Тема 6: Современные технологии обнаружения утечек, использование интернет технологий и управление режимами

6.1. Современные технологии обнаружения утечек
6.2. Подходы к обеспечению безопасности в концепции BYOD
6.3. Централизованное управление политиками безопасности штатными средствами Microsoft

6.1. Современные технологии обнаружения утечек
       Эффективность работы любой DLP-системы - системы защиты электронных данных, зависит в первую очередь от качества выявления конфиденциальной информации в общем потоке данных. Для этого сегодня используется ряд различных технологий, каждая из которых имеет свои достоинства и недостатки. В данной теме приводится анализ каждой из применяемых в DLP-решениях технологий, а также области их применения. 
       Введение. Ни для кого не секрет, что самым надежный способ избежать утечки данных – полностью перекрыть все возможные каналы связи. Однако, в современных условиях, это просто-напросто нереально. Сегодня многие компании не могут отказаться от съемных накопителей, которые достаточно активно используются в бизнес-процессах. А об отказе от использования Интернета и принтеров даже  говорить не приходится!
       Поскольку полностью запретить использование потенциально опасных каналов не представляется возможным, возникает задача их контроля. Суть этой задачи заключается в мониторинге всей передаваемой информации, выявлении среди нее конфиденциальной и выполнение тех или иных операций, заданных политиками безопасности. Понятно, что основной, самой важной задачей является анализ данных. Именно от его качества зависит эффективность работы всей DLP-системы.
       Задачу анализа потока данных, с целью выявления конфиденциальных, можно смело назвать нетривиальной. Слишком уж много передается разнообразной информации. В следствие этого поиск нужной оказывается серьезно осложнен множеством требующих учета факторов. Поэтому, на сегодняшний день разработано несколько технологий для детектирования попыток передачи конфиденциальных данных. Каждая из них отличается от других своим принципом работы. 
       Условно все способы обнаружения утечек можно разделить на две группы. К первой относятся те технологии, которые основаны на анализе непосредственно самих текстов передаваемых сообщений или документов (морфологический и статистический анализы, шаблоны). По аналогии с антивирусной защитой их можно назвать проактивными. Вторую группу составляют рекативные способы (цифровые отпечатки и метки). Они определяют утечки по свойствам документов или наличию в них специальных меток.
       Каждый способ обнаружения утечек обладает своими преимуществами и недостатками, и использование данных технологий является взаимодополняющим. А поэтому мы подробно разберем их и выясним, в каких ситуациях используется та или иная технология.
        Морфологический анализ. Морфологический анализ является одним из самых распространенных контентных способов обнаружения утечек конфиденциальной информации. Суть этого метода заключается в поиске в передаваемом тексте определенных слов и/или словосочетаний. И, хотя это звучит очень просто, на самом деле он относится к числу самых сложных в реализации методов. Дело в том, что строгий поиск только указанных выражений, сам по себе, бесполезен, необходимо морфологический поиск, в котором учитываются все возможные формы заданных слов.
       Главным преимуществом рассматриваемого метода является его универсальность. С одной стороны, морфологический анализ может использоваться для контроля любых каналов связи, начиная с файлов, копируемых на съемные накопители, и заканчивая сообщениями в ICQ, Skype, социальных сетях и пр. А с другой – с его помощью могут исследоваться любые тексты и искаться любая информация. При этом конфиденциальные документы не нуждаются в какой-либо предварительной обработке. А защита начинает действовать сразу после включения правил обработки и распространяется на все заданные каналы связи.
       Основным недостатком морфологического анализа является относительно низкая эффективность определения конфиденциальной информации. Причем зависит она как от используемых в системе защиты алгоритмов, так и от качества семантического ядра, применяющегося для описания защищаемых данных. Также немалое значение имеют и сами анализируемые тексты. Именно поэтому заранее предсказать степень эффективности обнаружения в передаваемого трафике конфиденциальных данных достаточно сложно. Увеличить ее можно точным подбором семантического ядра. Также при использовании морфологического анализа нужно учитывать риск ложного срабатывания системы защиты на вполне безобидные тексты. Его степень также зависит от семантического ядра и исследуемого трафика.
       Однако, несмотря на достаточно серьезные недостатки, морфологический анализ, на сегодняшний день, является единственно возможным методом обнаружения произвольной информации в любых текстах. Морфологические алгоритмы постоянно совершенствуются, что повышает его точность.
       Говоря о морфологическом анализе, следует упомянуть о словарях, которые позволяют увеличить эффективность морфологического анализа, а также упрощают работу с ним. Они представляют собой списки слов на одну тематику, которые могут использоваться для обнаружения конфиденциальной информации. Словари значительно упрощают настройку морфологического анализа. Их использование позволяет при необходимости внесения корректировок в параметры защиты не редактировать вручную все правила, а только изменить состав нужного списка. При этом изменится работа всех правил, в которых используется данный словарь.
       Кроме того, в некоторых DLP-решениях существует функция генерации семантического ядра. Она также основана на использовании словарей. Суть данной функции сводится к сканированию указанного набора документов (например, папки с договорами), в ходе которого по специальному алгоритму выбираются слова и выражения, могущие использоваться для описания текстов этого типа. Из них автоматически формируется словарь, который остается только вставить в правила морфологического анализа. 
       Статистический анализ. Данный метод еще относительно мало распространен в DLP-системах. На данный момент он присутствует в решениях буквально нескольких разработчиков. Тем не менее, не признать перспективность его применения нельзя. Сами разработчики, рекламируя данную технологию, используют термин "искусственный интеллект". Не будем спорить о том, оправдано это или нет. Отметим только, что в его основе лежит именно статистический анализ. Простейшим примером такой технологии является байесовский алгоритм, который используется практически во всех антиспам-фильтрах. Естественно, в DLP-решениях статистический анализ получил дальнейшее развитие и ориентирован именно на поиск информации конфиденциального характера.
       Принцип работы статистических методов заключается в вероятностном анализе текста, который позволяет предположить его конфиденциальность или открытость. Для их работы обычно требуется предварительное обучение алгоритма. В ходе него вычисляется вероятность нахождения тех или иных слов, а также словосочетаний в конфиденциальных документах.
       Преимуществом статистического анализа является его универсальность. При этом стоит оговориться, что данная технология работает в штатном режиме только в рамках поддержания постоянного обучения алгоритма. Так, например, если в процессе обучения системе было предложено недостаточное количество договоров, то она не сможет определять факт их передачи. То есть качество работы статистического анализа зависит от корректности его настройки (обучения). При этом необходимо учитывать вероятностный характер данной технологии. Она только делает предположение (в процентах) того, что анализируемый текст относится к разряду конфиденциальных.
        Шаблоны. Во многих случаях конфиденциальная информация представляет собой некоторые стандартизованные данные, например, адреса, телефоны, серии и номера паспортов или каких-либо иных документов, банковские реквизиты, ИНН и пр. Особенно часто это встречается в персональных данных сотрудников или клиентов компании. Для обнаружения попыток передачи такой информации существует специальный весьма эффективный метод – шаблоны.
       Суть метода проста. Администратор безопасности определяет строковый шаблон конфиденциальных данных: количество символов и их тип (буква или цифра). После этого система начинает искать в анализируемых текстах сочетания, удовлетворяющие ему, и применять к найденным файлам или сообщениям указанные в правилах действия.
       Главным преимуществом шаблонов является высокая эффективность обнаружения передачи конфиденциальной информации. Применительно к инцидентам случайных утечек она стремится к ста процентам. Случаи с преднамеренными пересылками сложнее. Зная о возможностях используемой DLP-системы, злоумышленник может противодействовать ей, в частности, разделяя символы различными символами. Поэтому используемые методы защиты конфиденциальной информации должны держаться в секрете.
       К недостаткам шаблонов относится, в первую очередь, ограниченная сфера их применения. Они могут использоваться только для стандартизованной информации, например, для защиты персональных данных. Ещё одним минусом рассматриваемого метода является относительно высокая частота ложных срабатываний. Например, номер паспорта состоит из шести цифр. Но, если задать такой шаблон, то он будет срабатывать каждый раз, когда встретится 6 цифр подряд. А это может быть номер договора, отсылаемый клиенту, сумма и т.п.
       В некоторых DLP-решениях технология шаблонов получила развитие, позволяющее нивелировать описанный выше недостаток. Достигается это за счет ее расширения дополнительными условиями: ключевыми суммами, диапазонами значений, словами, которые находятся неподалеку до или после найденной подстроки. При этом разработчики сами комплектуют поставку уже готовыми шаблонами со всеми необходимыми условиями, так что администратору безопасности остается при создании правила только выбрать нужные значения. 
       Цифровые отпечатки. Еще одной технологией обнаружения утечек конфиденциальной информации, является технология так называемых цифровых отпечатков. С ее помощью можно с  высокой степенью эффективности контролировать попытки передачи строго определенных документов или их фрагментов. Суть метода заключается в следующем. Сначала создается специальная база "электронных слепков" с указанных администратором безопасности файлов. После этого все отправляемые документы будут проверяться на соответствие этим отпечаткам.
       Эту технологию не следует путать  цифровой подписью документов. Цифровая подпись основана на использовании хешировании, она охватывает весь файл целиком. И если в будущем кто-то изменит в нем хотя бы одно слово, то подписи до и после уже не будут совпадать. Поэтому цифровые отпечатки – это не «хеши» документов, как можно подумать на первый взгляд. Под цифровым отпечатком в данном случае понимается целый набор характерных элементов документа, по которому его можно с высокой достоверностью определить в будущем. Современные DLP-решения способны детектировать не только целые файлы, но и их фрагменты. При этом можно даже рассчитать степень соответствия. Такие решения позволяют создавать дифференцированные правила, в которых описаны разные действия для разных процентов совпадения.
       Важной особенностью цифровых отпечатков является то, что они могут использоваться не только для текстовых, но и для табличных документов, а также для изображений. Это открывает широкое поле для применения рассматриваемой технологии. Например, можно сделать цифровой отпечаток подписи главного бухгалтера, что позволит пресечь отправку всех отсканированных копий документов, им подписанных. 
       Цифровые метки. Принцип данного метода чрезвычайно прост. На выбранные документы накладываются специальные метки, которые "видны" только клиентским модулям используемого DLP-решения. В зависимости от их наличия система разрешает или запрещает те или иные действия с файлами. Это позволяет не только предотвратить утечку конфиденциальных документов, но и ограничить работу с ними пользователей, что является несомненным преимуществом данной технологии.
       К недостаткам данной технологии относится, в первую очередь, ограниченность сферы её применения. Защитить с ее помощью можно только текстовые документы, причем уже существующие. На вновь создаваемые документы это не распространяется. Частично этот недостаток нивелируется способами автоматического создания меток, например, на основе набора ключевых слов. Однако данный аспект сводит технологию цифровых меток к технологии морфологического анализа, то есть, по сути, к дублированию технологий.
       Другим недостатком технологии цифровых меток является легкость ее обхода. Достаточно вручную набрать текст документа в письме (не скопировать через буфер обмена, а именно набрать), и данный способ будет бессилен. Поэтому он хорош только в сочетании с другими методами защиты.
       Инструменты противодействия обходу защиты. Все описанные выше технологии основаны на анализе обычного текста. Однако в некоторых случаях злоумышленники могут использовать различные методы обхода системы защиты, основанные на сокрытии этого текста. Самым простым из них является архивирование пересылаемых документов. Для защиты от этого в DLP-решениях обычно реализуется поддержка разных форматов сжатия. В этом случае файлы распаковываются, а их содержимое проверяется обычным образом. Здесь важно отметить только один момент. В DLP-системе должна присутствовать возможность адекватной реакции на архивы, защищенные паролем. При обнаружении таких файлов они могут, например, перемещаться в карантин.
       Следующий способ "спрятать" конфиденциальную информацию – транслитерация. Злоумышленник может просто взять текст и с помощью специальной программы, какого-либо онлайн сервиса или даже вручную переписать его символами латинского алфавита. Для противодействия траслитерации конфиденциальной информации используется очень простой метод – транслитерация заданного семантического ядра. При включении этой функции DLP-система проверяет тексты на наличие как обычно записанных слов, так и их "транслитерационных" аналогов. Причем в некоторых решениях правила преобразования можно задавать вручную.
       Еще одним способом обхода DLP-системы является отправка текста в виде картинки (например, скриншот открытого документа). Для противодействия этому методу используются OCR-технологии. То есть система защиты пытается распознать все отправляемые изображения. В случае успеха выделенный текст обрабатывается по обычным правилам.
       Выводы. На сегодняшний день в арсеналах разработчиков DLP-систем есть несколько  основных метода контентного обнаружения утечек конфиденциальной информации: морфологический и статистический анализы, шаблоны, цифровые отпечатки и метки. Все они отличаются по принципу работы, имеют свои преимущества и недостатки. Так, например, морфологический анализ – универсальная технология, которая может использоваться везде. Правда, при этом она обладает не лучшими показателями по эффективности и ложным срабатываниям.
       Шаблоны позволяют с высокой степенью точности обнаруживать попытке передачи стандартизованной информации. Но при этом они бесполезны во всех других случаях. Кроме того, существует вероятность ложных срабатываний системы защиты. Цифровые отпечатки являются очень эффективным средством обнаружения утечек конфиденциальных данных, но они могут использоваться только для контроля пересылки целых существующих документов или изображений или их фрагментов. В случае с одиночными фразами или текстом, написанным своим языком, они не помогут.
       Таким образом, из всего вышеизложенного можно сделать очень простой вывод. Современные технологии контентного анализа не конкурируют между собой, а дополняют друг друга. Морфологический анализ является основным, базовым способом обнаружения утечек конфиденциальной информации. Благодаря своей универсальности, он может использоваться практически везде. А шаблоны и цифровые отпечатки усиливают защиту определенных групп конфиденциальных данных – стандартизованной информации, определенных документов или изображений или их фрагментов. Таким образом, в полноценной DLP-системе должны быть реализованы все три технологии, что позволяет добиться ее максимальной эффективности. При этом нужно понимать, что использование их всех не обязательно, все зависит от конкретных условий. Так, например, если в компании нет стандартизованной конфиденциальной информации, то и использовать шаблоны ей не нужно.
       В заключение отметим, что ни один метод контентной фильтрации не является стопроцентной гарантией отсутствия утечек конфиденциальной информации. Они весьма успешно справляются с непреднамеренными действиями сотрудников, когда те просто ошибаются или без злого умысла нарушают служебные инструкции (например, копируют документ на "флешку", чтобы поработать дома). С преднамеренными утечками дела обстоят сложнее, поскольку злоумышленники могут попытаться обойти DLP-систему тем или иным способом. Именно поэтому защита конфиденциальной информации должна представлять собой целый комплекс как технических, так и организационных мер, направленных не только на предотвращение утечек, но и на превентивное обнаружение нелояльно настроенных по отношению к компании сотрудников.

6.2. Подходы к обеспечению безопасности в концепции BYOD
       В статье рассматривается популярная концепция BYOD (Bring Your Own Device – "принеси на работу свой гаджет") - её идеология, преимущества и потенциальные риски с точки зрения общепринятых принципов информационной безопасности. Также рассмотрены различные методы, направленные на разрешение проблем, связанных c применением концепции BYOD. 
       Введение. Популярная сегодня концепция BYOD (Bring Your Own Device – "принеси на работу свой гаджет") стала очередным предметом для горячих споров в ИТ-индустрии между сторонниками двух различных точек зрения: приверженцами традиционного подхода в обеспечении информационной безопасности и теми, кто считает целесообразным дать возможность всему коллективу компании: от директоров до рядовых сотрудников, никогда не расставаться с любимыми устройствами: дома и на работе, в дороге и на отдыхе. Это стало возможным благодаря тенденции последних лет, когда ИТ-службы стали уступать свои позиции как организации, устанавливающей корпоративные стандарты. И сами компании, желая сэкономить средства на приобретение персональных мобильных устройств, начали всё больше использовать стремление сотрудников использовать свои личные мобильные устройства в профессиональных целях, зачастую даже более производительные, чем те, что может предложить корпоративная политика компании.
       Например, согласно исследованию компании Fortinet, 74% респондентов регулярно используют личные гаджеты в производственных целях. Более того, 55% из опрошенных считают такое использование личных гаджетов своим правом, а не привилегией.
       А, по данным исследования компании Microsoft, наиболее лояльно к концепции BYOD относятся китайские компании (86%) и наименее лояльно — японские (30%). 
       Обратная сторона медали - вопрос информационной безопасности. Концепция BYOD, открывая возможности увеличения производительности труда и повышения удовлетворения сотрудников ИT-инфраструктурой компании, породила целый ряд сложностей, связанных с защитой сети предприятия, а также хранением и передачей информации. Это ведёт к необходимости появления новых методов и подходов к решению этих проблем.
       Обзор задач, требующих решения при принятии концепции BYOD. Конечно, использование BYOD на работе несёт для компании целый ряд неоспоримых преимуществ, среди которых: увеличение производительности труда, снижение затрат на пользовательские мобильные устройства, но если взглянуть на потенциальные проблемы, их, на первый взгляд, кажется не меньше, и сделать вывод о целесообразности принятия концепции становится непросто. Рассмотрим основные задачи требующие решения:
•	Во многих организациях, политики ограничения использования доступной полосы пропускания рассчитаны на корпоративные компьютеры и установленные на них приложения, однако, зачастую не на мобильные устройства. Обнаружив этот факт, пользователи переключаются на использование своих мобильных устройств для доступа к тяжёлым по использованию доступной полосы пропускания приложениям (например, просмотр видеороликов), что не ведёт к увеличению производительности труда, а, наоборот, открывает возможность нецелевого использования ИT-ресурсов.
•	Мобильность устройств сама по себе порождает проблему их использования за пределами хорошо защищённой IT инфраструктуры. Из-за бесконтрольного использования гаджетов за пределами офиса значительно возрастает риск кражи, утери самих устройств, утечки конфиденциальной информации через использование несанкционированных точек беспроводного доступа (Rogue AP).
•	Вся объективная незащищённость мобильных устройств делает их замечательной мишенью для хакерских атак, распространяющихся через вредоносный код, например, как тщательно маскирующиеся популярные нелегитимные мобильные приложения для мобильных устройств.
Конечно, ничего принципиально нового в этих проблемах нет, и необходимо только внедрить в достаточной степени жёсткие политики, однако такой подход сводит на нет все возможности от использования концепции. А, значит, подходы должны быть более гибкие и, при этом, столь же эффективные. Методы решения конкретных задач не должны лишать возможности использовать мобильные устройства и приложения везде, где только возможно, при этом, не теряя контроля за передаваемыми данными и действиями пользователей.
       Новые подходы для обеспечения безопасности BYOD. Итак, как уже было сказано ранее, для решения поставленных задач необходимо применение гибких сбалансированных методов, вместо “драконовских” мер по полному запрещению мобильных устройств в корпоративной среде.
       В любом случае, решение задачи обеспечения безопасности при принятии концепции BYOD начинается с формирования простых и понятных политик. Необходимо принять решение, какими приложениями можно пользоваться только с корпоративных компьютеров, а какие будут доступны с любого устройства. Возможно также, что организация разрешит использование любых устройств при условии наличия на них специального программного обеспечения для открытия доступа к информационным ресурсам предприятия, или, наоборот, определит типы или индивидуальные политики для всех мобильных устройств, разрешённых к использованию. Конечно, единый подход, который подойдёт всем без исключения организациям, тут вряд ли возможен, но современные технические возможности программного обеспечения позволяют найти приемлемое решение для любых сценариев, используя тот или иной подход.
       Виртуальные рабочие места, основанные на серверных решениях, представляют из себя пользовательские приложения или целые операционные системы, работающие в виртуальной среде, под управлением супервизора, функционирующего на централизованном сервере. Один физический сервер, на котором развёрнута виртуальная среда, может одновременно работать со множеством виртуальных пользовательских рабочих мест, развёрнутых в его виртуальных машинах. Число одновременно поддерживаемых виртуальных машин зависит от количества памяти и вычислительных ресурсов физического сервера. Такой подход очень удобен, так как обеспечивает централизованное администрирование и хранение данных, позволяет постепенно наращивать инфраструктуру, и, по мере необходимости, создавать, или удалять рабочие места, а также легко переносить их с одного сервера на другой. Достоинством применения таких виртуальных рабочих мест является высокая защита корпоративных данных в виртуальной среде, предоставляя, при этом, пользователю высокую свободу действий, открывая доступ к корпоративным IT ресурсам через защищённое окно, предотвращающее утечку конфиденциальных данных на пользовательское устройство.
       Приложения MDM (Mobile Device Management — управление мобильными устройствами) – это программное обеспечение для работы с корпоративными системами при помощи мобильных устройств. Сегодня управление мобильными устройствами MDM становится смысловым синонимом понятия информационной безопасности в мобильной среде. Однако, MDM не может стать полным решением всех вопросов, возникающих при принятии BYOD концепции, так как, к сожалению, многие мобильные пользовательские устройства и средства управления ими не способны ответить на такие вопросы как, например, решение проблемы распространения и обновления программного обеспечения, применения корпоративных политик, полное управление инвентаризацией и сетевыми сервисами. Многообразие пользовательских устройств в значительной степени затрудняет внедрение MDM подхода, делая его применимым и эффективно используемым только к половине поддерживаемых типов устройств, открывая остальные для потенциальных атак.
       Клиентское программное обеспечение для безопасности мобильных устройств является логическим развитием и расширением возможностей антивирусных программ. Данное ПО работает как агент для мобильного устройства, управляемый из сети и обеспечивающий функции антивирусного контроля, VPN клиента и возможности настройки блокировки пользовательского трафика согласно политике безопасности предприятия.
       Все вышеописанные подходы применяются совместно с набором политик, работающим на уровне сети. Данные политики обеспечивают контроль доступа пользователей в сеть и формируют профили для различных сетевых элементов для определения того, какая информация может храниться или передаваться через то или иное устройство, определяются точки контроля передаваемых данных до того как они попадут в сеть или покинут её. Данный метод даёт очень гранулярный контроль за действиями пользователей и используемыми ими приложениями.
       Решение для обеспечения безопасности BYOD. Организация должна отдавать себе отчёт в том, что не существует единого универсального средства, способного решить все проблемы одновременно. Залогом успешного решения может стать системный подход, ориентированный на использование эффективных практик в области технологий защиты передаваемой информации, решений по безопасности для сетевой инфраструктуры и клиентского программного обеспечения, поддерживающих современные мобильные технологии. С таким подходом пользователь может быть уверен в том, что его приложения будут надёжно защищены, не зависимо от того, где он находится.
       Следующим компонентом по важности после сети является защита передаваемых и хранимых данных. Потери данных сегодня влекут массу различных неприятностей, выливающихся, в конечном итоге, в раскрытие конфиденциальной информации и потерю доверия клиентов. Многоуровневое гранулярное решение по защите корпоративной информации, которое включает в себя:
•	Получившие в последнее время огромную популярность приложения Web 2.0, такие как, Facebook, Twitter, Skype, VKontakte, Odnoklassniki и многие другие, постоянно увеличивают объём и разнообразие передаваемых данных, зачастую подвергая опасности пользователей различным атакам через распространяемые по сети вирусы и вредоносный код. Встроенный в продукты модуль безопасности Application Control, использующий постоянно обновляющуюся в режиме онлайн базу данных сигнатур, позволяет контролировать уже более 2200 различных веб-приложений, программ, сетевых сервисов и протоколов на предмет наличия в них вредоносного трафика. Для распознаваемых сетевых приложений решение способно контролировать все действия, предпринимаемые программным обеспечением, и создавать для этого гранулярные политики в зависимости от пользователя, группы, дня недели, времени, а также комбинации этих и ряда других параметров.
•	Другой важной функцией, входящей в комплект решения, является функция предотвращения утечек данных – DLP (Data Loss Prevention). Данная функция имеет целый набор функций выявления в передаваемых данных утечек важной информации во внешние сети.
       И, наконец, последними, но от этого не менее важными, компонентами системной защиты инфраструктуры являются контроль и защита устройств мобильных пользователей, степень важности которой возрастает, как только мобильные устройства покидают периметр защищённой корпоративной сети.
       Основные составляющие этого компонента:
•	Это Web-фильтрация запросов пользователей, позволяющая задавать категории сайтов разрешённые для посещения пользователям в определённое время и поддерживающая обновляемый в режиме реального времени сервис подписки на базу данных категорий веб узлов в зависимости от их содержимого. Кроме этого, поддерживается возможность создания списка безусловно запрещённых URL для определённых групп или всех пользователей корпоративной сети.
•	Безусловно, важный компонент защиты от перехвата пользовательской информации – это шифрование с применением технологий IPSEC и SSL.
•	Клиентское программное обеспечение – агент, работающий на большинстве типов мобильных платформ и позволяющий обеспечить максимальной защитой каждое конкретное клиентское устройство. Применение этого агента обеспечивает более высокую защищённость для описанных ранее методов MDM, VDI и других, работая с ними в тесной взаимной интеграции.

6.3. Централизованное управление политиками безопасности штатными средствами Microsoft

       В данной теме мы расскажем, как при помощи групповых политик безопасности (GPO) для рабочих станций под управлением Windows 7 и Windows Server 2008, можно централизованно управлять работой с внешними устройствами, сокращая риски утечки конфиденциальной информации за пределы компании.
       Управление внешними устройствами. Среди пользователей давно сложилось мнение, что за информационную безопасность должны отвечать специальные продукты от сторонних производителей. Однако существуют и активно развиваются штатные средства обеспечения безопасности, в том числе встроенные  в операционные системы. Операционные системы Windows 7 и Windows Server 2008 являются результатом эволюционного развития предыдущих версий операционных систем компании Microsoft и включают в себя как инструменты безопасности из прежних версий, так и полезные нововведения. В данном обзоре будет показано, как при помощи штатных настроек Windows 7 и Windows Server 2008 – групповых политик безопасности, можно централизованно управлять работой с внешними устройствами, уменьшая риски несанкционированного копирования и перемещения данных за пределы компании.
        Введение. Основное внимание при защите информации по-прежнему уделяется антивирусам, фаерволам, средствам предотвращения вторжений и другим средствам защиты от внешних видов угроз. В то время как другой класс задач – защита от внутренних видов угроз долгое время оставался «в тени». Однако сейчас на эти задачи начинают обращать все больше внимания, особенно это касается контроля за подключением внешних устройств, которые очень часто используются в качестве канала для кражи конфиденциальной информации из компании. Причиной этого является то, что в последнее время наблюдается рост как традиционных внешних устройств для хранения информации – флеш-накопителей, карт памяти и жестких дисков, так и бытовых приборов - MP3-плейеров, фотоаппаратов, мобильных телефонов, которые содержат карты памяти. Рынок таких устройств показывает экспоненциальный рост, при этом физические размеры устройств становятся все меньше и меньше, а производительность их и объем переносимых данных – все больше.
       Для компаний данный факт увеличивает два типа рисков – возможность «случайных» утечек (например, баз данных с информацией о клиентах, персональных данных или важной управленческой информации и т.п.) и возможность преднамеренной кражи важной информации из сети с целью мести или инсайда.
       Многие вендоры имеют в своем портфеле специализированные программы минимизации перечисленных типов рисков. Но далеко не все знают, что начиная еще с операционной системы Windows Vista, корпорация Microsoft встраивает в операционные системы возможность управлять использованием внешних запоминающих устройств с помощью групповых политик.
       В данном обзоре мы рассмотрим возможности централизованного управления подключением различных внешних устройств (DVD-дисководами, внешними винчестерами, USB-накопителями и т.д.) штатными средствами Microsoft при помощи специально предусмотренных для подобных целей групповых политик.
Вопрос, на который мы хотим ответить, звучит так: какие существуют сценарии для обеспечения безопасности информации при использовании внешних устройств и как их реализовать? Этот вопрос мы рассмотрим на примере работы с флеш-накопителями на рабочей станции с операционной системой Windows 7.
       Также следует отметить, что большинство описанных настроек интересны для применения в рамках предприятий, поэтому мы будем описывать функциональность, которая доступна в Windows 7 Enterprise (Корпоративная), а также старшей персональной версии Windows 7 Ultimate (Максимальная).
       Использование групповых политик для управления безопасностью. Групповые политики (Group Policy Object, GPO) – это набор правил, в соответствии с которыми производится настройка рабочей среды Windows. Групповые политики создаются и настраиваются как для домена в целом, так и для  отдельного персонального компьютера. Все настройки учетных записей, операционной системы, аудита, системного реестра, параметров безопасности, установки программного обеспечения и прочие параметры развертываются и обновляются в рамках домена при помощи параметров объектов групповой политики. Функциональность групповых политик с каждой следующей операционной системой Windows стабильно увеличивается, и в Windows 7 она включает в себя уже 3200 настроек. Списки групповых политик для разных операционных систем можно скачать по ссылке.
       Использование групповых политик позволяет решить следующие основные задачи: снизить риск заражения компьютера вредоносными программами, снизить риск утечки данных и снизить стоимость сопровождения системы.
       Для работы с групповыми политиками можно использовать несколько инструментов.
       Для локальных задач предусмотрен редактор объектов групповой политики. Он установлен в Windows 7 по умолчанию, и позволяет работать с групповыми политиками на локальном компьютере. Для запуска редактора групповых политик нужно запустить командную строку («Пуск-Все программы-Стандартные») и набрать команду gpedit.msc.
 
Рисунок 1. Запуск редактора объектов групповой политики через командную строку

       Редактор объектов групповой политики содержит два основных раздела: Конфигурация компьютера и Конфигурация пользователя. Параметры раздела «Конфигурация компьютера» всегда применяются при запуске компьютера, а параметры раздела «Конфигурация пользователя» – при входе пользователя в систему. Все политики распределены по разделам. Часть параметров одновременно присутствует в разделах «Конфигурация компьютера» и «Конфигурация пользователя». При конфликте параметров параметр в папке «Конфигурация компьютера» имеет преимущество перед параметром в папке «Конфигурация пользователя».
       Окно редактора разделено на две части: в левой находится дерево с разделами, в правой – политики из выбранного раздела.

Рисунок 2. Редактор объектов групповой политики

       Для работы с групповыми политиками для набора компьютеров в домене администраторам следует воспользоваться более функциональными инструментами.
       Первым таким инструментом является консоль управления групповыми политиками (Group Policy Management Console, GMPC), которая представляет собой универсальный и, в то же время, бесплатный административный инструмент. По умолчанию данная консоль не установлена в Windows 7, её можно скачать по ссылке, а инструкцию по её установке можно прочитать по ссылке.

Рисунок 3. Консоль управления групповой политикой, GMPC

       Консоль управления групповыми политиками позволяет выполнять следующие действия:
•	одновременно работать с несколькими групповыми настройками;
•	применять групповые политики к разным группам пользователей;
•	создавать шаблоны с настройками групповых политик;
•	устанавливать различие фильтры для политик;
•	создавать сценарии применения групповых политик;
•	создавать отчеты применения политик.
       Таким образом, для настройки безопасности в сети администратору нужно создать наборы политик, применить их ко всем компьютерам в сети или к группам компьютеров. Например, настроить шифрование дисков (при помощи BitLocker), запретить использование «ненужных» приложений (при помощи AppLocker), создать «белые»/«черные» списки с внешними устройствами или полностью запретить доступ к внешним устройствам, запретить изменение настроек IE и т.д.

Рисунок 4. Работа с консолью управления групповыми политиками

       Вторым инструментом от Microsoft для работы администратора с групповыми политиками является Advanced Group Policy Management (AGPM или расширенное управление политиками групп). Данный инструмент позволяет редактировать объекты групповой политики (GPO) в автономном режиме, осуществлять контроль версий объектов, а также автоматическое резервное копирование в случае их изменений. С его помощью можно делегировать редактирование GPO кому угодно - изменения не повлияют на компьютеры пользователей, пока имеющий права на установку администратор их не утвердит. По сути дела, AGPM предоставляет функции, необходимые администраторам больших корпоративных сетей. Выбрать версию для установки и просмотреть пошаговое руководство для AGPM можно по ссылке.

Рисунок 5. Расширенное управление политиками групп

       Следует отметить, что два данных инструмента являются бесплатными, и их можно скачать с сайта компании Microsoft. Сторонние производители также оценили важность инструментов для работы с групповыми политиками и предлагают свои разработки, которые либо имеют другой пользовательский интерфейс, либо дополнительный набор сервисных функций. Примеры таких программ и их функциональность приведены на рисунке.

Рисунок 6. Внешние программы для работы с групповыми политиками

       Пару слов необходимо сказать о составлении отчета, который содержит параметры групповой политики. Существует несколько способов его генерации. На уровне локального компьютера можно использовать инструмент Gpresult.exe, который запускается из командной строки и позволяет просматривать параметры групповой политики. Для генерации отчетов для всех компьютеров в домене можно использовать инструмент «Мастер результатов групповой политики», доступный в GMPC. Внешний вид результата, который генерирует данный мастер, представлен на рисунке.

Рисунок 7. Отчет о применении групповой политики

       Для организации безопасной работы с устройствами существует несколько типовых сценариев:
•	Запрет автозапуска внешних устройств;
•	Запрет установки любых внешних устройств;
•	Разрешение работы только определенных устройств;
•	Запрет работы с определенными устройствами;
•	Осуществление контроля над внешними устройствами;
•	Шифрование данных на внешних устройствах.
       Windows 7 позволяет одновременно реализовать несколько сценариев для увеличения безопасности компьютера при работе с внешними устройствами как с использованием только групповых политик, так и в их связке с другими механизмами безопасности. В зависимости от решаемой задачи, администратор может выбрать либо один из сценариев организации безопасности, либо их совокупность.
       Все административные инструменты предполагают два набора операций при настройке групповой политики – собственно конфигурирование политик и применение данных политик к группам пользователей. В данном обзоре мы рассмотрим настройку конкретных политик в редакторе групповой политики, т.к. именно эта часть является общей для всех административных инструментов.
       Запрет автозапуска внешних устройств. Автозапуск выполняется при определении внешнего устройства в операционной системе. Действия, которые должны быть выполнены при автозапуске, прописаны в файле autorun.inf. Файл autorun.inf широко используется для распространения компьютерных вирусов посредством флеш-накопителей и сетевых дисков. Для этого авторы вирусов прописывают имя исполняемого файла с вредоносным кодом в autorun.inf и, при подключении заражённого устройства Windows, запускает вредоносный файл на исполнение, в результате чего происходит заражение компьютера.
       При помощи групповых политик мы можем запретить автозапуск для определенных классов устройств или для всех устройств. Для реализации данного сценария в редакторе групповых политик нужно открыть раздел «Конфигурация компьютера - Административные шаблоны - Компоненты Windows - Политики автозапуска». Краткое описание политик управления автозапуском приведено в таблице 1.

Рисунок 8. Раздел «Политики автозапуска»

Таблица 1. Политики автозапуска
Параметр политики	Описание	
Отключить автозапуск (Turn off Autoplay)	При включенном автоматическом запуске система приступает к чтению данных сразу же после обнаружения носителя в устройстве. Данная политика позволяет отключить автозапуск либо только для компакт-дисков и других съемных носителей, либо для всех устройств.	
Не устанавливать флажок «Всегда выполнять выбранное действие» (Don't set the always do this checkbox)	Если данная политика включена, то флажок «Всегда выполнять выбранное действие» в диалоговом окне автозапуска не будет установлен по умолчанию при отображении данного окна.	
Отключить автозапуск устройств, не являющихся томами (Turn off Autoplay for non-volume devices)	Если включить эту политику, то автозапуск будет отключен для устройств, не являющихся томами, например, устройств на основе протокола передачи мультимедиа (MTP). Если политику отключить или не настраивать, автозапуск для этих устройств, не являющихся томами, остается включенным.	
Вариант работы автозапуска по умолчанию (Default behavior for AutoRun)	Контролирует поведение команд автозапуска по умолчанию. Политика позволяет определить, будет ли операционной системе разрешено обрабатывать содержимое файла autorun.inf.	
       Для отключения автозапуска в редакторе групповых политик выбираем политику «Отключить автозапуск», устанавливаем режим «Включить», затем из списка параметров выбираем пункт «Все устройства» и нажимаем кнопку «Ок».
 
Рисунок 9. Настройка политики «Отключить автозапуск»

       Для того чтобы исключить возможность доступа к файлу autorun.inf, нужно запретить обрабатывать содержание этого файла. Для этого выбираем политику «Вариант работы автозапуска по умолчанию», устанавливаем режим «Включить», затем из списка параметров выбираем пункт «Не исполнять команды автозапуска» и нажимаем кнопку «Ок».
 
Рисунок 10. Настройка политики «Вариант работы автозапуска по умолчанию»

       Таким же образом можно отключить автозапуск для устройств, не являющихся томами.
       Однако, помимо автозапуска при помощи autorun.inf, некоторые вирусы используют уязвимости в обработке LNK\PIF файлов, которые нельзя разрешить при помощи запрета автозапуска. Самым правильным решением данной проблемы является установка патча MS10-046, закрывающего данную уязвимость. Для 32-битной версии Windows 7 патч можно скачать.
       Вторым вариантом решения проблемы является настройка ограничения на использование программ. Данную настройку можно произвести либо при помощи AppLocker (что доступно только в Корпоративной и Максимальной версии Windows 7), либо при помощи групповых политик. При применении групповых политик нужно воспользоваться разделом «Конфигурация компьютера - Конфигурация Windows - Параметры безопасности - Политики ограниченного использования программ».
       Третьим способом является изменение настроек расширений файлов, которые Windows воспринимает как исполняемые. Для этого в редакторе групповых политиках откроем раздел  «Конфигурация компьютера - Конфигурация Windows - Параметры безопасности - Назначенные типы файлов» и исключим из списка исполняемых файлов расширение «*.lnk». После этого при открытии флеш-накопителя мы можем избежать заражения при помощи «*.lnk» - файлов.
       Хотя установка указанного обновления является самым правильным способом обезопасить себя от описанной угрозы.
       Запрет/разрешение работы с внешними устройствами. Ситуации, при которых пользователи могут подключать к компьютеру любые внешние устройства, представляют существенный риск безопасности. Для ограничения работы с внешними устройствами в Windows 7 используется набор политик, позволяющий в каждом конкретном случае настраивать правила установки (запрет или разрешение) внешних устройств.
       Для настройки разрешения или запрета установки внешних устройств необходимо в редакторе групповых политик открыть раздел «Конфигурация компьютера - Административные шаблоны - Система - Установка устройств - Ограничения на установку устройств». Краткое описание данных политик приведено в таблице 2.
 
Рисунок 11. Раздел «Ограничения на установку устройств»

Таблица 2. Политики ограничения на установку устройств
Параметр политики	Описание	
Разрешить администраторам заменять политики ограничения установки устройств (Allow administrators to override Device Installation Restriction policies)	Эта политики позволяет членам локальной группы администраторов устанавливать и обновлять драйверы любых устройств независимо от других параметров политики.	
Разрешить установку устройств, соответствующих какому-либо из этих кодов устройств (Allow installation of devices that match any of these device IDs)	Позволяет указать список кодов оборудования и совместимых кодов, соответствующих разрешенным устройствам.	
Разрешить установку устройств с использованием драйверов, соответствующих этим классам установки устройств (llow installation of devices using drivers that match these device setup classes)	Позволяет указать список глобальных идентификаторов (GUID) классов установки устройств, которые описывают разрешенные устройства.	
Запретить установку устройств, не описанных другими параметрами политики (Prevent installation of devices not described by other policy settings)	Позволяет запретить установку устройств, которые не указаны в каком-либо ином параметре политики.	
Запретить установку устройств, соответствующих этим кодам устройств (Prevent installation of devices that match any of these device IDs)	Позволяет указать список кодов оборудования и совместимых кодов устройств Plug and Play, которые запрещено устанавливать.	
Запретить установку устройств с использованием драйверов, соответствующих этим классам установки устройств (Prevent installation of devices using drivers that match these device setup classes)	Позволяет указать список глобальных идентификаторов (GUID) классов установки устройств тех драйверов, которые запрещены к установке.	
Запретить установку съемных устройств (Prevent installation of removable devices)	Запрещает Windows устанавливать съемные устройства. Устройство считается съемным, если подключенный к нему драйвер описывает его как съемное.	
Отображать заголовок специального сообщения, когда установка устройства запрещена параметром политики (Display a custom message title when device installation is prevented by a policy setting)	Позволяет задать требуемый заголовок всплывающему сообщению, которое появляется при попытке установить устройство, запрещенное параметром политики.	
Отображать специальное сообщение, когда установка запрещена параметром политики (Display a custom message when installation is prevented by policy settings)	Позволяет задать требуемый текст всплывающего сообщения, которое появляется при попытке установить устройство, запрещенное параметром политики.	
Данные политики можно применять одновременно, поэтому для корректной работы каждая из политик имеет свой приоритет (рисунок 12).

Рисунок 12. Приоритеты политик для ограничения установки устройств

       Рассмотрим несколько сценариев, которые можно реализовать при помощи данного раздела групповой политики.
       Запрет установки любых внешних устройств. Данный сценарий является самым радикальным, потому и самым эффективным. Перефразируя известную поговорку, можно сказать: «Нет внешних устройств, нет проблем». Для запрета всех внешних устройств в разделе «Ограничения на установку устройств» выбираем политику «Запретить установку устройств, не описанных другими параметрами политики» и устанавливаем режим «Включить».
 
Рисунок 13. Настройка политики запрета установки устройств

       Далее выбираем политику «Запретить установку съемных устройств» и устанавливаем режим «Включить».

Рисунок 14. Настройка политики «Запретить установку съемных устройств»

       Если необходимо предоставить доступ к внешним устройствам пользователям с административными правами, выбираем политику «Разрешить администраторам заменять политики ограничения установки устройств» и устанавливаем режим «Включить».

Рисунок 15. Разрешение администраторам обходить политики установки устройств

       После этого все внешние устройства не будут устанавливаться на компьютере. Однако, не смотря на выбор таких жестких настроек, это не дает гарантии 100% защиты от установки внешних устройств. Это связанно с тем, что операционная система будет блокировать устройства, распознанные как съемные или устройства со встроенной памятью. Теоретически, производитель может прописать для своего устройства любой идентификатор – нестандартный или определенный для другого типа оборудования. В случае, когда необходимо исключить работу со всеми внешними устройствами, можно дополнительно к указанным настройкам запрещать все виды доступа ко всем классам устройств и требовать их принудительного шифрования данных (данные сценарии описаны ниже).
       Запрет работы с устройствами из «черного» списка. Данный сценарий позволяет организовывать «черный» список устройств, которые по каким-то причинам не должны использоваться на компьютере. Такой причиной может быть замеченная вирусная активность на этом устройстве или ненадежность того или иного сотрудника.
       Вначале немного теории. Для управления установкой и настройкой устройств Windows использует идентификаторы двух типов: строки информации об устройствах и классы установки устройств. При установке нового устройства операционная система запрашивает у устройства информацию, которую производитель записал в INF-файле, входящий в драйвер устройства. В соответствии с этой информацией Windows выбирает из набора имеющихся в ней драйверов тот, который в соответствии с набором приоритетов лучше всего подходит для конкретного устройства.
       Строки информации об устройствах содержат специфические для каждого устройства коды оборудования (специальные идентификаторы с описанием определенной марки, модели и версии устройства) и коды совместимости (идентификаторы устройств, которые теоретически можно использовать при отсутствии специальных драйверов устройства). Каждый из классов установки устройств содержат идентификатор класса устройств, к которому принадлежит конкретное устройство. Большинство устройств относятся к заранее определенным классам (DVD-проигрыватели, USB-накопители и т.д.), однако следует помнить, что некоторые устройства могут быть определены производителем как относящиеся к нескольким классам устройств или к некому уникальному классу. Поэтому следует внимательно формулировать задачи в процессе настройки безопасности, закрывать все возможные «дыры» в защите и, в некоторых случаях, тестировать результат применения политик.
       Для того чтобы включить конкретное устройство в «черный» список устройств, нужно получить идентификаторы данного устройства или классов, к которым оно относится. Вначале рассмотрим использование кодов оборудования и кодов совместимости.
       Вставляем флеш-накопитель в компьютер, ждем его определения в операционной системе и вызываем диспетчер задач. Для этого нужно войти в панель управления и выбрать пункт «Система». В открывшемся окне нужно вызвать «Диспетчер устройств».

Рисунок 16. Окно «Система» в Панели инструментов

       В окне диспетчера устройств мы видим «дерево», в котором находятся обозначения всех устройств, обнаруженных на компьютере». Из списка устройств компьютера выбираем пункт «Дисковые устройства».

Рисунок 17. Открываем Диспетчер устройств в Windows 7

       В этом пункте выбираем строку «JetFlash TS1GJF160 USB Device» (это наш флеш-накопитель), вызываем контекстное меню и выбираем пункт «Свойства». В свойствах диска выбираем вкладку «Сведения» и в выпадающем списке «Свойства» выбираем пункт «ИД Оборудование». Данные коды нужно скопировать в какой-нибудь документ, они нам понадобятся далее.

Рисунок 18. Выбор идентификаторов флеш-накопителя

       Затем в выпадающем списке «Свойства» выбираем пункт «Совместимые ИД». Эти коды тоже нужно скопировать.

Рисунок 19. Выбор идентификаторов совместимости для флеш-накопителя

       После этого в разделе «Ограничения на установку устройств» выбираем политику «Запретить установку устройств, соответствующих этим кодам устройств» и устанавливаем режим «Включить».

Рисунок 20. Политика запрета устройств по идентификатору устройства

       В поле «Параметры» нажимаем на кнопку «Показать» и в открывшемся окне «Вывод содержания» вводим сохраненные ранее значения идентификаторов. Нажимаем «Ок».

Рисунок 21. Вводим идентификаторы запрещенного устройства

       Если установить флажок «Также применять для соответствующих устройств, которые уже были установлены», то запрет на устройство будет применен сразу, иначе надо заново вставить устройство. После применения политики будет выведено сообщение «Установка драйвера», в котором нам будет сказано о том, что установка данного устройства запрещена политикой безопасности.

Рисунок 22. Сообщение о запрете установки устройства

       Будет выведено сообщение «Программное обеспечение для устройства не было установлено».
 
Рисунок 23. Сообщение о запрете установки устройства в трее

       Если посмотреть в диспетчере устройств, мы увидим, что флеш-накопитель стал определяться в разделе «Другие устройства» и недоступен для работы.

Рисунок 24. Устройство недоступно для работы

       Также запретить работу с устройством можно по его коду оборудования. Для этого в свойствах диска на вкладке «Сведения», в выпадающем списке «Свойства» выбираем пункт «GUID класса устройств». Копируем этот код.

Рисунок 25. Выбор кода оборудования флеш-накопителя

       После этого в разделе «Ограничения на установку устройств» выбираем политику «Запретить установку устройств с использованием драйверов, соответствующих этим классам установки устройств» и устанавливаем режим «Включить».

Рисунок 26. Политика запрета устройств по идентификатору класса устройств

       В поле «Параметры» нажимаем на кнопку «Показать» и в открывшемся окне «Вывод содержания» вводим сохраненное ранее значения идентификатора. Нажимаем «Ок».

Рисунок 27. Вводим идентификатор запрещенного класса устройств

       Разрешение работы только с определенными устройствами. Данный сценарий при должном контроле над носителями информации (например, запрете их выноса с предприятия) позволяет исключить ситуации воровства информации.
       Для выполнения разрешения установки только определенных устройств нужно повторить ту же последовательность действий, что и в предыдущем сценарии. Для разрешения установки устройства по его идентификатору используется политика «Разрешить установку устройств, соответствующих какому-либо из этих кодов устройств».

Рисунок 28. Политика разрешения устройств по идентификатору устройства

А для разрешения устройства по классу, к которому оно принадлежит, используется политика «Разрешить установку устройств с использованием драйверов, соответствующих этим классам установки устройств».

Рисунок 29. Политика разрешения устройств по идентификатору класса устройств

       В конце данного описания стоит сказать еще об одной полезной функции – формировании оповещений пользователям о запрещенных действиях. Для этого используются политики «Отображать заголовок специального сообщения, когда установка устройства запрещена параметром политики» и «Отображать специальное сообщение, когда установка запрещена параметром политики». С их помощью мы можем заменить стандартное сообщение о блокировке устройства на что-нибудь более суровое, например, на такое «Вы нарушили политику использования сменных устройств в нашей фирме, при следующем нарушении из Вашей зарплаты будет вычтено 50$».
       Осуществление контроля над внешними устройствами. Еще одним способом защиты компьютера от различного вида угроз является установка уровня доступа для различных классов устройств после их установки:
•	запрет на чтение с устройств позволяет уменьшить риск заражения компьютера принесенными «извне» вредоносными программами;
•	запрет на запись, наоборот, не позволит сотруднику вынести за периметр предприятия внутренние документы;
•	запрет на выполнение с внешних устройств позволяет снизить риски заражения компьютера при запуске приложений.
Параметр политики	Описание	
Съемные запоминающие устройства всех классов: Запретить любой доступ (All Removable Storage classes: Deny all access)	Когда политика включена, то запрещается доступ для чтения и записи к любым устройствам, определенным как устройства, использующие съемные носители. Политика имеет приоритет перед любыми параметрами политики в этом разделе.	
Все съемные носители: Разрешать прямой доступ в удаленных сеансах (All Removable Storage: Allow direct access in remote sessions)	Политика позволяет под учетной записью обычного пользователя обращаться к съемному носителю в рамках удаленного сеанса.	
Компакт-диски и DVD-диски: Запретить выполнение, Запретить чтение, Запретить запись (CD and DVD: Deny execute access, Deny read access, Deny write access)	Данные политики позволяют запретить выполнение приложений, чтение и запись с CD- и DVD-дисков.	
Специальные классы: Запретить чтение, Запретить запись (Custom Classes: Deny read access, Deny write access)	Данные политики позволяют запретить чтение и запись с нестандартных устройств.	
Накопители на гибких дисках: Запретить выполнение, Запретить чтение, Запретить запись (Floppy Drives: Deny execute access, Deny read access, Deny write access)	Данные политики позволяют запретить выполнение приложений, чтение и запись с гибких дисков.	
Съемные диски: Запретить выполнение, Запретить чтение, Запретить запись (Removable Disks: Deny execute access, Deny read access, Deny write access)	Данные политики позволяют запретить выполнение приложений, чтение и запись со съемных дисков.	
Ленточные накопители: Запретить выполнение, Запретить чтение, Запретить запись (Tape Drives: Deny execute access, Deny read access, Deny write access)	Данные политики позволяют запретить выполнение приложений, чтение и запись с ленточных накопителей.	
WPD-устройства: Запретить выполнение, Запретить чтение, Запретить запись (WPD Devices: Deny execute access, Deny read access, Deny write access)	Данные политики позволяют запретить выполнение приложений, чтение и запись со съемных дисков в устройствах WPD (Windows Portable Device),	
	 например, проигрыватели мультимедиа, мобильные телефоны, устройства под управлением ОС Windows CE.	
       Для настройки доступа к различным видам устройств нужно в редакторе групповых политик открыть раздел «Конфигурация компьютера - Административные шаблоны - Система - Доступ к съемным запоминающим устройствам». Краткое описание политик управления автозапуском приведено в таблице 3. Политики доступа к каждому из классов устройств в таблице объединены в одну группу.
 
Рисунок 30. Раздел «Доступ к съемным запоминающим устройствам»

Таблица 3. Политики доступа к съемным запоминающим устройствам
       Запрет любого доступа для всех видов устройств выполняется следующим образом. В редакторе групповой политики выбираем политику «Съемные запоминающие устройства всех классов: Запретить любой доступ», устанавливаем режим «Включить» и нажимаем кнопку «Ок».

Рисунок 31. Политика запрета доступа для всех съемных устройств

       Далее следует запретить доступ к съемным устройствам при удаленных сеансах. Для этого в правой части окна выбираем политику «Все съемные носители: Разрешать прямой доступ в удаленных сеансах», устанавливаем режим «Включить» и нажимаем кнопку «Ок».

Рисунок 32. Политика для запрета доступа для всех съемных устройств

После применения, доступ для всех описанных классов устройств будет заблокирован.
       Если нам нужно запретить для конкретного класса устройств запретить выполнение, запись или чтение нам нужно включить соответствующую политику. Например, чтобы запретить чтения со съемных дисков, в редакторе групповой политики выбираем политику «Съемные диски: Запретить чтение», устанавливаем режим «Включить» и нажимаем кнопку «Ок».

Рисунок 33. Политика для запрета чтения со съемных устройств

Отключение доступа ко всем классам устройств производится аналогично.
       Шифрование данных на внешних устройствах. Появившаяся в Windows Vista технология шифрования дисков BitLocker обеспечивает защиту данных и предотвращает взлом защиты неавторизованными пользователями на утерянных или украденных устройствах. В операционной системе Microsoft Windows 7 была добавлена технология BitLocker To Go, которая предназначается для защиты данных на сменных носителях (например, внешних приводах, SD-картах и USB-накопителях). Шифрование может быть настроено таким образом, чтобы доступ к данным был получен только при наличии соответствующего пароля или ключа. Доступ также может быть разрешен только на том компьютере, на котором было зашифровано устройство или только на компьютерах фирмы.
       Диски, зашифрованные BitLocker To Go, могут требовать для доступа либо пароль, либо смарт-карту. В последнем случае необходимо обеспечить считывателями смарт-карт все компьютеры, на которых будет использоваться данный съемный диск.
       При помощи групповых политик мы можем ввести требование включать на съемном диске защиту BitLocker To Go, прежде чем разрешать копирование на него. Для реализации этого сценария в редакторе групповых политик нужно открыть раздел «Конфигурация компьютера - Административные шаблоны - Компоненты Windows - Шифрование дисков BitLocker - Съемные диски с данными».
 
Рисунок 34. Раздел «Съемные диски с данными»
Параметр политики	Описание	
Управление использованием BitLocker для съемных дисков (Control use of BitLocker on removable drives)	Управляет использованием BitLocker на съемных дисках с данными. Если эта политика задана, пользователи могут шифровать съемные диски. Данная политика также позволяет запрещать отключение шифрования.	
Настроить использование смарт-карт на съемных дисках с данными (Configure use of smart cards on removable data drives)	Политика позволяет включать возможность использования смарт-карт для проверки подлинности пользователя при доступе к защищенным съемным дискам с данными.	
Запретить запись на съемные диски, не защищенные BitLocker (Deny write access to removable drives not protected by BitLocker)	Определяет, необходимо ли включить защиту BitLocker, чтобы иметь возможность записи на съемный диск с данными. Также контролирует, можно ли осуществлять запись на диск, защищенный BitLocker в другой организации.	
Разрешить доступ к съемным дискам с данными, защищенным с помощью BitLocker, из более ранних версий Windows (Allow access to BitLocker-protected removable data drives from earlier versions of Windows)	Эта политика определяет, можно ли разблокировать и просматривать съемные диски с файловой системой FAT на компьютерах под управлением ОС Windows Server 2008, Windows Vista, Windows XP (SP2 и SP3).	
Настроить использование паролей для съемных дисков с данными (Configure use of passwords for removable data drives)	Политика позволяет включить/отключить использование пароля для разблокирования устройств, защищенных BitLocker. Она также задает параметры пароля: его сложность и длину.	
Выбор методов восстановления съемных дисков, защищенных с помощью BitLocker (Choose how BitLocker-protected removable drives can be recovered)	Политика включает возможность восстановления данных, при отсутствии требуемых учетных данных, и позволяет настроить используемый для восстановления метод.	

       В данном разделе находятся шесть политик, краткое описание которых приведено в таблице 4.
 
Таблица 4. Параметры политики шифрования устройств
       В редакторе групповой политики выбираем политику «Управление использованием BitLocker для съемных дисков», устанавливаем режим «Включить», устанавливаем галку «Разрешить пользователям применять защиту BitLocker для съемных дисков с данными». Галка «Разрешить пользователям временно приостанавливать защиту BitLocker и расшифровывать съемные диски с данными» должна быть не установлена. Нажимаем кнопку «Ок».

Рисунок 35. Настройка политики включения шифрования

       При наличии смарт-карт можно использовать их для доступа к зашифрованным устройствам при помощи политики «Настроить использование смарт-карт на съемных дисках с данными».
       Для запрета записи на незашифрованные диски выбираем политику «Запретить запись на съемные диски, не защищенные BitLocker», устанавливаем режим «Включить». Если мы хотим, чтобы устройства могли читаться только внутри нашей организации, то устанавливаем галку «Запретить запись на устройства, настроенные в другой организации». Нажимаем кнопку «Ок».

Рисунок 36. Настройка политики запрета на незашифрованные съемные диски

       Для запрета доступа к зашифрованному носителю на ранних ОС Windows выбираем политику «Разрешить доступ к съемным дискам с данными, защищенным с помощью BitLocker, из более ранних версий Windows», устанавливаем режим «Отключить» и нажимаем кнопку «Ок».

Рисунок 37. Настройка политики запрета чтения зашифрованных устройств в ранних версиях Windows

       Также полезно настроить параметры использования пароля для доступа к зашифрованным данным. Для этого выбираем политику «Настроить использование паролей для съемных дисков с данными», устанавливаем режим «Включить», установить галку «Требовать пароль для съемного диска с данными», установить требование вводить сложный пароль и устанавливать длину пароле не менее 8 символов. Нажимаем кнопку «Ок».

Рисунок 38. Настройка параметров используемого пароля

       При необходимости можно настроить выбор методов восстановления съемных дисков, защищенных с помощью BitLocker, при помощи соответствующей политики.
      После применения данных политик пользователи смогут записывать данные только в зашифрованном виде, на съемные носители только своей организации, только в ОС Windows 7 и получать доступ к данным только при наличии пароля.
       Выводы. Описав возможности штатных средств Microsoft для управления работой с внешними устройствами в операционных системах Windows Vista/7 и Windows Server 2008, стоит отметить положительные и отрицательные стороны данных средств.
       Плюсы:
1.	Простота использования редактора групповых политик и большое количество справочных материалов. Это позволяет с минимальным количеством знаний произвести необходимые настройки.
2.	Наличие инструментов для администраторов (Group Policy Management Console и Advanced Group Policy Management) позволяет эффективно применять настройки к большому числу компьютеров в сети предприятий.
3.	Большое количество сценариев для обеспечения безопасности и набор существующих политик позволяют гибко подходить к различным ситуациям – от полного блокирования всех устройств до блокирования конкретного устройства.
4.	Возможность создавать гибкие политики использования внешних носителей, например, запретить только запись, запретить исполнение, разрешить запись только на зашифрованный носитель и т.п.
5.	В подавляющем большинстве случаев настройка безопасности позволяет исключить риск кражи или потери информации.
6.	Отсутствие необходимости дополнительно покупать и устанавливать сторонние решения.
7.	Возможность управления политиками при помощи внешних решений в случае необходимости. Например, при помощи таких программ как Group Policy Change Reporter, Policy Commander, GPOAaDmin и т.д.
       Минусы:
1.	При ограничении работы к внешними устройствам через GPO главное внимание уделяется USB-накопителям и картам памяти. Но ведь утечка данных может произойти не только через эти устройства. Существуют еще локальные принтеры, модемы, жесткие диски, сетевые адаптеры и много других устройств. Часть из них, конечно, можно заблокировать, используя политики, специально «заточенные» под конкретные типы устройств, а часть из них заблокировать  невозможно вовсе. Поэтому в случае необходимости более жесткого контроля следует присмотреться к платным решениям других вендоров.
2.	Описанные в статье возможности появились только в Windows Vista и недоступны пользователям Windows XP, которых в нашей стране еще достаточно много. Для нах доступны только ограничения для уже установленных устройств (через Group Policy Preferences Devices). Поэтому чтобы иметь полный контроль за внешними накопителями в середе Windows XP придется использовать платные решения других вендоров.
3.	Еще одним минусом является то, что для работы большинства настроек требуется, чтобы пользователь не имел прав администратора. Если пользователь обладает правами локального администратора, то он может обходить часть запретов. Одним из способов ограничить таких пользователей является отключение политики «Разрешить администраторам заменять политики ограничения установки устройств». Но это ограничивает только работу с частью устройств.