Logo Море(!) аналитической информации!
IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware
VPS/VDS серверы. 30 локаций на выбор

Серверы VPS/VDS с большим диском

Хорошие условия для реселлеров

4VPS.SU - VPS в 17-ти странах

2Gbit/s безлимит

Современное железо!

Бесплатный конструктор сайтов и Landing Page

Хостинг с DDoS защитой от 2.5$ + Бесплатный SSL и Домен

SSD VPS в Нидерландах под различные задачи от 2.6$

✅ Дешевый VPS-хостинг на AMD EPYC: 1vCore, 3GB DDR4, 15GB NVMe всего за €3,50!

🔥 Anti-DDoS защита 12 Тбит/с!

2004 г.

Почему не существует абсолютной защиты?


Алексей Лукацкий, Научно-инженерное предприятие "Информзащита"
Опубликовано в "PCWeek/RE", N38, 2003

Роясь недавно в базе публикаций по информационной безопасности, я наткнулся на целый ряд статей разных авторов, посвященных такой непростой задаче, как доказательство возможности создания абсолютно защищенной системы. И это несмотря на общепризнанный факт того, что такую систему создать невозможно. Мало того. Многие компании даже создают системы, называемые "абсолютно защищенными". Как правило, такие заявления делаются фирмами, занимающимися криптографической защитой. Например, компания Meganet, создавшая Virtual Matrix Encryption, или TriStrata Securities. Однако и в области не криптографии регулярно всплывают фирмочки, заявляющие о революции в области информационной безопасности и создании абсолютно защищенной системы. Например, компания AppShield, выпустившая одноименное устройство и даже гарантирующая возврат денег, если ее систему взломают (как тут не вспомнить рекламу мужского дезодоранта OldSpice, обещающего схожие гарантии).

Но это все небольшие компании, которые, выйдя на уже поделенный рынок, пытаются привлечь к себе внимание любыми способами. А что же крупные и известные игроки этого рынка? И здесь есть свои герои. Например, такой гранд в области информационной безопасности, как Symantec, проводила в июле этого года семинар с претенциозным названием: "Абсолютная защита корпоративной сети предприятия на основе интегрированных решений Symantec".

Может быть специалисты Symantec знают что-то такое, что действительно позволяет им создавать абсолютно неприступную систему обороны информационных систем любой компании. "А почему, собственно, абсолютной защиты не существует?", - спросил я себя и попытался найти доказательство этого общепризнанного факта.

В качестве примера для рассуждения возьмем обычную сеть (аналогичные рассуждения применимы к любой системе или объекту), существующую практически у любой компании. Если говорить человеческим языком, то вероятность взлома такой сети внешним хакером или внутренним злоумышленником зависит от трех параметров. Первым параметром является надежность средств, защищающих сеть, или иными словами, вероятность их взлома или обхода. Таких средств может быть несколько - системы обнаружения атак, антивирусные системы, системы контроля содержимого и т.д., а может быть и так, что линия обороны состоит только из единственного межсетевого экрана.

Данный параметр никогда не будет равен максимальному значению - единице. Связано это с тем, что, к сожалению, не существует абсолютно надежных систем, которые лишены ошибок и уязвимостей. Ведь людям, создающим эти системы, свойственно ошибаться и эти ошибки могут стоить очень дорого, что уже не раз демонстрировала история. Однако и нулю этот параметр равен быть не может, т.к., хоть какой-то, но уровень защиты эти средства обеспечивают (а иначе, зачем они нужны?).

Второй параметр, влияющий на защищенность сети, - это уже не качество реализации, а качество настройки и конфигурации системы защиты. Этот параметр также зависит от человеческого фактора, но т.к. число возможных настроек несоизмеримо меньше числа строк программного кода в системе, то его максимальное значение, единица, может быть достигнуто. По умолчанию, этот параметр нулю не равен, т.к. обычно система защиты как-никак, а настроена (пусть и не самым лучшим образом).

И, наконец, третий параметр - быстрота реагирования на атаки злоумышленников не только со стороны автоматизированных средств защиты, но и со стороны специалистов, отвечающих в компании за безопасность. Даже пропущенная периметровыми защитными системами атака может быть вовремя замечена расторопным администратором, который успеет предотвратить ее разрушительные воздействия. Этот вероятностный параметр, как и предыдущий, может быть равен единице.

Обратившись к следствию из известной теоремы умножения вероятностей получаем, что вероятность защиты от взлома или обхода защитной системы никогда не будет равна единице, т.е. создать абсолютно защищенную систему невозможно в принципе.

Из этого вывода можно вывести и несколько интересных следствий. Во-первых, абсолютно защищенную сеть создать невозможно до тех пор, пока вероятность взлома системы защиты не достигнет нулевого значения (и наоборот - пока надежность защиты не достигнет единицы). А это возможно только в том случае, если устранить из процесса создания защитного средства или механизма (как и из создания системы вообще) человеческий фактор, являющийся главной причиной всех ошибок. Очевидно, что на современном этапе развития науки и информационных технологий это невозможно.

Во-вторых, надежность даже суперзащищенной системы быть сведена "на нет" некачественной или неграмотной настройкой (т.е. если второй описываемый выше параметр не равен единице). Т.е. любая система требует квалифицированного персонала, не только знающего, но и умеющего грамотно настраивать средства защиты. Это лишний раз доказывает необходимость обучения. Можно привести хорошую аналогию. Если на двери стоит серьезный замок фирмы MOTTURA или MULT-T-LOCK, но вы просто не заперли замок или забыли в нем ключ, то о какой защите может идти речь?

В-третьих, несвоевременное реагирование (или его отсутствие) на попытки проникновения в корпоративную сеть также делают ее незащищенной.

В заключение хочу лишний раз повторить, что абсолютной защиты не существует, чтобы вам не рассказывали продавцы межсетевых экранов, антивирусов и т.п. защитных систем. В любой ситуации всегда присутствует человеческий фактор, который и вносит в такую стройную на бумаге картину всевозможные проблемы, нарушающие с таким трудом найденный паритет между обороной и нападением.

VPS в России, Европе и США

Бесплатная поддержка и администрирование

Оплата российскими и международными картами

🔥 VPS до 5.7 ГГц под любые задачи с AntiDDoS в 7 локациях

💸 Гифткод CITFORUM (250р на баланс) и попробуйте уже сейчас!

🛒 Скидка 15% на первый платеж (в течение 24ч)

Скидка до 20% на услуги дата-центра. Аренда серверной стойки. Colocation от 1U!

Миграция в облако #SotelCloud. Виртуальный сервер в облаке. Выбрать конфигурацию на сайте!

Виртуальная АТС для вашего бизнеса. Приветственные бонусы для новых клиентов!

Виртуальные VPS серверы в РФ и ЕС

Dedicated серверы в РФ и ЕС

По промокоду CITFORUM скидка 30% на заказ VPS\VDS

Новости мира IT:

Архив новостей

IT-консалтинг Software Engineering Программирование СУБД Безопасность Internet Сети Операционные системы Hardware

Информация для рекламодателей PR-акции, размещение рекламы — adv@citforum.ru,
тел. +7 495 7861149
Пресс-релизы — pr@citforum.ru
Обратная связь
Информация для авторов
Rambler's Top100 TopList This Web server launched on February 24, 1997
Copyright © 1997-2000 CIT, © 2001-2019 CIT Forum
Внимание! Любой из материалов, опубликованных на этом сервере, не может быть воспроизведен в какой бы то ни было форме и какими бы то ни было средствами без письменного разрешения владельцев авторских прав. Подробнее...