Drift av datasystemer - bachelorprosjekt 19E Etablere testnett og utarbeide metodikk for sikkerhetsrevisjoner Gjertrud Eliassen og Børre Lagesen 2010
Agenda Introduksjon. Bakgrunn for prosjektet. Prosjektmål. Avgrensninger. Gjennomføring av prosjektet. Resultater. Videre arbeid. 2
Introduksjon Ingen ekstern oppgavegiver. Arbeidsgiver interessert i resultatene av prosjektet. Benytte resultatene i vårt arbeid som ikt-revisorer. Regelmessige kvalitetskontroller fra veileder. 3
Bakgrunn for prosjektet 4
5
Prosjektmål Hovedmål: Etablerer testnett og utvike metodikk for sikkerhetsrevisjoner. Resultatmål: Testnett. Metodikk som ikt-revisorer kan benytte for å finne feil og svakheter i ikt-sikkerheten hos virksomheter. Verktøy som kan benyttes for å finne feil og svakheter i iktsikkerheten hos virksomheter. 6
Avgrensninger Prosjektet skulle ikke: Erstatte den ikt-sikkerhetsrevisjonen som gjennomføres i dag, men være et supplement ved revisjon av det tekniske nivået. Utnytte påviste svakheter i systemene, men finne sårbarheter for rapportering til reviderte virksomheter. Samarbeide/utveksle informasjon og erfaringer med andre aktører nasjonalt og internasjonalt. 7
Gjennomføring av prosjektet Fem hovedaktiviteter: Detaljert plan. Oppsett av testnett. Utarbeide metodikk. Identifiserer og teste aktuelle verktøy. Ferdigstille. 8
Aktivitet I: Detaljert plan Dedikerte arbeidsuker til prosjektet. Detaljert aktivitetsplan. Risikovurdering av prosjektet. Forstudierapport. Kravspesifikasjon. 9
Aktivitetsplan 10
Risikovurdering Vurdering av sannsynlighet og konsekvens for at planlagte aktiviteter ikke gjennomføres. Høyrisikoområder ved prosjektoppstart: R4 Sette opp en detaljert aktivitetsplan. R35 Installerer servere. 11
I denne fasen er følgende dokumenter utarbeidet: Aktivitetsplan. Risikoanalyse. Forstudierapport. Kravspesifikasjon. For prosjektdokumentasjon se: http://stud.aitel.hist.no/p19e-2010. 12
Aktivitet II: Oppsett av testnett Testnettet består av: Maskiner med operativsystemer som er patchet ulikt. Maskiner med Windows og Linux operativsystem. En VMware ESX server og to VMware servere. 13
Fysisk oppsett 14
Logisk oppsett 15
Godkjenningsprøve av testnettet 24. juni 2010 Konklusjon: Testnettett anses godkjent. I denne fasen er følgende dokumenter utarbeidet: Nettverksdesign. Installasjonsplan. Testplan for testnettet. Testrapport testnettet. 16
Aktivitet III: Utarbeide metodikk Metodikken sikrer at ikt-revisorene: Systematisk og effektiv kan gjennomføre sikkerhetsrevisjoner av teknisk infrastruktur. Får oversikt over, og kan identifiserer alle enheter i nettet. Kan identifiserer sårbarheter i nettet. 17
Sikkerhetsrevisjon kontra sikkerhetstesting Avgrenset sikkerhetsrevisjon til det å foreta en sårbarhetsvurdering slik at virksomheten får oversikt over de sikkerhetshull som foreligger og kan utbedre disse. 18
Fasene i en sikkerhetsrevisjon 19
Planlegging Eget planleggingsskjema: Velge virksomhet. Sette sammen revisjonsteam. Avgrense revisjonsomfanget. Estimerer antall dagsverk. Tidspunkt for revisjonen. Definere framgangsmåte. 20
Gjennomføring A1 Identifisere alle maskiner. B1 Identifisere alle åpne porter. B2 Identifisere alle aktive tjenester. C1 Identifisere operativsystem (OS). C2 Identifisere konfigurasjon/oppsett. C3 Vurdere konfigurasjon/oppsett mot kjente risikoer og best praksis. C4 Identifisere versjon/patchnivå er det på OS. C5 Vurdere versjon/patchnivå mot kjente sårbarheter/oppdateringer. D1 Identifisere program. D2 Identifisere konfigurasjonen av det aktuelle programmet. D3 Vurdere konfigurasjonen mot kjente risiko og best praksis. D4 Identifisere versjonen for det aktuelle programmet. D5 Vurdere versjon mot kjente sårbarheter/oppdateringer. 21
Revisjonshandlinger Detaljerte revisjonshandlinger som beskriver hvordan punktene A1 til D5 kan kontrolleres. Dokumentet gir en beskrivelse av risiko, formål og forutsetninger med revisjonshandlingene. 22
Rapportering Rapportering ses i sammenheng med gjennomførte revisjonshandlinger. Eget rapporteringsskjema med vurdering av: Om policy og rutiner er etablert. Om teknisk infrastruktur er etablert slik det framkommer i policy og rutiner. Om oppsett av teknisk infrastruktur samsvarer med god praksis på området. Etter at rapportering er gjennomført kommuniseres funnene til virksomheten. 23
I denne fasen er følgende dokument utarbeidet: Metodikk med vedleggene: Skjema for planlegging av sikkerhetsrevisjon. Revisjonshandlinger. Rapportering. 24
Aktivitet IV: Teste verktøy Krav at verktøy skal kunne: Kjøre på Windows XP. Skanne flere enheter. Vi har også vurdert om verktøyet: Er enkelt å installere. Er brukervennlig. Gir mulighet for å ta ut rapporter. Bruker lang tid på å gjennomføre skanning. 25
Testresultater 26
Valgte verktøy Fing. Microsoft Baseline Security Analyzer. NMAP. GFI LANguard. Nipper. 27
Godkjenningsprøve metodikk og verktøy 14. november 2010 Konklusjon: Metodikk og verktøy anses godkjent. I denne fasen er følgende dokumenter utarbeidet: Testdokument for verktøy. Veiledning i bruk av verktøy. Testplan for metodikk og verktøy. Testrapport for metodikk og verktøy. Oppdatert metodikkdokument med verktøy. 28
Aktivitet V: Ferdigstille Opplæringsmateriell metodikk/verktøy. Sluttrapport. Presentasjon. Individuelle refleksjonsnotat. 29
I denne fasen er følgende dokumenter utarbeidet: Opplæringsmateriell metodikk/verktøy. Presentasjon. Sluttrapport. Individuelle refleksjonsnotater. 30
Videre arbeid Implementere metodikk i organisasjonen. Anskaffe aktuelle verktøy, og løpende vurderer nye verktøy. Oppdatere metodikk med nye verktøy. 31
Takk for oss! http://stud.aitel.hist.no/p19e-2010 32