Не стоит требовать от веб-браузера слишком многого
Статьи и заметки о проблемах безопасности веб-браузеров в последнее время размножаются, как кролики. Браузеры обвиняют в большинстве, если не во всех проблемах корпоративных и индивидуальных пользователей, связанных с обеспечением безопасности в Сети. Но лично я смотрю на этот вопрос совсем по другому. Проблема не в браузерах. Главный источник всех неприятностей, как правило, сидит в полуметре от монитора.
Разумеется, наличие в браузере определенных функций безопасности еще никому не мешало. Зачем открывать ворота нараспашку, если неподалеку рыщут варвары. Однако одних ворот мало для надежной защиты замка от врагов.
Еще можно посмотреть на эту проблему с точки зрения предотвращения заболеваний, как это сделал Мелит Абдулайоглу в своей недавней статье для сайта Security Focus:
«Когда-то большинство заболеваний было смертельно для человека. Благодаря многовековому опыту медицинских исследований врачи научились лечить болезни более эффективно, а потом и вовсе их предотвращать.
Вакцинация стала проверенным и надежным методом предотвращения заболеваний, позволив активизировать естественные защитные механизмы организма для противостояния переносчикам болезней. Секрет в том, чтобы укрепить иммунитет и создать непроходимый барьер для микробов, а не в том, чтобы просто устранить симптомы заболевания.
Тот же принцип применим и к интернет-браузерам. Конечно, они оборудованы встроенными механизмами безопасности, однако быть все время начеку — не их задача. Браузеры нужны для просмотра веб-сайтов. Вместо того, чтобы пытаться собственными силами защитить пользователя от всех угроз, они должны работать в тандеме с другими средствами безопасности, предназначенными для защиты данных и компьютерной сети от злоумышленников и для предотвращения хакерских атак».
Источник: Мелит Абдулайоглу, «Не вините браузер», (Melith Abdulhayoglu, Don’t Blame the Browser), Security Focus, 6 февраля 2009
Ключевая мысль: браузеры предназначены для выполнения определенной функции — для просмотра веб-сайтов, а не для защиты компьютера от многочисленных вредоносных программ, которыми кишит сетевое пространство. И разумеется, не стоит ожидать, что они смогут защитить корпоративную сеть от глупых поступков пользователей. Браузер умеет делать только то, для сего предназначен, поэтому мы должны быть готовы к тому, что вредоносное ПО в наши системы все-таки проникнет. Вопрос не в том, насколько эффективно браузеры предотвращают атаки, а в том, насколько мы подготовлены к борьбе с неизбежным заражением одного или нескольких компьютеров в корпоративной сети и какие меры мы должны принять, если посещения опасных веб-сайтов не избежать.
Начнем со второго вопроса: как защититься от потенциальных угроз при путешествии по Сети? Мне, например, по работе часто приходится посещать новые интересные сайты. Ни один из существующих браузеров не сможет полностью защитить меня от автоматических атак, с которыми я обречен рано или поздно и столкнуться. И не только автоматических: мне ведь и самому интересно нажимать неизвестные ссылки, чтобы посмотреть, что из этой выйдет. Так как же мне защитить свой компьютер?
Прежде всего, я никогда не полагаюсь на браузер. Для личного пользования мне подходит Firefox, а по работе я пользуюсь Google Chrome — он гораздо удобнее в этом отношении. Рассчитываю ли я, что Chrome защитит мой компьютер от атак? Ни в коем случае. Чтобы снизить опасность заражения домашней сети, я сам принимаю определенные предосторожности:
1... Я запускаю Chrome в изолированной среде Sandboxie. Любая зараза, которую я при этом могу подцепить, удаляется автоматически при завершении работы с «песочницей». Дело в том, что в Sandboxie предусмотрена новая функция типа DropMyRights, которая позволяет работать в изолированной среде без административных прав. 2... Все компьютеры защищены брандмауэром, антивирусом и антишпионским ПО. 3... На все компьютеры регулярно ставятся свежие обновления безопасности — это одна из самых важных превентивных мер.
Ну и разумеется, я полагаюсь на собственный здравый смысл. Однако рассчитывать на здравый смысл всех пользователей в корпоративной сети не приходится, поэтому я принимаю дополнительные меры предосторожности:
1... В сети постоянно ведется мониторинг для выявления аномального поведения, в том числе для предотвращения утечки данных. 2... Веб-фильтрация позволяет свести к минимуму риск посещения нежелательных и опасных сайтов. 3... Среди сотрудников регулярно ведутся разъяснительные работы в надежде приучить хотя бы некоторых пользователей включать мозги, прежде чем нажимать на все подряд ссылки. 4... По возможности пользователям не даются права администратора на локальных компьютерах, а пользование портативными устройствами строго контролируется.
И наконец, я всегда учитываю вероятность заражения или атаки и планирую работу, исходя из этой вероятности. Не стоит рассчитывать, что даже самый взвешенный многоуровневый подход к безопасности сможет остановить упорного хакера. И конечно, нельзя ожидать, что сколь угодно многочисленные механизмы защиты смогут обезопасить наши сети от бездумных поступков пользователей. Что уж в таком случае говорить о браузерах.
Единственное, чего я требую от браузера — чтобы он работал именно так, как обещают его разработчики, безо всяких дополнительных уязвимостей, связанных с небрежно написанным кодом или непродуманной архитектурой. Пожалуй, производителям стоит сосредоточиться именно на этих аспектах безопасности, а уж мы позаботимся обо всем остальном.
