Bezpieczenstwo_Unixa_W__Internecie_-_S.Garfinkel.pdf

Strategie

Na ogół rzecz ujmując, bezpieczeństwo komputerowe jest zbiorem technicznych rozwiązań

nietechnicznych problemów. Można poświęcić nieograniczoną ilość czasu, pieniędzy i trudu, ale

nigdy się nie rozwiąże problemu przypadkowej utraty danych lub celowego ich niszczenia. Biorąc

pod uwagę odpowiednie środowisko, na które składają się takie elementy, jak błędy programowe,

wypadki, pomyłki, pech, zła pogoda czy wrogo nastawiony i dobrze wyposażony osobnik, należy

stwierdzić, że każdy system może być zagrożony lub uszkodzony.

Zadaniem specjalisty zajmującego się bezpieczeństwem systemów jest nieść pomoc organizacjom

- pomagać im podejmować decyzje dotyczące ilości czasu i pieniędzy, jakie powinny one

poświęcać swojemu bezpieczeństwu. Do innych jego zadań należy zapewnienie organizacjom

strategii, uregulowań i procedur bezpieczeństwa, po to aby pieniądze firm były dobrze wydawane.

Specjalista potrzebny jest zatem do tego, by kontrolować system i zapewniać odpowiednie

stosowanie zaleceń oraz strategii. Dlatego praktyczne bezpieczeństwo jest w zasadzie kwestią

zarządzania i administracji, a nie konkretnych rozwiązań technicznych. Dlatego też

bezpieczeństwo musi należeć do priorytetowych zadań zarządów firm.

W tej książce planowanie bezpieczeństwa podzielono na sześć etapów:

1. Planowanie.

2. Ocena ryzyka.

3. Analiza kosztów i zysków.

4. Tworzenie strategii odpowiadającej konkretnym potrzebom.

5. Implementacja.

6. Audyt i reagowanie na incydenty.

W tym rozdziale omawiamy planowanie, ocenę ryzyka, analizę kosztów i zysków oraz

opracowywanie strategii. Implementacje są omawiane w wielu pozostałych rozdziałach książki.

Audytem zajmujemy się w rozdziale 10, a reagowaniem na incydenty w rozdziałach od 24 do 26.

Są dwie bardzo ważne zasady efektywnej strategii oraz planowania bezpieczeństwa:

• Świadomość strategii i bezpieczeństwa musi spływać z góry na dół w hierarchii organizacji.

Dbałość o bezpieczeństwo oraz świadomość użytkowników są bardzo istotne, ale nie są

wystarczające do utrzymania odpowiedniego poziomu bezpieczeństwa. Władze organizacji

powinny traktować bezpieczeństwo jako tak samo ważne jak wszystko inne.

• Efektywne bezpieczeństwo komputerowe oznacza ochronę danych. Wszystkie strategie i

procedury powinny więc odzwierciedlać potrzeby ochrony danych niezależnie od

przyjmowanej przez nie formy. Dane wydrukowane lub utrwalone na papierze faksowym

nie tracą swojej ważności, choć nie są już zapisane na dysku. Poufne dane o klientach

firmy również nie przestają być aktualne przez to, że zostaną przedyktowane przez

telefon, a nie przesłane pocztą elektroniczną. Wszelkie informacje powinny być chronione

niezależnie od nośnika, na którym są zapisane.

Planowanie potrzeb związanych z bezpieczeństwem

Komputer jest bezpieczny, jeśli działa tak, jak się tego oczekuje.

Może być wiele rodzajów bezpieczeństwa komputerowego i wiele różnych definicji. W tej książce

zamiast prezentować formalną definicję przedstawiamy informacje dotyczące środków ochrony,

jakie warto powziąć. Uważamy, że bezpieczne komputery to takie, które nadają się do używania,

a komputery, których nie można z jakichś powodów używać, nie są bezpieczne.

W tej szerokiej definicji mieści się wiele kategorii bezpieczeństwa, które powinny interesować

zarówno administratorów, jak i zwykłych użytkowników:

Poufność

Ochrona danych przed odczytem i kopiowaniem przez kogokolwiek, kto nie został upoważniony

przez ich właściciela. Ten typ bezpieczeństwa obejmuje nie tylko ochronę danych w całości, ale

również poszczególnych jej fragmentów, które same wyglądają niewinnie, ale mogą być użyte do

naruszenia poufności innych.

Spójność danych

Ochrona informacji (w tym programów) przed usunięciem lub jakimikolwiek zmianami bez

pozwolenia właściciela. Chronione informacje obejmują takie elementy jak zapisy systemu

rozliczania, taśmy z kopiami zapasowymi, czasy utworzenia pliku i dokumentacje.

Dostępność

Ochrona świadczonych usług przed zniekształceniem i uszkodzeniem. Jeśli legalny użytkownik

potrzebuje skorzystać z systemu, który jest niedostępny, skutek może być taki sam, jak gdyby z

systemu usunięto dane.

Prawidłowość

Zapewnienie pracy systemu zgodnej z oczekiwaniami użytkowników. Jeśli sprzęt i

oprogramowanie zaczną działać radykalnie inaczej niż dotąd, zwłaszcza po uaktualnieniu

oprogramowania lub poprawieniu usterki, może dojść do katastrofy. Wyobraźmy sobie polecenie

/s, które będzie od czasu do czasu usuwało pliki zamiast je wyświetlać! Taki typ bezpieczeństwa

można uznawać za zapewnianie prawidłowości danych i programów.

Sterowanie

Regulowanie dostępu do systemu. Nieznane i nieupoważnione osoby (lub programy), które

znalazły się w systemie, mogą stanowić poważny problem. Trzeba się koniecznie dowiedzieć, jak

dostały się one do systemu. Usuwanie skutków takich epizodów może wymagać znacznego czasu

i nakładów związanych na przykład z przebudowaniem i ponownym instalowaniem systemu oraz

weryfikowaniem, czy nic ważnego nie uległo zmianie lub wyjawieniu - nawet jeśli nic się nie

zdarzyło.

Audyt

Niebezpieczeństwo systemowi grozi nie tylko ze strony nieupoważnionych użytkowników. Często

ci upoważnieni robią błędy, popełniają wykroczenia, a nawet dokonują celowych zniszczeń. W

takiej sytuacji należy sprawdzić, co zrobiono, kto to zrobił i z jakim skutkiem. Jedyną możliwością

uzyskiwania takich informacji jest skorzystanie z niepodatnego na zniszczenia i uszkodzenia

zapisu zdarzeń w systemie, za pomocą którego można zidentyfikować sprawców i ich działania. W

niektórych krytycznych aplikacjach możliwe jest cofnięcie pewnych operacji, co może być

pomocne w przywracaniu prawidłowego stanu systemu.

Wszystkie wymienione tu aspekty bezpieczeństwa są ważne, ale w różnych organizacjach kładzie

się nacisk na różne z nich. Różne podejście bierze się stąd, że w różnych instytucjach różne

rzeczy uznaje się za ważne dla bezpieczeństwa. Na przykład:

• W środowisku bankowym spójność i audyt należą do zadań priorytetowych, podczas gdy

poufność i dostępność są drugie co do ważności.

• W systemach obrony narodowej, w których przetwarza się zastrzeżone dane, najważ-

niejsza będzie poufność, a najmniej ważna dostępność .

• Na uczelni najważniejsze będą integralność i dostępność. Priorytetem jest to, aby studenci

mogli pracować nad swoimi dokumentami, a nie śledzenie dokładnych godzin, w których

studenci logują się na swoje konta.

Administrator odpowiedzialny za bezpieczeństwo musi dokładnie rozumieć potrzeby środowiska, w

jakim przyszło mu pracować, oraz jego użytkowników. Powinien więc stworzyć procedury

odpowiednie do swojego pola działań. Nie wszystko, co zawarliśmy w naszej książce, będzie

nadawało się do każdego środowiska.

Zaufanie

Specjaliści związani z bezpieczeństwem komputerowym nie posługują się w stosunku do

systemów pojęciami, takimi jak „bezpieczny" czy „niebezpieczny"*. Zamiast tego wolimy używać

wyrazu „zaufanie" do opisywania naszego poziomu ufności w to, że system komputerowy będzie

się zachowywał zgodnie z oczekiwaniami. To każe nam pamiętać o tym, że absolutne

bezpieczeństwo nigdy nie będzie możliwe. Możemy tylko próbować zbliżyć się do niego budując

zaufanie w całą konfigurację, która będzie gwarantować działanie krytycznych aplikacji.

Zbudowanie odpowiedniego zaufania do systemu komputerowego wymaga pieczołowitości i

planowania. Decyzje powinny być opierane na zdrowej strategii i analizie ryzyka. W pozostałej

części rozdziału omówimy ogólną procedurę wypracowania realnych planów i strategii

bezpieczeństwa. Temat jest zbyt obszerny jednak, aby można mu było poświęcić dogłębną

analizę.

• Wszystkim pracującym w firmach, uczelniach i agencjach rządowych sugerujemy

skontaktowanie się z wewnętrznymi działami audytu lub zarządzania ryzykiem po

dodatkową pomoc (mogą tam już być opracowane gotowe strategie i plany, o których

warto wiedzieć). Więcej informacji na ten temat można znaleźć również w niektórych

pracach wspomnianych w dodatku D, pt. „Źródła papierowe". Można również zatrudnić

firmę konsultingową. Niektóre duże firmy zajmujące się księgowaniem i audytem mają już

na przykład grupy specjalistów, którzy oceniają bezpieczeństwo instalacji komputerowych.

• Mniejsze instytucje lub osoby używające pojedynczych maszyn mogą stwierdzić, że

omawiamy niektóre zagadnienia o wiele bardziej szczegółowo, niż jest im to potrzebne.

Niemniej zawarte w tym rozdziale informacje z pewnością pomogą odpowiednio ustalić

priorytety.

Ocena ryzyka

Pierwszym krokiem do poprawienia bezpieczeństwa systemu jest odpowiedź na trzy podstawowe

pytania:

• Co chronić?

• Przed czym chronić?

• Ile czasu, wysiłku i pieniędzy można poświęcić, aby zapewnić sobie należna ochronę?

Te trzy pytania tworzą podstawy procesu znanego jako szacowanie ryzyka.

Szacowanie ryzyka odgrywa bardzo ważną rolę podczas opracowywania strategii bezpieczeństwa

komputerowego. Nie można się chronić, jeśli się nie wie przed czym!

Jeśli się zna zagrożenia, można planować strategie i techniki, które będą potrzebne do ich

zmniejszania.

Jeśli jest na przykład ryzyko wystąpienia awarii zasilania, a dostępność systemu jest bardzo

ważna, można ryzyko to zmniejszyć, kupując zasilacz awaryjny (UPS).

Prosta zasada szacowania

Zaprezentujemy prostą postać zasady szacowania ryzyka, która powinna być dobrym punktem

wyjścia. Rozpatrzymy przykład pewnej bardzo małej firmy. Nie będzie to na pewno przykład

wystarczający dla dużej firmy, instytucji czy uczelni. W przypadku większych organizacji należy

rozpatrzyć możliwość skorzystania ze specjalnych programów do szacowania ryzyka, a także

zatrudnienia firmy konsultingowej mającej doświadczenie w tej dziedzinie .

Szacowanie ryzyka można zamknąć w trzech etapach:

1. Określanie zasobów.

2. Określanie zagrożeń.

3. Wyliczanie ryzyka.

Proces ten może przebiegać na wiele sposobów. Jedna z metod, która okazała się bardzo

skuteczna w naszym przypadku, polega na zorganizowaniu wewnątrz organizacji serii warsztatów.

Przez kilka tygodni należy wspólnie tworzyć listę zasobów i zagrożeń. Pomoże to nie tylko

opracować bardziej kompletną listę, ale również spowoduje wzrost świadomości wśród

uczestników warsztatów.

Określanie zasobów

Należy sporządzić listę elementów, które wymagają ochrony. Lista powinna być oparta na

odpowiednim biznesplanie i zdrowym rozsądku. Proces może wymagać znajomości prawa,

pełnego zrozumienia mechanizmów funkcjonowania organizacji, a także informacji o

funkcjonujących w niej polisach ubezpieczeniowych.

Do elementów wymagających ochrony należy zaliczyć środki materialne (dyski, monitory, kable

sieciowe, nośnik kopii zapasowych, podręczniki itp.) oraz niematerialne (możliwość

kontynuowania przetwarzania, publiczny wizerunek firmy, reputacja w branży, dostęp do

komputera, hasło użytkownika root). Lista powinna zawierać wszystko to, co przedstawia pewną

wartość z punktu widzenia strat wynikających z nieosiągniętych zysków, kosztów straconego

czasu oraz wartości napraw i wymian niesprawnych elementów systemu.

Na sporządzonej liście powinny się na pewno znaleźć niektóre z poniższych składników

materialnych:

• komputery,

• dane o charakterze strategicznym,

• kopie zapasowe i archiwa,

• podręczniki i książki,

• wydruki,

• nośniki z komercyjnym oprogramowaniem,

• urządzenia i okablowanie komunikacyjne,

• dane osobowe,

• dane audytu,

a także niektóre z poniższych składników niematerialnych:

• bezpieczeństwo i zdrowie pracowników,

• prywatność użytkowników,

• hasła pracowników,

• wizerunek publiczny i reputacja,

• dobre imię klientów,

• zdolności produkcyjne lub do prowadzenia usług,

• dane konfiguracyjne.

Ważne jest szersze spojrzenie na te zagadnienia niż jedynie proste rozważanie aspektów

związanych bezpośrednio z komputerami. Jeśli istnieje obawa, że ktoś chce czytać wewnętrzne

sprawozdania finansowe firmy, nie jest istotne, czy robi to, zdobywając stare wydruki, czy

szperając w cudzej poczcie.

Identyfikowanie zagrożeń

Następnym etapem jest opracowanie listy zagrożeń, na jakie narażone są zasoby organizacji.

Niektóre z nich będą miały charakter środowiskowy, będą to pożar, trzęsienie ziemi, wybuchy

bomb czy powodzie. Należy wziąć pod uwagę również bardzo rzadkie, ale możliwe zdarzenia,

takie jak zawalenie się struktury budynku czy obecność azbestu w pomieszczeniach z

komputerami, która spowoduje konieczność opuszczenia budynku na dłuższy czas. Inne

zagrożenia mogą pochodzić ze strony pracowników oraz z zewnątrz. Oto lista kilku przykładów:

• choroby ważnych osób,

• jednoczesna choroba wielu osób (np. epidemia grypy),

• utrata kluczowych pracowników (rezygnacja z pracy, wygaśnięcie umowy, śmierć),

• utrata możliwości korzystania z łączy telefonicznych lub telekomunikacyjnych,

• krótkotrwała utrata mediów (telefon, woda, prąd),

• długotrwała utrata mediów (telefon, woda, prąd),

• uderzenie pioruna,

• powódź,

• kradzież taśm lub dysków,

• kradzież komputera przenośnego pracownika,

• kradzież komputera domowego pracownika,

• infekcja wirusem komputerowym,

• bankructwo producenta komputerów,

• błędy w programach,

• destrukcyjni pracownicy,

• destrukcyjni współpracownicy z innych firm (np. personel zewnętrznego serwisu),

• złośliwość przedmiotów martwych,

• terroryzm polityczny,

• przypadkowi włamywacze systemowi,

• użytkownicy wysyłający anarchiczne lub strategiczne informacje do grup dyskusyjnych.

Wyznaczanie wymiaru zagrożeń

Po określeniu zagrożeń należy ocenić prawdopodobieństwo każdego ze zdarzeń. Być może łatwiej

będzie oszacować je w układzie rocznym.

Określanie wymiaru zagrożeń może okazać się trudne. Pewne oszacowania można uzyskać od

różnych firm, na przykład od firm ubezpieczeniowych. Jeśli jakieś zdarzenie jest okresowe, jego

prawdopodobieństwo można oszacować statystycznie na podstawie posiadanych danych. W

niektórych instytucjach przechowuje się dane statystyczne i różnego rodzaju raporty. Można

oprzeć się również na zgadywaniu ekstrapolowanym doświadczeniami z przeszłości. Na przykład:

• Firma dostarczająca prąd może przedstawić oficjalne oszacowanie prawdopodobieństwa

wystąpienia w przyszłym roku awarii zasilania wskazanego budynku. Może być również w

stanie oszacować stosunek ryzyka wystąpienia kilkusekundowych wyłączeń zasilania do

wystąpienia wyłączeń długoterminowych.

• Firma ubezpieczeniowa może dostarczyć aktualnych danych dotyczących

prawdopodobieństwa śmierci kluczowych pracowników w zależności od wieku i stanu

zdrowia

• W określeniu prawdopodobieństwa opuszczenia firmy przez ważne osoby mogą pomóc

dane z działu kadr.

• Do określenia ryzyka pojawiania się poważnych błędów w oprogramowaniu firmowym w

przyszłym roku powinny wystarczyć własne doświadczenia oraz szacunki (prawdopodobnie

100%).

Jeśli jakieś zdarzenie będzie miało miejsce częściej niż raz do roku, należy zanotować

przewidywaną liczbę jego występowania. Jeśli przewiduje się, że trzęsienia ziemi będą

występować raz na sto lat, ryzyko wyniesie 1%. Jeśli zaś w programie sendmail w ciągu roku

pojawią się trzy błędy, należy przyjąć wartość ryzyka za równą 300%.

Weryfikacja ryzyka

Nie można ocenić ryzyka raz i potem o tym zapomnieć. Okresowo szacunki powinno się

weryfikować. Dodatkowo powinno się to robić przy każdej okazji, kiedy wystąpią istotne zmiany

działania lub struktury organizacji. Tak więc ryzyko i potencjalne straty należy szacować w

przypadku przenosin do innego budynku, zmiany dostawców czy innych poważnych zmian.

Analiza kosztów i zysków

Po oszacowaniu ryzyka należy do każdego zagrożenia przypisać odpowiedni koszt i zestawić to

wyliczenie z kosztami ochrony. Takie działanie nazywa się analizą kosztów i zysków.

Koszty strat

Wyliczenie kosztów może być bardzo trudne. W prostej kalkulacji można wziąć pod uwagę koszty

napraw i wymian poszczególnych elementów. W bardziej rozbudowanym wyliczeniu powinno się

brać pod uwagę koszty zaprzestania świadczenia usług, koszt dodatkowych szkoleń oraz

dodatkowych procedur, których przeprowadzenie uwarunkowane jest występowaniem utraty

reputacji firmy, a nawet koszty, jakie poniosą klienci firmy. Na ogół uwzględnienie większej liczby

czynników będzie wymagało większej pracy, ale zwiększy również dokładność obliczeń.

W większości przypadków nie ma potrzeby przypisywania dokładnych wartości poszczególnych

zagrożeń. Normalnie przypisanie przedziału kosztów do każdego z elementów powinno być

wystarczające. Na przykład strata dziesięciu pustych dyskietek może być zaklasyfikowana do

przedziału „poniżej 500 dolarów", a pożar w pomieszczeniu komputerowym może trafić do

kategorii „ponad 1.000.000 dolarów". Niektóre wydarzenia mogą trafiać do kategorii

„nienaprawialne"; do takich zaliczyć można utratę bazy danych kont albo śmierć jakiegoś

kluczowego pracownika".

Koszty takie można oszacować według pewnej płynnej skali strat, nie tylko na zasadzie

„strata/brak straty". Do następujących kategorii można przypisać różne koszty:

• niedostępność przez krótki okres (krócej niż 7-10 dni),

• niedostępność przez średni okres (1-2 tygodnie),

• niedostępność przez długi okres (ponad 2 tygodnie),

• trwała utrata lub destrukcja,

• przypadkowe błędy pracy i uszkodzenia,

• umyślne straty i uszkodzenia,

• nieautoryzowane wyjawienie zastrzeżonych informacji wewnątrz organizacji,

• nieautoryzowane wyjawienie zastrzeżonych informacji poza organizacją,

• nieautoryzowane wyjawienie wszystkich zastrzeżonych informacji na zewnątrz, konkurencji i

prasie,

• wymiana i naprawa.

Koszty prewencji

Należy wyliczyć koszty, jakie pociągają za sobą działania prewencyjne, które odpowiadają

poszczególnym pozycjom strat.

Na przykład kosztem odzyskania stabilności systemu po chwilowym wyłączeniu zasilania jest

prawdopodobnie wyłącznie to, że pracownicy firmy nie mogą pracować, podczas gdy

administrator usiłuje „podnieść" system. Jednak koszt zapobiegania szkodliwym skutkom nie

dających się przewidzieć wyłączeń zasilania jest równy kosztowi zainstalowania zasilacza

awaryjnego (UPS).

Koszty należy amortyzować w określonym czasie. Uzyskanie tych wartości może ujawnić

dodatkowe koszty, jakie należy wziąć pod uwagę. Na przykład zainstalowanie lepszego systemu

przeciwpożarowego może spowodować zmniejszenie rocznych kosztów za ubezpieczenie od

pożaru i dać dodatkowy odpis podatkowy. Ale wydawanie pieniędzy na system automatycznego

gaszenia pożarów oznacza, że mniej środków przeznaczonych będzie na inne cele, takie jak

lepsze szkolenia pracowników.

Dodawanie

Na zakończenie tego ćwiczenia powinniśmy sporządzić wielowymiarową tablicę zawierającą

zasoby, koszty i ewentualne straty. Dla każdej straty powinno się określić prawdopodobieństwo

jej wystąpienia, przewidywaną wartość oraz koszt prewencji. Jeśli zachodzi potrzeba

przeprowadzenia wnikliwej analizy, można do rozważań włączyć również prawdopodobieństwo

tego, że stosowana ochrona okaże się nieodpowiednia.

Proces określania, czy dana forma prewencji jest, czy nie jest adekwatna, jest teraz dość prosty.

Polega on na pomnożeniu każdej przewidywanej wartości strat przez prawdopodobieństwo jej

wystąpienia, posortowaniu otrzymanych wartości malejąco i porównaniu każdego kosztu

wystąpienia strat z kosztami prewencji.

To porównanie powinno zaowocować listą priorytetowych zadań, jakimi należy się zająć. Lista

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: