10 инструментов для анализа безопасности сети

Считаете ли вы, что даже малые организации, ИТ-ресурсы которых более ограниченны, нежели у Radianz, могут использовать такой горизонтальный подход к управлению безопасностью?
Вы затронули очень важный вопрос. В отличие от BT Radianz, большинство компаний не могут позволить себе создать централизованный отдел обеспечения безопасности. Поэтому, чтобы убедиться в эффективности мер защиты, возможно, следует назначить специального сотрудника, который должен определять направление работы в сфере безопасности и координировать действия системных администраторов, сетевых инженеров и просто технически грамотных людей. Я уверен, что лучше привлечь человека, который понимает технологию предприятия, с опытом администрирования систем или обслуживания сетей, и обучить его методам информационной защиты, чем привлекать специалиста по безопасности, который превосходно владеет этой областью, но не знает специфики предприятия.
Какие инструменты и продукты вы применяете для защиты сети?
Мы используем ряд инструментов, которые обычно не относятся к категории средств обеспечения безопасности, но тем не менее предоставляют множество преимуществ. Нам приходится управлять 40 тыс. маршрутизаторов, это невозможно сделать вручную. Если предоставить сотрудникам возможность индивидуально настраивать конфигурацию и управлять маршрутизаторами, то вероятность ошибок будет слишком велика. Мы не можем заявить: извините, торги на бирже сегодня отменяются из-за неполадок в маршрутизаторах. Поэтому у нас есть специальная внутренняя экспертная система, которая, в сущности, представляет собой огромную базу данных всех возможных конфигураций маршрутизаторов. Если я подозреваю, что в маршрутизатор внесены несанкционированные изменения, я могу сравнить его конфигурацию с известными параметрами в базе данных и определить, были ли изменения внесены вручную, т. е. не экспертной системой.
Мы также используем инструменты системного управления, обычно применяемые такими крупными сетевыми организациями, как операторы связи. Для внутренней сети используются брандмауэры уровней 2 и 3; устройства для предотвращения (Intrusion Prevention System, IPS) и обнаружения несанкционированного доступа (Intrusion Detection System, IDS); proxy-серверы; фильтры спама, электронной почты и шпионских программ. Однако многие из этих инструментов нельзя применить в производственной сети, которую мы предоставляем клиентам.
Кроме того, в производственной сети мы используем DeepSight Threat Management System компании Symantec. DeepSight ведет непрерывный мониторинг Internet в поисках информации о проблемах, связанных с безопасностью, атаках и успешных взломах, и предупреждает нас об этих угрозах. DeepSight также сообщает, что необходимо сделать для устранения конкретной угрозы. Например, мы получили рекомендации по борьбе с «червем» SQL Slammer и временных мерах (блокирование трафика через порт 1434, порт SQL Server), пока Microsoft не выпустила исправление. Таким образом, с помощью инструмента можно быстро собрать необходимую информацию и принять решение о мерах, уместных на конкретном предприятии.
До того как мы стали использовать DeepSight, два или три специалиста постоянно были в курсе последних угроз — они читали бюллетени, рассылаемые по почте, посещали конференции и определяли приоритеты различных предупреждений. Аргументом в пользу услуг службы Security Focus, которая впоследствии стала собственностью компании Symantec, было желание использовать сотрудников компании для решения реальных проблем вместо исследовательской работы, результаты которой проще приобрести у независимой организации.