Инсайдер в системе: как аппаратная блокировка перезаписи защищает данные от собственных сотрудников

Самая опасная угроза — внутри

В массовом представлении угроз информационной безопасности главным врагом остаётся внешний хакер. Однако многолетняя практика эксплуатации корпоративных ИТ-систем показывает более неприятную реальность. Наиболее разрушительные инциденты зачастую происходят внутри самой организации — из-за ошибок персонала, злоупотребления привилегиями или действий «обиженного админа».

Современная ИТ-инфраструктура неизбежно содержит пользователей с чрезвычайно высокими правами доступа. Это разработчики, системные администраторы, администраторы резервного копирования, администраторы хранения данных и операторы дата-центров. Именно эти специалисты обладают полномочиями, позволяющими удалить или изменить практически любую информацию. Их работа требует высокого уровня доверия – но именно доверие делает инфраструктуру уязвимой.

Если возможность удаления данных существует, рано или поздно кто-то ею воспользуется — случайно, по ошибке, либо умышленно.

Месть!

В 1996 году бывший системный администратор компании Omega Engineering заложил в корпоративные системы код, который сработал после его увольнения и удалил критически важное программное обеспечение и данные, причинив ущерб более 100 млн. долларов США. Этот инцидент стал одним из первых широко известных примеров саботажа со стороны технического сотрудника.

В 2015 году системный администратор железнодорожной компании Canadian Pacific Railway после увольнения, используя ещё активные учётные данные, удалил очень важные данные, поменял пароли сетевых устройств и удалил журналы действий. В результате компания потеряла доступ к сетевой инфраструктуре и систему пришлось восстанавливать практически с нуля.

В 2018 году бывший сотрудник компании Cisco, имея доступ к облачной инфраструктуре, развернул вредоносный код в системе WebEx. В итоге было уничтожено 456 виртуальных машин, отключено свыше 16 000 аккаунтов пользователей, сервис был недоступен почти две недели, восстановление обошлось компании более чем в 2,4 млн. долларов США.

В 2021 году в Нью-Йорке сотрудница кредитного союза, уволенная с работы, подключилась к серверу удалённо и уничтожила 20 000 файлов общим размером 21 Гб. Помимо этого, она удалила программное обеспечение кибербезопасности.

В 2025 году два инженера компании OPEXUS, получив уведомление об увольнении, использовали свои администраторские права для саботажа. Они удалили 33 базы данных и похитили 1805 файлов, нарушили работу федеральных информационных систем США на несколько недель.

Подобных случаев множество. Все их объединяет то, что атакующий обладал административными правами. Поэтому появилась идея архитектурного уровня: данные должны быть защищены даже от администратора. Такой защитой стал…

WORM

Существует два типа WORM-защиты:

Программная неизменяемость: реализуется файловой системой или приложением. Проблема таких систем в том, что если защита выполнена только программно, то она может быть снята из-за ошибок, сбоев или уязвимостей в ПО или, в некоторых случаях, в результате действий администратора системы.

Аппаратная неизменяемость – на примере ленточных библиотек – реализуется на уровне привода: носитель с особой разметкой на серводорожках определяется им как неперезаписываемый. В этой модели система хранения запрещает перезапись, операционная система не может обойти запрет, а администратор лишён возможности изменить данные.

Исторический экскурс

• периодические маркеры синхронизации,

• границы дорожек,

• калибровочные сигналы,

• служебные метки позиционирования.

Привод постоянно считывает эти сигналы отдельными сервоэлементами головки и на их основе корректирует положение магнитной головки в реальном времени.

WORMID: неизменяемая идентичность носителя

Каждый WORM-картридж содержит уникальный идентификатор носителя — WORMID. Это логический маркер, который фиксирует сам факт принадлежности носителя к категории «одноразовой записи».

WORMID хранится в нескольких уровнях одновременно:

• в служебной области магнитной ленты – как раз на серводорожках;

• в метаданных первых записанных блоков;

• частично дублируется в памяти картриджа (Cartridge Memory, CM), чтобы исключить рассогласования.

Главная особенность WORMID заключается в том, что он создаётся либо на заводе, либо при первом инициализирующем проходе записи, после чего становится неизменяемым. При наличии WORMID запись допускается только в режиме последовательного добавления.

Cartridge Memory

• тип носителя (WORM или RW (перезаписываемый)),

• уникальный серийный номер,

• производственные параметры,

• состояние форматирования,

• флаг WORM-enabled,

• ссылки на последнюю позицию записи.

Важный момент: Cartridge Memory не хранит сами данные файлов, но содержит только метаинформацию о состоянии носителя.

Как привод предотвращает перезапись

2. Считывание серворазметки и построение карты ленты

После этого привод переходит к анализу серводорожек. На этом этапе он считывает WORMID и формирует внутреннюю модель ленты:

• физическая длина,

• допустимые зоны записи,

• уже занятые сегменты,

• границы последнего записанного блока.

3. Сопоставление логической и физической модели

Система сравнивает:

• данные из Cartridge Memory,

• WORMID из служебных блоков,

• реальную позицию маркера конца записи (EOD).

Любое несоответствие трактуется как ошибка носителя и приводит к блокировке записи.

4. Контроль записи на уровне блоков

Запись в ленточных системах осуществляется строго последовательно. Привод поддерживает указатель EOD, который фиксирует последнюю допустимую точку записи.

В WORM-режиме этот указатель:

• может только увеличиваться;

• никогда не может быть уменьшен.

Попытка записать данные «в середину» невозможна, поскольку серводорожки и EOD исключают обратное позиционирование в уже занятые области.

5. Аппаратная блокировка команд записи

Итоговая логика защиты

Таким образом, WORM-картридж — это не носитель с физически «запечатанной» поверхностью, а система слоёв доверия:

• серводорожки задают неизменяемую координатную сетку,

• WORMID фиксирует одноразовый статус носителя,

• Cartridge Memory хранит аппаратный флаг неизменяемости и указатель на EOD,

• привод объединяет всё это в аппаратно-логическую модель «только добавление».

Эффективная защита от…

инсайдеров

Это принципиальное отличие от программной неизменяемости, где администратор при наличии достаточных прав всё же может изменить политики хранения или удалить моментальный снимок. В случае аппаратного WORM даже полный административный доступ не даёт возможности вмешаться в уже записанные данные.

…вымогателей

Кибератаки, особенно направленные на вымогательство, обычно проходят по одному сценарию:

1.     проникновение в сеть;

2.     перехват прав администратора;

3.     уничтожение резервных копий;

4.     шифрование или уничтожение инфраструктуры.

Если резервные копии или архивы находятся на дисках или в облаке, злоумышленник уничтожает их.

Но если резервные копии или архивы записаны на WORM-ленты, то данные на них нельзя изменить никаким образом.

Админ мне друг, но данные дороже