Опубликование информации на web-сайтах
Политика опубликования в web должна содержать следующие элементы:
- определение типа информации, которая может быть публично доступна;
- определение типа информации с ограниченным доступом;
- определение типа информации, которая не должна публиковаться в публично доступном репозитории.
Следует помнить, что web-сайты часто являются первым источником, где нарушители пытаются найти значимую информацию. Например, атакующий обычно читает содержимое сайта целевой организации для получения необходимых сведений перед осуществлением любой другой атаки.
Публичный web-сайт обычно не содержит следующую информацию:
- классифицированные записи;
- внутренние правила и процедуры для персонала;
- чувствительную или частную информацию;
-
персональную информацию о служащих организации:
- домашние адреса и номера телефонов;
- номера различных социальных карточек;
- детальный биографический материал;
- фамилии руководства.
- номера телефонов, e-mail адреса и т.п.;
- расписание сотрудников организации и их внешние координаты;
- чувствительную информацию, относящуюся к домашней безопасности;
- исследовательские записи;
- финансовые записи (кроме тех, которые всегда публично доступны);
- медицинские записи;
- процедуры физической и информационной безопасности;
- информацию о сети организации и информационной инфраструктуре (например, диапазоны адресов, соглашения именования, номера доступа);
- информацию, которая описывает или подразумевает уязвимости физической безопасности;
- планы, карты, диаграммы и т.п. строений;
- информацию о восстановлении после стихийных бедствий или непредвиденных обстоятельств;
- материалы, защищенные копирайтом, без письменного разрешения собственника;
- политики безопасности, которые указывают типы мер безопасности в той степени, в которой это может быть полезно атакующему.
Никогда нельзя использовать публичный web-сервер для хранения чувствительной информации, которая должна быть доступна только внутренним пользователям (компрометация публичного web-сервера обязательно приведет к компрометации этих данных).
Для гарантирования согласованного подхода организация должна создать формальную политику и описать процесс определения того, какая информация публикуется на web-сервере. Во многих организациях за это отвечает офицер информационной службы (Chief Information Officer — CIO). Такой процесс должен включать следующие шаги.
- Определить информацию, которая должна публиковаться в web.
- Определить целевую аудиторию.
- Определить возможные негативные последствия опубликования информации.
- Определить, кто отвечает за создание, опубликование и сопровождение конкретной информации.
- Создать или отформатировать информацию для опубликования в web.
- Просмотреть информацию на предмет наличия чувствительных данных.
- Определить соответствующий доступ и управление безопасностью.
- Опубликовать информацию.
- Проверить опубликованную информацию.
- Периодически просматривать опубликованную информацию на соответствие текущим требованиям политики безопасности.
Областью web-содержимого, про которую часто забывают, является информация, находящаяся в исходном коде HTML-страницы. Она может быть просмотрена из web-браузера использованием опции меню view source code. Разработчики часто не придают значения содержимому исходного кода их HTML страниц, даже если этот код содержит чувствительную информацию. Он может, например, содержать указатели на контактную информацию и показывать части структуры директории web-сервера. Атакующие могут проанализировать не только очевидное содержимое web-сайта, но также и исходный код; следовательно, web-администраторы должны проверять создаваемые HTML страницы своего web-сервера.
