Planlegging og iverksetting av sikkerhetsavhengige tjenester i forskjellige systemer

Transkript

1 Stiftelsen TISIP i samarbeid med Avdeling for informatikk og e-læring, Høgskolen i Sør-Trøndelag Planlegging og iverksetting av sikkerhetsavhengige tjenester Stein Meisingseth Opphavsrett: Forfatter og Stiftelsen TISIP Lærestoffet er utviklet for faget LV474D Planlegging og iverksetting av sikkerhetsavhengige tjenester i forskjellige systemer Resymé: I denne leksjonen vil vi se på planlegging og iverksetting av sikkerhet i forskjellige systemer. Innhold PLANLEGGING OG IVERKSETTING AV SIKKERHETSAVHENGIGE TJENESTER I FORSKJELLIGE SYSTEMER...1 INNLEDNING...2 RISIKOVURDERINGER...2 HVA ER VÅRE VIKTIGSTE MÅL SOM VI VIL BESKYTTE...2 IDENTIFISERING AV TRUSSELOMRÅDER...2 SIKKERHETSPOLICIER...3 HVA MENES MED EN SIKKERHETSPOLICY OG TRENGER VI DE?...3 DEFINISJON PÅ EN SIKKERHETSPOLICY...3 HVEM SKAL DELTA I UTFORMING AV EN SIKKERHETSPOLICY?...3 HVA MÅ TIL FOR Å FÅ EN GOD SIKKERHETSPOLICY?...3 Det som karakteriserer en god sikkerhetspolitikk er:...3 Elementer i en god sikkerhetspolicy:...4 ALLE POLICIER MÅ VÆRE FLEKSIBLE...4 BESKYTTELSE AV TJENESTER...5 AKTUELLE TJENESTER SOM BØR IAKTTAS MED EKSTRA KRAV OM SIKKERHET...5 Navnetjenere (DNS)...5 Passordfiler eller servere med passordinfo...5 Proxy-servere...5 Epost...5 FTP...6 Fildeling...6

2 Innledning Noen generelle regler bør vi ha i hodet: o Vi må identifisere det som vi ønsker å beskytte o Vi må bestemme oss for hva det er vi skal beskytte oss mot o Vi bør avgjøre hvor stor sikkerhetsrisiko det er o Vi bør sette inn verktøy som vil beskytte våre viktigste mål o Vi må stadig overvåke våre nett og etter hver som vi oppdager svakheter, må vi forbedre disse Risikovurderinger Hva er våre viktigste mål som vi vil beskytte Følgende kan generelt listes opp som viktige angrepsmål: Hardware: CPU, hovedkort, minne, disker m.m. Software: originalprogrammer, designede programmer, diagnoseprogrammer, OS, NOS, nettverksprogrammer Data: under prosessering, lagret lokalt, lagret på servere, lagret på servere i andre eller av landet, databaser, backup, overvåkningslogger m.m. Mennesker: brukere, administratorer, de som skal vedlikeholde hardware Dokumentasjon: om programmer, om hardware, om systemer, om lokale bestemmelser, Forsyning: av papir, bakupmedier, disker m.m. Alle disse enheter vil ikke være like viktig i alle bedrifter. Det vil avhenge av bedriftens størrelse, viktighet, bruken av IT-utstyr og flere lignende faktorer. Likevel vil det være viktig å bruke dette for å finne hva som kan være mest utsatt i nettopp vår bedrift. Og av punktene over vil en del gå igjen hos alle, mens noen vil være spesifikke pga nettopp denne bedriftens betydning. Identifisering av trusselområder Så snart viktige mål som må beskyttes er klarlagt, er det viktig å identifisere hvilke trusler som kan rettes mot disse målene. Deretter kan disse trusler bli undersøkt for å avgjøre hvilke tap vi kan oppleve. Følgende er typiske trusler, men ditt system inklusive din website kan bli utsatt for andre typer i tillegg o Uautorisert tilgang til ressurser og/eller data (informasjon) o Utilsiktet og/eller uautorisert tilgang til data som man egentlig ikke skal ha tilgang til o DoS (Denial of Service) (kommer tilbake til dette i en seinere leksjon) Leksjon 02 2

3 Sikkerhetspolicier Hva menes med en sikkerhetspolicy og trenger vi de? De sikkerhetsrelaterte avgjørelser du som administrator tar eller ikke tar vil i stor grad avgjøre hvor sikker ditt system vil være, hvor mye funksjonalitet det oppnås, og hvor lett nettverket er å benytte. Likevel vil det ikke være mulig å fatte beslutninger om sikkerhet uten først å avgjøre hvilke sikkerhetsmål ditt system har. Før dette er bestemt, vil det ikke være en fornuftig politikk å ta i bruk sikkerhetsverktøyer (brannmurer/sniffeprogram/auditing e.t.c.). dette skyldes at du vet ikke hav du skal se etter, så lenge du ikke har klare begreper om hva som er sikkerhetsproblem, hva som kan defineres som angrep, hva som er viktige mål og hva du vil mest av alt beskytte. Dine sikkerhetsmål vil bli bestemt av følgende generelle avveininger: o Hvilke tjenester skal tilbys contra behovet for sikkerhet o Hvor lett skal et system være å bruke contra behovet for sikkerhet o Kostnader ved å ta i bruk et gitt sikkerhetsnivå contra risiko for tap av data Definisjon på en sikkerhetspolicy En sikkerhetspolicy er et formelt dokument med regler som ansatte og brukere som er gitt adgang til en organisasjons teknologi og informasjon må godta. Hvem skal delta i utforming av en sikkerhetspolicy? o Nettverksadministratorer inkl ansatte i den avdelingen o Systemadministratorer inkl ansatte i den avdelingen o Ansatte med spesielt ansvar for sikkerhet for nettverk og websites o Representanter fra brukere o Deler av ledelsen o Juridiske ansatte (hvis det finnes eller betraktes som nødvendig) Hva må til for å få en god sikkerhetspolicy? Det som karakteriserer en god sikkerhetspolitikk er: o Den må implementeres via prosedyrer i et datasystem, ved å kopiere opp viktige sikkerhetsforskrifter eller på andre måter o Den må gjennomføres sammen tvungen innføring av sikkerhetsverktøyer der det er fornuftig, eller med mer eller mindre sterke sanksjoner der det ikke er mulig med tekniske begrensinger o Sikkerhetspoliciene må helt entydig definere ansvarsområder for vanlige brukere, administratorer og ledelse Leksjon 02 3

4 Elementer i en god sikkerhetspolicy: Retningslinjer for kjøp at datautstyr må innholde bestemmelser om nødvendig eller foretrukket sikkerhetsmomenter. En privat policy som angir fornuftige forventinger til den enkelte ansattes privatliv slik som overvåkning av e-post, logging av datatrafikk og adgang til en brukes hjemmeområde. En tilgangspolicy som definerer aksessrettigheter for å beskytte viktige data fra tap eller at noen kan få ta i slike data uten brukeren tillatelse. Dette krever gitte retningslinjer for brukere, administratorer og ledelse. Denne policy bør også inneholde retningslinjer for ekstern kommunikasjon, rett til å knytte en enhet til et nettverk (for eksempel mp3-spiller) og mulighet til å kunne installere ny software på "sin" PC. En policy for den enkelte konto som definerer ansvar for brukere, administratorer og ledelse. Denne policy bør også spesifisere mulighet for overvåkning av trafikk (auditing) og hvem som skal kontaktes når man tror man er angrepet. En autentiseringspolicy som angir regler for en effektiv passordpolitikk (Windows 2003 server har som standard en såkalt kompleks passordpolicy). En autentiseringspolicy som angir regler for fjerntilkobling via for eksempel remote desktop, FTP eller mappe opp et nettverksdrev hjemmefra. En policy som beskriver hva som er forventet oppetid og hvilke ressurser som brukere til enhver tid kan forvente å få ta del i og til hvilken pris (tid, ressurser). Denne policy kan også angi når et system vil være nede for vedlikehold. En policy som beskriver hvordan utenforstående kan komme inn i systemet for vedlikehold og reparasjoner. Den bør også angi hvilke retningslinjer som servicepersonell bør følge med tanke på responstid, helpdesk-muligheter m.m. En policy som angir hvem man skal rapportere til nå skader oppstår, når man er angrepet. Hvis man tillater en anonym rapportering vil trolig antallet rapporter spå skader som er skjedd bli mye stører, men dermed vil også sikkerheten bli bedre ved at flere feil vil bli rettet. Utfyllende kommentarer som skal belyse hva man skal gjøre i gitte situasjoner, og som man ikke kan finne i en kort oversikt over viktige policier. Denne vil også være viktig for personell som skal iverksette tiltak når uforutsette ting har skjedd om som kan være en sikkerhetsrisiko. Alle policier må være fleksible For at en sikkerhetspolicy i et datasystem skal fungere slik vi vil og slik at den gir maksimal sikkerhet til enhver tid kreves det at man har en fleksibel holdning til å revidere policiene etter hvert som man ser behovet for det. En sikkerhetspolicy bør være atskilt fra en bestemt hardware eller software-situasjon, fordi både hardware og software kan bli skiftet fra en dag til neste. Når en policy skal endres, må det bety en gitt prosess, som angir hvem som skal involveres og hvem som skal godkjenne endringene. Likevel er det viktig å angi at man må alltid ha unntaksregler. Hvis for eksempel en administrator ikke har tillatelse til å gå inn på en brukers hjemmeområde (det bør være selvfølgelig), kan det være situasjoner der man bør ha unntak fra en slik regel. Hvis man vet at man er angrepet, men ikke helt vet hvor for eksempel en bakdør er plassert, kan det være at man kan måtet se på filer og mapper til ansatte på deres hjemmeområde. Når dette blir gjort skal det gis rapport til brukere og ledelse om hvorfor man har gjort slike inngrep. Leksjon 02 4

5 Beskyttelse av tjenester Uansett hvilket NOS man kjører vil det gitt antall tjenester kjøre. Ofte under en installasjon foretar man en default installation og dermed vet man ikke i særlig grad hva som blir med av tjenester. I en treningssituasjon er dette OK, men i en fast driftssituasjon er ikke dette holdbart. Da må man først avgjøre hvilke behov man har, og så foreta en tilpasset installasjon av OS og NOS. Dermed får man en oversikt over hvilke tjenester som man til enhver tid kjører i sitt datasystem. Etter hvert som nye versjoner av Windows operativsystem er kommet, er også nye tjenester kommet til. På min PC kjører det til enhver tid ca 35 tjenester for å få en oversikt er det bare å velge Ctrl + Alt + Del og se på antall prosesser som kjøres. Er alle disse nødvendig? Vil ikke mange av disse være til for å redusere sikkerheten i et datasystem? Selv om vi setter strenge krav til sikkerhet på rutere, servere og nettverket eller, er det ikke sikrere enn det svakeste ledd. Og hvis en inntrenger kan komme seg inn i et system via OS på en arbeidsstasjon, er man ikke så svært godt sikret. Dette kan du lett unngå eller redusere faren ved å sperre porter som ikke du trenger (men dette avhenger blant annet av hvilke tjenester du kjører). Aktuelle tjenester som bør iakttas med ekstra krav om sikkerhet Navnetjenere (DNS) Disse kreves det et vi holder under nøye oppsikt. Hvis en angriper kan komme inn og få kontroll over en DNS-tjener kan for eksempel reroute trafikken til andre og på den måten omgå de krav til sikkerhet som er satt. Eller brukere kan bli lurt til å tro at man får svar fra andre enn den man tror. I verste fall kan en navnetjener stenges helt ved at noen får kontroll over den, men dette vil ikke ha stører konsekvenser enn at noen lokalt mister forbindelsen. Hvis derimot alle rot-dns-tjenere går i stå vil hele Internett bryte sammen (holdt på å skje våren 2003). Passordfiler eller servere med passordinfo Disse skal være underlagt meget strenge sikkerhetskrav, men likevel skal det ikke så mye til for å kunne avsløre passord ved hjelp av Brute Force Attack. Slike servere må derfor stå i en sone som bare kan nås fra gitte områder og FTP og Telnet skal ikke kunne brukes på disse serverne. Proxy-servere Her vil det kunne lagres akkumulerte data som vil være fristende for mange. Disse må derfor settes opp slik at de bare kan nås fra de soner som de er satt opp til å betjene. Epost De fleste e-postservere aksepterer inputs fra de fleste forskjellige kilder både innefra og utenfra en organisasjon. I utgangspunktet er dette derfor en usikker tjener, og bør ikke ligge på samme tjener som brukernes filtjener. Viktig her er å sette opp restriksjoner slik at bare gitte IP-adresser kan sende mail eller lese mail, og konfigurerer e-postserver på en slik måte at de ikke er mulig å bruke en e-postserver til å sende mail til andre. Leksjon 02 5

6 FTP FTP tillater brukere å sende og motta elektroiske data. Hvis man konfigurerer en FTP-server feil, kan dette føre til at inntrengere kan slette filer på FTP-tjener. FTP-tjenere bør ligge på en egen server, men fra Windows 2000 og 2003 server vet vi at der ligger denne tjenesten sammen med andre tjenester. Skal disse NOS brukes, bør man splitte opp tjenestene i egne servere for å oppnå større sikkerhet. Spesielt IIS var det lett sette opp feil på Windows 2000 server. I 2003 server er dette mye mer sikkert. Og på Novell Netware server er det i utgangspunktet en relativt sikker tjeneste. Fildeling I de fleste NOS kan man aktivisere fildeling. Uten å sette korrekte rettigheter her er dette en farlig tjeneste som gjør at angripere kan få tilgang til forbudte områder. Anbefalt litteratur: leksjonen Leksjon 02 6