Příručka o ochraně dat pro veřejnou správu

Transkript

1 Příručka o ochraně dat pro veřejnou správu

2 Příručka o ochraně dat pro veřejnou správu Úvod Kapitola I Povinnost ochrany informací Kapitola II Co nám hrozí? Viry Falšování elektronické pošty a odcizení identity Ukradené počítače War driving, zneužití bezdrátové sítě Důvěrné informace Hacking Typická ohrožení bezpečnosti sítě Kapitola III Proč jsme ohrožení? Sítě, intranet, internet Pakety Porty a adresy Mezery v programovém vybavení Přesto je výhodné mít síť Kapitola IV Jak se bránit? Úvod Deset kroků k vyšší bezpečnosti Využívání serverové brány (firewall) v internetovém připojení Co firewall nemůže zajistit Stahování aktualizací Využívání aktuálních antivirových programů Používání silných hesel Zajištění fyzické bezpečnosti Dodržování preventivních opatření při prohlížení webové sítě Bezpečné používání elektronické pošty Pravidelné vytváření záložních kopií a obnovování dat Jak se připravit k zálohování dat Bezpečné připojování vzdálených uživatelů Zablokování bezdrátových sítí Speciální preventivní opatření pro notebooky Shrnutí Tvorba bezpečnostního plánu Inspekce Plán Provedení Monitorování a opakování Slovníček

3 Vyjádření Ministerstva informatiky ČR Doporučení obsažená v této příručce odpovídají zásadám Národní strategie informační bezpečnosti Ministerstva informatiky ČR. Jsou však určena především těm, kteří pracují s operačním systémem Microsoft Windows a jeho aplikacemi. Nároky na bezpečnou práci s jinými operačními systémy se mohou lišit.

4 Příručka o ochraně dat pro veřejnou správu Úvod Počítače v současné době využívá drtivá většina úřadů veřejné správy. Ke komunikaci s ostatními úřady i občany se stále více využívá internet a možnosti elektronické výměny dokumentů. Zajištění ochrany dat a správného fungování komunikačních systémů v úřadech se v takové situaci stává klíčovou záležitostí. Všichni pracovníci úřadů by proto měli vědět jaké nebezpečí může jejich úřadu hrozit a jak se mu efektivně bránit prostřednictvím dodržování bezpečnostních politik. Bezpečnost informací je velmi široké téma, avšak v naší Příručce je zpracováno jednoduchým a přístupným způsobem. Autorům Příručky šlo především o to, aby běžným uživatelům bez speciálních znalostí z oboru informatiky ukázali, čemu je dobré věnovat pozornost a jaká opatření podniknout za účelem zajištění bezpečnosti IT v úřadě, a to jak při každodenní práci s počítačem, tak pro případ vytváření projektů informatizace úřadu, podkladů pro výběrová řízení na dodávku řešení IT, nebo prostě při nákupu software. Většina prezentovaných problémů se týká zabezpečení dat a informací. Vybraná témata jsou úzce spojena s organizací práce na úřadech a pracovními postupy používanými řadovými zaměstnanci. Správnou organizaci práce a dodržování bezpečnostních zásad mohou kontrolovat pouze jejich nadřízení, to znamená osoby, které úřad řídí. Dokonce i ten nejlepší systém, software nebo správce počítačů nemohou zajistit bezpečnost dat, pokud v úřadě dochází k zanedbávání základních organizačních otázek. Není totiž tak úplně pravda, že zabezpečení informací je nejlépe přenechat počítačovým odborníkům, protože ti vám mohou poskytnout pouze odbornou podporu při realizaci daných cílů, ale jen vy musíte vědět, co od nich máte požadovat. Tato Příručka vás naučí, jaké otázky je třeba pokládat při provádění analýzy skutečného stavu bezpečnosti a zavádění opatření směřujících k minimalizaci rizik. 3

5 Kapitola I Povinnost ochrany informací Mnoho právních předpisů určuje postupy nakládání s právně chráněnými důvěrnými informacemi. Nejpřísnější zásady se týkají údajů, které jsou předmětem státního tajemství a ochrany osobních dat. V těchto případech jsou jak z hlediska postupů, tak požadavků na hardware a software přesně specifikované, a proto se jimi tato Příručka nebude podrobně zabývat. Kromě údajů, jež jsou předmětem státního tajemství, existuje celá řada informací, které je nutné chránit. Jde především o informace obsahující služební tajemství, osobní údaje chráněné ze zákona, ale také o informace veřejného charakteru, u nichž je s ohledem na potřeby úřadu třeba zajistit nejvyšší míru autenticity. Ochrana dat není založena pouze na tom, aby nepovolané osoby nemohly důvěrné informace získat, ale jde také o to, aby tyto informace byly správné (nebyly pozměněné nebo podvržené). Nedostatečné zabezpečení systému může způsobit, že osoba z vnějšku tyto údaje pozmění a následky takového činu ponesou přímo osoby spojené s úřadem. Představme si situaci, kdy na obecní internetové stránce nějaký vtipálek dopíše nepravdivé informace o investičních záměrech obce (zbouráme školu), a následně tyto falešné údaje rozešle elektronickou cestou občanům obce. Podobná situace může vzniknout i uvnitř úřadu, když např. z elektronické adresy tajemníka obce obdrží všichni zaměstnanci informaci, že pan X získal vysokou finanční odměnu. Přesvědčování úředníků o tom, že jde o žert bude trvat minimálně několik dní a podle zkušeností lze odhadnout, že výsledek nebude zcela uspokojivý. K výše uvedeným situacím nemusí vůbec dojít, protože preventivní opatření pro tyto případy nevyžadují žádné zvláštní bezpečnostní akce a drahá zařízení. V další části Příručky si vysvětlíme, s jakými hrozbami se mohou úřady setkat a jaké mohou být důsledky nedbalosti. Ukážeme si také, jaká preventivní opatření je třeba zavést. 4

6 Kapitola II Co nám hrozí? Nebezpečí, s nimiž se mohou setkat uživatelé počítačů, jsou různého druhu, počínaje od virů a konče automatizovanými internetovými útoky a skutečnými krádežemi. Pokud dojde např. ke ztrátě údajů, potom je nutné do vzniklých nákladů započítat hodnotu ztracených dat a čas, který jim byl věnován. O problémech s bezpečností IT se můžeme dočíst téměř každodenně a většina lidí na vedoucích pozicích v úřadech ví, že je nutné provést příslušná opatření za účelem zajištění bezpečnosti jejich oddělení. Zvýšení bezpečnosti se však může jevit jako velmi složitý úkol. Tato Příručka popisuje, od čeho v takovém případě začít a jaké jsou možnosti. Na začátku si ukážeme, jak mohou v praxi vypadat rizika způsobená různými faktory a metodami útoků. Viry V dubnu 2003 začali uživatelé internetu na celém světě dostávat od osob, s kterými byli ve služebních stycích, případně od příbuzných či známých, ové zprávy, které měly pornografický obsah. Další se dozvěděli, že ztratili přístup k internetu z důvodu rozesílání spamu elektronickou poštou. Jiní zjistili, že si předplatili tiskoviny, které vůbec nechtějí. Tuto situaci způsobil nový virus s názvem Klez. Virus používal několika triků, díky nimž se mohl velmi rychle šířit. Jednak uváděl uživatele v omyl tak, aby si mysleli, že infikované ové zprávy dostali od skutečných osob. Využíval totiž k tomuto účelu ové adresy z uživatelských adresářů, jejichž počítače byly infikovány. Tento trik měl ještě dodatečný efekt, protože díky němu byly systémy elektronické pošty zahlceny zcela zbytečnými výstrahami, odpověďmi i vzájemnými obviněními. Není těžké si představit, co by se stalo, kdyby virus Klez napadl počítač starosty. Protože virus rozesílal svoje data (pornografické a jiné podivné dokumenty) na základě adresářů svých obětí, nechtěné dokumenty by zcela jistě obdrželo nejedno ministerstvo, úřady spolupracující s danou obcí a všichni ti, s nimiž si starosta dopisoval. Pozdější verze viru Klez využívaly jako nositele uživatelské soubory. Virus Klez se šířil po pevných discích nakaženého počítače, infikoval dokumenty a jejich prostřednictvím se elektronickou poštou následně šířil k dalším uživatelům. V případě našeho starosty by se mohlo ukázat, že firmy, které se připravovaly k výběrovému řízení, obdržely o tomto konkurzu důvěrné informace a starosta by o tom nic nevěděl. Virus Klez využíval problematického místa v programovém vybavení elektronické pošty programu Microsoft Outlook. Byl identifikován již o několik let dříve a už tehdy bylo možné jej odstranit pomocí bezplatné aktualizace, kterou společnost Microsoft nabízela ke stažení. Pokud by to uživatelé počítačů (správci sítí v různých institucích) skutečně udělali, vůbec by k nedošlo k problémům. Také autoři antivirových programů tento virus našli a aktualizovali svoje programy v průběhu několika hodin, ale přesto virus Klez nakonec řádil několik měsíců. 5

7 6 Falšování elektronické pošty a odcizení identity Jednoho dne pokladník okresního úřadu obdržel elektronickou poštou žádost z banky, v níž má okresní úřad účet, o aktualizaci dat o finančních operacích za poslední týden. V této zprávě se nacházel tzv. link, neboli místo odkazující přímo na internetovou stránku obsahující vzor s požadovanými aktualizacemi. Po aktivování linku se skutečně objevila internetová stránka, která vypadala téměř stejně jako www stránky banky. Pokladník vyplnil formulář aktualizace, ale druhý den se rozhodl zjistit, zda byly zaslané údaje dostačující. V bance mu bylo řečeno, že nikdo nežádal o žádnou aktualizaci údajů. Pokladník se tedy stal obětí útoku, který se nazývá falšování elektronické pošty, a informace o transakcích a čísla účtů tedy zaslal na zcela neznámé místo. Rozesílání ových zpráv, které vypadají jako zpráva od někoho jiného, to je starý trik. Ve většině případů je cílem falšování elektronické pošty přinutit uživatele k otevření zprávy, která obsahuje spam, a to díky jeho přesvědčení, že tato zpráva pochází od skutečné osoby. Je to sice činnost poněkud rozčilující, ale v zásadě neškodná. Jiný, značně nebezpečnější druh falšování elektronické pošty, který byl popsán výše, se označuje jako phishing. Obecně lze říci, že útočník odesílá ovou zprávu, která vzbuzuje dojem, že pochází z oficiálního zdroje (např. banka). Odkazy, které se nacházejí v takových zprávách, vedou na webové stránky, jež také vypadají jako skutečné. Tato stránka je však ve skutečnosti pouze zástěrkou a cílem celé akce je přinutit uživatele k poskytnutí důvěrných informací, ať už za účelem jejich předání různým distribučním firmám nebo přímo s cílem získání informací o bankovním účtu či identitě uživatele. Ukradené počítače Paní Barbora odpovídala za výběrová řízení v rámci obce a několik týdnů připravovala příslušné dokumenty na základě důvěrných informací, které se týkaly např. maximální výše nabídky, s níž může obec souhlasit a největších předností požadovaných od dodavatelů. Den před konáním výběrového řízení se někdo vloupal do obecního úřadu a počítač paní Barbory ukradl. Vzhledem k tomu, že neexistovaly žádné kopie dat shromážděných v počítači, musel být termín konání konkurzu přesunutý na později, což znamenalo, že plánované práce už nebude možné v tomto roce provést, protože to nelze do zimy stihnout. V podobné, ale o hodně horší situaci, se ocitl starosta obce X, který měl jako jediný na obecním úřadě k dispozici notebook. Osobně se vypravil do Prahy se žádostí o dotaci a celou řadou dokumentů, které tuto žádost odůvodňovaly. Termín podání potřebných dokladů byl stanoven na půlnoc, ale starosta ještě nechtěl tisknout papírovou verzi formulářů, protože mu někdo z ministerstva slíbil pomoc, a tak doufal, že ještě s lidmi na ministerstvu udělá narychlo poslední opravy. Pak teprve chtěl dokumenty vytisknout. Protože člověk, s kterým se chtěl setkat, měl být v úřadě ve 14.00, rozhodl se, že půjde na oběd. Když chtěl platit, s hrůzou zjistil, že se laptop, který stál vedle jeho židle, náhle vypařil. S ním se ovšem vypařila i dotace, protože už zbývalo málo času na to, aby mohl obnovit celou dokumentaci. Ke krádežím stolních počítačů nedochází příliš často, ale počet ukradených přenosných počítačů se rok od roku zvyšuje. Přitom je překvapující, jak málo uživatelů si pořizuje záložní kopie dokumentů, které by se měly ukládat do jiných počítačů (serverů) nebo o zašifrování dat pomocí silných hesel, která neoprávněným osobám znemožňují přístup k údajům. Dalším problémem je skutečnosti, že

8 velmi málo úřadů školí svoje pracovníky v oblasti používání těchto základních bezpečnostních opatření. War driving, zneužití bezdrátové sítě Lidé, kteří se věnují technice war driving jsou novým typem hackerů, jejichž činnost je v rozporu se zákonem. Každý, kdo má k dispozici notebook, levnou bezdrátovou síťovou kartu, software, které lze volně získat a anténu jednoduše vyrobenou z plechovky od bonbónů, může proniknout do bezdrátových sítí v úřadech a firmách vzdálených několik desítek metrů. Bezdrátové sítě, které využívají místo kabelů rádiové spojení, vznikají na mnoha místech. Většina bezdrátových sítí nemá žádné zabezpečení a navíc mnoho výrobců bezdrátových zařízení nechává s pochopením pro hackery vypnuté šifrování. Rovněž uživatelé bezdrátové sítě obvykle nespouštějí šifrování ani nepoužívají jiné doplňkové ochrany. Pro člověka, který má k dispozici bezdrátová zařízení s vhodným nastavením, je vyhledání a využití bezdrátového připojení velmi jednoduché. War driving však není jen žertem několika maniaků, protože někteří vetřelci se snaží získat přístup k souborům a poškozovat systémy. Naštěstí je zabezpečení bezdrátových sítí poměrně jednoduché a většinu osob, které se věnují praktice war driving, lze zastavit pomocí několika prostých úkonů. Důvěrné informace Pan Mirek, pracovník obecního úřadu, právě chtěl zadávat do počítače jisté údaje, ale nemohl se dostat do systému. Proto zavolal správce sítě, který po jisté době problém odstranil. Pan Mirek si ale všiml, že správce se neodhlásil ze systému a díky tomu počítač pana Mirka získal přístup k dosud nevídaným místům. Jedním z nich byla kádrová složka. Pan Mirek kliknul na složku a rychle našel dokument pod názvem plán snižování počtu pracovních míst. Zjistil, že obec již delší čas plánuje propuštění sedmi zaměstnanců. Pan Mirek se o získané informace rychle podělil s jinými pracovníky a ti, kterých se problém týkal (byli totiž uvedeni v onom plánu ), ihned začali proudit do pracovny starosty. Hacking Obec Ypsilonov si konečně pořídila pevné připojení k internetu a svůj server www stránek. Pro starostu to byl velký úspěch hlavně z toho důvodu, že ne všichni radní souhlasili s tím, aby obec vydala další peníze za připojení a nákup nových zařízení. Když ale všichni viděli, jak rychle a snadno lze díky tomu komunikovat a jak dobře vypadá nová internetová stránka obce (jejímž hlavním zdrojem příjmů byla turistika), byli skutečně spokojeni. Spokojenost však velmi rychle vystřídalo zděšení, protože v průběhu noci se nová stránka obce změnila k nepoznání. Místo fotografií zdejších pamětihodností a ubytovacích zařízení byly na stránce umístěny pornografické snímky, které, jak se posléze ukázalo, někdo ze stránky úřadu dálkově rozeslal. Navíc nějací internetoví maniaci stahovali celou noc ze serveru obce soubory s velmi jednoznačným obsahem. V průběhu 12 hodin byl provoz tak velký, že kapacita linky byla využita v plánovaném měsíčním rozsahu a bylo jasné, že Ypsilonov za to bude muset zaplatit příslušnému operátorovi. Většinu útoků tohoto typu provádějí amatérští útočníci, kteří jsou označování jako script kiddies. Tyto osoby nemají žádné zvláštní znalosti a pouze využívají nástroje dostupné na internetu, které slouží k vyhledávání slabých míst v síti. Tyto nástroje bez konkrétního záměru 7

9 8 projíždějí internetovou síť, hledají citlivé systémy (a právě takový byl systém v Ypsilonově) a posléze využívají zjištěná slabá místa. S ohledem na dostupnost takových nástrojů je malý úřad v zásadě více ohrožen než např. dobře zabezpečené ministerstvo financí. Mnoho z těchto nástrojů využívá známých mezer, které je snadné eliminovat. Na příklad v roce 2001 skupina script kiddies, která si dala název Smoked Crew, využívala dobře známou mezeru v programovém vybavení serveru webové sítě, jejíž aktualizace byla již v té době uveřejněna, a to za účelem zničení webových stránek, které patřily firmám Intel, Gateway, Disney a The New York Times. Aktualizace k odstranění dané mezery v programovém vybavení byla dostupná již dlouho před tím útokem, ale mnoho správců sítí ji prostě neinstalovalo. Používání rozumných preventivních prostředků a zvláště využívání aktuálních antivirových programů by jednoduše tento typ útoku znemožnilo. Uvedené příklady nejsou ani v nejmenším hypotetické a nástroje, které umožňují útoky s katastrofálními následky pro případné oběti z řad uživatelů, jsou stejně skutečné. Přitom ochrana proti tomuto typu ohrožení nevyžaduje žádné speciální prostředky, ale pouze využití základní ochrany a důsledná aplikace doporučených postupů v rámci úřadu. O tom, jaké jsou metody ochrany a bezpečnostní procedury, bude řeč v následující kapitole této Příručky. Nyní se budeme věnovat nástrojům využívaným osobami, které napadají informační systémy: Viry jsou programy vytvořené tak, aby se automaticky kopírovaly a případně prováděly záškodnické akce. Často se ukrývají uvnitř neškodných programů. Viry připojené k e- mailovým zprávám se často skrývají ve hrách nebo obrázcích a využívají přitom přitažlivá témata (např. Moje nahá kolegyně ), aby se uživatel nechal vyprovokovat k jejich otevření a následně k aktivaci viru. Viry se snaží v maximálním stupni rozmnožovat a infikovat jiné programy instalované v počítači. Počet známých virů přesáhl v lednu Červi se podobně jako viry snaží množit, ale často ke svému účelu využívají samostatně rozesílané ové zprávy a nezaměřují se na infikování programů na jednotlivých počítačích. Trojské koně jsou zhoubné programy, které se tváří jako užitečné aplikace. Nemnoží se tak jako viry nebo červi, ale i tak mohou způsobit značné škody. Uvnitř trojských koňů se často propašovávají viry nebo červi. Spam neboli nevyžádaná komerční ová zpráva způsobuje ztrátu času a snižuje přenosovou kapacitu linky. Už samotné množství spamu může být deprimující, ale navíc se v něm ještě mohou nacházet viry. Převážná část spamu obsahuje informace sexuálního charakteru, a to může způsobit ztížení pracovních podmínek. Instituce, které nečiní žádné kroky směřující k zadržení spamu, mohou mít problémy vyplývající z jejich právní odpovědnosti. Falešné poplachy typu falešných výstrah před viry, řetězové dopisy nebo nepřesvědčivé bezplatné nabídky, způsobují ztrátu času adresáta. Falešné alarmy navíc často obsahují viry nebo trojské koně a mohou způsobit odcizení identity. Typická ohrožení bezpečnosti sítě Výše uvedené nástroje slouží k útokům na systémy následujícími metodami: Falšování Existuje několik druhů falšování. Falšování IP adresy označuje tvoření paketů, které vyvolávají

10 dojem, že přišly z jiné IP adresy. Tato technika se využívá především k jednostranným útokům (např. odmítnutí služby DoS Attack). Pokud paket vyvolává dojem, že přišel z počítače v lokální síti, může překonat bránu - firewall (jejíž úkolem je ochrana proti vnějším nebezpečím). Útoky založené na falšování IP adresy lze jen obtížně zjistit, protože to vyžaduje zkušenosti a nástroje k monitorování a analýze datových paketů. Falšování elektronické pošty znamená, že zpráva byla upravena způsobem, který znemožňuje identifikaci adresy skutečného odesilatele. Například koncem roku 2003 kroužily po internetu falešné poplachy rozesílané v ových zprávách, které budily dojem, že obsahují informace o aktualizaci ochran firmy Microsoft. Tento trik využíval falešné ové adresy firmy Microsoft. Deformace je založena na změně obsahu paketů při jejich cestě po internetu nebo na změně dat na pevném disku počítače po prohlídce sítě. Útočník může například na síťové lince umístit odposlech za účelem zachycení paketů, které opouštějí uživatelskou instalaci. Útočník může měnit nebo odposlouchávat informace, které odcházejí z uživatelské sítě. Popření je metoda, díky které může uživatel počítače nepravdivě popřít provedení nějaké operace a nikdo mu nemůže dokázat, že to bylo jinak. Uživatel může např. odstranit soubor a popřít, že něco takového udělal, pokud ovšem nefunguje žádný ochranný mechanismus (např. inspekční záznamy), který může prokázat opak. Zveřejnění informací je založeno na zpřístupnění dat osobám, které k nim za normálních podmínek nemají přístup. Odmítnutí služby (DoS attack) jsou útoky, jejichž účelem je přetížení nebo zablokování síťové služby, jako např. server webové sítě nebo datový server. Útočník může například způsobit, že server, který se snaží reagovat, bude nakonec tak přetížený, že začne ignorovat oprávněné požadavky na připojení. V roce 2003 byly připraveny masové útoky typu odmítnutí služby proti několika firmám, včetně Yahoo a Microsoft. Účelem těchto akcí bylo zablokování serverů. Zvýšení oprávnění je proces, v jehož rámci uživatel uvádí systém v omyl, aby získal oprávnění, která mu nepatří, většinou za účelem oslabení nebo zničení systému. Útočník se může například připojit k síti a využít účet hosta (guest), následně využít mezeru v software a změnit oprávnění hosta na oprávnění správce. Většina útočníků se při svých záškodnických akcích soustřeďuje na kapacitu počítačů. Mohou používat programy provádějící útoky typu odmítnutí přístupu nebo viry, které se rozšíří do statisíců počítačů. Mohou také využívat programy, které jsou schopné odhadovat hesla formou vyzkoušení všech slov, která jsou ve slovníku. Samozřejmě první slova, která vyzkouší jako hesla, jsou heslo, pustme nebo Sezameotevrise a dále hesla odpovídající jménu uživatele. Útočníci disponují programy, které náhodně prověřují všechny IP adresy na internetu a hledají nezabezpečené systémy. Pokud takový systém najdou, používají skenery portů a zjišťují, zda jsou nějaké porty vhodné k útoku. Jestliže ano, mají k dispozici knihovnu známých mezer, které mohou využít při pokusu o získání přístupu. V případě propracovanějších útoků (např. při průmyslové špionáži) existuje daleko efektivnější spojení technologie s různými socio-technickými triky. Jde např. o přemlouvání pracovníků k prozrazení důvěrných informací, prohrabávání odpadkových košů nebo prostě hledání poznámek se zápisem hesla. 9

11 Kapitola III Proč jsme ohrožení? 10 Čas jsou peníze. Život je příliš krátký na to, abychom ztráceli čas s počítači říkají některá rčení. To však neznamená, že bychom vůbec neměli věnovat pozornost tomu, co se děje s počítači, které každodenně využíváme. Pokud se budeme skutečně takto chovat, dříve či později jim budeme nuceni věnovat daleko více času a námahy. Abychom pochopili nebezpečí stávajících ohrožení a postupy proti nim, musíme mít alespoň základní technické znalosti o tom jak to všechno funguje. Níže si co nejpřístupnějším způsobem vysvětlíme takové pojmy jako: počítačová síť, internet, nebo pakety atp. Sítě, intranet a internet Jeden počítač sám o sobě je výborná věc, přímo technický zázrak. Vzájemná komunikace je však nutná a potřebná. Stačí spojit dva nebo více počítačů pomocí síťových karet a kabelů (případně pomocí bezdrátového spojení) a lokální síť (LAN) je hotová. Všechny počítače spojené v síti si mohou vzájemně předávat informace, posílat si ové zprávy a využívat zpřístupněná zařízení, např. tiskárny, modemy nebo vysokorychlostní přístup k internetu. Spojením dvou nebo více sítí LAN vzniká širší síť (WAN). Lze například pomocí nekomutované pronajaté linky spojit dvě kanceláře, které se nacházejí na různých místech. Intranet je tedy síť, která se skládá z různých sítí (LAN). Informace pocházející z jednoho počítače v libovolné síti se mohou prostřednictvím intranetu přenášet do libovolného počítače v jiné síti, přičemž intranet funguje jako společné médium, podobně jako dálniční systém spojuje místní silnice. Internet je tedy vlastně globální intranet. Všechny počítače připojené k internetu komunikují prostřednictvím standardních protokolů, a proto jsou informace z jednoho počítače připojeného k internetu dostupné pro všechny další přihlášené počítače. V tomto místě však začínají problémy. Dokud totiž není počítač připojený k veřejné síti, je v zásadě dobře chráněn proti útoku zvenčí. Připojení k internetu v podstatě odpovídá zveřejnění našeho příjmení, adresy a telefonního čísla. V zásadě dáváme ostatním na vědomí: Podívejte se, máme tady naše počítače. Pakety Informace v síti se obvykle posílají v paketech. Paket je datový úsek, adresa a další informace nutné k doručení dat na místo určení. Všechno co se posílá prostřednictvím internetu je rozděleno na pakety: webové stránky, ové zprávy, stahované soubory. Podobně jako vozidla na silnici využívají pakety společný fyzický přenos a cestují v tocích. Data s velkým objemem se dělí na série paketů, které jsou sestavovány do celku až na místě určení. Pakety zasílané prostřednictvím internetu jsou ohroženy odposlechem. Porty a adresy Každý počítač připojený k síti má přidělenou specifickou adresu, která se označuje jako IP adresa, slouží k jednoznačné identifikace daného počítače v síti a je směrovkou pro pakety směřující na místo určení. IP adresa se v zásadě podobá normální poštovní adrese. Část adresy definuje segment sítě, ve které se počítač nachází, druhá část identifikuje samotný počítač. IP adresa se sice vztahuje k počítači a segmentu sítě, ve kterém se tento počítač nachází, musí však také existovat možnost identifikace jednotlivých aplikací fungujících v rámci počítače, k tomu slouží porty, Lze je tedy přirovnat k číslu bytu na určité adrese.

12 Kapitola IV Mezery v programovém vybavení Tvorba zabezpečených programů je těžký a komplikovaný úkol. Například standardní operační systém je výsledkem desítek tisíc hodin práce a skládá se z kódů o milionech řádků. Jednoduchá chyba nebo běžné přehlédnutí se může nečekaně stát pro záškodníky vstupní bránou do jinak bezpečného systému. Ve skutečnosti nelze připravit program, který by byl zcela bezchybný, což samozřejmě neznamená, že by se programátoři měli přestat o takové programy snažit. Willie Sutton, bankovní zloděj, kdysi řekl: Vykrádám banky, protože jsou tam peníze. Podobně je tomu s programovým vybavením. Čím větší úspěch bude program mít, čím více bude rozšířen, tím větší riziko existuje, že na něj záškodníci zaútočí. Proto také neustále probíhá boj mezi útočníky, kteří využívají mezery v programech a programátory směřujícími k jejich eliminaci. Podobný boj existuje mezi zloději a zámečníky nebo mezi výrobci alarmů a zloději aut. Proto autoři programů uveřejňují opravy známých mezer, které je jako aktualizace programu třeba instalovat. Také proto se doporučuje jednou za několik let nahradit starší verzi programu novou, protože ty bývají zpravidla odolnější proti útokům a jiným ohrožením (např. náhlé ukončení programu z důvodu výpadku sítě). Přesto je výhodné mít síť Výše uvedené faktory ukazují, že největší nebezpečí pro počítače vyplývají z jejich propojení do sítě a vzájemné komunikace. To však neznamená, že pokud máme několik počítačových pracovišť, která nejsou vzájemně spojená, zaručí nám to absolutní bezpečnost. Absence sítě znamená rozhodně menší produktivitu a mrhání prostředky a časem, protože ke komunikaci musí stejně docházet. Bez sítě vznikne dříve či později zmatek, který může pro úřad představovat daleko větší nebezpečí, než útok virů. Za druhé stačí, aby jeden pracovník vložil do svého počítače zavirovanou disketu nebo CD-ROM a izolované pracoviště se i tak stane obětí jeho útoku. Úvod Jak se bránit? V této kapitole Příručky probereme bezpečnostní opatření, která by měl provést každý úřad. Opatření zahrnují jak speciální ochranná zařízení a software, tak nutné pracovní postupy a zásady, které musí dodržovat všichni zaměstnanci úřadu. Před samotným posouzením preventivních prostředků je třeba upřímně říci, že neexistují ideální bezpečné komunikační systémy a nemá také smysl zavádět tolik ochran, až se práce s počítači stane jednoduše neefektivní. Především je nutné vědět, že hardware a software nejsou hlavním zdrojem nebezpečí pro síť, protože nejslabším článkem je vždy tzv. lidský faktor, neboli uživatelé komunikačního systému. Z různých průzkumů vyplývá, že 75 % problémů spojených s počítačovou bezpečností ve firmách nebo úřadech způsobují jejich zaměstnanci, přičemž 20 % problémů je důsledkem nedostatečné loajality nebo přímo nesolidnosti zaměstnanců. 11

13 12 Vedoucí pracovníci úřadů jsou tedy povinni provádět důslednou kontrolu svých podřízených a věnovat pozornost práci osob, které jsou odpovědné za komunikační systém. V současné době zaručují řešení dodávaná renomovanými dodavateli vyhovující úroveň bezpečnosti (o tom bude řeč v další části Příručky), problém je spíše v tom, že lidé, kteří instalují programové vybavení a konfigurují síť a jsou zároveň odpovědní za aktualizaci programů, jednoduše svoje povinnosti podceňují. Další věc je přesvědčování všech pracovníků na úřadě, že bezpečnost je klíčovou záležitostí jak pro samotný úřad, tak pro ně osobně. Nejúčinnějším prostředkem, který umožňuje přesvědčit úředníky o prioritě tohoto problému, jsou školení. Tyto kurzy není nutné provádět s velkými finančními a časovými náklady, nemusí se také jednat o několikadenní kurzy informatiky. Jde spíše o to, aby zaměstnanci úřadů pochopili možnosti programů, které daný úřad využívá, věděli jaká hesla mají používat a v neposlední řadě je nutné pracovníkům objasnit, které internetové stránky mohou v rámci pracovní doby prohlížet. Důležitá je také otázka jednoznačného určení postihů (včetně služebních) pro zaměstnance v případě, že tato doporučení nebudou dodržovat. Všem musí být jasné, že ani nejlepší ochrana proti vnějšímu útoku (např. útok viru staženého z internetu) bude k ničemu, pokud bude docházet k problémům v rámci úřadu. Dále je nutné pracovníkům objasnit, že rozhodujícím faktorem, který může zamezit zdárnému útoku zvenčí, není brána - firewall, ale především jejich chování. Deset kroků pro vyšší bezpečnost V této části Příručky budeme hovořit o základních bezpečnostních opatřeních. Některé informace se mohou jevit jako příliš technické, a proto byly vysvětlivky k nim zařazeny do slovníčku. Při popisu jednotlivých kroků budeme vycházet z předpokladu, že v rámci bezpečnostních zásad jsou definovány požadavky, podmínky a standardy. Na konci této kapitoly lze nalézt konkrétní instrukce k vytváření a využití těchto standardů (část nazvaná Vytváření bezpečnostních zásad ). Krok 1: Využívání serverové brány firewall v internetovém připojení Cílem instalace serverové brány firewall (například: Microsoft Internet Security and Acceleration Server 2004) je znemožnit osobám zvenčí pronikání do sítě prostřednictvím internetu. Následně je třeba chránit jednotlivé počítače osobní bránou firewall (jednou z možností je použití standardní funkce brána - firewall v systému Windows XP Professional, případně pak využití některého z dalších nabízených produktů od třetích stran existují i pro jiné verze operačního systému). Serverová brána firewall tvoří velmi důležitou první obrannou linii, která chrání lokální sítě před útoky zvenčí tím, že odmítá nevyžádanou komunikaci. Serverovou bránu firewall je možné si představit jako bláznivou telefonistku, která spojuje pouze lidi, které její šéf označil jako vhodné a ostatním říká, že šéf je mimo. Serverová brána firewall blokuje celý provoz, který není mezi internetem a sítí úřadu dovolen. Mohou také maskovat adresy počítačů, které se nacházejí za bránou, takže díky tomu jsou počítače připojené do sítě pro osoby zvenčí neviditelné. Osobní firewall (například ten který je součátí systému Windows XP Professional) funguje podobně jako serverová brána firewall, ale chrání pouze jediný počítač, ve kterém je osobní firewall nainstalován. Představuje vhodný doplněk serverové brány firewall, ale vzhledem k izolované činnosti není vyhovující ochranou celé sítě.

14 Hackeři jednající v rozporu se zákony mohou vyhledat síť úřadu a případně zaměřit útok na jednotlivé počítače, aniž by věděli, na koho konkrétně útočí. Je to stejné jako náhodná volba čísel z telefonního seznamu. Pokud má úřad trvalé (stálé nebo pevné) připojení k internetu, existuje jistá pravděpodobnost, že jeho síť bude předmětem náhodných sond nebo útoků několikrát denně. Pokud útočníci mají k dispozici správnou adresu počítače, mohou využít mezer v programovém vybavení (zvláště pokud se neprovádí jeho aktualizace) nebo se mohou pokusit o překonání hesla tak, aby získali přístup. Samotný firewall nemůže zaručit bezpečnost, ale je dobrou zbraní první obranné linie. Z toho důvodu je nezbytně nutné vzít v úvahu, zda je daný počítačový systém úřadu vybavený firewallem. Jestliže tedy bude mít úřad pevné připojení k internetu, ale nebude vytvořena ochranná bariéra vnitřní sítě, lze sice zdánlivě ušetřit, avšak odstranění problémů, které se brzy v nechráněné síti objeví, bude stát víc než nejdražší firewall. Proto je vhodné při výběrových řízeních na dodávku sítě nebo zavedení připojení k internetu atp. uvést, že je nutné instalovat serverovou bránu firewall a rovněž určit úkoly, které tento firewall musí plnit. Serverová brána firewall se instaluje mezi počítači v síti úřadu a linkou k veřejné internetové síti (viz obr. 1). Veškerý provoz mezi sítí úřadu a internetem prochází firewallem a díky tomu je chráněna celá síť. firewall kontroluje každý příchozí a odchozí paket a buď jej přijme nebo odmítne na základě předem definovaných zásad. firewall lze např. nastavit tak, aby přijímal daný druh provozu spojeného s elektronickou poštou a komunikací s webovou sítí, a na druhé straně odmítal jiné typy provozu. V praxi to znamená, že díky příslušnému programovému vybavení firewallu lze určit, že naši zaměstnanci nebudou moci prohlížet www stránky s pornografickým nebo zábavným obsahem, budou mít však bez problémů přístup k takovým stránkám, které jsou pro jejich práci nezbytné, např. na stránky ministerstev, vládních agentur nebo na stránky jiných úřadů. Útočník Internet Brána firewall Obrázek 1 Útoky jsou blokovány zavřenými porty, zatímco otevřené porty umožňují provoz Instalace serverové brány firewall do sítě je v zásadě velmi jednoduché. firewall se zapojuje mezi kabelový/dsl modem či jiné připojení k internetu a počítače patřící do místní sítě. Nastavení serverové brány firewall je poměrně snadné, obvykle lze nastavení provádět pomocí internetového prohlížeče. firewally jsou obvykle nastaveny tak, aby blokovaly celý provoz přicházející z internetu; potom tedy zbývá jen určit, jaký druh provozu, pokud vůbec, bude povolen. Pokud má však uživatel k dispozici komplikovanější strukturu než jednoduchou síť, spíše se doporučuje kontaktovat profesionální firmu, která se zabývá zabezpečením sítí a technologickými problémy, přinejmenším za účelem konzultace. Osobní softwarové firewally pracují na konkrétním počítači a kontrolují pouze provoz tohoto počítače, tzn. příchozí i odchozí. Pokud se k internetu připojuje jednotlivý počítač, lze využít softwarový firewall. firewall internetového připojení instalovaný do systému Windows XP Professional je v řadě případů dostačující softwarový nástroj. Uživatelé předchozích verzí systému Windows by se však měli zaměřit na využití komerčních softwarových bran firewall například od výrobců Computer Associates, McAfee, Symantec nebo Zonelabs. Pokud jeden nebo více počítačů v úřadě využívá telefonické připojení k internetu, musí být každý z těchto počítačů chráněný softwarovou bránou 13

15 s počítačovým odporníkem). Další informace lze nalézt na adrese ports.asp firewall. Za tímto účelem je vhodné nainstalovat v každém počítači využívajícím operační systém Windows XP Professional příslušné aktualizace a nejaktuálnější verzi (s tzv. Service Packem - SP2). Operační systém Windows XP aktualizovaný o Service Pack 2 disponuje kombinovaným bezpečnostním prvkem Centrem zabezpečení (obrázek 2a) a jednou z jeho částí je také brána firewall. Brána firewall je spuštěna automaticky po instalaci aktualizace SP2, v případě že Centrum zabezpečení zjistí problém v ochraně počítače bude vás informovat bublinou v oznamovací oblasti lišty (obrázek 2b). Zapnutí brány firewall pak provedete poklepáním na bublinu nebo spuštěním Centra zabezpečení z nabídky Start vyberte položku Ovládací panely a poklepejte na ikonu Centrum zabezpečení. Centrum zabezpečení zobrazuje aktuální stav jednotlivých součástí centra. Změnit nastavení brány firewall můžete klepnutím na odkaz Spravovat nastavení zabezpečení pro: Brána firewall systému Windows (obrázek 2c). Obrázek 2a: Centrum zabezpečení Obrázek 2b: Nesprávný stav Centra zabezpečení 14 Pozor: firewall může občas zablokovat i povolené operace, např. expresní zprávy nebo ovládání her pro mnoho uživatelů. Pokud se něco takového stane, nedoporučuje se firewall vypínat. Místo toho je vhodné spustit pouze porty, které vyžaduje aktuální programové vybavení (doporučujeme konzultovat Obrázek 2c: Nastavení brány firewall

16 Co firewall NEMŮŽE zajistit Je třeba si uvědomit, že firewall je pouze první obrannou linií. Nezávisle na své efektivnosti nezajišťuje ochranu před: škodlivým provozem, který neprochází přes firewall, útoky vyvolanými po narušení bezpečnosti síťového provozu (např. pokud se útočníkovi podaří využít mezeru v programovém vybavení operačního systému nebo pokud k získání přístupu do počítače došlo zevnitř úřadu), provozem probíhajícím legálními kanály, mnoha viry, včetně virů, jejichž snahou je vytvořit mezery v ochranách. Pokud chcete vědět více Informace o bráně firewall je možné nalézt na následujících adresách: nebo Informace o činnosti brány firewall je možné najít na adrese protect/default.aspx a technet/security/topics/network/firewall.asp. Existující mezery je možné vyhledávat na stránce (je třeba se řídit odkazy programu Shields Up) nebo na stránce (kliknout na odkaz Symantec Security Check). Stránka obsahuje také mnoho informací o bezpečnosti internetu. Výborný popis světa hackerů včetně rozhovorů a dalších materiálů lze najít na adresewww.pbs.org/wgbh/pages/frontline/show s/hackers/. Krok 2: Stahování aktualizací Je třeba stahovat a instalovat nejnovější aktualizace programového vybavení tak, abychom byli vždy jeden krok napřed před hackery a měli jistotu, že náš počítačový systém je odolný proti útokům, které využívají dávno identifikované a odstraněné mezery v software. Útočnici vyhledávají a využívají chyby a mezery v rozšířeném software pro zábavu, zisk a občas pouze proto, aby způsobili zmatek. Když firma Microsoft zjistí mezeru v programovém vybavení, uveřejní aktualizaci ke stažení z internetu. V průběhu doby se základní architektura počítačových systémů stává stále dokonalejší a bezpečnější. Např. systém Microsoft Windows XP Professional je bezpečnější než systém Windows 95 a Windows 98, protože tvoření nových verzí software nemá pouze komerční cíle, ale jde především o maximální zvýšení bezpečnosti uživatelů. Mnohým virovým infekcím se lze tímto způsobem úspěšně vyhnout. V některých případech zdařených útoků existovaly aktualizace, které mohly předejít vzniklým problémům, ale uživatelé je neinstalovali. Nejnovější aktualizace produktů firmy Microsoft (a mnoha jiných) je velmi snadné získat a instalovat. V případě systému Windows je třeba přejít na stránku a vyhledat aktualizaci, webová stránka automaticky stáhne a instaluje všechny prvky nutné k aktualizaci počítače. Pokud má uživatel k dispozici pevné vysokorychlostní připojení, může využít funkce Automatické aktualizace, která je dostupná v mnoha novějších verzích systému Windows, včetně Windows XP Professional. Systém Windows může monitorovat dostupnost aktualizací, stahovat je a instalovat vše automaticky na pozadí. 15

17 Funkce Automatická aktualizace je součástí Centra zabezpečení, o nesprávném stavu vás bude informovat bublina v oznamovací oblasti. V Centru zabezpečení klepněte na odkaz Spravovat nastavení zabezpečení pro: Automatické aktualiazace (obrázek 3). Následně je nutné určit, jakým způsobem má být prohlížení a stahování aktualizace provedeno. Důležitá je také aktualizace balíku Microsoft Office, pokud se využívá. Aktualizaci ochran a jiné doplňky ke stažení jsou dostupné na adrese Upozornění Microsoft Security Update prostřednictvím elektronické pošty Upozornění Microsoft Security Update je bezplatná služba poskytovaná prostřednictvím elektronické pošty, která je určena pro uživatele z řad malých firem a úřadů. Firma Microsoft využívá tuto službu k tomu, aby zájemce informovala o vydávání důležitých materiálů o bezpečnosti a virových upozornění. Uživatelé mohou díky tomu zjistit případnou nutnost provedení určitých kroků za účelem ochrany proti novým ohrožením. Služba Microsoft Security Update je důležitým nástrojem sebeobrany, díky němuž se mohou uživatelé průběžně seznamovat s aktuálními riziky. Podrobnější informace na stránce Krok 3: Využívání aktuálních antivirových programů 16 Obrázek 3: Spuštění Automatických aktualizací v systému Windows XP Professional. Pokud chcete vědět více (kliknout na odkaz Vyhledat aktualizace) Stejně jako je nutné aktualizovat programy využívané při práci, je třeba také předcházet pronikání virů, a to především prostřednictvím instalace antivirových programů a jejich pravidelné aktualizaci. Podezřelé soubory se nedoporučuje otevírat. Je také vhodné využívat již instalované ochranné funkce programu Microsoft Outlook. Doporučujeme také zvážit možnost aktualizace nyní využívaných verzí programu Microsoft Outlook na verzi Outlook 2003 a použití zabudované funkce filtrování zpráv a odstraňování nevyžádaných zpráv neboli tzv. spamu. Viry (a také červi a trojské koně), jsou zhoubné programy infikující počítače. K infikování dochází ve chvíli, kdy uživatel spustí infikovaný program nebo skript, obvykle ve formě přílohy u nebo stažený ze webové stránky. Viry mohou být také nasazeny na webových stránkách nebo v ech připravených tak, aby vypadaly jako

18 webové stránky (např. v ových zprávách ve formátu HTML). Nasazené viry se spustí ve chvíli zobrazení stránky nebo ové zprávy. Tyto soubory často vypadají velmi lákavě nebo mají v uživateli vyvolat mylnou představu o svém obsahu. Infikovaný počítač může viry rychle šířit do počítačů jiných uživatelů. Různé viry mají různé následky. Některé odstraňují nebo modifikují soubory, jiné spotřebovávají kapacitu počítače. Některé umožňují cizím osobám přístup k uživatelským souborům. Odstraňování virů zabere mnoho času a uživatel může být navíc kompromitován. Dále uvádíme několik postupů, které mohou zásadně omezit riziko napadení virem: Koupit a instalovat antivirové programy a provádět jejich aktualizaci. Antivirové programy je nutné instalovat ve všech počítačích připojených k síti. Tyto programy prohlížejí obsah příchozích ových zpráv (a souborů, které již v počítači jsou) a hledají signaturu viru. Pokud program vir najde, jednoduše jej odstraní nebo dá do karantény. Signatura viru odpovídá unikátní sekvenci DNA v kódu počítačového viru. Protože se každý měsíc objevují stovky nových virů, je nutné všechny antivirové programy pravidelně aktualizovat zaváděním nových definic signatur, aby program mohl nejnovější viry rozpoznat. Antivirové programy bez nejnovějších virových signatur nejsou efektivní, proto je nutné instalovat program, který si bude automaticky stahovat definice a svoje aktualizace z internetu. Pokud má úřad pevné vysokorychlostní připojení, potom je možné většinu programů nastavit tak, aby program procházel a stahoval nové definice virů na pozadí. Pokud se používá telefonické připojení, je nutné pravidelně kontrolovat, zda proběhla aktualizace antivirového programu. Jako doplňkový preventivní prostředek je možné na serveru elektronické pošty instalovat program, který prochází každou část elektronické pošty, která přichází do úřadu. Někteří poskytovatelé internetových služeb zajišťují pro své zákazníky automatické filtrování virů. Neotevírat podezřelé soubory. Zlaté bezpečnostní pravidlo říká, že není vhodné otevírat jakékoliv soubory připojené k ové zprávě odeslané z neznámého, podezřelého nebo nedůvěryhodného zdroje, a to nezávisle na tom, jak lákavě ová zpráva vypadá. Stejnou opatrnost je třeba zachovávat při prohlížení webových stránek nebo při stahování souborů z internetu. Soubory se doporučuje stahovat pouze z důvěryhodných stránek. Většina antivirových programů prochází soubory uložené na pevném disku nezávisle na tom, odkud pocházejí (např. z webové stránky, z elektronické pošty, z diskety nebo ze sítě). Je třeba se vždy přesvědčit, zda je v rámci antivirového programu spuštěna automatická ochrana. Je nutné si uvědomit, že falešné poplachy, které se týkají virů a objevují se v ových zprávách (podobně jako řetězové dopisy a jiné dokumenty) jsou stejně rozšířené jako samotné viry. Než takový poplach předáme dalším osobám, doporučuje se zjistit z důvěryhodného zdroje, jako je například výrobce používaného antivirového programu, zda je poplach skutečný. Jiné uživatele je vhodné vyzývat k tomu, aby zachovávali podobnou opatrnost. Používání zabudovaných ochranných funkcí programu Microsoft Outlook. Programový balík Microsoft Office 2003 zajišťuje antivirovou ochranu pomocí tří funkcí. Za prvé každý program ovládá funkci zabezpečení maker, která při vhodném nastavení znemožňuje spuštění virů maker na počítači. Za druhé, program Outlook 2003 blokuje nebezpečné přílohy a díky tomu se eliminuje 17

19 18 možnost spuštění viru obdrženého v ové zprávě. Za třetí, program Outlook 2003 obsahuje zdokonalené ovládání antivirových programů jiných firem a v návaznosti na to existuje vyšší pravděpodobnost, že antivirový program bude fungovat správně. Pokud se v úřadě používá program Microsoft Outlook Express, doporučuje se provedení několika změn. Jednak jestliže je používaná verze starší než verze 6.0, je nutné program aktualizovat na nejnovější verzi ( Následně je třeba zvýšit zabezpečení programu Outlook Express spuštěním jeho funkce blokování některých typů příloh. Postup: v menu Nástroje zvolit možnost Volby a dále kliknout na záložku Ochrany. Označit volitelné políčko Nepovolit ukládání nebo otevírání příloh, které mohou obsahovat viry, a kliknout na tlačítko OK. Blokovat spam Spam jsou nevyžádané komerční zprávy, jejichž počet stále roste. Asi polovinu všech ových zpráv rozesílaných po celém světě tvoří spam. Některé z těchto zpráv jsou nositeli virů, jiné mají urážlivý obsah. Průměrný zaměstnanec věnuje denně asi jednu hodinu ové poště, takže je jasné, že spam zjevně snižuje produktivitu jeho práce. Program Outlook 2003 je vybaven automatickou ochranou proti spamu. Při spouštění této ochrany je třeba v menu Nástroje vybrat příkaz Možnosti v záložce Předvolby kliknout na tlačítko Nevyžádaná pošta a vybrat příslušnou úroveň ochrany (Obrázek 4). Spam, nebo-li nevyžádané zprávy, jsou nejen příčinou časové ztráty, ale především mohou v krátké době způsobit zablokování celého komunikačního systému v úřadě. Nejprve jich bude tolik, že počítač, na kterém se uloží, nebude spolupracovat, potom tato situace nastane na dalších pracovních stanicích a nakonec to dojde tak daleko, že nikdo v celém úřadě nebude moci pracovat. Obrázek 4: Spouštění ochrany proti spamu v programu Outlook 2003 Dalším aspektem výše popsaných rizik je znemožnění komunikace s vnějším světem. Pokud je totiž náš systém infikovaný virem a další je dobře chráněný (např. systém ministerstva), nastane situace, kdy server ministerstva odmítne naše ové zprávy, protože identifikuje nakaženou adresu. Výše uvedené preventivní prostředky umožňují minimalizaci daných typů ohrožení. Pokud se vrátíme k příkladu starostova počítače napadaného virem Klez, který byl uveden na začátku Příručky, mohl pan starosta svým problémům předejít, pokud by ve svém úřadě nechal instalovat centrální firewall, na svém počítači spustil osobní firewall a zajistil aktuální antivirový program.

20 Pokud chcete vědět více Obecné informace na téma virů je možné nalézt na stránce a Informace na téma antivirových produktů lze najít na stránce ca.com/smb a Databáze on-line známých falešných internetových poplachů se nacházejí na adresách a Informace na téma působení spamu jsou uvedeny na adrese viruseye/research/default.asp. Krok 4: Používání silných hesel Neexistuje žádný důvod, proč bychom měli hackerům či jiným osobám, které chtějí zaútočit na náš systém zvnějšku, usnadňovat přístup do systému. K tomu ale právě dochází, pokud si pracovníci vybírají hesla, která lze snadno odhadnout nebo překonat. Zaměstnance je nutné poučit, aby si vybírali tzv. silná hesla a pravidelně je obměňovali. Hesla jsou nejrozšířenější metodou prověřování uživatelů. Prověřování je založeno na něčem, co uživatel zná (např. tajné slovo nebo fráze), na něčem co má (např. otisky prstů nebo barva oční duhovky) nebo na něčem, co vlastní (např. inteligentní čipová karta nebo fyzický klíč). Hesla se používají nejčastěji, protože jejich použití je nejjednodušší, na druhé straně však může snadno dojít k jejich zneužití. Útočnici používají automatizované nástroje, které za několik minut odhadnou a odhalí jednoduchá hesla. Podvodník, který používá socio-technické triky, může uživatele vyprovokovat k prozrazení hesel. Útočník může předstírat, že je konzultantem v oblasti počítačové bezpečnosti a může například zatelefonovat recepční v krizové situaci a požádat o sdělení hesla za účelem provedení šetření nebo odladění programů. I ta nejlepší zabezpečení na světě jsou k ničemu, pokud někdo nepovolaný bude znát heslo. Především je nutné pochopit, proč jsou některá hesla tzv. slabá. Nyní si probereme následující problémy: Nepoužívání hesel není dobrou taktikou především z toho důvodu, že každý pracovník může přijít k nezajištěnému počítači a přihlásit se. Hesla typu: jméno, název uživatele nebo název firmy je snadné odhadnout. Hesla ve formě povšechně používaných slov lze snadno odhadnout pomocí automatizovaných slovníkových útoků. Typická hesla, jako např. heslo, pustme nebo 1234 je také snadné odhadnout. Hesla napsaná na papírku vedle počítače lze rychle najít. Heslo, které se několik měsíců nemění, lze odhadnout nebo překonat bez vědomí uživatele. Heslo, které zná ještě někdo další, je vždy mezerou v obraně. Slabá hesla také často obsahují typické záměny za písmena, např. nahrazovánípísmena i znakem!, písmena s znakem $ nebo číslem 5 nebo písmena o číslem 0 atp. Moderní metody překonávání hesel s takovým záměnami pracují, takže jejich použití samotné heslo ani trochu neposiluje. Jinak řečeno: pokud je 19