Согласно данным, опубликованным в январе исследовательской фирмой TeleGeography, на долю Skype, самого популярного сейчас программного обеспечения, с помощью которого компьютерные пользователи могут выполнять звонки по Интернету, приходится 12% всех междугородных и международных звонков. Утверждается, что число пользователей сервиса в 2009 году превысило полмиллиарда, а в 2010-м компания выходит на новый рынок.

До недавних пор это решение IP-телефонии было популярным главным образом среди индивидуальных пользователей. Но в 2009 году Skype выпустила сервис Skype for SIP, который позволяет одноранговым клиентам IP-телефонии взаимодействовать с офисными IP-УАТС и предназначен для небольших организаций, стремящихся снизить расходы за счет IP-телефонии. Внутреннее бета-тестирование Skype for SIP (его также называют Skype for Business) было проведено в первой половине прошлого года, а общедоступная бета-версия появилась в конце 2009 года.

Как заметил Майкл Гоф, специалист по информационной безопасности, несмотря на то что многие крупные компании далеко не первый год используют IP-телефонию, системы такого рода, как правило, применяются в корпоративных средах иначе, чем Skype. Гоф, владелец сайта skypetips.com и автор Skype Me! From Single User to Small Enterprise and Beyond, ответил на вопросы корреспондента CSO Magazine.

- Интерес к Skype со стороны бизнес-пользователей возник с появлением Skype for SIP. Во многих ли компаниях он используется сейчас?

Преимущественно его по-прежнему используют индивидуальные пользователи, но многие предприятия малого и среднего бизнеса стремятся с помощью Skype уменьшить некоторые статьи расходов. Еще одна популярная сфера применения – это передача на аутсорсинг ряда функций, таких как служба поддержки, или взаимодействие с сотрудниками, работающими внештатно, и оказание им технической помощи в нерабочее время.

- Есть ли какие-то особенности, уникальные для Skype по сравнению с другими решениями IP-телефонии, в части обеспечения безопасности?

В любой организации, если вы собираетесь устанавливать то или иное программное обеспечение на компьютер конечного пользователя, вы должны брать управление на себя. Вы должны установить правила, которые определяют, что вы собираетесь делать или намерены позволить делать с помощью любой программы. Каждое предприятие сталкивается с задачей контроля распространения Skype в его ИТ-среде. Если вы системный администратор компании и намереваетесь установить эту программу, то надо иметь в виду, что в этом случае сотрудники получат возможность обмениваться SMS-сообщениями или вести разговоры, которые кодируются, а компания будет не в состоянии вести мониторинг таких коммуникаций. Это, безусловно, серьезная проблема.

Первое, что необходимо сделать ИТ-администратору, – выяснить, как он должен действовать. Например, нужно ли ему перехватывать трафик, связанный с мгновенными сообщениями. Предположим, что в компании есть сотрудники, торгующие акциями или чем-то подобным, тогда нельзя использовать решение для обмена мгновенными сообщениями (которое содержит Skype), поскольку такие коммуникации невозможно отследить. Между тем все такие контакты должны фиксироваться: все необходимо регистрировать и распечатывать.

- DDoS-атака возможна на различных уровнях системы IP-телефонии. Как можно с помощью Skype организовать что-то подобное атаке, направленной на отказ в обслуживании?

К счастью для большинства компаний, использующих Skype, они передают трафик через порт 80 или другие обычные для работы в Web порты. Но пользователи Skype могут во время своих сессий не только говорить, но и работать с видео и передавать мгновенные сообщения. Теоретически можно передать сообщение какой-либо системы мгновенных сообщений на клиент, пользователь может щелкнуть по этому сообщению и тем самым спровоцировать сбой на компьютере или инфицировать его. Но эта проблема существовала всегда. И возможно такое не только в Skype. Существует ли что-то в Интернете, связанное со Skype, на что можно организовать атаку и вызвать сбой на компьютере? Нет. В самом деле, вашему клиенту ничего не известно ни о какой инфраструктуре.

Что происходит, когда кто-то хочет кому-то позвонить? Вам нужно указать, кому вы звоните, щелкнуть на соответствующую запись, после чего вызов будет передан в инфраструктуру Skype, который отправляет пакеты соответствующему адресату. Составляющие Skype системы рассредоточены по всему миру, и нет никакого единой точки, куда может проникнуть хакер. Так что с этой точки зрения никакой серьезной опасности не существует.

- А что можно сказать по поводу подслушивания?

У Skype есть уникальная особенность, которой не обладают большинство систем IP-телефонии. Многие компании не шифруют трафик IP-телефонии, что открывает широкие возможности для злоупотреблений. Существует большой выбор инструментов, таких как Vomit и VOIP Pong, которые, например, позволяют записать незашифрованные голосовые пакеты и транслировать их. Вы просто записываете разговор, а потом можете его оттранслировать. Трафик Skype шифруется при передаче из точки A в точку B, и поэтому теоретически невозможно перехватить звонок Skype и расшифровать его.

Однако на каждом конечном узле хакер может проникнуть на машину и установить соответствующий инструментарий. Например, подобный решению, записывающему ваши действия, создавая видео, которое вы можете воспроизводить в Quicktime или в чем-то другом. Такого рода технология позволяет записать разговор по Skype, поскольку, как только трафик попал на ваш компьютер, в этой точке он декодируется, и любой установленный SIM или прослушивающее устройство может записать звонок. Но для этого требуется, чтобы хакер проник на локальную машину. С этой точки зрения риск довольно мал.

- Иногда IP-телефонию критикуют за то, что упрощается возможность использования схем фишинга, характерных для телефонных коммуникаций. Является ли это серьезной проблемой безопасности при использовании Skype?

Это может произойти с каждым, кто говорит по любому телефону. Здесь та же самая опасность. Если кто-то находит в реестре Skype какого-то пользователя или всех пользователей в определенном городе, то он может позвонить им на регистрационную запись Skype или на входящий или исходящий номер Skype. Такой номер вы получаете для звонков пользователям Skype, и он передается вашему компьютеру. Та же самая ситуация. Не могу сказать, что здесь риск выше или ниже.

- Можно ли каким-то образом с помощью Skype применять старый прием "подделки" телефонных номеров?

Skype for Business не имеет шлюзов SIP. Здесь запускается программное обеспечение Skype, которое передает звонки Skype и переводит их для SIP. Кражи средств с телефонных счетов происходили прежде и происходят до сих пор, но нужно проникнуть в существующую телефонную систему, чтобы использовать для этого Skype. Предположим, я зарегистрировался от вашего имени и могу воспользоваться вашим кредитом в Skype. Это становится возможным, если ваша регистрационная запись была взломана. Но я бы не сказал, что проблема кражи средств со счета столь уж актуальна для Skype.

Согласно отчету, недавно опубликованному SANS Institute, изъяны в безопасности клиентского программного обеспечения и Web-приложений куда опаснее всех остальных видов уязвимостей. При этом предприятия не уделяют им должного внимания и вместо того, чтобы вкладывать средства с целью понизить данные риски, фокусируются на менее значимых аспектах безопасности.

Анализ данных, полученных из нескольких тысяч организаций с марта по ноябрь этого года, позволяет авторам исследования утверждать, что предприятия не уделяют достаточного внимания сегодняшним рискам и подвергают свои информационные системы опасности, ограничиваясь пакетами обновлений операционных систем и другими устаревшими мерами по защите информационной безопасности. Данные о кибератаках были получены с использованием программного обеспечения компании TippingPoint, установленного на исследуемых сайтах, а данные об уязвимостях - с помощью сервисов сканирования компании Qualys.

Авторы исследования делают неожиданный вывод, что наибольшую угрозу для сетевой безопасности представляют уязвимости клиентского программного обеспечения, а вовсе не операционных систем, безопасность которых традиционно находится в поле зрения и к которым регулярно выпускаются пакеты обновлений. Как утверждается в отчете, большинство атак целевого фишинга (spear-phishing) как раз и использует уязвимости в широко распространенном программном обеспечении типа Adobe PDF Reader, QuickTime, Adobe Flash или Microsoft Office.

Согласно отчету, в большинстве крупных организаций устранение уязвимостей клиентского программного обеспечения затягивается по крайней мере вдвое больше, чем установка обновлений операционных систем. При этом угрозам с меньшими рисками присваивается более высокий приоритет.

По мнению исследователей из SANS, еще одним источником риска являются уязвимости Web-приложений, которые заслуживают самого пристального внимания сотрудников отделов информационной безопасности. Согласно отчету, 60% всех атак в Internet приходится на Web-приложения. Злоумышленники широко используют уязвимости Web-приложений, превращая "добропорядочные" сайты в источники эксплойтов - вредоносного программного кода, которые доставляются пользователю вместе с контентом и внедряются в его клиентское программное обеспечение.

Согласно результатам исследования, внедрения SQL-кода, межсайтовый скриптинг (Cross-Site Scripting), а также недостаточно хорошо защищенное заказное программное обеспечение составляют более 80% всех известных уязвимостей. Несмотря на массовый характер, который приобрели сетевые атаки, и доступность информации об основных видах уязвимостей, многие владельцы не производят тщательного тестирования своих сайтов на безопасность, становясь невольными пособниками киберпреступников в инфицировании компьютеров пользователей, доверяющих контенту таких сайтов.

Оба вида выявленных рисков при сложившейся ситуации, когда отделы безопасности не уделяют им должного внимания, создают благодатную почву для распространения киберинфекции. Наличие огромного числа кое-как защищенных Web-сайтов и приложений с дырами в безопасности делает возможным доставку вирусов через обычные браузеры. Достаточно пользователю зайти на такой с виду "добропорядочный" сайт, скачать или даже просто открыть документ, проиграть музыкальный или видеоконтент - и эксплойт уже проник на его компьютер, использовав дыру, возможно, не в самом браузере, но в модуле расширения для него.

Как отмечают авторы отчета, некоторые эксплойты даже не требуют, чтобы пользователи открывали документы. Достаточно просто зайти на инфицированный Web-сайт, и ПО пользователя "подхватывает" вирус. Зараженный компьютер затем используется для распространения киберинфекции на другие внутренние компьютеры и серверы, которые ошибочно считаются защищенными от неавторизованного доступа извне. Во многих случаях конечная цель злоумышленников - выкрасть у организации данные, которые могут представлять интерес, а также попутно установить программы для получения повторного доступа к системе.

Что касается уязвимостей операционных систем, то авторы делают вывод о том, что количество сетевых червей, действующих по удаленному принципу, за последнее время уменьшилось. Кроме Conficker/Downadup, за отчетный период не было обнаружено других червей для операционных систем. Однако количество атак, использующих уязвимость переполнения буфера в Windows, с июля по август возросло в три раза по сравнению с периодом с мая по июнь и составило 90% всех атак на эту операционную систему.

Авторы отмечают также увеличение количества атак, пытающихся использовать так называемые «уязвимости нулевого дня» (zero-day) - дыры, которые обнаруживают хакеры и для которых еще не выпущено исправлений или о которых ничего не известно соответствующим службам безопасности компаний. По данным многих независимых экспертов, за последние три года наблюдается значительное увеличение числа людей, занимающихся обнаружением таких уязвимостей. Некоторые уязвимости остаются неустраненными в течение двух лет.

"Первый профессионал в области систем безопасности", "светило науки о защите", "основоположник технологии управления рисками" – все эти определения относятся к Дэну Гиру. Один из известнейших специалистов отрасли информационной безопасности, Гир был президентом и директором по науке компании Verdasys, сыграл определяющую роль в проекте Project Athena Массачусетского технологического института и был уволен из @Stake за написанную в соавторстве статью, в которой предупреждал о том, что монокультура Microsoft угрожает национальной безопасности.

Сейчас Гир работает директором по информационной безопасности In-Q-Tel, некоммерческого венчурного фонда, который инвестирует в оригинальные технологии обеспечения безопасности, предназначенные для поддержки американских разведывательных служб страны. Гир ответил на вопросы CSO Magazine.

- Давайте начнем наш разговор с рассказа о том, чем вы сейчас занимаетесь в In-Q-Tel. Каковы задачи этой организации?

Мы выступаем как стратегический инвестор - в противоположность финансовому инвестору - небольших фирм, продукты которых могут реально использоваться в разведывательных службах. Для финансового инвестора стратегия должна быть следующей: если я вложу деньги, получу ли я от этого больше денег? Мы же действуем иначе: если я вложу деньги, получу ли я от этого больше продуктов? Это совсем другое дело.

Предприниматели во всем мире предпочитают работать там, где велика вероятность предложения инноваций, и нередко там, где об инновациях в противном случае вообще не может быть и речи. Безусловно, существуют крупные компании, которые выступают с новаторскими предложениями. Но, с другой стороны, в сфере технологий по той или иной причине многие небольшие компании не делают этого, хотя то, что они думают в этом направлении, – уже хорошие инвестиции.

Мы поддерживаем компании только с той целью, чтобы дать им возможность предложить свои продукты разведслужбам страны. Дело в том, что существует множество небольших фирм, которые либо вообще не в состоянии сделать все необходимое для того, чтобы предложить такие решения правительству, либо откладывают такие проекты на потом, рассчитывая вернуться к ним с ростом компании. И мы помогаем им в этих случаях.

Те деньги, которые мы получаем, опять возвращаются в пул инвестиций. У нас нет акционеров в традиционном смысле этого слова.

- Легче ли работать в нынешних экономических условиях с подобной моделью? Выступая в качестве стратегического инвестора в противоположность финансовому?

Думаю, да. В значительной степени мы действуем не так, как банки. Мы не разбрасываемся деньгами налево и направо. Если компания не собирается реализовывать некий проект только потому, что соответствующий рынок сложится только через три года, и неизвестно, будет ли действовать на нем компания к тому времени, конечно, мы уделяем ей внимание. Речь идет о действующих компаниях, имеющих коммерческое будущее безотносительно к разведке страны. Мы стараемся предоставить им возможность выпустить такие продукты, которые они не смогли бы предложить без нашего участия.

- Вы известны своими яркими достижениями в области информационной безопасности. А каковы сейчас ваши стимулы для работы?

Я еще не стар, а человеку не пристало слишком много задумываться о том, что он сделал в этой жизни, — до той поры, когда сделать он уже ничего не может. Я всегда хотел заниматься государственной службой и считал, что я должен это делать, и на этот раз решил воспользоваться предоставленной возможностью

Двадцать лет назад я работал над проектом Project Athena. Сейчас это уже дела давно минувших дней, и ничего из того, что мы сделали тогда, сегодня уже не кажется чем-то выдающимся, хотя плодами нашего труда пользуется чуть ли не каждый. В то время я работал в высшей школе, и мы получили поддержку коммерческого сектора, главным образом со стороны корпораций IBM и Digital Equipment, но в этом принимали участие и ряд других организаций.

Было понятно, что настало время для того, чтобы попытаться превратить результаты некоторых из уже проведенных исследований в коммерческие продукты или же дать возможность использовать наши достижения в университете и посмотреть, к чему это приведет. Тогда я ушел работать в Digital Equipment и стал заниматься так называемыми внешними исследованиями в подразделении, выдававшем гранты. Я хотел работать с грантами, поскольку мне казалось, что смена статуса, переход из категории тех, кто получает гранты, в категорию тех, кто эти гранты выдает, будет полезна для меня и для всего процесса, поскольку важно знать, что чувствуют те, кто сидит по разные стороны стола.

Но, как оказалось, я неудачно выбрал время для такого шага. Тогда Digital Equipment уже начала приходить в упадок. Я занялся другими вещами.

- Правда ли, что ваш интерес к государственной службе и работа, которой вы сейчас занимаетесь, обусловлены неким альтруизмом?

Я предпочитаю добровольно отдавать государству какой-то свой ресурс, например свое время, чем по обязанности отдавать налоги. Но я хочу сделать что-то для общего блага и думаю, что многие команды, с которыми я работал в прошлом, могли сделать что-то для общего блага. Хотя чистый альтруизм тоже имеет место.

По объективным причинам есть что-то, что правительство делает хорошо, и что-то, что оно не может делать хорошо. Точно так же и частный сектор что-то делает хорошо, а что-то нет. Я стараюсь оставаться на границе между ними и, так сказать, передавать находящимся по одну сторону барьера то, что хорошо могут делать по другую его сторону. Например, выбор хороших инвестиций с одной стороны и возможность быть инновационными - с другой.

- Вы известная фигура в сфере информационной безопасности, довлеет ли над вами ваша репутация?

Я никогда не перестану задавать вопросы. Те, кто почивает на лаврах, в конце концов остаются где-то в прошлом. Однажды я прочитал книгу Дэна Борджа "Книга риска" (Dan Borge. The Book of Risk). В ней он сказал то, с чем я абсолютно согласен. Что цель управления рисками заключается в изменении будущего, а не в том, чтобы объяснять прошлое.

- И насколько, по-вашему, специалистам по рискам удается сейчас менять будущее?

Я думаю, что сделано очень многое. Но следует понимать, что информационная безопасность – это нечто другое, чем, скажем, гарантия качества на автозаводе.

Один из моих прапрадедушек был краснодеревщиком. Он потратил всю жизнь на то, чтобы совершенствовать свое мастерство. И его мебель действительно стала уникальной. Но мир, в котором мы живем сейчас, меняется так быстро, что трудно подготовить квалифицированного специалиста, поскольку к тому моменту, как вы это сделаете, появится совершенно новый круг задач.

Я думаю, работа в сфере информационной безопасности – это одна из профессий, для которых требуется самый гибкий интеллект. Здесь то, что было верно вчера, будет неверно завтра. В сфере информационной безопасности, в частности, все большая часть исследований и разработок делается компьютерным андеграундом и финансируется этой "оппозицией" из своих, порой достаточно сомнительных доходов, что существенно усложняет дело. В то же время добились ли мы прогресса? Безусловно. Но скорость изменений все время заставляет нас быть начеку.