• WstÄ™p
• Kluczowe wnioski
• Metodologia badania i profil uczestnika sondażu
• Opcje korzystania z VoIP
• Zagrożenia zwiÄ…zane ze Skypem
• ŹródÅ‚o zagrożeÅ„
• BezpieczeÅ„stwo i Skype
• Wniosek

Wstęp

Technologia VoIP (Voice over Internet Protocol) rozwija się błyskawicznie. Najpopularniejszym produktem VoIP na rynku jest Skype. Program ten pozwala użytkownikom na znaczne zredukowanie opłat telefonicznych w porównaniu z tradycyjnymi sieciami telefonicznymi, przy czym jakość połączenia pozostaje taka sama. Inną zaletą Skypa jest łatwość użycia. Wystarczy zainstalować program, podłączyć mikrofon i można już rozmawiać, wymieniać pliki, wiadomości tekstowe itd.

Skype wykorzystywany jest nie tylko przez użytkowników domowych, ale również w sieciach korporacyjnych. Nie powinno to dziwić, ponieważ znacznie zmniejsza koszty rozmów długodystansowych i międzynarodowych oraz ułatwia komunikację wewnątrz biura. Ponadto skonfigurowanie i korzystanie z tego systemu nie wymaga żadnych przywilejów administratora. Pracownicy mogą bezpłatnie pobrać Skypa z Internetu i zainstalować go na korporacyjnych stacjach roboczych. Może to jednak powodować nowy problem: wzrost zagrożeń bezpieczeństwa danych związanych z użytkowaniem Skypa w środowisku korporacyjnym.

Skype i bezpieczeństwo sieciowe stają się coraz poważniejszym problemem. Skype jest szeroko rozpowszechnionym programem, którym zainteresowani są zarówno wewnętrzni złodzieje, jak i hakerzy. Pracownicy kradnący informacje firmowe mogą wykorzystać do tego celu Skypa. Istnieją też liczne przykłady na to, że hakerzy badają Skypa pod kątem luk.

Niniejsze badanie jest pierwszym rosyjskim badaniem dotyczÄ…cym wykorzystywania Skypa w sieciach korporacyjnych. Jego celem jest:

• OkreÅ›lenie obaw specjalistów w dziedzinie IT oraz bezpieczeÅ„stwa informatycznego odnoÅ›nie korzystania ze Skypa w intranecie firmy.
• Zidentyfikowanie dodatkowych zagrożeÅ„ bezpieczeÅ„stwa danych, które zwiÄ™kszajÄ… te obawy.
• Wskazanie źródÅ‚a tych zagrożeÅ„.

Kluczowe wnioski

• Skype jest najpopularniejszym produktem VoIP. Prawie poÅ‚owa badanych (46,8%) korzystaÅ‚a ze Skypa. JeÅ›li pominiemy osoby, które nie używajÄ… żadnego produktu VoIP, udziaÅ‚ Skypa wyniesie 64,9%.
• Ryzyko wycieku poufnych informacji stanowi najwiÄ™ksze zagrożenie (55,6%) dla sieci korporacyjnej, w której korzysta siÄ™ ze Skypa. To oznacza, że ankietowani w peÅ‚ni zdajÄ… sobie sprawÄ™, że program ten stanowi kanaÅ‚ wycieku informacji dla wewnÄ™trznych zÅ‚odziei.
• Skype sam w sobie nie jest źródÅ‚em tych dodatkowych zagrożeÅ„. Główny problem stanowi czynnik ludzki (44,6%), a nie bÅ‚Ä™dy w samym programie.
• Mimo to prawie dwie trzecie respondentów (66,4%) przychyla siÄ™ do opinii, że zagrożenia zwiÄ…zane z wprowadzeniem Skypa do Å›rodowiska korporacyjnego stanowiÄ… poważnÄ… przeszkodÄ™ w rozpowszechnieniu tego programu w firmach. Tylko jedna trzecia specjalistów (33,7%) uważaÅ‚a, że problemy bezpieczeÅ„stwa danych nie bÄ™dÄ… miaÅ‚y wpÅ‚ywu na zaimplementowanie Skypa w sieciach korporacyjnych.

Metodologia badania i profil uczestnika sondażu

Badanie zostało wykonane przez centrum analityczne firmy InfoWatch w dniach 15-30 stycznia 2007 roku. 1 242 uczestników sondażu udzieliło odpowiedzi za pośrednictwem formularza online. Proces przetwarzania danych i analizy wyników został przeprowadzony również przez centrum analityczne InfoWatch. Liczby procentowe zostały zaokrąglone z dokładnością do jednej dziesiątej procenta.

Status IT uczestników sondażu

Uczestnicy badania dzielili siÄ™ na trzy grupy:

• SpecjaliÅ›ci ds. bezpieczeÅ„stwa informatycznego: 37,1%
• Administratorzy systemu: 34,3%
• Użytkownicy: 28,6%

W sumie, profesjonaliści IT stanowili około 71,1% badanych.

Opcje korzystania z VoIP

Rysunek 2 pokazuje preferencje uczestników sondażu odnośnie dostępnych programów VoIP. Na pierwszym miejscu - co nie powinno nikogo dziwić - znalazł się Skype (46,8%). Jest to pierwszy, niektórzy powiedzieliby nawet - najwygodniejszy - program służący do transmisji głosu poprzez Internet. Jego konkurenci zdołali zebrać wspólnie tylko 25,3% głosów. Trzeba dodać, że nieco ponad jedna trzecia ankietowanych specjalistów (27,9%) nie posiadała żadnej usługi VoIP w intranecie. Prawdopodobnie spowodowane jest to zagrożeniami związanymi z korzystaniem ze Skypa.

Opcje VoIP w środowisku korporacyjnym

Denis Zenkin, Dyrektor ds. Marketingu firmy InfoWatch, powiedział: "Problem bezpieczeństwa Skypa jest bardzo realny. Po pierwsze, program wykorzystuje swój własny protokół, który nie jest obsługiwany przez tradycyjne monitory sieci intranet. Po drugie, ruch głosowy jest trudny do filtrowania przez systemy elektroniczne, a filtrowanie ręczne nie jest opłacalne. Najprościej byłoby całkowicie zakazać korzystania ze Skypa. Nie jest to jednak dobre rozwiązanie, ponieważ program jest wygodny i przydatny".

Zagrożenia związane ze Skypem

Badanie koncentruje się głównie na zidentyfikowaniu zagrożeń związanych z używaniem Skypa, jak również ich przyczyn. Z przeprowadzonego sondażu wynika, że ogromna większość respondentów dostrzega szereg różnych zagrożeń związanych z korzystaniem ze Skypa (zobacz rys. 3). Zaledwie 5,3% specjalistów uważało, że używanie Skypa w sieci korporacyjnej nie stanowi żadnego zagrożenia.

Największym zagrożeniem - według 55,6% respondentów - jest wyciek poufnych informacji. Innymi słowy, ponad połowa specjalistów uważała, że używanie Skypa może przyczynić się do wycieku poufnych informacji z firmy. Z badania wynika, że istnieje dwukrotnie większe niebezpieczeństwo wycieku poufnych informacji niż ataku hakera na zasoby intranetu.

Jako największe zagrożenia wymieniono:

• Niesankcjonowany dostÄ™p do informacji: 37,2%
• Ryzyko utraty danych: 33,2%
• NiebezpieczeÅ„stwo przedostania siÄ™ szkodliwego programu do stacji roboczych: 31,7%
• Inne zagrożenia: 7,4%

Zagrożenia związane ze Skypem

Rozwiązania VoIP - dotyczy to również Skypa - niosą ze sobą szereg różnych zagrożeń dla bezpieczeństwa danych firm. Programy służące do komunikacji głosowej lub wideo są wystarczająco proste i dostępne, aby mogły być wykorzystywane przez wewnętrznych złodziei. Kontrolowanie Skypa nie jest zadaniem prostym, ponieważ trudno jest automatycznie filtrować ruch głosowy. Jednocześnie, wykorzystanie załączonych plików nie stanowi żadnego problemu nawet dla niedoświadczonych użytkowników. Poza tym, podobnie jak w przypadku większości programów, klienckie programy VoIP posiadają luki, które teoretycznie mogą zostać wykorzystane.

Ponadto, według centrum analitycznego firmy InfoWatch, ryzyko ataku hakera jest wyolbrzymione. Najprawdopodobniej wynika to z zakorzenionych w przeszłości obaw dotyczących włamań hakerów do systemu. W rzeczywistości, zagrożenie ze strony hakerów nie jest tak duże. To samo dotyczy również zagrożeń związanych ze szkodliwym oprogramowaniem. Jak na razie znany jest tylko jeden przypadek przeniknięcia trojana do komputera poprzez lukę w Skypie. Przypominamy, że wirus nie potrafi rozprzestrzeniać się samodzielnie - musi zostać fizycznie pobrany przez użytkownika.

Źródło zagrożeń

W dalszej części badania uczestnicy zostali poproszeni o wskazanie źródeł nowych zagrożeń bezpieczeństwa danych (rys. 4). Oprócz czynników związanych z samym programem zagrożenia mogą mieć jeszcze inne przyczyny, jak na przykład zamiar wyrządzenia szkody lub brak dyscypliny użytkowników itd. Wyniki badania pokazują, że większość uczestników (44,6%) za największe źródło zagrożeń uważa pracowników. Innymi słowy, za incydent naruszenia bezpieczeństwa danych będzie najprawdopodobniej odpowiedzialny czynnik ludzki.

Charakter zagrożeń związanych z użyciem Skypa

Jako drugie największe zagrożenie (26,7%) uznano błędy w środowisku programowym Skypa. Mamy tu na myśli luki w systemie operacyjnym lub wykorzystywane sposoby ochrony oraz inne aplikacje, które mogą zagrozić bezpieczeństwu danych, jeśli działają równocześnie ze Skypem. Jednocześnie tylko 23,4% badanych uważało, że za podobne problemy odpowiedzialni są twórcy Skypa. Tylko jeden na dwunastu specjalistów (5,4%) uważał, że Skype nie stanowi żadnego zagrożenia dla bezpieczeństwa danych.

Tak więc programy VoIP nie stanowią głównego źródła zagrożenia. W prawie połowie przypadków winę ponosili pracownicy firmy, którzy nie potrafili właściwie korzystać ze swoich narzędzi, lub chcieli świadomie ukraść informacje. Podsumowując, można powiedzieć, że zakaz korzystania ze Skypa jest jak próba zabronienia używania Internetu lub poczty elektronicznej. VoIP jest przydatny i wygodny, jednak aby nie dopuścić do ziszczenia się najczarniejszego scenariusza - utraty poufnych informacji - firmy muszą chronić swoje dane, tak samo jak zabezpieczają się przed kradzieżą za pośrednictwem poczty elektronicznej, Internetu, drukarek czy pamięci USB.

Denis Zenkin powiedział: "Skype stanowi wyjątkową szansę zaoszczędzenia pieniędzy na długodystansowych rozmowach. To oznacza, że firmie opłaca się korzystać z VoIP-a. Twierdzenie, że Skype wystawia sieci korporacyjne na niedopuszczalne ryzyko nie jest prawdą. Nie można jednak powiedzieć, że nie istnieje żadne ryzyko. Z drugiej strony, inne aplikacje sieciowe (takie jak poczta elektroniczna, przeglądarki, a nawet systemy operacyjne) często stanowią większe zagrożenie niż Skype. Rezygnowanie z obiecujących i korzystnych ekonomicznie form technologicznych nie jest dobrym podejściem. Trzeba tylko właściwie z nich korzystać i stworzyć odpowiednie środowisko".

Bezpieczeństwo i Skype

Z badania wynika (rys. 5), że czynnik bezpieczeństwa plasuje się bardzo wysoko na liście przeciwwskazań przy podejmowaniu decyzji odnośnie wprowadzenia Skypa do sieci korporacyjnej. Dwie trzecie ankietowanych specjalistów (66,4%) było głęboko przekonanych lub skłaniało się ku opinii, że ze względu na zagrożenia bezpieczeństwa danych implementacja Skypa w firmie może stanowić większy problem. Jednak, jak już zauważyliśmy, główna przyczyna problemu nie tkwi w technologii Skypa, ale w korzystaniu z programu w niewłaściwy sposób lub w szkodliwych celach. Naturalnie, każda nowa technologia, która zwiększa ryzyko wycieku poufnych informacji będzie miała złą reputację. Prowadzi to do niebezpiecznej sytuacji. Bez implementowania zaawansowanych, nowoczesnych technologii firmy nie są w stanie konkurować. Jednak przeszkodą w korzystaniu z nowych rozwiązań są dodatkowe zagrożenia bezpieczeństwa danych, jakie mogą one spowodować.

Czy zagrożenia bezpieczeństwa danych stanowią przeszkodę w implementowaniu Skypa?

33,7% specjalistów biorących udział w badaniu uważało, że dodatkowe zagrożenia nie stanowią przeszkody w implementowaniu Skypa w firmie, natomiast 66,4% było przeciwnego zdania. W rezultacie, zagrożenia bezpieczeństwa danych związane z używaniem Skypa stanowią rzeczywistą przeszkodę w implementowaniu przez firmy programów VoIP. Z drugiej strony, trudno uznać taką postawę za logiczną, ponieważ to użytkownicy stwarzają te dodatkowe zagrożenia. Podsumowując, jeśli zapewni się odpowiednie zabezpieczenie informacji, ryzyko wycieku danych przy użyciu Skypa jest niewielkie.

Wniosek

Badanie wykazało, że istnieje pewne niebezpieczeństwo związane z korzystaniem ze Skypa w środowisku korporacyjnym. Największym zagrożeniem (55,6%) jest utrata poufnych danych. Nie powinno to nikogo dziwić, ponieważ programy VoIP stanowią znakomity sposób wykorzystania wewnętrznych danych firmy niezgodnie z ich przeznaczeniem. Ankietowani znacznie przecenili zagrożenie związane z hakerami (29,0%) i przeniknięciem szkodliwego oprogramowania do intranetu (31,7%). Częściowo wynika to z powszechnych obaw przed naruszeniem zasobów i zawieszaniem się komputerów. W rzeczywistości jednak, hakerzy nie stanowią tak poważnego problemu, a liczba robaków i trojanów wykorzystujących programy voice-conference jest ograniczona.

Z drugiej strony, każde niewłaściwie użytkowane narzędzie IT może być niebezpieczne. Badanie pokazało, że jeśli chodzi o korzystanie ze Skypa głównym problemem jest czynnik ludzki (44,6%). Ponadto negatywny wpływ na bezpieczeństwo ma również środowisko programowe (26,7%). Tylko 23,4% uczestników badania uważało, że główną przyczyną naruszenia bezpieczeństwa danych jest sam klient VoIP.

Podsumowując, prawie połowa uczestników badania uważała, że Skype znacznie ułatwia wewnętrznym złodziejom kradzież poufnych informacji. Bez wątpienia Skype zapewnia szereg nowych kanałów wycieku. Po pierwsze, ruch głosowy. Podobnie jak w przypadku telefonu komórkowego, podczas rozmowy telefonicznej za pośrednictwem Skypa można przeczytać komuś fragment dokumentu. Po drugie, transfer plików. Istnieje tu podobieństwo do wysyłania plików poprzez FTP, pocztę elektroniczną lub ICQ. Po trzecie, kopiowanie cennych danych do schowka, a następnie wklejenie ich do obsługiwanej przez Skypa funkcji "chat", która jest analogiczna do tej w ICQ czy Internecie. Jednak z wszystkich tych kanałów stosunkowo nowy jest tylko ruch głosowy. Pozostałe kanały można łatwo kontrolować metodami wykorzystywanymi do zapobiegania wycieków poprzez pocztę elektroniczną, pagery lub Internet. Jednak ruch VoIP sam w sobie nie jest niebezpiecznym kanałem wycieku. Chociaż wewnętrzny złodziej może przekazać tą drogą informacje swojemu wspólnikowi za pośrednictwem Skypa, istnieją ograniczenia odnośnie ilości danych, jakie mogą być w ten sposób transmitowane. Jeśli użytkownik Skypa znajduje się w biurze bez ścianek działowych, nie ma potrzeby obawiać się wycieku danych za pośrednictwem ruchu głosowego. Natomiast inne kanały wycieku powinny być kontrolowane, w przeciwnym razie poufne informacje wpadną w ręce konkurencji lub staną się publicznie dostępne.

Źródło: InfoWatch SecurityLab.ru