USB-“флэшки”: угроза для компаний?
Технический прогресс в производстве флэш-накопителей позволяет хранить большие объёмы данных на миниатюрных устройствах. Большим преимуществом такого способа хранения, по сравнению с обычной записью на оптические диски, является очень малое время доступа флэш-памяти. USB-брелоки играют большую роль на рынке флэш-памяти, поскольку они просты в обращении, устойчивы к износу и компактны по размеру. Во многих отношениях они являются идеальными мобильными хранилищами.
 |
Нажмите на картинку для увеличения.
И, наконец, низкая цена “флэшек” способствует их широкому распространению. Нередко можно встретить USB-брелок ёмкостью 1 Гбайт за 150 руб.
Однако USB-брелоки могут представлять угрозу для компаний из-за того, что они используются повсеместно и их легко можно потерять. Стандартные USB-брелоки, также как и MP3-плееры и сотовые телефоны, можно подключить через USB-порт к любому компьютеру, и они будут восприниматься как обычные жёсткие диски. Поэтому ничто не мешает скопировать на них конфиденциальные данные, если только для предотвращения этого не приняты соответствующие меры предосторожности.
Данные компании на личных USB-брелоках
Компания SanDisk, производитель флэш-накопителей USB, профинансировала исследование в области хранения данных компании на личных USB-брелоках. Один из результатов данного исследования ясно показал, что многие ИТ-специалисты не осознают потенциальных рисков.
77% сотрудников, участвовавших в исследовании, использовали личные USB-брелоки для хранения данных, относящихся к работе. Тогда как ИТ-специалисты недооценили количество личных USB-брелоков, используемых для рабочих целей, назвав всего 35%.
Чаще всего на электронные накопители попадает информация о клиентах (25%), далее финансовая информация (17%) и важные бизнес-планы (15%). Однако информация о сотрудниках, маркетинговые планы, интеллектуальная собственность и исходные коды тоже копируются на личные флэш-накопители, которые часто бесконтрольно и незаметно можно вынести за пределы офиса. Даже если сотрудник не намеревался нанести вред компании, всё равно есть огромный риск, что “флэшка” может потеряться или попасть в руки злоумышленников, и тогда компания может понести большие убытки.
Дорогостоящие системы распознавания атак (Intrusion Detection System, IDS) и очень дорогие брандмауэры, способные защитить от атак извне, становятся бесполезными, если офисные сотрудники могут с лёгкостью скопировать конфиденциальные данные на свои “флэшки” и, в худшем случае, передать их конкурентам. Чтобы эффективно контролировать подобные сценарии, можно воспользоваться такими программами, как Drive Lock, Device Lock или Tetraguard: эти решения позволяют деактивировать USB-порты на компьютере и выборочно разрешить к ним доступ определённых устройств. Разрешённые устройства идентифицируются по серийному номеру или идентификатору продукта и активируются. Кроме того, хорошо бы, чтобы разрешённые USB-накопители поддерживали аппаратное шифрование.
Американская компания “Kanguru Solutions” пошла ещё дальше. Флэш-накопители USB из линейки Kanguru Defender не только оснащены аппаратным шифрованием, но и позволяют стирать с них данные через Интернет.
Незаметный наблюдатель: Kanguru Defender
Линейка USB-брелоков Kanguru Defender была разработана для профессионального использования. Их корпус сделан из прочного алюминия, благодаря чему эти USB-брелоки приятно лёгкие. Съёмный защитный колпачок для USB-разъёма и петля для шнурка сделаны из пластика. Весит “флэшка” ничтожно мало – менее 10 г.
 |
Нажмите на картинку для увеличения.
 |
Нажмите на картинку для увеличения.
Для сравнения: USB-брелок Kingston Data Traveler Secure более чем в два раза тяжелее – 24 г. Размеры Kanguru Defender составляют 64 x 19 x 9 мм.
Kanguru Defender обладает функцией, которая сейчас уже редко можно встретить на USB-брелоках: переключатель, который защищает “флэшку” от случайной записи или стирания.
В комплект поставки с брелоком входит шнурок, USB-удлинитель и CD-диск с формами для регистрации продукта и с руководством пользователя в формате Adobe PDF.
 |
Нажмите на картинку для увеличения.
В нашу лабораторию поступил образец чёрного цвета, но доступны также и цветные USB-брелоки: красные, зелёные, голубые и жёлтые. Kanguru Solutions предоставляет возможность сделать на брелоке лазерную гравировку. Это даёт компаниям возможность визуально разграничить личные “флэшки” и брелоки, находящиеся в собственности компании.
В линейку Kanguru Defender входят брелоки ёмкостью от 1 Гбайт до 16 Гбайт. Все они работают с интерфейсом стандарта USB 2.0 и обратно совместимы с USB 1.1. Заявленная производителем ударопрочность составляет 1000 G и устойчивость к вибрации до 15 G. Беспроблемная работа гарантирована при температуре от 0 до 70 градусов Цельсия и при влажности воздуха от 20 до 90 процентов.
Поддерживаются операционные системы Windows 2000 Service Pack 4 и выше, Windows XP, Windows Vista и Windows 2003, причём как 32-разрядные, так и 64-разрядные версии. Линейка USB-брелоков Kanguru Defender Pro отличается от линейки Kanguru Defender другим модулем флэш-памяти, который обеспечивает более высокую скорость передачи данных. Однако ёмкость таких более скоростных флэш-накопителей Kanguru Defender Pro составляет, максимум, 8 Гбайт.
Стоимость 1-Гбайт USB-брелока Kanguru Defender на международном рынке равна $50, а USB-брелок из серии Kanguru Defender Pro такого же объёма будет стоить $65.
Подготовка флэш-накопителя USB
USB-флэш-накопитель Kanguru Defender имеет два раздела, и его функционирование можно сравнить с USB-брелоками, поддерживающими стандарт U3. Один из этих разделов занимает около 10 Мбайт и виден операционной системе как привод CD-ROM. Здесь записана программа Kanguru Defender Manager (KDM), которая используется для настройки USB-брелока. Она также управляет правами на доступ к зашифрованному разделу и связью с удалённым управляющим сервером. Подробнее об этом мы поговорим позже.
KDM: Kanguru Defender Manager
При первом запуске программы Kanguru Defender Manager появляется помощник, позволяющий легко пройти по шагам настройки. На первом шаге пользователь вводит пароль, который используется для активизации второго зашифрованного раздела. На следующем шаге активируются “Online Security Services”, которые позволяют удалять все данные с USB-брелока через Интернет в случае его потери.
 |
Нажмите на картинку для увеличения.
 |
Нажмите на картинку для увеличения.
После завершения всех процедур настройки защищённый раздел USB-флэш-накопителя может быть отображён в Windows как новый диск. Для этого нужно открыть программу KDM на разделе CD-ROM и ввести ранее заданный пароль. Защищённый раздел доступен под своей собственной буквой дискового накопителя, и на панели задач появляется иконка программы KDM.
 |
Нажмите на картинку для увеличения.
 |
Нажмите на картинку для увеличения.
AES-шифрование
Данные, записываемые на накопитель Kanguru Defender, автоматически шифруются в соответствии с алгоритмом Advanced Encryption Standard (AES). Если вы захотите извлечь брелок, то нужно всего лишь щёлкнуть правой кнопкой мыши по иконке KDM в системном трее, а затем выбрать “Unmount Kanguru Defender”. Эту же иконку можно использовать для смены пароля и изменения настроек онлайнового мониторинга.
Онлайновый мониторинг: Kanguru Management Console
Как уже упоминалось выше, USB-брелоком Kanguru Defender можно управлять через Интернет. Для этого потребуется дополнительно купить программу “Kanguru Defender Remote Management Console” (KRMC). Есть две версии этой программы: Business и Enterprise. Business-версия работает с сервером производителя брелока (Kanguru Solutions). За каждый USB-накопитель, который управляется через эту консоль, взимается ежегодная плата в размере $30. Однако производитель предоставляет оптовые скидки.
Если вы выберете версию Enterprise version, то программу “Remote Management Console” нужно будет установить на ваш собственный сервер. Как и в случае с версией Business, вы должны будете оплачивать лицензию для каждого USB-накопителя, которая составляет $35 за версию Enterprise (также возможны оптовые скидки). Однако, как мы увидим, требования к аппаратному и программному обеспечению сервера высоки.
Каждый раз при открытии программы KDM.exe устанавливается соединение с управляющим сервером. Очевидно, что для этого требуется функционирующее интернет-соединение. Как только интернет-соединение установлено, можно дать указание управляющему серверу отправить команду программе KDM.exe, которая может удалить всё содержимое зашифрованного раздела.
Возможно удалённое удаление данных и настроек
Помимо данных можно удалить все настройки, например пароль. Таким образом, USB-брелок возвращается к исходному состоянию, как при покупке. При подключении брелока Kanguru Defender он автоматически спрашивает, запускать ли программу KDM.exe. Поскольку доступ к зашифрованному разделу невозможен, это означает, что злоумышленники дальше пойти не смогут. Даже если не поступит команды на удаление от Management Console из-за отсутствия соединения с Интернетом, данные будут полностью уничтожены после пяти попыток введения неверного пароля.
 |
Нажмите на картинку для увеличения.
Компания Kanguru Solutions предоставила нам Kanguru Remote Management Console (KRMC) на предварительно настроенном сервере, который полностью управляется через интернет-браузер. Чтобы обеспечить безопасность при передаче данных, соединение между браузером и Kanguru Remote Management Console шифруется через SSL.
Через web-интерфейс администратор может просмотреть все свои USB-брелоки. Все устройства могут быть названы индивидуально, что облегчает идентификацию. На обзорной странице отображается имя и серийный номер USB-накопителя, а также дата и IP-адрес компьютера, к которому он подключался в последний раз. Кроме того, можно управлять лицензиями USB-брелоков Kanguru Defender.
 |
Нажмите на картинку для увеличения.
 |
Нажмите на картинку для увеличения.
Данные со сроком годности
При тестировании у нас не возникло проблем с использованием web-интерфейса, и удаление данных с USB-брелока с помощью программы Kanguru Remote Management Console тоже сработало хорошо. Команду удаления можно выполнить не только в данный момент, но возможно также послать команду, которая сработает в заданное время. Таким образом, данным на USB-брелоке можно назначить срок годности, и тогда они будут удалены, даже если задействован защитный переключатель на корпусе брелока.
 |
Нажмите на картинку для увеличения.
Обзор опций управления
Чтобы иметь возможность просмотреть отложенные действия, можно загрузить список этих действий через опцию меню “Pending actions”. Отчёт об успешных операциях отображается в соответствующем меню “Successful actions”, а на странице “Failed actions” сообщается о неудавшихся операциях; “Журнал аудита/Audit Log” хранит когда-то выполненные действия. Чтобы получить информацию о USB-накопителях, возможна фильтрация по имени пользователя, по времени, по названию устройства или по выполненному действию.
 |
Нажмите на картинку для увеличения.
 |
Нажмите на картинку для увеличения.
Ещё больше функций
На момент написания данной статьи единственной выполнимой командой, которая могла быть отправлена на USB-брелок Kanguru Defender, была команда удаления. Однако скоро будут добавлены опции для настройки требований безопасности к USB-брелокам, использующим консоль. В число этих опций войдут: сложность пароля, длина пароля, количество неудачных попыток входа, возможность изменять срок действия пароля и возможность задавать и менять пароли пользователя и администратора.
 |
Нажмите на картинку для увеличения.
Недостаток: высокие требования к программному обеспечению
Как только Kanguru Remote Management Console будет куплена, программу можно установить и использовать в Enterprise-версии на собственном сервере компании. Требования к серверу: двуядерный процессор с тактовой частотой минимум 1,8 ГГц и 32-разрядная версия операционной системы Windows 2003 Server Standard или Enterprise Edition с Service Pack 2. Более того, нужно, чтобы был установлен Internet Information Server версии 6 или выше с PHP в качестве модуля ISAPI, а также Microsoft .NET Framework 2.0 и OpenSSL 0.9.8g или выше. Одиночные наборы данных хранятся в Microsoft SQL 2005.
Заключение: безопасность данных в центре внимания
Растущий интерес к безопасности данных в компаниях нашёл своё выражение в новом продукте, который предоставляет возможность удалять данные через Интернет: USB-брелоки Kanguru Defender от Kanguru Solutions.
Алюминиевый корпус USB-брелока Kanguru Defender лёгкий и аккуратный. Специальный переключатель на корпусе защищает от случайной перезаписи данных. Защитный колпачок на USB-разъёме сделан из пластика и снимается с брелока. Чаще даже теряются эти защитные колпачки, нежели сами “флэшки”.
Популярность мобильных хранилищ и Интернета заставляют идти на новые меры в области защиты данных. Это должно способствовать тому, чтобы компании заново оценили принципы защиты USB-накопителей, используемых в личном порядке, и заставили сотрудников осознать потенциальную опасность и принять соответствующие меры безопасности. В конце концов, от правильного использования USB-накопителей выиграют обе стороны.
Более того, Kanguru Solutions предоставляет возможность осуществлять мониторинг за USB-брелоками и контролировать данные, даже в случае потери флэш-накопителя. Во-первых, шифрование с помощью AES-алгоритма гарантирует, что никто не сможет получить доступ к данным без соответствующего пароля. Во-вторых, если USB-брелок потеряется или будет украден злоумышленниками, то для полной безопасности данные можно будет удалить через Интернет.
 |
Нажмите на картинку для увеличения.
Во многих ситуациях имеет смысл воспользоваться службой от Kanguru Solutions и купить USB-брелоки с индивидуальной гравировкой. Однако это не всегда может сыграть на руку. USB-брелоки с выгравированным названием крупной компании могут привлечь к себе нежелательное внимание.
Недостаток: полная функциональность обеспечивается только при использовании опциональной программы Kanguru Remote Management Console
Хотя USB-брелоки Kanguru Defender хорошо сделаны и поддерживают шифрование данных, их полный потенциал раскрывается только в комбинации с программой Kanguru Remote Management Console. С помощью этой консоли администраторы могут определить IP-адрес компьютеров, на которых использовались USB-брелоки Kanguru, а также стереть с них все данные. Скоро будут добавлены дополнительные функции, которые обеспечат большую гибкость в применении настроек безопасности к единичному брелку Kanguru.
Пользователям и организациям, заботящимся о безопасности своих данных, понравится USB-брелок Kanguru Defender, при условии, что готовы принять высокие требования, которые предъявляет Kanguru Remote Management Console к аппаратному и программному обеспечению. Принимая во внимание начальную стоимость продукта, плюс расходы на поддержку серверов KRMC, USB-брелокам Kanguru Defender, возможно, будет сложно обрести популярность.
