаев эта задача может быть решена уже сейчас с использованием современных технологий в рамках различных систем и платформ. Известно, что сейчас, по крайней мере, один провайдер пробует применить подобный подход [13]. Мы считаем, что нужно переходить от точечного применения таких методов к более систематическому или даже предпринять попытку их внедрения в глобальном масштабе.

Улучшение методов по наглядной демонстрации текущего состояния «здоровья» устройства можно осуществить, предоставляя доступ к ресурсам на основе состояния устройства; схожим образом работает технология Network Access Protection (NAP) внутри сети предприятий. Чтобы внедрить такую архитектуру в глобальном масштабе (т.е. заточить под нее компьютеры рядовых пользователей), нужно совершить четыре шага.

Во-первых, нам нужен механизм, который будет демонстрировать хорошее состояние «здоровья» устройства (т.е. способ получения, так называемого, сертификата о состоянии «здоровья») и при этом, не делая системы более уязвимыми и менее надежными или предоставляя дополнительный канал для утечки конфиденциальной информации.

Во-вторых, этот механизм должен быть достоверным (т.е. инфицированные устройства не должны иметь возможность подделать такой сертификат) [14]. Сочетание достоверного программного обеспечения (например, гипервизора) и аппаратных элементов, таких как Trusted Platform Module (TPM) позволило бы создание на пользовательских устройствах достоверных сертификатов и в тоже время сохранить целостность информации [15].

В-третьих, Интернет-провайдеры и другие организации должны иметь возможность запросить информации и принимать соответствующие меры на основе полученной информации.

В-четвертых, нужно создать регламенты, которые будут гарантировать эффективность этой модели.

Согласно этой модели, у компьютера потребителя, который пытается подключиться к Интернету, следует запросить сертификат о состояния «здоровья» для выяснения текущего состояния системы. Хотя проверяемые параметры могут изменяться с течением времени, опыт показывает, что такие проверки гарантируют наличие последних обновлений на компьютере, запущенный и корректно настроенный файервол, наличие свежих антивирусных баз и отсутствие известных вредоносных программ [16].

Если сертификат о состоянии «здоровья» показывает наличие проблем на компьютере, то в зависимости от их тяжести возможно несколько вариантов развития событий. Например, если выявлена проблема безопасности (не установлен патч или устарели антивирусные базы), то организация (к примеру, Интернет-провайдер), запросившая сертификат, может проинформировать пользователя об этом и помочь ему исправить проблему безопасности или перенаправить на сервер обновления вирусных сигнатур.

Если проблема более серьезная (например, компьютер генерирует вредоносный трафик) или пользователь отказывается предоставить сертификат, могут быть уместны более жесткие меры (например, ограничение канала для потенциально инфицированной машины). По мере того, как устройства становятся все более функциональными (например, компьютер может использоваться для голосовой связи посредством протокола VOIP (Voice over Internet Protocol)), полный запрет на доступ в Интернет даже на короткий период может иметь катастрофические последствия.

Скажем, пользователь может использовать компьютер для связи с аварийными службами, и если из-за плохого сертификата доступ к этим службам будем запрещен, само собой, это вызовет справедливое общественное недовольство. Тут можно привести пример с мобильным телефоном, когда он требует ввода пароля, но даже при его отсутствии есть возможность позвонить в службы экстренной помощи. Такой же подход можно применить и к компьютерам, когда у инфицированных машин есть доступ к определенным ресурсам.

Модель сертификатов о состоянии «здоровья» дает еще два преимущества:

  1. Использовать такие сертификаты могут не только при подключении к Интернету, но в других областях, где важно знать о текущем «состоянии здоровья» компьютера (например, при подключении к банку).
  2. Сертификат может быть привязан к конкретной машине, что делает более эффективным процесс решения проблем с безопасностью. К примеру, домашняя сеть состоит из нескольких устройств, и провайдер, обнаружив подозрительный трафик, исходящий от сети, не может точно определить, какая машина заражена. С введением сертификатов, становится возможным выявлений конкретного устройства, у которого есть проблемы с безопасностью и, соответственно, более эффективное и быстрое решение вопросов.

Построение жизнеспособной модели, которая учитывает безопасность и конфиденциальность

Пока во многих государствах активно обсуждается политика кибербезопасности и соответствующие законодательные инициативы, существует хорошая возможность продвинуть вышеописанную модель в массы. Важной частью этой дискуссии является построение социально приемлемой и финансово устойчивой модели.

Преимущества безопасности от внедрения такой модели очевидны, однако при этом не должна возникать угроза для частной жизни или, говоря другими словами, угроза свободе слова или свободе объединения. Первый важный шаг – убеждение пользователей в том, что они полностью контролируют процесс сертификации (и понимают последствия отказа от обнародования состояния «здоровья» своих компьютеров).

Также важно решить, какую информацию будут содержать такие сертификаты, просто состояние системы, или более подробную информацию об устройстве и, возможно, о пользователе. Конечно, доступ к Интернету можно запретить, владея лишь некоторые параметрами состояния «здоровья», и не прибегать к более полной идентификации машины (и пользователя). С другой стороны, полная информация поможет определить конкретный компьютер, если паразитный трафик исходит от домашней сети. Такое, конечно, невозможно без получения дополнительной информации об устройстве и о пользователе (сродни мобильным телефонам, на которых содержится уникальная информация, привязанная к данным его хозяина).

Что касается «системы здравоохранения», то невозможно решить, стоит ли проводить полную идентификацию определенных устройств и их владельцев. Однако важно отметить, что тщательно продуманная архитектура системы, которая учитывает вопросы конфиденциальности данных, наряду с хорошо выстроенными моделями угроз, которые учитывают возможные злоупотребления «системой здравоохранения», сможет гарантировать, что технические и нетехнические проверки смягчат социальное недовольство и, соответственно, будет учитывать интересы всех сторон.

Но даже когда сертификат о состоянии «здоровья» не раскрывает конфиденциальные данные, общество все равно необходимо убедить в обоснованности такого подхода. Отчасти, это можно сделать, рассказав о том, какие именно данные содержатся в сертификате, и какие могут быть последствия в случае, если компьютер не защищен должным образом. Далее все эти условия можно прописать в договоре на предоставление услуг. Однако правительства все равно могут хотеть контролировать механизм сертификации для гарантии того, что собираемая информация не используется в других целях (например, для защиты прав интеллектуальной собственности или маркетинговых исследований). Ограничения сферы применения этого механизма уменьшило бы опасения о том, что борьба за оздоровление Интернета прикрывает другие действия, которые не относятся к безопасности Интернета.

Далее можно сделать процесс сертификации еще прозрачнее, позволив сторонним организациям проводить независимый аудит технологии создания и проверки сертификатов, чтобы гарантировать применение этих технологий по назначению. Проект European Privacy Seal (EuroPriSe) как раз является примером независимой процедуры сертификации [17].

Независимо от того, как регламентируется процесс сертификации (заключением договора или контролем со стороны государства), пользователи, для которых наложены ограничения на доступ к Интернету, могут продолжать возмущаться, мотивируя это тем, что любые запреты оскорбительны. Наглядный тому пример – отношение многих государств к проблеме курения. Людям позволено курить, несмотря на прямой вред здоровью самих курильщиков и косвенное отрицательное влияние на окружающих. Из этого как бы должно следовать, что люди могут совершать определенные саморазрушительные поступки. Однако когда агентство по охране окружающей среды установило опасность пассивного курения, во многих общественных местах тут же было запрещено курить. Основным аргументом было то, что человек может подвергать опасности свое здоровье, но не имеет права наносить вред окружающим.

Можно сказать, компьютерная безопасность в чем-то схожа с борьбой с курением. В течение многих лет потребителям говорили о том, как важно устанавливать последние обновления для операционной системы, пользоваться антивирусом и делать резервные копии важных данных. Также (как и курильщиков) пользователей предупреждали, что если не следовать советам экспертов, компьютер подвергается большому риску, но, в конечном счете, они сами выбирают подвергать себя этому риску или нет.

Однако с появлением ботнетов пользователь подвергает риску не только себя, но и других. Хотя, надо признать, что в отличие от курильщиков, компьютеры не находятся в общественных местах, в основном пользователи работают из дома. Но надо когда речь идет об Интернете, его потребители используют совместные ресурсы, которые нужно обезопасить, включая защиту ключевых инфраструктур.

Также существует взаимосвязь между моделью общественного здравоохранения и владением ситуацией. Информация, полученная во время исследования состояния «здоровья» может быть слишком ценна для тех, кто заинтересован в поддержке безопасности в Интернете. Нужно решить, можно ли предоставлять эти данные третьи лицам, например, государству, разработчикам новых технологий и Интернет-провайдерам и если предоставлять, то на каких условиях.

Аналогично, информация об угрозах и уязвимостях, полученная из других источников (в качестве примера опять же можно взять правительство, разработчиков новых технологий и т. д.) может стать критически важной для защиты сети. Нужно решить, следует ли делиться этой информацией с Интернет-провайдерами и другими организациями, которые запрашивают сертификаты «здоровья», чтобы они могли более эффективно защищать свои сети.

Очевидно, что вредоносы распространяются гораздо быстрее, чем люди могут среагировать на атаку, и скорость обмена информацией об уязвимостях и угрозах становится все более критичной. Не менее важным является автоматизация процесса обнаружения и противодействия новым угрозам. Сегодня не происходит обмена подобной информацией по целому ряду причин, которые хорошо задокументированы консультативными комиссиями и комитетами. Сейчас эти проблемы разрешаются медленно и неэффективно. Но политикам нужно понять, что возможность быстрого обмена информацией о состоянии компьютера является ключевым фактором эффективной работы модели здравоохранения сети, также как и обмен информацией о состоянии здоровья людей во время вспышки атипичной пневмонии или птичьего гриппа.

Наконец, общество должно обратить особое внимание на стоимость обеспечения оздоровления Интернета. В отчете «Безопасность Киберпространства для 44-й Администрации президента» [18] комиссия Центра стратегических и международных исследований установила, что частно-государственное партнерство нуждается в модернизации и повышении эффективности, подчеркнув необходимость более оперативного взаимодействия. В докладе говорится, что роли индустрии и государства должны дополнять друг друга. В частности, там есть такие строки:

Индустрия и государство должны определить текущий уровень безопасности, который может обеспечить рынок. Новые регламенты помогут заполнить пробел между рыночным предложением и потребностями государства в национальной безопасности. Государственные возможности обширны и гибки, включая политическое влияние и экономические стимулы, которые укрепят или придут на смену регулированию [19].

Определить необходимый уровень безопасности в условиях быстрого развития инфраструктуры – непростая задача, однако по мере того как страны планируют и развертывают широкополосные сети, существует хорошая возможность помочь пользователям в достижении нужного уровня безопасности. Если опыт Интернет-провайдеров по предоставлению сервисов связанных с оздоровлением устройств будет успешен (уменьшение количества инфицированных машин снизит расходы на содержание сети или потребители согласятся платить за подобные сервисы), тогда «рыночных сил» будет достаточно для внедрения этой модели. Если рыночных возможностей окажется недостаточно, тогда в этот процесс следует вмешаться государству, чтобы гарантировать экономическую жизнеспособность модели.

Общие принципы для успешного внедрения модели

Следующие тезисы, учитывающие как безопасность, так и конфиденциальность, отражают основные концепции, изложенные в этом документе. Это поможет влиятельным заинтересованным лицам при внедрении модели по оздоровлению Интернета.
  • Риск, которому в настоящее время подвергают ботнеты пользователей Интернета и ключевые инфраструктуры, должен быть устранен.
  •  Коллективная защита может помочь в улучшении безопасности пользовательских устройств и защитить от киберугроз. 
  • Общественная модель здравоохранения защитит рядовых пользователей и усилит безопасность в Интернете в целом.
  • Добровольцы и «мотивация рынка» является наиболее предпочтительной силой для внедрения модели. Но если этого окажется недостаточно, государствам следует оказать содействие в успешном развитии этих концепций.
  • При исследовании состояния «здоровья» устройств следует учитывать вопросы конфиденциальности информации. Иначе говоря, анализ состояния «здоровья» не одно и то же, что анализ контента, а исследование трафика не одно и то же, что идентификация пользователя; пользователей следует защищать такими методами, которые не ставят под угрозу свободу слова и свободу объединения.

Как отмечалось ранее, в некоторых странах уже существуют проекты и инициативы, которые направлены на борьбу с распространением вредоносных программ в Интернете. Однако какими бы полезными не были эти проекты, они слишком разрозненны. Намного более эффективным была бы координация действий. Участникам сетевой экосистемы, в том числе представителям IT-индустрии, Интернет-провайдерам и правительствам необходимо способствовать развитию коллективной защиты. Это можно сделать усилением мер по выявлению инфицированных устройств и улучшение методов по демонстрации состояния «здоровья» компьютеров. Состояние «здоровья» устройства, отчасти, можно улучшить, предприняв три шага:

  1. Гарантировать достоверность сертификатов «здоровья».
  2. Развития инфраструктуры, которая позволит Интернет-провайдерам и другим заинтересованным сторонам анализировать полученную информацию и в зависимости от состояния устройства предпринимать соответствующие меры.
  3. Создание регламентов, которые стимулируют использование сертификатов «здоровья», а также способствуют быстрому обмену информацией при появлении новых киберугроз.

Совместно мы можем предпринять действия, которые улучшат безопасность в Интернете внутри всей компьютерной экосистемы. При поддержке государства и IT-индустрии мы сможем выявить, что работает, а что нет, затем задокументировать это, что будет способствовать более активным и эффективным индивидуальным действиям и развитию общества в целом. Также мы можем начать работу в рамках международных органов для стандартизации той информации, содержащейся на компьютере пользователя, которой можно обмениваться и способами ее обмена с надлежащим уровнем безопасности и конфиденциальности.

По мере развития мы можем продолжать совершенствовать эту модель. Мы должны заниматься исследованиями и разработками, которые устранят барьеры, снизят затраты и будут стимулировать действия, о которых было рассказано выше. И, наконец, мы можем выступать за нужные политические и законодательные реформы и в конечно счете прийти к тому, когда коллективная защита и контроль за состоянием «здоровья» компьютеров рядовых пользователей станет реальностью.

Вывод

Скорость роста информационного общества, изощренность угроз для конечных пользователей и возможные последствия от использования инфицированных машин при атаке на ключевые инфраструктуры, требует внедрения новых механизмов защиты и совместных действий со стороны Интернет-пользователей. Мы не в состоянии заставить рядовых потребителей стать экспертами по безопасности, однако мы можем исследовать, как общественная модель здравоохранения информирует пользователя о симптомах болезни и сроках начала лечения. После этого мы сможем разработать рабочие концепции, которые можно применить для оздоровления Интернета.

Само собой, общественная модель здравоохранения несовершенна, однако это не столь важно. Даже в случае различий физического мира и киберпространства из нее можно перенять полезные механизмы. К примеру, медицинская система более распространена; медработников (врачей, нянь и фармацевтов) намного больше, чем Интернет-провайдеров. Таким образом, IT-профессионалы могут выявлять ключевые тенденции более быстро. И, несмотря на то, что компьютерные вирусы распространяются быстрее человеческих, автоматизация поможет вакцинировать компьютеры также более быстро, чем в случае с людьми. Правительства и представители индустрии, исследовав сходства и различия между реальным и кибермиром, могут разработать новые механизмы отражения угроз.

За более подробной информацией обращайтесь к www.microsoft.com/security/internethealth

Приложение А

В ходе работы над этой статьей, я показывал свои черновики многим людям, много общался и получил массу полезных замечаний. Некоторые руководители команд предоставляли общее мнение своих коллективов, так что список рецензентов будет неполным. В других случаях, я показывал эту концепцию на разных мероприятиях и получил полезные комментарии в ходе кулуарных бесед. Заранее извиняюсь, если я забыл кого-либо упомянуть.

Я хочу поблагодарить всех людей так или иначе связанных с компанией Microsoft, которые вдумчиво комментировали и предлагали идеи, существенно улучшившие этот документ (список неполный): Жюль Коэн (Jules Cohen), Джеффри Фридберг (Jeffrey Friedberg), Кристин Гудвин (Cristin Goodwin), Джефф Джонс (Jeff Jones), Анжела Маккей (Angela McKay), Мэтт Томлинсон (Matt Thomlinson), Джон Манферделли (John Manferdelli), Крейг Манди (Craig Mundie), Пол Николас (Paul Nicholas), Кевин Салливан (Kevin Sullivan) и членов научно-консультативного совета Trustworthy Computing.

Ссылки

[1] Internet World Stats, Usage and Population Statistics. Miniwatts Marketing Group. October 1, 2010 http://www.internetworldstats.com/stats.htm.

[2] Research and Markets. Research and Markets. October 1, 2010 http://www.researchandmarkets.com/research/f0e7ce/global_key_telec.

[3] International Telecommunications Union. ITU External Affairs and Corporate Communication Division. October 1, 2010 http://www.itu.int/newsroom/press_releases/2008/29.html and http://www.itu.int/net/itunews/issues/2010/03/09.aspx.

[4] Потребители и представители малого бизнеса схожи в том смысле, что они менее всего защищены от киберугроз и у них отсутствуют в штате люди, которые проводят экспертизу безопасности систем. Далее в этом документе термин «потребитель» означает и потребителей и представителей малого бизнеса.

[5] Более детальное описание проблемы см. в предыдущей работе автора, Скота Чарни. Rethinking the Cyber Threat – A Framework and Path Forward May 2010, которая доступна в Microsoft Download Center. Microsoft Corporation. October 1, 2010 http://www.microsoft.com/downloads/en/details.aspx?FamilyID=062754cc-be0e-4bab-a181-077447f66877&displaylang=en. Первоначально в статье было отражено шесть причин, однако далее стало понятно, что «скорость атаки» является еще одной проблемой, которая затрудняет противодействие киберугрозам.

[6] «Активная защита» - такая защита, когда происходит активное противодействие угрозе. Некоторые правительственные учреждения все чаще противодействуют злоумышленника в режиме реального времени с целью минимизировать убытки и повысить устойчивость работы предприятия. Тем не менее, границы «активной защиты» до сих пор остаются размытыми. Если простая фильтрация пакетов не может повредить кому-либо, то можно предположить, что найдутся такие методы, когда нападающему будет причинен более существенный вред. Например, в реальном мире при активной защите могут сбиваться ракеты, прежде чем они достигнут цели, или самолеты (вместе с пилотами).

[7] International Telecommunications Union. ITU BDT Support. October 1, 2010 http://www.itu.int/ITU-D/cyb/cybersecurity/projects/botnet.html.

[8] Cyber Clean Center. Cyber Clean Center. October 1, 2010 https://www.ccc.go.jp/en_index.html.

[9] Signal Spam. Monsieur Jean-Christophe Le Toquin. Signal Spam. October 1, 2010 http://www.signalspam.fr.

[10] CERT-Fi. CERT-FI. October 1, 2010 http://www.cert.fi/en/reports/statistics/autoreporter.html.

[11] The Official Microsoft Blog. 8 September 2010. Microsoft Corporation. October 1, 2010 http://blogs.technet.com/b/microsoft_blog/archive/2010/09/08/r-i-p-waledac-undoing-the-damage-of-a-botnet.aspx.

[12] На международном уровне Всемирная организация здравоохранения отслеживает ситуации распространения инфекционных заболеваний. При этом если необходимо, оповещает об этом, обнародует результаты экспертизы и предпринимает действия, направленные на защиту населения от последствий эпидемии, независимо от ее происхождения. См. World Health Organization. October 1, 2010 http://www.who.int/csr/alertresponse/en/. Отдельные страны используют эту систему и могут потребовать принятия определенных мер для лечения человека. В США, за это отвечают Центры по контролю за заболеваниями, учреждения при правительстве США. См. Centers for Disease Control and Prevention. October 1, 2010 http://emergency.cdc.gov/preparedness/quarantine/.

[13] See PCMAG.COM. October 8, 2009. Ziff Davis, Inc., October 1, 2010 http://www.pcmag.com/article2/0,2817,2354001,00.asp>. and CNET. September 30, 2010. CBS Interactive. October 1, 2010 [14] Чтобы механизм «сертификатов здоровья» был эффективен их нужно формировать при помощи достоверного программного и аппаратного обеспечения, а также защитить их от подмены на стороне пользователя. Более подробно о достоверных механизмах читайте в предыдущей работе автора, Скота Чарни Establishing End to End Trust, available at End to End Trust. Microsoft Corporation. October 1, 2010 http://www.microsoft.com/mscorp/twc/endtoendtrust/.

[15] В долгосрочной перспективе для гарантирования достоверности «сертификатов о состоянии здоровья» может потребоваться виртуальная машина или маленький гипервизор, который потребитель сможет использоваться для подтверждения текущего состояния устройства. В сочетании с модулем TMP гипервизор гарантирует, что программное обеспечение, проверяющее систему, не будет модифицировано и сможет получить всю необходимую информацию даже в том случае, если в системе установлена вредоносная программа с административными правами доступа. В данный момент подцепить вредоноса очень просто, иногда для этого достаточно лишь открыть веб-страницу. Также гипервизор и проверка «состояния здоровья» смогут гарантировать, что пользователь защищен и система находится полностью под его контролем. Кроме того, эта система сможет предотвратить вмешательство вредоноса в работу программного обеспечения (банковское ПО, систему обновлений) или кражу пользовательской информации.

[16] Само собой, возможности по выявления вредоносов или аномального поведения устройства ограничены. Отчасти, риск можно сократить путем идентификации вредоносных программ по известным сигнатурам, но это в свою очередь снизит эффективность системы. Следует тщательно проанализировать различные варианты, но даже проверка на присутствие известных вредоносов даст значительные преимущества.

[17] The EuroPriSe European Privacy Seal for IT Products and IT-Based Services. Unabhaengiges Landeszentrum fuer Datenschutz Schleswig-Holstein (ULD). October 1, 2010 https://www.european-privacy-seal.eu/about-europrise/fact-sheet.

[18] Center for Strategic and International Studies. Center for Strategic and International Studies. October 1, 2010 http://csis.org/publication/securing-cyberspace-44th-presidency. The author of this paper is a co-chair of the CSIS Commission.

[19] Id. 50-51.

Устали от того, что Интернет знает о вас все?

Присоединяйтесь к нам и станьте невидимыми!