Bezpečnost IS. Základní bezpečnostní cíle

Transkript

1 Bezpečnost IS Informační bezpečnost ochrana informace a uchování bezpečnostních atributů informace Důvěrnost, Integrita, Dostupnost, Autentičnost, Spolehlivost? Informace představují majetek s určitou hodnotou a musí se chránit před neoprávněným přístupem, zsizením, zfalšováním a zneužitím, vyzrazením, zablokováním přístupu opravněným subjektům Bezpečnostní politika Základní dokument informační bezpečnosti Bezpečnostní politika IS/IT Je to soubor technických, administrativních opatření a postupů sloužící k udržení definovaného zabezpečení Vztahuje se na IT, lidé, data Systém řízení informační bezpečnosti ISMS Information Security Management System Analýza rizik Klíčový krok ve výstavbě ISMS Základní bezpečnostní cíle Co nastane, když nebudou informace chráněny? (dopad) Jak může být bezpečnost informací porušena? (zranitelné místo, hrozba) Jaká je pravděpodobnost, že to nastane? (míra rizika) Zachování důvěrnosti informace Zachování integrity informace Zachování dostupnosti informace Zajištění autenticity informace Zajištění spolehlivosti informace Zajištění prokazatelnosti původu informace Zajištění prokazatelnosti převzetí informace Zranitelné místo vlastnost IS, nějaká nedokonalost (neexistuje IS bez zranitelných míst) Výskyt: v HW, v SW, v provozním prostředí, v lidech Cíl AR odhalení zranitelných míst, určení přijatelné míry rizik, určení způsobu, jak rizika udržet na přijatelné úrovni Hrozba možnost využít zranitelné místo Riziko pravděpodobnost využití zranitelného místa Útok úmyslné, nebo neúmyslné využití zranitelného místa Přerušení, Odposlech, Změna, Padělání zfalšování. Dopad důsledek útoku vyjádřený v určité hodnotě (zpravidla finanční) Objekt IS pasivní entita IS, obsahuje nebo přijímá informace Subjekt IS aktivní entita IS autorizovaná k manipulaci s informací Bezpečnostní funkce opatření k dosažení bezpečnostního cíle

2 Bezpečností mechanismus prostředek, nebo nástroj k dosažení bezpečnostního cíle K dosažení bezpečnostního cíle je nutné zvolit vhodnou bezpečnostní funkci, ta se zajistí vhodným bezpečnostním mechanismem. Typy bezpečnostních opatření podle času uplatnění preventivní, detekční, opravné (zálohy), kontrolní (monitoring), zastrašovací (podniková ustanovení, zákonná opatření) podle způsobu implementace fyzické (zámky, trezory...), HW (identifikační karty, ), SW, administrativní (směrnice, předpisy) Implementace bezpečnostních mechanismů Kryptografické systémy, firewally, monitorovací a auditní systémy, digitální podpis,... Postup při provádění Analýzy rizik Identifikace a ocenění aktiv, Nalezení zranitelných míst, Odhad rizik, Stanovení nepřijatelných a přijatelných rizik, Stanovení očekávaných ročních ztrát Systémová bezpečnostní politika (SBP) vychází z celkové bezpečnostní politiky, zahrnuje technickou složku a administrativní složku Součástí je Plán obnovy, Havarijní plán Monitoring a audit průběžné a následné sledování účinnosti informačního bezpečnostního systému. Standardy vznikají na mezinárodní úrovni v ISO (International Organization for Standardization) a IEC (International Electrotechnical Commision) Na státní úrovni ÚNMZ - Úřad pro technickou normalizaci, metrologii a státní zkušebnictví Series of Standards ISO/IEC 27k jednotná koncepce normalizace informační bezpečnosti Bezpečnostní domémy Bezpečnostní politika, Organizace bezpečnosti, Klasifikace a řízení aktiv, Personální bezpečnost, Fyzická bezpečnost a bezpečnost prostředí, Řízení komunikací a řízení provozu, Řízení přístupu, Vývoj a údržba systému, Management bezpečnostních událostí Řízení přístupu kategorie Požadavky na řízení přístupu řídit přístup k informacím měl by být řízen na základě provozních a bezpečnostních požadavků Řízení přístupu uživatelů předcházet neoprávněnému k informačním systémům měli by existovat formální postupy pro přidělování uživatelských práv Odpovědnosti uživatelů předcházet neoprávněnému uživatelskému přístupu Řízení přístupu k síti politika užívání síťových služeb, princip oddělení v sítích, Řízení přístupu k OS Systém správy hesel, Časové omezení spojení,... Řízení přístupu k aplikacím Monitorování přístupu k systému a jeho použití Mobilní výpočetní prostředí a práce na dálku.

3 Common Criteria TOE Target of Evaluation produkt/systém, který je předmětem hodnocení PP Protection Profile dokument, který identifikuje bezpečnostní požadavky pro třídu bezpečnostích zařízení ST security target dokument identifikující bezpečnostní vlastnosti TOE SFR Security Functional Requirements - identifikuje jednotlivé bezpečnostní funkce, které by měl TOE zajistit. SAR Security Assurance Requirements udává míru zajištění souladu s požadovanými bezp. Požadavky EAL Evaluation Assurance Level vyjádření stupně hloubky a rozsahu evaluace Úrovně záruk EAL1 EAL4 1. Funkčně testováno poskytuje jistou míru důvěry Strukturovaně testováno nezávislé testování Metodicky testováno a kontrolováno maximální záruky 4. Metodicky navrženo, testováno a kontrolováno Kryptografické systémy Symetrické Asymetrické DES (Data encryption standard) IDEA (International Data Encryption Algorithm) RC2 a RC4 RSA (Rivest Shamir Adleman) DSS EC HASH algoritmy MAC MD5 SHA 1 Digitální podpis Složky zajišťující digitální podpis asymetrické kryptografické systémy, hash funkce, správa veřejných klíčů, certifikační autorita Digitální podpis zabezpečuje integritu podepsané zprávy, autentičnost zprávy Automatizovanou správu veřejných klíčů zajišťuje PKI Public Key Infrastucture Funkce CA registrace uživatelů certifikátů, vydávání certifikátů k veřejným klíčům, odvolávání platnosti certifikátů, odebírání platnosti certifikátů,...

4 Bezpečnost sítí Distribuované systémy IS jsou provozovány v síťové infrastruktuře na autonomních systémech. Bezpečnost DIS (distribuovaný systém) bezpečnost komunikačních procesů Lokální uživatel interakce s produktem pomocí jeho vlastních prostředků Vzdálený uživatel - interakce s produktem pomocí jiného produktu Autorizovaný uživatel uživatel oprávněný provést určitou operaci Role předdefinovaná sada pravidel určující povolené interakce pro jejich zabezpečení. Model ISO/OSI Aplikační, prezentační, relační, transportní, síťová, datových spojů, fyzická Bezpečnostní služby Služby pro autentizace ověření identity Služby pro řízení přístupu autorizace Služby pro zajištění důvěrnosti ochrana informace před neautorizovaným odhalením Služby pro zajištění integrity Služby pro nepopíratelnost zodpovědnosti služba zajišťující možnost dokázat přijetí/odeslání zprávy Bezpečnostní mechanizmy vhodné pro implementaci bez. funkcí Kryprografická ochrana důvěrnosti, Kryptografická ochrana integrity, Systém řízení přístupu, krypt. Autentizace, elektronický podpis, Bezpečná komunikace důvěra v partnera s kterým komunikuji, že není odposlouchávána zpráva, že není změněna,. Služby důvěryhodných třetích stran TTP poskytují bezp, služby kterým lze důvěřovat. In-line TTP leží přímo v komunikačním kanále mezi dvěma entitami. On-line TTP neleží přímo v komunikačním kanále, poskytuje bezp. službu na základě požadavků jedné, nebo obou stran Off-line TTP nezůčastní se transakce, své služby poskytuje před uskutečněním komunikace Penetrační testy Nástroj k odhalení zranitelných míst v IS, součást bezp. analýzy, Cílem je prevence, snížit rizika využití zranitelných míst Metody Network scanning, Vulnerability scanning, password cracking, log review, virus detection, Exploit speciální program, data nebo skript, které využívají programátorskou chybu, která způsobí původně nezamýšlenou činnost SW a umožňuje tak získat nějaký prospěch. Vulerability chyba SW, která může být využita k provedení útoku Exposure chyba v SW, která nepřímo dovoluje neoprávněný přístup do systému Penetrační testy se provádí ve všech fázích výstavby ISMS

5 Strategie odkud bude prováděn externí/interní podle míry znalostí zúčastněných stran blind (útočník má omezené informace, cíl ví všechno), double-blind (nikdo neví nic), tandem (všichni ví všechno), reversal (útočník ví všechno, cíl neví nic) White box útočník zná infrastrukturu a má přístupy Black box útočník má znalosti, které může sehnat například na public webu Gray box kombinace předchozích částečná znalost infrastruktury a přístupy Typy podle oblasti IS, kde se cíl nachází, podle známých útoků, které se provádějí Známé útoky Network sniffing, spoofing,, trojan atack, SQL injection, Cross-site scripting, Dohoda o provedení PT výběr testera, stanovení rozsahu, doby a způsobu Výběr je kritické rozhodnutí penetrační tým dostane veškeré info o IS atd., nemusí se povést, může nechtěně spustit další události... Nikdy ho neprovádí vlastní IT tým Stanovení rozsahu určení cílů a hranic, jednorázový/opakovaný test, kdy se ukončí apod. IDS/IPS bezpečnostní mechanismy preventivní a detekční detekce pokusu, nebo průniku