Сисадминистрация предупреждает

Иван Зайцев, Контракты
 

ZZZ: я тут в фирму выездным сисадмином оформился. За выезд платят. На мои следующие выходные у них запланировано падение сервера

Быль (www.bash.org.ru)

КАРТА РИСКОВ (кликните, чтобы посмотреть)  Некоторые случаи нанесения вреда системными администраторами. Схема

Директору очень не хотелось уступать шантажисту, но услуги сторонних специалистов действительно обошлись бы компании дорого. Поэтому он попытался обуздать компьютерщика, угрожая тому судом и возмещением убытков. К немалому удивлению руководителя, системный администратор напрямую заявил, что в случае доведения дела до суда, он, во-первых, передаст в соответствующие органы всю информацию о финансовых махинациях компании с прибылью и зарплатой. А во-вторых, поделится с конкурентами данными о клиентах и партнерах компании, ибо никаких документов о неразглашении конфиденциальной информации он не подписывал.

После двухдневного простоя директор вынужден был согласиться на условия системного администратора и выплатить ему требуемую сумму. Взамен экс-сотрудник IT-отдела за полтора часа восстановил работоспособность компьютерной сети и баз данных.

Сисадмины имеют доступ практически к любой информации компании, хранящейся в электронном виде. Предприятия тратят немалые средства, выстраивая систему защиты данных от внешних атак, не беспокоясь о том, что собственный системный администратор может в любой момент уничтожить, похитить или модифицировать информацию, нанеся компании непоправимый вред.

Виктор Ламаев, начальник службы техподдержки компании FreeHost, выделяет четыре ситуации, в которых системный администратор может навредить своему работодателю (см. "Карта рисков"). В зависимости от ситуации выбирается способ вредительства и соответственно размеры наносимого ущерба.

Ситуация первая. Сисадмин не уходит из компании и не скрывает совершения диверсии.

В силу каких-либо причин компьютерщик решает показать руководителю или собственнику компании, «кто в доме хозяин». Например, требуя повысить заработную плату.

Первый способ, которым администратор системы может навредить работодателю, действуя открыто: закрыть доступ к базам данных, хранящимся на сервере. А уж как это сделать — детали. Олег Лазаренко, сотрудник IT-отдела крупной украинской компании, предлагает просто отключить всех сотрудников от сервера. «Информация не уничтожается. Но получить ее или модифицировать в базах данных никто из пользователей не может. Это простой и действенный метод влияния», — говорит Олег.

Второй вариант — отключение или ослабление антивирусной защиты. Фактически, администратор сам способствует проникновению различных вредоносных программ во внутреннюю сеть компании, впрочем, по-настоящему разрушительных вирусов не пропуская. Тем не менее даже сравнительно безобидные вирус-модули могут парализовать работу офиса. Свою халатность сисадмин может обосновать либо возросшей нагрузкой, мол, на все не хватает времени, либо скаредностью владельца при покупке лицензионных антивирусных программ. У опытного IT-шника борьба с собственноручно внедренными вирусами отнимет немного времени. Разумеется, после удовлетворения его требований. В противном случае бороться со шпионскими и резидентскими программами можно не одну неделю.

Наконец, третий путь, когда IT-специалист наносит вред предприятию, действуя открыто и не увольняясь: блокировать сообщение компании с внешним миром. Например, сделав невозможной отправку электронных писем или парализуя рабочие станции системы «клиент-банк». Само собой, после того как сисадмин и руководитель компании найдут общий язык, проблемы исчезают. Как минимум до возникновения очередного конфликта.

Ситуация вторая. Системный администратор не увольняется из компании, скрывая свою диверсионную деятельность.

Первый и едва ли не простейший путь — физически повредить носитель информации. Александр, сотрудник IT-отдела одной украинской компании, который предпочел сохранить свою фамилию и должность в тайне, утверждает, что уничтожить информацию на жестком диске можно, замаскировав диверсию под технические проблемы. Достаточно подать больше, чем нужно, напряжения на винчестер. В итоге жесткий диск будет безнадежно испорчен, а компьютерщик останется ни при чем — внезапные скачки напряжения не редкость во многих офисах. А блок бесперебойного питания можно отключить под видом, например, планового осмотра.

Более изощренный, но не менее разрушительный способ — внесение изменений в базы данных. IT-специалист, администрирующий ту или иную СУБД (система управления базами данных), имеет практически неограниченные полномочия доступа. Модифицировать информацию — дело пары минут. Зато неверные данные, которые будет выдавать программа, могут стать причиной принятия неправильных управленческих решений, проблем с контролирующими органами и т. п. Доказать же, что изменения внес именно сисадмин, будет практически невозможно — будучи полновластным хозяином в отдельно взятой программе, компьютерщик может замаскировать свое вмешательство в работу системы. Скажем, притворившись обычным пользователем СУБД.

И третий вариант — уничтожение информации от имени конечных пользователей. IT-шник, сопровождающий базу данных, сам распределяет полномочия и устанавливает пароли для всех пользователей программы. Виктор Ламаев считает, что в такой ситуации администратор может стереть всю информацию, действуя от имени другого пользователя: «Первый шаг — предоставить сотруднику, работающему с БД, расширенные полномочия при работе с этой базой. В идеале — подкрепить выделение таких полномочий служебной запиской на имя руководства компании или IT-департамента, предварительно спровоцировав сотрудника на получение новых прав доступа. Второй шаг — зайти в программу от имени этого работника и уничтожить критически важную информацию». В любой БД есть защита «от дурака», но и дураки становятся все более изобретательными. В итоге компания потеряет время и деньги на восстановление БД, а администратор будет здесь ни при чем — по данным программы, информацию уничтожил совсем другой пользователь.

Еще один метод — направление от имени других пользователей писем в контролирующие органы или разработчикам ПО, используемого в компании нелегально. Многим предприятиям есть что скрывать от разнообразных контролеров, да и «ломаных» программ тоже хватает. Иски от разгневанных разработчиков или перманентные визиты проверяющих могут нанести компании существенный ущерб. Компьютерщик, работающий с почтовым сервером, может направить письмо с любой информацией по любому адресу. «Даже если собственник проведет служебное расследование с целью выявить источник утечки информации, под подозрением окажется другой сотрудник, от имени которого и было отправлено письмо», — резюмирует Олег Лазаренко.

Уже упоминавшийся Александр предлагает еще два способа. Один из них опять же связан с внедрением в сеть вирусов. Правда, на этот раз гораздо более опасных. «Существует определенная категория вредоносных программ, избавиться от которых можно, лишь стерев файл, в который они «прописались», — рассказывает Александр. — А «подселить» их можно куда угодно — было бы умение. В том числе и в файлы — носители критически важной информации. Замаскировать источник проникновения тоже несложно, особенно, если кто-то из сотрудников увлекается просмотром порнографических сайтов, открывает вложения в электронных письмах, приходящих неизвестно от кого, или часто принимает файлы через системы мгновенной передачи сообщений (ICQ, QIP, Miranda и т. п.). Виноватым окажется не администратор, а сотрудник, которого наверняка неоднократно предупреждали о возможной вирусной атаке».

Другой вариант, предложенный Александром, — организация в офисе пожара. По его словам, это не так сложно, как кажется. В помещениях, где находятся серверы, нередко очень высокая температура. Соответственно высок риск возгорания. А подложить, например, кусочек промасленной бумаги в нужное место — дело техники. Пожар нанесет убытки, уничтожив не только технику, но и информацию. Администратор снова окажется в стороне, ведь умный IT-шник наверняка уже несколько раз сообщал о возможности пожара и просил выделить средства на установку кондиционеров или на оборудование для нового помещения.

Ситуация третья. Администратор уходит из компании со скандалом и не собирается скрывать нанесение ущерба.

Наиболее очевидный способ: администратор, уходя, забирает с собой носитель информации, например, жесткий диск сервера, установив взамен такой же диск, но пустой (чтобы избежать обвинения в хищении имущества). Получается патовая ситуация — для восстановления работоспособности системы собственнику фирмы придется договариваться с ушедшим сотрудником и пытаться получить назад информацию.

Другой вариант: администратор, уходя, меняет все пароли доступа. В таком случае обвинить его еще сложнее — вся информация остается в компании, вот только пользоваться ею не получается. По мнению Виктора Ламаева, данный способ едва ли не наиболее распространенный: «Работодателю придется либо, как в предыдущем случае, договариваться с сисадмином, либо обращаться в специализированные фирмы, а то и к разработчикам программы с просьбой восстановить доступ к базе данных. Любой из способов обойдется предприятию в крупную сумму — придется платить спецам или ушедшему IT-шнику либо терять деньги, пока разработчики откликнутся и смогут восстановить систему».

Третий путь — физически или программным способом уничтожить необходимые для работы компоненты. Например, журнал паролей, специализированное ПО, различные устройства, обеспечивающие работу сети etc. «В этом случае администратор уже не скован необходимостью скрывать свою подрывную деятельность, соответственно выбор способа нанесения вреда ограничивается лишь его воображением и, в некоторой степени, Уголовным кодексом», — считает Григорий Гаврыш, управляющий партнер компании Ultima Thule.

Еще один метод — уничтожить информацию, то есть с помощью различных спецпрограмм инициировать полную очистку носителей информации. Пожалуй, самый необратимый способ — если админ, не сохранив у себя копию, грамотно стер данные. Впрочем, чтобы компьютерщик прибегнул к этому методу, разногласия между ним и работодателем должны достичь критической точки.

Ситуация четвертая. Сисадмин уходит из компании, однако не хочет, чтобы о его подрывной деятельности стало известно.

Чаще всего в таком случае IT-специалист оставляет разнообразные «дыры» в системе защиты информации. «С ходу обнаружить оставленные лазейки непросто, а через них ушедший компьютерщик может практически в любой момент проникнуть в компанию и стереть либо модифицировать данные», — говорит Николай Федчик, частный предприниматель, специалист по компьютерной безопасности. Другой целью подключения к внутренней сети может быть копирование информации как для личного пользования, так и по заказу, или внедрение вирусных программ. По словам Александра, подавляющее большинство IT-шников, уходя из компании, оставляют подобные лазейки. Так, на всякий случай. Впрочем, эффективность подобной диверсии во многом зависит от компетентности сменщика — насколько быстро он может определить и обезвредить «дыры» в системе безопасности.

Второй случай — уходящий админ оставляет в системе «мины замедленного действия» — практически не обнаруживаемые защитными программами файлы, которые в определенный момент, например, в конкретную дату или при поступлении команды извне, активируются и уничтожат информацию на жестких дисках. Надо сказать, что вероятность подобной диверсии сравнительно невысока — для написания таких программ сисадмин должен обладать высокой квалификацией, а покупать их у разработчика на всякий случай компьютерщик вряд ли станет.

Схожий метод — внедрение в систему программных кодов, которые время от времени будут модифицировать информацию в базах данных. Впрочем, опять-таки подобные модули стоят недешево, следовательно, просто из вредности администратор вряд ли будет заниматься их написанием или тратить деньги на их покупку. Тем не менее Олег Лазаренко не рекомендует отбрасывать эти два способа как невозможные: «Вполне вероятно, что сисадмин внедрит вредоносные программы, действуя импульсивно, просто намереваясь испытать свои силы или тестируя разработку друга».

Наконец, самый экзотичный и сравнительно неопасный для компании способ нанесения вреда уходящим сотрудником IT-подразделения — оставить своему сменщику сообщение о непорядочности руководства или собственников предприятия. Александр вспоминает, что именно благодаря подобному предупреждению он отказался от работы в солидной вроде бы компании. «Мой предшественник ушел еще до того, как меня взяли на работу. Принимая дела и разбираясь в используемом ПО, я наткнулся на оставленное им предупреждение о непорядочности работодателей. К письму прилагались координаты, по которым можно было связаться для получения более подробной информации. Пообщавшись с предшественником, я мгновенно принял решение не устраиваться на постоянную работу в эту компанию, присовокупив к оставленному им сообщению еще и свою рекомендацию. Насколько мне известно, системного администратора эта фирма искала очень долго, пока не подняла ставку более чем в два раза. Лишь тогда нашелся человек, который, несмотря на наши сообщения, все-таки решил устроиться на работу», — делится опытом Александр.

По словам Александра, защита от собственного системного администратора сродни защите от хирурга, оперирующего больного. Тем не менее возможности минимизировать риск нанесения вреда собственным сисадмином все равно существуют. Как и в случае с хирургом, основа безопасности — внимательность и осторожность при выборе персонала. Григорий Гаврыш отмечает, что безопасность информации во внутренней сети компании на 80% зависит от качества подбора сотрудников, на 15% — от постоянного мониторинга их потребностей, удовлетворенности условиями работы, отношениями с собственником и работниками других подразделений и лишь 5% обеспечивают различные организационные и технические методы защиты.

В число технических методик защиты включают установку специализированного ПО, записывающего действия пользователя или администратора при работе с БД (система логирования), постоянное создание резервных копий, защищенных от вторжения и модификаций (система backup-ов), периодический мониторинг работы IT-подразделения независимыми специалистами. Николай Федчик советует еще один способ обезопасить информацию — привлекать к облуживанию баз данных и программных продуктов специалистов внешних компаний на условиях аутсорсинга.

Выяснив, чем чреват конфликт с сисадминами для руководства компании, мы спросили: Вы понимаете сисадминов?

Андрей ТКАЧУК, замдиректора компании «Модуль»

— Трудно ответить на ваш вопрос однозначно. Системные администраторы — это особая каста, вроде бухгалтеров и секретарей. Неслучайно же о сисадминах ходит масса анекдотов!.. Понять и оценить их профессионализм могут только равные им по знаниям и опыту, и многие сисадмины используют это в своих интересах. Любимое занятие компьютерщиков — пускать пыль в глаза и окружать свою работу ореолом таинственности, хотя, за редкими исключениями, они нечасто трудятся изо всех сил, чаще наоборот — имитируют решение глобальных проблем. Еще одна типичная черта сисадминов — отношение к пользователям: в лучшем случае, как к неразумным детям, в худшем — как к злостным вредителям.

Причем в большинстве случаев такое отношение обусловлено не столько нерадивостью пользователей, сколько высокомерием администраторов, которые не любят отвлекаться от игр для разрешения насущных проблем. Настоящий гнев сисадмина можно навлечь на себя, заставив его работать сверхурочно в случае сетевых сбоев. Впрочем, не все компьютерщики таковы, встречаются и приятные исключения. В любом случае, потеря квалифицированного системщика, с точки зрения предприятия, сопоставима с уходом главбуха: это, конечно, не катастрофа, но серьезное стихийное бедствие.

Роман ПИЧКУРОВ, начальник отдела СК «Статус»

— Программисты и системные администраторы — такие же люди, как и все, правда, со своими тараканами в головах... Вообще сейчас у многих дома стоят ПК, поэтому каждый человек в душе немножечко сисадмин. С настоящими профи у меня, как правило, складываются достаточно ровные отношения, можно сказать, дружеские. Тем не менее информацию личного характера я стараюсь не хранить на рабочем ПК, доступ к которому, естественно, есть у сисадминов. Хотя при желании можно этот доступ частично ограничить, прибегнув к услугам сторонних программистов, однако в этом нет особой необходимости. Общаясь с системным администратором на рабочие темы, крайне важно правильно поставить ему задачу, внятно объяснить, чего ты от него ожидаешь, иначе результат работы может быть не только непредсказуемым, но и непоправимым: сисадмины крайне неохотно признают и исправляют допущенные ошибки.

Наталья ВНУЧЕНКО, начальник отдела Укргазбанка

— Системные администраторы — народ специфический. Обычно, общаясь с ними, чувствую себя несколько ограниченной: во-первых, далеко не всегда понимаю их сленг; во-вторых, сами программисты дают понять, что незнание ПК и принципов работы систем — это невежество высшей степени. Во избежание неприятностей от результатов работы сисадминов стараюсь признавать, что они — это все, что без них — никуда... Ссориться с сисадминами — себе дороже, не ровен час компьютер будет давать сбои, программы зависать, а добиться от раздраженного сисадмина адекватной помощи крайне трудно, у него всегда найдется миллион объяснений, почему что-то невозможно сделать в ближайшее время.

Александра БЕЛЯЕВСКАЯ, супруга сисадмина

— На заре наших отношений я всерьез ревновала своего системного администратора к Самбе (свободной программе для работы с протоколом SMB/CIFS), а потом поняла, что если человек увлечен своей работой, то это не самый плохой вариант. Да, иногда я задаюсь вопросом, зачем семье из двух человек три ПК (хотя все они действительно используются), и не понимаю, для чего покупать какую-то очередную железку для компьютера, который вполне нормально работает... Но ведь и муж мой никогда не поймет, почему в воскресенье в 10 часов вечера мне вдруг нужно срочно решать вопросы экипировки стендистов на выставке... И пока мы не начинаем учить жизни друг друга, а терпимо относимся к чужим увлечениям — в семье тишь да благодать (даже несмотря на то что с недавних пор мы работаем в одной компании). Кстати, могу дать бесплатный совет: если вы не хотите разозлить сисадмина, то ни в коем случае не спрашивайте у него, когда же будет интернет. Это нельзя понять, это нужно запомнить.

Виталий ТИЩЕНКО, гендиректор ABBYY Украина

— Я своих сисадминов вполне понимаю, для меня они такие же менеджеры, как и любые другие. А хороший менеджер должен уметь формулировать свои мысли так, чтобы они были понятны любому собеседнику, и, наоборот, понимать, что именно хочет дилетант. В любом случае, как гендиректор я просто обязан поддерживать хорошие отношения с IT-директором, поскольку от качества его работы зависит не только эффективность бизнеса, но и информационная безопасность предприятия.

Наталья СМЫК, референт президента компании «559 Швидка довідка»

— Мы сисадминов чтим и уважаем, поскольку от состояния информационной и коммуникационной систем напрямую зависит эффективность работы компании. Ряд проблемных вопросов относительно качества технической поддержки удалось снять после формализации процесса работы администратором и регламентации работы службы HelpDesk. Я не считаю сисадминов нелюдимыми существами, которые приходят на работу только для того, чтобы поиздеваться над «ламерами» и «юзерами», а также опрокинуть бутылочку-другую пива. Во всяком случае, наши сисадмины — ребята абсолютно вменяемые, более того, с ними очень даже приятно общаться. Да, я не всегда понимаю их сленг, но это нисколько не мешает нам находить общий язык. Недавно, кстати, отпраздновали день рождения сисадмина... Вот чего они не любят — так это когда пользователи безответственно относятся к ПК и вообще оргтехнике. Их крайне раздражают реплики вроде: «Я ничего не делала, а оно сломалось..» — ведь будучи технарями, они пытаются установить истинную причину поломки, а не ищут крайних.

Николай САБАЕВ, системный администратор

— Системных администраторов я понимаю. А вот людей, рассказывающих невесть какие истории о нас, признаться, понимаю с трудом. Мы говорим, как и все, на нормальном языке, не считаем себя умнее других, и у нашего брата, кроме работы, есть масса других интересов!.. Кстати, больше всего раздражают «страшилки» о том, что если начальство не угодило сисадмину, он украдет или уничтожит базы данных, заблокирует доступы к серверам и уволится. Да, на практике все эти вещи реализуемы, но ни один админ, дорожащий своей репутацией, ими не занимается. В противном случае — он рискует раз и навсегда потерять работу.