Sikring av endepunkter

Transkript

1 Sikring av endepunkter John Breidablik / Security Engineer

2 Highest-rated Technologies 15 years firewall leadership Rated Highest of 6 Endpoint Products Leader in Gartner Mobile Data Protection Magic Quadrant 7 years in a row Common Criteria EAL 4 certified Over 100 million VPN clients installed Over 80 million PCs encrypted Best Remote Access IPSec VPN solution 2

3 Agenda Utfordringer (klient) Sikkerhetskrav/policy Løsninger? 3

4 Bærbare enheter blir borte Så mange som 1 av 10 laptoper vil bli stjålet eller mistet i løpet av tiden de lever i følge en av menneskene bak web-stedet 4

5 Bærbare enheter mistes og glemmes 5

6 Data uten kontroll 6

7 Data uten kontroll 7

8 Enheter blir borte her hjemme også... 8

9 I offentlighetens lys 9

10 Statistikker Ifølge Gartner så er 47% av bedriftens interne data lagret på mobile enheter, og de samme bedriftene rapporterte at 350,000 enheter var stjålet de siste 2 årene. (80% er interne/egne ansatte...) Over 208,000 mobiltelefoner, 31,469 PDA er og 11,303 laptoper ble glemt igjen i drosjer i de store byene i verden de siste 6 månedene 10

11 Vi har sjekket litt... Vi fant masse interessante data, f.eks: Pensjonsavtaler, Pointsec kjøpte kundedatabaser, Alle var 100 merkelig" brukte lønnsutbetalinger, enheter nok på ebaypersonlige Vi kunne gjenskape informasjonen på 7 av 10 enheter detaljer, brukerdetaljer, slettet og på administrator flyplass eller formatert auksjoner passord, e-poster, osv 11

12 Data er uten kontroll 12

13 Data er uten kontroll 13

14 Gjenbruk av utstyr Det er meget lett å gjenbruke en Windows PC og lisensen 14

15 Tastaturloggere for PC 15

16 Tastaturlogger for mobiltelefoner 16

17 The Current Fears 80 % av alle sikkerhetsbrudd skjer faktisk fra innsiden USB flash drives size makes them easy to lose. En 80 GB ipod tillater brukeren å kopiere ca Word dokumenter mens den lader... Dette er en begrunnelse for at flere kunder forbyr Apple ipod s Grunnet sikkerhetsrisiko 17

18 Eksempel Det ble laget en trojaner som samlet domenenavn, brukernavn og annen informasjon om datamaskinen og brukeren. Dette ble sendt i en mail til en predefinert e-post adresse. Tre dager senere gjorde vi en oppsummering vi hadde funnet mye data... Jeg var overrasket over hvor effektivt det var. Av 20 USB pinner var 15 funnet av ansatte og brukt på bedriftens PC er. 18

19 Riskanalyse mobile enheter Mengden av kritiske data Høy Lett å miste? Lav 2-5kg Risiko Middels Høy Høy Høy Lav (tidligere) Økende Høy gram Høy 19

20 Data er uten kontroll 20

21 Demo Device Discovery 21

22 Agenda Utfordringer (klient) Sikkerhetskrav/policy Løsninger? 22

23 Generelle krav Definer en sikkerhetspolitikk (hvem har ansvart?) Dokumenterte rutiner og løsninger Driftspersonellets kompetanse Endringskontroll Avvikskontroll 23

24 Internasjonale lover og forskrifter EU data retention law (Telco, xsp) 21 CFR Part 11 (Pharmaceutical) Basel II (Financial) PCI-DSS (Payment Card) ISO (ISO 17799/DS484) SOX (US Sarbanes-Oxley) HIPAA - EU 95/46 Directive - HPB 517 EU's 8th directive (Euro SOX) 24

25 Personopplysningsforskriften Kapittel 2 omhandler informasjonssikkerhet: 1. Forholdsmessige krav om sikring av personopplysninger 2. Pålegg fra Datatilsynet 3. Sikkerhetsledelse 4. Risikovurdering 5. Sikkerhetsrevisjon 6. Avvik 7. Organisering 8. Personell 9. Taushetsplikt 10. Fysisk sikring 11. Sikring av konfidensialitet 12. Sikring av tilgjengelighet 13. Sikring av integritet 14. Sikkerhetstiltak 15. Sikkerhet hos andre virksomheter 16. Dokumentasjon 25

26 Helseopplysningsloven Nasjonalt folkehelseinstitutt og databehandleren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av helseopplysninger etter forskriften, jf. helseregisterloven 16 flg. Der behandling av helseopplysningene skjer helt eller delvis med elektroniske hjelpemidler, gjelder bestemmelsene om informasjonssikkerhet i forskrift til personopplysningsloven 2-1 til

27 Datatilsynets retningslinjer (12/2000) Veiledning i informasjonssikkerhet for kommuner og fylker (og private med samme krav) Bygger på personopplysningsloven og helseopplysningsloven Kommer med anbefalinger til hvordan slike opplysninger skal behandles elektronisk Fokus på Sikkerhetsbarrierer (sone inndeling) Kryptering Sikkerhetspolitikk (ansvar/organisering) Endringskontroll Kompetanse 27

28 Kompetansekrav Alle medarbeidere som bruker, administrerer, vedlikeholder eller utvikler informasjonssystemene, eller på annen måte påvirker informasjonssikkerheten, skal ha nødvendig kompetanse til å utføre sine oppgaver. Virksomheten skal utarbeide rutiner som sørger for at kompetanse vedlikeholdes og utvikles. 28

29 Agenda Utfordringer (klient) Sikkerhetskrav/policy Løsninger? 29

30 Hvilke komponenter behøves? Bare kjente applikasjoner kan nå bedriftens nettverk Sentralt styrt klient brannmur Disk og media kryptering Port kontroll Pro-aktiv, ikke bare reaktiv beskyttelse 802.1x Beskyttelse mot andre klienter Anti-Spyware, Anti-virus, IPS 30

31 Endpoint Security Mer informasjon finnes på: eller kontakt Channel Security Engineer Ha en fortsatt sikker dag 31

32 Check Point Endpoint Security Siste versjon av for Check Point Endpoint Security Suite Første modulbaserte & felles Endpoint Security Client Personal Firewall Host-IPS / 802.1x NAC Antivirus Anti-spyware VPN Client Full Disk Encryption Port protection Media Encryption Endpoint Security Client R70 Felles GUI og tray-icon Felles SW-utrulling Felles feilsøking Felles status 32

33 Check Point End Point Security Pointsec Mobile Palm OS Pointsec Mobile Smartphone Media Encryption Pointsec Mobile Pocket PC Port Control Port Management Full Disk Encryption Windows 33

34 Mobile Devices enkel pålogging **** **** Logg inn med en serie enkle symboler eller en PIN kode Vær sikker på at kontakter, og dokumenter er beskyttet og kryptert. 34

35 Check Point EndPoint Security Harddisk- og media kryptering, samt port kontroll Klient PC Sentralisert Logging og Management Logger benyttes blant annet for å bygge policyer og planlegge tilgang på porter og enheter Kontrollerer tilgang til alle porter og enheter tilkoblet: Wired Wireless Devices USB Bluetooth Memory cards Firewire Infrared Digital cameras Serial WiFi Music players Printer IDE Modems Smart phones Printers Keyloggers 35

36 Check Point - Media Encryption Advokat firma ønsker å Blokkere ansatte fra å lagre data på USB pinner Partnere må lagre kryptert, bortsett fra på ipods Regnskapsavdelingen ønsker å Blokkere Bluetooth synkronisering mellom mobiltelefoner og PC er Blokkere alle regneark fra å skrives til USB enheter Ha kontroll over hvem som kopierer annet til USB enheter Telemarketing firma med stor utskifting av personell trenger å Blokkere ikke godkjente USB pinner fra å kunne brukes Blokkere mulighetene fra å få programmer inn via USB Mulige oppsett: Ingen tilgang Full tilgang Bare lese tilgang Full kryptert tilgang Bare les kjente enheter Full kryptert tilgang m/ bruk fra andre PC er 36

37 Check Point - Media Encryption 37

38 Check Point - Media Encryption 38

39 Ease of Deployment Deployment Is Very Fast Using Single Configuration File & Existing Deployment Strategies Deployment Server SMS, Tivoli, ZenWorks, Altiris, OneBridge, XTNDConnect, Afaria Xcellenet Management Console Predefined Security Settings Single Temporary User Silent Installation Wake-on-LAN IBM Rescue & Recovery Pointsec Recovery Media (Floppies, CDs, USB Keys) File Server Client OS: 2000/XP/Vista End User 39

40 Cracking AES encryption? 256 bit AES it is generally considered completely infeasible. (using exhaustive key search) For example: distributed.net is working on cracking one single RC-5 72-bit key distributed.net has searched 0.34% of the 72 bit key in 1344 days which means that on average they can crack a 72-bit key in 1344*150 days i.e. roughly 550 years. 256 bit is 2^184 (2, *10^55) (55 zeroes) larger than 72 bits not ~3,5 Then you multiply that with 2^184 to get the 256 bit equivalent i.e. for distributed.net to break a 256 bit key with their current rate it would require them more years than there are atoms in the universe... 40

41 Check Point Endpoint Security Unified Management Single Agent for Endpoint Security Firewall/NAC Program Control Antivirus Anti-spyware Data Security - Disk encryption Remote Access Unified Management 15 years leadership in firewalls Based on awardwinning ZoneAlarm Market-leading Pointsec technology 12 years leadership Single: in remote access Management console VPN agent on Client Fjerner det bredeste spekteret av sikkerhetsrisikoer på endepunktene Samler alle nødvendige komponenter i en agent Eneste løsning som inkluderer endrepunktsikring og fjernaksess Forenkler IT-avdelingens oppgaver 41

42 Finnes det noen kur? Check Points råd til bedriftene: 1: Utarbeid og bekjentgjør en sikkerhets-policy med klare retningslinjer for hvordan ansatte kan bruke mobile enheter. 2: Bruk software som kan administreres fra sentralt hold og krypterer alle datalagrede data på mobile enheter. 3: Ikke overlat sikkerheten til den ansatte. Forankre policyen sentralt i bedriften og bruk beskyttelsesprogrammer som ikke kan omgås av eller forsinker den ansattes arbeid. 4: Sørg likevel for å utnytte de mange fordelene ved bruk av mobile lagringsenheter. Check Points råd til privatbrukere 1: Gjør deg kjent med din arbeidsgivers sikkerhets-policyer og -systemer for mobile arbeidsenheter. 2: Hvis bedriften ikke har klare policyer og systemer bør du oppfordre IT-ansvarlige eller ledelsen til å innføre dette, og be om råd for sikker bruk av slikt utstyr. 3: Last aldri ned sensitiv bedrifts- eller privatinformasjon på mobile lagringsenheter som ikke har både passordfunksjon og automatisk kryptering av all lagret informasjon. 4: Behandle mobile lagringsenheter som verdigjenstander som kan misbrukes på bekostning av deg selv, venner, familie og bedriften du arbeider for, dersom den kommer på avveie. Standardiser mest mulig!! 42

43 Endpoint Security Mer informasjon finnes på: eller kontakt Channel Security Engineer Ha en fortsatt sikker dag 43