Омерт@. Учебник по информационной безопасности для больших боссов

Что толку, если ты потратил кучу денег на хороший сервер, который стоит в наглухо закрытом помещении, но доступ к важным документам на сервере или вообще не закрыт, или закрыт паролем, который знает весь офис? Никакого толка в этом нет! Поэтому от каждого пользователя в обязательном порядке нужно требовать создания и запоминания его собственного пароля, который подчиняется всем тем рекомендациям, приведённым в соответствующей главе этой книги. Причем, что интересно, это всё можно сделать на программном уровне – с помощью операционной системы.

Именно это и называется администраторской политикой пользователей и политикой паролей этих пользователей! Админ может много чего заставить делать пользователей, причем заставить так, что они не отвертятся, ибо в противном случае вообще не получат доступа к серверу и не смогут работать...

Вот эти средства:

1.       Ограничение максимального срока действия пароля

Очень интересная возможность. Если задать, например, 30 дней, то ровно через тридцать дней сервер от каждого пользователя (или определенной группы пользователей) потребует поменять пароль. Причём пользователь об этом будет предупрежден заранее, чтобы, так сказать, иметь возможность морально подготовиться к подобному непростому действу.

2.       Ограничение минимальной длины пароля

Как мы уже говорили, если задавать пароль в 2-3 символа – так лучше его вообще не задавать, чтобы не позориться. Пароль должен быть не менее 5-6 символов, и от пользователей нужно этого требовать неукоснительно. Ну так и нет проблем! Сервер (а точнее политика паролей) может отказаться принимать у пользователей пароли менее заранее заданного числа символов (пускай будет 5 – это по-божески).

3.       Неповторяемость паролей

Хитрый пользователь может придумать два пароля – «Серёжа» и «Наташа», - после чего и будет менять один на другой. Конечно, такая комбинация будет довольно легка для запоминания, однако с точки зрения безопасности – это полное безобразие. Но если в политике паролей задать неповторяемость – второй «Серёжа» и вторая «Наташа» не пройдут, однозначно, так что пользователю придется всё-таки напрячь фантазию.

4.       Проверка на соответствие требованиям сложности

Часть из того, о чем я говорил в разделе, посвящённом паролям, можно заставить проверять сам сервер. Если включить дополнительную проверку на соответствие пароля требованиям сложности, сервер уже не разрешит вводить никаких «Серёж» или «Наташ», а заставит пользователя при вводе пароля выполнить мои рекомендации: использование различных регистров (прописные и строчные буквы), десятичных цифр и символов, не принадлежащих алфавитно-цифровому набору. Пользователи при этом, конечно, скажут много-много горьких, а иногда даже нецензурных слов, но их пароли будут соответствовать хоть каким-то требованиям безопасности.

Другой вопрос – как добиться от пользователей, чтобы они не писали пароль у себя на лбу или на стикере, прилепленном к монитору, но этому будет посвящена отдельная глава.

Программа защиты и реабилитации свидетелей

Теперь, когда у тебя все данные (надеюсь) лежат на сервере, возникает другой вопрос: как защитить сам сервер. Мы всю информацию доверили одному компьютеру (путь даже вполне продвинутому и надёжному), но если различные существа с лёгкостью получат к нему доступ – грош цена всей нашей тщательно разработанной системе, правильно? Оно, конечно, без знания администраторского пароля доступ к данным они просто так не получат, но и админ может какнуть в родное гнездо, продав пароль, и без этого пароля всё-таки можно влезть в компьютер, как это ни печально звучит.