Kybernetická bezpečnost v podmínkách SŽDC. Tomáš Kříž

Transkript

1 Kybernetická bezpečnost v podmínkách SŽDC Tomáš Kříž

2 Obecné poznatky a mýty Kancelářské versus technologické systémy Řídící systémy a technologie dopravní cesty Zabezpečovací zařízení Referenční sedmivrstvý OSI model Komplexní pohled na bezpečnost Kybernetický zákon č.181/2014 Sb. Strukturalizace sítě a DMZ (De-Militarizovaná Zóna) Integrita dat Správa a management systémů a aplikací Zabezpečený přístup pomocí VPN Detekce a obrana proti útokům Znalosti při práci s ICT Závěr Agenda

3 Obecné poznatky a mýty Informační a komunikační technologie (ICT) nás reálně denně obklopují v pracovním i soukromém prostředí. Jednotlivec může pouze částečně ovlivnit míru jejich použití. Jednotlivec může velmi ovlivnit míru informací, které předá do veřejného prostředí přes ICT Žádný ICT systém není na 100% odolný proti kybernetickému útoku. Bohužel máme jen 100% jistotu, že víme, že nevíme. Aplikaci používá hodně lidí, tak je určitě bezpečná Hlavně, že se aplikace rozchodí a předá se uživateli, pak se bude řešit bezpečnost

4 Obecné poznatky a mýty Nelze nikdy prohlásit, že jsme nezajímaví, můžeme být jen cvičný cíl. Účinnost obrany mimo jiné velmi závisí na rychlosti nalezení příznaků hrozby a správného vyhodnocení reálného útoku. Není kouře bez ohně a hodně zdánlivých maličkostí (malé ohníčky ) mohou ve výsledku způsobit nedostupnost významné služby. To je ten lepší případ. Významně horší případ nastane při tvorbě náhodných chyb nebo změn obsahu přenášených dat.

5 Obecné poznatky a mýty Realita z pohledu zákona: Od září 2015 jsou některé ICT systémy SŽDC zařazeny do kritické infrastruktury Mezinárodní železniční unie UIC řeší kybernetickou bezpečnost na železnici Co je to kybernetický útok? Kybernetický útok je podle definice v zákoně č. 181/2014 Sb. kybernetickým bezpečnostním incidentem, kdy dojde k narušení bezpečnosti informací v informačních systémech nebo narušení bezpečnosti služeb anebo bezpečnosti a integrity sítí elektronických komunikací v důsledku kybernetické bezpečnostní události.

6 Kancelářské versus technologické systémy Prostředí Intranet Uživatel obvykle spouští a přistupuje ke službě, kterou požaduje v okamžiku přístupu ke koncovému počítači obvykle s profilem uživatel a nepotřebuje administrátorské oprávnění. Prostředí technologické Služby a aplikace běží 24/7 a uživatel je řídí parametry a kontroluje pomocí dohledových systémů. Uživatelé zařízení a systémy sdílí a jejich činnost může mít i fatální důsledky. Nepotřebují oprávnění administrátor, ale jen běžné uživatelské, které má ale mnohdy oprávnění úrovně administrátor. Mnohé systémy nejsou samy o sobě schopné podávat informace pro forenzní analýzu a musí se využít externí systémy v jejich menší či větší blízkosti.

7 Kancelářské versus technologické systémy Prostředí Intranet Koncová zařízení, na kterých se spouští jednotlivé aplikace, komunikují s interními a externími internetovými uzly, na kterých se ukládají data. Prostředí technologické Koncová zařízení komunikují mezi sebou nebo s centrálními uzly. Zařízení přijímají některé parametry z interních sítí a zároveň předávají jednosměrně ven z technologických sítí (např. diagnostické informace ze zabezpečovacího zařízení). Přímá komunikace do Internetu je zakázaná jako bezpečnostní hrozba a může být povolena jen výjimečně.

8 Kancelářské versus technologické systémy Prostředí Intranet Konvergence a zpoždění dodání služby v rámci desítek vteřin či minut není obvykle problém, stejně jako jitter v rámci jedné sekundy. Sníží se však komfort dodané služby pro koncového uživatele. V některých případech může dojít k přerušení relace, ale tu lze obvykle znovu obnovit. Prostředí technologické Běžné služby vystačí s konvergencí a zpožděním jako v Intranetu. Některé služby potřebují konvergencí cca 100 ms. Naproti tomu např. vazby mezi měnírnami potřebují konvergenci a zpoždění v řadu desítek ms. Hlasové služby jsou na hranici srozumitelnosti hlasu při zpoždění a jitter cca 100 ms.

9 Řídící systémy a technologie dopravní cesty Systémy pro řízení dopravní cesty a řídících technologií dopravní cesty jsou specifické pro železniční provoz, přestože mohou být a jsou provozovány na stejné verzi operačního systému jako kancelářské aplikace. Řídící a technologické systémy pro dopravní cestu nemohou přímo ohrozit zabezpečení dopravní cesty. Řídící a technologické systémy pro dopravní cestu mohou ohrozit bezpečnost cestujících a možnost provozování dopravní cesty. Příklad: vlaková souprava bude přistavena na kolej bez nástupiště nebo pro cestující bude přistaven nákladní vlak.

10 Zabezpečovací zařízení jsou oddělené uzavřené systémy. Bezpečnost dopravní cesty je řešena zadrátovanou závěrovou tabulkou v lokálním reléovém nebo elektronickém stavědle. Systémy pro elektronické zabezpečovací zařízení podléhají daleko přísnějším požadavkům na bezpečnost a spolehlivost, i když také používají operační systémy známé ze světa IT. Pracují s dynamickými stavy a jsou fyzicky i SW oddělené. Souhlas k provedení nějaké činnosti vyžaduje současný souhlas min dvou nezávislých systémů. Komunikace mezi jednotlivými lokalitami je po vyhrazených spojovacích linkách. Komunikace s ostatními systémy s nižší bezpečností třídou je jednosměrná směrem k těmto systémům. Opačná komunikace není navázána přímo do prováděcí skupiny zabezpečovacího zařízení. Zabezpečovací zařízení

11 Referenční sedmivrstvý OSI model Pro popis datové komunikace mezi aplikacemi se obvykle využívá vertikální struktura referenčního sedmivrstvého OSI. Pro sítě poskytovatelů Internetu je možno se setkat s referenčním čtyřvrstvým TCP/IP modelem. OSI model: Mapování modelu na sebe:

12 Referenční sedmivrstvý OSI model 1. Fyzická vrstva Definuje prostředky pro komunikaci s přenosovým médiem a s technickými prostředky rozhraní. Dále definuje fyzické, elektrické, mechanické a funkční parametry týkající se fyzického propojení jednotlivých zařízení. Je hardwarová. 2. Linková vrstva Zajišťuje integritu toku dat z jednoho uzlu sítě na druhý. V rámci této činnosti je prováděna synchronizace bloků dat a řízení jejich toku. Je hardwarová. 3. Síťová vrstva Definuje protokoly pro směrování dat, jejichž prostřednictvím je zajištěn přenos informací do požadovaného cílového uzlu. V lokální síti vůbec nemusí být pokud se nepoužívá směrování. Je hardwarová, ale když směrování řeší PC s dvěma síťovými kartami, je softwarová. 4. Transportní vrstva Definuje protokoly pro strukturované zprávy a zabezpečuje bezchybnost přenosu (provádí některé chybové kontroly). Řeší například rozdělení souboru na pakety a potvrzování. Je softwarová. 5. Relační vrstva Koordinuje komunikace a udržuje relaci tak dlouho, dokud je potřebná. Dále zajišťuje zabezpečovací, přihlašovací a správní funkce. Je softwarová. 6. Prezentační vrstva Specifikuje způsob, jakým jsou data formátována, prezentována, transformována a kódována. Řeší například háčky a čárky, CRC, kompresi a dekompresi, šifrování dat. Je softwarová. 7. Aplikační vrstva Je to v modelu vrstva nejvyšší. Definuje způsob, jakým komunikují se sítí aplikace, například databázové systémy, elektronická pošta nebo programy pro emulaci terminálů. Používá služby nižších vrstev a díky tomu je izolována od problémů síťových technických prostředků. Je softwarová.

13 Referenční sedmivrstvý OSI model Zjednodušený popis OSI modelu na příkladu telefonní sítě: Fyzická vrstva je jako kabeláž Linková vrstva je okruh, včetně definice napěťových a proudových úrovní, k telefonním přístrojům Síťová vrstva je jako přiřazení čísel k jednotlivým telefonním stanicím Transportní, relační a prezentační vrstva je možno chápat jako služby telefonní sítě (blokování nedovolených tel. čísel, indikace čísel, konferenční hovory, záznamník hovorů atd.) Aplikační vrstvu je možno si představit jako uživatele telefonu

14 Komplexní pohled na bezpečnost Při řešení bezpečnosti, návrhu sítí, návrhu aplikací a jejich managementu je nutno mít neustále na zřeteli jednotlivé vrstvy OSI modelu a dále je nutno fyzicky nebo logicky oddělovat jednotlivé vrstvy mezi sebou, pokud nejsou v oblasti se stejnou bezpečnostní úrovní. Nestačí tedy bezpečnostně vyřešit jednu vrstvu a domnívat se, že je bezpečnost zajištěna. Vždy je nutno provádět komplexní řešení, včetně podrobné dokumentace provedení a popisu obnovy po havárii. V případě kritických nebo významných systémů je nutno také mít informace pro reporting. Příklad: přihlášení uživatele jménem a heslem je nutnost, ale zároveň je třeba definovat z jakých zdrojových IP adres, jakým TCP/IP portem a jakou aplikací smí uživatel přistupovat. Přihlášení uživatele musí být zaznamenáno v dohledových systémech.

15 Co kybernetický zákon přináší? Sám o sobě tvoří jen základní rámec. Kybernetický zákon č.181/2014 Sb. Vytváří požadavek na vytvoření procesů a určení zodpovědných osob. Prováděcí právní předpisy k zákonu č. 181/2014 Sb. o kybernetické bezpečnosti jsou vlastními nositeli požadavků na kybernetickou bezpečnost, a jsou vydány formou vyhlášek: Vyhláška č. 315/2014 Sb. - kritéria pro určení prvků KI nebo VI Vyhláška č. 316/2014 Sb. - vyhláška o kybernetické bezpečnosti a její přílohy Vyhláška č. 317/2014 Sb. o významných IS a jejich určujících kritériích Odkaz na dokumenty:

16 Kybernetický zákon č.181/2014 Sb. Kybernetický zákon se může zdánlivě jevit jen jako papírová válka s NCKB (Národní centrum kybernetické bezpečnosti) nově je to NÚKIB (Národní úřad pro kybernetickou bezpečnost) Ďábel se však jako obvykle skrývá v maličkostech a zákon tak vytváří několik hlavních požadavků na architekturu datové sítě, procesy a dokumentaci uvedené v bodech níže: Strukturalizace sítě DMZ (De-Militarizovaná Zóna) Integrita dat Správa a management systémů a aplikací Zabezpečený přístup

17 Strukturalizace sítě a DMZ (De-Militarizovaná Zóna)

18 Integrita dat Podle zákona by mělo být zaručeno, že data se při přenosu nemohou změnit, nemohou se změnit na úložištích a nemůže s nimi manipulovat neoprávněný uživatel a měnit tak jejich obsah a jejich časové značky. Zdánlivě jednoduché a jasné požadavky, ale jejich naplnění je mnohdy velmi obtížné a někdy i na hranici proveditelnosti.

19 Správa a management systémů a aplikací Oddělení správcovských rolí na jednotlivé osoby a znemožnění neoprávněného přístupu s rolí administrátor. Management systémů a aplikací neumožňuje nevhodně měnit a nastavovat parametry, odpojovat a vypínat systémy a aplikace atd. Opět zdánlivě jednoduché a jasné požadavky, ale jejich naplnění je mnohdy velmi obtížné a někdy i na hranici proveditelnosti.

20 Zabezpečený přístup pomocí VPN Přístup pomocí VPN vytváří dojem bezpečné a zabezpečené komunikace k přístupu z externích sítí do interních sítí nebo systémů. Ve skutečnosti může dojít k přímému připojení nezabezpečeného nebo infikovaného počítače k interním systémům. Vlastní připojení pomocí VPN je zabezpečené, ale díky tomu nelze cestou prohlížet a kontrolovat obsah datové komunikace na škodlivý kód. Jedním z řešení je komunikaci ukončit na k tomu určeném zařízení v DMZ mezi administrativní sítí a sítěmi řídících/technologických systémů, z tohoto zařízení pak navázat novou relaci na cílový systém a tu kontrolovat a nahrávat pro možnost pozdějšího vyhodnocení obsahu datové komunikace.

21 Zabezpečený přístup pomocí VPN Přímé připojení pomocí VPN Připojení pomocí VPN a vloženého vyhrazeného zařízení pro zamezení přímého prostupu z Internetu ke kritickým systémům a možnost kontrolovat a nahrávat činnosti uživatele např. pro následnou forenzní analýzu.

22 Detekce a obrana proti útokům Systémy na obranu musí být komplexní. Bohužel není jistota, že bezpečný je pouze systém, který je 100 metrů pod zemí a který nikam a s ničím nekomunikuje. Úroveň ochrany před útoky bude vždy závislá na finančních možnostech s přímou úměrou na možný HW, SW a lidské zdroje. Reálná obrana před útokem je hlavně v detekci jeho přípravy a v rychlosti jeho odhalení. Rychlé vypnutí systémů nemusí být rychlá cesta k zastavení a odstranění útoku. Toto samozřejmě neplatí při ohrožení zdraví a života a nebo hrozbě fatálního zničení zařízení nebo systémů. Pro vypracování nápravných opatření je nutno provést analýzu získaných informací o zdroji a důvodu útoku.

23 Detekce a obrana proti útokům Standardem je použití antivirové ochrany na koncových zařízeních pro kancelářské užití. Naproti tomu koncová technologická zařízení pracující v reálném čase zpravidla nemohou mít antivirovou ochranu nainstalovanou a používanou. Jejich ochranu je nutno řešit jinak. Strukturalizace datových sítí a přístupových oprávnění všech úrovní uživatelů, podle stanovených pravidel řízení datových toků mezi jednotlivými částmi sítě, např. pomocí FireWall (FW), přináší významné zvýšení úrovně ICT bezpečnosti. Používání oddělené správy systémů od provozní komunikace (out of band). V současnosti se nutností stává komplexní sběr informací o datových tocích (ne jejich obsahu!), sběr logů a následná behaviorální analýza shromážděných informací.

24 Znalosti při práci s ICT Bezpečnost datových síti ve značné míře závisí na některých obecných znalostech a návycích uživatelů výpočetní techniky a tyto dovednosti je nutno neustále zlepšovat: Uvědomit si, že zařízení mnohdy současně komunikuje do Internetu a do sítí technologických zařízení Neotevírat soubory s příponou.exe jako přílohy v u Neotevírat soubory se zajímavým názvem jako přílohy v u. Neotevírat odkazy na zajímavé weby v u. Používat zdravý rozum a zamyslet se jestli by např. ředitel odboru posílal informaci o výplatách zaměstnanců. V otevřené formě neposílat a nepřikládat em informace, které jsou nebo mohou být zajímavé pro třetí strany.

25 Znalosti při práci s ICT Rozpoznat adresu u serveru neznámého odesílatele u. Pomocí whois ověřit jestli IP adresa zdroje není podezřelá. Na webovém prohlížeči najet na URL odkaz a pomocí kliku pravým tlačítkem a vybráním prozkoumat/zkontrolovat prvek zjistit jestli není odkaz na první pohled nežádoucí. Zkontrolovat např. na podezřelé soubory nebo odkazy.

26 Závěr ICT bezpečnost je realita, se kterou je nutno se průběžně zabývat. Používat při práci s ICT systémy hlavu a uvědomit si např., že když mám v NB otevřenou nějakou zajímavou web stránku, tak zcela jistě není vhodné připojit takto běžící NB např. do sítě řídících systémů DŘT. Správné pracovní návyky při práci s ICT systémy používat v pracovním i soukromém životě. Na soukromých zařízeních rozlišovat a používat účet user a administrátor ve správném čase podle činnosti na těchto zařízeních. Snažit se hledat reference ke zdrojům informací. Říkat dopředu, že tomu nerozumím, není vhodný postoj. Vše, co je uvedeno v mé prezentaci, je postupně aplikováno v datové síti SŽDC s.o.

27 Děkuji za pozornost Tomáš Kříž Otázky?

28 Správa železniční dopravní cesty, státní organizace