Provozní hlediska systémového auditu v aplikacích a systémech

Podobné dokumenty
Audit DB. Referát. Vypracoval: Zdeněk Doležal MFF UK Praha 11/5/06

Administrace Oracle. Práva a role, audit

Administrace Oracle. Jan Šaršon. Audit databáze

Řešení pro správu logů, shodu a bezpečnost ve státní správě a samosprávě. Ing. Martin Pavlica Corpus Solutions a.s. divize Security Expert

Penetrační test & bezpečnostní audit: Co mají společného? V čem se liší?

Zákon o kybernetické bezpečnosti Obecný přehled ZKB se zaměřením na technická opatření

Mobilní aplikace ve světě ERP. Asseco Solutions, a.s. a Simac Technik ČR, a.s.

Bezpečnostní monitoring SIEM (logy pod drobnohledem)

Microsoft Windows Server System

Technická opatření dle zákona o kybernetické bezpečnosti verze 1.0

Modulární monitorovací systém Gradient Digitální systém pro záznam, archivaci a vyhodnocení telefonie.

Možnosti využití Windows Server 2003

Řešení DocTag pro klasifikaci dokumentů. Matej Kačic

OKsmart a správa karet v systému OKbase

Řešení ochrany databázových dat

Technické aspekty zákona o kybernetické bezpečnosti

Architektura rodiny operačních systémů Windows NT Mgr. Josef Horálek

Návrh zákona o kybernetické bezpečnosti. Přemysl Pazderka Národní centrum kybernetické bezpečnosti Národní bezpečnostní úřad p.pazderka@nbu.

GORDIC a GDPR? Připraveno!

Instalace Active Directory

Příloha č. 12. Systém společného přihlašování, tzv. Single Sign On, ochrana dat

Novell Identity Management. Jaromír Látal Datron, a.s.

BEZPEČNÁ SPRÁVA KLÍČŮ POMOCÍ HSM. Petr Dolejší Senior Solution Consultant

Více úrovňové informační systémy a jejich certifikace podle zákona č.412/2005 Sb., ve znění pozdějších předpisů

Využití identity managementu v prostředí veřejné správy

Z internetu do nemocnice bezpečně a snadno


Michal Andrejčák, Klub uživatelů ŘS MicroSCADA, Hotel Omnia Janské Lázně, SDM600 Stručný popis a reference.

Úvod 17 ČÁST 1. Kapitola 1: Principy návrhu doménové struktury služby Active Directory 21

Návrh vyhlášky k zákonu o kybernetické bezpečnosti. Přemysl Pazderka NCKB

Více úrovňové informační systémy a jejich certifikace podle zákona č.412/2005 Sb.

Správa stanic a uživatelského desktopu

Nasazení bezpečnostního monitoringu v praxi. Jan Svoboda AEC

Jak efektivně ochránit Informix?

Vzdálená správa v cloudu až pro 250 počítačů

DOCUMENT MANAGEMENT TOOLKIT

Digitální Kniha. dk.kubita.cz. Digitální měřičský deník

MEZINÁRODNÍ NORMY A DIGITÁLNÍ KONTINUITA. Tomáš Bezouška Praha,

Wonderware Historian 10.0

Příklad druhý, Politika používání mobilních PC (mpc)

1. SYSTÉMOVÉ POŽADAVKY / DOPORUČENÁ KONFIGURACE HW A SW Databázový server Webový server Stanice pro servisní modul...

SIEM Mozek pro identifikaci kybernetických útoků. Jan Kolář , Praha, Cyber Security konference 2014

MST - sběr dat pomocí mobilních terminálů on-line/off-line

Webové rozhraní TELEFONNÍ STYK POD KONTROLOU NÁSTROJ PRO ŘÍZENÍ CHODU CALL CENTRA A ZPRACOVÁNÍ TELEFONNÍCH HOVORŮ. Funkcionalita

Základní informace: vysoce komfortnímu prostředí je možné se systémem CP Recorder efektivně pracovat prakticky okamžitě po krátké zaškolení.

GDPR v sociálních službách

Zákon o kybernetické bezpečnosti

KATALOG SLUŽEB NÁSLEDNÉ PODPORY

Důvěryhodná výpočetní základna v prostředí rozsáhlých IS státní správy

DATA ULOŽENÁ NA VĚČNÉ ČASY. (ICZ DESA / Microsoft Azure) Mikulov Michal Matoušek (ICZ) / Václav Koudele (Microsoft)

Příručka nastavení funkcí snímání

Audit? Audit! RNDr. Hana Žufanová

Zabezpečené vzdálené přístupy k aplikacím případová studie. Ing. Martin Pavlica Corpus Solutions a.s. divize Security Expert

I.CA RemoteSeal. Ing. Filip Michl První certifikační autorita, a.s

<Insert Picture Here> Jak garantovat bezpečnost systémů ve státní správě

Wonderware Historian. Příklady vícevrstvých architektur. Jiří Nikl, Tomáš Mandys Pantek (CS) s.r.o.

SMETerminal a SMEReader AutoCont CZ a.s.

Specifikace funkcionalit bezpečnostního softwaru Varonis

Systém řízení informační bezpečnosti (ISMS)

Bezpečnostní aspekty informačních a komunikačních systémů KS2

Kontrolně analytické centrum (KAC) Nástroj moderního řízení a organizace železniční dopravní cesty

SODATSW Case Study 2009 Řešení monitoringu tisku ve společnosti Iveco Czech Republic, a. s.

Základní informace a postup instalace systému ISAO

Vzdělávací seminář Audit při realizaci projektu I.

Řešení pro audit činnosti administrátorů UNIX/Linux serverů

Daniela Lišková Solution Specialist Windows Client.

Administrátorská příručka

ehealth Day 2016 Jak zavést účinná organizační a technická opatření pro řízení bezpečnosti

Proč ochrana dat a informací není běžnou součástí každodenního života? Martin HANZAL SODATSW spol. s r.o.

Zákon o kybernetické bezpečnosti základní přehled. Luděk Novák ludekn@ .cz,

RadioBase 3 Databázový subsystém pro správu dat vysílačů plošného pokrytí

Prezentace platebního systému PAIMA

Seminář CyberSecurity II

Obecné nařízení o ochraně osobních údajů

Příloha č. 1 Verze IS esyco business

Komunikace se Základními registry v prostředí MČ Praha 7

PROGRAMOVÁNÍ PRO MS WINDOWS 2

Databáze v MS ACCESS

Organizační opatření, řízení přístupu k informacím

Intune a možnosti správy koncových zařízení online

APS Administrator.GS

Vzorkování, testy, kontrolní listy

Bezpečnostní témata spojená se Zákonem o kybernetické bezpečnosti

Program vyhodnocení rizik a stavu pro službu Active Directory a Microsoft Online Services

VLASTNOSTI A FUNKCE JOB ABACUS PRO 3.XX

Monitorování datových sítí: Dnes

Certifikační autorita EET Modelové postupy vytvoření souboru žádosti o certifikát

STUPNICE PRO HODNOCENÍ DOPADU ZPRACOVÁNÍ / INCIDENTU

Monitorování a audit databází v reálném čase. Ing. Jan Musil IBM Česká republika

ICT PLÁN ŠKOLY. Městské gymnázium a Základní škola Jirkov

Monitoring kritických systémů - Case study. Tomáš Hrubý, AutoCont CZ tomas.hruby@autocont.cz

Lotus Symposium Jak zvládat velké množství dat v Lotus Notes? Jiří Balcar VUMS LEGEND, spol. s r.o IBM Corporation

BRICSCAD V15. Licencování

1. Organizace dokumentu. 2. Zabezpečení jako priorita. 3. Cloudová infrastruktura Hybrid Ads

ADMINISTRACE UNIXU A SÍTÍ - AUS Metodický list č. 1

Bezpečnostní politika společnosti synlab czech s.r.o.

Monday, June 13, Garantovaná a bezpečná archivace dokumentů

ARCHIVACE A SDÍLENÍ ZDRAVOTNICKÉ DOKUMENTACE V SOULADU S LEGISLATIVOU

BALISTICKÝ MĚŘICÍ SYSTÉM

Transkript:

Provozní hlediska systémového auditu v aplikacích a systémech Karel Miko, CISA (miko@dcit.cz) DCIT, s.r.o (www.dcit.cz)

Definice Systémový (bezpečnostní) audit základní vymezení pojmů Systémový audit = funkcionalita týkající se zaznamenávání klíčových událostí a stavů během provozu systémů a aplikací Nejedná se o konkrétní produkt konkrétního výrobce (obvykle součástí aplikací/systémů) Nejedná se o žádnou specifickou formu bezpečnostního posouzení (audit) systému

Obsah příspěvku Systémový audit ~ logování (logging) Nejedná se o nic nového či převratného Dříve doména spec. systémů, dnes je tato funkčnost dostupná už i běžných systémů/aplikací O jeho významu a potřebnosti hovoří prakticky všechny bezpečnostní normy U běžných systémů je v praxi využíván velmi zřídka Jak funguje? Proč jej provozovat? Jaké očekávat komplikace?

Systémový audit je/není Co je a co už není systémový bezpečnostní audit? Neexistuje jasná všeobecně zavedená definice S pojmem auditing operují různé standardy ITSEC, TCSEC, Common Criteria (ISO 15408) aj. ISO 15408: Systémový audit zahrnuje rozpoznávání, zaznamenávání, ukládání a analýzu informací souvisejících s aktivitami relevantními z hlediska bezpečnosti systému. Výsledné auditní záznamy mohou být použity ke stanovení, kdy nastaly ty které aktivity dotýkající se bezpečnosti systému a který uživatel je za ně zodpovědný. Do jisté míry je auditing uvedenými standardy vynucen (např. každý C2-certifikovaný systém musí mít implementovánu funkčnost auditingu)

Systémový audit je Jak si lze představit systémový audit v konvenčních systémech? V UNIXových systémech obvykle 2 roviny: Tradiční OS logging features syslog, lastlog apod. Speciální systémový bezpečnostní auditing (zejména doména komerčních UNIXů) Systémový audit v MS Windows EventLog obecný systém logování událostí Security EventLog události relevantní z hlediska bezpečnosti Obecně ne každé logování lze považovat za systémový audit

Atributy systémového auditu Důvěryhodnost mechanizmu pořizování záznamů Odolnost vůči neoprávněné deaktivaci, obejití mechanizmu či zahlazení stop Měl by být schopen monitorovat i administrátora Vypovídací hodnota pořízených záznamů Zaznamenávané informace musí být přiměřeně komplexní (datum/čas, identifikace uživatele, terminálu, ) Záznamy jsou potenciálně důkazní materiál Nepopiratelnost záznamů Chráněné úložiště záznamů (audit trail) Odolnost před zkreslením záznamů (při jejich pořizování nebo u již uložených záznamů)

Co lze obvykle auditovat? Operační systém Object auditing operace se soubory/tiskárnami apod. Account auditing přihlášení, odhlášení, změna hesla, Process auditing vytvoření/ukončení procesu Action/event startup/shutdown, manipulace - audit trail Syscall auditing záznamy o systémových voláních Databáze prakticky libovolný SQL statement (SELECT, INSERT, ) klíčové události události - start/stop, zásah do ACL Aplikace obvykle transakce na aplikační úrovni kritické operace např. nevratné hromadné operace

Jak funguje? Jak je systémový bezpečnostní audit řešen technicky? často nutno aktivovat speciální subsystém - Basic Security Module, OSFC2SEC, Trusted Computing Base apod. (obvykle implicitně deaktivován) typicky relativně netriviální konfigurace zásadní otázka ochrana audit trailu: úložiště soubor, tabulka v databázi (SYS.AUD$), spec. diskový oddíl či zařízení (/dev/audit), vzdálené ukládání, často speciální binární formát, záznamy přístupné pouze přes volání (API) operačního systému audit trail nutno chránit i před administrátorem

Příklad - auditing v Microsoft Windows je využito Eventlogu (v systému existuje několik logů - jeden z nich je tzv. Security Eventlog ) audit trail je uložen v souboru (není přímo přístupný) c:\windows\system32\config\security.log přistupovat k záznamům lze pomocí eventlog viewer nebo přes speciální API přístup k Security eventlogu se přiděluje jako speciální uživatelské oprávnění ani uživatel s právem manipulovat se security eventlogem nemůže audit trail beze stopy smazat ochrana audit trailu funguje pouze pokud je počítač pod vládou operačního systému

Proč? Proč systémový audit? sběr důkazního materiálu pro šetření bezpečnostních incidentů a nestandardních stavů může usnadnit odhalení některých funkčních problémů zejména u exponovaných systémů se vyplatí zaznamenávat spíš více než méně, a to i záležitosti související s bezpečností jen nepřímo základní důvody účel proaktivní průběžné vyhodnocování účel detektivní záznamy ukládáme pro dohledání incidentů v budoucnu

Praktická úskalí systémového auditu (1) Absence skutečné potřeby prioritou obvykle funkčnost+dostupnost (ta se nezvýší) systém má sice certifikát C2 ( naše alibi ), ale režim, v němž je provozován, je tomu hodně vzdálen Dopad na výkonnost systému nejčastější záminka proč audit nepoužívat aktivace syst. auditu systém nezrychlí, nicméně téměř vždy lze nalézt kompromis (ovšem dá to práci) Vysoká náročnost administrace nastavení je velmi specifické pro danou situaci viz ukázka

Praktická úskalí systémového auditu (2) Vypovídací hodnota záznamů často získáme velmi podrobnou informaci, s téměř nulovým praktickým přínosem často tvůrci systémů přenáší problém na uživatele umožníme zaznamenat kdykoli, cokoli, jen si vybrat Zpracování záznamů obvykle jsou záznamy pořízeny a uloženy (v lepším případě) pro dohledání incidentů v budoucnu průběžné zpracování vyžaduje nasazení speciálního produktu, a to i v relativně malém prostředí (obvykle nevystačíme se standardními prostředky) řešení existují, to optimální se hledá obtížně (cena výkon přínos)

Praktická úskalí systémového auditu (3) Nejen technické, ale i organizační aspekty provoz systému není jen o technickém nastavení, ale také o souvisejících procesech filozofie co chceme vědět? informovat uživatele? strategie rotace, ukládání, archivace záznamů administrace systému oddělení rolí manipulace se záznamy mimo systém možnost fyzického přístupu/manipulace se systémem relevantní provozní dokumentace kontrolní mechanizmy

Závěr Shrnutí význam pořizování důkazního materiálu jako základní funkci systémové auditu málokdo zpochybňuje v praxi je přesto využíván výjimečně (není-li standardně aktivován při instalaci) zavedení systémového auditu do praxe něco stojí (úsilí, čas, příp. peníze) a přináší komplikace je nutno jej vnímat jako jeden ze základních elementů zajištění bezpečnosti systémů v jejich provozu

Otázky kontakt: Karel Miko, miko@dcit.cz Závěr