Bezpečnost informací BI Ing. Jindřich Kodl, CSc. Bezpečnostní aspekty informačních a komunikačních systémů PS2-1 1
Literatura Doseděl T.: Počítačová bezpečnost a ochrana dat, Computer Press, 2004 Časopis DSM - Data security management Doporučená Strebe M.,Perkins Ch.: Firewally a proxy-servery, praktický průvodce, Computer Press, 2004 Proise Ch., Mandia K.:Počítačový útok, detekce, obrana a okamžitá náprava, Computer Press, 2003 2
Osnova I realizace bezpečnostního modelu integrace bezpečnostních mechanismů do informačního a komunikačního systému podniku; realizace vícevrstvé ochrany informací; jednotlivé komponenty vícevrstvé ochrany; správa bezpečnostních opatření; 3
4 Realizace bezpečnostního modelu Funkční model podnikové bezpečnosti musí reagovat na analyzované hrozby a splňovat principy architektury vrstvové bezpečnosti. Model je řešen v závislosti na obchodních cílech podniku a navržená bezpečnostní opatření se vztahují k podnikovým aktivitám. Jádrem modelu je vypracovaná bezpečnostní politika.
5 Realizace bezpečnostního modelu Řešitelé musí zejména analyzovat zda: bezpečnost síťového prostředí vychází ze stanoveného perimetru; existuje kompatibilita použitého operačního systému a používaného HW vzhledem k bezpečnostním požadavkům; je stávající síťová architektura využitelná při řešení bezpečnostních požadavků, popř. jaké kroky je třeba učinit;
6 Realizace bezpečnostního modelu Jednotlivé kroky: dodržet úrovňový (vrstvový) přístup k budování bezpečnostního modelu opevnění informační infrastruktury ve vztahu k podnikové bezpečnosti; bezpečnostní ošetření routerů (firewally, IDS) bezpečnostní ošetření operačních systémů Linux odstranění, eliminování nežádoucích služeb přidání záznamových služeb logy zabezpečení TCP/IP UNIX MS Windows
7 Realizace bezpečnostního modelu Jednotlivé kroky (pokračování): správa přístupů do informačního prostředí podniku na stanoveném perimetru perimetrech; stanovení cyklu ohodnocování rizik a slabin; definování jednotlivých vrstev ochrany zabezpečení přenášených dat v nebezpečném prostředí (Internet) autentizace uživatelů
Řešení bezpečnostní architektury Bezpečnostní architektura vychází z navrženého bezpečnostního modelu IT. Dříve: Situace mnohem jednodušší. Podniková data se zpracovávala v homogenním back-end výpočetním prostoru a bylo pouze několik fyzických cest přístupu k těmto datům. Nyní: Používání Internetu, webovské aplikace, požadavky na e-business. Bezpečnostní technologie a postupy zajišťují bezpečnost v síťovém i výpočetním prostředí 8
Řešení bezpečnostní architektury (pokr.) Při vytváření bezpečnostní architektury je třeba zodpovědět zejména následující otázky: jak by měl být do prostředí ICT zařazen firewall a jaké by měl mít parametry, aby nesnižoval efektivitu síťového prostředí; jaké budou nastaveny nástroje na zápis a monitoring výskytu slabých míst sítě; jak přistoupit k návrhu bezpečnostních služeb, aby byly maximálně efektivní a pružné ke změnám vyvolaným stále se zvyšujícími hrozbami. jak by měly tyto služby být v daném informačním prostředí rozmístěny aby optimálně chránily informační aktiva podniku a výpočetní zdroje; kde je optimální zařazení bezpečnosti v případě point-to-point přenosu dat; jak autentizovat bázi uživatelů a získat uživatelskou podporu a jak vybrat systém podporují podnikovou bezpečnost informací. 9
Stávající řešení firewallů Základní dělení: paketový filtr; stavový filtr; aplikační host server. Integrace dalších funkcí: autentizace uživatele podpora směrování integrace VPN podpora QoS kvalita služby 10
Demilitarizovaná zóna - DMZ Slouží k oddělení externího nezabezpečeného prostředí od vnitřní podnikové sítě, tvoří tzv. přechodovou oblast. Tvoří ji: routery (směrovače) - průchod paketů pouze přes vnitřní servery, kontrolující oprávnění daných transakcí. vnitřní servery tj. např: poštovní server zajištění elektronické pošty; www proxy server, aplikační proxy servery, V případě služeb, kde je aplikační úroveň nevhodná se využívá služby NAT (Network access translation), kdy se kontrolují IP adresy. 11
Architektura vzdáleného přístupu Administrátorské funkce preferování lokálního přístupu přes adm. konzoli standardní prvky autentizace = ID a heslo. ochrana organizačně technickými opatřeními fyzické odpojení a zamknutí klávesnice administrátorské stanice, oprávněný přístup k serverům (serverové místnosti musí být v nejvyšší zóně zabezpečení). čipové karty pro otevírání dveří kontrola doby nečinnosti klávesnice s automatickým odpojením. 12
Architektura vzdáleného přístupu Administrátorské funkce nutnost vzdáleného přístupu V případě, že je nutné zajistit pro administraci i vzdálený přístup je nutné se vyvarovat přenosu dat v otevřeném tvaru. Efektivní řešení = VPN 13
Virtuální privátní síť Připojení vzdáleného uživatele k podnikové síti 1. krok 14
Virtuální privátní síť Připojení vzdáleného uživatele k podnikové síti 2. krok Encrypted data Tunneling 15
Architektura připojení administrátorů Administrátorské funkce - ochrana Administrátorské funkce by měly být též ochráněny před interními hrozbami. Doporučení vytvoření odděleného síťového prostředí pouze s povolením přístupu pro administrátory. HW (servery, hostitelské počítače, směrovače apod.) musí být opatřeny příslušným rozhraním pro administraci. 16
Vzdálený přístup uživatelů Politika přístupových hesel Autentizace vzdáleného uživatele pomocí hesla - největší hrozba bezpečnostního manažera. Nelze volit hesla která může útočník snadno uhádnout. Heslo se dá snadno získat odpozorováním Hesla (k el. poště, do informačního systému, aplikačnímu SW) se dají odchytit na úrovni klávesnice. využití rezidentního programu, který bude ukládat do souboru všechny stisknuté znaky na klávesnici, freeware na internetu. sociální inženýrství 17
Vzdálený přístup uživatelů Přihlášení uživatele vyžaduje dvě věci (dvoufázová autentizace): Čipovou kartu, či USB token se svým privátním klíčem a certifikátem. Heslo/pin k tokenu, ochrana proti zneužití při krádeži, či ztrátě. 18
PKI (Public Key Infrastructure) PKI - souhrn pravidel a technických prostředků pro zajištění infrastruktury autentizace (elektronického podpisu) a šifrování (zabezpečení) informací. Certifikační autorita zajišťuje mj.: 1. důvěryhodnost jednotlivých subjektů začleněných do systému. 2. bezpečné uložení svého privátního klíče 3. důvěryhodnost procesů vedoucích k vystavení certifikátu (ověření identity) subjektu. Návrh procesů PKI podle platných doporučení (RFC) přímo pro daný informační systém. Systém PKI musí splňovat platné zákony (v ČR Zákon č. 227/2000 Sb. o elektronickém podpisu) Musí splňovat objektovou a fyzickou bezpečnost nástrojů poskytujících služby PKI. 19
SSO (Single sign on) Uživatel musí přistupovat a pracovat s různými systémy (v podnikové infrastruktuře není výjimkou), kam je přístup chráněn různými hesly => dochází velmi pravděpodobně k jejich nechráněnému ukládání. Princip single sign-on - uživatel zadá heslo jen jednou a nástroje infrastruktury zajistí, že jeho identifikace se bude předávat transparentně bez nutnosti opakovaného zadávání hesla, V případě, že uživatel bude své heslo zadávat pouze jednou za den, výrazně se zvyšuje nejen pohodlí uživatelů, ale zejména bezpečnost celého systému. 20
Osnova II realizace bezpečnostního modelu integrace bezpečnostních mechanismů do informačního a komunikačního systému podniku; realizace vícevrstvé ochrany informací; jednotlivé komponenty vícevrstvé ochrany; správa bezpečnostních opatření; 21