WYKŁAD 6

Problemy bezpieczeństwa systemów informatycznych

Główne czynniki jakości systemu informacyjnego:

aPoprawność określa, czy oprogramowanie wypełnia postawione przed nim zadania i czy jest wolne od błędów.

a Łatwość użycia jest miarą stopnia łatwości korzystania z oprogramowania.

aCzytelność pozwala na określenie wysiłku niezbędnego do zrozumienia oprogramowania.

aPonowne użycie charakteryzuje przydatność oprogramowania, całego lub tylko pewnych fragmentów, do wykorzystania w innych produktach programistycznych.

a Stopień strukturalizacji (modularność) określa, jak łatwo oprogramowanie daje się podzielić na części o dobrze wyrażonej semantyce i dobrze wyspecyfikowanej wzajemnej interakcji.

aEfektywność opisuje stopień wykorzystania zasobów sprzętowych i programowych stanowiących podstawę działania oprogramowania.

aPrzenaszalność mówi o łatwości przenoszenia oprogramowania na inne platformy sprzętowe czy programowe.

aSkalowalność opisuje zachowanie się oprogramowania przy rozroście liczby użytkowników, objętości przetwarzanych danych, dołączaniu nowych składników, itp.

a Współdziałanie charakteryzuje zdolność oprogramowania do niezawodnej współpracy z innym niezależnie skonstruowanym oprogramowaniem.

Bezpieczeństwo systemu komputerowego – stan systemu komputerowego, w którym ryzyko urzeczywistnienia się zagrożeń związanych z jego funkcjonowaniem jest ograniczone do akceptowalnego poziomu.

Klasyfikacja zagrożeń:

- ze względu na charakter przyczyny:

a) świadoma i celowa działalność człowieka - chęć rewanżu, szpiegostwo, wandalizm, terroryzm, chęć zaspokojenia własnych ambicji

b) wydarzenie losowe - błędy i zaniedbania ludzkie, awarie sprzętu i oprogramowania, temperatura, wilgotność, zanieczyszczenie powietrza, zakłócenia w zasilaniu, klęski żywiołowe, wyładowania atmosferyczne, katastrofy

- ze względu na umiejscowienie źródła zagrożenia

a) wewnętrzne - mające swoje źródło wewnątrz organizacji użytkującej system informacyjny

b) zewnętrzne - mające swoje źródło na zewnątrz organizacji (poprzez sieć komputerową, za pośrednictwem wirusów komputerowych)

b)

Sposoby budowy wysokiego poziomu bezpieczeństwa systemu:

Typy najczęściej spotykanych zagrożeń w sieci komputerowej:

- fałszerstwo komputerowe,

- włamanie do systemu, czyli tzw. hacking,

- oszustwo, a w szczególności manipulacja danymi,

- manipulacja programami,

- oszustwa, jakim są manipulacje wynikami,

- sabotaż komputerowy,

- piractwo,

- podsłuch,

- niszczenie danych oraz programów komputerowych,

Klasyfikacja ataków na systemy komputerowe:

· atak fizyczny,

· atak przez uniemożliwienie działania,

· atak przez wykorzystanie „tylnego wejścia”,

· atak poprzez błędnie skonfigurowaną usługę,

· atak przez aktywne rozsynchronizowanie tcp,

Na tworzenie warunków bezpieczeństwa systemów komputerowych w firmie składają się działania techniczne i działania organizacyjne.

Techniki stosowane dla zachowania bezpieczeństwa przetwarzania informacji:

Bezpieczne algorytmy realizacji transakcji w sieciach komputerowych oparte są na kryptografii.

Najczęściej stosowanymi algorytmami kryptograficznymi z kluczem jawnym, mającymi na celu ochronę danych podczas transmisji internetowych wykorzystywanych w handlu elektronicznym, są algorytmy:
- RSA

- ElGamala

Etapy przygotowania strategii zabezpieczeń:

a) Sprecyzowanie, co i przed czym mamy chronić, czyli określenie zasobów chronionych i zagrożeń.

b) Określenie prawdopodobieństwa poszczególnych zagrożeń.

c) Określenie zabezpieczeń, czyli, w jaki sposób chronimy zasoby.

d) Ciągłe analizowanie SI i zabezpieczeń w celu aktualizacji procedur zabezpieczających poprawiania jego ewentualnych błędów.

Atrybuty systemu informacyjnego, wynikające z wymogu jego bezpieczeństwa:

Dostępność - system i informacje mogą być osiągalne przez uprawnionego użytkownika
w każdym czasie i w wymagany przez niego sposób.

Poufność - informacje ujawniane są wyłącznie uprawnionym podmiotom i na potrzeby określonych procedur, w dozwolonych przypadkach i w dozwolony sposób.

Prywatność - prawo jednostki do decydowania o tym, w jakim stopniu będzie się dzielić z innymi swymi myślami, uczuciami i faktami ze swojego życia osobistego.

Integralność - cecha danych i informacji oznaczająca ich dokładność i kompletność oraz utrzymanie ich w tym stanie.

Uwierzytelnianie osób – zagwarantowanie, że osoba korzystająca z systemu jest rzeczywiście tą, za którą się podaje.

Uwierzytelnianie informacji – zagwarantowanie, że informacja rzeczywiście pochodzi ze źródła, które jest w niej wymienione.

Niezaprzeczalność – brak możliwości zaprzeczenia faktowi wysłania lub odebrania informacji.

Pamiętajmy, że zagadnieniom bezpieczeństwa systemów informatycznych poświęcone są liczne normy i standardy (polskie i międzynarodowe):

•PN-I-13335-1:1999,

•PN-ISO/IEC 17799:2003,

•ISO/IEC JTC 1-SC27,

•ISO/IEC JTC 1-SC6

•... i wiele innych.

Zasoby systemu informacyjnego zapewniające jego prawidłowe i bezpieczne funkcjonowanie:

ludzkie - potencjał wiedzy ukierunkowany na rozwiązywanie problemów systemu; użytkownicy pełniący role nadawców i odbiorców informacji oraz adresaci technologii informacyjnych;
informacyjne - zbiory danych przeznaczone do przetwarzania (bazy danych, metod, modeli, wiedzy);

proceduralne - algorytmy, procedury, oprogramowanie;

techniczne - sprzęt komputerowy, sieci telekomunikacyjne, nośniki danych.

Techniki ograniczania ryzyka są kosztowne, więc trzeba ustalić opłacalny poziom zabezpieczeń.

Sama wartość zasobu to nie wszystko. Przy szacowaniu należy również wziąć pod uwagę kilka czynników:

•straty spowodowane jego utratą,

•straty wynikające z nieosiągniętych zysków,

•koszty straconego czasu,

•koszty napraw i zmian,

•koszty pozyskania nowego zasobu.

Przeciętny koszt godzinnej awarii systemu informacyjnego:

Głównym kryterium przy tworzeniu hierarchii ważności zasobów jest ich wpływ na funkcjonowanie systemu:

•zasoby strategiczne - decydują o strategii przedsiębiorstwa. Wymagania ochronne bardzo wysokie,

•zasoby krytyczne – mają wpływ na bieżące funkcjonowanie przedsiębiorstwa. Wymagania ochronne wysokie,

•zasoby autoryzowane – podlegają ochronie na podstawie ogólnie obowiązujących przepisów. Wymagania ochronne umiarkowane,

•zasoby powszechnie dostępne – ogólnie dostępne. Wymagania ochronne – brak.

Zabezpieczenia realizują jedną lub wiele następujących funkcji:

Podział zabezpieczeń:

Zabezpieczenia techniczne:

- kopie zapasowe,

- firewall,

- wirtualne sieci prywatne(VPN),

- zabezpieczenia poczty elektronicznej,

- programowe i sprzętowe systemy uwierzytelniania użytkowników,

- programy antywirusowe.

Zagadnienia bezpieczeństwa fizycznego:

Najczęściej system informatyczny jest niedostępny z banalnego powodu: braku zasilaniaJ

Istnieją różne konfiguracje zasilania awaryjnego np. rozproszone zasilanie awaryjne, centralne zasilanie awaryjne, agregaty prądotwórcze.

Pamiętajmy także o tym, by nie utracić ważnych danych nawet w sytuacji poważnej awarii.

Dublowanie dysków:

- RAID 0 - disk striping, paskowanie dysków. Zapis realizowany jest jednocześnie na dwóch dyskach. Rośnie wydajność systemu (jednoczesny zapis kolejnych bloków danych),

zastosowanie technologii RAID 0 nie zwiększa poziomu bezpieczeństwa (czasami nawet zmniejsza).

- RAID 1 - mirroring, obraz lustrzany. Każdy blok zapisywany jest na dwóch dyskach. Technika ta zapewnia wysoki poziom bezpieczeństwa,

łączna pojemność wynosi 50% sumarycznej pojemności dysków.

- RAID 3 - stripe set with parity, paskowanie z oddzielnym dyskiem przechowującym bity parzystości. Zapewnia wzrost wydajności i wzrost bezpieczeństwa, pozwala na odtworzenie danych po awarii jednego z dysków, zapewnia lepsze wykorzystanie powierzchni dysku niż RAID 10 (tylko jeden dysk przechowuje dodatkowe informacje /bity parzystości/), wymaga zastosowania przynajmniej trzech dysków, jakakolwiek modyfikacja danych wymaga uaktualnienia zapisów na dysku parzystości; może to powodować spadek wydajności systemu w sytuacji (konieczne jest oczekiwanie na dokonanie zmian na dysku zawierającym bity parzystości).

- RAID 5 - bity parzystości rozproszone na wszystkich dyskach. Technologia zbliżona do RAID 3 - ale nie powoduje spadku wydajności spowodowanego oczekiwaniem na dokonanie zapisu na dysku parzystości,

pozwala na zwiększenie wydajności i zapewnia bezpieczeństwo danych.

Narzędzia do archiwizacji danych:

- Zaawansowane systemy pamięci zewnętrznej

- Systemy typu SAS (Server Attached Storage)

- Systemy typu NAS (Network Attached Storage)

- Systemy typu SAN (Storage Area Network) – sieć pamięci masowych

Kopie zapasowe można podzielić ze względu na strategie dodawania plików do tworzonej kopii:

•Kopia pełna - kopiowaniu podlegają wszystkie pliki, niezależnie od daty ich ostatniej modyfikacji. WADA: wykonywania kopii jest czasochłonne. ZALETA: odzyskiwanie danych jest szybkie.

•Kopia przyrostowa - kopiowane są jedynie pliki, które zostały zmodyfikowane od czasu tworzenia ostatniej pełnej lub przyrostowej kopii. WADA: przed zrobieniem tej kopii należy wykonać kopie pełną oraz odtworzenie danych wymaga odtworzenia ostatniego pełnego backupu oraz wszystkich kopii przyrostowych. ZALETA: czas wykonywania kopii jest dość krótki.

•Kopia różnicowa - kopiowane są pliki, które zostały zmodyfikowane od czas utworzenia ostatniej pełnej kopii. WADA: odtworzenie danych wymaga odtworzenia ostatniego pełnego backupu oraz ostatniej kopii różnicowej. ZALETA: czas wykonywania kopii jest stosunkowo krótki (na początku!).

Rozwiązania klastrowe:

Klaster komputerowy - grupa połączonych ze sobą komputerów.

Klaster zapewnia:

•wysoką wydajność,

•dostępność,

•odporność na awarie.

-

-

Elementy klastrów wysokiej dostępności:

Elementy sprzętowe systemów klasy HA:

•serwery (realizujące usługi WWW, obsługę poczty, DNS, ...),

•sieci łączące (Ethernet, sieci światłowodowe),

•systemy pamięci masowej -

–tablice RAID,

–rozwiązania klasy SAN.

Elementy programowe systemów klasy HA:

•oprogramowanie wykrywające awarię,

•oprogramowanie pozwalające na przejęcie zadań uszkodzonego elementu,

•oprogramowanie pozwalające na równoważenie obciążeń.

Ważną techniką zwiększającą bezpieczeństwo systemów informatycznych jest szyfrowanie komunikatów i danych(dwie z nich są najważniejsze):

- Technika symetryczna (klucza tajnego) - mamy do czynienia z kryptografią symetryczną

jeśli klucze k₁ oraz k₂ są identyczne. W trakcie szyfrowania i deszyfrowania wykorzystywany jest ten sam klucz .

- Technika asymetryczna (klucza publicznego i prywatnego) - mamy do czynienia
z kryptografią asymetryczną jeśli klucz k₁ jest inny, niż związany z nim klucz k_2. K₁ jest to klucz publiczny, a k₂ to klucz prywatny.

Z zagadnieniem szyfrowania danych w celu zapewnienia ich poufności wiąże się zagadnienie elektronicznego podpisywania dokumentów, mające na celu zapewnienie ich niezaprzeczalności.

Jeśli chcemy używać kryptografii do generowania podpisu elektronicznego,
to musimy dodatkowo zapewnić, że posiadacz klucza prywatnego jest naprawdę tym, za kogo się podaje. Służy do tego dostawca usług certyfikacyjnych.

Najczęstszym źródłem zagrożeń dla systemu informatycznego jest świat zewnętrzny (głównie sieci WAN)

Różne sposoby ustawiania ściany ogniowej:

Statystyka rzeczywistych przyczyn włamań do systemów informatycznych:

Pamiętajmy, że każdy projekt systemu informatycznego jest przedsięwzięciem wysokiego ryzyka.

Źródła ryzyka i zagrożenia:

Podejście do TI - Strach przed zmianą.

Nieumiejętność celowego zakupu i wykorzystania TI.

Niespójny system gospodarczy i prawny.

Zmiany sytuacji na rynku. - Zmiana celów i zadań organizacji.

Konieczność częstych zmian oprogramowania.

Niedostosowanie do wymogów klientów.

Niewydolność systemu.

System edukacji - Nieumiejętność pracy zespołowej.

Nieznajomość zarządzania.

Nieumiejętność wykorzystania narzędzi.

Brak standardów - Niespójność danych.

Czasochłonność wprowadzania i uzyskiwania danych.

Niska kultura informacyjna - Nieskuteczność zabezpieczeń.

Nieumiejętność wykorzystania większości funkcji TI.

Niedorozwój telekomunikacji - Opóźnienia w przesyłaniu danych i ich. Przekłamania.

Utrudniony dostęp do informacji.

Wysokie koszty eksploatacji.

Brak standardów przesyłania danych - Pracochłonność opracowywania danych.

Nieczytelność danych.

Niewielkie możliwości wykorzystania danych.

Przewaga techniki mikrokomputerowej - Nieznajomość innych technologii.

Niedopasowanie technologii do potrzeb.

Duże wydatki na TI.

Nieokreślone cele oraz brak wizji i strategii - Nieokreślone cele systemu informacyjnego.

Komputeryzowanie istniejących procedur.

Nieuwzględnienie potrzeb wynikających ze wzrostu firmy.

Niechęć, niezdolność do zmiany - Wykorzystywanie TI jako kalkulatora.

Brak poczucia celowości zastosowań TI.

Niezgodność zastosowań z organizacją.

Relacje władzy i własności - Trudności w ustaleniu potrzeb informacyjnych.

Nieustalona odpowiedzialność za zamierzenie.

Utrudnienia w sterowaniu projektem.

Brak współpracy kierownictwa i użytkowników - Niemożliwość sprecyzowania potrzeb.

Niedopasowanie SI do rzeczywistych potrzeb.

Opóźnienia projektu i przekroczenie budżetu.

Brak standardów i procedur - Dominacja TI nad organizacją.

Nieumiejętność określenia zadań.

Nagłe zmiany struktury - Odchodzenie użytkowników i zmiany potrzeb.

Nieustalone role organizacyjne.

Doraźne zmiany procedur i standardów.

Zatrudnienie i podnoszenie kwalifikacji - Nieznajomość, brak zrozumienia i obawa przed TI.

Nieumiejętność formułowania i rozwiązywania problemów.

Brak motywacji i zainteresowania użytkowników.

Nierozpoznane umiejętności firmy - Nietrafne zastosowania zakłócające procedury.

Nieprzydatność, niefunkcjonalność narzędzi.

Niesprawność kontroli - Niesprecyzowane potrzeby dotyczące kontroli.

Celowe omijanie mechanizmów kontrolnych.

Niesprawność zarządzania TI - Nieumiejętność planowania i niecelowe wydawanie środków.

Nietrafione zakupy wyposażenia i oprogramowania.

Zaniechanie planowania i egzekwowania efektów.

Nieumiejętność pracy zespołowej - Zakłócenia w wykonywaniu prac.

Błędna strukturyzacja systemu.

Niespójne, błędne rozwiązania.

Podejście do zamierzenia - Zaniechanie lub powierzchowność analizy.

Pomijanie badania pracy.

Dostosowanie użytkowników do TI, a nie SI do potrzeb

„Komputeryzacja” zamiast zmiany.

Nieznajomość metod, technik i narzędzi - Stosowanie metod znanych zamiast potrzebnych.

Niekompletna analiza, niespójna specyfikacja.

Niewykorzystywanie możliwości narzędzi.

Nietrafne oceny kosztów, efektów i czasu trwania projektu.

Obszerność i złożoność zadania projektowego - Brak analizy problemów.

Trudność opanowania złożoności, nietrafna strukturyzacja.

Wycinkowe projektowanie i oprogramowywanie SI - Niewłaściwa kolejność opracowywania i wdrażania modułów.

Niespójność modułów systemu.

Brak business planu - Nieświadomość celów oraz kosztów i efektów.

Nieliczenie się z kosztami, pomijanie oczekiwanych efektów.

Postępowanie w razie wykrycia zagrożenia z zewnątrz:

1. PROTECT AND PROCEED
(chroń i kontynuuj)

2. PURSUE AND PROSECUTE
(ścigaj i oskarż)

PROTECT AND PROCEED:

Strategię tą obierają organizacje, w których:

1. Zasoby nie są dobrze chronione

2. Dalsza penetracja mogłaby zakończyć się dużą stratą finansową

3. Nie ma możliwości lub woli ścigania intruza

4. Nieznane są motywy włamywacza

5. Narażone są dane użytkowników

6. Organizacja nie jest przygotowana na działania prawne w wypadku strat doznanych przez użytkowników

PURSUE AND PROSECUTE:

W myśl strategii pursue and prosecute pozwala się intruzowi kontynuować niepożądane działania dopóki się go nie zidentyfikuje, aby został oskarżony i poniósł konsekwencje.

Ważna jest weryfikacja ludzi pragnących się znaleźć wewnątrz systemu (autoryzacja i autentykacja)

Weryfikacja może się odbywać w oparciu o trzy rodzaje kryteriów:

• „coś, co masz” – klucze, karty magnetyczne

•

„coś, co wiesz” – PIN, hasła, poufne dane

•

„coś, czym jesteś” – metody biometryczne

Bezpieczeństwo systemów informatycznych i prawo:

Do podstawowych aktów prawnych, które mają wpływ na bezpieczeństwo i ochronę danych w systemach informatycznych polskich przedsiębiorstw należą:

•Ustawa Kodeks Karny [k.k. 1997],

•Ustawa o rachunkowości [1994],

•Ustawa o ochronie danych osobowych [ustawa ODO 1997],

•Ustawa o ochronie informacji niejawnych [ustawa OIN 1999],

•Ustawa o prawie autorskim i prawach pokrewnych [ustawa PAiPP 1994],

•Ustawa o systemie ubezpieczeń społecznych [ustawa SUS 1998],

•Ustawa o podpisie elektronicznym [ustawa PE 2001],

•Ustawa o zwalczaniu nieuczciwej konkurencji [ustawa ZNK 1993].