ABC sieciowego ochroniarza (cz. 1)

Osoby, odpowiedzialne za właściwe funkcjonowanie instalacji sieciowej, muszą opracować i wcielić w życie system zabezpieczenia danych. Po określeniu pewnych minimalnych zasad zabezpieczenia systemu sieciowego, najtrudniejszym zadaniem jest wcielenie ich w życie.

Osoby, odpowiedzialne za właściwe funkcjonowanie instalacji sieciowej, muszą opracować i wcielić w życie system zabezpieczenia danych. Po określeniu pewnych minimalnych zasad zabezpieczenia systemu sieciowego, najtrudniejszym zadaniem jest wcielenie ich w życie.

Stosowanie odpowiednich procedur działania ułatwi nam ustalenie podstawowych obszarów ochrony danych w sieci, do których należą m.in: fizyczne zabezpieczenie sieci, identyfikacja i uwierzytelnienie użytkowników sieci, zapewnienie nienaruszalności danych, kodowanie danych, kontrola zapisów dostępu do danych, polityka antywirusowa, wykonywanie backupu.

Fizyczne zabezpieczenie instalacji sieciowej

Każdy ze stosowanych rodzajów połączeń sieciowych ma swoje słabe strony. Przykładowo, połączenia asynchroniczne, zrealizowane przy użyciu nieekranowanej skrętki bardzo łatwo przeciąć, a następnie samemu podłączyć się do instalacji. Transmisję radiową, mikrofalową satelitarną można w prosty sposób podsłuchać, zaś kable optyczne można uszkodzić lub rozerwać.

W ramach obrony przed tymi zagrożeniami możemy stosować: ograniczenie dostępu do okablowania ("uzbrojonego" przez ekran lub rurki), zabezpieczenie dojścia do wszelkiego rodzaju połączeń - paneli, muf, połączeń z koncentratorami, multiplekserami i gateway'ami.

Identyfikacja i uwierzytelnienie użytkowników

Dostęp do zasobów sieciowych z węzłów, położonych często na zewnątrz zasadniczej instalacji, wymaga rozpoznania i sprawdzenia wszystkich zgłaszających się użytkowników. Stosowanie np. poczty typu "voice mail" (nagranie na dysku serwera informacji "mówionej", przesłanej drogą telefoniczną) czy używanie modemów wymaga znajomości odpowiedniego numeru telefonicznego, który nie powinien być ogólnodostępny i, w miarę możliwości, co pewien czas będzie zmieniany. Kolejne zabezpieczenia to stosowanie haseł, które blokują pewne porty dla połączeń modemowych lub używanie modemów typu dialback (wymagają podania numeru telefonicznego osoby, zgłaszającej chęć dostępu do sieci).

Dla wielu hackerów nie są to zabezpieczenia zbyt trudne do pokonania, jednak dość skutecznie eliminują przypadkowe ataki na zasoby sieci. Większe bezpieczeństwo dają modemy z wbudowanym mechanizmem kodowania informacji.

Po uzyskaniu połączenia z siecią użytkownik lub osoba zgłaszająca pytania powinni przedstawić się własnym kodem identyfikującym (ID). O ile to możliwe, każdy z użytkowników sieci powinien posiadać własny, unikalny ID.

Kolejny stopień zabezpieczenia to kontrola hasła. Hasłem mogą być ustalone wcześniej słowa, które zaakceptował użytkownik na podstawie, np. listy propozycji. Słowo to musi być co najmniej sześcioliterowe, a dodatkowo nie powinno być dostępne w słownikach (tj. nie powinno nic znaczyć). Używane często jako hasła połączenia liter i cyfr są niestety bardzo często zapominane przez obsługę, stąd należy ich unikać. Trzeba też zdecydowanie walczyć z nawykami wypisywania hasła wprost na klawiaturze lub na podręcznej, przymocowanej do monitora kartce.

Słowa służące jako hasła powinny być wymieniane np. co 90 dni. Nie należy przy tym zapomnieć o utworzeniu listy haseł już używanych, by nie powtarzać ich w przyszłości.

Należy przewidzieć także zbiegi okoliczności - baza danych, z której korzysta uprawniony użytkownik, może być w tym samym czasie udostępniona osobom nieuprawnionym.

Zabezpieczenie nienaruszalności danych

Najprostszą zasadą zabezpieczenia informacji w sieci, jest ograniczenie dostępu użytkowników wg ich ID tylko do tych danych i funkcji sieciowych, które dotyczą ich zakresu kompetencji. Każda osoba zalogowana w sieci (tj. posiadająca przyznane prawa użytkownika) powinna "widzieć" tylko takie menu, jakie jej przysługuje, zgodnie z wcześniej ustaloną hierarchią dostępu. Należy także rozróżniać dostęp do pliku z uprawnieniami "tylko do odczytu" lub "do zapisu". Dostęp do wszystkich plików na serwerze powinno mieć tylko niewielu użytkowników. Przeważnie taki sposób postępowania zabezpiecza sieciowy system operacyjny przed niepożądaną penetracją.

Kodowanie danych

Kodowanie (szyfrowanie) danych jest ważnym sposobem ich zabezpieczenia, przede wszystkim w trakcie transmisji. Żaden z "podsłuchiwaczy" sieciowych nie dopatrzy się sensu w zaszyfrowanej informacji. Często zakodowane bywają np. przesyłane rozliczenia finansowe oraz, co staje się regułą, hasła. Jednym ze stosowanych systemów kodowania jest opracowana w RSA Data Security Inc. metoda PKC (Public Key Cryptosystem). Stosuje ona tzw. kodowanie asymetryczne, tzn. klucz używany do zakodowania informacji różni się od klucza służącego do ich odkodowania. Każdy z użytkowników posiada dwa klucze kodowe: prywatny, dostępny tylko jemu oraz publiczny, dostępny wszystkim. Nadawca dokumentu koduje go przy użyciu klucza publicznego, z zaznaczeniem miejsca przeznaczenia, odbiorca deszyfruje go swoim prywatnym kluczem. Nadawca wysyła informację jak gdyby do wszystkich, odebrać ją może tylko jeden z użytkowników. Jest to jedna z wielu stosowanych obecnie metod do kodowania dokumentów.

Kontrola zapisów dostępu do sieci

Każde prawidłowe zalogowanie się w sieci, czy też nieudana próba dostępu do jej zasobów danych mogą być skrupulatnie rejestrowane przez systemy kontroli i przynajmniej raz dziennie (piszemy tu o praktyce użytkowników sieci w USA) przejrzane przez obsługę. Pozwoli to wychwycić takie anomalie, jak wielokrotnie powtarzające próby zalogowania się, co może świadczyć o chęci włamania się do zasobów sieci. Niektóre z systemów kontrolujących dostęp do sieci potrafią w takiej sytuacji przesłać raport z nieprawidłowościami pocztą elektroniczną do osoby odpowiedzialnej za instalację sieciową i spowodować powiadomienie jej przy użyciu pagera.

Polityka antywirusowa

Większość infekcji wirusowych komputerów osobistych ma swoje źródło w zarażonej dyskietce. Żaden pochodzący z zewnątrz dysk nie powinien być użyty przez użytkowników połączonych instalacją sieciową bez uprzedniego sprawdzenia go odpowiednim programem antywirusowym. Wymaga to dostępu do stojącego poza siecią komputera z zainstalowanym programem antywirusowym.

Użytkownik, który pracuje z nieprzetestowanym dyskiem powinien się liczyć z jak najsurowszymi konsekwencjami, włącznie z utratą miejsca pracy. Na każdej stacji roboczej powinno się zainstalować oprogramowanie antywirusowe, skanujące i filtrujące, które będzie działało w czasie jej bootowania (włączenia i zainstalowania plików systemowych). Dodatkowo można używać oprogramowania rezydentnego, które wychwytuje niepokojące wydarzenia (być może oznaki ataku wirusowego) w czasie każdej operacji I/O.

Backup

Każda z osób odpowiedzialnych za właściwą pracę sieci powinna zdawać sobie sprawę z konieczności stosowania backupu. Częstotliwość wykonywania go powinna odwzorowywać tempo zmian danych, magazynowanych w sieci. Taśmy lub inne media z zapisem backupowanych zasobów sieci powinny być przechowywane w bezpiecznym miejscu, najlepiej w innym pomieszczeniu lub budynku niż ten, w którym działą instalacja sieciowa. Na ten temat pisaliśmy już w CW nr 6 z br. str. 20.

Odpowiedzialność użytkowników

Każdy z pracowników, posługujących się w codziennej pracy rozproszonymi w sieci zasobami danych i korzystający z działania aplikacji typu "mission-critical", powinien być świadomy tego, jak łatwo zakłócić ochronę i zabezpieczenie danych przez niewłaściwą i nieumiejętną obsługę. Potwierdzeniem tego faktu powinny być podpisane przez użytkowników sieci stosowne dokumenty o ochronie i bezpieczeństwie danych w sieci.

Bez wdrożenia w życie przemyślanych zasad pracy z komputerem, bezpieczeństwo przetwarzanych danych jest tylko iluzoryczne.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200