1. Innføring i overvåkning og sikkerhet i Windows

Avdeling for informatikk og e-læring, Høgskolen i Sør-Trøndelag Innføring i overvåkning og sikkerhet i Windows Stein Meisingseth 12.7.2005 Lærestoffet er utviklet for faget LO477D Overvåkning og sikkerheti Windows 1. Innføring i overvåkning og sikkerhet i Windows Resymé: I denne leksjonen vil vi se på innføring i sikkerhet, litt om ISA, krav og muligheter. Innhold 1. INNFØRING I OVERVÅKNING OG SIKKERHET I WINDOWS... 1 1.1. INNLEDNING... 2 1.2. ALTERNATIVER OG KONKURRANSE... 2 1.2.1. Softwarebrannmur... 3 1.2.2. Hardwarebrannmur... 3 1.2.3. Alternativer og konkurranse:... 3 1.3. PRODUKTOVERSIKT... 4 1.3.1. Produktperspektiv... 4 1.3.2. Oversikt over egenskaper... 4 1.3.3. Kostnader og lisens... 4 1.4. PRODUKTEGENSKAPER... 5 1.4.1. Fordeler... 6 1.5. GENERELLE KRAV... 6 1.5.1. Systemkrav... 6 1.5.2. Ytelseskrav... 6 1.5.3. Arbeidsmiljøkrav... 7 1.6. SIKKERHETSTILTAK... 7 1.7. GENERELLE PRINSIPPER FOR SIKKERHETSANALYSE... 7 1.7.1. Ingen sikkerhet...7 1.7.2. Så mye som ledelsen tillater... 7 1.7.3. Kost-nytte analyse... 7 1.7.4. Risikoanalysebasert sikkerhet... 8 1.7.5. Utvikling av sikkerhetsskriv (best practices)... 8 1.7.6. Scenarioanalyse metodikk... 8 1.7.7. Security in Depth... 8 1.7.8. Forsikring... 9 1.8. RETNINGSLINJER... 9 1.8.1. Policyens innhold... 9 1.8.2. Oppdatering... 9 1.8.3. Kursing... 9 1.9. KONSEKVENSER... 10 1.9.1. Ideelt sett bør ethvert sikkerhetstiltak være:... 11 1.10. OPPSUMMERING... 11

Innføring i overvåkning og sikkerhet i Windows side 2 av 11 1.1. Innledning I dagens informasjonsalder er vi i de fleste tilfeller helt avhengig av nettverk i mindre eller større grad. Dette kan være et mindre nettverk i hjemmet, arbeidsplassen eller tilgang til Internett, noe som de aller fleste har i dag. Grunnlaget for datanettverk og Internett ble startet av US Department of Defence (DoD), som drev med et prosjekt for å koble sammen ulike datamaskiner. Dette prosjektet ble kalt Advanced Research Project Agency og ble til det vi kjenner som ARPA-net. Nettverket ble først brukt til akademiske formål, men ble etter hvert tilgjengelig for kommersiell bruk. Internett fikk på midten av 90-tallet en enorm vekst. Med denne veksten fulgte det også metoder for å bryte seg inn i nettverk og datamaskiner, for personlig vinning, eller den enkle grunnen å vise sine kunnskaper ved å sabotere for andre. Problemet har økt i takt med samfunnets avhengighet av datamaskiner i nettverk. De fleste arbeidsplasser har gått helt bort fra den manuelle papirdriften og er i dag totalt avhengige av nettverk. Hvis dette nettverket eller maskinen i nettverket hadde blitt utsatt for angrep, som resulterte i at det ikke kunne brukes, hadde de fleste gått konkurs i løpet av relativt kort tid. Hele samfunn kan også slås ut, ved f.eks. å mørkelegge hele byer og lignende. Dette, sammen med dagens strenge krav til effektivitet, har gjort at mange verktøy har kommet på bane for å forhindre hacking/cracking og å forbedre hastigheter og kapasitet i nettverk. Behovet for å beskytte seg mot hacking/cracking anses i dag som en av de viktigste feltene innen data, nettopp fordi det kan få så store konsekvenser. Dette faget er spesielt rettet mot: - IT-Sjefer - Administratorer som drifter små til store nettverk - IT-ansvarlige - Nettverksansvarlige - Systemansvarlige - Sikkerhetsansvarlige - Kan også benyttes av små lokale nettverk med strenge sikkerhetskrav 1.2. Alternativer og konkurranse Brannmurer kommer i mange forskjellige løsninger. Det spenner seg fra softwarebrannmurer til dyrere hardwarebaserte brannmurer.

Innføring i overvåkning og sikkerhet i Windows side 3 av 11 1.2.1. Softwarebrannmur Dette er et program som kjører på en maskin som tar for seg sikkerhet for et eller flere nettverk. Softwarebrannmurer kan ta for seg alt fra enkeltmaskiner til større nettverk. Blir ofte benyttet av enkeltbrukere som for eksempel er koblet til Internett med bredbånd. Mange av de mye løsningene som er kommet egner seg også godt for organisasjoner og bedrifter som krever høy sikkerhet. 1.2.2. Hardwarebrannmur Dette er en egen enhet med software og operativsystem som er laget kun for formålet å sjekke og hindre uønsket trafikk inn og ut av nettverk. Dette har i lengre tid vært forbeholdt større bedrifter og organisasjoner eller mindre nettverk og enkeltpersoner med meget høye sikkerhetskrav. Sikkerheten er i de fleste tilfeller hakket bedre enn ved softwareløsninger, men enhetene er også en god del dyrere. 1.2.3. Alternativer og konkurranse: - Softwareløsninger for bedrifter og organisasjoner o Symantec Enterprise Firewall o Sygate Secure Enterprise o SmoothWall Corporate Server 3.0 o SonicWall o Det er også fullt mulig å benytte softwareløsninger som er ment for små lokalnett og privatbrukere, selv om de har begrensninger. Dette er noen av de mest brukte alternativene: Windows XP Firewall Symantec Personal Firewall Sygate Personal Firewall Pro Norton Internet Security ZoneAlarm Pro Checkpoint - Hardwareløsninger o Cisco IPX o Symantec Gateway Security o SonicWall

Innføring i overvåkning og sikkerhet i Windows side 4 av 11 1.3. Produktoversikt 1.3.1. Produktperspektiv Microsoft ISA 2004 er ment som en total sikkerhet-, VPN- og webaksellerasjons-løsning for nettverk med Microsoft-baserte operativsystemer som Server 2003 og Server 2000. Programmet er derfor fullt ut kompatibelt med disse. ISA kan benytte seg av fordelene med Active Directory, IIS og VPN og kan sikre alle andre tjenester som skal kjøres på en server. ISA kan benyttes som en brannmur og filtrere trafikk basert på IP-adresser, MACadresser og portnumre, samt applikasjonslagsfiltrering. Brannmursreglene kan knyttes opp mot AD-grupper eller egne opprettede grupper. I tillegg til brannmursløsningen kan ISA benyttes til å cache websider for å minske trafikken mot Internett i interne nettverk, og filtrere både HTTP og SMTP og diverse trafikk basert på forskjellige kriterier. Dette kalles en applikasjonslagsbrannmur. 1.3.2. Oversikt over egenskaper Fordeler Lett å sette seg inn i Fornøyde brukere Lett å oppdage og rette på flaskehalser i nettverket Sikkerhet Mindre trafikk på Internettilgang Grunnet egenskap: Lettfattelig brukergrensesnitt som er selvforklarende og enkelt å bruke. Systemet åpner for de mulighetene man skal benytte samtidig som det lukkes for brudd på sikkerhet som kan føre til nedetid. Integrert mulighet for oversikt for NLB (Network Load Balancing) Brannmur, http og smtp filter, AD, VPN, SecurID Webcaching 1.3.3. Kostnader og lisens Per dags dato er prisen for ISA Server 2004 - Standard Edition overkant av 13 000 kroner eks. mva mens enterpriseutgaven kan kjøpes for rundt 50 000 kroner.

Innføring i overvåkning og sikkerhet i Windows side 5 av 11 1.4. Produktegenskaper - Support for flere nettverk - Support for Enterprise nettverk - Fleksibel integrering av Enterprise-policyer - Policy backup i.xml - VPN support - VPN-karantenemuligheter - Egne firewall brukergrupper - Ekstensiv protokollsupport - Egendefinerte protokolldefinisjoner - Outlook Web Access Publishing Wizard - Enkelt brukergrensesnitt - Webpublisering - Support for FTP upload/download policy - Portdirigering for serverpubliseringsregler - Cacheregler for sentralisert objektlagring - Stimapping for Webpubliseringsregler - RADIUS-support for autentisering - Delegering av grunnleggende autentisering - SecurID-autentisering - Firewall-genererte forms (formsbasert autentisering) - SMTP-filter - HTTP-filter - Linkoversettelse - Oversikt og rapportering - Integrert support for Network Load Balancing (NLB) - Active Directory Application Mode (ADAM) for lagring av firewall policy - Sentralisert styring, oversikt og rapportering for flere brannmurløsninger.

Innføring i overvåkning og sikkerhet i Windows side 6 av 11 1.4.1. Fordeler Fordelen med ISA server er hovedsakelig at det er en pakkeløsning som kan sikre og styre de mest brukte tjenestene innen sikkerhet og caching man har behov for på servere i dag. Noen av de mest relevante egenskapene i dette prosjektet er: Brannmur Webcache VPN-støtte Støtte for web- og mail-filter Ferdigdefinerte protokoller for de mest brukte tjenester som FTP, HTTP, TELNET med mye mer ISA 2004 samarbeider dessuten godt med eksisterende Microsoftløsninger som for eksempel Windows Server 2003, IIS og AD. 1.5. Generelle krav 1.5.1. Systemkrav Kompatible og anbefalte operativsystemer: Microsoft Windows Server 2003 (Standard eller Enterprise Edition), Microsoft Windows 2000 Server, Advanced Server (SP4 eller senere) eller Windows 2000 Datacenter Server. For ISA Server 2004 Enterprise Edition må man ha Windows Server 2003 (Standard eller Enterprise Edition) 1.5.2. Ytelseskrav Prosessor: 550MHz Pentium III eller høyere, tilsvarende Intelkompatibel prosessor. Minne: 256 MB RAM. Harddisk: NTFS-formatert lokal partisjon med 150 MB tilgjengelig plass; Web cache vil kreve ytterligere ledig plass, avhengig av hvor mye som skal caches. Nettverksadapter som er kompatibel med OS for kommunisering med internt nettverk. Nettverksadapter, modem, eller ISDN adapter for hvert tilleggsnettverk koblet til ISA serveren. CD-ROM eller DVD-ROM VGA eller høyere oppløsning monitor Microsoft-kompatibel tastatur og mus.

Innføring i overvåkning og sikkerhet i Windows side 7 av 11 1.5.3. Arbeidsmiljøkrav Under prosjektet bør ISA serveren settes på et nettverk som ikke allerede ligger innefor en brannmur slik at man får testet ulike tilkoblinger utenfra og sikkerhet på disse. Det er valgt en løsning med en ISA server som perifermaskin med en klient innenfor. Man kan prøve ut tjenester på denne klientmaskinen og så kontrollere om disse blir tilgjengelige utenfra. Noen av disse tjenestene kan være SMTP, FTP og IIS. Disse tjenestene vil bli nærmere bestemt senere 1.6. Sikkerhetstiltak Sikkerhetstiltak må stå i stil til bedriftens størrelse og art, og viktigheten av data som blir lagret der og konsekvenser ved tap av data og nedetid. 1.7. Generelle prinsipper for sikkerhetsanalyse 1.7.1. Ingen sikkerhet Dette var inntil nylig en mye benyttet metode blant bedrifter som var ganske små og berodde seg såpass lite på data at et datatap ikke ville føre til nevneverdige tap av verken renommé eller kunder, og bedrifter som enda hadde fullgode manuelle backupsystem i et arkiv. Grunnlaget for prinsippet var at "vi er for små til at hackere vil bry seg om å angripe oss". Denne praksisen har vist seg å være feil og farlig da antallet vilkårlige portscanninger, ormer, virus og scriptkiddies som utfører DDoS-angrep har økt massivt i senere år. Alle som har en datamaskin knyttet til Internett bør ha en viss grad av sikkerhet. Uten noe sikkerhet kan datamaskinen fort misbrukes til å hoste ulovlig programvare, som kan benyttes til bouncing under angrep av andre sider (hvor logger på det angrepne systemet peker på din IP) og benyttes som ekstra datakraft for en cracker som prøver å knekke passord. 1.7.2. Så mye som ledelsen tillater Dette er en praksis som ofte vil føre til at man ligger et steg bak der man bør være, og at sikkerhetstiltak er behovsprøvd eller baserer seg på store nyhetsoppslag om bugfixer. Hvis man alltid skal vente med å innføre sikkerhetstiltak til etter at et brudd har oppstått eller en ny orm herjer vil man utsette seg for unødvendig risiko. Dette kan føre til at det bruddet som skjer er så omfattende og kostbart at bedriften må legges ned. Da er det lite vits i å sikre seg i etterkant. Dette fører også til at man ikke har noen klare retningslinjer for hvordan sikkerhetstiltak skal gjennomføres. Oppdatering av sikkerhet vil skje i større bulker og ofte tillate for mange protokoller da sikkerhetsbehovene er uoversiktlige. 1.7.3. Kost-nytte analyse Dette er en grei metode å fastsette kostnadsrammen for sikkerhetstiltak. Metoden går ut på at man vurderer verdien av data i systemet for deretter å bestemme hvilke tiltak en kan

Innføring i overvåkning og sikkerhet i Windows side 8 av 11 gjennomføre. Kost-nytte analyse gir et begrep om hvor grensen for ressursbruk på sikkerhet ligger. Man vil ikke bruke for mye penger på å passe på informasjon som ikke er verdt en brøkdel. Kostnyttesanalysen baserer seg ikke i det hele tatt på noen risikoanalyse. 1.7.4. Risikoanalysebasert sikkerhet For å fastlegge hvilke tiltak som skal settes i verk gjennomføres en kostnytteanalyse hvor faktorer som teller er kostnad ved datatap multiplisert med risiko for innbrudd. Hvis innbrudd med datatap i en bedrift skjer to ganger per år og hvert innbrudd blir kostende 50 000 kroner blir taket for sikringstiltak som hindrer dette 100000 kroner per år. Da ser vi at det fort lønner seg å investere i et produkt som ISA 2004 som kan fjerne risikoen for mange typer sikkerhetsbrudd. Man kan også ta med i ligningen at om sikkerhetsbrudd blir offentlig kjent, vil bedriften miste renommé og på den måten tape kunder de allerede har og vil kunne trekke til seg i framtiden. Problemet med denne metoden er at det knytter seg store usikkerheter til hvilke farer som truer og vil true systemet i fremtiden. 1.7.5. Utvikling av sikkerhetsskriv (best practices) Dette er et prinsipp hvor bedriften utvikler retningslinjer basert på kjente prinsipper i ITsamfunnet. Dette skrivet gis ut internt til alle i bedriften, eller deles opp slik at enkelte deler blir tilgjengelige for alle i bedriften og sikkerhet som ikke vedgår alle holdes tilbake. Skrivet vil inneholde god skikk for å opprettholde sikkerhet for alle aspekter av et system. I et slikt skriv vil man finne retningslinjer for åpning av e-post vedlegg, vedlikehold av operativsystem og virusprogram, bruk av Internett og andre nettverksressurser, sikkerhet på servere og arbeidsstasjoner. Et eksempel på et slikt sikkerhetsskriv er Britisk Standard BS7799 som nylig har blitt en internasjonal standard ISO17799. Problemet med et slikt sikkerhetsskriv er at det sjelden vil oppdateres og på den måten ikke være tilstrekkelig for å takle nye trusler. Et slikt sikkerhetsskriv er derimot fint å ha når man skal samtale med forsikringsselskaper om premiekostnader. 1.7.6. Scenarioanalyse metodikk Dette er en metode hvor et utvalg i bedriften og sikkerhetskonsulenter oppretter en hel masse scenarier for sikkerhetsbrudd for deretter å utvikle prosedyrer for å takle disse bruddene. Prosedyrene blir deretter innført og behørig utprøvd. Det åpenbare problemet med denne metodikken er at man aldri vil kunne komme på alle typer risikoer som truer et system, men fordelen er at man har en klar plan den dagen et brudd som stemmer overens med et scenario forekommer. 1.7.7. Security in Depth Dette prinsippet går ut på at desto flere sikkerhetstiltak man har desto vanskeligere blir det å komme seg helt igjennom. Dette kan implementeres på forskjellige måter. Mest vanlig er bruk av DMZ og softwarebrannmurer på hver enkelt klient.

Innføring i overvåkning og sikkerhet i Windows side 9 av 11 1.7.8. Forsikring Forsikring bør være en del av alle totale sikkerhetsløsninger. Man bør derimot ikke kun benytte seg av forsikring som eneste sikkerhet. Man kan fort komme opp i den situasjonen etter et brudd på sikkerheten at man får utbetalt en forsikringssum, men at tapet av data er så stort at gjenoppbygging av systemet tar så lang tid eller blir så kostbart at man går konkurs likevel. 1.8. Retningslinjer 1.8.1. Policyens innhold Uansett hvilken metode som blir benyttet, burde sikkerhetspolicyen være et samsvar mellom bedriftens ressurser og hvilke krav det har til sikkerhet. En sikkerhetspolicy blir skrevet etter ressurser og risiko er vurdert, for å gi retningslinjer som bedriften skal basere seg på. Policyen burde også bli sett over i etterkant, for å eventuelt oppdatere policyen i henhold til forandringer i bedriften eller sikkerhetsmiljøet. Etter policyen er oppdatert i henhold til bedriftens sikkerhetsbehov gjenstår problemet i å overbevise brukerne å benytte sikkerhetstiltakene. 1.8.2. Oppdatering Et annet viktig krav er å holde seg oppdatert med all sikkerhetsrelatert informasjon, siden nye sikkerhetshull blir oppdaget hver dag. Angrep via sikkerhetshull skjer uten advarsel, og kan utføres av fremmede eller misfornøyde ansatte som er ute etter hevn. Det eneste som kreves for en hacker, er ett enkelt sikkerhetshull, for å komme gjennom forsvaret. Det må beskyttes mot alle disse, og det krever at man holder seg oppdatert i sikkerhetsteknologi, IT-industri og nye hackermetoder. Etter du kjenner fiendens taktikker og muligheter, gjenstår det å implementere strategier for forsvar. 1.8.3. Kursing Sikkerhetskursing for ansatte burde være en viktig del i alle sikkerhetspolicyer. Effektiviteten av slik kursing vil derimot falle betraktelig hvis de ansatte er oppdatert i bruken av de implementerte sikkerhetsteknologier. I tillegg burde ansatte, som er ansvarlig for kritiske deler av sikkerhetssystemet og ressurser, utføre en grundigere opplæring for å forstå all sikkerhetsimplementeringen i deres arbeidsfunksjoner. Utdanning i bedrifter relatert til sikkerhet burde alltid være oppdatert med dagens teknologi og policy. En viktig del av all opplæring er å skape holdningsskapende opplæring, å gjøre den ansatte oppmerksom på at det er også for deres del at sikkerhetstiltakene blir implementert, ikke bare for bedriften. En måte å forsikre seg om at de ansatte har den rette opplæringen i sikkerhet, er å utføre periodiske tester, som er basert på den gjeldende sikkerhetspolicy som ledelsen har vedtatt. Å finne balansen mellom effektive sikkerhetstiltak og budsjettet for dette, er viktig for alle miljøer. Disse retningslinjene burde sende leseren i riktig retning.

Innføring i overvåkning og sikkerhet i Windows side 10 av 11 1.9. Konsekvenser Det man alltid må tenke på når man innfører sikkerhetstiltak er hva slags negative konsekvenser dette har. De fleste sikkerhetstiltak vil på et eller annet vis hindre enten systemets effektivitet eller brukerne. Noen av disse komplikasjonene er: - Antivirusprogrammer krever for mange ressurser av arbeidsstasjonen og fører til at den blir tregere, Mail og Http filter fjerner innhold som ikke er farlig, brannmuren hindrer nettverkstrafikk både i henhold til hastighet og protokoller man har behov for. - Når et antivirusprogram, en brannmur eller noe slags IDS-system slår ut på et element som ikke er en trussel senker dette tilliten brukeren har til systemet og senker effektiviteten. - Kompliserte passord kan føre til at brukerne skriver passord på Post-It lapper og klistrer opp et sted på kontoret hvis de ikke blir kurset godt nok. - Behovet for å logge inn på mange forskjellige systemer fører til at brukere benytter det samme passordet på mange systemer, ofte kombinert med Post-It lapper og for enkle passord. - For korte timeouter på systeminnlogginger fører til tap av produktivitet da man må logge inn hele tiden. Her har man også problemet med passordbeskyttede skjermbeskyttere med for kort frist. - Fysisk sikring med ID-kort som virker for hindrende fører til at brukere deler ID-kort, "dragsug- effekten hvor man stikker inn sammen, eller den beryktede matta i døra. - Videoovervåkning uten god og gyldig grunn er skadende for tilliten blant de ansatte og kan skade moralen i bedriften. - Komplekse fjerntilkoblingssystemer kan føre til at ansatte legger inn modemer bak brannmuren for å få tilgang hjemmefra. - Krypterte e-postsystemer som PGP krever at brukeren kan å bruke systemet og har grunnleggende forståelse av denne typen kryptering.

Innføring i overvåkning og sikkerhet i Windows side 11 av 11 1.9.1. Ideelt sett bør ethvert sikkerhetstiltak være: Brukeruavhengig - sikkerhetssystemet skal ikke gi sluttbrukeren et valg om hun vil bruke det eller ikke Transparent - sikkerheten bør ikke hindre normal, lovlig bruk av systemet Effektivt - sier seg selv Kostnads-effektivt - ikke koste mer enn data man beskytter Fleksibelt - Kunne modifiseres fortløpende til å passe nye behov 1.10. Oppsummering Det en kan se, ut av det som er gjennomgått, er at for mye sikkerhet kan skape unødvendige problemer og virke mot sin hensikt. Man kan risikere å ende opp med et system som blir mindre sikkert enn et system med for lite sikkerhet i utgangspunktet. Dette tilfellet vil ofte føre til at brukerne forsøker å komme rundt sikkerhetstiltakene. Sikkerhetstiltak som virker hindrende og ikke er godt grunngitte senker både produktivitet blant brukere og effektiviteten til systemet. En total sikkerhetsløsning tar for seg mange av prinsippene som er beskrevet, både med analysering av risiko og kostnader, planlegging, testing og kursing av ansatte. Man bør selvsagt ha rutiner for oppdatering og vedlikehold av systemet og planer for krisetiltak i tillegg til forsikring.