Az informatikai hálózati infrastruktúra biztonsági kockázatai és kontrolljai

Az informatikai hálózati infrastruktúra biztonsági kockázatai és kontrolljai

Készítő: Státusz: Utolsó mentés:

MTA SZTAKI Harmadik mérföldkő lezárása; nyilvános! 2006-05-14

©

IHM – MTA-SZTAKI, 2006.

A tanulmány elkészítésében és belső lektorálásában részt vettek: Becz Tamás, Martos Balázs, Pásztor Szilárd, Rigó Ernő, Tiszai Tamás, Tóth Beatrix

1 Bevezető Jelen tanulmány az IHM-MTA Kutatási Program keretében végzett „Internet védelmi rendszer struktúrájának kidolgozása” című kutatási projekt (Sorszám: E4, Iktatószám: 4671/4/2003) részét képezi. A projekt fázisait magába foglaló mérföldkövek és a hozzájuk kapcsolódó határidők (kiemelve a jelen tanulmány által lefedni szándékozó részt): 

1. mérföldkő: 1-2 kutatási fázis (Informatikai hálózati infrastruktúra biztonsági kockázatainak elemzése, és a kockázat-kezelési lehetőségek feltárása), lezárás: 2004. június 30.



2. mérföldkő: 3 fázis (Biztonsági mintarendszerek kidolgozása), lezárás: 2005. szeptember 30.



3. mérföldkő: 4 fázis (A biztonsági rendszerek üzemeltetési módszertanának kidolgozása, oktatási anyagok kidolgozása), lezárás: 2006. május 10.

Az Informatikai Hálózati Infrastruktúra Biztonsága (továbbiakban – IHIB) magában foglalja a hálózat működéséért felelős hardver és szoftver elemeket, és ezeken felül számításba veszi a humán faktort és az egészet körülvevő adminisztratív jellemzőket is.

1.1 Röviden a tartalomról és a célokról Az anyagban foglaltak segítséget kívánnak nyújtani a non-profit szervezetek (akadémiai intézmények, önkormányzatok) számára abban a nehéz munkában, hogy kialakítsák saját számítógép hálózatuk biztonságáért felelős szervezetüket – gyakorta alkalmazott betűszóval CERT, illetve CSIRT –. Ennek érdekében a jelen mérföldkőhöz kapcsolódó dokumentáció két jól elkülöníthető részre togolódik: ●

Az első rész egy elképzelt CERT/CSIRT kialakításának alapelveit, továbbá az ott dolgozók alapvető tájékoztatását célzó minta-szabályzatot tartalmaz. Ez a szabályzat felsorolja mindazon alapvető intézkedést, amely egy tényleges incidens kezelő szervezet kialakításakor feladatként merül fel, és a lehetőségek szerint megoldási módokat, irányokat vázol fel az alapítási folyamat lebonyolítására. Természetesen ez a minta-szabályzat nem térhet ki valamennyi felmerülő feladat részletekbe menő szabályozására, de a szerzők megítélése és tapasztalatai alapján megbízható alapul szolgálhat a tényleges szabályzat kidolgozásához. E szerteágazó munkához az itt található minta-szabályzaton túl segítséget nyújtanak e kutatási munka megelőző szakaszaiban kidolgozott – és korábban már leadott – más dokumentumok is, amelyek a számítógéphálózati incidensek értelmezésének, kezelésének, megelőzésének továbbá esetleges bekövetkezésüket követő adatgyűjtő / rögzítő / elemző munkának mibenlétével, a speciális szakterület fogalmainak megismertetésével, valamint az igénybe vehető további források felsorolásával foglalkoznak.

●

E dokumentum második része egy terjedelmes oktatási anyag, amely a speciális területen – a hálózati incidensek kezelésében – már részleges ismereteket szerzett személyek számára nyújt rendszerezett fogalom magyarázatokat, valamint részletekbe menő ismeretanyagot. Az oktatási anyag – vetített bemutató ábrák (slide) formájában, amelyeket alkalmanként az előadó munkáját, illetve a megértést segítő jegyzetek egészítenek ki – végigvezet a hálózati incidenskezelés számos aspektusán, kezdve az alapelvek ismertetésétől, az incidenskezelő szervezetek működésének ismertetésén át, a terület specializált szabványainak és azok egymás közti viszonyainak bemutatásán keresztül az incidenskezelés és elhárítás technikai alapjainak és eszközeinek bemutatásáig.

MTA SZTAKI; E4 - 4671/4/2003

Míg a kutatási feladathoz kapcsolódó korábbi tanulmányok közül az első bővebben ismertette az elméleti alapokat és az ezeken nyugvó gyakorlati alkalmazásokba adott betekintést, addig a második rész – és különösen a jelen harmadik rész – sokkal gyakorlatiasabb, így „szűkszavúbb”, ezáltal informatikai képzettséget vár el és feltételez a tárgyalt megoldások telepítése, alkalmazása és beállítása során. A tanulmány két része miközben szoros összefüggésben van, ugyanakkor egymástól függetlenül is megismerhető és értelmezhető. Az olvasók bizonyos köre számára az egyes részek eltérő fontossággal bírnak, de elképzelhető, hogy mindkét rész megismerésére is szükségük lehet. Ezek megismerésének sorrendje azonban az igényeknek megfelelően tetszőleges lehet.

1.2 Szerzői jogi nyilatkozatok A szerzői jogról szóló törvényi szabályok szellemében kell a tanulmánnyal eljárni mind a készítőkre, az átvevőkre és az olvasókra vonatkozóan. Hasonló módon az Adatvédelmi törvény ide vonatkozó paragrafusait is alkalmazni kell. A szerzők nem vállalnak semmilyen felelősséget az anyagok téves felhasználásából, részben kiragadott vagy jogszerűtlen felhasználásából eredő károkért, és az általuk készített anyagokkal kapcsolatban is csak azt tudják vállalni, hogy legjobb szakmai tudásuk szerint állították össze azokat. A tanulmány olyan linkeket (kapcsolódási pontokat) tartalmazhat, amelyek az Internet más és más oldalaira vezetnek. Ezen oldalak tartalmáért és szolgáltatóik adat-, valamint információvédelmi gyakorlatáért a szerzők nem vállalnak felelősséget. A tanulmányban említett konkrét rendszerek a védjegyet birtokló cég tulajdonában vannak, a példák csak az adott témakör szemléltetésére szolgálnak, azokból általános következtetéseket nem érdemes levonni. A mellékelt CD csak egy példányban készült a tanulmányban használt fontosabb hivatkozások archiválására. A CD nem másolható, és tartalma nem tehető nyilvánossá, csak a tanulmányt olvasó használhatja segítségként, amennyiben az anyagban előforduló fontosabb hivatkozások nem lennének elérhetők a megadott címen, vagy nincs Internet-kapcsolata.

 IHM-MTA-E4-3.doc

4/296

MTA SZTAKI; E4 - 4671/4/2003

Szervezet - Szabályzat

„Szervezet” CSIRT

alapszabályzat – kézikönyv

2006. május


5/296

MTA SZTAKI; E4 - 4671/4/2003


© IHM – MTA-SZTAKI, 2006. A szabályzat kidolgozásában és lektorálásában részt vettek: Becz Tamás, Martos Balázs, Pásztor Szilárd, Rigó Ernő, Tiszai Tamás, Tóth Beatrix


6/296

MTA SZTAKI; E4 - 4671/4/2003


Tartalomjegyzék 1

2

3

4

5

6 7 8

Bevezető....................................................................................................................................................................9 1.1 A dokumentum státusza....................................................................................................................................9 1.2 Helyzetkép és felmerült igények.......................................................................................................................9 1.3 Történeti áttekintés..........................................................................................................................................10 1.4 Más hazai CERT-ek.........................................................................................................................................10 1.5 A Szervezet......................................................................................................................................................11 1.5.1 Alapinformációk 11 A Szervezet által nyújtott szolgáltatások.................................................................................................................14 2.1 Osztályozás......................................................................................................................................................14 2.1.1 Reaktív szolgáltatások 15 2.1.2 Proaktív szolgáltatások 17 2.1.3 Minőségmenedzsment szolgáltatások 18 2.2 Jelentések, statisztikák....................................................................................................................................19 2.3 Témacsoportok................................................................................................................................................20 2.4 Kapcsolódó területek, egyéb szolgáltatások....................................................................................................20 Szervezeti struktúra.................................................................................................................................................22 3.1 A beosztások rövid leírása...............................................................................................................................22 3.2 Szakértők és szakemberek...............................................................................................................................23 3.2.1 Beérkező feladatok osztályozása 23 3.2.2 A szakértői adatbázis 24 3.3 Belső oktatás...................................................................................................................................................24 3.4 Keresztkontroll................................................................................................................................................24 Az infrastruktúra......................................................................................................................................................26 4.1 Informatikai eszközök.....................................................................................................................................26 4.2 Informatikai rendszert kiszolgáló eszközök....................................................................................................26 4.2.1 Biztonsági megoldások 26 4.3 Tárolás.............................................................................................................................................................27 4.4 RTIR – Az incidenskezelő eszköz...................................................................................................................27 4.4.1 Ismertetés 28 4.4.2 A jegyek életútja a rendszerben 29 4.4.3 A rendszer használatának folyamata 32 4.4.4 Kommunikáció a rendszerrel 34 4.4.5 A rendszer szolgáltatásai 34 4.4.6 Kötegelt vizsgálatkérés 35 4.5 Egyéb eszközök...............................................................................................................................................36 A napi tevékenység módja.......................................................................................................................................38 5.1 A támogatásnyújtás módjai.............................................................................................................................38 5.1.1 Bemeneti csatornák 38 5.1.2 Kimeneti csatornák 39 5.2 Prioritások.......................................................................................................................................................40 5.3 Incidensek életciklusa (RTIR támogatás)........................................................................................................41 5.4 Munkarend......................................................................................................................................................42 5.4.1 Tevékenységek és időszakok 42 5.4.2 Kommunikáció az ügyfelekkel 43 5.4.3 Miben segíthetnek az ügyfelek? 44 A Szervezet jogai, jogosultságai, kötelességei........................................................................................................46 6.1 Irányadó jogszabályok.....................................................................................................................................46 6.2 Jogosultságok és kötelességek........................................................................................................................46 Anyagi feltételek biztosítása....................................................................................................................................48 Kapcsolattartás módjai.............................................................................................................................................50 8.1 Bevezetés.........................................................................................................................................................50 8.1.1 A kapcsolattartás céljai 50 8.2 Nemzetközi hálózatbiztonsági szervezetek, társulások...................................................................................50 8.2.1 FIRST 50 8.2.2 TERENA TF-CSIRT és Trusted Introducer 51 8.2.3 EGC CSIRT 51 8.2.4 eCSIRT.net 51 8.2.5 EISPP 51 8.2.6 ENISA 52


7/296

MTA SZTAKI; E4 - 4671/4/2003


8.3 Az incidensekkel kapcsolatos szabványtervezetek.........................................................................................52 8.3.1 INCH WG (IETF Incident Handling Working Group) 52 8.3.2 IETF Intrusion Detection Workgroup (IDWG) 53 8.3.3 Common Advisory Interchange Format (CAIF) 53 8.3.4 Automated Incident Reporting (AirCERT) 53 8.3.5 Bizonyítékok gyűjtésének és tárolásának irányelvei (RFC 3227) 53 8.4 Információforrások a sebezhetőségekről.........................................................................................................53 8.5 Konferenciák, rendezvények...........................................................................................................................53 8.6 Oktatás, kutatás, továbbképzés........................................................................................................................54 8.7 CSIRT-ek közti biztonságos kommunikáció...................................................................................................55 8.7.1 Titkosítás és digitális aláírás az elektronikus kommunikációban 55 8.7.2 Kriptográfiai kulcsok és tanúsítványok 56 8.7.3 Kulcskezelés 56 9 Hivatkozások...........................................................................................................................................................57 10 Mellékletek..............................................................................................................................................................60 10.1 A képviseltek köre...........................................................................................................................................60 10.2 Egy-egy tipikus hibabejelentés szokásos kezelése..........................................................................................61 10.2.1 Téves bejelentés 61 10.2.2 Nem hatáskörbe tartozó bejelentés 61 10.2.3 Felveendő bejelentések 61 10.2.4 Hibabejelentő fák 61 10.3 Prioritások meghatározása...............................................................................................................................61 10.4 Hibabejelentő űrlapok.....................................................................................................................................62 10.5 Elektronikus eszközök.....................................................................................................................................63 10.6 FAQ és hasznos információforrások...............................................................................................................64 10.6.1 Levelezési listák 64 10.6.2 Weblapok 65 10.6.3 Konferenciák 67 10.7 Hazai CERT-ek elérési adatai..........................................................................................................................69 10.8 Külföldi CERT-ek adatai.................................................................................................................................71 10.9 A Szervezet beosztottjai..................................................................................................................................79 10.10 Szakértők és szakemberek listája....................................................................................................................79 10.11 Külső tanfolyamok és vizsgák.........................................................................................................................80 11 Rövidítések, fogalmak.............................................................................................................................................81

Táblázatok Táblázat 1. Szolgáltatások csoportosítása és besorolása....................................................................................................14 Táblázat 2. Tevékenységek és időszakok...........................................................................................................................43 Táblázat 3. OpenPGP és S/MIME tulajdonságok..............................................................................................................55 Táblázat 4. Képviseltek köre..............................................................................................................................................60 Táblázat 5. Prioritási szintek meghatározása......................................................................................................................62 Táblázat 6. Elektronikus eszközök – nyilvántartás............................................................................................................64 Táblázat 7. Hazai CERT-ek elérési adatai..........................................................................................................................69 Táblázat 8. Külföldi CERT-ek adatai.................................................................................................................................78 Táblázat 9. Beosztásokat betöltő személyek adatai............................................................................................................79 Táblázat 10. Szakértők és szakemberek szakterület szerinti listája...................................................................................79 Táblázat 11. Szakértők és szakemberek névszerinti listája................................................................................................79 Táblázat 12. Tanfolyam- és vizsgabizonyítványok és kiadó szervezetek..........................................................................80

Ábrák Ábra 1. Általános szervezeti felépítés................................................................................................................................22 Ábra 2. Bejelentések kezelésének folyamata.....................................................................................................................31 Ábra 3. A bejelentések kezelésének munkafolyamatai.......................................................................................................33 Ábra 4. Jegytípusok keletkezési lehetőségei......................................................................................................................34 Ábra 5. Az incidensek életciklusa......................................................................................................................................42


8/296

MTA SZTAKI; E4 - 4671/4/2003


1 Bevezető 1.1 A dokumentum státusza Jelen szabályzat célja egyrészt egy elképzelt, a hálózati incidenskezelést feladatának tartó, és e területen tevékenykedő szervezet (továbbiakban: Szervezet) működési alapjainak leírása, másrészt az új belépők megfelelő tájékoztatása a „miről kell tudni?” kérdésekben. A dokumentum felépítése szerint a következő fejezetekből áll:  Rövidítések, fogalmak: a szabályzatban előforduló rövidítések feloldása,  CERT-történeti áttekintés, hazai és nemzetközi körkép,  A Szervezet által nyújtott szolgáltatások: a szolgáltatástípusok osztályozása és a vállalt szolgáltatások csoportosítása,  Szervezeti struktúra: alá- és fölérendeltségek, felelősségi körök,  Az infrastruktúra: erőforrások számbavétele, főbb rendszerek ismertetése,  A napi tevékenység módja: rendszeres teendők részletezése,  A Szervezet jogai, jogosultságai, kötelességei: a hazai és a nemzetközi lehetőségek az adott jogi keretek között,  Anyagi feltételek biztosítása: a működés költségeinek biztosítása,  Kapcsolattartás módjai: a többi Szervezettel való együttműködés és a kommunikáció követelményei,  Hivatkozások: alapdokumentumok, melyek egyéb, a Szervezet számára kidolgozandó szabályzatoknak is hivatkozási alapja,  Mellékletek: a szabályzatban hivatkozott és a szabályzathoz képest gyakran változó tartalmú adatlapok, bizonylatok stb. (minőségbiztosítási rendszerben külön nyilvántartási és verziószámmal rendelkező anyagok). Ezek alapján a szabályzat célja, hogy alapinformációkat foglaljon össze a CERT/CSIRT-ekről egyrészt a működtetésében résztvevők, másrészt a szolgáltatásait igénybevevők számára. Az új belépők (pl. alkalmazottak, szervezetek) számára ez az elsők között elolvasandó dokumentum. A minőségbiztosítás szellemében ez az alapdokumentum, melyből indulva a többi dokumentum és bizonylat hivatkozási fája a Szervezetben felépíthető.

1.2 Helyzetkép és felmerült igények Az informatika térhódításával és az egyre fontosabb rendszerek informatikai alapokra helyezett működésével az informatikai biztonság a mindennapok részévé vált. A felhasználók, a cégek és a mindenkori kormányzat is egyre fokozódó mértékben van kitéve különböző célzott vagy általános támadásoknak, melyek ellen védekezni kell (megelőzés), a támadásokat fel kell ismerni (észlelés), és a káros hatásokat is kezelni kell (javítás). Miközben szinte mindenki ki lehet téve ugyanannak a veszélynek, a szükséges szaktudás nem várható el mindenkitől. A rendszerek többsége elsődleges feladatát akarja problémamentesen ellátni, és csak ezt a célt szolgálva foglalkozik a biztonsággal, ha tud arra erőforrásokat biztosítani. Sok esetben egy-egy kisebb rendszer csak közbülső lépcsőként szolgál egy nagyobb szervezet támadása során, így a veszélyelhárításban mindenkinek ki kell vennie részét. Ezt az összetett védelmet egy  IHM-MTA-E4-3.doc

9/296

MTA SZTAKI; E4 - 4671/4/2003


központi szervezet által lehet hatékonyan megszervezni, koordinálni és a felügyelet alatt álló rendszereket figyelve a közösség biztonságát megfelelő szinten tartani. E célból jönnek létre a számítógépes vészhelyzetekre reagáló egységek (CERT – Computer Emergency Response Team), illetve más néven a számítógép-biztonsági incidensekre reagáló egységek (CSIRT – Computer Security Incident Response Team). Jelen dokumentáció egy ilyen szervezet működésének alapjait írja le és szabályozza.

1.3 Történeti áttekintés A CERT-ek jelentőségét az 1980-as évek végén ismerte fel a DARPA (Defense Advanced Research Projects Agency), amikor létrehozta a CERT koordinációs központot (CERT/CC) a Carnegie Mellon egyetem szoftvermérnöki intézetében 1988 novemberében. [CERT_FAQ] A CERT/CC feladata volt az internetes biztonsági eseményekre történő reagálás, valamint egy olyan modell felállítása, mely alapján több hasonló szervezet jöhet létre. A regionális, technológiai, humán és egyéb tényezők miatt nem lehetséges uniformizált szervezet létrehozása, de a létrehozott szervezetek közötti együttműködés mégis a globális biztonságot szolgálhatja. Mindezen túl azonban tudomásul kell venni, hogy nem létezik olyan szervezet, amely minden támadást ki tud védeni, mindenhez tökéletesen ért és ehhez az erőforrásai is rendelkezésre állnak. Mára több száz CSIRT jött létre a kereskedelmi, akadémiai, kormányzati vagy katonai szervezetek számára, melyek az internetes biztonsági eseményeket kezelik az alájuk tartozó szervezeten belül, és együttműködnek egymással. A működésnek és az együttműködésnek is megvannak az általános szabályai, melyeket az egyes CSIRT-ek alapszabályzatukban [RFC2350] rögzítenek. Fontos kiemelni, hogy a CSIRT-ek nem helyettesítik az olyan intézményeket, mint a katasztrófavédelem, rendőrség, vagy éppen a hírszerzés, de együttműködhetnek – és a jövőben mind inkább bizonyosan együtt is működnek – ezekkel az egységekkel is. Az együttműködés a hatályos jogszabályok (kiemelendő az adatvédelmi törvény) és a CSIRT szellemisége alapján alkotott saját szabályzat és etikai kódex szerint történik. A nemzeti vagy kormányzati CSIRT-ek továbbá olyan „ernyőszervezetként” is működhetnek, amelyek országos hatáskörrel fogadják az informatikai biztonságra vonatkozó bejelentéseket, és továbbítják azokat azok felé, akikhez tartozik az eset kivizsgálása vagy a kérdések megválaszolása.

1.4 Más hazai CERT-ek Jelen időpontban (2005. év vége) három hazai, CERT-feladatokat ellátó szervezetről tehetünk említést, melyek: a Magyar Nemzeti CERT (Hun-CERT), HUNGARNET CERT (NIIF-CSIRT) valamint, a magyar kormányzati CERT (CERT-Hungary). A szervezetek adatait a 10.7 Melléklet tartalmazza. A Hun-CERT felhatalmazással bír az előforduló vagy előfordulással fenyegető mindennemű számítógépes biztonsági események közlésére a hazai Internet szolgáltatók felé. A támogatási szintek annak függvényében változnak, hogy az incidens vagy probléma milyen típusú, mennyire komoly, milyenek az összetevők típusai, mekkora az érintett közösség száma, és milyen erőforrások állnak rendelkezésre az adott időpontban a Hun-CERT számára, miközben minden esetben valamilyen válaszadás egy munkanapon belül megtörténik. Az NIIF-CSIRT alá tartoznak azok az intézmények, melyeknek az NIIF az Internet szolgáltatója (egyetemek, felsőoktatási intézmények, néhány gimnázium, akadémiai kutatóintézetek és non-profit intézmények). A CERT Hungary a kormányzati intézmények szervezete, és a többi – akár később megalakuló – CERT-ek ernyőszervezete.  IHM-MTA-E4-3.doc

10/296

MTA SZTAKI; E4 - 4671/4/2003


1.5 A Szervezet A Szervezet a megalakító intézmény, intézet, stb. szervezete. Feladatait ellátva a Szervezet a következő képet alakítja ki magáról, és elvárja, hogy munkatársai napi tevékenységük során is ezt a képet erősítsék: (a)

Bizalmas partner: az általa kezelt adatok bizalmasságára igényes, és minden esetben védi azok hírnevét, akiknek a biztonsági események kezelése által az érzékeny adataihoz hozzáfér. Vitás esetekben szakértelmére alapozva a tények megállapítása által, a tanulságok levonásával azon munkálkodik, hogy a felek egyességre jussanak.

(b)

Koordináló központ: koordinálja a biztonsági események kezelését, és figyelemmel kíséri az újonnan alakuló CERT feladatokat ellátó szervezetek munkáját is, hogy a hazai vonatkozás vagy érintettség esetében az eljárás hatékonyabb legyen, továbbá a nemzetközi kapcsolatok során szükséges adatszolgáltatások a lehetőségekhez mérten teljes körűek lehessenek.

(c)

Szakértő központ: az események megfigyelése, kezelése, rendszerezése, elemzése folytán megszerzett tapasztalatai alapján a többi CERT, és a felhasználók széles tábora számára megkereséskor lehetőségeihez mérten segítséget nyújt vagy útbaigazít, oktatóanyagokat készít és elérhetővé tesz, cselekvést javasol, szakmai anyagokat előkészít, tervezeteket vagy megoldásokat véleményez olyan tevékenységek esetében, melyek az informatikai biztonságot érintik.

Alapinformációk Az általánosan elfogadott ajánlások szerint minden egyes CERT szervezet megalakulása előtt megfogalmazza céljait, küldetését, meghatározza az általa képviseltek körét, a szervezeti felépítést, erőforrásait és a támogatási forrásokat. Mindez a Szervezet esetében így néz ki: (a) Képviseltek köre (constituency): kiknek nyújt támogatást?  A Szervezet elsősorban az alapító szervek és a kapcsolódó intézményeknek nyújt szolgáltatást. A teljes lista a 10.1 Mellékletben (A képviseltek köre) található.  Ezen kívül a Szervezet együttműködve a többi hazai és külföldi CERT egységgel és a többi érintett szervezettel (magán, állami, akadémiai) a hozzá fordulókat a megfelelő szervezethez irányítja.  Amennyiben valamilyen oknál fogva az adott bejelentés nem tartozik egyik szervezethez sem (pl. üzleti vonatkozás, amit a piaci szereplőkkel kell megoldani), vagy nem deríthető ki egyértelműen, hogy kihez továbbítható a bejelentés (pl. az adott országban nem működik ismert szervezet), úgy ezekben az esetekben sem szabad a bejelentést válasz nélkül hagyni. Üzleti érdekek sérelmét elkerülve ajánlhatók olyan keresőprogramok vagy adatbázisok, amelyekből tájékoztatás szerezhető. Ismert képviselet hiányában az adott ország diplomáciai képviseletén is lehet jelezni a bejelentés kivizsgálását, és kérni a megfelelő cél felé történő továbbítást. E példából is látható, hogy széleskörű együttműködésre van szükség (jelen esetben a Külügyminisztériummal), amely a Szervezet feladata, illetve vállalása. (b)

Küldetés (mission): mi a szervezet küldetése?  Az információs társadalom biztonságos fejlődésének érdekében az informatikai támadásokat megelőző, észlelő és javító eljárások alkalmazásával segíteni a társadalom számára létfontosságú intézmények biztonságát és az alapító intézmények munkája során előforduló informatikai fenyegetettségek kezelését.


11/296

MTA SZTAKI; E4 - 4671/4/2003


 Együttműködni mindazokkal, akik Magyarország területén közvetett vagy közvetlen módon szintén ezen tevékenykednek, és útbaigazítani mindazokat, akik nem találják a problémáik kezelésére leginkább hivatott szervet.  Hatással lenni a társadalom informatikai biztonság iránti hozzáállására és képzettségére, ezen belül külön odafigyeléssel a jövő informatikai szakembereire.  A működés során szerzett és értékelt tapasztalatok során leszűrt következtetésekkel segíteni a magyarországi törvényhozókat – illetve alacsonyabb szintű döntéshozókat – annak érdekében, hogy azok munkájuk során a nemzeti szabályozást úgy alakíthassák, hogy az harmonikusan illeszkedjék a felmerülő igényekhez és nemzetközi elvárásokhoz. (c)

Szolgáltatások (services): milyen típusú CERT lesz? (részletesebben ld. a 2. fejezetben)  Az alapító intézmények informatikai hálózati rendszereinek biztonságot érintő eseményeinek monitorozása.  Az alapító intézményektől érkező események fogadása, feldolgozása, rendszerezése.  A begyűjtött események kezelése (megelőző, észlelő, javító intézkedések).  A szükséges nem informatikai lépések megtétele. ító és a  Tájékoztató, oktató, segítő információs bázis üzemeltetése (pl. segédanyagok közzététele, oktatásban való részvétel, hírlevél).  Elemző munkák végrehajtása, a várható trendek, a régió sajátosságainak elemzése.

(d)

Szervezeti felépítés (organizational structure): melyek a strukturális összefüggések? (részletesebben ld. 3. fejezetben)  A Szervezet az ISO minőségbiztosítási rendszerrel összhangban alkalmazza a szervezetet alkotókra vonatkozó szabályokat (csak beosztásokat fogalmaz meg, az egyes beosztásokat betöltő tényleges személyek adatait ld. a 10.9 Mellékletben).  A munkaköri leírások tartalmazzák a munkakör betöltésének feltételét, és az ezek meglétét igazoló iratok körét. Mindezek a kötelességek és a felügyelő szerepek leírását tartalmazó iratokkal együtt a személyzeti dossziéban találhatók.  Az új belépővel már a szerződésben/megbízásban közölni kell, hogy kik felett rendelkezik valamilyen szereppel, és kik alá tartozva végzi majdani munkáját.

(e)

Infrastruktúra (resources): mire van szükség a feladat ellátásához? (részletesebben ld. 4. fejezetben)  Alapvető infrastruktúra elemek (épület, informatikai és telekommunikációs vonalak és eszközök).  Számítástechnikai eszközök (gépek, nyomtatók) olyan összetételben, hogy a felmerülő bejelentéseket minél megfelelőbb környezetben lehessen vizsgálni (pl. többféle operációs rendszer egy-egy futó verziója legyen elérhető).  Speciális elemek (pl. informatikai biztonsági eseményekre vonatkozó adatok beszerzését támogató eszközök, intelligens kártyák, biometrikus azonosítást végző eszközök stb.).

(f)

Támogatás (funding): milyen anyagi forrásokból gazdálkodik a szervezet? (részletesebben ld. 7. fejezetben)


12/296

MTA SZTAKI; E4 - 4671/4/2003


 A Szervezet megalakulását és működésének megkezdését az alapító intézmény biztosítja/biztosította.  A hosszú távú működés és ennek forrásai az indulást követő évben kerül pontos meghatározásra egy külön dokumentumban. Ezzel kapcsolatosan az már megállapítható, hogy – tekintettel az intézményi hatáskörre – a működés anyagi feltételeinek biztosítása intézményi források felhasználását indokolja.


13/296

MTA SZTAKI; E4 - 4671/4/2003


2 A Szervezet által nyújtott szolgáltatások A szolgáltatások jelenlegi és majdani körének egyértelmű meghatározása érdekében olyan csoportosítást célszerű alkalmazni, amelyben – egyértelmű azonosítók felhasználásával – a különféle tevékenységek besorolhatók. Az egyes szolgáltatásokhoz kidolgozandó eljárások, utasítások és egyéb dokumentumok erre az azonosítóra hivatkozva teszik egyszerűbbé a belső kommunikációt és a szolgáltatások karbantartását.

2.1 Osztályozás A szolgáltatások három fő csoportba sorolhatók: így reaktív, proaktív és minőség-menedzsment csoportba tartozó szolgáltatásokról beszélünk: (a) Reaktív: ezek az alapvető szolgáltatások. A bejelentett eseményekre indított eljárások (ticket), a behatolás-érzékelők által jelzett események, a naplókból kiderülő támadásra utaló jelek vagy éppen egy széles körben terjedőben lévő kártékony kód alapján történő reagálások képezik e csoport alapját. (b) Proaktív: segítő, oktató és útbaigazító szolgáltatások. Magukba foglalják a felkészülés és a védekezés körébe tartozó intézkedésekben történő segítségnyújtást. E szolgáltatások közvetve csökkenthetik az események számát és/vagy súlyosságát a felhasználók jobb képzettsége által. (c) Minőség-menedzsment: a rendszer működésének javítására szolgáló szolgáltatások. Ezek a szolgáltatások függetlenek az incidenskezelés és a hagyományos informatikai, ellenőrzési vagy oktatási egységek tevékenységétől. Ha egy CSIRT felvállalja ezt a szolgáltatás-csoportot is, akkor az általános biztonság növelésében tud szerepet vállalni. A kockázatelemzés, fenyegetettségvizsgálat, vagy a gyenge pontok feltérképezése említhető ebben a csoportban. Ezek általában proaktív szolgáltatások, de közvetett módon hatnak az események számának/súlyosságának csökkenésére is. Reaktív

Proaktív

Jelzések és figyelmeztetések Incidenskezelés: Incidenselemzés, Helyszíni válaszadás, Válaszadás segítség, Válaszadás koordináció. Sérülékenység kezelés: Elemzés, Válaszadás, Válaszadás koordináció. Kártékony informatikai termékek (vírusok, kódok, fájlok, objektumok stb.) kezelése: Elemzés, Válaszadás, Válaszadás koordináció.

Értesítések Technológiafigyelés Biztonsági audit és értékelés Biztonsági eszközök fejlesztése Biztonsági eszközök, alkalmazások és infrastruktúrák konfigurációja és karbantartása. Behatolás figyelő szolgáltatás A biztonsággal kapcsolatos információk terjesztése

Minőség-menedzsment

Kockázatelemzés Üzletmenet-folytonossági és katasztrófaterv Biztonsági tanácsadás Biztonsági tudatosság építése és növelése Oktatás és gyakoroltatás Termékek értékelése és/vagy tanúsítása

Táblázat 1. Szolgáltatások csoportosítása és besorolása

Az egyes szolgáltatásokhoz külön utasítások érhetők el a napi munkavégzés pontos leírására és előírására (ld. még 5 fejezetben).


14/296

MTA SZTAKI; E4 - 4671/4/2003


Reaktív szolgáltatások A Szervezet e csoportba sorolható szolgáltatásai a következők: 1. Jelzések és figyelmeztetések: olyan információk elterjesztését jelenti a védett szervezetek felé, amelyekben a Szervezet leír egy biztonsági problémát, és egyben megoldási javaslatot ad. 2. Incidenskezelés: a Szervezet megkapja, értékeli, elemzi és választ ad a jelentett incidensekre a védett szervezetek számára. A válaszadás a következő lépéseket foglalhatja magában:  A behatoló aktivitása által érintett, illetve fenyegetett rendszer, vagy hálózat védelme érdekében való beavatkozás,  Megoldások biztosítása, vagy stratégia kidolgozása a releváns figyelmeztetések függvényében,  Behatolók aktivitásának keresése és figyelése a hálózat más szegmenseiben,  Hálózati forgalom figyelése és szűrése,  Rendszerek újraépítése,  Rendszerek aktualizálása (patch-elése) és javítása,  Egyéb válaszok és módszerek kidolgozása. 3. Incidenselemzés: megvizsgálják a jelentett incidenst, vagy eseményt a rendelkezésre álló információk és támogató bizonyítékok alapján. Cél, hogy azonosítsák az incidens célpontját, a várható, vagy okozott kár nagyságát, az incidens természetét, és meghatározzák a megfelelő válaszadási stratégiát, vagy módszert. A Szervezet a kapott eredményeket felhasználja, hogy megértse, és biztosítani tudja a teljes és naprakész elemzéseket az érintett rendszerekről. Az elemzéseket a Szervezet felhasználja a támadás- és fenyegetettség-trendek előrejelzésére, illetve statisztikák készítésére. A szolgáltatás magában foglalhat két kiegészítő szolgáltatást is:  Igazságügyi szakértés és bizonyítékgyűjtés: olyan adatokat (rendszernaplók, behatolásfigyelő rendszer naplók stb.) gyűjt be a Szervezet, amelyek segítségével rekonstruálható az incidens menete, illetve megállapítható a behatoló kiléte.  Nyomkövetés és bemérés: a Szervezet megállapítja a támadó származási helyét, illetve azonosítja a támadás során felhasznált rendszereket. A bemérés során a Szervezet igyekszik azonosítani a támadó tényleges helyét és személyét is. Ezek a kiegészítő szolgáltatások szoros együttműködést igényelnek a belügyi szervekkel, az ügyészséggel, az Internet szolgáltatókkal, illetve egyéb érintett szervezetekkel is. 4. Helyszíni válaszadás: A Szervezet incidens esetén helyszíni segítséget nyújt a védett szervezetek számára a rendszereik visszaállításához. A Szervezet szakértői kiszállnak a helyszínre, és elemzik az eseményt az érintett rendszeren, majd segítséget adnak a helyi szakembereknek a helyreállításban. 5. Válaszadás segítség: A Szervezet incidens esetén segítséget nyújt a védett szervezetek számára a rendszereik visszaállításához telefonon, faxon, e-mailen vagy dokumentáció segítségével. A Szervezet továbbá technikai segítséget nyújt az adatok gyűjtésében, szakértőket nevez meg a témában, illetve helyreállítási stratégiákkal és leírásokkal látja el az érintett szervezetet. 6. Válaszadás koordináció: a Szervezet koordinálja azokat a szervezeteket, akiknek a válaszadásban, vagy az incidensben szerepük van (leggyakrabban az incidens áldozatai, a támadásba bevont más site-ok, vagy szervezetek, illetve az elemzésbe és válaszadásba  IHM-MTA-E4-3.doc

15/296

MTA SZTAKI; E4 - 4671/4/2003


bevont szervezetek). A koordináció magába foglalja az áldozat szervezet informatikai támogatását ellátó szervezetet, az Internet szolgáltatóját, más CERT, vagy CSIRT szervezetet, illetve a hálózati és rendszer adminisztrátorokat. A koordináció feltétele, hogy a Szervezet rendelkezésére álljanak mindazok a kapcsolattartási információk, amelyek az érintett szervezethez kapcsolódnak (pl. 10.1 melléklet). A Szervezet a koordináció során statisztikai céllal információt gyűjt az incidensről. 7. Sérülékenység kezelés: a Szervezet információkat és jelentéseket kap a hardver és szoftver sérülékenységekről, elemzi e sérülékenységek természetét, mechanizmusát és hatásait. Megoldási stratégiákat fejleszt a sérülékenységek észlelésére és javítására. A sérülékenység kezelési szolgáltatásokat három csoportba sorolhatjuk:  Elemzés: a Szervezet technikai analízist és vizsgálatot végez a hardver és szoftver elemeken a sérülékenység szempontjából (a már ismert sérülékenységek vizsgálata, illetve az új sérülékenységek esetén annak vizsgálata, hogy a sérülékenység hol helyezkedik el, illetve hogyan lehet kihasználni). Az analízis kiterjed a rendelkezésreálló forráskódok átvizsgálására „debugger” program1 segítségével, illetve a sérülékenység teszt környezetben való reprodukciójára is.  Válaszadás: a Szervezet meghatározza a megfelelő válaszadást, hogy megelőzze, vagy javítsa az adott sérülékenységet. E szolgáltatás keretében a Szervezet kifejleszthet, vagy átvehet patch-eket, javításokat és metodológiákat, illetve figyelmezteti a védett szervezeteket és a többi CERT szervezetet a megelőző stratégiáról úgy, hogy figyelmeztetést bocsát ki. A szolgáltatás keretében a Szervezet szakemberei a helyszínen is elvégezhetik a szükséges patch-ek és javítások telepítését.  Válaszadás koordináció: a Szervezet értesíti az összes védett szervezetet a sérülékenységről és megosztja velük a javítási, illetve megelőzési javaslatait. A Szervezetnek meg kell győződnie arról, hogy a védett szervezetek sikeresen alkalmazták a szükséges intézkedéseket, és fel kell vennie a kapcsolatot a szoftver és hardver szállítókkal, más CERT szervezetekkel, technikai szakértőkkel, illetve minden érintettel, akik a mielőbbi sikeres megoldásban közreműködhetnek. Mindezek a kapcsolatfelvételek megkönnyítik a sérülékenységek felfedezését, és a sérülékenységi jelentések kibocsátását. A Szervezet koordinálhatja a különböző oldalakról érkező dokumentumok, patch-ek, javítások és metodológiák szinkronizálását valamint kibocsátását. A koordináció egyik fontos eleme, hogy a Szervezet minden esetben archiválja, és tudásbázisába beépítse a sérülékenységi és javítási információkat, illetve stratégiákat. 8. Kártékony informatikai termékek kezelése: Ilyenek mindazok a fájlok, objektumok és kódok, amelyek nagy valószínűséggel az informatikai rendszerek, illetve hálózatok elleni próbálkozások, vagy támadások segédeszközei, illetve maradványai. Ezek lehetnek többek közt vírusok, trójai programok, férgek, sebezhetőséget kiaknázó script-ek és segédeszközök lehetnek. A Szervezet információkat és másolatokat kap ezekről a kártékony informatikai termékekről, majd átvizsgálja őket. A vizsgálat során elemzi természetüket, mechanizmusukat, verziójukat és használatuk módját, majd válaszadási stratégiát fejleszt ki észlelésükre, eltávolításukra és az ellenük való védekezésre. A szolgáltatást három részre oszthatjuk:  Elemzés: a Szervezet technikai vizsgálatot és elemzést végez a kártékony informatikai terméken, melynek során azonosítja a termék típusát és struktúráját, összehasonlítja a már regisztrált termékekkel, hogy megállapítsa a hasonlóságokat és a különbözőségeket, illetve visszafejti a kódot, hogy megállapítsa a termék célját és funkcióját. 1

Egyes licenc-szerződések ezt tiltják, így erre figyelemmel kell lenni.


16/296

MTA SZTAKI; E4 - 4671/4/2003


 Válaszadás: a Szervezet meghatározza a megfelelő lépéseket, hogy azonosítsák és eltávolítsák a kártékony informatikai termékeket a rendszerekről, illetve lépéseket tesz a termékek informatikai rendszerekbe való bejutása ellen.  Válaszadási koordináció: a Szervezet egységesíti és megosztja a különböző forrásból származó technikai és egyéb vizsgálatok és elemzések eredményeit, illetve a válaszadási stratégiákat a védett szervezetekkel, a többi kutatóval, a CERT szervezetekkel, a szállítókkal és a többi biztonsági szakemberrel. A Szervezet mindezek mellett archiválja, és tudásbázisában rögzíti a termékek hatásait, illetve a megfelelő válaszadási stratégiákat. Proaktív szolgáltatások A Szervezet e csoportba sorolható szolgáltatásai a következők: 1. Értesítések: Az értesítések – többek között – magukba foglalják a behatolási figyelmeztetéseket, sérülékenység figyelmeztetéseket és biztonsági tanácsokat. Az értesítéseken keresztül a Szervezet informálja a védett szervezeteket a közép és hosszú távú hatással bíró új fenyegetésekről, úgymint az újonnan észlelt sérülékenységekről és behatoló eszközökről. Az értesítések segítségével a védett szervezetek felkészülhetnek, hogy megvédjék rendszereiket és hálózatukat az új kártékony informatikai termékektől, mielőtt azokat bárki alkalmazná ellenük. 2. Technológiafigyelés: a Szervezet figyelemmel kíséri az új technikai fejlesztéseket, behatoló aktivitásokat és kapcsolódó trendeket, hogy meghatározhassa a jövőbeni fenyegetettségeket. A figyelés kiterjedhet jogi és törvényi szabályozásokra, szociális és politikai fenyegetettségekre, illetve a veszélyes technológiákra is. A Szervezet a tevékenység során folyamatosan figyeli a biztonsággal foglalkozó levelezési listákat és Internet helyeket, az aktuális híreket, illetve tudományos, technológiai, politikai és kormányzati újságcikkeket, hogy összegyűjtse a védett szervezetek számára fontos, biztonsággal kapcsolatos információkat. Az információgyűjtés során a Szervezet folyamatosan kommunikál a megfelelő szervekkel, hogy mindig ellenőrzött és korrekt információk birtokába jusson. A szolgáltatás végterméke értesítés, javaslat, illetve összefoglaló lehet, amely közép és hosszú távú biztonsággal kapcsolatos problémákra fókuszál. 3. Biztonsági audit és értékelés: a Szervezet részletes átvilágítást és elemzést végez a védett szervezetek biztonságáról. Az átvilágítás alapja lehet a szervezet biztonsági szabályozása, illetve egyéb biztonsági szabványok (pl. MSZ EN ISO 17799). Különböző típusú biztonsági átvilágítások és értékelések lehetségesek:  Infrastruktúra átvilágítás: manuálisan áttekintik a hardver és szoftver konfigurációkat, útválasztókat, tűzfalakat, szervereket és asztali számítógépeket, annak érdekében, hogy megállapítsák, mennyire felelnek meg a szervezet biztonsági előírásainak, illetve egyéb biztonsági szabványoknak.  „Best practice” átvilágítás: az alkalmazottakkal, valamint a rendszer és hálózati adminisztrátorokkal készített interjúk alapján megállapítják, hogy mennyire felelnek meg a követett gyakorlatok a szervezet biztonsági szabályozásának, illetve a biztonsági szabványoknak.  Tesztelés: sérülékenység-, illetve víruskereső szoftver segítségével megvizsgálják, mely rendszerek sérülékenyek, illetve fertőzöttek.  „Attack and Penetration” tesztelés: automatikus tesztelő szoftver segítségével megvizsgálják a szervezet hálózatának támadhatóságát.


17/296

MTA SZTAKI; E4 - 4671/4/2003


Mindezekhez a vizsgálatokhoz az adott szervezet felső vezetésének jóváhagyása szükséges, mert egyes vizsgálati metódusok sérthetik a szervezet biztonsági politikáját. Ezt a szolgáltatást a Szervezet kiadhatja, megfelelő képesítésekkel és garanciákkal rendelkező, külső szervezet számára is. 4. Biztonsági eszközök, alkalmazások és infrastruktúrák konfigurációja és karbantartása: a Szervezet meghatározza, vagy megfelelő segítséget nyújt ahhoz, hogy hogyan konfigurálhatók és üzemeltethetők biztonságosan egyes eszközök, alkalmazások, illetve az informatikai rendszerek általában, a védett szervezeteknél, vagy magánál a Szervezetnél. A Szervezet megadja a konfigurációs és üzemeltetési változásokat a biztonsági eszközök és szolgáltatások tekintetében, mint a behatolás-észlelő szoftverek, a hálózat tesztelő és monitorozó szoftverek, szűrők, tűzfalak, VPN-ek és az azonosító mechanizmusok. 5. Biztonsági eszközök fejlesztése: a Szervezet fejleszthet új, a védett szervezetekre specifikált biztonsági eszközöket és szoftvereket is. Mindezek a fejlesztések kiterjedhetnek olyan biztonsági script-ekre és program komponensekre is, amelyek kiterjesztik, illetve növelik a védett szervezetek biztonsági szintjét. 6. Behatolás figyelő szolgáltatás: a Szervezet átvizsgálja a védett szervezetnél üzemelő behatolás észlelő szoftver napló állományát, és kidolgozhat olyan új szabályokat és reakciókat, amelyeket a feltárt támadások ellen a leghatékonyabbnak gondol. A folyamat során értékeli a meglévő érzékelők működésének megfelelőségét, és új érzékelőket építhet be, ha erre szükség van. 7. A biztonsággal kapcsolatos információk terjesztése: a Szervezet ezzel a szolgáltatással a védett szervezetek számára nyújt olyan átfogó, hasznos és könnyen kezelhető információkat, amelyek segítségével növelhető a biztonság a szervezeteknél. Ezek az információk kiterjednek:  A CERT kapcsolati-információira,  A jelzések, figyelmeztetések és értesítések archívumára,  Az aktuális „best practice” dokumentációra,  Az általános informatikai biztonsági segédletekre,  A szabályozásokra, szabványokra és ellenőrző listákra,  A patch fejlesztésekre és terjesztési információkra,  A szállítói linkekre,  Az incidensekkel kapcsolatos aktuális statisztikákra és trendekre,  Az egyéb biztonságot növelő információkra. Minőségmenedzsment szolgáltatások A Szervezet e csoportba sorolható szolgáltatásai a következők: 1. Kockázatelemzés: a Szervezet a védett szervezetek számára értékes információkkal szolgálhat a kockázatelemzésük elvégzése során, azaz segíthet reálisan értékelni a szervezeteket érintő tényleges informatikai kockázatokat. A kockázatok értékelése mellett a Szervezet megadhatja a kockázatkezelési módszereket és stratégiákat is. 2. Üzletmenet-folytonossági és katasztrófaterv: a Szervezet a védett szervezetek számára értékes információkkal szolgálhat üzletmenet-folytonossági, illetve katasztrófaterveik elkészítéséhez. Ideális esetben a Szervezet maga is része a védett szervezetek katasztrófa terveinek, mint értesítendő, illetve beavatkozó szervezet.  IHM-MTA-E4-3.doc

18/296

MTA SZTAKI; E4 - 4671/4/2003


3. Biztonsági tanácsadás: a Szervezet segít a védett szervezeteknek növelni a biztonsági szintjüket a biztonsági tanácsadás szolgáltatás során, amely magában foglalja a biztonsági és egyéb szabályzataik értékelését, új szoftver, illetve hardver elemek biztonságos konfigurálását. 4. Biztonsági tudatosság építése és növelése: a Szervezet képes meghatározni azokat a területeket a védett szervezet üzemelési rendjében, ahol a biztonsági tudatosságot ki kell alakítani, illetve fejleszteni kell. Mindezek segítségével elérhető, hogy a védett szervezetek alkalmazottai megértsék a biztonság szükségességét, ezáltal a napi operatív tevékenységet kevesebb kockázattal fogják végrehajtani. A Szervezet által közreadott cikkek, kiadványok és egyéb információs anyagok fejlesztik a védett szervezeten kívüliek biztonsági tudatosságát is. 5. Oktatás és gyakoroltatás: szemináriumokon, tanfolyamokon, illetve kiadványokon keresztül a Szervezet oktató tevékenységet is folytat, hogy megismertesse a védett szervezetek munkatársait, saját munkatársait, illetve minden érdeklődő felet a biztonsági problémákkal, illetve a védekezés lehetőségeivel és módszereivel. Az oktatott témák többek között:  Incidensek jelentése,  Megfelelő válaszadási metódusok,  Válaszadási stratégiák és eszközök,  Védelmi stratégiák és eszközök,  Egyéb olyan információk, amelyek segítik a megelőzést, a felfedezést, a válaszadást és a védelmet. 6. Termékek értékelése és/vagy tanúsítása: a Szervezet, a szállítókkal együttműködve, biztonsági szempontból értékeli a szoftvereket, hardvereket és szolgáltatásokat, ezáltal elősegítve a védett szervezeteket a megfelelő eszközök és szolgáltatások kiválasztásában. A Szervezet, a megfelelő jogosítványok megszerzése után akár tanúsíthatja is mindezeket.

2.2 Jelentések, statisztikák A munka hatékonyságát és a terhelést felmérendő, rendszeres időközönként statisztikákat kell készíteni a bejelentett és tudomásra jutott biztonsági eseményekről. Az incidensek kezelésére szolgáló eszköz – az RTIR, Request Tracker for Incident Response – segítségével lehetőség nyílik különböző, a jegyek adatain alapuló statisztikák készítésére. A különféle statisztikák részletes listája az fejezet végén található. Az adatok elemzésének célja, hogy felmérje a szervezet munkájának hatékonyságát, ill. segítsen feltárni a hibákat és a szűk keresztmetszeteket. Az adatok elemzésével különböző tendenciák is megfigyelhetők, amelyek szintén segítenek a szervezet működésének javításában. Különösen a következő értékek változását érdemes figyelni:  Jegyek létrejötte, és megoldása/válasz küldése között eltelt idő. Ezen adatok segítségével felmérhető a szervezet terheltsége.  A kiugró megoldási idejű jegyekből a komoly problémák természetére lehet következtetni.  A jegyek típusonkénti megoszlásának vizsgálatával meg lehet határozni, hogy milyen szakemberek bevonására milyen gyakran van szükség.


19/296

MTA SZTAKI; E4 - 4671/4/2003


 Az újra megnyitott jegyek száma és az elvégzett munka alapossága között is lehet összefüggéseket találni.  Hosszútávon a bejelentések számának növekedéséből a szervezet fejlődésének ütemére, külső megítélésére lehet következtetni (ha csökken, akkor valami nem jó).  A bejelentések rövidtávú ingadozását, és annak esetleges ciklikusságát is érdemes nyomon követni.

2.3 Témacsoportok A Szervezet munkatársai általánosan magas szinten értenek az informatikai biztonsági kérdések megoldásához (horizontális tudás), de szükség van egy-egy területen speciális szaktudásra (vertikális tudás). A Szervezeten belül nem megoldható esetekben külső szakértők és szakemberek kerülnek alkalmazásra (ld. 10.10 melléklet). A témacsoportok a védett intézményekben előforduló rendszerektől függően alakulnak. Az informatikai biztonsági problémák általánosak, mégis egyes operációs rendszereket vagy alkalmazásokat jobban kell védeni, vagy több támadás éri, mint egy másikat. A különböző sebezhetőségeket rendszerező internetes katalógusokban is lemérhető, hogy melyek a támadásoknak jobban vagy kevésbé kitett rendszerek. Az operátorok között lenniük kell a Linux és Windows rendszerekhez vertikális tudással értő embereknek is. Hasonló módon lennie kell vírusokhoz, útválasztókhoz, Web-szerverekhez stb. értő ember(ek)nek is. A pontos lista a felügyeltek infrastruktúráján múlik. Új rendszer felmerülése esetén (pl. intelligens kártya elterjedése a Kormányzatban) fel kell mérni a várható esetek számát, és a szerint biztosítani hozzáértő alkalmazottat vagy szakértőt (bővítve a mellékletbeli listát).

2.4 Kapcsolódó területek, egyéb szolgáltatások Az éles működés közben kiderülhet, hogy nagyobb számban érkeznek olyan megkeresések, melyek e szabályzat írásának időpontjában nem láthatók előre, ezért jelenleg ezeket az eseteket az egyéb szolgáltatások közé kell sorolni. Amennyiben a Szervezet a működési területéről olyan bejelentést kap, amely az aktuális szabályzat szerint nem sorolható be, de hosszú távon tanácsos lenne, úgy ezeket is be kell építeni a szolgáltatások közé. Például, ha az aktuális szabályzat nem rendelkezik a munkaállomásokra kötött chipkártya olvasókat érő támadások kezeléséről, de pár éven belül ezek az eszközök megjelennek a szolgáltatási körbe tartozó intézményeknél, és egyre több bejelentés érkezik ezekkel kapcsolatban, akkor ki kell egészíteni az érintett szabályzatokat (pl. digitális aláírás használata, jelszó/PIN használat, kártyák fizikai tárolási szabályai stb.). A jelenleg közvetlenül kapcsolódó területek, és a figyelembeveendők rövid listája:  Mentés és archiválás: a mentések védelme több szempontból is fontos, mivel visszatöltéskor azok lesznek az éles adatok, vagy illetéktelen kézbe kerüléskor az adatok bizalmassága közvetlenül, a rendszer sértetlensége pedig közvetve is sérülhet (kikövetkeztethető beállítások, adatok stb. alapján). A mentést végezhesse a műszak kijelölt operátora, az ellenőrzést végezhesse egy másik operátor, de a mentett adatokba ne tekinthessenek bele. A tárolás legyen védett helyen (kiemelten fontos mentés esetén – pl. havi teljes mentés – az adathordozókat külső helyszínen kell tartani2). Archiválás esetén még foglalkozni kell az archiválási idővel is,

2

Az éles rendszerről is lehet folyamatos tükrözés, és ezt is tanácsos megfelelő külső helyszínen üzemeltetni.


20/296

MTA SZTAKI; E4 - 4671/4/2003


majd annak lejártakor a biztonságos és az adatvédelmi szabályoknak megfelelő megsemmisítéssel is.  Tartalékrendszer: akár helyi RAID rendszerről van szó, akár távoli éles tartalékrendszerről (ld. lábjegyzet), gondoskodni kell a tükrözés és a tartalékrendszer felé irányuló információk biztonságáról, és szükség esetén azok használatbavételi módjáról (pl. átállás/átkapcsolás menete).


21/296

MTA SZTAKI; E4 - 4671/4/2003


3 Szervezeti struktúra A feladatokból adódóan többféle tudású és beosztású személyre bontható a kívánatos szervezeti struktúra. Minden egyes dolgozó munkaköri leírásában legalább három elemnek szerepelnie kell: munkakör betöltésének feltétele (az igazoló iratok mellékelve a személyzeti dossziéban), felettes valamint beosztott viszonyai és kapcsolatai. Ezek szerint a szervezeti felépítés a következő: V e z é r 1 . Ü g y v e z e tő ig a z g a tó A d m in is ztr á c ió 1 . T itk á r s á g

G a z d a s á g i 1 . G a z d a s á g i fe le lő s

B iz to n s á g i 1 . B iz to n s á g i fe le lő s

M ű s z a k i 1 . M ű s z a k i fe le lő s

M ű s z a k v e z e tő 1 . M ű s z a k v e z e tő n a p p a l (0 8 2 0 )

O p e r á to r 1 . O p e r á to r c s a p a t

O p e r á t o r 1 '. O p e r á to r c s a p a t

M ű s z a k v e z e tő 2 . M ű s z a k v e z e tő é jje l (2 0 0 8 )

O p e r á to r 2. O p e r á to r c s a p a t

O p e r á t o r 2 '. O p e r á to r c s a p a t

Ábra 1. Általános szervezeti felépítés

3.1 A beosztások rövid leírása Az ábrán látható beosztások részletesebb magyarázata3:  Vezér 1. (ügyvezető igazgató): a szervezet vezetője, hosszabb vagy rövidebb távolléte esetén a megfelelő kérdésekben a felelősökre delegálhat bizonyos döntési felelősségeket.  Adminisztráció 1. (titkárság): adminisztratív feladatok ellátása (de nem érintkezik a bizalmas iratok tartalmával).  Biztonsági 1. (biztonsági felelős): biztonsági kérdésekben előkészít, javasol, ellenőriz, de a döntéseket az igazgató jóváhagyása és aláírása/elrendelése alapján viszi végbe, és neki tartozik jelentési kötelezettséggel, a többieknek csak értesítési kötelezettséggel (pl. operátorral végrehajtatott biztonsági beállításról, belső átvilágítás tervéről, előre be nem jelentett ellenőrzésről stb.).  Gazdasági 1. (gazdasági felelős): a gazdasági ügyeket intézi, alá tartozhat a titkárság, de a pénzügyekben (pl. munkatársak bére) csak az igazgatónak tartozik jelentési kötelezettséggel.  Műszaki 1. (műszaki felelős): A műszaki feladatokat igazgatja, közvetlenül a műszakvezető, közvetve pedig az operátorok felettese. Az operátorokat közvetlenül is utasíthatja, de erről a műszakvezetőt is tájékoztatnia kell.  Műszakvezető 1-2. (műszakvezető éjjel/nappal): A műszaki felelőstől kapott utasítások alapján végzi feladatát az adott műszakban az oda beosztott operátorokkal. Más műszak operátorai felett azok műszakvezetőjén keresztül gyakorolhat felettesi pozíciót. 3

A Szervezetben dolgoznia kell legalább egy Igazságügyi szakértőnek, aki a nyomozószervekkel tartja a kapcsolatot olyan esetekben, amikor a két szervezetnek szüksége van a másikra.  IHM-MTA-E4-3.doc

22/296

MTA SZTAKI; E4 - 4671/4/2003


Műszakvezetők közötti szakmai viták esetén a műszaki felelőssel kötelesek egyeztetni, és a megegyezés vagy utasítás alapján eljárni. Műszakvezető és műszaki felelős szakmai vitájában (szükség esetén a biztonsági felelős véleményének meghallgatásával) az igazgató dönt. A műszakvezetők egyben rendszermérnöki szinten képzettek az informatikai biztonsági kérdésekben, így az operátorok által megoldatlan kérdésekben is el tudnak járni4.  Operátor 1-2. (és 1’-2’ operátor csapatok): Közvetlenül a műszakvezető, közvetve a műszaki felelős vezetése alatt állva végzi feladatát. Különböző műszakokban történő munkavégzés esetén időszakos felettese az adott műszak vezetője, de állandó felettese a műszaki felelős. A biztonsággal kapcsolatos tevékenységekben a biztonsági felelős utasításait kell végrehajtania, amennyiben azok a szabályzatnak nem mondanak ellent. Ellentmondás esetén a hierarchiát követve a műszakvezető – műszaki felelős – igazgató vonalat követve kell megegyezésre jutni. Az 1’ és 2’ csapatok elképzelhetők közös tartaléknak is, vagy olyan csoportnak, akik éppen továbbképzésen vagy szabadnapon vannak stb., de vészhelyzetben vagy csupán nagyobb terhelés esetén szükség lehet rájuk.

3.2 Szakértők és szakemberek A szervezetben lévőkön kívül szükség van olyan szakértőkre (pl. igazságügyi szakértők, CISA vizsgás auditorok stb.), akik egy-egy bonyolultabb esetben segítenek a szakmai munkában. Az eseti szükség miatt ezekkel a szakértőkkel keret-megállapodás alapján folyik a kapcsolattartás akkor, amikor kimondottan rájuk van szükség (pl. bírósági ügy esetében, vagy egy audit módszertana miatt). A szakemberek csoportja olyan egy-egy adott területen speciális és mély tudással rendelkező emberekből áll, akik egy speciális szaktudást igénylő ügyben tudják segíteni a Szervezet csapat munkáját. Hosszabb távú együttműködés igényének esetén akár határozott idejű félállású munkatársakká is válhatnak. Mindkét csoportba tartozó emberekről naprakész listákat (szakterület és névszerinti listákat ld. a 10.10 mellékletben) kell vezetni, hogy szükség esetén minél előbb elérhetők legyenek. Önkéntes bejelentkezési alapon bárki által elérhető internetes adatbázist is fenn lehet tartani, hogy szükség esetén kit lehet megkeresni. Beérkező feladatok osztályozása Minden bejelentés a feldolgozás vagy megoldás során elérhet egy olyan pontra, amikor a szervezeten belül az operátori szintnél feljebb kerül, mert ott van meg a megfelelő szaktudás a megoldásra. Ebben az esetben kerülhet sor külső szakértők bevonására is (operátor közvetlenül nem adhatja ki külsősnek számító szakértőnek a bejelentést). A szakértők elérési adatai (ld. 10.10 melléklet) alapján kereshetők fel a bejelentés adatainak bizalmasságát és sértetlenségét megtartó módon (titkosított formában vagy csatornán szabad közvetíteni az adatokat olyan kiegészítéssel, mely sértetlenségüket is ellenőrizhetővé teszi). Az adatok mellett szerepelnie kell az elvárt visszajelzési határidőnek, és a kiküldés célba érkezéséről másik csatornán is meg kell győződni (pl. e-mail-ben küldött anyag esetén telefonos rákérdezés). A kiküldés egyidejűleg helyi másolatot is képezzen, hogy a kiküldés ténye és adatai is elérhetők legyenek később.

4

Nem feltétel a jó kommunikációkészség, ezért a kapcsolattartás ekkor is a szakképzett operátorok által végzendő.


23/296

MTA SZTAKI; E4 - 4671/4/2003


A szakértői adatbázis A szakértők éves felülvizsgálatra kerülnek, amikor is ellenőrzésre kerül, hogy szakértői jogosítványuk még érvényes-e, és évente egyszer a Szervezet által a szakértőiknek szervezett szakmai szemináriumon kötelesek részt venni. Új felvétel esetén a szakértőnek igazolnia kell, hogy a megcélzott szakterületen rendelkezik-e a megfelelő tudással és erkölcsi bizonyítványt tud csatolni kérelméhez. A szakmai igazolás lehet más szervezetnél megszerzett szakértői szintű jogosítvány (pl. igazságügyi szakértő, CISA vizsga, bírósági eseti szakértő stb.) vagy olyan meggyőző kérelem, mely alapján a szervezet vezetője a műszaki felelős javaslata alapján dönt az illető szakértői listára történő felvételéről. A meggyőző kérelem azt jelenti, hogy az illető a terület elismert szakértője egyetemi oktatóként, doktori fokozatot szerzett a területen, publikációs listája alapján vagy eddig végzett munkái okán. A függetlenség elvének őrzése miatt óvatosan kell eljárni a céges elkötelezettségű szakértőkkel és felvételi kérelmükkel. A listára kerülésük nem tiltott, ha az adott szakterületen valóban megfelelő tudással vagy igazolással rendelkeznek, de megkeresésükkor figyelni kell arra, hogy az adott bejelentés és a szakértő elkötelezettsége jelenthet-e összeférhetetlenségi problémát. Egyértelműen nem eldönthető esetben a bejelentéstevőt is be kell vonni, hogy hozzájárul-e a bejelentés adott szakértőhöz való továbbítására. Amennyiben nem, úgy a rendelkezésre álló erőforrásokkal és emberanyaggal kell megoldani a bejelentés kezelését. A szakértők véleményével a szervezetnek is egyet kell értenie, ha ez alapján jár el a továbbiakban, így a későbbi reklamációkkal kapcsolatban a szervezetnek kell eljárnia, nem vonhatja ki magát a szakértő és a bejelentő közötti kommunikáció átadásával. Adott szakértő listáról történő levételéről a szervezet saját hatáskörében dönt (szervezeten belül bárki kezdeményezheti, de a műszaki felelős véleménye alapján a szervezet vezetője dönt).

3.3 Belső oktatás A minőségbiztosítási rendszernek megfelelően rendelkezni kell a munkatársak belső oktatási tervéről (előzetes féléves terv), és ennek részévé kell tenni a szervezeten belül felgyülemlő tapasztalatok megbeszélését és terjesztését az operátorok között. Ezáltal válik lehetségessé a különböző műszakok során szerzett tapasztalatok elterjedése5 is. Ld. még T6 pontját. Az új belépők számára is biztosítani kell oktatást, melynek végeztével tett sikeres vizsga esetén kerülhet az adott operátori munkakörbe a munkatárs. Az év során a szakmai szint és a csapattréning erősítése érdekében játékos helyzetgyakorlatok vagy célfeladatok által motivációs tényezőkkel támogatva külön feladatok kiadása is ajánlott, mely nem a versenyszellemet, hanem az egymáshoz rendelt csapatok szakmai tudását gyarapíthatja6. A napi teendők között szerepel a különböző biztonsági eseményeket taglaló hírforrások (elektronikus és papíralapú) áttekintése és kivonatolása. Ezt végezheti a műszak elején kijelölt operátor, de a kijelölés ne essen mindig ugyanarra az operátorra (ajánlatos a hetente történő csere).

3.4 Keresztkontroll Az esetleges tévedéseket ki lehet deríteni, de a minőségbiztosítás része is az, ha valamilyen keresztkontroll vagy jóváhagyás/megerősítés megoldás kerül alkalmazásra írott anyagok és szakmai tevékenységek esetében.

5

Biztonsági szempontból alkalmazható a műszakösszetételek szándékos változtatása, így az információáramlás is könnyebb lesz a különböző műszakokban szerzett tapasztalatok tekintetében. 6 Irányadók a kooperatív tanulási módszertanok, melynek egyik fő eredménye a tudásszintek emelése és felzárkóztatása.  IHM-MTA-E4-3.doc

24/296

MTA SZTAKI; E4 - 4671/4/2003


Bárki készítsen olyan írott anyagot, mely kikerül a szervezet honlapjára, másik szervezetbeli személy által ellenőrzésre és elolvasásra kell kerülnie. Az ellenőrzést (pl. adott parancsok helyesek, valóban az történik, ami a leírásban szerepel) végezheti azonos vagy alacsonyabb szinten dolgozó is, de az elolvasás (kvázi bírálat) felettes által kerülhet elvégzésre majd jóváhagyásra. Javítás vagy újabb verzió esetén is ez az eljárás követendő, kiemelve, hogy az előző verzióhoz képest mi került javításra vagy átírásra. A keresztkontroll „intézménye” része a minőségbiztosítási rendszernek is, ahol a szabályzatok, bizonylatok és minden ügyfeleket érintő tevékenység valamilyen módon ez alá van vonva. A tevékenységeknek van felelőse, végrehajtója és ellenőrzője, jóváhagyója vagy elfogadója.


25/296

MTA SZTAKI; E4 - 4671/4/2003


4 Az infrastruktúra Jelen esetben közvetlenül az infrastruktúrába tartozónak értjük az informatikai eszközöket, míg közvetetten az informatikai eszközök működéséért felelős eszközök is ide tartoznak, így ezek is említésre kerülnek.

4.1 Informatikai eszközök A szolgáltatás ellátáshoz megfelelő eszközparkra és terhelésnövekedés vagy vészhelyzet esetén megfelelő módon és időben igénybe vehető tartalékeszközökre van szükség. Az eszközpark alkotóelemei a szerverek (pl. adatbázis, Web, E-mail), a kliensek (nem homogén rendszer, többféle operációs rendszerrel és alkalmazás-felszereltséggel). Mivel ezek a szerverek érzékeny adatokat kezelnek, ezért fontos minden adatkezelési ponton az adatvédelmi szabályok betartásán túl az ügyfelek tájékoztatása (pl. telefonos bejelentéskor figyelemfelhívás a beszélgetés rögzítéséről, Web-szerveren adatvédelmi nyilatkozat), hogy adataik milyen módon kerülnek kezelésre.

4.2 Informatikai rendszert kiszolgáló eszközök Az informatika maga is kiszolgáló tevékenységet folytat, de az informatikát is ki kell szolgálni, hogy kiszolgáló tevékenységét elláthassa. A kiszolgáló eszközök három fő csoportját különböztethetjük meg:  Energiaellátás: szünetmentes tápegységek, tartalék rendszerek, túlfeszültségvédők, egyéb zavartalan ellátást biztosító eszközök.  Kommunikáció: telefon (mobil és vezetékes), fax, személyi hívó, CB-készülék 7, melyeken előnyben kell részesíteni a titkosított kommunikációra képes változatokat.  Adatkezelés: hordozók (papír – ld. dokumentumkezelés, rack, pendrive, CD/DVD – írható, újraírható, ZIP-drive, DAT-kazetta, memóriakártya stb.) és megsemmisítők (különböző hordozók esetén különböznek a megsemmisítők is). Biztonsági megoldások Külön kell foglalkozni a biztonsági eszközökkel, mert ezek a kiszolgáló tevékenység mellett a védelmi tevékenységeket is befolyásolják. Nem a „security by obscurity” (titok általi biztonság) elve alapján kell kezelni a biztonsági megoldásokat, azonban megfontoltan kell megállapítani azok körét, akik az adott megoldás részleteit ismerik 8. Az informatikai biztonsági szabályzatból mindenki számára ki kell derülnie, hogy munkavégzésével kapcsolatosan mire kell figyelemmel lennie, és mit kell betartania. A kiszolgáló biztonsági megoldásokat a következők szerint csoportosítjuk (néhány példával illusztrálva):  fizikai védelem: a szervezet környezete (épület, megközelíthetőség, valószínű fizikai káresemények, mint árvízveszély vagy éppen tömegdemonstráció közeli helyszínen), belső védelem (elektromágneses és egyéb kisugárzás és lehallgatás elleni árnyékolás és védelem, beléptető rendszer, zónarendszer, iratmegsemmisítők), 7

Nem biztos, hogy mindegyik forma el is érhető és alkalmazásban van. A „need to know” elve alapján mindenki annyit tudjon, ami szükséges és elégséges a munkavégzéshez. A hierarchikus elvet (minél magasabban van a céges hierarchiában, annyival több jogosultsága legyen) kerülni kell! 8


26/296

MTA SZTAKI; E4 - 4671/4/2003


 logikai védelem: tűzfal és vírusvédelmi megoldások, egyéb biztonsági megoldások (jelszótárolók, titkosított kommunikációt biztosító alkalmazások),  adminisztrációs védelem: iratmegsemmisítés módja.

biztonsági-,

jelszó-,

üresíróasztal-politika,

4.3 Tárolás Az adattárolás több formában is megvalósulhat, így az infrastruktúrában fontos szerepe van akár élő, akár archivált adatról van szó. Az adattárolás szerteágazó és különleges szabályok alapján fedhető le teljes mértékben, ebben a részben csak az alapelveket rögzítjük. Az adatkezelésben az adatvédelmi törvény9 az irányadó, de a szervezet speciális szolgáltatásai és ügyfélköre miatt egyéb jogszabályok is figyelembeveendők (ld. 6 fejezet). A munka során minden alkalmazott köteles betartani az üresíróasztal-politikát, ami „egy mélyebb filozófiát takar, nevezetesen azt az elvet, hogy a munka során előkerült és használt információk biztonságáért a munkavégző személy a felelős, és ezt a felelősséget nem hagyhatja figyelmen kívül, amikor – akár csak pár percre – magára hagyja a munkakörnyezetet”.10 Ezzel a „betekintés-jellegű” támadások ellen is védekezünk, valamint a rendre nevelés pozitív hatásait is erősítjük. A politika része az eszközök használata is, hiszen egy csak munkahelyen alkalmazandó eszközre (rack-es háttértár, telefon, token, digitális aláírásra alkalmas kártya stb.) is vonatkozik az elv. Külön kiemelendő a háttértárak tárolása, hiszen a saját munkaállomásban használt külön elzárható háttértárak esetén azok napi felvétele és leadása is csak pontosan szabályozott módon történhet. Ezen túlmenően az ilyen háttértáron lévő telepített rendszerek használata is ebbe a szabályzatba sorolható azzal a különbséggel, hogy ezek a rendszerek nem mindig egyazon felhasználó által kerülnek használatra. A dokumentumkezelésben a minőségbiztosítási rendszer is segít, így az iktatás, a verziószámok, a dokumentum-kísérőlapok, a kiosztási lista és egyéb elemek a rendszerezettségen túl a biztonság megőrzését is segítik. A fentebb már említett tokenek, kártyák és egyéb hasonló eszközök esetében (a belépőkártya kivételével) a munkakezdés előtti felvétel és munkavégzés utáni leadás rendszer alkalmazása miatt ezeknek az eszközöknek a tárolása úgy működik, hogy a felvételhez és a leadáshoz szükséges egy felelős aktív részvétele, de a tulajdonos jelenléte nélkül ő sem tudja ezeket az eszközöket magához venni (pl. kétkulcsos láda alkalmazása).

4.4 RTIR – Az incidenskezelő eszköz Nyilvánvaló, hogy a beérkező bejelentéseket valamilyen rendszerrel kezelni kell, amely bizonyos automatizmusokat vezet be, annak érdekében, hogy a munka elvégzését megkönnyítse azáltal, hogy segít a történések dokumentálásában, a bejelentések osztályozásában, a régebbi adatok keresésében, ill. olyan integrált eszközöket bocsát rendelkezésre, amelyek segítenek a probléma gyors megoldásában. Ezt a funkcionalitást a Best Practical Solutions által fejlesztett és karbantartott Request Tracker for Incident Response (továbbiakban RTIR) szoftver biztosítja. Az RTIR a Request Tracker-re épülő incidenskezelő eszköz, amelyet a JANET CERT-tel együttműködve fejlesztenek 11, kifejezetten a CERT-ek igényeihez igazítva. Mivel a munka nagy része ebben a rendszerben zajlik, szükségszerű 9

1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról Forrás: Biztostű portál (http://www.biztostu.hu) 11 JANET = Egyesült Királyság oktatási és kutatói számítógép-hálózata. 10


27/296

MTA SZTAKI; E4 - 4671/4/2003


felépítésének, működésének, szolgáltatásainak, logikájának ismerete. Ennek a fejezetnek célja ezek számbavétele. Ismertetés Az RTIR egy webes felületen, bármilyen modern böngészőből elérhető rendszer. Alapját az un. „jegy” (ticket) képezi. Minden jegy egy adott problémához tartozó adatokat, ill. a rendszer által hozzá rendelt egyéb jellemzőket (metadata), – pl. tulajdonos, fontosság – tartalmaz, természetesen az egyes jegyek között különböző kapcsolatok lehetségesek. A rendszer alapvető működési logikája igen egyszerű: Ha beérkezik egy bejelentés, akkor az automatikusan rögzítésre kerül, majd emberi beavatkozás segítségével el kell dönteni, hogy a jegyet fel kell-e dolgozni, vagy el kell utasítani. Ha a bejelentésben vázolt problémát meg kell oldani, akkor lehetőség van arra, hogy ezt hozzácsatoljuk egy már létező esethez. A jegyek fontosabb tulajdonságai az alábbiak:  Megfigyelő (watcher) – Valaki, akinek valamilyen köze van a jegyhez. A következő szerepkörökbe sorolhatjuk őket: o Tulajdonos (owner) – Az a személy, aki felelős a jegyért és annak megoldásáért. Minden jegynek csak egy tulajdonosa lehet. o Bejelentő (requestor) – Valaki(k), aki(k) kért(ek) valamit; tulajdonképpen a jegy létrehozója. o CC – Akik másolatot kapnak a jegyre adott összes válaszról. Nem szükségszerűen van joguk dolgozni a jegyen (pl. A bejelentő osztályvezetője). o AdminCC – Olyan CC, aki a megjegyzésekből is kap másolatot, és általában joga van dolgozni a jegyen.  Státusz (Status) A jegy osztályozására szolgál, értéke a következők valamelyike lehet: o Új (new) – újonnan létrehozott jegy, amihez még senki nem ért hozzá. o Nyitott (open) – a jegyen valaki dolgozik. o Várakozó (stalled) – rajtunk kívülálló okok miatt (pl. válaszra várakozás külső féltől) éppen nem történik semmi a jeggyel. Amint valaki frissíti a jegyet, megint nyitottra fog változni az állapota. o Megoldott (resolved) – a jegy megoldásra került. o Visszautasított (rejected) – a felvetett probléma nem kerül megoldásra (pl. mert nem a mi hatáskörünk), de valami miatt mégis érdemes megtartani a rendszerben. Mondjuk valaki valamilyen képtelenséget kér, a jegyet nem kell megoldani, de az adatbázisban nyoma marad a kérésének. o Felhagyott (abandoned) – Olyan jegy, amelyen annak ellenére, hogy nem került megoldásra, nem folyik további munka, vagy, mert a megoldásra irányuló törekvések kudarcba fulladtak, vagy mert előző tulajdonosuk valamilyen oknál fogva nem tudja tovább kezelni. o Törölt (deleted) – Olyan jegy, amelynek semmi keresnivalója nincs a rendszerben – pl. spam.


28/296

MTA SZTAKI; E4 - 4671/4/2003


Az RTIR rendszerben a jegyek osztályozására az un. sorok szolgálnak. Minden sor egyfajta gyűjtőhelye az azonos típusú jegyeknek. A rendszerben négy különböző sor található, ezek rendre a következők:  Bejelentések (Incident reports) – Ebbe a sorba kerülnek az új bejelentések. Emberi beavatkozással kell eldönteni, hogy új jegyként átkerüljön-e a problémák közé, hozzá kell csatolni egy már létező problémához, vagy valamilyen módon el kell dobni  Problémák (Incidents) – A megoldásra váró problémák. Minden ilyen jegy tulajdonképpen gyűjtőhelye a hozzá kapcsolódó összes bejelentésnek, blokknak, vizsgálatnak. Ilyen módon tulajdonképpen ezek a jegyek jelentik a rendszer szívét, a másik három sor némiképp alárendelt feladatot játszik, a problémák megoldásában felmerülő feladatok állapotának áttekinthető dokumentálására valók  Vizsgálatok (Investigations) – Ha egy probléma megoldásához vizsgálatra kell felkérnünk külső felet, akkor egy, ebben a sorban létrehozott, az eredeti jegyhez kapcsolódó jegyen keresztül tehetjük meg  Blokkok (Blocks) – Amennyiben egy probléma kapcsán hálózati szabályozásra (pl. hálózat blokkolására) van szükség, a megfelelő jegyek itt kerülnek létrehozásra. Mivel az RTIR feladata az adatok kezelése, nem várható el tőle, hogy egy tetszőleges hálózathatár védelmi rendszert automatikusan tudjon frissíteni, ezért az ebbe a sorba bekerülő jegyeket a sor AdminCC mezőjében megadott hálózatüzemeltetési csoportnak is meg kell kapnia, hiszen az ő feladatuk ezeknek a kéréseknek a végrehajtása. A jegyek életútja a rendszerben Az elméleti alapok tisztázása után érdemes megvizsgálni, mi is történik egy jeggyel, amíg a rendszerben tartózkodik. A folyamat könnyebb megértése érdekében az alábbi szöveges ismertetés mellett célszerű az „Ábra 2. Bejelentések kezelésének folyamata” folyamatábrát is tanulmányozni. Az első lépés egy jegy életében természetesen a keletkezése. Az RTIR rendszerbe alapvetően két úton kerülhetnek új jegyek:  Emailben történő bejelentés: Amennyiben valaki bejelentést küld a rendszer beállított e-mail címére, a rendszer részét képező un. e-mail gateway automatikusan létrehoz egy jegyet a bejelentések sorban (ill. egy új felhasználót a bejelentőnek, ha még nincs).  Egyéb úton történő bejelentés: Ha a bejelentés telefonon – vagy más úton – történik, akkor azt kézzel kell bevinni a rendszerbe. Akkor is meg kell ezt tenni, ha a probléma már ismert, hiszen: o Bejelentés nem hagyható figyelmen kívül. o A bejelentő így automatikusan értesülhet a problémával kapcsolatos minden őt is érintő információról Miután a jegy bekerült a bejelentések közé, „új” állapotban várakozik addig, amíg valaki meg nem vizsgálja. Ekkor először azt kell eldönteni, hogy szükséges-e a jeggyel foglalkozni. Ha nem, mert nem tartozik a szervezet hatáskörébe, spam stb., akkor az indok megjegyzésben (vagy, ha szükséges válaszban) történő megjelölése után el kell utasítani. Amennyiben a bejelentést fel kell dolgozni, a következő eldöntendő kérdés, hogy ismert-e már a probléma (esetleg egy már ismertet egészít ki újabb információkkal), vagy sem. Az első esetben hozzá kell csatolni az ismert problémához, az utóbbiban pedig új problémát kell számára létrehozni. (Megjegyzendő, hogy bár lehetőség lenne közvetlenül a bejelentésekkel történő munkára, a


29/296

MTA SZTAKI; E4 - 4671/4/2003


rendszer logikája azt diktálja, hogy így legyenek a jegyek kezelve, mivel ellenkező esetben a rendszerben tárolt adatok átláthatatlanná válnának.) Innen kezdődik a tulajdonképpeni problémamegoldás, amelynek keretében az első lépés annak eldöntése, hogy a hálózat védelme szempontjából szükséges-e blokkok elhelyezése. Ha igen, akkor az adott problémához kapcsolódóan kell készíteni egy új jegyet a Blokkok között. Ezután meg kell vizsgálni a problémát, és ha szükséges, külső fél vizsgálatát kell kérni, a Vizsgálatok sorban létrehozott jeggyel. Ekkor a probléma felfüggesztett állapotba kerül, egészen addig, míg válasz nem érkezik a külső féltől. A problémakezelés végén, a jegyet le kell zárni, vagy a további munkát fel kell adni (ha a probléma megoldása sikertelen volt). Természetesen elképzelhető, hogy egy már lezárt jegyről kiderül: a probléma mégsem oldódott meg. Ilyenkor a jegy újra megnyitható és ismételten végighaladhat a problémamegoldás folyamatán.


30/296

MTA SZTAKI; E4 - 4671/4/2003


Ábra 2. Bejelentések kezelésének folyamata


31/296

MTA SZTAKI; E4 - 4671/4/2003


A rendszer használatának folyamata Mint látható, egy jegy életútja a rendszerben viszonylag egyszerű, könnyen követhető folyamat, azonban a rendszert használóknak nem csak egy jeggyel kell dolgozniuk, ezért szükséges a rendszer használatakor alkalmazott munkafolyamat áttekintése is. Ehhez az „Ábra 3. A bejelentések kezelésének munkafolyamatai” folyamatábra nyújt segítséget. Természetesen ez az ábra csak egy lehetséges lépéssorozatot mutat be, hiszen a való életben szükség lehet az itt bemutatottól eltérő lépésekre is, ha a helyzet úgy kívánja, ill. az ábra bizonyos pontjaiból adott esetben át lehet ugrani annak egy másik pontjára, azonban ennek ábrázolása már az érthetőség rovására menne, ill. szükségtelen is, hiszen a rendszer logikáját ismerő számára (remélhetőleg) az értelmezés nem jelent problémát. Könnyen felismerhető, hogy a folyamatok szervezésének fő szempontja a munkák sorrendjének meghatározása. A lényeg a fontos esetek mielőbbi megoldása, és a többi problémára történő lehető leggyorsabb reagálás, majd megoldás biztosítása. Ennek megfelelően először, ha ilyenek vannak, azokkal a problémákkal kell foglalkozni, amelyek megoldása a mi felelősségünk, és fontosak, vagy már közelít a határidejük. A problémával foglalkozó részmunkafolyamat (az ábra bal oldala) természetesen szinkronban van a jegy életútját bemutató folyamattal, csak ezúttal az ember, nem pedig a jegy szempontjából került ábrázolásra. A következő azoknak a bejelentéseknek a vizsgálata, amelyek még senkihez sem rendeltek, ill. valamilyen oknál fogva még nem kerültek besorolásra. Ezekről el kell dönteni, hogy kell-e velük foglalkozni, ha igen, akkor ismert problémához kapcsolódnak-e? Amennyiben igen, úgy hozzá kell csatolni a bejelentéseket ezekhez, ha nem, akkor új problémát kell létrehozni, és meg kell határozni a hozzá tartozó prioritást (bővebben ld. 5.2). Bár elsőre logikátlannak tűnhet a bejelentések osztályozásának előre vétele a problémamegoldásokkal szemben, azonban ez biztosítja, hogy a problémákkal kapcsolatos összes információ a lehető leggyorsabban bekerüljön a rendszerbe, egyrészt a pótlólagos információval megkönnyítve a megoldást, másrészt segít abban, hogy egy esettel lehetőleg csak egyszer kelljen foglalkozni. A bejelentések osztályozása után a saját problémák vizsgálata következik, a már megismert irányelvek alapján. Amennyiben sem kezeletlen bejelentés, sem foglalkozást igénylő probléma nincs, úgy még mindig ott a lehetőség mások jegyeinek átnézésére, hátha meg lehet könnyíteni a többiek munkáját.


32/296

MTA SZTAKI; E4 - 4671/4/2003

Szervezet – szabályzat

Ábra 3. A bejelentések kezelésének munkafolyamatai


33/296

MTA SZTAKI; E4 - 4671/4/2003


Kommunikáció a rendszerrel Az RTIR rendszer részét képezi egy e-mail gateway program, aminek az a feladata, hogy a rendszerbe érkező, ill. onnan kimenő leveleket eljuttassa az MTA-hoz (Mail Transport Agent). E program képes arra, hogy a beérkező levelet egy adott jegyhez társítsa. Ezt két módon kísérli meg elérni. Egyrészt úgy, hogy a levél tárgyában szerepelteti a jegy számát, így a rendszerrel kommunikálni akaró ember közvetlenül is hivatkozhat erre, másrészt pedig a levél fejlécébe tesz „In-Reply-To:”, ill. „RT-Ticket:” fejléceket, hogy minél biztosabban azonosítani tudja, melyik jegyhez tartozik a hozzászólás. Az RTIR természetesen vizsgálja, hogy kinek van joga, egy adott jegyhez hozzászólni. Mindezen túl lehetőség van arra is, hogy a rendszerbe ne csak a bejelentő küldhessen további email-eket, hanem megjegyzéseket ill. válaszokat is küldhetünk a külön ezekre a célokra beállított email címekre. A rendszer szolgáltatásai Az alábbiakban röviden áttekintjük azokat a „kényelmi” szolgáltatásokat, amelyeket az RTIR nyújt. Ennek a fejezetnek nem célja, hogy e szolgáltatások használatát ismertesse, csupán hogy ezek meglétéről, ill. funkciójáról tájékoztatást adjon. A használat részletesebb ismertetése külön anyagban érhető el. Az egyik legfontosabb szolgáltatás a „Jegytörténet”: egy jegy megtekintésekor láthatóvá válik az összes esemény, amely a múltban történt vele. Tehát látszik a jegy összes frissítése, állapotváltozása, ill. bármely járulékos adat megváltozása. A rendszer másik fontos tulajdonsága a jegyek közötti kapcsolatok kezelése. Lehetőség van a jegyek közötti kapcsolatteremtésre, szülő – gyerek kapcsolatok kiépítésére. Ez azzal az előnnyel jár, hogy a szülő jegyből gyorsan elérhető a hozzá kapcsolódó összes gyermek, illetve, hogy ezeknek bizonyos tulajdonságait a rendszer automatikusan átállítja a szülő megváltoztatásakor. Pl. egy probléma lezárásakor lezáródik az összes olyan bejelentés, ami hozzá kapcsolódik. Furcsa lehet, hogy a rendszerben mindig a probléma sorba tartozó jegy a szülő, holott a legtöbb ezek közül egy bejelentésből jön létre, ami pedig mindig gyerek. Azonban a probléma bejelentésből történő létrehozása tulajdonképpen csak az adatok átmásolása, az elvégzendő munka minimalizálását segítendő. A rendszer logikája miatt a különböző jegytípusok egymásból való létrehozhatósága korlátozva van. A megengedett eseteket az alábbi, egyszerű ábra mutatja be:

Ábra 4. Jegytípusok keletkezési lehetőségei


34/296

MTA SZTAKI; E4 - 4671/4/2003


Mint látható, vizsgálatokból és blokkokból nem lehet semmit sem létrehozni, hiszen ezek mindig egy adott problémához kapcsolódnak. Ez az oka annak is, hogy nem hozhatók létre bejelentésekből sem. Az RTIR lehetőséget biztosít több jegy egybeolvasztására is. Ilyenkor a beolvasztott jegyre vonatkozó kéréseket, hivatkozásokat automatikusan átirányítja az új jegyre, megőrizve ezzel az adatok konzisztenciáját. Ennek a folyamatnak az ellentéte is elérhető, vagyis egy jegyet kétfelé is lehet választani. Erre például akkor lehet szükség, ha egy bejelentő e-mailben több probléma is felvetődött, vagy egy problémáról kiderül, hogy két megoldandó feladatra bontható. Ugyancsak a gyors munkát segítik elő az integrált keresési funkciók. A rendszer a potenciális adatokból a felhasználói felületen linket készít, így gyorsan elérhetővé válnak a kapcsolódó jegyek az összes sorban. Az RTIR tartalmaz beépített whois és traceroute szolgáltatásokat is. A rendszerben ezek eredménye is megjelenik, de a szolgáltatások emellett természetesen külön is elérhetők. Nagy mennyiségű adatfeldolgozás mellett mindenképp szükséges statisztikai adatok generálása is, hogy a munka eredményessége mérhető legyen. E feladat két módon is megoldható. Az egyik az RTIR részét képező jelentés generátor, amely szöveges vagy HTML formátumban közöl adatokat egy adott időszak alatt beérkezett és megoldott/meg nem oldott bejelentésekről, ill. ezek szolgáltatási idő-intervallum szerinti megoszlásáról. A másik eszköz egy beépülő statisztikai modul, amely táblázatos és grafikus formában a következő adatokat gyűjti össze:  Egy sorra nézve a létrehozott / megoldott / törölt jegyek száma, napi bontásban.  Az új /nyitott / felfüggesztett jegyek jelenlegi száma, soronként.  A létrehozott / megoldott / törölt / felfüggesztett tulajdonságú jegyek közül valamelyiknek a több sorra vonatkoztatott adatai, napi bontásban.  Egy sorra nézve a létrehozott / megoldott / törölt jegyek száma, napi bontásban az elmúlt héten.  A jegyek megoldásának átlagos ideje, napi bontásban.  Egy sorra vonatkoztatott megoldási idő eloszlás. Kötegelt vizsgálatkérés A hálózati incidenskezelés világában gyakran szükséges, hogy egy probléma kapcsán számos külső féllel lépjünk kapcsolatba. Ha pl. egy új féreg kezd terjedni, szinte biztos, hogy rengeteg jelentés fog befutni egyrészt a zaklatottaktól, másrészt a behatolás-érzékelő eszközöktől. Hasonló a helyzet egy DDoS (megosztott szolgáltatásmegtagadásos támadás) kivizsgálása kapcsán is. Ezekben az esetekben egy sablon e-mail elküldésére van szükség számos e-mail címre, ráadásul ezek a címek legtöbbször nem is állnak közvetlenül rendelkezésre, hanem egy whois adatbázisból kell őket megkeresni IP cím alapján. E feladat manuális végrehajtása időigényes feladat. Ahhoz, hogy ezek az e-mailek beleilleszkedjenek az RTIR rendszerbe, mindegyikhez létre kell hozni egy problémát és egy vizsgálatot, ami tovább növeli a felesleges robotolással eltöltött időt. A rendszernek ezért van olyan szolgáltatása, amely mindezeket elvégzi helyettünk. Megadott IP címek alapján kikeresi a whois adatbázisból egy adott mezőből az értékeket, de közvetlenül e-mail címek is megadhatóak. A kimenő levelekbe változók helyettesíthetők be, ami lehetővé teszi címenként a releváns információk beágyazását. Mivel a publikus whois adatbázisokban elég nehéz kiválasztani egy mezőt, ami minden esetben tartalmazza az eset kapcsán értékes e-mail címet, a saját ügyfeleinkre vonatkozó adatokat érdemes egyéni, jól meghatározott mezőkkel ellátott adatbázisban tárolni.


35/296

MTA SZTAKI; E4 - 4671/4/2003


4.5 Egyéb eszközök Az RTIR egy meglehetősen komplex rendszer, ezért működése több egyéb szoftverre épül, az alábbiakban ezek számbavétele következik:  HTTP szerver: mivel az RTIR webes felületen működik, szükség van olyan felületre, amin keresztül elérhetővé válik. A szerverrel szemben követelmény, hogy rendelkezzen mod_perl vagy FastCGI modullal. Mivel a világ egyik legrobosztusabb http kiszolgálója az Apache, továbbá a fejlesztők is ezt használják, mindenképpen ennek a használata javasolt.  Adatbázis szerver: Mint szinte minden nagyobb mennyiségű adattal dolgozó program, az RTIR is relációs adatbázisban tárolja az információkat. Jelenleg a Mysql, Postgresql, Oracle, Informix és SQLite platformok támogatottak, azonban ezek közül az utolsó három jelenleg még csak béta állapotú, továbbá a program fejlesztése elsődlegesen Mysql környezetben zajlik, így ennek használata javasolt.  Levelező kiszolgáló: Ahhoz, hogy a rendszerből kifelé, ill. az abba befelé áramló leveleket kezelni lehessen, szükség van egy MTA-ra (Mail Transport Agent). Mivel gyakorlatilag az összes – Unix-szerű rendszeren futó – MTA biztosít sendmail kompatibilis illesztő-felületet, az RTIR-nek pedig erre van szüksége, ezért csaknem bármelyik MTA használható. A választásnál érdemes azonban figyelembe venni, hogy ajánlott a spam és vírusszűrők használata (lásd később), amit szintén az MTA-n keresztül praktikus megoldani.  Kéretlen levelek szűrése: Az Internetet egyre súlyosabban érinti a mindenhova eljutó kéretlen levelek áradata. Különösen súlyosan érint ez olyan e-mail címet, amely széles körben ismert, márpedig a Szervezet levelezési címe ilyen. Így feltétlenül szükséges a beérkező levelek automatikus szűrésére. Erre alapvetően két módszer használható. Az első olyan szűrők használata, amelyek az e-mailek tartalma alapján próbálják meghatározni, hogy egy levél spam-e. A másik megoldás a megerősítés kérésén alapszik. Ennek értelmében, ha olyan e-mail címről jön levél, ami a rendszerben még nem ismert, akkor az addig nem kerül továbbításra, amíg a küldő nem erősítette meg, hogy ő küldte a levelet. Ezt azonban elég egyszer megtennie, és címe bekerül az adatbázisba, ami után már küldhet levelet. Ez a módszer biztosabb, mint a tartalomelemzés, de két kisebb hátránya is van. Az egyik, hogy – bár minimális, de – járulékos feladatot ró a másik félre. A másik hátrány az, hogy egy ismert cím nevében küldött levél átjut a szűrőn. A legbiztosabb megoldást a vázolt két megoldás együttes használata jelentheti.  Vírusszűrő: Hasonlóan a kéretlen levelekhez, rengeteg vírusos levél is terjed az Interneten, amelyeknek rendszerbe jutását meg kell akadályozni. Erre is alkalmazható olyan szoftver, ami a levél tartalmát vizsgálja vírusok után kutatva, azonban a fentebb leírt megerősítésen alapuló módszert használva a kéretlen levelek szűrésére, erre a megoldásra gyakorlatilag nincs szükség, hiszen a vírusos e-mailre nem fog megerősítő válasz érkezni, ilyen szempontból a spam és a vírus egyformán kezelhető.  Tűzfal: A rendszert meg kell védeni az illetéktelen külső behatolásoktól. Mivel – rendes körülmények között – az RTIR-t futtató rendszer jól behatárolható szolgáltatásokat nyújt a külvilág felé, ezért egy csomagszűrő, állapotfigyelő tűzfal segítségével jól védhető. A legtöbb UNIX-szerű operációs rendszer kínál erre saját megoldását.  Biztonsági másolatok: Az adatbázisról készülő biztonsági másolatok készítésére az RTIR-ben nincsen külön megoldás, hiszen az adatbázis kezelők mindegyike rendelkezik saját megoldással, ami viszonylag egyszerűen használatba vehető. Mindenképp  IHM-MTA-E4-3.doc

36/296

MTA SZTAKI; E4 - 4671/4/2003


szükséges az adatbázis rendszeres biztonsági mentése, amit célszerű földrajzilag is elkülönülten őrizni. (ld. még a 2.4 fejezetet!).


37/296

MTA SZTAKI; E4 - 4671/4/2003


5 A napi tevékenység módja A napi tevékenységek közé tartozik a támogatásnyújtás, a kommunikáció, a munkarend betartása, és a remélhetőleg ritkán, de mégis bármelyik nap bekövetkezhető katasztrófaterv szerinti riasztás és annak a rendje. Mindez szabályozott módon folyhat.

5.1 A támogatásnyújtás módjai A CERT működésének egyik alapja a megfelelő kapcsolattartás mind a bejelentéseket tevőkkel, mind a többi CERT-tel. Ehhez arra van szükség, hogy a kommunikáció ne „ad hoc” alapon működjön, hanem jól szabályozott keretek között. A keretek meghatározásának alapját a kommunikációs csatornák definiálása jelenti. Meg kell határozni, hogy kivel, mikor és milyen formában lehet vagy kell kommunikálni. Alapvetően kétféle kommunikációs csatorna különböztethető meg: be- és kimeneti. A bemeneti csatornák célja, hogy a rajtuk keresztül érkező bejelentések bekerüljenek az incidenskezelő rendszerbe. Ezek a bejelentések lehetőleg tartalmazzák a probléma megoldásához szükséges összes információt. Az egyes bejelentés-típusokhoz kapcsolódó bekérendő információkat a 10.4 melléklet tartalmazza. Bemeneti csatornák A bemeneti csatornák a következők lehetnek: (a) Telefonos bejelentés: Amennyiben egy bejelentés telefonon keresztül érkezik, az operátor feladata, hogy az összes szükséges információra rákérdezzen, majd ezt a bejelentést az incidenskezelő rendszerben rögzítse. Ennek – a rendszer logikája szerint – az adatok áttekinthetőségének érdekében akkor is be kell kerülnie a bejelentések közé, ha a hiba egyedinek látszik, (ld. 10.4 fejezet). Ezekben az esetekben különösen fontos ügyelni arra, hogy az udvarias kommunikációra vonatkozó szabályok betartásra kerüljenek, hiszen a szervezetről kialakult képet az operátorok modora nagyban befolyásolja. A későbbiekben a bejelentéseket tároló jegyről egyértelműen eldönthető, hogy telefonos adatfelvétel során keletkezett-e. (b)

E-mailben történő bejelentés: Ezek a bejelentések automatikusan bekerülnek az incidenskezelő rendszer adatbázisába, az operátorok ezen keresztül értesülnek az új bejelentésről. Ez egyrészt kényelmessé teszi az ilyen bejelentések kezelését, másrészt viszont problémát rejt magában, mert a bejelentésben lévő adatok hiányosak lehetnek. Ennek elkerülésére két mód kínálkozik: a megelőzés, és a javítás. A megelőzés fő eszköze a bejelentő űrlapok, ill. ezek mind szélesebb körben történő használata. Ennek ellenére elkerülhetetlen, hogy olyan levelek kerüljenek a rendszerbe, amelyek elégtelen mennyiségű információt tartalmaznak. Ebben az esetben a bejelentő részére el kell küldeni az űrlapot (javítás), továbbá e levélben lehet kérni plusz információkat, ill. fel lehet hívni a figyelmet az űrlap bizonyos – a bejelentés szempontjából releváns – mezőire, amennyiben ez szükségesnek látszik.

(c)

Személyes bejelentés: Abban az esetben, ha a bejelentő személyesen keresi fel az operátorokat, a kezelés módja ugyanaz, mint a telefonos bejelentés esetében, azonban ezek a bejelentések a szervezet megítélésében még kényesebbek, ezért különös figyelemmel kezelendők. Továbbá megvan az a hátulütőjük, hogy a bejelentő nincs az incidens kezelésére alkalmas helyszínen, ezért a szükséges (plusz) információkat esetleg nem tudja szolgáltatni. Ebben az esetben szükséges az információ megszerzésének mikéntjéről és időpontjáról egyeztetni.

(d)

Webform: A Webes bejelentéshez használatos űrlap, mely a szükséges információkat tartalmazza. A minta a 10.4 mellékletben szerepel. A webform-ok alkalmazása kétirányú


38/296

MTA SZTAKI; E4 - 4671/4/2003


előnnyel jár. Egyrészt a bejelentő személy munkáját az űrlap nagymértékben segítheti azzal, hogy számos adat esetében csupán előre adott válaszok közül kell választania, továbbá az űrlap elküldése – elektronikus levél formájában – csak akkor történik meg, ha a bejelentő valóban minden fontos információt tartalmazó mezőt tartalmilag és alakilag helyesen kitöltött. Az űrlapok alkalmazásának előnye a Szervezet szemszögéből vizsgálva abban jelenik meg, hogy az egységes tartalmú elektronikus levelek operátorok általi feldolgozása egyszerűbb, gyorsabb, egyértelműbb lehet, mint az egyedi levelek osztályozása, amely a beérkező levélben – esetlegesen hiányosan – jelenlévő információ kikeresését igényli. (e)

Egyéb módon történő bejelentések: Bármilyen egyéb formában érkező bejelentés (pl. fax, esetleg postai levél) törekedni kell arra, hogy az összes releváns információ a rendszerbe kerüljön, majd tájékoztatni kell a bejelentőt az előnyben részesített „szabványos” bejelentési csatornákról.

Kimeneti csatornák A kimeneti csatornák arra szolgálnak, hogy a szervezet kapcsolatot tartson fenn a bejelentőkkel, társszervezetekkel, állandó vagy eseti együttműködő partnerekkel, ill. arra, hogy a nyilvánosságnak szánt adatait közzétegye. Ezek a csatornák a következők: (a) E-mail: Az elektronikus levél valószínűleg a leggyakrabban használt kimeneti kommunikációs forma. Nagy előnye hogy nem követeli meg a felektől az egyidejűséget, továbbá egyszerűen továbbítható rajta gyakorlatilag bármilyen adat. Van azonban egy hátránya is: megbízhatatlansága. Nem tudni, mennyi idő alatt érkezik meg egy levél a címzetthez, ha egyáltalán megérkezik. Emiatt a magas prioritású, fontos ügyekben nem használható – legalábbis önmagában semmiképpen sem. Ráadásul előnye egyben hátránya is, hiszen a nem közvetlen, visszaigazolás nélküli kommunikáció nem minden esetben megfelelő. A hitelesség és letagadhatatlanság biztosítása érdekében minden kimenő e-mailt elektronikusan alá kell írni, továbbá – ha a benne lévő információk ezt szükségessé teszik – titkosítani is kell (ld. még 8.7) (b) Telefon: Főként akkor kell használni, ha az adott kérdés megköveteli a megbízható átvitelt, vagy a közvetlen, azonnali kommunikációt, vagyis amikor az e-mail nyújtotta szolgáltatások nem elegendőek. (Természetesen a két forma kombinálható is.) E módszer alkalmazása – a felek személyes ismeretsége esetén – fokozza a probléma feldolgozása kapcsán fontos szerepet betöltő „bizalmi faktort” is, amely bizonyos intézkedések megtételét gyorsíthatja, vagy egyáltalán lehetővé teheti. Ügyelni kell azonban arra, hogy a telefon olyan – biztonsági szempontból – nyílt adatátviteli csatorna, amely minősített adatkezelést igénylő információk átvitelére általában nem alkalmazható. A telefon alkalmazása – nemzetközi hívás esetén – felvet(het)i még az időzónák kérdését is. Ezt akkor lehet figyelmen kívül hagyni, ha a hívott fél – a Szervezethez hasonlóan – ugyancsak 24/7 üzemben dolgozik. (c) Postai küldemény: Használatára csak akkor van szükség, ha a kommunikációnak kötelezően papíralapúnak kell lennie, mert azt az adminisztrációs rendszer, vagy a külvilággal történő kommunikáció megköveteli. (d) Publikálási csatornák: A tapasztalatok és a szakmai tudás alapján a szervezet publikációkat tesz közzé, melyek maximálisan figyelembe veszik az adatvédelmi törvényeket (az ügyfeleket nem érheti kár ügyükre vonatkozó adat nyilvánosságra kerülésével). A csatornák többfélék lehetnek:  Tudományos (elemző): az informatikai biztonság területén kutatói szemszögből nézve elért eredmények, és az incidens-kezelés témakörébe tartozó kutatás-fejlesztés (K+F) szakmai cikkei sorolhatók ebbe a csoportba.


39/296

MTA SZTAKI; E4 - 4671/4/2003


 Oktató (megelőző): az átlagos képzettségű felhasználó számára is érthető és alkalmazható tanácsok, leírások és segédanyagok köre.  Hírközlő (tényszerű): a megtörtént, vagy a trendekből várható események és a lehetséges védekezések tényszerű puszta hírközlő csatornája (pl. sajtótájékoztató, ld. d. pontját).

5.2 Prioritások Ahhoz, hogy a felmerülő problémák optimális úton kerüljenek megoldásra, meg kell határoznunk fontosságukat. Erre a besorolásra nem kerülhet sor szubjektív alapon, mindenképpen valamilyen objektív besorolási rendszerre van szükség. Ahhoz hogy egy ilyen kialakításra kerüljön, meg kell határozni, hogy milyen szempontok járulnak hozzá a fontossághoz. Esetünkben ezek a következők:  Érintettek köre: Különbséget kell tenni az alapján, hogy a probléma által érintettek bele tartoznak-e a szervezet által képviselt körbe, vagy nem. A képviseltek között is fel lehet állítani fontossági sorrendet.  Érintettek száma: Ugyancsak mérvadó, hogy egy ember problémájáról van-e szó, egy kisebb csoportéról, netán az egész képviselt kört érintő veszélyekről.  Probléma súlyossága: Meghatározandó, hogy a probléma fennállása milyen következményekkel jár, és ezek mekkora hátrányt ill. mennyi kárt okoznak az érintetteknek.  Érintett szolgáltatások száma: Nyilvánvalóan nem mindegy, hogy egy adott probléma hány szolgáltatás használhatóságát érinti.  Bejelentés óta eltelt idő: Ahhoz, hogy egy incidens ne jusson „jogtalan” előnyhöz egy másikkal szemben, valamilyen módon figyelembe kell venni a korukat, vagy a számukra kitűzött határidőt. E szempontok figyelembevételével kell tehát kialakítani egy olyan rendszert, amely alapján meghatározható, hogy milyen sorrendben kell foglalkozni a megoldandó esetekkel. Ezt a következő besorolási elvek valamelyike alapján lehet megtenni:  Prioritási sor: A problémákat kategóriákba kell sorolni (pl. levelezést, vagy weboldalt érintő problémák), és ezekből – a fenti szempontok figyelembevételével – kialakítani egy sort, amely alapján aztán a feladatok elvégzésének sorrendje meghatározásra kerül.  Fixpontos rendszer: A különböző szempontokat kell felbontani csoportokra, és a csoportokhoz pontértéket kell rendelni. Egy probléma prioritása az őt érintő pontértékek összege lesz.  Változópontos rendszer: Kezdetben úgy működik, mint a fixpontos rendszer, azonban az idő múlásával a pontok valamilyen szisztéma szerint (pl. az utolsó válasz óta eltelt idő) növekszenek (ill. esetenként csökkennek).  Vegyes rendszer: A problémákat kategóriákba soroljuk, azon belül viszont valamely pontozásos rendszerrel történik a sorrend megállapítása. A prioritások többféle szempont szerint kerülhetnek meghatározásra (ld.: Hivatkozások/(c) 3.7.6 fejezet táblázatát). A Szervezet számára kialakított táblázat a 10.3 mellékletben található.


40/296

MTA SZTAKI; E4 - 4671/4/2003


5.3 Incidensek életciklusa (RTIR támogatás) A beérkező és választ igénylő jelentésekre a vállalt határidőn belül (általában 24 óra) választ kell küldeni. Az incidens beérkezésétől annak lezárásáig terjed az incidens aktív életciklusa. Passzív életciklus alatt értjük a mentés és archiválás alatti időszakot. Az életciklus az incidens törlésével érne véget, de ez ritkán fordul elő, pl. akkor, ha kiderül, hogy téves volt a bejelentés vagy a rögzítés, de ebben az esetben is adott idő után kerül végleges törlésre az incidens, mert kiderülhet, hogy a tévesnek minősítés volt téves… Egy incidens megoldása sem jelentheti az életciklus végét, mivel későbbi előfordulás esetén is foglalkozni kell az adott problémával, még akkor is, ha egy pont ilyen incidens már megoldásra került, és az adott bejelentés már lezárt. Az életciklus-szemlélet szerint egy incidens a következő állapotokkal rendelkezhet:  Keletkezik: nem kell okvetlen megtörténnie egy incidensnek ahhoz, hogy a rendszerbe kerüljön; az incidenskezelésre való felkészülés állapota így is elkezdődhet (pl. egy operációs rendszerben talált súlyos hiba nyilvánosságra kerülése és a hiba kihasználása időben nagyon távol is lehet egymástól, de a hiba és a potenciálisan okozható incidens felvehető a rendszerbe12). Az incidens így lehet talált (a Szervezet talál rá valamilyen forrásban vagy módon), észlelt (a Szervezet észleli aktív munkája vagy az érzékelők által) vagy bejelentett (a Szervezet bejelentést kap az incidensről).  Kezelés alatt álló: ekkor kezdődik a bejelentés fejezetben részletezett élete.  Tárolt: mentett (tudás-/adatbázisban), archivált (későbbi visszakeresés, visszatöltés esetére) vagy publikált (pl. Web-szerveren).  Újra felbukkanó: (ekkor van szerepe az eltárolt jegynek, és a hozzá kapcsolódó teendőknek és lehetőségeknek a bejelentés kezelésében).  Megszűnő/törölt: ez csak akkor következhet be, amikor az adott bejelentésben szereplő adatok nem érintenek még működő rendszereket (pl. az adott operációs rendszer, alkalmazás vagy protokoll már nem érhető el működő változatban)13. A fenti állapotokat szemlélteti és foglalja össze a következő ábra:

12

Az incidens első éles megjelenésekor már elérhetők lehetnek az incidenskezelés teendői is. Ebben az esetben is lehet tanulsága az adott eseménynek, mely más esetben is alkalmazható az újabb technológiákban is, ezért a törléssel nagyfokú körültekintéssel kell eljárni, és vélhetően elég ritka lesz a törölt bejelentés. 13


41/296

MTA SZTAKI; E4 - 4671/4/2003


Ábra 5. Az incidensek életciklusa

5.4 Munkarend A Szervezet munkatársai a megfelelő munkarend szerint végzik a segítségnyújtást. A munkarend szabályozza, hogy miként épülnek fel az egyes műszakok, hogyan történik a váltás a műszakok között stb. A szervezeti felépítés alapján (ld. 3.1 fejezet) adott, hogy ki kinek a beosztottja vagy felettese, és ez alapján ki kitől miként fogadhat és fogad el utasításokat. Alapelv, hogy minden váltott műszakban dolgozó munkatárs úgy végzi munkáját, hogy az átadás és az átvétel zökkenőmentes legyen. A (minőségbiztosítási) szabályok ennek szellemében alakulnak ki. A napi munkavégzésen kívül vannak más időszakonként végzendő feladatok is, melyek nem átadás-átvétel alapúak, hanem „elvégezve-ellenőrizve” rendszerűek. Tevékenységek és időszakok Nem minden tevékenységnek lehet meghatározni az időszakát. Például a vészhelyzet bármikor előfordulhat, de mégsem napi tevékenység a katasztrófaterv végrehajtása. A katasztrófaterv szerint vészhelyzet esetén előre meghatározott írott riasztási rend alapján kell a megfelelő munkatársakat vagy vezetőket értesíteni és bevonni a munkába. A riasztási rendben szereplő adatok érvényessége fontos tényező a vészhelyzetben. A riasztási rendben szereplők kötelessége, hogy jelentsék, ha elérési adataikban változás állt be, de adott időközönként így is ellenőrizni kell, hogy vészhelyzet esetén a riasztási rendben szereplő adatok alapján az illetékes ember valóban elérhető lenne-e. Ajánlatos évente egy vészhelyzet-gyakorlat lefolytatása, és negyedévente az adategyeztetés/ellenőrzés elvégzése. Egyes feladatok naponta, mások akár évente egyszer végzendők, de az „éves munkarend” részét képezik. A következő táblázat az általános tevékenységeket és azok gyakoriságát foglalja össze:


42/296

MTA SZTAKI; E4 - 4671/4/2003


Kód

T1

T2

Leírás

Beérkező események kezelése, mely egyben a napi munkavégzés dokumentálása is lehet. Elektronikus formában a telefonos bejelentések is a munkavégzés dokumentálását segítik, de a rögzítés rendszere az adatvédelmi irányelvek alapján működik, ezért az így keletkezett adatok archiválásánál az érzékeny adatok kezelését meg kell oldani (pl. kiszűrni, vagy csak megfelelő jogosultságú személy számára biztosítani az elérést). Jelentések készítése:  a munka során felmerülő igények szerint  összesített adatok alapján

T3

Mentés és archiválás (évente legalább egyszeri visszatöltés-teszteléssel14):  napi mentés biztonságos környezetben és adathordozóra  a hetedik napi mentés egyben heti mentés  havi teljes mentés

T4

Vészhelyzet: leírása adott, gyakorlása évente legalább egyszer

T5

Adategyeztetés (riasztáshoz):  változás esetén bejelentés alapján (érintettnek kötelező)  évente személyes egyeztetéskor (operátornak kötelező)

Időszak

naponta

egyedi, havonta naponta, hetente, havonta eseti egyedi 3 havonta

Oktatás, tanfolyam:  éves oktatási terv alapján belső és külső oktatás T6

 kimenő csatornán – ld. fejezet (d) pontja

egyedi

 részvétel szakmai szemináriumokon, konferenciákon (oktatási tervvel összhangban, de éves vagy többéves15 naptár alapján) Táblázat 2. Tevékenységek és időszakok

Kommunikáció az ügyfelekkel A bejelentések útja az fejezetben került részletezésre, míg a titoktartási szabályokat külön dokumentum tartalmazza, melyet minden belépő tudomásulvétel után aláír, de a kommunikáció tekintetében még ki kell emelni a következőket: (a) Válaszidő: a bejelentésekre előzetesen (szabályzatban, honlapon) kijelentett időtartamon belül válaszolni kell. A bejelentés súlyosságától és várható hatásától függően kell az erőforrásokat biztosítani, de mindenképpen ajánlatos a 24 órán belüli válaszadás felvállalása. (b) Válaszok: a bejelentés-típustól függően alkalmazhatók a típusválaszok is, de ezek idővel alakulnak ki (pl. másik CERT-hez irányítás, vagy nem a szervezet hatáskörébe tartozó bejelentések kezelése stb.), bővülnek, változnak, így itt csak tudni kell róla, hogy léteznek típuslevelek. (c) Jogosultságok: meg kell határozni, hogy a szervezeti felépítés szerint kinek van jogosultsága adott külső féllel kommunikálni (pl. operátor által tájékoztatott rendszergazda, vagy műszaki felelős által tájékoztatott osztályvezető). A szakember a szakembert érti meg jobban, a vezető a vezetővel szeret inkább egyeztetni. A bejelentések felvétele és kezelése operátori feladat, de a válaszok és teendők kommunikálása vezetői feladat lehet, amennyiben a bejelentő beosztása is vezető. 14 15

A mentés és archiválás azért készül, hogy szükség esetén használható legyen, tehát nem egyirányú feladat. A rendszeres nevesebb konferenciák akár több évre előre is betervezhetők.


43/296

MTA SZTAKI; E4 - 4671/4/2003


(d) Média: kizárólag a legfelsőbb vezető vagy annak megbízásából valamelyik középvezető nyilatkozhat. Minden egyéb információszolgáltatás felelősségre vonást von maga után. (e) Publikáció: a szervezeten belüli munka kapcsán vagy annak adatai alapján készült publikációk a felettes jóváhagyásával nyújthatók be (ide értendő már a puszta címmel történő előzetes jelentkezés jóváhagyása is). (f) Döntés-előkészítés: A Szervezet helyzetéből adódó lehetséges speciális feladata a működése során tapasztaltak nemzeti szabályozásra (törvények, rendeletek stb.) kiható események döntéshozók (törvény/rendelet előkészítők) felé jelzése (ld. még 6.2). E kommunikáció lényege, hogy a Szervezet felhívja a döntéshozók figyelmét azon területekre, amelyeken a hazai szabályozás jelentősen eltér a nemzetközi gyakorlattól, illetve amely területeken a szabályozás idejétmúlt, esetleg hiányos. Különösen igaz ez a megállapítás akkor, ha a Szervezet valamely esemény kezelése során a megoldásban érintett partnertől ez irányú kifejezett kérést kap vagy kapott. Miben segíthetnek az ügyfelek? A szolgáltatási körbe tartozó ügyfelek felé a következő tízparancsolatot kell kommunikálni, és ez alapján kezelni a bejelentéseiket, felhívva figyelmüket arra, hogy ezek betartásával a segítségnyújtás hatékonyabb lehet. Közös érdek a következők alkalmazása: 1. Mindent dokumentáljanak. — Az incidenssel kapcsolatos minden információ hasznos lehet a további munka során. 2. Keressenek segítőtársat az incidenskezeléshez. — Például az egyik intézkedik, a másik dokumentálja a munkát. 3. Elemezzék a bizonyítékokat. — Meg kell győződni arról, hogy valójában mi történt (pl. jellemző jelenségeknek utána kell nézni internetes keresőkkel, intézményen belüli kollégákat meg kell kérdezni, elérhető dokumentációkban utána kell nézni, mi okozhatta a tapasztalt jelenséget). 4. Értesítsék az érintett alkalmazottakat. — A vezetőket és az illetékeseket (helyi szabályzat vagy katasztrófa-terv szerint) tájékoztatni kell, de diszkrét módon csak azokat, akiket szükséges és olyan csatornákon, melyek biztonságosak. 5. Állítsák meg a támadást, amennyiben még folyamatban van. — A legegyszerűbb lehetőség a hálózati kapcsolat megszakítása16, más esetben a tűzfal vagy az útválasztó átállítása lehet a megfelelő megoldás a nem kívánt forgalom kiszűrésére. 6. Gyűjtsenek bizonyítékokat. — Az érintett rendszerről mentés (teljes lemez /image/, nem puszta fájl-mentés), a naplóállományokról másolat hasznos lesz a későbbiekben. 7. Takarítsák ki a rendszert. — Minden vírus, vagy egyéb kártékony alkalmazást ki kell tisztítani a rendszerből. Amennyiben teljes mértékű a kompromittálódás, úgy az alapoktól újra kell telepíteni a rendszert, vagy vissza kell tölteni mentésből a legutolsó még jól működő változatot. 8. Azonosítsák és csillapítsák a sebezhetőségeket. — Az incidens vélhetően valamilyen sebezhetőségen keresztül következett be, így meg kell előzni, hogy ugyanezt kihasználva újra előfordulhasson. 9. Legyenek bizonyosak, hogy a rendszer újra normális működésű. — Bizonyosodjanak meg róla, hogy az adatok, alkalmazások és szolgáltatások normális módon elérhetők és működnek.

16

Egyes esetekben a támadó kilétének kinyomozása érdekében ez nem tanácsos, ráadásul így észleli a támadó, hogy támadását észlelték, így a hálózati kapcsolat megszakítása csak a szabályzatban foglaltak szerint történhet (pl. csak felsővezető vagy biztonsági felelős engedélyezheti).  IHM-MTA-E4-3.doc

44/296

MTA SZTAKI; E4 - 4671/4/2003


10. Készítsenek összegző jelentést. — Ennek részleteznie kell az incidenskezelés eljárását, és kitérhet arra is, hogy mi történt, és milyen módon lehetett volna elkerülni az incidens bekövetkeztét, csökkenteni a károkat, vagy gyorsabban megoldani a problémát. A szolgáltatási körbe tartozók más-más mértékig tudják ezeket a pontokat teljesíteni, így a fentiek közül annyit teljesítsenek, amennyit tudnak, a többiben a Szervezet segít nekik.


45/296

MTA SZTAKI; E4 - 4671/4/2003


6 A Szervezet jogai, jogosultságai, kötelességei A Szervezet működését a hazai és nemzetközi jogszabályok keretein belül végzi, és minden egyéb jogosultságot a szolgáltatási körébe tartozóktól vagy azok felügyeleti szervétől kaphat. Ezeket a jogosultságokat írásban kell rögzíteni, és a megfelelő vezetői szinten aláírással hitelesíteni.

6.1 Irányadó jogszabályok A pontos jogszabályi környezet teljes ismertetése nem része az alapszabályzatnak, de kiemelhetők azok az érvényben lévők, melyeket figyelembe kell venni a működés során. Ezeket jól foglalja össze az Informatikai Biztonság Részstratégia [MITS_IBRS] 1. melléklete, de szélesebb körben az „Internet joggal” foglalkozó gyűjteményes Web-lap is elérhető (http://internetjog.lap.hu). Néhány jogszabályt azonban tételesen is érdemes kiemelni:  Adatvédelmi törvény (1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról)  Államtitokról és szolgálati titokról szóló törvény (1995. évi LXV)  Cybercrime egyezmény (Számítástechnikai Bűnözésről Szóló Egyezmény, Convention on Cyber-crime 2001), melyet Budapesten írtak alá17  Hacker törvény, azaz a „300/C” (2001. évi CXXI. törvény a Büntető Törvénykönyvről szóló 1978. évi IV. törvény módosításáról)  [ENISA] létrehozásának szabályozása (Regulation (Ec) No. 460/2004 of the European Parliament and of the Council of 10 March 2004, establishing the European Network and Information Security Agency) Az ebben a fejezetben hivatkozott forrásokban felsoroltakon kívül létezhetnek még olyan szabályok, melyek újként jelennek meg, vagy régebbieket módosítanak, így az érvényes és a működést befolyásoló jogszabályokat folyamatosan figyelni kell. Erre a feladatra a Szervezet által megbízott jogász szakembert kell alkalmazni, aki a szükséges belső oktatásokat is megtartja az alkalmazottak számára. EU csatlakozásunk után a CSIRT-ek számára készített tanulmány [CSIRT_trv] következő kiadásába már Magyarország is bekerül, így a többi ország törvénykezési rendszerével is összehasonlíthatjuk a hazai rendszert és a szabályok által lefedett, vagy éppen le nem fedett területeket (ld. az idézett tanulmány 1. táblázatát).

6.2 Jogosultságok és kötelességek Az irányadó jogszabályok alapján a jogosultságokhoz szükséges a működési terület meghatározása és a szolgáltatási körbe tartozók megnevezése. Ezzel kapcsolatban a következő alaptételek fogalmazhatók meg:  A működési terület elsősorban az alapító intézményhez tartozó intézmények, így a működési terület ezen intézmények által meghatározott területre terjed ki.  A Szervezet az ország EU tagsága okán – valamint az ENISA-ban betöltött szerepünk miatt is – együttműködik a többi európai CERT-tel. 17

Albánia, Andorra, Ausztria, Azerbajdzsán, Belgium, Bulgária, Horvátország, Ciprus, Csehország, Dánia, Észtország, Finnország, Franciaország, Görögország, Grúzia, Hollandia, Izland, Írország, Lettország, Liechtenstein, Litvánia, Luxemburg, Lengyelország, Magyarország, Macedónia, Málta, Moldávia, Nagy-Britannia, Németország, Norvégia, Olaszország, Oroszország, Örményország, Portugália, Románia, San Marino, Spanyolország, Svédország, Szlovákia, Szlovénia, Svájc, Törökország, Ukrajna.  IHM-MTA-E4-3.doc

46/296

MTA SZTAKI; E4 - 4671/4/2003


 A nemzetközi terrorizmus-ellenes küzdelemben vállalt szerepünk miatt az EU határain kívül is együttműködünk a többi hasonló szervezettel.  A Szervezet az alapító intézményen belül működve biztonsági központként (Point-ofContact) működve fogadja a bejelentéseket.  Az adatvédelmi törvények betartásával információ-gyűjtést végez az országos informatikai biztonsághoz kapcsolódó adatokról, informatikai biztonsági szakértőkről (önkéntes bejelentkezés, ld. 10.10 melléklet), potenciális veszélyekről (védendő elemekről).  Az információk alapján végzett elemzésekből származó adatokkal támogatva javaslattétellel él a döntéshozók felé, akár törvénymódosítás előkészítéséhez szükséges szakértői tevékenység által is.  A szolgáltatási körébe tartozó informatikai rendszereket ért támadás kapcsán a támadás közvetlen forrásánál a nyomozáshoz szükséges információkat elkérheti (törvény által erre jogosultakkal és a szolgáltatókkal együttműködve), a közvetett források esetében segítséget és együttműködést kér a közvetlen forrás felderítésének érdekében.  A felügyelt informatikai rendszerekben a felügyelet mértékétől és az incidenstől függően aktív beavatkozást hajt végre (pl. beállítások változtatása, rendszer frissítése, kiegészítése, vagy akár a hálózatelérés blokkolása). Több pontban a jogosultságok egyben kötelességek is, tehát nemcsak jogosult az incidensek kezelésében, de kötelessége is megtenni azt, vagy legalább a megfelelő helyre továbbítani a bejelentést.


47/296

MTA SZTAKI; E4 - 4671/4/2003


7 Anyagi feltételek biztosítása A Szervezet működéséhez szükséges anyagi feltételek több forrásból származnak vagy származhatnak. Mivel a szolgáltatási körbe főként az alapító intézmény tartozik, ezért a megalakulást döntően az alapító intézmény finanszírozza. Az oktatási, kutatási tevékenységén keresztül felsőoktatási, kutatóintézeti, míg a nemzetközi kapcsolatain keresztül külföldi partnereivel is olyan helyzetbe kerülhet, amikor pályázatokon való részvételre, vagy nyertes pályázati munkában való együttműködésre hívják meg. Ebben az esetben a Szervezet az alaptevékenység ellátása után fennmaradó erőforrásaival vehet részt ezekben a munkákban és kooperációban, de a részvétel anyagi vonzatait (utazások, emberi erőforrások) és bevételeit (pályázati támogatások és/vagy alvállalkozói munkadíjak) legalább nullszaldóval kell zárni. Nagyobb EU finanszírozású projektek esetében ez a tevékenység nettó bevételeket jelenthet. Az ország EU-béli helyzeténél fogva a frissen csatlakozott és a leendő csatlakozók számára a Szervezet helyi központ (center of expertise) szerepet is betölt, így ilyen irányú pályázatokból és anyagi támogatásokból is részesedik, illetve a régió országai számára is végezhet szolgáltatási körébe eső munkát. Az ilyen feladatok különösen érzékenyek az adatvédelemre, titoktartásra, nemzetbiztonsági vonzatokra, így az ez irányú feladatvállalás előtt a megfelelő szervezetekkel egyeztetni szükséges. Régióközpontként jelentősek lehetnek a hosszabb szemináriumok, vagy konferenciák szervezése által elérhető bevételek, míg regionális felkészítő és vizsgaközpontként az oktatás alá sorolható bevételek is számottevők lehetnek. Fontos kiemelni, hogy a Szervezet bevételeit és kiadásait olyan elven kezeli, hogy ne intézményi támogatásból finanszírozzon külföldi projektekben való részvételt, hanem a pozitív bevételek esetében a hazai igényeket elégítse ki (pl. elnyert EU pályázatokba hazai kutatókat és intézményeket von be a munkába). Összegezve, a működés során a Szervezet bevételi forrásai a következő főbb csoportokba sorolhatók:  alapító intézményi támogatás,  pályázati (kutatás-fejlesztés, meghirdetett hazai vagy nemzetközi pályázatokon vagy projektekben való részvétel),  nemzetközi (EU támogatások, régióbeli megbízások),  piaci (szabad erőforrások függvényében piaci szolgáltatások, aktív incidenskezelés, tanácsadás, oktatás témákban). A pontosabb (számszerűsített vagy képlettel meghatározható) összegek a működés során alakítandók ki, amikor tapasztalati adatokon alapulhat egy olyan számítás, hogy a szabad erőforrások milyen költségátalányokkal értékesíthetők a piaci területeken. Ezeket a számításokat éves felülvizsgálatokkal és azok tapasztalatai alapján kell pontosítani, vagy új szolgáltatások bevezetésével a nemzetközi tapasztalatokra hagyatkozva a honi sajátosságokat figyelembe véve kialakítani. Mindezt a Szervezet üzleti terve foglalhatja magába. Egyes publikációk azt állítják, hogy nem határozható meg pontosan egy-egy incidens kezelésének költsége, míg több olyan tanulmány is elérhető, melyek erre kísérletet tesznek. Az alapkérdések megválaszolása után következhet az összegek meghatározása és a költségszámítás, mely számos paramétertől függ (régió megfelelő szakembereinek bére, telekommunikációs költségek, alkalmazott eszközök megoldásra fordított időarányos ára stb.), de a kérdések ezektől függetlenek:  Kik dolgoztak a válaszadáson vagy az incidens kivizsgálásán?  IHM-MTA-E4-3.doc

48/296

MTA SZTAKI; E4 - 4671/4/2003


 Mennyi időt fordítottak rá?  Hány ember nem tudta a munkáját végezni az incidens miatt?  Mennyi hasznos munkaórát vesztettek a kieséssel?  Mennyi a munkaórák díja (dolgozók száma * órabér)?  Mennyi állandó többletköltség kerül kifizetésre a dolgozók felé (biztosítások, betegállomány stb.)? A [SF_kolts] cikkben található bővebb leírás és hivatkozás további hasznos céltanulmányokra, melyek alapján a konkrét számítások elvégezhetők. A költségelemzéshez értékes alapadatokat szolgáltathat a Szervezet munkáját segítő nyilvántartó rendszer részeként üzemelő statisztikai modul. A költségek esetén jelentős összeget emészt fel az alkalmazottak tudásának szinten tartása és a kapcsolattartás a többi szervezettel, melynek keretében a konferencia-részvételek és utazások képviselik a nagyobb összeget (ld. még 8.5 pont). A Szervezet tevékenységével olyan képet kell kialakítson magáról, hogy megbízható és naprakész információkat képes szolgáltatni az Internet biztonság témakörében. Hosszú távon ez azt eredményezi, hogy a piac az információkat keresni fogja, ezáltal a Szervezet a szolgáltatásait képes lesz profitorientáltan (pl. tagdíj, szolgáltatási csomagok értékesítése, előfizetett hírlevél, oktatás stb.) értékesíteni a piac érdekelt szereplői számára.


49/296

MTA SZTAKI; E4 - 4671/4/2003


8 Kapcsolattartás módjai 8.1 Bevezetés Az intézményi számítógépes infrastruktúra a világ hálózataival szoros összeköttetésben áll. A hálózati támadások nem ismernek országhatárokat, ezért az infrastruktúrának megbízhatónak, biztonságosnak és bizonyos mértékig „öngyógyítónak” kell lennie. A lehetséges támadások – amelyek irányulhatnak a hálózati infrastruktúra feltérképezésére, gyenge pontjainak felderítésére, a szolgáltatások akadályozására, hátsó ajtók betelepítésére – idejében való felderítése és az arra adandó gyors válasz nemegyszer azon múlhat, hogy milyen kapcsolata van a Szervezetnek a nemzetközi incidenskezelő csoportokkal és szervezetekkel (ld. 10.8 melléklet). A kapcsolattartás céljai  Együtt kell működni a nemzetközi számítógépes hálózatbiztonsági szervezetekkel az információs infrastruktúra védelme és a biztonsági kultúra terjesztése érdekében.  Szorosabb kapcsolatot kell kiépíteni és fenntartani az Európai Unió hálózatbiztonsággal foglalkozó intézményeivel. Figyelemmel kell kísérni az EU e téren végzett jogalkotását és a hazai szabályozástól való eltéréseit.  Különös figyelmet kell fordítani a alapító intézményhez hasonlatos külföldi CERTekkel való kapcsolattartásra, közös problémák feltárására, megoldására.  Az incidensek kezelése során szükségessé válhat az egyes, illetékes hálózatbiztonsági csoport felderítése (ismerni kell fellelhetőségük, ellenőrzésük módját).

8.2 Nemzetközi hálózatbiztonsági szervezetek, társulások A Szervezet célja, hogy aktív tagja legyen a CERT-eket tömörítő szervezeteknek és kapcsolódjon ilyen társulásokhoz. Az alábbiakban – a FIRST-öt kivéve – csak a legfontosabb európai tömörüléseket soroljuk fel. FIRST Az 1990-ben alakult FIRST (Forum of Incident Response and Security Teams), az incidenskezelő csoportok szövetsége, amely a számítógépes incidensek kezelését és az incidensek megelőzését tűzte ki célul. Ennek érdekében:  technikai információkat, eszközöket, eljárásokat, folyamatokat és helyes gyakorlatokat fejlesztenek ki és terjesztenek,  támogatják a biztonsági termékek, eljárások és szolgáltatások fejlesztését,  elősegítik incidenskezelő csoportok alapítását, bővítését,  tudásukkal, ismereteikkel egy megteremtésére törekednek.

védett

és

biztonságos

elektronikus

környezet

A FIRST-ben teljes (full) és pártoló (liaison) tagok vannak. A belépés során a kérelmezésen túl [FIRST_mem] a tagok közül ajánló(ka)t kell szerezni. Az éves tagdíj jelenleg 240$ illetve 900$.


50/296

MTA SZTAKI; E4 - 4671/4/2003


TERENA TF-CSIRT és Trusted Introducer A TF-CSIRT projektet az európai CERT-ek részére a TERENA (Trans-European Research and Education Networking Association) Technikai Programjának támogatásával [TF_CSIRT] indították útjára az alábbi célokkal:  fórumot biztosítson a tapasztalatok és ismeretek kicseréléséhez,  kísérleti szolgáltatásokat nyújtson az európai CERT-ek számára,  szabványokat és eljárásokat határozzon meg az incidensekre adandó válaszokhoz,  támogassa az új CERT-ek létrehozását és biztosítsa a CERT munkatársak továbbképzését,  közös kezdeményezéseket valósítson meg,  az Európai Unió és más döntéshozó szervezetek, valamint az európai CSIRT-ek között közvetítő szerepet töltsön be. A TF-CSIRT Trusted Introducer elnevezésű projektje az európai CERT-ek nyilvántartását végzi. A CERT-eknek háromféle státusza lehet: „bejegyzett”, „akkreditálásra készülő” és „akkreditált”. A bejegyzéshez csak egy formalap kitöltése szükséges, a további szintek elérésének már feltételei vannak. [CSIRT_lev] EGC CSIRT Az európai kormányok CSIRT csoportja, az EGC 2002-től kezdve hat taggal működik (Finnország – CERT-FI, Franciaország – CERTA, Hollandia – GOVCERT.NL, Nagy-Britannia – UNIRAS, Németország – CERT-Bund, Svédország – SITIC). Céljuk a kormányzatokat érintő incidensek közös kezelése. Évente négy alkalommal tanácskoznak. Együttműködnek a TF-CSIRT-tel is, de nem kívánják, és nem is tudják azt a szerepet betölteni, mint az APCERT Ázsiában, vagyis hogy a földrész egyetlen CERT kapcsolati pontja legyenek. [EGC] eCSIRT.net 2002. júliusa és 2003. decembere között az 5. keretprogram jóvoltából több európai CSIRT kapott támogatást egy kísérleti projekt megvalósításához. A projekt a CSIRT-ek hatékony együttműködését, az incidenseket érintő adatok cseréjét, a statisztikai adatok gyűjtését és egy tudásbázis kialakítását célozta meg. A projekt sikeresen lezárult, és a projekt keretében felállított IDS szenzorok európai hálózata azóta is folyamatosan gyűjti a támadásokra vonatkozó adatokat további elemzés céljából. [CSIRT_sen] A résztvevők listája: CSIC/IRIS-CERT (E), DFN-CERT (D), INFN/GARRnet CERT (I), Stelvio b.v. (NL), NASK/CERT-Polska (PL), PRESECURE Consulting GmbH (D), RENATER/Le CERT Renater (F), UKERNA/JANET-CERT (UK), UNI-C/DK-CERT (DK) EISPP Az EISPP-t (The European Information Security Promotion Program) szintén az 5. keretprogram támogatta. [EISPP] Az EISPP nemcsak a biztonsággal kapcsolatos tudás terjesztését célozta meg, hanem az információ tartalmának és szétosztásának módját próbálta meghatározni, elsősorban a kisés középvállalkozók felé. A 2002 júniusában megindult projekt 2003 végén fejeződött be. A projektet a CERT-IST vezette, részt vett benne többek között esCERT és a Siemens-CERT.


51/296

MTA SZTAKI; E4 - 4671/4/2003


ENISA Az Európa Parlament és Tanács 460/2004. számú rendeletében 2004. március 10-én létrehozta az Európai Hálózat- és Információbiztonsági Ügynökséget, az ENISA-t (European Network and Information Security Agency). [ENISA] Az ENISA elsősorban a következő tevékenységekre összpontosít: 1. tanácsokkal látja el a tagállamokat és a Bizottságot az informatikai biztonság területén fellépő problémák megoldásánál. 2. elősegíti az iparral folytatott tárgyalásokat, hogy biztonságos hardver és szoftver termékek kerüljenek gyártásba, 3. összegyűjti és elemzi az incidenseket és a felmerülő veszélyeket Európában, 4. segíti a kockázatelemzési és kockázatkezelési eljárások kialakítását, hogy határozottabban lehessen fellépni az informatikai biztonságot érintő fenyegetésekkel szemben, 5. támogatja az informatikai biztonság különböző területein munkálkodó szervezetek/egyének tudatosságának fejlesztését, együttműködését, különösen a PPP viszonylatában. A CERT-ek az ENISA minden tevékenységében, de elsősorban a harmadik pontban érdekeltek.

8.3 Az incidensekkel kapcsolatos szabványtervezetek Sajnos, ma még nem áll rendelkezésre mindenki által elfogadott szabványos eljárás arra, hogy a CERT-ek információikat egymás között kicseréljék, az incidensre vonatkozó adatokat valamilyen előírt módon gyűjtsék és közzétegyék. Sokan belátják, hogy a feladatok szabványosítása egyszerűsítené a csoportok közti kommunikációt, s ezért egyre több ebbe az irányba mutató kezdeményezés lát napvilágot. A Szervezetnek figyelemmel kell követnie a szabványtervezetek alakulását, így megismerheti az aktuális trendeket, véleményt tud alkotni azok alkalmazhatóságáról, tapasztalatait az illetékesekhez eljuttatva befolyásolni tudja a végleges változat kialakulását. A következőkben néhány szabványosítással foglalkozó csoport munkáját mutatjuk be. INCH WG (IETF Incident Handling Working Group) A munkacsoportot [INCH_WG] feladata egy olyan adatformátum definiálása, amelyet a CERT-ek majdan az incidensre vonatkozó információk kicserélésénél használhatnak. Munkájuk előzménye a TERENA TF-CSIRT projektje keretében meghatározott IODEF formátum. Ez az új formátum tartalmazni fogja:  az incidensben szerepet játszó forrás – és célrendszert, viselkedésük elemzését,  a bizonyítékokat,  az incidens vizsgálatának és elemzésének sémáját,  egyéb olyan adatokat, amelyek megkönnyítik az információcserét (pl. adat érzékenysége). Az adatformátumot a következő kommunikációkban alkalmazzák:  a CSIRT-hez a hatáskörébe tartozó szervezetek részéről történő bejelentéseknél,  a CSIRT és az incidensek vizsgálatába bevont felek (rendőrség, érintett felek) közti kommunikációban,  CSIRT-ek közti együttműködésben.  IHM-MTA-E4-3.doc

52/296

MTA SZTAKI; E4 - 4671/4/2003


IETF Intrusion Detection Workgroup (IDWG) Az IDWG [IDWG] csoport célja, hogy olyan adatformátumot és adatkicserélési eljárásokat hozzon létre, amivel az incidenseket érzékelő rendszerek (IDS-ek) közötti információcsere emberi beavatkozás nélkül megvalósulhat. Tehát az INCH-csel szemben itt a hangsúly a rendszerek közti kommunikáción van (A definiált adatformátum neve: IDMEF). Az IODEF és az IDMEF összehangolásával a Terena TF-CSIRT programja foglalkozott. Röviden összefoglalva: az IODEF-től elvárják, hogy az IDMEF-fel kompatibilis legyen, és képes legyen az IDMEF üzeneteket értelmezni, a másik irányú kompatibilitás nem követelmény, vagyis az IDS-eknek nem kell értenie az IODEF üzeneteket. Common Advisory Interchange Format (CAIF) A CAIF [CAIF] a biztonsággal kapcsolatos tanulmányok struktúrájának meghatározására, tárolására és továbbítására szolgál. (A biztonsággal kapcsolatos dokumentum elnevezésére az angolban az „advisory” szót használják, ami egy számítógépes biztonsági probléma leírását, vagy megoldását jelenti.) A formátum meghatározásánál a kibocsátó, a terjesztő és legfőképpen az olvasó szempontjait vették figyelembe (olvasó: ki küldte a tanulmányt, autentikus-e, érdekes-e az olvasó számára, várnak-e választ; a terjesztő: szabadon vagy csak korlátozottan terjeszthető, konvertálható). A formátum a kötelező alapelemek mellett szabad-szöveges elemeket is tartalmaz(hat), és XML alapú. Automated Incident Reporting (AirCERT) Az AirCERT [AirCERT] a biztonságot érintő eseményekre vonatkozó információk szétosztására alkalmas elosztott, skálázható rendszer. Segítségével az IDS-ek által generált információk továbbíthatók. A rendszer többféle formátum (IODEF, IDMEF és SNML) továbbítására képes. Bizonyítékok gyűjtésének és tárolásának irányelvei (RFC 3227) Az IETF RFC-i között ez a dokumentum [RFC3227] a „best practice”, azaz a helyes gyakorlat besorolását kapta. A dokumentum célja, hogy iránymutatást adjon az [RFC2828] szerint „security event” címszó alatt definiált biztonsági esemény gyűjtésére és archiválására.

8.4 Információforrások a sebezhetőségekről A Szervezetnek naprakész információkkal kell rendelkeznie az Interneten jelentkező sebezhetőségekről, több host-ot érintő, vagy nagyobb károkat okozó támadásfajtákról, megszűntetésük lehetséges módjairól. E feladat ellátásához nyújt segítséget a Hivatkozások rész utolsó bekezdésében említett hasznos információforrások cím alatti lista. Néhány nevesebb elem (levelezési listák, weblapok, konferenciák stb.) elérhető a 10.6 mellékletben.

8.5 Konferenciák, rendezvények Az intézményi CERT tagjainak – mint bármely más CERT csoport tagjainak – a konferenciákon való részvétel a személyes kapcsolatok építését, ápolását jelentheti, a továbbképzést biztosítja, felhívja a figyelmet az új tendenciákra, új kutatási eredményekre, a készülő vagy életbe léptetett szabványokra. Ezért aztán különösen fontos, hogy a tagok évente néhány konferenciára eljussanak18.

18

A konferenciákon való megjelenés (előadással vagy látogatóként) szabályozott, az ott folytatott tárgyalásoknál be kell tartani az érzékeny adatokra vonatkozó szabályokat. A kapcsolatok kezdetén a Szervezet hivatalos és engedélyezett formátumú és adattartalmú kétnyelvű névjegyeit kell használni.  IHM-MTA-E4-3.doc

53/296

MTA SZTAKI; E4 - 4671/4/2003


A konferencia kiválasztása függ a rendezvény fő témájától, a konferencia színhelyétől, de figyelembe kell venni, hogy kiknek ajánlják a részvételt, és milyen haszonnal járhat a Szervezet munkájában, ha azon képviselteti magát. (ld. melléklet)

8.6 Oktatás, kutatás, továbbképzés A CERT csoportok képzése/továbbképzése kiemelten fontos a sikeres védekezésben. Nagyon sok információ érhető el az Internetről, ezek tudatos gyűjtése és rendszerezése részben pótolhatja a profi szervezetek által nyújtott képzést. A tanuláshoz az alábbi segédeszközök alkalmazhatók:  Tanulmányok (advisories): azokat az anyagokat hívják így, amelyek a számítógépes biztonság egy adott kérdését alaposabban elemzik. Ezek általában hosszabb életű dokumentumok, aktualitásukat sokáig megőrzik.  Konferencia-előadások: ld. 8.5 pont.  Műhelymunkák (workshop): közvetlenségük miatt néha hasznosabbak a konferenciáknál. A kis létszámú csoportban a kérdések alaposabban elemezhetők, mélyebb információk szerezhetők. A TERENA TRANSIT projekt (ld. ) példaként szolgálhat, ahol a CSIRT csoportok munkatársai – korlátozott létszámban – évente kétszer ingyenes továbbképzésen vehetnek részt.  Helyzetgyakorlatok: alapos előkészítő munkát igényel. A csoport tagjai előtt egy rövid helyzetképet ismertetnek, majd ezután kérdésekre kell válaszolniuk. A jelenlévők a kérdésekre adandó választ megbeszélhetik, és úgy alakíthatják ki végleges álláspontjukat. A gyakorlat során kitűnik, hogy mit tehet a csoport egy adott helyzetben, ezt hogyan lehet a biztonsági irányelvekkel, eljárásokkal egyeztetni, milyen hiányok vagy esetleges ellentmondások vannak a kérdéses helyzet és a rögzített irányelvek, eljárások között (ld. Hivatkozások/(a) B szcenáriók). Mintahelyzetek lehetnek: intézményen belülről induló spam, feltört szerver, külső DDoS támadás, vírusterjedés stb.  Könyvek: a szakirodalom főként külföldi forrásból, angolul érhető el, de akad néhány hazai munka és fordítás is, gyakran egyetemi jegyzet formájában is.  Tanfolyamok/vizsgák: a tanfolyamok kiválasztása több tényező függvénye, úgymint: o kit képeznek (vezető, technikai személyzet), o milyen témában, és célból, o milyen előismereteket feltételeznek a résztvevőről, o távoli eléréssel (on-line módon), vagy a helyszínen tanul, o kíván-e valamilyen bizonyítványt megszerezni.  Egyéb ismeretek: ide tartoznak a jogi és közgazdasági ismeretek mellett az olyan speciális ismeretek, melyeket céltanfolyamokon lehet megszerezni. Ezek közül a legfontosabb az operátoroknak tartandó tréning, amely keretében a kommunikációs és problémakezelő készségük (telefonos, személyes, E-mail-es) fejleszthető. A megszerzett tudást többnyire akkor ismertethető el, ha a külvilág felé dokumentummal is igazolható. A Szervezet által támogatott, javasolt, vagy előnyben részesített tanfolyamok és vizsgák a 10.11 mellékletben kerültek felsorolásra. Külön témakör a kutatások és fejlesztések (K+F) területe, amely többnyire kutatóintézetekhez és felsőoktatási intézményekhez kapcsolódik. A Szervezet támogatja azokat a kutatásokat, melyek  IHM-MTA-E4-3.doc

54/296

MTA SZTAKI; E4 - 4671/4/2003


közvetlenül számára is hasznos eredményeket hozhatnak (pl. honey pot rendszerekkel végzett kutatások, titkosító algoritmusok erősségének vizsgálata, korszerű adatvédelmi megoldások stb.). A Szervezet a támogatandó témakörökről és a konkrét támogatásokról éves terv keretében dönt, de megvizsgál minden olyan megkeresést, melyben a Szervezetre partnerként számítanak más intézetek leendő, vagy folyamatban lévő munkák során.

8.7 CSIRT-ek közti biztonságos kommunikáció A Szervezetnek különösen figyelmet kell fordítania saját és partnerei biztonságának megőrzésére. Ennek során az alábbi hét tényezőre kell ügyelni: 1. Titkosság/bizalmasság (confidentiality) — csak ahhoz az információhoz férhessen hozzá valaki, ami számára engedélyezve van, máshoz nem; 2. Elérhetőség (availability) — bárki elérhesse azt az információt és akkor, amikor szüksége van rá; 3. Sértetlenség (integrity) szánták/tervezték;

—

az

információ

maradjon

az,

amilyennek

eredetileg

4. Hitelesség (authenticity) — az információ forrását biztosan azonosíthassuk; 5. Kizárólagosság (exclusivity) — csak a cél(személy) tudja az információt használni; 6. Magánélet sérthetetlensége (privacy) — garantálni kell az egyének vagy szervezetek érdekeinek védelmét; 7. Elkötelezettség (obligation) — mindenki a lehető legnagyobb gondossággal járjon el. Titkosítás és digitális aláírás az elektronikus kommunikációban A CERT-ek közti, a csoporton belüli, illetve a csoport és harmadik fél közti kommunikáció sokféleképpen megvalósítható (telefon, fax, e-mail), azonban a bizalmas és az érzékeny adatok kommunikálásakor titkosítás és digitális aláírás használata szükséges. Biztonságos fax, telefon nem mindig áll rendelkezésre a harmadik félnél, de az elektronikus levelezéshez többnyire rendelkezésre állnak azok a technikák, amelyekre támaszkodni lehet. E célra két, széles körben használatos, szabadon elérhető megoldás az OpenPGP és az S/MIME. Bár funkciójukban hasonlóak, a két protokoll lényegesen különbözik: Service/Protocol

OpenPGP/GnuPG

S/MIME v3

Signature

DSA (2048)

DSA (2048)

Public key

El-Gamal (4096)

DH (1024)

Encryption

3DES

3DES / (RC2)

Hash

SHA-1 (160)

SHA-1 (160)

Message Format

Binary

binary, CMS

Certificate Format

Binary

binary, X.509 (v3)

Mime signed

multipart/signed with ASCII armor

multipart/signed CMS

Mime encryption

Multipart/encrypted

application/pkcs-7-mime

Táblázat 3. OpenPGP és S/MIME tulajdonságok


55/296

MTA SZTAKI; E4 - 4671/4/2003


Bővebb információ az IETF RFC oldalain található. [RFC_crypt] A népszerű e-mail kliensek legalább az egyik szabványt plug-in-ként ismerik. Kriptográfiai kulcsok és tanúsítványok Az S/MIME és a PGP/GPG aszimmetrikus (nyilvános-titkos kulccsal történő) kódolást használ, tehát a CERT egészének és a tagoknak is rendelkezniük kell egy ilyen kulcs-párral. Ennek megszerzéséhez a következő lépések megtétele szükséges:  kulcs-pár generálása (DH vagy RSA),  a titkos kulcs biztonságos tárolása és megőrzése,  a nyilvános kulcs közzététele (tanúsítványszerzés után). A generált nyilvános kulcs elfogadtatásához tanúsítványt kell szerezni, vagyis igazolni kell, hogy a nyilvános kulcs és a tulajdonos összetartozik. Kétfajta tanúsítványi rendszer alakult ki, a bizalmi harmadik félen (Trusted Third Parties), és a bizalmi hálózaton (Web-of-trust) alapuló. Mindkét megoldás alkalmazható, de az előbbi törvény alapján is támogatott19. Nincs egyértelmű gyakorlat arra nézve, hogy a CERT-ek használják-e a titkos kulcsukat más nyilvános kulcsának aláírására. A CERT/CC egyetlen más kulcsot sem ír alá, míg a CERT-NL néhány igazán megbízható embernek aláírja a kulcsát. A kormányzati CERT-nek ez utóbbi megoldás javasolható. A FIRST konferenciákon (ld. ) kulcsaláíró összejövetelt szoktak szervezni, amikor a felek a személyesen végzett ellenőrzés alapján aláírják egymás kulcsait. Kulcskezelés A kulcskezelés jelentőségét nem lehet eléggé hangsúlyozni. A mindennapi gyakorlat során az alábbiakat kell megoldani:  A kulcsokat teljes életciklusuk alatt kezelni kell. A kulcskezelés nemcsak a kulcs generálását jelenti, a kulcsokat alkalmas módon kell tárolni, importálni, menteni, visszaállítani, és szükség esetén visszavonni, felfüggeszteni, vagy éppen megsemmisíteni.  A kulcsokhoz való hozzáférést szabályozni kell. Biztosítani kell, hogy se egy ember, se egy csoport ne veszélyeztethesse a rendszert, ezért rögzíteni kell, hogy ki, milyen esetben, milyen kulcskezelési feladatokat végezhet.  Lehetővé kell tenni a szintekre bontást. A napról-napra növekvő kulcsszám mellett fontos szempont, hogy a megfelelő biztonsági szinten a megfelelő erősségű kulccsal történjen meg az aláírás.  Földrajzilag távol lévő kulcsok kezelése. A Szervezetnek a kulcs helyétől függetlenül képesnek kell lennie a kulcsok kezelésére.

19

2001. évi XXXV. törvény az elektronikus aláírásról.


56/296

MTA SZTAKI; E4 - 4671/4/2003


9 Hivatkozások A hosszú Web-es hivatkozások (csak sortöréssel férnek el) TinyURL (►) rövidített hivatkozással is rendelkeznek. [AirCERT]

AirCERT – Automated Incident Reporting http://aircert.sourceforge.net/

[CAIF]

CAIF – Common Advisory Interchange Format http://cert.uni-stuttgart.de/files/caif/requirements/ split/requirements.html ► http://tinyurl.com/6jtc8

[CERT_FAQ]

The CERT® Coordination Center FAQ http://www.cert.org/faq/cert_faq.html

[CSIRT_lev]

Klaus-Peter Kossakowski, Don Stikvoort: A Trusted CSIRT Introducer in Europe, M&I/Stelvio, Amersfoort, The Netherlands (Version 2.0, February 27. 2000) http://www.ti.terena.nl/about_ti/ti-v2.pdf

[CSIRT_sen]

eCSIRT.net statisztika az érzékelők jelentései alapján http://www.ecsirt.org/service/ids-sensor-data.html

[CSIRT_trv]

Dr. Andrew Rathmell, Dr. Lorenzo Valeri (Project Managers), Neil Robinson (Project Coordinator), Andrea Servida (Project Officer): Legislative Procedures of Computer and Network Misuse in EU Countries – Study for the European Commission, DirectorateGeneral Information Society (2002) http://www.cordis.lu/ist/directorate_d/trust-security/ eeurope.htm ► http://tinyurl.com/5mpd9 http://europa.eu.int/information_society/eeurope/2005/ doc/all_about/csirt_handbook_v1.pdf ► http://tinyurl.com/7xhnr

[EGC]

EGC – European Group of CERTs http://www.bsi.bund.de/certbund/EGC/index_en.htm

[ENISA]

ENISA (European Network and Information Security Agency) http://www.enisa.eu.int/

[FIRST_mem]

FIRST Membership process http://www.first.org/membership/process.html

[EISPP]

EISPP – The European Information Security Promotion Program http://www.eispp.org/

[IDWG]

IDWG – Intrusion Detection Workgroup of IETF http://www.ietf.org/html.charters/idwg-charter.html


57/296

MTA SZTAKI; E4 - 4671/4/2003


http://www.terena.nl/tech/task-forces/tf-csirt/iodef/ docs/iodef-idmef-xmldtd-00-rfc.html ► http://tinyurl.com/4x5u3 [INCH_WG]

INCH WG: Incident Handling Working Group of IETF http://www.ietf.org/html.charters/inch-charter.html http://www.ietf.org/internet-drafts/ draft-ietf-inch-rid-01.txt ► http://tinyurl.com/49os9

[MITS_IBRS]

Magyar Információs Társadalom Stratégia – Informatikai Biztonsági Részstratégia http://193.6.108.12/anyagok/stea/Mits/e-biztonsag/ IBRS_hazai.pdf ► http://tinyurl.com/6oqwz

[RFC2828]

R. Shirey: Internet Security Glossary, May 2000 http://www.ietf.org/rfc/rfc2828.txt

[RFC2350]

N. Brownlee, E. Guttman: Expectations for Computer Security Incident Response, June 1998. http://www.ietf.org/rfc/rfc2350.txt

[RFC2350_h]

Az RFC2350 magyar nyelvű változata, elérhető a Hun-CERT honlapján: http://www.cert.hu/szabaly/4RFC2350/ rfc2350-hun-cert-hun.html ► http://tinyurl.com/4st7e

[RFC3227]

D. Brezinski, T. Killalea: Guidelines for Evidence Collection and Archiving, February 2002 http://www.ietf.org/rfc/rfc3227.txt

[RFC_crypt]

RFC2440: OpenPGP Message Format RFC3156: MIME Security with OpenPGP RFC2631: Diffie-Hellman Key Agreement Method RFC2632: S/MIME Version 3 Certificate Handling RFC2633: S/MIME Version 3 Message Specification RFC3369: Cryptographic Message Syntax RFC3852: Cryptographic Message Syntax (CMS) Algorithm http://www.ietf.org/rfc/rfc<szám>.txt

[RTIR]

RTIR: RT for Incident Response. Nyílt forrású incidenskezelő rendszer a CERT-ek igényeihez http://www.bestpractical.com/rtir/

[SF_kolts]

David A. Dittrich: Developing an Effective Incident Cost Analysis Mechanism (last updated June 12, 2002) http://www.securityfocus.com/infocus/1592


58/296

MTA SZTAKI; E4 - 4671/4/2003

[TF_CSIRT]


TF-CSIRT Term of Reference (TSec(04)084rev2, Approved by the TTC on 15 September 2004): http://www.terena.nl/tech/task-forces/tf-csirt/ TSec_04_084.pdf ► http://tinyurl.com/4kblz

Egyéb felhasznált (a-c) és ajánlott (d-j) irodalom: (a) Tim Grance, Karen Kent, Brian Kim: Computer Security Incident Handling guide, NIST Special Publication 800-61, 2004 január http://csrc.nist.gov/publications/nistpubs/index.html

(b)

Myriam Dunn and Isabelle Wigert (edited by Andreas Wenger and Jan Metzger): Critical Information Infrastructure Protection, Swiss Federal Institute of Technology, 2004 http://www.isn.ethz.ch/crn/_docs/CIIP_Handbook_2004_web.pdf

(c)

Georgia Killcrece, Klaus-Peter Kossakowski, Robin Ruefle, Mark Zajicek: State of the Practice of Computer Security Incident Response Teams (CSIRTs), Technical Report, CMU/SEI-2003-TR-001 http://www.sei.cmu.edu/pub/documents/03.reports/pdf/03tr001.pdf

(d)

Handbook for Computer Security Incident Response Teams (CSIRTs) http:/59/www.sei.cmu.edu/pub/documents/03.reports/pdf/03hb002.pdf

(e)

State of the Practice of Computer Security Incident Response Teams (CSIRTs) http://www.sei.cmu.edu/pub/documents/03.reports/pdf/03tr001.pdf

(f)

Organizational Models for Computer Security Incident Response Teams (CSIRTs) ftp://ftp.sei.cmu.edu/pub/documents/03.reports/pdf/03hb001.pdf

(g)

Forming an Incident Response Team http://www.auscert.org.au/render.html?it=2252&cid=1938

(h)

CSIRT Services http://www.cert.org/archive/pdf/CSIRT-services-list.pdf

(i)

Computer Security Incident Handling Guide (NIST) http://csrc.nist.gov/publications/nistpubs/800-61/sp800-61.pdf

(j)

Steps for Creating National CSIRTs http://www.cert.org/archive/pdf/NationalCSIRTs.pdf

Elektronikus segédeszközök és hírforrások: nem a szabályzat része, de a Szervezet Web-szerverén és az intraweben is elérhetővé kell tenni egy jól strukturált és rendszeresen karbantartott listát (pl. Hivatkozások/(a) 131-146. oldal F. és G. mellékletek). A külső vagy belső forrásból érkező javaslat alapján csak a felelős jóváhagyásával lehet változtatni a listát.


59/296

MTA SZTAKI; E4 - 4671/4/2003


10 Mellékletek A mellékletek szerepe, hogy a szabályzathoz képest gyakrabban változó, vagy eljárásokat tartalmazó részeket „kiemelhető” formában fogja össze. Az ISO minőségbiztosítási rendszer szellemében a mellékletek külön azonosítóval és ezen belül verziószámmal rendelkeznek, így változás esetén az adott azonosítójú melléklet kerül cserére, eggyel nagyobb verziószámmal beemelve az új változatot. Ez a rendszer megengedi, hogy újabb mellékletek is bekerüljenek, de ekkor meg kell hivatkozni a szabályzatban, illetve megszűnő mellékletek legyenek, de ekkor ezek azonosítója nem adható ki más mellékletnek (jelezni kell, hogy volt, de megszűnt).

10.1 A képviseltek köre E táblázat szolgál arra, hogy a Szervezet működési területéhez tartozó intézmények, csoportok, szervezetek stb. legfontosabb – elsősorban a kapcsolatfelvételhez szükséges – adatait összefoglalja. A táblázat szükség esetén újabb oszlopokkal bővíthető. Intézmény

Alapító intézmény

Kapcsolattartó

név és/vagy beosztás

Elérési adatok

telefon / e-mail

Megjegyzés

Operátor / műszaki felelős keresse…

XY részleg

Z Internet-szolgáltató

Piaci szereplők

Szerződésszám

Táblázat 4. Képviseltek köre


60/296

MTA SZTAKI; E4 - 4671/4/2003


10.2 Egy-egy tipikus hibabejelentés szokásos kezelése Minél több bejelentés érkezik a Szervezethez, annál inkább kialakulnak a bejelentések típusai, és a típusválaszok is.20 Ez a melléklet ezeket foglalja magába. Téves bejelentés Nem a megfelelő helyre történt a bejelentés, ezért a bejelentő figyelmét felhívva a megfelelő helyre kell irányítani, a rendelkezésre álló legpontosabb adatok megadásával (ld. a mellékletek között is a megfelelő táblázatokat). Nem hatáskörbe tartozó bejelentés A bejelentés a hasonló szervezetek körébe sem tartozik (pl. szervizre tartozó problémák, otthoni Internet-szolgáltatóra tartozó ügyek stb.), így akár a legpontosabb adatok megadása nélkül (kerülni kell a marketinget, de ha egy adott céghez köthető a megoldás, akkor megemlíthető a név), de szükséges tájékoztatni a bejelentőt, hogy nem a megfelelő szervezethez fordult, és milyen irányba lépjen tovább. Felveendő bejelentések Minden olyan bejelentés, mely közvetlenül vagy közvetve a Szervezethez tartozó intézmények (ld. 10.1 részben felsoroltakat) biztonságát érinti. Más szervezetek által alkalmazott űrlapok mintái megtalálhatók a CSIRT-ek kívánatos működését leíró anyagban (Hivatkozások/(c) 213-266 oldalak). Ezek közül is kiemelhető a SANS által közzétett űrlap-csomag (Incident Handling Forms): http://www.sans.org/score/ Egy alapminta megtalálható a 10.3 fejezetben, melyet nemcsak a Web-en bejelentők tölthetnek ki, de ezt használhatják a Szervezet operátorai is a telefonos – vagy más formában – érkező bejelentések rögzítéséhez. Hibabejelentő fák Ezek a fák az idővel felgyülemlő tapasztalatok alapján a Szervezeten belül alakítandók ki, de mintaként ajánlható a Hivatkozások/(a) dokumentumban a 105. és 113. oldalaktól (A. és B. szcenáriók) azok a leírások, melyek a jellegzetesebb incidensekre térnek ki részletesebben.

10.3 Prioritások meghatározása A prioritások felosztásánál a színkód és a szint neve (azonosító vagy sorszám) tulajdonképpen másodlagos szereppel rendelkezik. A felosztás egyértelműsége, és az egyes szintekhez kapcsolódó tevékenységek összessége a fontos. Az egyes prioritások az idő függvényében egy adott bejelentés esetében változhatnak is. A 5.2 fejezetben leírtakhoz tartozó prioritási táblázat:

20

Beszélgetés szövege, e-mail formátum, kötelező és opcionális elemek, általános és specifikus esetek – idővel bővül, iterálódik a bejelentések számától és típusaitól függően.  IHM-MTA-E4-3.doc

61/296

MTA SZTAKI; E4 - 4671/4/2003

Szint


Leírás

Mi tartozik bele? Hogyan kezelendő?

0

Semleges, a beérkezett eseménnyel nem foglalkozik a Szervezet, de ekkor is rögzíti a bejelentést

Nem tartozik a tevékenységi körébe a probléma kezelése (pl. hardver-kompatibilitási gondok, biztonságot nem érintő alkalmazói beállítások, téves vagy hamis megkeresések stb.)

1

Alap, a beérkezett eseményre egyszerű megoldás adható (pl. írott anyag vagy egyszerű és hamar elvégezhető beállítások)

Az esemény lokális probléma, és egyszerű úton, rövid időn belül orvosolható (pl. jelszóváltoztatás, megfelelő paraméter beállítás, vírusfigyelő frissítése)

2

Közepes, a beérkezett eseményre összetettebb megoldás adható, szükség esetén helyszíni kiszállás szükséges

Az incidens megoldásán túl az újra előfordulás ellen el kell végezni több feladatot (frissítés, vírusirtó telepítés és beállítások több különböző szinten és rendszerelemben), melyekhez nem elégséges írott dokumentáció vagy rövid leírás biztosítása.

Nagy, az esemény külső szakértők bevonását is igényelheti, a probléma speciális, és a tudásbázisban nincs ismert ellenszere

Minden új és gyorsan terjedő támadás, melynek nem ismert a teljes mértékű megoldást jelentő ellenszere, és félő a hálózati kapcsolatok megszakadása, a rendszerek rendelkezésre-állásának erős romlása. Szükség esetén a Szervezet intézkedik a hálózati kapcsolatok felfüggesztéséről, amennyiben nem tudja elkerülni a támadás hatásában ugyanezt az állapotot, és a hálózati kapcsolat fenntartása nagyobb károkat okozhat később, mint a kapcsolat megszakítása.

Kiemelt, vészhelyzet, katasztrófa az adott rendszerre vagy kapcsolataira

A katasztrófatervben részletezett események, melyekre a tervben foglaltak szerint kell reagálni (riadólánc, élet és kármentés, tartalékrendszer stb.) Nagy valószínűséggel a hálózati kapcsolatok megszakításával vagy megszakadásával járó esemény.

3

4

Táblázat 5. Prioritási szintek meghatározása

10.4 Hibabejelentő űrlapok Ajánlott minták szerepelnek a Hivatkozások/(c) dokumentum 123. oldal C.1 és C.2 részeiben (rövidebb és hosszabb űrlap-minta). Ajánlatos az űrlapok számának korlátozása, és inkább egy vagy két űrlappal megoldani a bejelentések kezelését. Ezeken lehetnek olyan sorok, melyek előre elkészített menüt is kínálnak (pl. incidens típusa, a bejelentést tevő intézmény stb.). A mindenkor aktuális web-form, és az azt kezelő alkalmazás elérhető a Szervezet honlapján/szerverén, míg ez a melléklet csak szöveges mintát mutat egy ilyen űrlapra az [RFC2350_h] alapján:


62/296

MTA SZTAKI; E4 - 4671/4/2003


A CERT/CC által kifejlesztett űrlapot használjuk az incidensek bejelentésére. Ha úgy érzi, hogy számítógépét vagy hálózatát támadás érte, kérjük, adja meg az alábbi adatokat és juttassa el hozzánk. A *-gal megjelölt sorokat feltétlenül töltse ki. 1. 2. 3. 4. 5. 6.

Név és szervezet Név * Szervezet neve * Ágazat (pl. bank, oktatási intézmény, közigazgatás) * Elektronikus levelezési cím * Telefonszám * Egyéb adat

Érintett gép(ek) 7. Host-név és IP cím * 8. Időzóna (Magyarországon CET, ld. http://wwp.greenwichmeantime.com/ time-zone/index.htm) 9. A host funkciója (lehetőleg pontosan adja meg) * 10. 11. 12. 13. 14.

A támadó gép(ek) Host-név és IP cím Időzóna Kapcsolatot felvették? Az incidens által okozott kár becsült költsége (ha ismeretes) Az incidens leírása (tartalmazza a dátumot, a bejutás módját, a támadó ál tal használt eszközöket, a megtámadott gép operációs rendszerének és érin tett alkalmazásoknak a verziószámát, a feltett javításokat, a sebezhetősé geit, a támadás módjáról feljegyzett adatokat (naplófájlok), és minden to vábbi lényeges információt): *

10.5 Elektronikus eszközök Leltár szerepet is betöltő lista az eszközök egyedi azonosítóival (külső forrásból ideiglenesen a Szervezetben lévő és saját eszközöket jól látható megkülönböztető jellel kell ellátni a Szervezetben tartott időre), fizikai helyével, tulajdonosával vagy felügyelőjével. A jelzés ésszerű módon alkalmazandó, így a szervertől a hajlékony lemezig mindenen a megfelelő jelzésrendszer kerüljön alkalmazásra, hogy az eszközök hovatartozása szemmel azonosítható legyen. A nyilvántartásba tartozik minden olyan eszköz, mely a szolgáltatásban közvetlenül vagy közvetve részt vesz a számítógépektől a telekommunikációs eszközökön át az iratmegsemmisítőkig. Az eszközök adatai mellett szerepelnie kell egy várható időpontnak, amikor az adott eszköz cserére szorul, és ez alapján egy meghatározott időpontnak, amikor a pótlásáról vagy felújításáról gondoskodni kell a beszerzési eljárás elindításával. Nem engedhető meg, hogy kulcsfontosságú rendszerelem esetében az új elem később kerüljön üzembeállításra, mint ahogy az aktuálisan használt elem kivonásra kerül az üzemszerű működésből. A minőségbiztosítási rendszer részeként a leltárral összhangban vezetett nyilvántartás a következő táblázatformába foglalható21:

21

A hajlékonylemezek, CD stb. esetében elégséges a fizikai megjelölés, leltárba csak akkor kell felvenni, ha az adattartalma ezt megkívánja (pl. speciális telepítőkészlet).  IHM-MTA-E4-3.doc

63/296

MTA SZTAKI; E4 - 4671/4/2003

Név, típus

PC1, személyi számítógép

Azonosító (leltári szám)

XYZ 1234


Tulajdonos vagy felügyelő

Fizikai hely

Titkárság

AB

Kivonás / pótlás

2007. június / 2007. április

Táblázat 6. Elektronikus eszközök – nyilvántartás

10.6 FAQ és hasznos információforrások A FAQ (GYIK) egy idővel gyarapodó kérdés-válasz gyűjtemény. Mintaként elérhető példa:  Hivatkozások/(a) 139. oldaltól H. pont  CERT/CSIRT FAQ: http://www.cert.org/csirts/csirt_faq.html A hasznos információforrások egy folyamatosan változó lista (ld. 577. oldal utolsó bekezdés), ezért itt csak egy minta szerepel az aktuálisan leghasznosabb forrásokról. Levelezési listák Bugtraq A Bugtraq a SecurityFocus-on működtetett moderált lista, témája a számítógépes biztonságot érintő sebezhetőségek elemzése: a sebezhetőség mibenléte, a sebezhetőséget kihasználva hogyan törhető fel egy rendszer vagy alkalmazás, hogyan lehet javítani az érintett programot. A statútum részletesen felsorolja, hogy milyen jellegű leveleket vár:  számítógépet illetve hálózatot érintő sebezhetőségek (UNIX, Windows, vagy bármilyen más rendszer),  feltöréshez alkalmazott programok, script-ek, vagy azok részletes leírása,  javítások, a sebezhetőségek elkerülésére,  bejelentések, tanácsok, figyelmeztetések,  számítógép- és hálózatbiztonságra vonatkozó ötletek, tervek vagy munkák,  egyes gyártóknál alkalmazott eljárások a témába vágó információs anyagai,  egyéni tapasztalatok a gyártókról, biztonsági szervezetekről,  incidensekről tanácsok vagy informális anyagok,  új vagy frissített biztonsági eszközök. A SecurityFocus-on további, a témába vágó listák találhatók, például a tűzfalakról, honey potról, IDS-ről, számítógépes bűntett kivizsgálásáról stb. http://www.securityfocus.com/archive Full disclosure A lista a sebezhetőséggel kapcsolatos mindenféle információval foglalkozik. A levelező partnerektől például feltörésnél alkalmazott kódokat és technikákat, evvel kapcsolatos szoftvereszközöket, ilyen  IHM-MTA-E4-3.doc

64/296

MTA SZTAKI; E4 - 4671/4/2003


tárgyú bejelentéseket taglaló cikkeket vár. A lista témájába vágó leveleket nem moderálják. Az archívum 2002 júliusától kezdve letölthető, így a feliratkozás nem szükséges. http://lists.netsys.com/pipermail/full-disclosure/ Penetration testing (Pen-test) A listát elsősorban hálózat-auditálással foglalkozó szakembereknek szánták, de biztonsági hibákkal és azok kihasználásával foglalkozó levelek is találhatók itt. Ugyancsak a SecurityFocus szerverén érhető el. http://www.securityfocus.com/archive/101 LogAnalysis A LogAnalysis lista elsősorban rendszeradminisztrátorok konfigurálásáról, kezeléséről, biztonságos tárolásáról esik szó.

fóruma,

ahol

a

log-fájlok

http://sisyphus.iocaine.com/pipermail/loganalysis/ Két további weblap, ahol sebezhetőségekkel, incidensekkel kapcsolatos listák találhatók: SecLists.Org, Neohapsis.com. http://seclists.org/ http://archives.neohapsis.com/ Weblapok Common Vulnerabilities and Exposures (CVE) A CVE az ismert sebezhetőségeket és biztonsági hibákat tartalmazza. A sebezhetőségek egyértelmű azonosítása, a szabványos leírás nagy előrelépés volt, amely elősegíti a különféle rendszerek átjárhatóságát. A CVE hivatkozást sok IDS rendszer használja, példaként említhető a Snort. A szolgáltatást a Department of Homeland Security alapította. Egy biztonsági rés bejelentésekor az egy ideiglenes CVE számot kap. Amennyiben az Editorial Board megtárgyalta és jóváhagyta a listába kerülést, akkor a CVE bejegyzés véglegessé válik. A lista tartalma (jelöltek is) kereshető név és kulcsszó alapján, kereshető egy alkalmazáshoz tartozó összes bejegyzés, valamint a teljes lista le is tölthető. http://www.cve.mitre.org/ CERT/CC Incident Notes and Advisories A CERT/CC az egyik legnagyobb központ, amelyik Internet biztonsági problémákkal foglalkozik. A Carnegie Mellon University, Software Engineering Institute keretén belül működik. A munkatársak – többek között – biztonsági problémákat elemeznek, technikai dokumentumokat adna ki stb. 2004 februárjáig jelentettek meg incidensekre vonatkozó tanulmányokat és megjegyzéseket, azóta ez a tevékenység az US-CERT-hez került át. http://www.cert.org/incident_notes/ US-CERT Az US-CERT-et, az USA nemzeti biztonsági csoportját 2003. szeptemberében alapították, a US Department of Homeland Security támogatásával. Pontosabban a minisztériumon belül a National Cyber Security Division (NCSD) részleghez tartozik. A CERT/CC incidenskezelő tevékenységét átvéve 2004. januárja óta ez a szervezet gyűjti és teszi közzé a biztonsági riasztásokat. Kétfajta riasztást kezel: az ún. „technical cyber security alert (TA04-nnnn)”-t a szakemberek számára, és a laikusoknak szánt „cyber security alert (SA04-nnnn)”-t. Egy-egy incidensre vonatkozó riasztás  IHM-MTA-E4-3.doc

65/296

MTA SZTAKI; E4 - 4671/4/2003


többnyire mindkét kategóriában megjelenik, eltérés az incidensek részletezésében, a leírás szakmai alaposságában mutatkozik (a szám évenként változik, míg az ’nnnn’ szekvenciális sorszámozást jelent). http://www.us-cert.gov/cas/techalerts/index.html SANS (SysAdmin, Audit, Network, Security Institute) A SANS weblapjain lévő információk közül az ISC Storm-ot érdemes kiemelni, ami tulajdonképpen egy korai figyelmeztető rendszer. Az egyes portokon folyó tevékenységek és ezek trendjének nyomon-követésével észleli a kiugrásokat, s a váratlan tendenciákra még a biztonsági hiba feltárása előtt felhívja a szakemberek figyelmét. Az adatokat országonként is összesíti, így területi trendek is elemezhetők. Ingyenes on-line folyóiratára bárki feliratkozhat (@RISK). http://isc.sans.org/ http://www.sans.org/ SecurityFocus A fontosabb levelezési listáknál már szóba került a SecurityFocus. Ide a sebezhetőségeket tartalmazó adatbázisa miatt került. Az adatbázis kereshető a gyártó, az elnevezés, a Bugtraq azonosító, a CVE azonosító és kulcsszavak szerint is. Egy-egy sebezhetőség leírása nagyon részletes, tartalmazza a közzététel dátumát, Bugtraq azonosítót, bejelentőt, az érintett rendszereket verzió szinten, a biztonsági rés kiküszöbölhetőségének módját, hivatkozásokat stb. http://www.securityfocus.com/ iDefense Az iDefense-t az Infrastructure Forum Inc. alapította 1988-ban azzal a céllal, hogy segítse a felhasználókat az információs vagyonukat, számítógépeiket, hálózatukat, az Internet-elérésük működőképességét fenyegető veszélyek elkerülésében vagy legalábbis kezelésében. Négy szolgáltatást nyújtanak: kutatásjelentéseket, rosszindulatú kódokról szóló tanulmányokat, sebezhetőségeket, és a teljes Internet-világot érintő fenyegetéseket leíró anyagokat tesznek közzé. http://www.idefense.com/application/poi/display? type=vulnerabilities Gyártók honlapjai Ha bármilyen biztonsági résről egy rendszergazda tudomást szerez, akkor a gyártó honlapját érdemes először megnézni. A legtöbb esetben a gyártó a cég honlapján a ”/security” cím alatt teszi elérhetővé biztonsággal kapcsolatos anyagait. Ezen túl azonban egy-egy – az adott operációs rendszerrel foglalkozó, de nem a gyártó által üzemeltetett – biztonsági oldalt is érdemes figyelemmel kísérni, mert a népszerűbb operációs rendszerek esetében sokszor a gyártó lapján még el nem érhető információk is megtalálhatók ezeken. Csak a példa kedvéért: http://www.nl.debian.org/security/ http://www.linuxsecurity.com/docs/ http://www.microsoft.com/security/ http://www.windowsecurity.com/


66/296

MTA SZTAKI; E4 - 4671/4/2003


Konferenciák Az alábbi lapok mindegyike biztonsággal foglalkozó konferenciákat gyűjt össze. Az első hivatkozást azért lehet kiemelni, mert a biztonsággal foglalkozó konferenciákat kulcsszavakkal látja el. http://www.ee.oulu.fi/research/ouspg/sage/conferences/ http://www.cs.ucsd.edu/users/mihir/confs.html http://homelandsecurity.osu.edu/conferences.html http://www.cl.cam.ac.uk/Research/Security/conferences/all.html http://www3.ca.com/securityadvisor/newsinfo/team.aspx?q=60000 http://www.allconferences.com/Computers/Security/ A fenti forrásokból viszonylag egyszerű eszközökkel rendezvénynaptár készíthető és készítendő. A rendezvények témájának Interneten keresztüli figyelése is megmutatja, hogy milyen irányba fejlődik a hálózatbiztonság, milyen új eszközök jelentek meg, honnan és kitől lehet további információt szerezni. Nevesebb konferenciák FIRST (ld. ) – http://www.first.org/conference/ Rendszeres évi konferenciájuk, az „Annual FIRST Conference on Computer Security Incident Handling”, a CERT csoportok találkozója. Ezen kívül tavasszal és ősszel még egy-egy technikai kollokviumot is szerveznek, de ezekre csak FIRST tagok lehetnek hivatalosak. SANS (ld.) – http://www.sans.org/conference/archive/ A SANS számos rendezvényéből kiemelkedik a SANS Annual Conference, amit ők maguk is „megakonferenciának” neveznek. Állandó helyszín az Egyesült Államok. ISACA (ld. 10.11 táblázatban) – http://www.isaca.org Az ISACA története egészen 1967-ig nyúlik vissza, amikor egy kis csoport – egyre kritikusabban szemlélve szervezetük számítógépes rendszerének működését – összeült és egy információs útmutatót készített. A csoport 1969-ben intézményesült, EDP Auditors Association néven. Az ISACA-nak ma már mintegy 100 országban 35,000 tagja van, akik a legkülönfélébb információtechnológiai pozíciókat töltik be, például információbiztonsági szakértő, informatikai vezető, belső auditor. Ezek a pozíciók átfogják az ipar minden ágazatát, beleértve a banki, a kormányzati szférát, és a magánszektort. Az ISACA három nevezetes konferenciát szervez:  Computer Audit, Control and Security Conference (CACS)  Network Security Conference  Information Security Management Conference HISEC (Nemzeti adatvédelmi és adatbiztonsági konferencia) – www.hisec2004.hu 2003-ban kelt új életre ez a magyar konferencia. A 2004-es témák: Common Criteria és a Magyar Informatika Biztonsági Értékelési és Tanúsítási Séma (MIBÉTS); biometria és elektronikus szavazás; kriptográfia; adatvédelmi átvilágítás és audit elmélete és gyakorlata; mobil fizetés és intelligens kártya; hálózat- és IT biztonság aktuális kérdései; elektronikus aláírás.  IHM-MTA-E4-3.doc

67/296

MTA SZTAKI; E4 - 4671/4/2003


Underground… A fiatal érdeklődők és tehetségek egyes csoportjai különböző rendezvényeken vagy hírcsoportokban (news) találkoznak, melyeken sokszor olyan információk is elérhetők, melyek a tudományos és egyéb konferenciák egyikén sem. A több éves hagyományokkal megrendezésre kerülő összejövetelek aktuális információira rá kell keresni a következő néhány „kulcsszó” alapján:  Hacking Extreme (Hex 2005), elődei: HIP97, HAL2001 – Hollandia  Chaos Computer Club – Németország  DefCon, HOPE, Geek, H2K2, Alt2600 – Egyesült Államok  Hacktivity – Magyarország Ezek mellett ázsiai forrásokra is figyelemmel érdemes lenni, mert nemcsak az ottani kutatók és kormányok támogatják az elektronikus hadviselést22, hanem arra is volt példa, hogy európai vagy amerikai konferenciáról elutasított előadás ázsiai konferencián kapott helyet, majd később elismerő szavakat, mert az adott sebezhetőség igaznak bizonyult. Saját rendezvények Azokban az esetekben, amikor a konferencia évente más és más helyszínen (országban) kerül megrendezésre megfontolandó a hazai pályázat beadása. Ebben az esetben a részvétel szélesebb körnek lehet elérhető, és a kapcsolatépítés is könnyebb. A kisebb rendezvények magában foglalhatnak egy adott témában megrendezett szemináriumot akár egyetlen előadóra építve az eseményt. A potenciális előadó személyére és a szeminárium témakörére minden alkalmazott tehet javaslatot a műszaki felelős felé, aki előzetesen felmérheti az előadó meghívásának lehetőségeit, de a hivatalos felkérés csak a felsővezetőtől származhat. Az alkalmazottak minden egyéb felkérésnek a felsővezető jóváhagyásával tehetnek eleget, de a Szervezet támogatja felsőoktatási tevékenységüket (oktatás, szakdolgozók témavezetése stb.), mivel ez jó csatorna a fiatal tehetségek felfedezésére.

22

A Zrínyi Miklós Nemzetvédelmi Egyetemen évek óta létező szakirány.


68/296

MTA SZTAKI; E4 - 4671/4/2003


10.7 Hazai CERT-ek elérési adatai (Az alábbi adatok a 2006. április végi állapotot tükrözik.) Megnevezés Magyar Nemzeti CERT (HunCERT):

HUNGARNET CERT (NIIF-CSIRT):

Kormányzati CERT (CERT Hungary):

Kapcsolattartó Becz Tamás, Martos Balázs, Rigó Ernő, Tiszai Tamás, Tóth Beatrix,

Farkas István Máray Tamás Mohácsi János, Németh Ervin, Dr. Suba Ferenc Szekeres Balázs Birkás Bence

Elérési adatok

Megjegyzés

MTA-SZTAKI 1111 Budapest, Kende u. 13-17. Tel: +36-1-279-7190 (09:00-16:00) Fax: +36-1-466-7503 E-mail: [email protected] PGP-KeyID: 0x59B9E495 Lenyomat: B368 6C6B F4A6 5693 9721 B271 F8EC 9F54 59B9 E495 NIIF-CSIRT NIIF/HUNGARNET 1132 Budapest, Victor Hugó u. 18-22 Tel: +36-1-279-6030 (08:00 – 18:00) E-mail: [email protected] CERT-Hungary 1061 Budapest, Munkácsy Mihály u. 16. Tel: +36-1-301-2080 Fax: +36 1 353 1937 PGP Key lenyomat: 2E13 1DC5 0C31 51F0 E658 C670 89B3 CCF1 F3A0

Szervezet

Táblázat 7. Hazai CERT-ek elérési adatai


69/296

10.8 Külföldi CERT-ek adatai A melléklet legalább évente egyszer felülvizsgálatra és frissítésre kerül. A külföldi CERT-eket jelző térkép többféle méretben elérhető a CERT honlapján: http://www.cert.org/csirts/images/csirts-big3.gif (Az alábbi adatok a 2005. október végi állapotot tükrözik.)

Név

Hivatalos név

Ország

Típus

Webcím

CERT/ FIRST TI CC

AAB GCIRT

ABN AMRO Global CIRT

Hollandia

banki

http://www.abnamro.com/

*

*

AboveSecCERT

Above Security Computer Emergency Response Team

Kanada

cég

http://www.abovesecurity.com/

*

*

*

ABUSE TP S.A.

Tpnet

Lengyelország

cég

http://www.tpnet.pl/abuse-english.html

ACERT

Army Emergency Response Team

USA

katonai

----

*

*

ACIRT

Accenture CIRT

USA

----

*

*

ACOnet-CERT

ACOnet.CERT

Ausztria

felsőoktatás

http://cert.aco.net/

*

*

AFCERT

Air Force CERT

USA

légierő

----

*

*

AMC-CERT

Academic Medical Center

Hollandia

egészségügyi

http://www.amc.uva.nl/cert/

*

Apple

Apple Computer

USA

cég

----

*

APSIRT

*

*

* USA

egészségügyi.

----

*

*

Argentína

kormányzati

http://www.arcert.gov.ar/en/

*

*

ART

The American Red Cross Computer Emergency Response Team Computer Emergency Response Team of the Argentine Public Administration "@stake" Response Team

USA

cég

http://www.atstake.com/

*

*

AT&T

AT&T

USA

cég

----

*

*

*

*

ARCcert ArCERT

AusCERT

Australian Computer Emergency Team

Ausztrália

nemzeti

http://www.auscert.org.au/

Auth-CERT

Aristotle University

Görögország

felsőoktatás

http://www.auth.gr/

Avaya-GCERT

Avaya Global Computer Emergency Response Team

USA

cég

----

B1CSIRT

Bank One Computer Security Incident Response

USA

banki

----

BadgIRT

University of Wisconsin-Madison

USA

felsőoktatás

http://www.doit.wisc.edu/security/

*

*

BCERT

Boeing CERT

USA

cég

----

*

*

BMO InfoSec Incident Response Team

Kanada

banki

----

BE-CERT BMO ISIRT

*

* * *

*

Brasil Telecom

*

*

*

BT SBS

BT Secure Business Services

Nagy-Britannia

BTCERTCC

British Telecommunications CERT Co-ordination Centre

Nagy-Britannia

* cég

----

*

* *

*

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

Ország

Típus

Webcím

CAIS/RNP

Brazilian Research Network CSIRT

Brazília

kutatói hálózat

http://www.cais.rnp.br/

CanCERT

EWA-Canada / Canadian Computer Emergency Response Team

Kanada

nemzeti

http://www.cancert.ca/Home/Default.php

CARNet CERT

Croatian Academic and Research Network CERT

Horvátország

nemzeti

http://www.cert.hr/

CAT

Cable & Wireless Cyber Attack Team

USA

cég

CCERT

CERT/ FIRST TI CC *

* *

*

*

*

*

*

*

CC-SEC

Cablecom Security Team

Svájc

ISP

http://www.cablecom.ch/

*

*

Cdn CIRCC

Canadian Computer Incident Response Coordination Centre

Kanada

kritikus infrastruktúra

http://www.ocipep-bpiepc.gc.ca/

*

*

CERN-CERT

CERN, European Nuclear organization

Svájc

kutatóintézet

*

* *

CERT Polska

Computer Emergency Response Team Polska

Lengyelország

Internet felhasználók

http://www.cert.pl/

CERT.PT

NRES CERT

Portugália

kutatói hálózat

http://www.cert.pt

CERT/CC

CERT Coordination Center

USA

Internet

http://www.cert.org/

*

*

CERTA

CERT-Administration

Franciaország

http://www.certa.ssi.gouv.fr/

*

*

*

CERT-Bund

CERT-Bund

Németország

http://www.bsi.bund.de/certbund/

*

*

*

CERTBw

Computer Emergency Response Team Bundeswehr

Németország

kormányzati szövetségi kormányzati intézmények Védelmi Minisztérium

*

*

*

Németország

cég

Finnország

országos

http://www.certcom.de/ http://www.ficora.fi/englanti/tietoturva/c ertfi.htm http://www.energis-idc.net

CERT/AQ

CERTCom

*

*

*

*

CertCom AG

CERT-FI CERT-IDC

*

CERT Internet Data Center

Hollandia

CERT-IN

* *

* *

*

CERT-IST

CERT Industries, Services & Tertiaire

Franciaország

CERT-IT

CERT Italiano

Olaszország

ipar, felsőoktatás, szolgáltatás olasz Internet site-ok

CERT-KUN

CERT Katholiek Universiteit Nijmegen

Hollandia

felsőoktatás

CERT-LEXSI

Laboratori d'Expertise en Securité Informatique

Franciaország

CERT-Renater

CERT-Renater

Franciaország

CERT-RUG

Computing Center, University of Groningen

http://www.cert-ist.com/

*

*

*

http://security.dico.unimi.it/

*

*

*

http://www.kun.nl/cert

*

*

l cég Kutatási és Oktatási Minisztérium felsőoktatás

http://www.lexsi.com http://www.renater.fr/Securite/CERT_Renate r.htm http://www.rug.nl/rc/security

*

*

http://www.cs.ruu.nl/cert-uu/

*

CERT-UU

Utrecht University

Hollandia

felsőoktatás

CERT-VW

CERT-VW

Németország

cég

Csehország

akadémiai hálózat CGI, minisztériumok, magánipar

CESNET-CERTS CGI CIRT

CGI Computer Incident Response Team

Kanada

CIAC

US Department of Energy's Computer Incident Advisory Capability

USA

CiART


*

*

* *

* * *

http://www.cesnet.cz/ http://www.cgi.ca/

Energiaügyi Minisztérium http://ciac.llnl.gov/

*

* *

*

*

*

*

*

72/296

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

Ország

Típus

Webcím http://www.cisco.com/security/

CERT/ FIRST TI CC

Cisco Systems

Cisco Systems

USA

cég

*

*

Cisco-PSIRT

Cisco Systems Product Security Incident Response Team

USA

cég

*

*

*

Citigroup CIRT

Citigroup CIRT

USA

*

*

*

CLCERT

Chilean Computer Emergency Response Team

Chile

cég .cl alatti felhasználók, szervezetek

CNCERT/CC ComCERT

National Computer Network Emergency Response Technical Team Kína / Coordination Center of China Commerzbank CERT Németország

http://www.clcert.cl/

.cn domain

http://www.cert.org.cn/

*

*

banki

http://www.commerzbank.com/

*

*

http://www.counterpane.com http://www.csecst.gc.ca/en/about_cse/about_cse.html

Cornell Univ Counterpane First Team

USA

multi cég

CSE

Communications Security Establishment

Kanada

cég

CSIRT ABM AMRO REAL CSIRT Santander Banespa CSIRT Unicamp

* *

*

* * *

CSIRT USP

* Danish Computer Security Incident Repsonse Team

Dánia

TeleDenmark felhasználói http://www.csirt.dk/

CTR/DPF CYPRUS

*

*

CounterCERT

CSIRT.DK

*

*

*

*

* Cyprus Academic Research Network

Ciprus

akadémiai hálózat

*

*

DANCERT

Delivery of Advanced Network Technology to Europe, Ltd.

EU

Európai kutatói hálózata

http://www.dante.net/safeflow.html

dbCERT

Deutsche Bank Computer Emergency Response Team

Németország

banki

http://www.db.com/

dCERT

debis Computer Emergency Response Team

Németország

cég

*

*

*

DFN-CERT

DFN-CERT

Németország

nemzeti

http://www.cert.dfn.de/eng/

*

*

*

DIRT

DePaul Incident Response Team

USA

felsőoktatás

http://dirt.depaul.edu/

*

*

DK-CERT

Danish Computer Emergency Tam

Dánia

nemzeti

*

*

DND CIRT

Department of National Defence

Kanada

minisztériumi

*

*

DoD-CERT

US Department of Defense CERT

USA

Védelmi Minisztérium

http://www.cert.dk/ http://www.first.org/about/organization/te ams/dnd_cirt/ http://www.cert.mil/

*

*

E-CERT

Energis Computer Emergency Response Team

Nagy-Britannia

cég

http://cert.energis2.net/

*

*

EDS

EDS

USA

cég

http://www.eds.com/

*

*

EForensics

eForensics

USA

ügyészség?

*

*

ELN-FIRST

*

*

*

*

*

*

*

* cég

http://www.GuidanceSoftware.com

ESA Computer and Communications Emergency Response Team Olaszország

EU űrkutatás

http://www.esacert.esa.int

CERT for Technical University of Catalunya

felsőoktatás

http://escert.upc.es/

EnCIRT

Encase Computer Incident Response Team

ESACERT EsCERT-UPC


USA Spanyolország

* *

*

*

*

*

73/296

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

ETISALAT-CERT

ETISALAT Computer Emergency Response

EUCS-IRT

University of Edinburgh

Ország

Típus

Webcím

CERT/ FIRST TI CC *

Nagy-Britannia

felsőoktatás

*

FCC CIRT

*

*

FedCIRC

*

Foundstone

Foundstone FIRST Team

USA

cég

FRS-CERT

Federal Reserve System National Incident Response Team

USA

szervezet

FSC-CERT

CERT of Fujitsu-Siemens Computers

Németország

cég

FUNet CERT

Finnish University and Research Network CERT

Finnország


GARR-CERT

GARR Network

Olaszország


GD-AIS

General Dynamics – AIS

USA

cég

http://www.frsnirt.org/ http://www.csc.fi/suomi/funet/cert/index.h tml.en http://www.cert.garr.it/

*

*

*

*

*

*

*

*

*

* *

GE

*

GI REACT

*

GIST

Google Information Security Team

USA

cég

GNS-CERT

GNS-CERT

Németország

cégek

*

Goldman Sachs

Goldman, Sachs and Company

USA

cég

GOVCERT.NL

GOVCERT.NL

Hollandia

kormányzati

GRNET-CERT

Greek Research and Technology Network

Görögország


GTCERT

Georgia Institute of Technology CERT

USA

felsőoktatás

Írország


http://www.heanet.ie/cert.html

*

Kína

területi

http://www.hkcert.org

*

*

HOUSECIRT

HEANET CERT Hong Kong Computer Emergency Response Team Coordination Centre US House of Representatives Computer Incident Response Team

USA

képviselőház

http://www.house.gov/ushcert/

*

*

HP SSRT

HP Software Security Response Team

USA

cég

*

*

Hun-CERT

Hungarian Internet Service Provider

Magyarország

Internet szolgáltatók

IBM MSS

IBM Managed Security Services

USA

cég

IBM-ERS

IBM Emergency Response Services, Europe

USA

cég

http://www.gnsec.net

HKCERT

* *

*

http://www.govcert.nl/

*

*

http://cert.grnet.gr http://www.gatech.edu/itis/security/home.h tml

*

Guardent HEANETCERT

*

*

* * *

*

*

http://www.cert.hu http://www1.ibm.com/services/continuity/recover1 http://www.ers.ibm.com/

IDCERT

*

* *

* *

*

*

*

IIJ-SECT

IIJ Group Security Coordination Team

Japán

Internet szolgáltató

*

*

ILAN-CERT

Israeli Academic CERT

Izrael

akadémiai

*

*

*

IP+CERT

IP-Plus CERT

Svájc

cég

http://www.ip-plus.net/

*

*

*

IRIS-CERT

IRIS-CERT IRS (Internal Revenue Service) Computer Security Incident Response Team

Spanyolország

kutatói hálózat

http://www.rediris.es/cert/

*

*

*

USA

cég

*

*

IRS CIRT


74/296

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

Isnet CERT

Ország

Típus

Webcím

CERT/ FIRST TI CC

http://www.cert.isnet.is/

Izland

ISS

ISS

USA

cég (biztonság)

IU-CERT

Indiana University CERT

USA

felsőoktatás

* *

*

http://www.itso.iu.edu/

*

*

*

*

*

*

*

*

*

*

*

*

*

JANET-CERT

JANET-CERT

Nagy-Britannia


http://www.ja.net/CERT/cert.html

JPCERT/CC

JPCERT Coordination Center

Japán

Internet közösség

http://www.jpcert.or.jp/

JPMC CIRT

JPMorgan Chase Computer Incident Response Team

USA

cég

JSOC

Japan Security Operation Center

Japán

cég

KCSIRT

KENNISNET CSIRT

Hollandia

iskolai hálózat

http://www.lac.co.jp/security/

*

KMD IAC

KMD Internet Alarm Center

Dánia

cég

http://www.kmd.dk/

*

*

*

KPN-CERT

Computer Emergency Response Team of KPN

Hollandia

cég

http://www.kpn-cert.nl

*

*

*

KrCERT/CC

CERT Coordination Center – Korea

Korea

országos

http://www.certcc.or.kr/

*

*

LITNET CERT

LITNET CERT

Litvánia


http://cert.litnet.lt

*

*

Luxemburg

országos

http://www.cert.lu/

*

LuxCERT MARCERT MCI, Inc.

USA

cég

MCIRT

Metavante Computer Incident Response Team

USA

cég

* *

MCIWorldCom

MODCERT

Micro-BIT Virus Center

Németország

felsőoktatás

Massachusetts Institute of Technology Network Security Team

USA

felsőoktatás

Merrill Lynch Computer Security Incident Response Team

USA

cég

MOD Computer Emergency Response Team

Nagy-Britannia

védelmi minisztérium

http://web.mit.edu/net-security/ http://www.mod.uk/cert/

*

*

*

*

*

*

*

*

*

* Microsoft Product Support Services Security Team

mtCERT Malaysian Computer Emergency Response Team

USA

cég

Málta

cég

Malajzia

országos

http://www.microsoft.com/technet/security/

*

*

http://www.mycert.org.my/

*

*

*

NAI

*

NARIS

* http://www-nasirc.nasa.gov/

NASIRC

NASA Incident Response Center

USA

ügynökség

NAVCIRT NBSO/Brazillian CERT

Naval Computer Incident Response Team NIC BR Security Office - Brazilian Computer Emergency Response Team NATO Computer Incident Response Capability - Coordination Center

USA

Tengerészeti minisztérium http://infosec.nosc.mil/

Brazília

országos

Belgium

NATO

NCIRC CC

*

*

Motorola

MYCERT

*

*

MOREnet MSCERT

*

*

MCI

Micro-BIT MIT Network Security MLCIRT

*

N-CIRT


http://www.nbso.nic.br/

*

*

*

*

*

* *

*

75/296

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

Ország

Típus

Webcím http://www.ncsa.uiuc.edu/people/ncsairst/

CERT/ FIRST TI CC

NCSA-IRST

National Center for Supercomputing Applications IRST

USA

kutatóközpont

NIHIRT

NIH Incident Response Team

USA

egészségügyi

NIIF-CSIRT

Hungarnet CERT

Magyarország

http://csirt.niif.hu

*

NIRT

National Incident Response Team, Cabinet Secretariat

Japán

http://www.bits.go.jp/

*

*

NIST

NIST IT Security

USA

akadémiai hálózat kormányzati és kritikus infrastruktúra szabványügyi hivatal

*

*

NN FIRST Team

Nortel Networks FIRST Team

Kanada

cég

http://nortelnetworks.com

NORDUnet

NORDUnet

Dánia

skandináv kutatói hálózat

http://www.nordu.net/

*

*

NU-CERT

Northwestern University

USA

felsőoktatás

http://grumpy.acns.nwu.edu/nu-cert/

*

*

NUSCERT

NUS Computer Emergency Response Team

Szingapúr

felsőoktatás

http://security.nus.edu.sg/

*

*

OGCBS

Executive Agency of the Office of Government Commerce

Nagy-Britannia

http://www.ogcbuyingsolutions.gov.uk/

*

Ontario IPC

Ontario Information Protection Centre

Kanada

tartományi kormányzat

ORACERT

Oracle Global Incident response Team

US

cég

OS-CIRT

Open Systems AG Computer Incident Response Team

Svájc

cég

OSU-IRT

the Ohio State University Incident Response Team

USA

felsőoktatás

OxCERT

Oxford University IT Security Team

Nagy-Britannia

felsőoktatás

*

*

* *

* *

* *

http://www.open.ch/ http://www.ox.ac.uk/it/compsecurity/oxcert /

PAKCERT

*

*

*

*

*

*

*

*

* *

*

PCERT PERMALAN

*

* perComp Malware Analysis Team

Németország

cég

http://www.percomp.de

PHCERT

* *

POL34-CERT

Polish Scientific Broadband Network CERT

Lengyelország

akadémiai

http://cert.pol34.pl

*

PRE-CERT

PRE-CERT

Németország

cég

http://www.pre-secure.de/

*

PruCERT

* *

*

*

PSU

Pennsylvania State University

USA

felsőoktatás

*

*

Q-CIRT

QinetiQ Computer Incident Response Team

USA

cég?

http://www.qinetiq.com/

*

*

RADIANZ

RADIANZ

USA

cég

http://www.radianz.com/

*

*

RBC FG CSIRT

RBC Financial Group CSIRT

Kanada

banki

http://www.radianz.com/

*

*

RBSG

Royal Bank of Scotland, Investigation and Threat Management

Nagy-Britannia

banki

http://www.rbs.co.uk/

RHNet CERT

*

*

Izland

felsőoktatás

RM CSIRT

ROYAL MAIL CSIRT CC

Nagy-Britannia

posta

RU-CERT

Computer Security Incident Response Team RU-CERT

Oroszország

országos

http://www.cert.ru/Eng/

*

*

*

RUS-CERT

Rechenzentrum Universitat Stuttgart CERT

Németország

egyetemi

http://cert.uni-stuttgart.de/

*

*

*

Rutgers CIRT SAIC-IRT

*

* *

* Science Applications International Corporation - Incident Response Team


USA

cég

*

76/296

MTA SZTAKI; E4 - 4671/4/2003

Név SBACERT


Hivatalos név Small Business Administration

Ország

Típus

Webcím

USA

*

SBS

Secure Business Services

Nagy-Britannia

British Telecom

S-CERT

CERT of the German Savings Banks Organization

Németország

banki

Secu-CERT

SECUNET CERT

Németország

cég

USA

cég

http://www.btignitesolutions.com/solutions /securit http://www.s-cert.de/ http://www.sgi.com/support/security/

SGI

Silicon Graphics, Inc.

SIAPI-CERT

Siapi Networks Eleno, Morell & Sanchez Asociados S.L

SI-CERT

Slovenian CERT

Szlovénia


Siebel

Siebel Security Team

USA

cég

Siemens-CERT

Siemens-CERT

Németország

cég

SingCERT

Singapore CERT

Szingapúr

országos

SITIC

Swedish IT Incident Centre

Svédország

SPRINT

SPRINT

USA

cég

Stanford

Stanford University Information Security Services

USA

felsőoktatás

SUN

Sun Microsystems, Inc.

USA

cég

SUNet-CERT

SUNet-CERT

Svédország

felsőoktatási hálózat

http://www.cert.sunet.se/

SURFnet-CERT

Hollandia

kutatói hálózat

http://cert.surfnet.nl/

cég

* *

*

*

*

*

*

*

*

*

* http://www.arnes.si/en/si-cert/

*

*

*

*

*

*

*

http://www.singcert.org.sg/

*

*

http://www.sitic.se

* *

http://security.stanford.edu/

SUNSet SURFnet-CERT

CERT/ FIRST TI CC

* * *

*

*

*

*

*

*

*

* *

* *

SWITCH-CERT

Swiss Education and Research Network CERT

Svájc


http://www.switch.ch/cert/

*

*

SymCERT

Symantec Computer Emergency Response Team

USA

cég

http://www.symantec.com/

*

*

T-Com-CERT

Deutsche Telekom AG CERT

Németország

TDBFG CSIRT

TDBFG Computer Security Incident Response Team

Kanada

banki

Telekom-CERT

Internal CERT for Deutsche Telekom

Németország

cég

* *

*

*

* TELMEX Security Incident Response Team

Peru

országos

http://www.telmex.com/pe/tesirt/

ThaiCERT

* *

TRCERT

Törökország

TS/ICSA FIRST

TruSecure Corporation

TS-CERT

TeliaSoneraCERT CC Taiwan Computer Emergency Response Team/Coordination Center

TWCIRC U.S. Coast Guard CIRT UB-FIRST

* *

TeliaCERTCC

TWCERT/CC

*

*

SWISS ReCERT

TESIRT

*

kormányzat

*

* *

Svédország

cég

Taiwan

országos

* http://www.cert.org.tw/

*

*

*

* * UB-First


USA

felsőoktatás

http://www.buffalo.edu/

*

*

77/296

MTA SZTAKI; E4 - 4671/4/2003

Név


Hivatalos név

Ország

Típus

UCERT Uchicago Network Security UGaCIRT

Unisys CERT

USA

cég

The University of Chicago Network Security Center

USA

felsőoktatás

The University of Georgia Computer Incident Response Team

USA

UNAM-CERT

UNAM-CERT

Mexikó

Webcím

CERT/ FIRST TI CC *

*

http://security.uchicago.edu/

*

*

felsőoktatás

http://www.uga.edu/compsec/

*

*

felsőoktatás

http://www.unam-cert.unam.mx/

*

*

felsőoktatás

*

*

*

kormányzati

http://www.uniras.gov.uk/

*

*

*

US-CERT

UNINETT CERT Norvégia HM Government CERT / UK National Infrastructure Security CoNagy-Britannia ordination Centre (NISCC) United States Computer Emergency Readiness Center USA

http://cert.uninett.no/

nemzeti infrastruktúra

http://www.us-cert.gov

*

*

USPS

United States Postal Service Computer Incident Response Team

USA

posta

*

*

UU-IRT

Universitet Uppsala Incident Response Team

Svédország

felsőoktatás

http://www.irt.uu.se

*

UvA-CERT

University of Amsterdam, Informatiseringscentrum

Hollandia

felsőoktatás

http://ic.uva.nl/cert/

*

VeriSign

VeriSign

USA

cég

VISA-CIRT

VISA-CIRT

USA

cég

WebPlus ISP

WebPlus Internet Serrvice Provider

Oroszország

cég

http://support.wplus.net/security/

*

WFCSIRT

Wells Fargo Computer Security Incident Response Team

USA

banki

http://www.wellsfargo.com/

*

UNINETT CERT UNIRAS

* *

*

*

*

* * *

Táblázat 8. Külföldi CERT-ek adatai


78/296

10.9 A Szervezet beosztottjai A személyek feladatairól részletek a 3. fejezetben találhatók. Beosztás

Személy

Elérési adatok

Megjegyzés

Vezér 1. (ügyvezető igazgató): Adminisztráció 1. (titkárság): Biztonsági 1. (biztonsági felelős): Gazdasági 1. (gazdasági felelős): Műszaki 1. (műszaki felelős): Műszakvezető 1-2. (műszakvezető éjjel/nappal): Operátor 1-2. (és 1’-2’ operátor csapatok):

heti beosztástól függő, hogy ki melyik csapatban van

Táblázat 9. Beosztásokat betöltő személyek adatai

10.10 Szakértők és szakemberek listája A szakértők és szakemberek szerepéről részletek a 3.2 fejezetben találhatók. A szakterület- és a névszerinti táblázatok a következők: Szakterület

Személy

Elérési adatok

Megjegyzés

Táblázat 10. Szakértők és szakemberek szakterület szerinti listája Személy

Szakterület

Elérési adatok

Táblázat 11. Szakértők és szakemberek névszerinti listája

Megjegyzés

MTA SZTAKI; E4 - 4671/4/2003


10.11 Külső tanfolyamok és vizsgák A következő táblázat a biztonsági szakemberek részére megszerezhető, nevezetesebb bizonyítványokat23 mutatja be (a szürkék gyártófüggők), és azt jelzi, hogy ezek közül a Szervezet mit tart támogatandónak (T), javasoltnak (J) vagy előnyösnek (E):

Kiállító

Bizonyítvány neve

Szervezet hozzáállás

Internet Security Brainbench

Network Security Security Industry Knowledge

American Society for Industrial Security (ASIS)

Certified Protection Professional

Computing Technology Industry Association

Security+

Information System Audit and Control Association (ISACA)

CISA (Certified Information System Auditor)

International Webmaster Association (IWA) Information Systems Security Certifications Consortium

Certified Web Professional (CWP) Security Specialist CIW Security Analyst Certified Information Systems Security Professional (CISSP) System Security Certified Practitioner (SSCP) GIAC Security Essentials Certification (GSCE)

SANS Institute

GIAC Security Engineer (GSE) Security Certified Network Professional (SCNP)

Security Certified Program

Security Certified Network Architect (SCNA) TruSecure ICSA Certified Security Associate (T.I.C.S.A.)

TruSecure

TruSecure ICSA Certified Security Expert (T.I.C.S.E.) Certified Security Administrator (CCSA)

Checkpoint

Certified Security Expert Plus (CCSE Plus)

Cisco

Cisco Security Specialist

IBM/Tivoli

IBM SecureWay Firewall for Win NT MCP Exam 70-220: Security Design

Microsoft

MCP Exam 70-227: Installing… ISA server… RSA Certified Administrator (RSA/CA)

RSA’s Certified Security Professional Program

RSA Certified System Engineer (RSA/CSE) RSA Certified Instructor (RSA/CI) Symantec Product Specialist (SPS)

Symantec Certification Program

Symantec Certified Security Engineer (SCSE) Symantec Certified Security Practitioner (SCSP)

Táblázat 12. Tanfolyam- és vizsgabizonyítványok és kiadó szervezetek

23

Itthon elérhető még az NJSZT (többféle), az NHH (digitális aláírás) és az Igazságügyi (többféle) szakértői igazolvány megszerzése. Ezek közül az utóbbi megszerzése támogatott, a többi előnyt jelent egy alkalmazott számára.  IHM-MTA-E4-3.doc

80/296

MTA SZTAKI; E4 - 4671/4/2003


11 Rövidítések, fogalmak Az egyes szakkifejezések megtalálhatók a Fogalomtárban ( http://www.fogalomtar.hu). Az anyagban szereplő kifejezések és rövidítések: 3DES – (Triple) Data Encryption Standard AirCERT – Automated Incident Reporting CERT APCERT – Asia-Pacific CERT ASCII – American Standard Code for Information Interchange CACS – Computer Audit, Control and Security Conference CAIF – Common Advisory Interchange Format CB – Common Band (radio) CC, BCC – Carbon copy, Blind carbon copy CERT – Computer Emergency Response Team CERT/CC – Computer Emergency Response Team / Coordination Center CET – Central European Time CGI – Common Gateway Interface CISA – Certified Information Systems Auditor CMS – Cryptographic Message Syntax CSIRT – Computer Security Incident Response Team CVE – Common Vulnerabilities and Exposures DARPA – Defense Advanced Research Projects Agency DH – Diffie-Hellman DoS, DDoS – Denial of Services, Distributed Denial of Services DSA – Digital Signature Algorithm EGC – European Group of CERTs EISPP – The European Information Security Promotion Program ENISA – European Network and Information Security Agency FAQ – Frequently Asked Questions FIRST – Forum of Incident Response and Security Teams GIAC – Global Information Assurance Certification GPG – GNU Privacy Guard GYIK – Gyakran Ismételt Kérdések HTML – HyperText Markup Language HTTP – HyperText Transfer Protocol IBRS – Informatikai Biztonsági RészStratégia IDMEF – Intrusion Detection Message Exchange Format IDS – Intrusion Detection System IDWG – IETF Intrusion Detection Workgroup IETF – Internet Engineering Task Force INCH WG – IETF Incident Handling Working Group IODEF – Incident Object Description and Exchange Format IP – Internet Protocol ISACA – Information Systems Audit and Control Association  IHM-MTA-E4-3.doc

81/296

MTA SZTAKI; E4 - 4671/4/2003


ISC – Internet Storm Center IT – Information Technology MIBÉTS – Magyar Informatikai Biztonsági Értékelési és Tanúsítási Séma MIME – Multipurpose Internet Mail Exchange MITS – Magyar Információs Társadalom Stratégia MTA – Mail Transport Agent NCSD – National Cyber Security Division NIIF – Nemzeti Információs Infrastruktúra Fejlesztési Program PGP – Pretty Good Privacy PIN – Personal Identification Number PPP – Public-Private Partnership RAID – Redundant Array of Inexpensive Disks RFC – Request For Comments RSA – Ron Rivest, Adi Shamir, Leonard Adleman RTIR – Request Tracker for Incident Response SANS – SysAdmin, Audit, Network, Security Institute SHA-1 – Secure Hash Algorithm 1 SNML – Simple Network Markup Language SQL – Structured Query Language TERENA – Trans-European Research and Education Networking Association URL – Uniform Resource Locator VPN – Virtual Private Network XML – eXtensible Markup Language ***


82/296

Hálózati incidenskezelés

oktatási anyag

2006 május

MTA SZTAKI; E4 - 4671/4/2003

Hálózati incidenskezelés – Tutorial

© IHM – MTA-SZTAKI, 2006. Az oktatási anyag kidolgozásában és lektorálásában részt vettek: Becz Tamás, Pásztor Szilárd, Rigó Ernő, Tiszai Tamás, Tóth Beatrix


84/296

MTA SZTAKI; E4 - 4671/4/2003


1 Bevezetés Jelen dokumentum egy – a hálózati incidenskezelés témakörében kidolgozott – oktatási anyaghoz kapcsolódó előadási bemutató-anyag, illetve a bemutató megtartásához, valamint az egyes oldalak értelmezéséhez segítséget nyújtó megjegyzések gyűjteménye. Maga az oktatási anyag egy összesen 6 órányi előadást tartalmazó tanfolyam – tutorial – keretei között megismertethető, a hálózati incidenskezelés területén meglehetősen széles ismereteket közlő tananyag. A vetíthető ábrákon bemutatott tananyag a következő főbb fejezetekre oszlik: ● Bevezetés ●

Az internetes veszélyeztetettségről

●

A veszélyeztetettségek alapvető fogalmait taglaló, a későbbiekben hivatkozott fogalmakat bevezető és értelmező fejezet. Magyar és nemzetközi CSIRT-ek

●

A hálózati incidenskezeléssel foglalkozó speciális szervezetek – CERTek, CSIRTek – feladatait ismertető, a meglévő ilyen szervezetek jellemzői bemutató fejezet. Hálózatbiztonsági szabványok

●

A speciális szakterület és a kapcsolódó rokon területek legelterjedtebb szabványait, azok logikai felépítését és egymáshoz viszonyított kapcsolatait bemutató fejezet. Megelőző intézkedések ●

1. rész: Technológia

●

A hálózati incidensek elkövetése során felhasznált és támadott alapvető megoldások, protokollok, valamint a támadások esélyét csökkentő megelőző intézkedések körét számbavevő fejezet. 2. rész: Audit és management

●

A hálózati incidensek felfedését, az esetleges incidensek megelőzését biztosító módszereket, eszközöket, eljárásokat bemutató fejezet. 3. rész: Visszaható intézkedések Az incidensek következményeit mérséklő, illetve bekövetkezésüket speciális megoldásokkal elhárító vagy lassító eszközök alapjait bemutató fejezet. Itt kerül ismertetésre néhány olyan eszköz és módszer is, amely a bekövetkezett incidensek kezelését, a nyomok rögzítését, dokumentálását célozza.

Az itt következő előadási anyag tényleges felhasználhatóságát, érthetőségét és előadásához szükséges valódi időtartam ellenőrzését a szakterület elismert, évtizedes hagyományokkal rendelkező éves konferenciája – a Network Shop – 2006. évi rendezvénye során tartott Tutorial szekció keretében megtartott előadáson ellenőriztük. Tapasztalataink szerint a csaknem 200 oldalnyi vetíthető ismeretanyag a hallgatóság elismerését vívta ki, amely alapján feltételezhető, hogy más, a szükséges számítógéphálózati alapismeretekkel rendelkező érdeklődő közönség számára is hasznos információkat tartalmaz.


85/296

MTA SZTAKI; E4 - 4671/4/2003


1.

H á ló z a ti in c id e n s k e z e lé s

H á ló z a t i I n c id e n s k e z e lé s – T u t o r ia l

2 0 0 6 m á ju s

A tutorial célja, hogy áttekintést adjon a kis és közepes méretű, Internet-eléréssel is rendelkező, IP alapú hálózatok fizikai és management-szintű védelmi lehetőségeiről, valamint az üzembe állított védelmi és behatolásérzékelő rendszerek által felfedett incidensek kezeléséről. Az előadás során kitérünk az incidensek nyomán esetlegesen hátramaradó információk, bizonyítékok gyűjtésének és elemzésének módszereire is.


86/296

MTA SZTAKI; E4 - 4671/4/2003


2.

B e v e z e tő



2 0 0 6 m á ju s

87/296

MTA SZTAKI; E4 - 4671/4/2003


3.

T u to r ia l ta r ta lm a , id ő te r v B e v e z e té s A z in t e r n e t e s v e s z é ly e z t e t e t t s é g r ő l M a g y a r é s n e m ze tk ö zi C S I R T - e k H á ló z a t b iz t o n s á g i s z a b v á n y o k

(45p) (15p) (30p)

S zünet ---

M e g e lő z ő in t é z k e d é s e k 1 . r é s z : T e c h n o ló g ia

(90p)

S zünet --- --- ---

2 . r é s z : A u d it é s m a n a g e m e n t

(90p)

S zünet ---

V is s z a h a t ó in t é z k e d é s e k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

(90p) - 3 -

2 0 0 6 m á ju s

Bevezetés – rövid tartalmi áttekintés, időzítés ismertetése Az internetes veszélyeztetettségről -- mit is nevezünk veszélyeztetettségnek -- forrásai, céljai, módszerei definíciói Magyar és nemzetközi CSIRT-ek -- fogalom értelmezése, jelentése, régi és új rövidítések -- CSIRT-ek szerepe, feladataik -- más nemzetközi szervezetek Hálózatbiztonsági szabványok -- milyen ajánlások születtek a világban eddig a tématerületen -- BS7799, Common Criteria, Cobit, stb. Megelőző intézkedések -- mit tehetünk előzetesen a veszélyeztetettség elkerülésére 1. rész: Technológia -- forgalomszűrés, tűzfalak szerepe -- titkosítás, hitelesítés -- jogosultságellenőrzés, hozzáférésvédelem 2. rész: Audit és management -- önmegtámadás, önellenőrzés (Nessus) -- szoftverfrissítés, verziókövetés -- célszerű fizikai/logikai struktúra megválasztása -- adminisztratív eszközök, elosztott biztonsági szolgáltatások Visszaható intézkedések -- behatolásjelzés (Honeynet, Snort) -- forensic eszközök és alkalmazásuk -- incidenskezelő rendszerek (RT-IR)  IHM-MTA-E4-3.doc

88/296

MTA SZTAKI; E4 - 4671/4/2003


4.

A z in te r n e te s v e s z é ly e z te te tts é g



2 0 0 6 m á ju s

89/296

MTA SZTAKI; E4 - 4671/4/2003


5.

M i a v e s z é ly e z te te tts é g S z á m o s k ü l ö n f é l e d e fi n í c i ó l e h e t s é g e s R F C 2 8 2 8 é r t e lm é b e n V e s z é ly e z t e t e t t s é g , fe n y e g e t e t t s é g ( t h r e a t ) = o ly a n k ö r ü lm é n y , k é p e s s é g , c s e le k e d e t v a g y e s e m é n y h a t á s a , a m e ly a b iz t o n s á g m e g s é r t é s é t e r e d m é n y e z i, é s íg y k á r o k a t o k o z ( h a t ) . T h re a t = s z á n d é k o s fe n y e g e té s , fe n y e g e te tts é g F ig y e lm e n k ív ü l h a g y j u k a n e m s z á n d é k o s o k o k a t H i b á s b i z t o n s á g i k o n fi g u r á c i ó k A d a tv e s z té s b ő l fa k a d ó k á r o k N e m s z o ftv e re s fe n y e g e te tts é g b ő l e re d ő k á ro k F iz ik a i k á r o k o z á s ( g é p r o m b o lá s , lo p á s )

H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 5 -

2 0 0 6 m á ju s

Számos különféle definíció lehetséges, amelyek a fenyegetettséget (threat) különféle szempontból definiálják Az RFC 2828 (Internet Security Glossary, 2000) a fenyegetettséget is definiálja. Hosszabban kifejtve: olyan körülmény, képesség, cselekedet vagy esemény hatása, amely a biztonság megsértését eredményezi, és így károkat okozhat. Röviden: támadás az (informatikai) biztonság ellen. Jelen esetben csak a szándékos fenyegetettségeket vizsgáljuk Figyelmen kívül hagyjuk a nem szándékos (és nem informatikai) fenyegetettségeket: -- hibás konfiguráció okozta problémák -- adatvesztésből fakadó károk -- nem szoftveres fenyegetettségek, pl. villámcsapás, áramkimaradás -- fizikai károkozás, géprombolás, adathordozó lopás


90/296

MTA SZTAKI; E4 - 4671/4/2003


6.

V e s z é ly e k o s z tá ly o z á s a S o k k ü lö n f é le b e s o r o lá s lé t e z ik , t e k in t s ü n k e g y v is z o n y la g e g y s z e r ű o s z t á ly o z á s t : T é n y le g e s v e s z é ly e z t e t e t t s é g S z e r v e r e k , t ű z f a la k , e g y é b p r o g r a m o k m á r f e lf e d e t t v e s z é ly e z t e t e t t s é g e i ( n y ilv á n o s a n is m e r t h ib á k ) A z o k o z o t t k á r m é r t é k e a la p j á n t o v á b b i c s o p o r t o s ít á s is is m e r t

P o t e n c iá lis v e s z é ly e z t e t e t t s é g R e j t e t t ( n e m is m e r t ) v e s z é ly e z t e t e t t s é g e k Á lt a lá b a n c s a k p e n e t r á c ió t e s z t e k k e l f e d e z h e t ő k f e l H a r e n d s z e r ü n k e t t e lj e s e n is m e r n é n k , t é n y le g e s v e s z é ly e k le n n é n e k

I n fo r m á c ió s v e s z é ly e z t e t e t t s é g A r e n d s z e r m ik é n t j é r ő l b e g y ű j t h e t ő a d a t o k ( in f o le a k a g e ) F u t ó s z o lg á lt a t á s o k , I P - c ím e k , p o r t o k , o p r e n d s z e r v e r z ió k , s t b . A r e n d s z e r f o n t o s r é s z le t e ir e le h e t b e lő lü k k ö v e t k e z t e t n i K é s ő b b i t á m a d á s o k h o z a d a t o k a t s z o lg á lt a t h a t H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 6 -

2 0 0 6 m á ju s

91/296

MTA SZTAKI; E4 - 4671/4/2003


7.

F o n to s e z a p r o b lé m a ? ( 1 ) A fe n y e g e te tts é g e k szá m a m e re d e k e n n ő ( fo rrá s : C E R T / C C )

7000 6000

B e je le n t e t t s e b e z h e tő s é g

5000 4000 3000 2000

A f e lk é s z ü lé s i id ő g y o rsa n csö k k e n

1000 0 1988

1990

1992

1994

1996

1998

2000

2002

2004

2000

2002

2004

160000

(e g y re h a m a ra b b k ih a s z n á lj á k a f e lis m e r t h ib á t )

140000

B e je le n t e t t in c id e n s

120000 100000 80000 60000 40000 20000 0 1988


1990

1992

1994

1996

- 7 -

1998

2 0 0 6 m á ju s

Szükséges-e a hálózati biztonság kérdésével foglalkozni. Néhány beszédes adat: A felismert támadási lehetőségek száma meredeken emelkedik. A bejelentett incidensek száma exponenciálisan nő, miközben egy-egy incidens egyre több gépet érint(het). Vagyis az alsó ábrán látható görbe NEM a megtámadott gépek számát, hanem a bejelentett incidensek számát jelzi, miközben egy incidens sokszor gépek százait-ezreit érinti. A sebezhetőség felismerése/publikálása, majd az ezt kihasználó támadás bekövetkezése között eltelt idő (a felkészülési idő) gyorsan csökken. Korábban ez


92/296

MTA SZTAKI; E4 - 4671/4/2003


8.

F o n to s e z a p r o b lé m a ? ( 2 ) A d a t o k e g y k o n k r é t h á ló z a t v iz s g á la t á r ó l: 4 3 8 g é p a u t o m a t ik u s b iz t o n s á g i e lle n ő r z é s e 1 6 7 6 s ú ly o s b iz t o n s á g i h ib a ( 3 ,8 / g é p ) 3 1 9 2 b iz t o n s á g i r é s ( 7 ,2 / g é p )

U g y a n e z e n h á ló z a t f o r g a lm i e le m z é s e : E g y é r t e lm ű , a u t o m a t ik u s t á m a d á s : 7 0 0 . 0 0 0 / h ó I P c ím e n k é n t i p r ó b á lk o z á s : 6 6 / ó r a S e b e z h e t ő s é g t íp u s o n k é n t i p r ó b á lk o z á s : 2 0 / ó r a

C é lk it ű z é s : a fe n y e g e t e t t s é g m e g s z ü n t e t é s e , d e le g a lá b b j e le n t ő s c s ö k k e n t é s e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 8 -

2 0 0 6 m á ju s

A SZTAKI hálózatának automatikus eszközökkel (Nessus) végrehajtott egy korábbi vizsgálata rengeteg már ismert sebezhetőség jelenlétét tárta fel. A 438 gépen a dián látható számú súlyos biztonsági hiba, illetve kevésbe veszélyes biztonsági rés volt detektálható. A vizsgálat során az automata a hálózatra vonatkozó semmilyen előzetes információval nem rendelkezett, vagyis egy hacker/cracker által végrehajtott intelligens (ember általi) támadás során a „siker” szinte bizonyos. A forgalom elemzése (Snort) azt mutatta, hogy a hálózatot havi több száz ezer automatikus, robotok által végrehajtott, egyértelműen azonosítható támadás éri. A támadások feloszthatók egyrészt a támadás tárgya (IP cím, vagyis konkrét gép), másrészt a támadás módja (a kihasználni szándékozott biztonsági hiba) alapján. Mindezek alapján kijelenthető: a problémát kezelni kell!!!


93/296

MTA SZTAKI; E4 - 4671/4/2003


9.

M it te h e tü n k ?

Védekezzünk! A v é d e k e z é s é r d e k é b e n is m e r n ü n k k e ll A t á m a d á s o k f o r r á s a it A t á m a d á s o k c é lj a it A t á m a d á s o k t ö r v é n y s z e r ű s é g e it A t á m a d á s o k m ó d s z e r e it é s e s z k ö z e it A tá m a d á s o k k o ck á z a tá t A fe n t ie k is m e r e t é b e n , a r e n d s z e r e z é s u t á n t e h e t ü n k m e g e lő z ő , s z is z t e m a t ik u s lé p é s e k e t a f e n y e g e t e t t s é g e k m é r s é k lé s é r e , a k á r o s h a t á s o k c s ö k k e n t é s é r e . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 9 -

2 0 0 6 m á ju s

Miről lesz szó... valahogy arról is kell beszélni, hogy ezek ellen a dolgok ellen „harcolunk”, és ehhez szeretnénk segítséget nyújtani az elkövetkező szekciókban.


94/296

MTA SZTAKI; E4 - 4671/4/2003


10.

A tá m a d á s o k fo rrá s a i I P a lh á ló z a t h a t á r á t t e k in t v e a t á m a d ó le h e t : K ü ls ő f o r r á s K e v é s k e z d e t i in f o r m á c ió A la c s o n y k iin d u lá s i p r iv ilé g iu m s z in t A u t o m a t ik u s e s z k ö z ö k k e l m e g e lő z h e t ő – k ü lö n f é le t ű z f a la k

B e ls ő f o r r á s S o k b e n n f e n t e s in f o r m á c ió M a g a s k iin d u lá s i p r iv ilé g iu m s z in t Á lt a lá n o s e s e t b e n n e h e z e n e lő z h e t ő m e g – „ n é g y s z e m t e c h n ik a ” , h á ló z a t s z e g m e n t á lá s a

A t á m a d á s t c é ls z e r ű a h a t á r o n m e g á llít a n i B e lj e b b t ö b b a z in f o r m á c ió , é s a le h e t ő s é g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 10 -

2 0 0 6 m á ju s

Egy általános értelemben vett, internetes kapcsolattal rendelkező, IP alapú hálózatot alapvetően két forrásból, a hálózat és az Internet közti határvonal szempontjából belső és külső csatlakozási pontról érhetnek támadások. E két forrás, vagy két szint közt az alapvető különbség a támadást kivitelező program vagy személy rendelkezésére álló információk mennyiségében és a támadás kiindulópontjául szolgáló rendszer vagy egyéb hálózati csatlakozási pont privilégiumszintjében rejlik. A szakirodalomban ( [SANSPenStud], [SANSPenTest]) az említett két szint (külső, belső) között még számos további átmeneti szintet is megkülönböztetnek, de végső következtetésként levonható, hogy a külső szintről a belső felé haladva az információmennyiség és a privilégiumszint is folyamatosan nő, vagyis a feltételezett támadó dolga folyamatosan egyszerűsödik, ebből következőleg a támadás által okozható kár mértéke és a károkozás kockázata folyamatosan növekszik. Kevés olyan, speciálisan tervezett (például a katonai és komoly üzleti, banki körökben elterjedt, nem csak a számítástechnikában működőképes, „négy szem” technikát alkalmazó), rendszer létezik, ahol a legbelső szintre való behatolás nem ruházza fel teljes jogkörrel a támadó szoftvert vagy személyt, ezért célszerű a támadást lehetőleg a külső szinten megakadályozni. Az előzőekben leírtakból következőleg azért is érdemes a külső szintre koncentrálni, mert az ott alkalmazható alapvető támadási módszerek befelé haladva csak bővülnek, a védekezési módszerek csak fogynak, azzal a kiegészítéssel, hogy befelé haladva a védekezések hatékonysága, a támadásokkal ellentétes arányban, folyamatosan csökken a támadások számára rendelkezésreálló információ mennyiségének növekedése miatt.


95/296

MTA SZTAKI; E4 - 4671/4/2003


11.

A tá m a d á s o k c é lja i ( 1 ) I n f o r m á c ió s z e r z é s K la s s z ik u s k é m k e d é s e s e t e T o v á b b i t á m a d á s o k m e g a la p o z á s a K ik c s in á lj á k : k é m e k , ( ? ) s z o lg á la t o k , h a c k e r e k

S z o lg á lt a t á s b é n ít á s N e m m a r a d a n d ó – d e p é n z b e k e r ü lő – k á r D o S ( D e n ia l o f S e r v ic e ) a t t a c k G y a k r a n a t á m a d ó t ó l is j e le n t ő s e r ő f o r r á s t ig é n y e l P a t c h e lé s s e l é s t ú lm é r e t e z é s s e l k iv é d h e t ő

D D o S ( D is t r ib u t e d D o S ) a t t a c k S o k k is e r ő f o r r á s ú z o m b ie h o s t e g y e s ít é s e ( b o t n e t ) Védekezni nagyon nehéz K i k c s i n á l j á k : „ e l l e n s é g e k ” , m a ffi a ( v é d e l m i p é n z ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 11 -

2 0 0 6 m á ju s

A támadások sosem céltalanok, mindig a támadó hasznát és szándékait szolgálják. A célokat a következőképp csoportosíthatjuk: Információszerzés A legtöbb támadás során előfordul, hogy a támadás indítója új információkhoz jut a támadott rendszerrel kapcsolatban: ha mást nem tud meg, legalább azt, hogy a kipróbált támadási forma sikerrel járt-e az adott rendszeren, vagy nem, sok esetben ez is fontos információ lehet. Az információszerzés ilyen esetekben általában a további támadások előkészítését segíti és általában a támadó saját céljait szolgálja. Előfordul azonban az is, mikor a megszerzett információ nem a támadó saját céljait, hanem megbízójának, vagy leendő vásárlójának céljait szolgálja, ilyenkor az információszerzés által okozott kár közvetlenebbé válik, ez a klasszikus kémkedés esete. Szolgáltatásbénítás A szolgáltatásbénításról (Denial of Service, DoS) beszélhetünk úgy is, mint közvetlen hatásait tekintve átmeneti károkozásról. Általában akkor használják, ha maradandó károkozásra nincs könnyű mód, mivel általában a szolgáltatásbénítás az egyszerűbb műveletek közé tartozik. Az ilyen esetekben a támadó célja a támadott rendszer – általában – publikus szolgáltatásainak használhatatlanná tétele mások számára. Ez egyszerű esetben okozhatja például egy weboldal elérhetetlenségét, de összetettebb helyzetben a támadó számára új lehetőségek nyílhatnak további támadások véghezvitelére (például egy azonosító, hitelesítő szolgáltatás bénítása esetén). A szolgáltatásbénításos támadások során nem ritkán előfordul, hogy a támadás erőforrásigénye messze alatta marad a megtámadott rendszer által felemésztett erőforrásoknak (például kereséseket, bonyolult műveleteket indít egy távoli gépen), esetleg elegendő egyetlen támadás egy szolgáltatás végleges blokkolásához (ilyen volt az egyes Intel processzorok „F00F bug” néven elhíresült hibája), ilyenkor egyszerűbb a  IHM-MTA-E4-3.doc

96/296

MTA SZTAKI; E4 - 4671/4/2003


támadó dolga. Ha azonban a megtámadott rendszer megfelelően nagy teljesítményű, és a támadás nem túl hatékony, elképzelhető, hogy a támadó rendszere önmagában nem képes a szolgáltatás teljes mértékű leterhelésére. Ilyen esetekben alkalmazzák az elosztott szolgáltatásbénítást (Distributed DoS, DDoS), melynek során a támadó több forrásgépről, azok teljesítményét összesítve, párhuzamosan indíthat támadást célja ellen.


97/296

MTA SZTAKI; E4 - 4671/4/2003


12.

A tá m a d á s o k c é lja i ( 2 ) M a ra d a n d ó k á r o k o zá sa L á tv á n y o s „d e fa c e ” tá m a d á s o k N y o m o k e lt ü n t e t é s e K ik c s in á lj á k : „ ö n k é n t e s e k ” , t a p a s z t a lt a b b t á m a d ó k k e r ü lik

E r ő f o r r á s o k r o s s z in d u la t ú f e lh a s z n á lá s a U g ró d e s z k a to v á b b i tá m a d á s o k h o z Z o m b ie h o s t D D o S t á m a d á s o k h o z I lle g á lis s z o f t v e r ( m á s j o g d íj a s t e r m é k ) t e r j e s z t é s P h is in g , P h a r m in g S p a m k ü ld ő h á ló z a t o k K i k c s i n á l j á k : N a g y p é n z , n e m z e t k ö z i c s o p o r t o k ( m a ffi a )


- 12 -

2 0 0 6 m á ju s

A maradandó károkozás általában a legnyilvánvalóbb eredményekkel járó támadási forma. Ezekben az esetekben a hiányzó adatok, a módosított tartalmú (ún. „deface”-elt) weboldal jórészt rögtön felfedezhetők, de előfordulnak kifinomultabb adatmegsemmisítési esetek is, mint például egy rendszer naplóbejegyzéseinek törlése, ahol az eltűnt információk nem feltétlenül éreztetik hiányukat. A tapasztaltabb támadók általában kerülik a maradandó károkozást (lásd.: . ábra), mivel ilyen esetekben a közvetlen haszon általában elhanyagolható, viszont nagy a felfedezés valószínűsége. Erőforrások rosszindulatú felhasználása Ez a támadási forma azonosítható talán legkevésbé az élet más területein is elkövethető rosszándékú cselekedetekkel. A támadó mindenféle eltulajdonítás és közvetlen károkozás nélkül utasításainak követésére bír egy erőforrást (sok esetben egy egész hálózati hostról van szó). Az erőforrás jogos felhasználója általában fel sem fedezi a támadás sikerességét, a támadó pedig a birtokába jutott erőforrást elosztott szolgáltatásbénításra, kéretlen üzleti tartalmú levelek küldésére, jelszóadatbázisok feltörésére, megszemélyesítéses támadásokra vagy bármilyen más célra felhasználhatja. Phising = social engineering egy formája, hamisított honlapon érzékeny információk begyűjtése Pharming = DNS meghamisítása, hogy egy adott név ne a valódi gépre, hanem annak rosszindulatú másolatára mutasson


98/296

MTA SZTAKI; E4 - 4671/4/2003


13.

D e fa c e tá m a d á s o k o k a i

F o rrá s : z o n e -h .o rg H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 13 -

2 0 0 6 m á ju s

99/296

MTA SZTAKI; E4 - 4671/4/2003


14.

A tá m a d á s o k tö rv é n y e i ( 1 ) A t á m a d á s o k k a l k a p c s o la t b a n n é h á n y t ö r v é n y s z e r ű s é g is m e r h e t ő fe l F o r r á s : Q u a ly s ( w w w . q u a ly s . c o m )

F é l- é le t t a r t a m ( h a lf - life ) t ö r v é n y e A r e n d s z e r k o m p o n e n s e k f e lé n e k p a t c h - e lé s i id e j e V á lt o z á s 2 0 0 4 - r ő l 2 0 0 5 - r e k ü ls ő r e n d s z e r e k f e lé n e k k ij a v ít á s i id e j e : 2 1  1 9 n a p b e ls ő r e n d s z e r e k f e lé n e k k ij a v ít á s i id e j e : 6 2  4 8 n a p

G y a k o r is á g t ö r v é n y e A z e lt e r j e d t / s ú ly o s v e s z é ly e z t e t e t t s é g e k 5 0 % - á t e g y é v e n b e lü l ú j a k v e s z ik á t



- 14 -

2 0 0 6 m á ju s

100/296

MTA SZTAKI; E4 - 4671/4/2003


15.

A tá m a d á s o k tö rv é n y e i ( 2 ) M e g m a ra d á s tö rv é n y e A k r it ik u s v e s z é ly e z t e t e t t s é g e k 4 % - a n e m t ü n t e t h e t ő e l A r e n d s z e r m in d ig „ v is s z a ö r e g e d ik ” ( ú j r a t e le p ít é s s o r á n , r it k á n f u t ó g é p e k fi g y e l m e n k í v ü l h a g y á s a m i a t t )

F ó k u s z ( fo n to s s á g ) tö rv é n y e A h ib á k 9 0 % - á t a z is m e r t v e s z é ly e z t e t e t t s é g e k 1 0 % - a okozza

K o ck á z a t tö rv é n y e A h ib á k k ih a s z n á lá s á h o z s z ü k s é g e s id ő g y o r s a b b a n r ö v id ü l, m in t a j a v ít á s h o z s z ü k s é g e s id ő

K ih a s z n á lá s t ö r v é n y e A v e s z é ly e z t e t e t t s é g e k 8 5 % - h o z 1 5 n a p o n – v a g y is h a lf - lif e id ő n – b e lü l r e n d e lk e z é s r e á ll a z a u t o m a t ik u s tá m a d ó k ó d H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 15 -

2 0 0 6 m á ju s

101/296

MTA SZTAKI; E4 - 4671/4/2003


16.

T ám ad áso k m ó d szerei A t á m a d á s i m ó d o k o s z t á ly o z á s a S e b e z h e t ő s é g e k fe lfe d é s e M e g s z e m é ly e s ít é s H á ló z a t i a lk a lm a z á s o k g y e n g e s é g e in e k k ih a s z n á lá s a H á ló z a t i s t r u k t ú r a g y e n g e s é g e in e k k ih a s z n á lá s a E m b e r i h ib á k k ih a s z n á lá s a A v é d e k e z é s e k e lle n i t á m a d á s o k



- 16 -

2 0 0 6 m á ju s

102/296

MTA SZTAKI; E4 - 4671/4/2003


17.

S e b e z h e tő s é g e k fe lfe d é s e A t á v o li r e n d s z e r b ő l k is z iv á r g ó in fo r m á c ió k ö ss z e g y ű jté s e H o s t / a d d r e s s r a n g e s c a n n in g P o r t s c a n n in g K ü lö n f é le m ó d s z e r e k a z I P / U D P / T C P p r o t o k o llo k e s e t é n

S e c u r it y s c a n n in g E g y é b h a s z n o s ít h a t ó in f o r m á c ió k b e g y ű j t é s e F é r g e k , k é m r o b o t o k , s c a n n e r e k f e lh a s z n á lá s á v a l



- 17 -

2 0 0 6 m á ju s

103/296

MTA SZTAKI; E4 - 4671/4/2003


18.

M e g s z e m é ly e s íté s L e h a l l g a t á s ( s n i ffi n g ) C ím h a m is ít á s A R P p o is o n in g I P s p o o fi n g D N S p o is o n in g ( p h a r m in g ) U R L s p o o fi n g ( p h i s i n g )

C é l: e g y n e m p u b lik u s e r ő f o r r á s e lé r é s é h e z s z ü k s é g e s jo g o s u lt s á g e lle n ő r z é s ( a u t h o r iz a t io n ) v é g r e h a jt á s á h o z s z ü k s é g e s a z o n o s í t á s ( a u t h e n t ic a t io n ) f á z is s ik e r e s le b o n y o lí t á s a

K ö z b e é k e lő d é s M a n in t h e m id d le a t t a c k T it k o s ít o t t c s a t o r n á k f e lt ö r é s e é r d e k é b e n



- 18 -

2 0 0 6 m á ju s

104/296

MTA SZTAKI; E4 - 4671/4/2003


19.

A lk a lm a z á s o k g y e n g e s é g e i P r o g r a m h ib á k ( h a r d s e b e z h e t ő s é g e k ) I m p le m e n t á c ió s g y e n g e s é g e k P u ff e r t ú l c s o r d u l á s ( s t a c k , d i n a m i k u s m e m ó r i a t e r ü l e t ) F o r m á z o t t s t r in g a la p ú t á m a d á s p l. S Q L in j e c t io n , d ir e c t o r y t r a v e r s a l

I d ő z ít é s - a la p ú t á m a d á s o k T im e - o f - c h e c k - t o - t im e - o f - u s e ( T O C T T O U ) t á m a d á s S y m lin k r a c e t á m a d á s

K o n fi g u r á c i ó s h i b á k ( s o f t s e b e z h e t ő s é g e k ) B iz t o n s á g i h á z ir e n d h iá n y a , h ib á s v o lt a K o n fi g u r á c i ó s m e c h a n i z m u s o k h i á n y a E l é g t e l e n ( n e m fi g y e l t ) n a p l ó z á s F ig y e lm e t le n s é g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 19 -

2 0 0 6 m á ju s

105/296

MTA SZTAKI; E4 - 4671/4/2003


20.

S tr u k tu r á lis h ib á k k ia k n á z á s a F iz ik a i s t r u k t ú r a ( s z e g m e n t á lá s h iá n y a ) L o g ik a i s t r u k t ú r a ( le h a t á r o lá s h iá n y a ) Z á r t h á ló z a t o k J ó l a la k ít h a t ó k J ó l k o r lá t o z h a t ó k K o r lá t o z o t t f e lh a s z n á lh a t ó s á g ú a k

I n t e r n e t e s f e lü le t ű h á ló z a t o k S z o lg á lt a t á s o k a t k e ll n y ú j t a n iu k N e h e z e n k o r lá t o z h a t ó k A z á t t e k in t e t t v e s z é ly e k n a g y o b b v a ló s z ín ű s é g g e l k ö v e tk e zn e k b e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 20 -

2 0 0 6 m á ju s

106/296

MTA SZTAKI; E4 - 4671/4/2003


21.

E m b e r i h ib á k k ih a s z n á lá s a A t á m a d á s r a k is z e m e lt r e n d s z e r r ő l h a s z n o s a d a t o k b e g y ű j t é s e n e m t e c h n ik a i e s z k ö z ö k k e l ( s o c ia l e n g in e e r in g ) L e g á lis a d a t b á n y á s z a t is e r e d m é n y e s le h e t F o n d o r la t o s a d a t g y ű j t é s , r á s z e d é s Z s a r o l á s , l e l k i / fi z i k a i e r ő s z a k M e g v e s z te g e té s S z a k e m b e r e k s z á n d é k o s „ t ú lt e r h e lé s e ” E lk e s e r e d e t t s é g , e lle n s z e n v k ih a s z n á lá s a E g y é n i a k c ió k , b o s s z ú ( t ip ik u s a n b e ls ő t á m a d á s o k ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 21 -

2 0 0 6 m á ju s

107/296

MTA SZTAKI; E4 - 4671/4/2003


22.

V é d e k e z é s e k e lle n i tá m a d á s A u t o m a t ik u s b iz t o n s á g i b e a v a t k o z á s e lle n é r d e k ű k ih a s z n á lá s a D o S a t t a c k - r e J e ls z ó h ib a m ia t t i k it ilt á s T á v o li I P c ím k it ilt á s a V ír u s k e r e s ő m e g t é v e s z t é s e ( t ú lt e r h e lé s e )

I n d ir e k t t á m a d á s o k F ig y e le m e lt e r e lé s h a m is r ia s z t á s o k k a l K if á r a s z t á s s o r o z a t o s o k t a la n r ia s z t á s o k k a l R e n d s z e rm e n té s e k tá m a d á s a p l. k o m p r o m it t á lt m e n t é s f e lh a s z n á lá s á n a k k ie s z k ö z ö lé s e



- 22 -

2 0 0 6 m á ju s

108/296

MTA SZTAKI; E4 - 4671/4/2003


23.

A tá m a d á s o k k o c k á z a ta A t á m a d á s o k k o c k á z a t o t j e le n t e n e k A k o c k á z a t t e lj e s e n n e m s z ü n t e t h e t ő m e g A k o c k á z a t o k a t e le m e z n i k e ll – é s le h e t . . . S o k s z o r c s a k r e la t ív k o c k á z a t i é r t é k e k m é r h e t ő k E le m z é s s e l a k o c k á z a t / k ö lt s é g a la c s o n y a n t a r t h a t ó A le g é g e t ő b b p r o b lé m á k r a k o n c e n t r á l( h a t ) u n k „ K o c k á z a t i k o c k a ” fo g a lm a V a g y o n /é rté k R

p

t

d

t

t

T K ockázat = té rfo g a t

R = kockázat T = v e s z é ly fo r r á s o k h a lm a z a p t = t b e k ö v e tk e z é s i v a ló s z ín ű s é g e d t = t b e k ö v e t k e z t e k o r e ls z e n v e d e t t k á r H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


S e b e z h e tő s é g - 23 -

2 0 0 6 m á ju s

109/296

MTA SZTAKI; E4 - 4671/4/2003


24.

B iz to n s á g i k o c k á z a t- e le m z é s M in d e n is m e r t k o c k á z a t r a v á la s z o lj u k m e g a z a lá b b i k é r d é s e k e t ( „ 5 M k é r d é s ” ) : A k o c k á z a t o t k ik ü s z ö b ö lő in t é z k e d é s : M M M M M

ily e n p r o b lé m á t o ld m e g ? e n n y ir e j ó l o ld j a m e g ? ily e n ú j p r o b lé m á t v e t f e l? ily e n k ö lt s é g e k e t g e n e r á l? e g é r i ( a f e n t ie k t ü k r é b e n ) ?

( le ír t c é lo k ! ) ( h a té k o n y s á g ) ( e g y m á s ra h a tá s) ( k ö z v e t e t t is v a n . . . ) ( f o g la lk o z z u n k v e le ? )

N é h á n y m e g s z ív le le n d ő j ó t a n á c s : A b iz t o n s á g A b iz t o n s á g A b iz t o n s á g k e z e lé s e . N in c s t e lj e s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


n e m t e r m é k , h a n e m e lj á r á s ! n e m á lla p o t , h a n e m f o ly a m a t . n e m a k o c k á z a t e lk e r ü lé s e , c s a k a n n a k b iz t o n s á g , c s a k t u d a t o s k o c k á z a t v á lla lá s . - 24 -

2 0 0 6 m á ju s

110/296

MTA SZTAKI; E4 - 4671/4/2003


25.

A v é d e k e z é s a la p v e tő lé p é s e i E r ő f o r r á s o k h ie r a r c h ik u s m in ő s ít é s e A m i f o n t o s , a z t m in d e n e r ő v e l v é d j ü k , e lle n ő r iz z ü k A m i d r á g a / m o d e r n , m é g n e m b iz t o n s á g o s is

A v é d e lm i r e n d s z e r fe lm é r é s e M it v á r h a t o k e l a z ü z e m e lő r e n d s z e r e k t ő l M it v á r h a t o k e l a z ü z e m e lt e t ő s z e m é ly z e t t ő l

A v é d e lm i r e n d s z e r e k ö s s z e v o n á s a M in d e n v é d e lm i e s z k ö z e g y s é g e s ö s s z e k a p c s o lá s a A b iz t o n s á g i s z a k t u d á s ö s s z e v o n á s a , fo ly a m a t o s s z in t e n t a r t á s a

A v é d e lm i r e n d s z e r e lle n ő r z é s e A r e n d s z e r e k / s z a k t u d á s fo ly a m a t o s v iz s g á la t a H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 25 -

2 0 0 6 m á ju s

111/296

MTA SZTAKI; E4 - 4671/4/2003


26.

Ö s s z e fo g la lá s A h á ló z a t a lk a lm a z á s a e lk e r ü lh e t e t le n ü l v e s z é ly e z t e t e t t s é g e k e t r e j t A k á r o k m e g e lő z é s e ( m é r s é k lé s e ) é r d e k é b e n v é d e k e z n ü n k k e ll A v é d e k e z é s e lő fe lt é t e le , h o g y is m e r j ü k g y e n g e s é g e in k e t é s a t á m a d á s o k m ik é n t j é t , v a la m in t e lh á r ít á s u k ( v á lt o z ó ) m ó d s z e r e it M é g a t á m a d á s e lő t t k e ll k id o lg o z n u n k a v é d e k e z é s m ó d s z e r e it , b iz t o s ít a n i a s z ü k s é g e s t e c h n ik a i é s e m b e ri e r ő fo rrá s o k a t N e t ö r e k e d j ü n k t e lj e s v é d e t t s é g r e , c s a k a r e á lis k o c k á z a t o k e lle n k ü z d j ü n k , d e a z o k e lle n fo ly a m a t o s a n H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 26 -

2 0 0 6 m á ju s

112/296

MTA SZTAKI; E4 - 4671/4/2003


27.

H a s z n o s lin k e k , r e fe r e n c iá k h ttp : / / z o n e - h .o rg th e I n te rn e t th e rm o m e te r

h t t p : / / is c . s a n s . o r g I n te rn e t s to rm ce n te r

h t t p : / / w w w . q u a ly s . c o m v e s z é ly e z t e t e t t s é g i t ö r v é n y e k , e g y é b a j á n lá s o k

h t t p : / / w w w . s e c u r it y d o c s . c o m b iz t o n s á g i d o k u m e n t u m o k , t a n u lm á n y o k ( w h it e p a p e r )

h ttp : / / w w w .ce rt.h u h á ló z a t b iz t o n s á g i t a n u lm á n y , e g y é b in f o r m á c ió k



- 27 -

2 0 0 6 m á ju s

113/296

MTA SZTAKI; E4 - 4671/4/2003


28.

M a g y a r é s n e m z e tk ö z i CSI R T-ek

N e t w o r k s h o p 2 0 0 6 T u t o r ia l


2006-05-13

114/296

MTA SZTAKI; E4 - 4671/4/2003


29.

M ir ő l le s z s z ó ? C S I R T f o g a lm a , c é lj a , t ö r t é n e t e C S I R T lé t r e h o z á s a , t íp u s a i C S I R T m ű k ö d é s é n e k f e lt é t e le i, e le m e i S z o lg á lt a t á s o k I n c id e n s k e z e lé s

H a za i é s n e m ze tk ö z i C S I R T s z e rv e z e te k P ro je k te k , tre n d e k S z a b v á n y o s ít á s o k Z á ró m e g je g y zé se k H a s z n o s lin k e k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 29 -

2 0 0 6 m á ju s

115/296

MTA SZTAKI; E4 - 4671/4/2003


30.

C E R T / C S I R T fo g a lm a C E R T ( C o m p u te r E m e rg e n cy R e s p o n s e T e a m ) fo g a lm a C S I R T c é lj a : S e g ít s e n a z in c id e n s e k m e g e lő z é s é b e n A z in c id e n s e k á lt a l o k o z o t t k á r t m in im a liz á lj a H o s s z ú t á v ú s e g ít s é g e t n y ú j t s o n a z in c id e n s k e z e lé s b e n

S z in o n im á k : C S I R T , I R T , C S I R C , C I R T , C I R C , SERT, SIRT


- 30 -

2 0 0 6 m á ju s

CSIRT olyan szervezet vagy csoport, amely szolgáltatást nyújt és támogatást ad a számítógépes incidensek megelőzésében illetve a számítógépes incidensekre adott válaszlépésekben egy megadott kör részére. Általában a CSIRT-ek: ● ● ● ● ●

a helyi számítógépes/hálózati biztonsági problémák bejelentésére szolgáló kontakt pont ahol azonosítják és elemzik a bekövetkezett eseményt, beleértve annak hatását és lehetséges veszélyeit, fenyegetéseit keresik a megfelelő megoldást a megtalált választ, információkat, tanulságokat megosztják a szervezet embereivel hosszútávú megoldásokat keresnek az incidensek elkerülésére

A CERT szó szerinti fordításban: számítógépes szükségállapottal, kényszerhelyzettel foglalkozó csapat, ez egy kicsit megtévesztő, mert leszűkíti a tevékenységet, ugyanis nemcsak vészhelyzetben tevékenykednek. Korábban ezt az elnevezést használták, most inkább a CSIRT jött divatba. A CSIRT (Computer Security Incident Response Team) jelentése: számítógépes incidensekre adandó válaszokkal foglalkozó csapat. Megjegyzem, hogy az "incidenskezelés"-t a továbbiakban tágabb értelemben használjuk, tehát ez a fogalom nem azonos azzal, hogy egy adott számítógépes/hálózati biztonsági eseményt megoldunk, annál több, olyan folyamatok összessége, amelyben ● ● ● ●

benne van az incidensekre vonatkozó figyelmezetés, az incidensek felderítésében, elemzésében való csapatmunka, az együttműködés és a koordináció, a megelőzést segítő intézkedések.

Szinonimák: CSIRT – Computer security incident response team, IRT – incident response team, CSIRC – comp. Sec. Inc. Response Capability, CIRC – comp. Inc. Response capability, SERT – security emergency response team  IHM-MTA-E4-3.doc

116/296

MTA SZTAKI; E4 - 4671/4/2003


(A CSIRT kifejezés főleg Európában terjed, talán aa TERENA (Trans European Research and Education Networking Association) hatására). Fontos megjegyzés: Nincs univerzális csodaszer az informatikai biztonságra, a CSIRT csak egy aspektus. Emellett a biztonságos konfiguráció, a tudatosság, külső és belső védelem, szakértők, megfelelően biztonságos rendszerek... mind, mind kellenek.


117/296

MTA SZTAKI; E4 - 4671/4/2003


31.

CERT/ CC CERT/CC C E R T / C C m is s z ió j a K o o r d in á c ió s k ö z p o n t k é n t m ű k ö d j ö n E lő s e g ít s e a z in t e r n e t e s k ö z ö s s é g e g y ü t t m ű k ö d é s é t a z in c id e n s e k r e a d o t t v á la s z b a n T á m o g a s s a a C S I R T c s o p o r t o k lé t r e j ö t t é t F ig y e le m m e l k ís é r j e , e le m e z z e , v iz s g á lj a a z in c id e n s e k a la k u lá s á t .


- 31 -

2 0 0 6 m á ju s

Talán az első CERT a CERT/CC volt. A CERT koordinációs központot 1988 novemberében hozta létre a DARPA (Defense Advanced Research Porject Agency), az USA Védelmi hivatalának kutatásokért felelős részlege. Az alkalmat a Morris féreg megjelenése kínálta, amely demonstrálta, hogy mennyire sebezhető az internet. Helyileg a Carnogie Mellon University-n, a Software Engineering Institute-ben (SEI) van. A Morris féregről: a nevet a szerzőről kapta. 1988-ban kb 60000 gép volt az Internetre kötve. A gépeken lévő biztonsági lyukakról már akkor is tudtak, de nem vették komolyan. A féreg ezeket a biztonsági lyukakat használta ki: a sendmail (levelező szerver) -be beépített „hibakereső” funkción, mint hátsó ajtón keresztül hatolt be (első biztonsági lyuk), és ezek után a sendmail jogosultságával tevékenykedhetett a gépen. A sendmailt abban az időben szinte mindenki rendszergazdaként indította (második biztonsági lyuk). Ezenkívül a gépek egymásban megbíztak, tehát egy másik gép rendszergazdáit rendszergazdai jogosultsággal beengedték (harmadik biztonsági lyuk). A becslések szerint az akkori 60000 gépből 6000 gép, azaz 10 % fertőzödött meg. 2006. januárjában 394 millió host van az Interneten, egy hasonló méretű hiba végzetes lenne. A CERT/CC ma már koordinációs központként működik, céljai a dián olvashatók.


118/296

MTA SZTAKI; E4 - 4671/4/2003


32.

C S I R T lé tr e h o z á s a M i m o t iv á lj a a z in t é z m é n y e k e t a C S I R T - e k lé t r e h o z á s á r a A s z á m ít ó g é p e s / h á ló z a t i in c id e n s e k s z á m a é s a z é r in t e t t in t é z m é n y e k s z á m a á lla n d ó a n n ö v e k s z ik A k o c k á z a t e le m z é s i s t r a t é g ia s o r á n k it ű n ik , h o g y b iz t o n s á g i s z a b á ly z a t r a é s b e v á lt g y a k o r la t a lk a lm a z á s á r a s z ü k s é g v a n A z in f o r m a t ik a i v a g y o n v é d e lm e a la p v e t ő A r e n d s z e r g a z d á k e g y m a g u k k é p t e le n e k m e g v é d e n i a z in f o r m a t ik a i v a g y o n t A z in c id e n s e k k e z e lé s e lo k á lis a n n e m k ie lé g ít ő E g y r e k o m o ly a b b in c id e n s e k k ö v e t k e z n e k b e M e g lé v ő t ö r v é n y e k k ö t e le z n e k ( n á lu n k k ö z v e t v e ) ( F I S M A ( F e d e r a l I n f o r m a t io n S e c u r it y M a n a g e m e n t A c t , 2 0 0 2 )

K it k e ll b e v o n n i a C S I R T a la p ít á s b a ? H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 32 -

2 0 0 6 m á ju s

Ezen a dián azt elemezzük, mi indokolja a CSIRT-ek létrehozását. A legfőbb indokok fent olvashatóak. Két megjegyzés: 1.) Alapvető hiba, hogy a rendszergazdák oldják meg a biztonság kérdését. Kétségtelen, hogy a biztonsági eszközök beállítás, a helyes konfigurálás stb. az ő feladatuk, de egy sor olyan munka létezik, ami kívül esik a feladatkörükön pl. tudatosság növelése, oktatás 2.) A törvények is köteleznek a nagyobb biztonság elérésére. Magyarországon még csak közvetve, pl. „1992. évi LXIII. törvény a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról”,” 2003. évi XLVIII. törvény” az elektronikusan tárolt adatokra is vonatkozik. Az USA-ban talán konkrétabb szabályozások vannak: ●

Gramm Leach Billey törvény 1999, ami arra kötelezi a pénzintézeteket, hogy az ügyfelek személyi adatait védjék és informatikai biztonsági programjaik legyenek;

●

vagy az egészségügyi adatok védelméről szóló HIPAA törvény,

●

de a leginkább a FISMA (Federal Information Security Management Act, 2002), amely arra kötelezi a szövetségi intézményeket (agencies), hogy incidenskezelő csoportokat hozzanak létre.

Kik hozzák létre a CSIRT-eket? A CERT létrejöttéhez felsőbbszintű döntés kell, de a kezdeményezés alulról szokott indulni. Tehát a CERT-ek létrehozásában fő szerepet játszhat: ● ● ●

az informatikáért felelős vezető a biztonságért felelős vezető a szervezet vezetői


119/296

MTA SZTAKI; E4 - 4671/4/2003 ●


projektvezetők, projekttagok

A CERT-ek alapításába be kell vonni: ● ● ● ● ● ●

a szervezet jogi képviselőjét személyzeti vezetőjét a biztonsági felelősöket rendszer- és hálózatadminisztrátorokat felső vezetést kockázatkezelésért vagy auditálásért felelős embereket, ha vannak


120/296

MTA SZTAKI; E4 - 4671/4/2003


33.

C S I R T - e k típ u s a i B e ls ő C S I R T - e k K o o r d in á c ió s k ö z p o n t o k ( p l. n e m z e t i C S I R T ) E le m z ő k ö z p o n t o k G y á rtó i C S I R T I n c id e n s k e z e lé s t s z o lg á lt a t ó k ( M S S P – M a n a g e d S e c u r it y S e r v ic e P r o v id e r s )


- 33 -

2 0 0 6 m á ju s

Mivel minden CSIRT más-más körülmények között működik, mindegyik különbözik. Azonban a következő típusokat lehet megkülönböztetni. ●

Belső CSIRT-ek: a saját szervezet részére végeznek incidenskezelést, ez a szervezet lehet bank, egyetem, önkormányzat stb. (pl. NIIF CSIRT a kutatói hálózat, Hun-CERT az Internet szolgáltatók részére)

●

Koordinációs központok: az incidenskezelést koordináló és összehangoló központ, munkáját több CSIRT számára végzi el. Ilyenek például pl. az nemzeti CSIRT-ek. Nálunk a CERT-Hungary.

●

Elemző központok:különböző forrásokból nyert információk alapján az incidensaktivitás trendjét és formáit elemzik, összegzik. Ilyen pl. a BME-n a víruslabor.

●

Gyártói CSIRT-ek: a gyártó által gyártott termékekre specializálódott CSIRT-ek.

●

Incidenskezelést szolgáltatók: külső cégek, akik más szervezetek részére nyújtanak incidenskezelést. Bármilyen más tevékenységhez hasonlóan az incidenskezelést is ki lehet szervezni („outsourcing”).


121/296

MTA SZTAKI; E4 - 4671/4/2003


34.

CSI R T kom ponensei (1) M i k e ll a h h o z , h o g y m ű k ö d j ö n a C S I R T ? R F C 2 3 5 0 : E x p e c t a t io n s f o r C o m p u t e r S e c u r it y I n c id e n t R e s p o n s e

C é lo k ( m is s io n ) P é ld á k : • a h e ly i h á ló z a t / s z á m ít ó g é p e k b iz t o n s á g á n a k n ö v e lé s e ; • a s z e r v e z e t s e g ít é s e a m e g e lő z ő b iz t o n s á g i t e v é k e n y s é g b e n , • a b iz t o n s á g i t u d a t o s s á g n ö v e lé s e , • a b iz t o n s á g t e r ü le t é n a h e ly e s g y a k o r la t t e r j e s z t é s e , • a b iz t o n s á g i p r o b lé m á k fe lt é r k é p e z é s e

C é lk ö z ö n s é g / f e n n h a t ó s á g m e g h a t á r o z á s a ( c o n s t it u e n c y ) K o r lá t o k : f ö ld r a j z i h á ló z a t i s z e rv e z e ti H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 34 -

2 0 0 6 m á ju s

A következő 3 dián végigmegyünk azokon az elemeken, ami egy CSIRT működéséhez szükséges. Ha segítségre van szükségünk, akkor vegyük elő pl. az RFC2350-t, egy „helyes gyakorlat” státuszú RFC-t. Nagyon sok információ található még a NIST lapjain, ld. utolsó diák egyike. Körültekintően kell eljárni a célok meghatározásában! Ha azok nem világosak, akkor a CSIRT által végzett munka is ad-hoc jellegű. A célok megfogalmazásában legyünk reálisak, vegyük figyelembe a rendelkezésre álló erőforrásokat (eszközök, emberek, anyagi háttér...), a célok között állítsunk fel prioritási sorrendet. Célok lehetnek például: ●

a helyi hálózat/számítógépek biztonságának növelése;

●

a szervezet segítése a megelőző biztonsági tevékenységben,

●

a biztonsági tudatosság növelése,

●

a biztonság területén a helyes gyakorlat terjesztése,

●

a biztonsági problémák feltérképezése

Célközönség (fennhatóság) alatt azokat az embereket és eszközöket értjük, akikért és amelyekért a CSIRT a tevékenységét végzi. A korlátok kijelölési is idetartozik: hol vannak az adott intézmény telephelyei, szobái (földrajzi határok); hogyan közelíthetők meg ezek; mi az az eszközpark amit felügyelünk; hol van a hálózat határa, amitől kezdve már nem mi felügyeljük a rendszert; kik azok az emberek, akiknek a bejelentését elfogadjuk?... A célközönség meghatározása egyes esetekben triviális: pl. egy kisvállalkozás esetén a kisvállalkozás minden munkatársa és számítógépe lehet ez a kör. Egy nagy egyetem esetén már nem olyan egyszerű a kérdés: a CSIRT csak a rendszer- és hálózatgazdákkal álljon kapcsolatban vagy az egyetem minden hallgatójával és tanárával?  IHM-MTA-E4-3.doc

122/296

MTA SZTAKI; E4 - 4671/4/2003


A célközönség meghatározása döntően befolyásolja a jövőbeni munkát, hogy pl. milyen szintű figyelmeztetéseket köröznek, milyen szintű tanácsokat adnak...(Ez a kérdés különösen nehéz pl. egy koordinációs központ esetén, mint amilyen a nemzeti CSIRT)


123/296

MTA SZTAKI; E4 - 4671/4/2003


35.

CSI R T kom ponensei (2) S z e r v e z e t i/ s z e r v e z é s i k é r d é s e k A s z e r v e z e t e n b e lü l h o l h e ly e z k e d ik e l a C S I R T ? K in e k s z á m o l b e a C S I R T a m u n k á j á r ó l? ( C I O , C E O , C S O , . . . ) H o g y a n t a r t j a a k a p c s o la t o t a c é lk ö z ö n s é g g e l?

F in a n s z ír o z á s C S I / F B I C o m p u t e r C r im e a n d S e c u r it y S u r v e y

D ö n t é s i j o g o s u lt s á g T e lj e s d ö n t é s i j o g g a l in t é z k e d h e t M e g o s z t o t t d ö n t é s i j o g g a l in t é z k e d h e t N in c s d ö n t é s i j o g a , le g f e lj e b b j a v a s o lh a t

C s o p o r t n a g y s á g a , ö s s z e t é t e le S z o lg á lt a t á s o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 35 -

2 0 0 6 m á ju s

Szervezeti kérdések: A dián látható első két kérdés szorosan összefügg. A CERT/CC által végzett felmérések szerint rendszerint az Információtechnológiai részleghez szokták besorolni a CSIRT-et. Ugyanakkor az ISO 17799 szabványt szerint a CIO számoljon be a CSO -nak, és az feleljen CEO-nak. (CIO -> CSO -> CEO) CIO: chief information officer CSO: chief security officer CEO: chief executive officer A szervezeti kérdések azért fontosak, mert a CSIRT és az IT részlegnek együtt kell működnie számos esetben: CSIRT javaslatot tehet a belső és külső védelemre (pl. tűzfalak, vírusírtók, IDS-ok kiválasztása, telepítése; de nemcsak az eszközök, hanem a folyamatok megváltoztatásra is javaslatot tehet. Szervezési kérdés az is, hogy hogyan tarthatja a kapcsolatot a célközönséggel: milyen információt adhat ki, milyen információkat kell kiadnia, a kapcsolatot milyen formában tarja (email, hirdetőtábla), megbízható vagy nyílt hálózaton stb. Finanszírozás: szükséges Montecuccoli: „Mi kell a háborúhoz? Pénz, pénz és pénz” Mennyibe kerül egy incidenskezelés, mennyit fordítanak a védelemre erről az hivatkozásban szereplő FBI/CSO jelentésben olvashatunk. Döntési jogosultság: Tisztázni kell, hogy milyen jogosultsága van a CSIRT-nek, mint csoportnak és mikor, kinek, milyen jogosultsága van a CSIRT-en az egyes csoporttagoknak. El kell különíteni azokat a jogokat, amelyben a CSIRTnek ●

teljes szabadsága van: pl. egy rendszergazdának megmondhatja, hogy húzza le a gépét a hálózatról, vagy ő maga lehúzhatja,

●

megosztott a felelőssége: amikor részt vesz a döntéshozásban. Például egy patchet (javítást)-t fel kell tenni, addig lehúzzák-e a hálózatról az adott gépet.


124/296

MTA SZTAKI; E4 - 4671/4/2003 ●


nincs döntéshozási jogosultsága: tegyenek fel egy javítást

Csoport nagysága, összetétele: nagyon változó, kevés főállású személyzet, inkább egy adott terület szakértői félállásban; gyakorlata legyen, kommunikációképes,


125/296

MTA SZTAKI; E4 - 4671/4/2003


36.

CSI R T kom ponensei (3) S z a b á ly z a t o k , e lj á r á s o k V is e lk e d é s i k ó d e x A z in f o r m á c ió k k a t e g o r iz á lá s á n a k s z a b á ly z a t a A z in f o r m á c ió k n y ilv á n o s s á g r a h o z a t a la M é d iá v a l v a ló k a p c s o la t t a r t á s B iz t o n s á g i s z a b á ly z a t E m b e r i h ib á k k e z e lé s e ....

I n fra s tru k tú ra „ n o r m á l” h á ló z a t o k , g é p e k , r o u t e r e k , v é d e lm i e s z k ö z ö k I n c id e n s e le m z é s e k h e z s z ü k s é g e s e s z k ö z ö k é s a lk a lm a z á s o k B iz t o n s á g o s k o m m u n ik á c ió s e s z k ö z ö k ( e m a il, t e le f o n . . )



- 36 -

2 0 0 6 m á ju s

126/296

MTA SZTAKI; E4 - 4671/4/2003


37.

C S I R T s z o lg á lta tá s o k R e a g á ló s z o lg á lta t á s o k

M e g e lő z ő s z o lg á lta tá s o k

B iz to n s á g o t j a v ító s z o lg á lta tá s o k

R i a s z t á s é s fi g y e l m e z t e t é s

B e j e le n t é s / k ö z le m é n y

K o c k á z a t e le m z é s

I n c id e n s k e z e lé s

T e c h n o ló g ia i fi g y e l m e z t e t é s e k

K a t a s z t r ó fa v é d e lm i t e r v

B iz t o n s á g i a u d it é s é r t é k e lé s

T u d a t o s s á g n ö v e lé s e

K o n fi g u r á l á s & b i z t o n s á g i e s z k ö z ö k , a lk a lm a z á s o k h a s z n á la t a & in fr a s t r u k t ú r a

T e r m é k é r t é k e lé s / t a n ú s ít á s

~ e le m z é s e ~ r e a d o t t v á la s z h e ly b e n ~ r e a d o t t v á la s z t á m o g a t á s a ~ r e a d o t t v á la s z o k k o o r d in á lá s a

S e b e z h e t ő s é g e k k e z e lé s e ~ e le m z é s e ~ r e a d o t t v á la s z ~ r e a d o t t v á la s z k o o r d in á lá s a

K á r t é k o n y in f . t e r m é k e k k e z e lé s e ~ e le m z é s e

B iz t o n s á g i t a n á c s a d á s O k t a t á s / t a n f o ly a m o k

B e h a t o lá s é s z le lő s z o lg á lt a t á s o k B iz t o n s á g g a l k a p c s o la t o s in fo r m á c ió k t e r j e s z t é s e

~ r e v á la s z ~ r e v á la s z k o o r d in á lá s a H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 37 -

2 0 0 6 m á ju s

A szolgáltatások három nagy csoportját különböztetjük meg: Reagáló intézkedések: ezek azok a szolgáltatások, amelyeket valamilyen esemény vagy kérés indít el. Ilyen eseményre példa: egy feltört host, a hálózaton terjedő rosszindulatú kód, az IDS által észlelt esemény. Megelőző intézkedések: segítséget nyújtanak vagy valami információt közölnek arról, hogy hogyan előzhető meg egy támadás, egy váratlan esemény. Ezekkel a szolgáltatásokkal a később bekövetkező incidensek számát csökkenthetjük. A biztonságot javító szolgáltatások: Ezek a szolgáltatások távolabb állnak az incidenskezeléstől, és ezeket a szervezeten belül más részlegek is megvalósíthatják. Ha a CSIRT részt vesz vagy ő maga nyújtja ezeket a szolgáltatásokat, akkor a CSIRT szempontjai is érvényesíthetők az egész szervezet biztonságának növelésében. Tehát ez is megelőző intézkedés, de csak közvetve csökkenti a bekövetkező incidensek számát. Az első oszlop elemei: Riasztások: egy meglévő problémára hívjuk fel a figyelmet, és megmondjuk, hogymit kell tenni rövid időn belül (pl. egy javítás feltevése) Incidenskezelés l. a következő diát. Sebezhetőségek kezelése: belső vagy külső forrásból egy olyan hardver/szoftver biztonsági hibáról, gyengeségről értesülünk, amelyet egy rosszindulatú ember kihasználhat. Az elemzés során megbizonyosodhatunk, hogy a gyengeség/hiba valóban létezik. A válasz: javítás megkeresése, telepítése; de lehet, hogy csak a sebezhetőség elkerülésére kapunk javaslatot. PL. MS IE hibáknál: csak megbízható oldalakat látogassunk. Koordinálás: a sebezhetőséggel kapcsolatos információ terjesztése. Kártékony informatikai elemek: olyan a rendszerben található fájl vagy objektum, amit a hálózat vagy a rendszer támadására lehet felhasználni – ide sorolja a vírust, férget, trójait, ismeretlen scriptet.  IHM-MTA-E4-3.doc

127/296

MTA SZTAKI; E4 - 4671/4/2003


Megelőző szolgáltatások: Bejelentés (sebezhetőség, támadásfajtás ismertetése); Technologiai figyelmeztetés (új technológiai fejlesztések figyelemmel kísérése); Az informatikai vagyon felértékelésére és auditálására vannak szabványok, eljárások, ezek használata (OCTAVE: Operationally Critical Threats, Assets and Vulnerability Evaluation, CRAMM, FIRM); Szűrők, tűzfalak, VPN stb alkalmazások, saját patch szolgáltató szerver építése, gyors visszaállítási eszközök előkészítése. Harmadik oszlop: magáért beszél


128/296

MTA SZTAKI; E4 - 4671/4/2003


38.

I n c id e n s k e z e lé s

e m a il t o v á b b i in fo

t e le fo n

o s z tá ly o z á s

ID S

in c id e n s k e z e lé s

s e b e z h e tő s é g egyéb O s z t á ly o z á s : - in c id e n s f a jt á ja - s ú ly o s s á g - h a tá s


- 38 -

2 0 0 6 m á ju s

A fenti ábra az incidenskezelés folyamatát mutatja be. A CERT/CC ábrája ez, ettől különböző módszerek is alkalmazhatunk. 1. Az incidensekről beérkező hír sokféle módon juthat el a csoporthoz: e.mail, web-felületen történő bejelentés, tűzfal vagy IDS-ek okozta riasztás, telefon, fax... Számos kérés eldöntésre kerül: saját felhasználóinktól érkezett-e, foglalkozunk-e evvel...? 2. Ha kérés beérkezett, a következő lépés a kategorizálás. A bejelentés után a következő lépés az osztályozás, akár egy kórházban: van-e elég információnk az esetről, incidensről lehet-e egyáltalán szó vagy egyéb biztonságot érintő bejelentés (pl. egy sebezhetőséget fedeztek fel)? Osztályozás módjai: incidens típusa (felhasználó veszélyeztetése, root veszélyeztetése, szolgáltatásmegtagadás, felderítés, vírus, hoax...) Mekkora az incidens kiterjedése (egy gép, teljes hálózat? Súlyosság: emberi életet veszélyeztet (kórház), pénzügyi veszteséget okozhat, CSIRT rendszert érinti, az infrastruktúrát veszélyezteti, valamilyen tevékenységet korlátoz. Hatás: sikeres-e a támadás vagy csak kísérlet; az érintett vagy veszélyeztetett rendszer nagysága, a támadás összetettsége Valószínűleg incidens: - akkor dönteni kell, kinek kell szólni, mennyire sürgős a beavatkozás? 3. Lehet, hogy a döntést még nem lehet meghozni, mert kiegészítő információkra lenne szükség. Ekkor visszacsatolás történik a bejelentőhöz. 4. Incidens történt: akkor a CSIRT megkapja a feladatot. (Azon belül ki?). ●

kezdődik az adatok elemzése, egyéb adatok gyűjtése illetve bekérése. Ha - esetleg – bírósági eljárásról lesz szó, nagyon körültekintően kell a bizonyítékok gyűjtését végezni, minden lépésünket rögzíteni kell (írásban vagy szóban). Mentés készítése.


129/296

MTA SZTAKI; E4 - 4671/4/2003


●

dönteni kell, hogy kit értesítsünk és kivel vegyük fel a kapcsolatot. (pl. a hálózatról lehúzzuk a gépet, az illető főnöknek tudni kell erről; egy adott témához értő szakértő szükséges, meg kell keresni; hálózatadminisztrátor vagy ISP értesítése is szükséges lehet; újabb áldozatot fedezünk fel, s az illető még nem tudja, hogy áldozat – őt is.)( Kérdés: a támadó beazonosításakor értesítsük-e az intézményét, őt stb.

●

elkezdődhet a technikai elemzés, optimális esetben tudjuk: ki a támadó, milyen sebezhetőséget használt ki, milyen kárt okozott

●

Milyen további lépéseket kívánunk tenni: rendszer helyreállítása, feljelentés, figyelmeztetés a többi felhasználónak, CSIRT-nek...


130/296

MTA SZTAKI; E4 - 4671/4/2003


39.

H a z a i C S I R T s z e rv e z e te k H u n g a r y C E R T – m a g y a r á lla m i, ö n k o r m á n y z a t i é s ü z le t i s z fé r a h ttp : / / w w w .ce rt- h u n g a ry .h u I H M , K ö z h á ló , N E T I K f t . , N e m z e t i H ír k ö z lé s i H a t ó s á g , N T K h t . , P o lg á r i L é g ik ö z le k e d é s i H a t ó s á g , P u s k á s T iv a d a r K ö z a la p ít v á n y

H u n - C E R T – I n t e r n e t S z o lg á lt a t ó k T a n á c s a h ttp : / / w w w .ce rt.h u

N I I F C S I R T – m a g y a r k u t a t ó i h á ló z a t h t t p : / / c s ir t . iif . h u /


- 39 -

2 0 0 6 m á ju s

A CERT-Hungary a Puskás Tivadar Alapítvány keretein belül működő Magyar Kormányzati Hálózatbiztonsági csoport, 2005. januárjában alakult. Az állami, önkormányzati és üzleti szférát egyaránt kiszolgálja, de elsősorban a kormányzati szféra támogatására jött létre. Különösen a felsorolt szervezetek részére nyújt szolgáltatást. Hun-CERT: 2002. januárjában indult, az Internet szolgáltatók részére nyújt szolgáltatást. NIIF CSIRT: az első volt, de hol működött, hol nem. Ez attól függött, hogy ki az aki felvállalta ezt a szerepkört. Pásztor Miklós nevét feltétlenül meg kell említeni, mint a biztonsággal kapcsolatos munkák elindítóját. S ma már újra elmondható, hogy létezik a NIIF CSIRT.


131/296

MTA SZTAKI; E4 - 4671/4/2003


40.

N e m z e tk ö z i C S I R T - e k ( 1 ) F I R S T ( F o r u m o f I n c id e n t R e s p o n s e T e a m s ) Tagok

É v e s k o n fe r e n c ia T e c h n ik a i k o llo k v iu m é v e n t e 3 x H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 40 -

2 0 0 6 m á ju s

A FIRST az incidenskezelő csoportok legnagyobb szervezete. 1988-ban alakult, néhány héttel a CERT/CC előtt, szintén a Morris féreg kapcsán, az USA-ban. 1989 októberében, a Wank féreg megjelenése után kitűnt, hogy a biztonsági incidensekkel foglalkozó csoportok között javítani kell a kommunikációt és a koordinációt. Azóta a FIRST célja a CSIRT csoportok összefogása. (Wank féreg a VMS/DEC rendszereket fertőzte, de nem a TCP/IP, hanem a DECNet-en keresztül. A jelszókezelés gyengeségeit használta ki, módosította a .com fájlokat, új azonosítót generált...) Tagjai között mindenfajta CSIRT van: kormányzati, oktatási, katonai, gyártói, kereskedelmi. A tagok létszámának alakulása látható az ábrán. Magyar tagja még nincs, elsősorban a fizetendő tagdíj miatt, de a CERT-Hungary már elindította az eljárást. 1989 óta minden évben megrendezik a FIRST konferenciát, amelyik az egyik legnagyobb találkozója a biztonsági szakembereknek. 2004-ben Budapesten tartották az összejövetelt.


132/296

MTA SZTAKI; E4 - 4671/4/2003


41.

N e m z e tk ö z i C S I R T - e k ( 2 ) TERENA TI A k k r e d it á lt é s n e m a k k r e d it á lt t a g o k F I R S T – T E R E N A k a p c s o la t

EN IS A

( E u r o p e a n N e t w o r k a n d I n f o r m a t io n S e c u r it y A g e n c y )

• a b iz t o n s á g i in c id e n s e k é s a k o c k á z a t o k a d a t a in a k g y ű j t é s e é s e le m z é s e • e u r ó p a i s z in t e n a k ü lö n b ö z ő s z e r e p lő k k e l ( P P P ) t ö r t é n ő e g y ü tt m ű k ö d é s a b iz t o n s á g te r ü le té n • b iz t o n s á g i t u d a t o s s á g n ö v e lé s e , k o c k á z a t k e z e lé s i e lj á r á s o k é s a „ h e ly e s g y a k o r la t ” e lt e r j e s z té s e • b iz t o n s á g i s z a b v á n y o k

E-CO AT

EGC

k if e j le s z t é s e a t e r m é k e k r e , s z o lg á lt a t á s o k r a

( E u r o p e a n C o o p e r a t io n o f A b u s e F ig h t in g T e a m s )

(E u ro p e a n G o v e rn m e n t C S IR T s G ro u p )


- 41 -

2 0 0 6 m á ju s

A TERENA az európai kutatói hálózatokat tömörítő szervezet. Ennek ellenére az ún. „Trusted Introducer” listán nemcsak a kutatói hálózatokhoz tartozó CSIRT-eket gyűjti maga köré, hanem minden CSIRT-et. A CSIRT-eknek két státuszuk van, kezdetben nem akkreditált, majd bizonyos feltételek után akkreditált státuszt kapnak. Magyarországról mindhárom szervezet tag, de a CERT-Hungary 2006. február óta akkreditált tag is.. ENISA: nem igazán a CSIRT-ek szervezete, az ügynökséget az Európai Parlament és a Bizottság 2004-ben hozta létre. Az ügynökség feladata: ●

a biztonsági incidensek és a kockázatok adatainak gyűjtése és elemzése

●

európai szinten a különböző szereplőkkel (PPP) történő együttműködés a biztonság területén

●

biztonsági tudatosság növelése, kockázatkezelési eljárások és a „helyes gyakorlat” elterjesztése

●

biztonsági szabványok kifejlesztése a termékekre, szolgáltatásokra

A tavalyi tevékenységéről szóló beszámoló azt mutatja, hogy a TERENA-val karöltve az európai CSIRT mozgalom támogatását felvállalta. A további két szervezet közül az EGC együttműködés a CERT-Hungary számára fontos.


133/296

MTA SZTAKI; E4 - 4671/4/2003


42.

P ro je k te k , tre n d e k ( 1 ) C H I H T – C le a r in g H o u s e f o r I n c id e n t H a n d lin g T o o ls I n c id e n s k e z e lé s A z in c id e n s h e ly s z ín é n b iz o n y ít é k o k g y ű j t é s e ( e s z k ö z ö k , r e n d s z e r e k ) A z in c id e n s b iz o n y ít é k a in a k v iz s g á la t a ( a b iz o n y ít é k o k e le m z é s e ; a z o n o s s á g v iz s g á la t ) A z in c id e n s k e z e lé s t t á m o g a t ó e s z k ö z ö k I n c id e n s u t á n i r e n d s z e r v is s z a á llít á s C S I R T n a p i m u n k á j á t s e g ít ő e s z k ö z ö k C S I R T - e k t e v é k e n y s é g e ( in c id e n s e k n y o m o n k ö v e t é s e , a r c h ív á lá s a , k o m m u n ik á c ió ) B iz t o n s á g o s t á v o li k a p c s o la t ( t á v o li h á ló z a t i k a p c s o la t , b iz t o n s á g o s d ia l- u p , b iz t . t u n n e l) M e g e lő z é s t s e g ít ő e s z k ö z ö k ( a u d it , s e b e z h e t ő s é g é s z le lé s e . . . ) E g y é b ( r o s s z u l k o n fi g u r á l t r e n d s z e r e k e l l e n ő r z é s e . . . )

E U p ro je k te k : T R A N S I T , R T I R W G , S I R I O S , W A R P in it ia t iv e H a n d b o o k o f L e g is la t iv e P r o c e d u r e s f o r C S I R T s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 42 -

2 0 0 6 m á ju s

CHIHT: ennek a projektnek a keretében az Incidenskezelő csoportok számára hasznos eszközöket, iránymutatásokat, dokumentumokat gyűjtik össze. Tehát eszközök találhatók a fentebb felsorolt témákhoz. TRANSIT: CSIRT csoportok képzése http://www.ist-transits.org/ 2002-2005 között az Európai Unió támogatásával folyt az ún. TRANSIT projekt, évente 2szer tanfolyamot szerveztek a biztonsági szakembereknek. Miután 2005 júliusában befejeződött a TRANSIT projekt, ugyanakkor nagyon jó visszhangja volt ennek, a TERENA és a FIRST között szorosabb kapcsolat alakult ki az oktatás kapcsán. A FIRST a TRANSIT oktatási anyagokat átveszi, és ennek alapján Latin-Amerikába és Ázsiában is tanfolyamokat szervez. Ezenkívül hármas támogatással (TERENA, FIRST, ENISA) közös „training workshop”-okat terveznek. 2006. márciusában már Vilniusban volt ilyen tanfolyam. RTIR WG:incidensek kezelése elektronikusan http://www.terena.nl/activities/tf-csirt/rtir.html SIRIOS – inicdenskezelésre szolgáló eszközökkel foglalkozik(Tools for incident handling) http://www.cert-verbund.de/sirios/ WARP: Warning, Advice and Reporting Point http://www.warp.gov.uk/ Handbook of Legislative Procedures for CSIRTs: 2002-ben az EU Bizottság megbízásából készült el a fenti címmel egy kiadvány. A dokumentum két részből áll: ●

az első rész a rosszindulatú használat fajtáit és biztonsági incidenseket kategorizálja, átnézi a nemzetközi szabályozást (Számítógépes bűnözésről szóló egyezmény, amit itt


134/296

MTA SZTAKI; E4 - 4671/4/2003


Budapesten írtak alá), az incidensek jogi szempontból történő vizsgálatának elveit mutatja be, ●

a második rész pedig a számítógépes bűnözésnek büntethetőségét ismerteti az egyes országokban .

Az eredeti dokumentum az 15 országára vonatkozik, jelenleg bővítik a kötetet.


135/296

MTA SZTAKI; E4 - 4671/4/2003


43.

P ro je k te k , tre n d e k ( 2 ) H a n d b o o k fo r L e g is la t iv e P r o c e d u r e s fo r C S I R T s S z á m ít ó g é pes nyom

R o s s z in d u l S z o lg á lta t á s ató k ód m e g ta g a d á s

A z o n o s ító B e h a to lá s i fe ltö r é s e k ís é r le t .

J o g t a la n h o z zá fé r é s a z in f .- h o z

J o g t a la n h o z z á fé r é s az a d a tá tv ite lh

A z in f. jo g ta la n a n m e g v á lto z ta t á sa

J o g t a la n n h o zzá fér és a k o m m . rsshez

A u s tria B e lg iu m D á n ia F in n o rs z á g F ra n c ia o rsz á g G ö rö g o rsz á g H o lla n d ia Íro rs z á g L u x em b u rg N a g y -B ritta n ia N é m e to rs z á g O la s z o rs z á g P o rtu g á lia S p a n y o lo rs z á g S v é d o rsz á g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 43 -

2 0 0 6 m á ju s

Szerintem a számítógépes bűnözéssel kapcsolatos jogi információkra egyre nagyobb szükségük lenne a CSIRTeknek. A számítógépes bűnözés egyik alapproblémája, hogy a szabályozás az egyes országokra érvényes, de a hálózat nem ismeri az országhatárokat. Az EU evvel a kézikönyvvel próbál segíteni a kérdésen. Az első könyv, ami 2002-ben készült, még 15 országra vonatkozott. Most folyik a második változat készítése, ami mind a 25 országra vonatkozik. A fenti ábrán a vízszintes oszlopban az incidensek osztályozása látható, a függőleges oszlopban az egyes országok láthatók. A színek jelentése: ●

Fehér: nincs jogi szabályozás

●

Szürke: adminisztratív szankció van

●

Fekete: büntető szankció van

További információk: Handbook of Legislative Computer Security Incident Response Teams Eredeti anyag: http://www.sei.cmu.edu/pub/documents/03.reports/pdf/03hb002.pdf Új anyag: http://www.csirt-handbook.org.uk/app/index.php? &table_name=app_countries&function=search&where_clause=&page=1&order=country&o rder_type=ASC


136/296

MTA SZTAKI; E4 - 4671/4/2003


44.

S z a b v á n y o s ítá s o k ( 1 ) I E T F E x t e n d e d I n c id e n t H a n d lin g W G ( I N C H ) K ö v e t k e z ő k é r d é s e k f o r m a liz á lá s á v a l f o g la lk o z ik : - a z in c id e n s k e z e lé s m o d e llj e - in f o r m á c ió k s z a b v á n y o s f o r m á t u m a - - a r o s s z in d u la t ú m ű v e le t f o r r á s a é s c é lp o n t j a , a v is e lk e d é s j e lle g e - - a z e le m z é s h e z s z ü k s é g e s b iz o n y ít é k o k , - - é r z é k e n y in f o r m á c ió k k a l k a p c s o la t o s m e t a in f o r m á c ió k ( s z e m é ly is é g i j o g o k , a d a t o k n e m z e t k ö z iv é t é t e le , j o g o s u lt s á g o k ) - a z in c id e n s v iz s g á la t á n a k s t á t u s z a é s a z e le m z é s f o ly a m a t a T h e I n c id e n t O b j e c t D e s c r ip t io n E x c h a n g e F o r m a t D a t a M o d e l a n d X M L I m p le m e n t a t io n R e q u ir e m e n t s f o r t h e F o r m a t f o r I n c id e n t I n f o r m a t io n E x c h a n g e ( F I N E ) I n c id e n t H a n d lin g : R e a l- t im e I n t e r - n e t w o r k D e fe n s e E x t e n s io n t o I O D E F - D o c u m e n t C la s s f o r P h is h in g , F r a u d , a n d O t h e r N o n - N e t w o r k L a y e r R e p o r t s IO D EF/R ID over S O AP


- 44 -

2 0 0 6 m á ju s

Jobb lenne a „szabványosítási kísérletek” fogalmat használni. Az INCH csoport célja egy adatformátumok definiálása, amely elősegíti, hogy a biztonsági incidensekről szóló információt lehet elektronikus lehessen kezelni. A feladatok közé tartozik tehát annak szabványosítása, hogy hogyan nézzen ki a modell és milyen legyen az üzenet szabványos alakja, például a következő esetekben: ●

a beérkező jelentés (amit a felhasználóktól kapnak)

●

a egyéb személyektől (pl.technikai személyzettől, más CSIRT-ektől) beérkező információ

●

elemző központból érkező információ

A szabványosított formátum a ma még emberi erőforrás-igényes kommunikációs folyamatokat fogja segíteni. A csoport a következő kérdések formalizálásával és átvitelével foglalkozik: ●

. a rosszindulatú felhasználás forrása és célpontja, a viselkedés elemzése

●

az elemzéshez szükséges bizonyítékok,

●

az incidens vizsgálatának státusza és az elemzés folyamata

●

érzékeny információkkal kapcsolatos metainformációk (személyiségi jogok, adatok nemzetközivé tétele, jogosultságok)

Az alul felsorolt IETF dokumentumok még ún. Draft-ok, tehát nem elfogadott anyagok. Ezt a munkát az európaiak indították el IODEF (Incident Object Description and Exchange Format) néven, amely csoport munkáját folytatta az IETF most már INCH néven.


137/296

MTA SZTAKI; E4 - 4671/4/2003


45.

S z a b v á n y o s ítá s o k ( 2 ) C A I F – C o m m o n A d v is o r y I n t e r c h a n g e F o r m a t s ( E x c h a n g e fo r m a t fo r S e c u r it y A d v is o r ie s )

D A F – G e r m a n A d v is o r y S c h e m e ( E x c h a n g e fo r m a t fo r S e c u r it y A d v is o r ie s , d e d u c t e d fr o m E I S P P )

E I S P P – E u r o p e a n I n f . S e c . P r o m o t io n P r o g . ( E x c h a n g e fo r m a t fo r S e c u r it y A d v is o r ie s )

V E D E F – V u ln e r a b ilit y a n d E x p lo it D e s c r ip t io n a n d E x ch a n g e F o rm a t ( E x c h a n g e fo r m a t fo r s e c u r it y in fo r m a t io n , v u ln e r a b ilit e s a n d e x p lo it s )

C o m m o n V u ln e r a b ilit e s a n d E x p o s u r e s


- 45 -

2 0 0 6 m á ju s

Mindenféle európai szabványosítási kísérleteket megpróbáltam összeszedni, amelyek az adatcserére vonatkoznak. Az utolsó talán a legelfogadottabb kísérlet: CVE: sebezhetőségek és kitettségek http://cve.mitre.org


138/296

MTA SZTAKI; E4 - 4671/4/2003


46.

A h a z a i h e ly z e tr ő l N á lu n k k e v é s a b e j e le n t e t t C S I R T C S I R T - e k k ö z t i e g y ü t t m ű k ö d é s t j a v ít a n i k e ll ( J a v a s la t : m u n k a c s o p o r t m e g a la k ít á s a )

F e lh a s z n á ló k a m e g lé v ő le h e t ő s é g e k e t s e m is m e r ik K a t o n a s á g n á l lé v ő ( m ilit a r y ) C S I R T h iá n y z ik F in a n s z ír o z á s - C E R T - H u n g a r y - t k iv é v e – m e g o ld a t la n N in c s s z a b v á n y o s , a k á r a b ír ó s á g á lt a l is e lf o g a d o t t in c id e n s k e z e lé s ( f o r e n s ic s ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 46 -

2 0 0 6 m á ju s

Sokfajta biztonsági csoport működik nálunk: vírusközpontok, rendszergazdák,... de ezek nem valamilyen kellően szabályozott formában dolgoznak, nemzetközi szervezetekben nem vesznek részt. Szemben a külföldi példákkal, a magyar férgek megjelenése – Maya Gold, Zafi – nem késztette összefogásra a hazai szakértőket. Mindenki a saját területén dolgozik. Valamilyen szervezett forma (pl. Az IHM vezetésével egy munkacsoport) javíthatna a helyzeten. S a CERT Hungary lehetne az a szervezet, ami jobban összefogja a munkát. Felhasználók nem ismerik a CSIRT-eket. A felhasználók alatt a rendszergazdák is értendők. Nagyon sok helyen a katonasághoz kötödik a CERT (nyilván a hírszerzéssel is összefüggésben). Itt a keleti blokkban pl. a lengyeleknél vannka jól működő katonai (kormányzathoz kapcsolódóan) és civil csoportok.


139/296

MTA SZTAKI; E4 - 4671/4/2003


47.

H a s z n o s lin k e k , r e fe r e n c iá k CERT/CC h ttp : / / w w w .ce rt.o rg

H a n d b o o k fo r C S I R T s

(2 0 0 3 .á p r.)

h t t p : / / w w w . c e r t . o r g / a r c h iv e / p d f / c s ir t - h a n d b o o k . p d f

S t a t e o f P r a c t ic e o f C S I R T s

( 2 0 0 3 .o k t.)

h t t p : / / w w w . s e i. c m u . e d u / p u b / d o c u m e n t s / 0 3 . r e p o r t s / p d f / 0 3 t r 0 0 1 . p d f

C S I / F B I C o m p u t e r C r im e a n d S e c u r it y S u r v e y h t t p : / / w w w . g o c s i. c o m / f o r m s / f b i/ c s i_ f b i_ s u r v e y . j h t m l

I n c id e n t C o s t & A n a ly s is M o d e lin g P r o j e c t h t t p : / / w w w . c ic . u iu c . e d u / g r o u p s / I T S e c u r it y W o r k in g G r o u p / a r c h iv e / R e p o r t / I C A M P . s h t m l

TF-CS IRT h t t p : / / w w w . t e r e n a . n l/ t e c h / t a s k - f o r c e s / t f - c s ir t


- 47 -

2 0 0 6 m á ju s

További linkek: Forming an Incident Response Team http://www.auscert.org.au/render.html?it=2252&cid=1938


140/296

MTA SZTAKI; E4 - 4671/4/2003


48.

H a s z n o s lin k e k , r e fe r e n c iá k I E T F E x t e n d e d I n c id e n t H a n d lin g W G h t t p : / / w w w . ie t f . o r g / h t m l. c h a r t e r s / in c h - c h a r t e r . h t m l

C le a r in g H o u s e f o r I n c id e n t H a n d lin g T o o ls (C H IH T) h t t p : / / c h ih t . d fn - c e r t . d e /

S A N S I n s t it u t e h ttp : / / w w w .s a n s .o rg /

S e c u r it y F o c u s h t t o : / / w w w . s e c u r it y fo c u s . c o m / in c id e n t s

E N I S A – e u r ó p a i h e ly z e t k é p h t t p : / / w w w . e n is a . e u . in t / d o c / p d f / d e liv e r a b le s / e n is a _ c e r t _ in v e n t o r y _ v 1 . 2 _ 0 6 0 2 1 0 .p d f



- 48 -

2 0 0 6 m á ju s

141/296

MTA SZTAKI; E4 - 4671/4/2003


49.

I n fo r m a tik a i b iz to n s á g i s z a b v á n y o k



2006-05-13

142/296

MTA SZTAKI; E4 - 4671/4/2003


50.

T a r t a lo m I n fo r m á c ió / in f o r m a t ik a i b iz t o n s á g S z a b v á n y o k , s z in t e k s z e r in t i o s z t á ly o z á s u k A z in f o r m a t ik a i b iz t o n s á g ( I B ) n e m z e t k ö z i é s h a z a i s z a b v á n y o s ít á s á n a k f ő s z e r e p lő i A z in f o r m á c ió b iz t o n s á g i s z a b v á n y o k re n d sze re N é h á n y k ie m e lt s z a b v á n y is m e r t e t é s e C o m m o n C r it e r ia , M I B É T S BS 7799 -> IS O 27000 , IBIK C O BIT ITIL -> IS O 20000 H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 50 -

2 0 0 6 m á ju s

A társadalom minden rétege – a kormányzati szektor, a gazdálkodó szervezetek és az egyének is – egyre fokozottabb mértékben függ az informatikai rendszerektől, új kockázatok jelennek meg, amelyeket hatékonyan kezelnünk kell. Az embereknek az információs rendszerekhez vegyes érzelmekkel közelítenek: örülnek annak, hogy az információkhoz könnyen és gyorsan hozzájutnak (az információhoz való jog), ugyanakkor félnek, hogy a velük kapcsolatos, róluk szóló stb. bizalmas információk kikerülnek (bizalom hiánya, tudatlanság). Az informatikai biztonság nemcsak, sőt elsősorban nem technológiai kérdés, hanem megközelítéséhez át kell alakítani a ●

technológiai feltételeket,

●

környezeti feltételek,

●

szervezeti kereteket.

E feltételek átalakítása sem vezet el a teljes biztonsághoz, mivel olyan ma még nincs, csak valamennyire megközelíthető. A következőkben ●

a technológiai feltételekről csak érintőleges szólok, arról inkább az elkövetkező előadásokban lesz szó.

●

környezeti feltételek alatt itt csak a szabványosítási tevékenységről lesz szó, egyéb környezeti feltételek: jog, emberi tényezők (tudatosság növelése) itt nem kerül szóba.

●

a szervezeti keretekből is egyetlen tényezőről, a számítógépes incidenskezelő csoportokról beszélünk.


143/296

MTA SZTAKI; E4 - 4671/4/2003


51.

A b iz to n s á g e le m e i ( N A T O )

S z e m é ly i b iz to n s á g In fo r m á c ió b iz to n s á g

IN F O S E C

F iz ik a i b iz to n s á g

D o k u m e n tu m b iz t o n s á g


+ ip a r b iz t o n s á g

- 51 -

2 0 0 6 m á ju s

A biztonság napjaink egyik leginkább előtérbe került problémája, a 2001. szept. 11-i események döntően befolyásolták ennek kezelését. A biztonsággal a hivatalos kormányzati, rendvédelmi, hazai és nemzetközi szervezetek (NATO) éppúgy foglalkoznak, mint az Internet felhasználók milliói. Éppen ezért a biztonság - sőt leszűkítve az informatikai biztonság - témakörére nagyon sok helyen, nagyon sokféle – néha egymásnak ellentmondó – meghatározásokat találunk. Sokszor felhívják a figyelmünket arra, hogy tegyünk különbséget az információbiztonság és az informatikai biztonság között, ezt most megtesszük. A NATO szabályai a biztonságnak öt eleme van: a személyi -, fizikai -, kommunikáció-, dokumentum -, iparbiztonság. Ez utóbbi nem tartozik a NATO titokvédelmi területei közé, csak az előző néggyel foglalkoznak. (Az információ: olyan tények vagy elgondolások, amelyet különféle adatformában lehet reprezentálni.) A személyi biztonság elve: „Szükséges, hogy megismerje!” „Csak, akire tartozik” Fizikai biztonság: megvédeni a jogosulatlan hozzáféréstől az információkat (védelem az erőszakkal történő behatolás ellen; védelem a kialakított rend ellen tevékenykedők ellen) Dokumentum biztonság területei: iratkezelési eljárások, dokumentumok minősítése, átvétele, továbbítása, megsemmisítése, betekintés szabályozása Elektronikus információ (kommunikáció) biztonság: informatika, adatátvitel, rejtjelezés, kisugárzás. Az információbiztonság (information security) helyett gyakran használják az információ szavatolás/garancia (information assurance) kifejezést is. Az informatikai rendszerek biztonsága (INFOSEC) = informatikai biztonság: az információs rendszerek védelme az információ jogosulatlan felhasználása vagy módosítása ellen, akár az információ tárolásáról, processzálásáról vagy átviteléről legyen szó, ide tartoznak  IHM-MTA-E4-3.doc

144/296

MTA SZTAKI; E4 - 4671/4/2003


mindazok az intézkedések, amelyek a fenyegetettségek észleléséhez, dokumentálásához vagy elhárításához szükségesek. (Azért megjegyzem, hogy pl. az Internet Security Glossary RFC2828 nem teszi meg a megkülönböztetést: „information security” = INFOSEC!!!)


145/296

MTA SZTAKI; E4 - 4671/4/2003


52.

I N F O S E C m o d e ll ( M c C u m b e r ) e m b e ri té n y e z ő k

tá r o lá s

fe ld o lg o z á s

h ite le s s é g

le ta g a d h a ta tla n s á g

(A ) r e n d e lk e z é s r e á llá s

(I) s é r te tle n s é g

á tv ite l

s z a b á ly z a to k , s z a b v á n y o k ,.. te c h n o ló g ia

B iz to n s á g i s z o lg á lta tá s o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 52 -

2 0 0 6 m á ju s

Az előző dia végén egy elég bonyolult definíciót mondtam az informatikai rendszerek biztonságáról, az 1991ben elkészített McCumber -féle modell ezt szemléletessé teszi. Az informatikai rendszerek biztonsága (INFOSEC) = informatikai biztonság(?): az információs rendszerek védelme az információ jogosulatlan felhasználásától vagy módosításától, akár az információ tárolásáról, feldolgozásáról vagy átviteléről legyen szó, valamint a védelem azért, hogy a jogos felhasználó a szolgáltatást elérhesse; és ide tartoznak mindazok az intézkedések, amelyek a fenyegetettségek észleléséhez, dokumentálásához vagy elhárításához szükségesek. Information system security (INFOSEC): Protection of information system against unathorized access to or modification of information, whether in storage, processing or transit, and against the denial of service of authorized users, including those measures necessary to detect, document, and counter such a threats. A McCumber -féle modell kezdetben a bűvös kockára hasonlított, ugyanis egy 3x3x3-as kocka volt. A tengelyeket értelmezve nem adok pontos definiciót, az megtalálható a NSTISSC 4009-ben. Az első tengely a biztonsági szolgáltatások, ami kezdetben a „CIA” volt, azaz a megbízhatóság (titkosság), sértetlenség és elérhetőség. Ehhez jött később a letagadhatatlanság és a hitelesítés (hitelesség), ekkor már a kocka egy kicsit eltorzult. Titkosság/bizalmasság: csak a jogosult személy, folyamat vagy eszköz juthat az erőforráshoz (információhoz) Sértetlenség: erőforrás (információ/rendszer) az eredeti állapotnak megfelel és teljes; módosítás vagy törlés nem történt. (...Magába foglalja az információ pontosságát, lényegességét és teljességét – mindez adja ki a rendszer robosztusságát) Elérhetőség: a jogosult felhasználó a megfelelő szolgáltatást, a megfelelő időben és helyen megkapja. Letagadhatatlanság: hiteles információnk van egy adott cselekvéssel kapcsolatban (küldő a kézbesítés tényéről bizonyítékot kap, a fogadó pedig a küldő kilétéről biztosítva van). Hitelesség: biztonsági intézkedés, ami arra szolgál, hogy az átvitel, az üzenet vagy a kezdeményező érvényességét igazolja, vagy egy olyan eszköz, ami egy adott személynek egy adott információhoz való hozzáférésének jogosultságát igazolja.(IP címek hamisításánál kezdtek erre felfigyelni) A második tengely: az információ állapota – tárolás, processzálás (feldolgozás) vagy átvitel. Az információ egyszerre kétféle állapotban is lehet. (pl. tárolás és átvitel)


146/296

MTA SZTAKI; E4 - 4671/4/2003


A harmadik tengely: a biztonsági intézkedések, amely a technológiából,az üzemeltetésből (szabályzatok és eljárások/gyakorlat; ide tartoznak mindazok az intézkedések, amit pl. a rendszergazdák kényszerítenek a felhasználóikra) és az emberi tényezőkből áll. Ez utóbbi tkp „fekete doboz”: betartják-e a szabályzatokat, mit csinálnak egy olyan helyzetben, ami nincs lefedve szabályzatokkal stb. Negyedik dimenzió: idő – mindezt folyamatában kell tekintenünk. Az egyes elemek fontossága időben változhat, pl. egy projekt befejezésénél nagyobb szerepe lesz a tárolásnak, adatelérésnek, mint a letagadhatatlanságnak. És nem véletlenül „kockaként” ábrázolják ezeket a dimenziókat, mert a modell elemei között kölcsönhatások vannak.


147/296

MTA SZTAKI; E4 - 4671/4/2003


53.

A s z a b v á n y o k s z in tj e i S z a b v á n y : á lt a lá b a n e g y d á s , m e ly n e k k e r e t é b e n s a v a g y e g y s z o lg á lt a t á s m ó d o n t ö r t é n ik I n f o r m a t ik a i s z a b v á n y o k

ip a r á g i m e g á lla p o e g y t e r m é k e lő á llít á e l ő r e s p e c i fi k á l t o s z t á ly o z á s a

h iv a t a lo s , d e - j u r e s z a b v á n y o k N e m z e t k ö z i s z in t ( p l. I S O , I E C , I T U - T ) R e g io n á lis s z in t ( p l. C E N , C E N E L E C , E T S I ) N e m z e t i s z in t ( p l. M S Z T , B S I )

i p a r i, d e - f a c t o s z a b v á n y o k ( p l. W 3 C ) ad-hoc szabványok s a já t, v é d e tt s z a b v á n y o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 53 -

2 0 0 6 m á ju s

Az előbbi kockát nézve a „felső rétegről” közelítem a modell, és abból is a középső sávból fogok részleteket ismertetni. Szabvány:általában egy iparági megállapodást értünk alatta, melynek keretében egy termék előállítása vagy egy szolgáltatás üzemeltetése előre specifikált (szabványos) módon történik. A szabványhoz olyan képzetek kapcsolódnak, mint időtállóság, minőség, tekintély, együttműködés, konszenzus stb. Az informatikai szabványok négy szintjét szokták megkülönböztetni, ez az informatikai biztonsági szabványokra is igaz: hivatalos (de-jure) szabványok: Idetartoznak azok a szabványok, melyeket a különböző államok által törvényi szinten elismert, szabványok megalkotására létrejött szervezetek adnak ki. A szabványügyi testületek három szinten helyezkednek, és az általuk kiadott szabványok is ezekre a szintekre érvényesek. Ipari (de facto) szabványok: a legtöbb ilyen szabvány egy adott iparág konzorciumba tömörült érdekelt feleinek együttműködési törekvése kapcsán jött létre. Pl a W3C 350, informatikában érdekelt szervezet együttműködése. Ad-hoc szabványok: habár egyik szabványügyi szervezet sem adta ki vagy hagyta jóvá, de lényegében szabvánnyá vált. A de-facto szabványok előképének lehet tekinteni. Saját, védett szabványok – nem is igazi szabványok, általában egy domináns szoftverfejlesztő cég ad ki ilyet, a tulajdonjog a kibocsájtó kezében marad, licenszdíjat kérnek érte stb. (MS Windows)


148/296

MTA SZTAKI; E4 - 4671/4/2003


54.

I B s z a b v á n y o s ítá s s z e r e p lő i I n f o r m á c ió b iz t o n s á g

IS O JTC1 IE C

SC 27

I n f o r m á c ió te c h n o ló g ia

K ö v e t e lm é n y e k , b iz to n s á g i s z o lg á lta tá s o k é s ú tm u ta tó k „M a n a g e m e n t” (W G 1 )

IT U ETSI

M S Z T /M B 8 1 9

IE T F

M SZT

B iz t o n s á g i te c h n ik á k é s e ljá r á s o k „ E n g in e e r in g ” ( W G 2 ) B iz t o n s á g é r t é k e lé s i s z e m p o n to k „ E v a lu a t io n ” ( W G 3 )

C C IM B

. . .

N IS T

BSI


- 54 -

2 0 0 6 m á ju s

Az ábrán azok a szabványosítási szervezetek láthatók, amelyek az informatikai biztonság területén fontos szerepet játszanak. Az ISO, a svájci székhelyű Nemzetközi Szabványosítási Intézet és az IEC, a Nemzetközi Elektrotechnikai Bizottság egy közös bizottságot (JTC1) hozott létre, melynek feladata az információtechnológia területén történő szabványosítás. A JTC1-en belül különböző albizottságok működnek, a SC27-es az információtechnológiai biztonságért felelős („IT Security Techniques”). (SC7: rendszer és rendszerfejlesztés) Három munkabizottsága működik, amelynek feladata magába foglalja ●

az informatikai rendszerek biztonsági szolgáltatásai általános követelményeinek meghatározását,

●

biztonságra vonatkozó útmutatások fejlesztését,

●

támogató dokumentumok fejlesztését a vezetés számára,

●

biztonsági technikák és mechanizmusok fejlesztését (kriptográfiai és nem kriptográfiaiit egyaránt)

●

informatikai rendszerek, komponensek és termékek biztonsági értékelésére és tanúsítására vonatkozó szempontrendszer kialakítását

ITU (International Telecommunication Union) Nemzetközi Távközlési Egyesület - ENSZ égisze alatt működik ETSI (European Telecommunications Standards Institute) Európai Távközlési Szabványosítási Intézet NIST (National Institute of Standards and Technology) Amerikai Szabványügyi Testület BSI (British Standards Institution) Brit Szabványügyi Testület IETF (Internet Engineering Task Force) Internet szabványok (RFC-k) CCIMB (CC Interpretation Management Board) MSZT - Magyar Szabványügyi Testület. Az MSZT feladata: szabványosítás, tanúsítás (minőségirányítás ISO 9001:2000), oktatás, szabványkiadás, szabványforgalmazás, információszolgáltatás. A szabványosítás ún. Műszaki Bizottságok keretében működik. A 819-es Műszaki Bizottság felel az informatikáért. Tulajdonképpen ehhez a műszaki bizottsághoz kapcsolódik a ISO/IEC/JTC1 nemzetközi technikai bizottság.. A szabványosítási szervezetek természetesen egymással is tartják a kapcsolatot tartanak fent:


149/296

MTA SZTAKI; E4 - 4671/4/2003


A JTC/SC27pl. az ITU-T SG7/Q20-val együtt közös szabványokat, vagy ún. „tükör”szövegű dokumentumokat adnak ki – erre példa : „Előírás kívül álló bizalmi felek (TTP) digitális aláírás alkalmazását támogató szolgáltatásaira” CCIMB – pl. az SC27 publikálta az „egységes szempontokat” IS 15408-ként. Az ISO TC 68 („Bank és kapcsolódó pénzügyi szolgáltatás”) és az SC27 kölcsönösen érdekelt az együttműködésben az informatikai biztonság terén (üzenelhitelesítés, védelmi profilok, biztonségi útmutatók stb.) ISO TC 215 („Egészségügyi informatika”, WG4 – biztonság) ETSI TC SEC/ESI végezte pl. az elektronikus aláírás szabványosításárt Európában (EESSI)


150/296

MTA SZTAKI; E4 - 4671/4/2003


55.

A z I B sza b vá n y o k ren d szere In fo r m á c ió b iz t o n s á g - ir á n y ít á s i r e n d s z e r k ö v e te lm é n y e i

M űszaki szabványok é s le ír á s o k

Ú t m u ta t á s f o ly a m a tr a

Irá n y ítá s i re n d s z e r a u d itá lá s a , ta n ú s ítá s a , a k k r e d it á lá s

Ú t m u ta t á s e ljá r á s r a + e lle n in t é z k e d é s e k k a t a ló g u s a

T e r m é k /r e n d s z e r te s z te lé s é s é r té k e lé s


- 55 -

2 0 0 6 m á ju s

A fenti ábra az informatikai biztonsági (információvédelmi) szabványok téma szerinti csoportosítását mutatja be. (Ez és a köv. ábrát Krauth Pétertől, MSZT vettem át.) Akkor nézzük a csoportosítást: ●

a szabványosítás csúcsán az irányítási rendszer leírása van,

●

jobb oldalon az irányítási szabványok láthatók,

●

középen felül folyamatokra (üzemeltetés) vonatkozó szabványok helyezkednek el,

●

alatta pedig a eljárások, védelmi módok katalógusa látható,

●

külön csoportot képeznek a műszaki szabványok és leírások, ezek technikai jellegűek

●

alul láthatók a termékek, rendszerek tesztelésére és értékelésére vonatkozó szabványok

rendszerek

auditálása,

tanúsítására

vonatkozó

Népesítsük be a fenti ábrát:


151/296

MTA SZTAKI; E4 - 4671/4/2003


56.

A z I B sza b v á n y o k re n d sze re Irá n y ítá s

M űszaki

B S 7 7 9 9 -2

F o ly a m a t

IS O /IE C 2 4 7 4 3

A u d it, ta n ú s ítá s

I n f o k o m v é d e le m m o d e llje i– I S 1 3 3 3 5 - 1

S S E -C M M – IS 2 1 8 2 7

IS O 9 0 0 1

IS O 6 2 -e s ú tm u ta tó

H á ló z a t b iz t o n s á g – I S 1 8 0 2 8 T it k o s í t á s - I S 1 8 0 3 3 D ig it á lis a lá ír á s – IS 1 4 8 8 8

K o c k á z a t k e z e lé s – IS 1 3 3 3 5 -2

M é ré s IS 2 4 7 4 2

IS O 1 9 0 1 1 EN 45012

BS 15000 ( IT IL ) EN 45013

I d ő b é ly e g z é s – IS 1 8 0 1 4 Ü z e n e t h it e le s ít é s – I S 9 7 9 7 H o z z á f é r é s - e ll. – I S 1 5 8 1 6 L e t a g a d h a t a t la n s á g - IS 1 3 8 8 8 T T P s z o lg á lt a tá s o k – I S 1 5 9 4 5

E lle n in té z k e d é s B e h a t o lá s é r z é k e lé s TR 15947

S S E -C M M – IS 2 1 8 2 7

T e rm é k /re n d s z e r é r té k e lé s

A z in f . b iz t o n s á g é r t é k e lé s é n e k k ö z ö s s z e m p o n tja i C C – IS 1 5 4 0 8 I n f . b i z t o n s á g é r t é k e lé s m ó d s z e rta n a – IS 1 8 0 4 5

K u lc s g o n d o z á s – IS 1 1 7 7 0 L e n y o m a tk é p z é s – IS 1 0 1 1 8

M ű k ö d ő re n d s z e re k fe lm é r é s e – IS 1 9 7 9 1 K r ip t o g r á f ia i m o d u lo k b iz t o n s á g i k ö v e te lm é n y e i – I S 1 9 7 9 0



E A 7 /1 3

I n f . b iz t . in c id e n s e k k e z . – T R 1 8 0 4 4

EN 45011 V é d e lm i p r o f ilo k n y i lv . - IS 1 5 2 9 2 V é d e lm i p r o f ilo k m e g a d á s a – IS 1 5 4 4 6

A z in f . b i z t o n s á g g a r a n c iá lis k e re te i – IS 1 5 4 4 3 K r ip t o g r á f ia i m o d u lo k é r t é k e lé s e – F IP S 1 4 0 -2

- 56 -

V é d e lm i p r o f ilo k ( p l. N IS T )

K ra u th P é te r 2 0 0 6 m á ju s

152/296

MTA SZTAKI; E4 - 4671/4/2003


57.

M agyar I B szabványok (1) M M M M

S S S S

Z Z Z Z

IS IS IS IS

O O O O

/IE /IE /IE /IE

C C C C

11 11 11 13

77 77 77 33

0 -1 :2 0 -2 :2 0 -3 :2 5 -1 :2

00 00 00 00

5 5 5 5

I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . K u lc s g o n d o z á s . 1 . r é s z : K e r e t r e n d s z e r I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . K u lc s g o n d o z á s . 2 . r é s z : S z im m e t r ik u s t e c h n ik á k a t a lk a lm a z ó m e c h a n iz m u s o k I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . K u lc s g o n d o z á s . 3 . r é s z : A s z im m e t r ik u s t e c h n ik á k a t a lk a lm a z ó m e c h a n i z m u s o k I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A z in f o r m a t ik a i é s t á v k ö z lé s i b iz t o n s á g m e n e d z s e lé s e . 1 . r é s z : A z in f o r m a t ik a i é s t á v k ö z lé s i b i z t o n s á g m e n e d z s e lé s é n e k f o g a l m a i é s m o d e l l j e i M S Z I S O / I E C T R 1 3 3 3 5 - 3 : 2 0 0 4 I n f o r m a t i k a . A z i n f o r m a t i k a i b i z t o n s á g m e n e d z s e l é s é n e k i r á n y e l v e i . 3 . r é s z : A z in f o r m a t i k a i b i z t o n s á g m e n e d z s e l é s é n e k te c h n ik á i M S Z I S O / I E C T R 1 3 3 3 5 - 4 : 2 0 0 4 I n f o r m a t ik a . A z in f o r m a t ik a i b iz t o n s á g m e n e d z s e lé s é n e k ir á n y e lv e i. 4 . r é s z : A b iz t o n s á g i e lle n in t é z k e d é s e k m e g v á la s z t á s a M S Z I S O / I E C T R 1 3 3 3 5 - 5 : 2 0 0 4 I n f o r m a t ik a . A z in f o r m a t ik a i b iz t o n s á g m e n e d z s e lé s é n e k ir á n y e lv e i. 5 . r é s z : A h á ló z a t b iz t o n s á g m e n e d z s e lé s i ú t m u t a t ó j a M S Z IS O 1 3 4 9 1 -1 :2 0 0 1 B a n k ü g y e k . K r ip t o g r á f ia i e s z k ö z ö k b iz t o n s á g a ( k is k e r e s k e d e le m ) . 1 . r é s z : E lv e k , k ö v e t e lm é n y e k é s é r t é k e lé s i m ó d s z e r e k M S Z IS O /IE C 1 3 8 8 8 - 1 :2 0 0 5 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . L e t a g a d h a t a t la n s á g . 1 . r é s z : Á lt a lá n o s is m e r t e t é s M S Z IS O /IE C 1 3 8 8 8 - 2 :2 0 0 1 I n f o r m á c ió t e c h n ik a . B iz t o n s á g t e c h n ik a . L e t a g a d h a t a t la n s á g . 2 . r é s z : S z im m e t r i k u s t e c h n ik á k o n a la p u ló m ó d s z e r e k M S Z IS O /IE C 1 3 8 8 8 - 3 :2 0 0 1 I n f o r m á c ió t e c h n ik a . B iz t o n s á g t e c h n ik a . L e t a g a d h a t a t la n s á g . 3 . r é s z : A s z im m e t r ik u s t e c h n ik á k o n a la p u ló m ó d s z e r e k M S Z IS O /IE C 1 4 8 8 8 - 1 :2 0 0 1 I n f o r m á c i ó t e c h n i k a . B i z t o n s á g t e c h n i k a . D i g i t á l i s a lá í r á s o k f ü g g e l é k k e l . 1 . r é s z : Á l t a l á n o s i s m e r t e t é s M S Z IS O /IE C 1 4 8 8 8 - 2 :2 0 0 1 I n f o r m á c i ó t e c h n i k a . B i z t o n s á g t e c h n i k a . D i g i t á l i s a lá í r á s o k f ü g g e l é k k e l . 2 . r é s z : A z o n o s í t á s a l a p ú m ó d s z e r e k M S Z IS O /IE C 1 4 8 8 8 - 3 :2 0 0 1 I n f o r m á c i ó t e c h n i k a . B i z t o n s á g t e c h n i k a . D i g i t á l i s a lá í r á s o k f ü g g e l é k k e l . 3 . r é s z : T a n ú s í t v á n y a l a p ú m ó d s z e r e k M S Z IS O /IE C 1 5 2 9 2 :2 0 0 5 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A v é d e lm i p r o f il r e g is z t r á c ió s e lj á r á s a i M S Z IS O /IE C 1 5 4 0 8 - 1 :2 0 0 2 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A z in f o r m a t ik a i b iz t o n s á g é r t é k e lé s k ö z ö s s z e m p o n t ja i. 1 . r é s z : B e v e z e t é s é s á lt a lá n o s m o d e ll M S Z IS O /IE C 1 5 4 0 8 - 2 :2 0 0 3 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A z in f o r m a t ik a i b iz t o n s á g é r t é k e lé s k ö z ö s s z e m p o n t ja i. 2 . r é s z : A b iz t o n s á g f u n k c io n á lis k ö v e t e lm é n y e i M S Z IS O /IE C 1 5 4 0 8 - 3 :2 0 0 3 I n f o r m a t i k a . B i z t o n s á g t e c h n i k a . A z i n f o r m a t i k a i b i z t o n s á g é r t é k e l é s k ö z ö s s z e m p o n t j a i . 3 . r é s z : A b i z t o n s á g g a r a n c i á l is k ö v e t e lm é n y e i M S Z IS O 1 5 6 6 8 :2 0 0 1 B a n k ü g y e k . B i z t o n s á g o s f á j l á t v i t e l ( k i s k e r e s k e d e le m ) M S Z IS O /IE C 1 5 8 1 6 :2 0 0 5 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A h o z z á f é r é s - e lle n ő r z é s b iz t o n s á g i in f o r m á c ió o b je k t u m a i M S Z IS O /IE C 1 5 9 4 5 :2 0 0 2 I n f o r m a t i k a . B i z t o n s á g t e c h n i k a . A j á n l á s / n e m z e t k ö z i s z a b v á n y b i z a l m i h a r m a d i k f é l ( T T P ) d i g i t á l i s a l á í r á s o k a lk a l m a z á s á t tá m o g a t ó s z o lg á lta t á s a ir a M S Z IS O /IE C T R 1 5 9 4 7 :2 0 0 4 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . A z in f o r m a t ik a i b e h a t o lá s é r z é k e lé s é n e k k e r e t s z a b á ly a M S Z IS O /IE C 1 7 7 9 9 :2 0 0 2 I n f o r m a t ik a . A z in f o r m a t ik a i b iz t o n s á g m e n e d z s e lé s é n e k e lj á r á s r e n d j e M S Z IS O /IE C 1 8 0 1 4 - 1 :2 0 0 4 I n f o r m a t i k a . B i z t o n s á g t e c h n i k a . I d ő b é l y e g z é s i s z o l g á l t a t á s o k . 1 . r é s z : K e r e t s z a b á ly M S Z IS O /IE C 1 8 0 1 4 - 2 :2 0 0 4 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . I d ő b é ly e g z é s i s z o lg á lta t á s o k . 2 . r é s z : F ü g g e t le n a d a t to k o k a t e lő á llí t ó m e c h a n iz m u s o k M S Z IS O /IE C 1 8 0 1 4 - 3 :2 0 0 5 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . I d ő b é ly e g z é s i s z o lg á lta t á s o k . 3 . r é s z : Ö s s z e r e n d e lt a d a t t o k o k a t e lő á llí t ó m e c h a n iz m u s o k M S Z IS O /IE C 1 8 0 2 8 - 4 :2 0 0 5 I n f o r m a t ik a . B iz t o n s á g t e c h n ik a . I T - h á ló z a t b iz t o n s á g . 4 . r é s z : B iz t o n s á g o s t á v o li h o z z á f é r é s


- 57 -

2 0 0 6 m á ju s

Az MSZT honlapjáról lekérdezhetőek a magyar szabványok (www.mszt.hu). A kérdezés történhet: Szabványjelzet (hivatkozási szám) alapján vagy cím szerint Besorolás szerint. A szabványok nemzetközi osztályozása (ICS – international classification if standards) háromszintű hierarchiát alkot. ●

első szint a szakterület (ebből 40 van) „35 Információtechnológia. Irodagépek”

●

-azon belül „040 Karakterkészletek és információkódolás”

Még egy megjegyzés: vannak angol nyelvű magyar szabványok is, pl. a kékkel megjelöltek. A számozás utal az eredeti számozásra. 35.100.70 Alkalmazási réteg 35.240.15 Azonosítókártyák és a velük kapcsolatos készülékek 35.240.60 IT alkalmazása a szállításban, kereskedelemben 35.240.80 IT alkalmazása az egészségügyi technikában 35.240.80 IT alkalmazása az egészségügyi technikában 03.120.20 Terméktanúsítás és vállalattanúsítás. Megfelelőségértékelés


153/296

MTA SZTAKI; E4 - 4671/4/2003


58.

M agyar I B szabványok (2) M S Z IS O /IE C 9 5 9 4 - 8 :2 0 0 4 M S Z IS O /IE C 7 8 1 6 - 1 1 :2 0 0 5 M S Z IS O 1 0 2 0 2 -1 :2 0 0 1 M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M S Z IS O M M M M M

S S S S S

Z Z Z Z Z

E E E E E

N N N N N

I n f o r m a t ik a . N y í lt r e n d s z e r e k ö s s z e k a p c s o lá s a . N é v t á r : A n y ilv á n o s k u lc s - é s a z a t t r ib ú tu m t a n ú s í t v á n y k e r e t s z a b á ly a i A z o n o s ít ó k á r t y á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k . 1 1 . r é s z : S z e m é ly e lle n ő r z é s b io m e t r ia i e lj á r á s o k k a l P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 1 . r é s z : A k á r t y a é l e t c i k lu s a 1 0 2 0 2 -2 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 2 . r é s z : T r a n z a k c ió s e ljá r á s 1 0 2 0 2 -3 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 3 . r é s z : A tit k o s í t ó k u lc s o k k ö z ö t t i k a p c s o la t o k 1 0 2 0 2 -4 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h i t e k t ú r á j a . 4 . r é s z : B i z t o n s á g o s a lk a l m a z á s i m o d u l o k 1 0 2 0 2 -5 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h i t e k t ú r á j a . 5 . r é s z : A l g o r i t m u s o k h a s z n á la t a 1 0 2 0 2 -6 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 6 . r é s z : A k á r t y a b ir t o k o s v is s z a ig a z o lá s a 1 0 2 0 2 -7 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 7 . r é s z : K u lc s g o n d o z á s 1 0 2 0 2 -8 :2 0 0 1 P é n z ü g y i t r a n z a k c ió s k á r ty á k . I n t e g r á lt á r a m k ö r ö s k á r t y á k a t h a s z n á ló p é n z ü g y i t r a n z a k c ió s r e n d s z e r e k b iz t o n s á g i a r c h it e k t ú r á ja . 8 . r é s z : A la p e lv e k é s á t te k in t é s 9 7 3 5 - 5 :2 0 0 0 A z ig a z g a t á s i, k e r e s k e d e lm i é s k ö z le k e d é s i a d a t o k e l e k t r o n ik u s c s e r é j e ( E D I F A C T ) . A lk a l m a z á s i s z i n t ű s z in t a k t ik a i s z a b á ly o k . ( A s z in t a k t ik a v á lt o z a t s z á m a : 4 . ) 5 . r é s z : A k ö t e g e lt E D I b iz t o n s á g i s z a b á ly a i ( h it e le s s é g , s é r t e t le n s é g é s a s z á r m a z á s le t a g a d h a t a t la n s á g a ) 9 7 3 5 - 6 :2 0 0 0 A z ig a z g a t á s i, k e r e s k e d e lm i é s k ö z le k e d é s i a d a t o k e l e k t r o n ik u s c s e r é j e ( E D I F A C T ) . A lk a l m a z á s i s z i n t ű s z in t a k t ik a i s z a b á l y o k . ( A s z i n t a k t i k a v á l t o z a t s z á m a : 4 . ) 6 . r é s z : A b iz t o n s á g o s h i t e l e s í t é s é s n y u g t á z á s ( A U T A C K ) ü z e n e t e 9 7 3 5 - 7 :2 0 0 0 A z ig a z g a t á s i, k e r e s k e d e lm i é s k ö z le k e d é s i a d a t o k e l e k t r o n ik u s c s e r é j e ( E D I F A C T ) . A lk a l m a z á s i s z i n t ű s z in t a k t ik a i s z a b á ly o k . ( A s z in t a k t ik a v á lt o z a t s z á m a : 4 . ) 7 . r é s z : A k ö t e g e lt E D I b iz t o n s á g i s z a b á ly a i ( b iz a lm a s s á g ) 9 7 3 5 - 8 :1 9 9 9 A z ig a z g a t á s i, k e r e s k e d e lm i é s k ö z le k e d é s i a d a t o k e l e k t r o n ik u s c s e r é j e ( E D I F A C T ) . A lk a l m a z á s i s z i n t ű s z in t a k t ik a i s z a b á ly o k . ( A s z in t a k t ik a v á lto z a ts z á m a : 4 . ) 8 . r é s z : K í s é r ő a d a t o k a z E D I - b e n 9 7 3 5 - 9 :2 0 0 0 A z ig a z g a t á s i, k e r e s k e d e lm i é s k ö z le k e d é s i a d a t o k e l e k t r o n ik u s c s e r é j e ( E D I F A C T ) . A lk a l m a z á s i s z i n t ű s z in t a k t ik a i s z a b á l y o k . ( A s z i n t a k t i k a v á l t o z a t s z á m a : 4 . ) 9 . r é s z : A b iz t o n s á g i k u l c s - é s t a n ú s í t v á n y m e n e d z s e l é s ( K E Y M A N ) ü z e n e t e 6 0 9 5 0 :2 0 0 1 I n f o r m á c ió t e c h n ik a i b e r e n d e z é s e k b iz t o n s á g a ( I E C 6 0 9 5 0 :1 9 9 9 + 2 0 0 0 . f e b r u á r i h e ly e s b í t é s , m ó d o s í t v a ) 6 0 9 5 0 - 1 : 2 0 0 1 / A 1 1 : 2 0 0 4 I n f o r m á c i ó t e c h n i k a i b e r e n d e z é s e k . B i z t o n s á g . 1 . r é s z : Á lt a l á n o s k ö v e t e l m é n y e k 6 0 9 5 0 -1 :2 0 0 2 I n f o r m á c ió t e c h n ik a i b e r e n d e z é s e k . B iz t o n s á g . 1 . r é s z : Á lt a l á n o s k ö v e t e lm é n y e k ( I E C 6 0 9 5 0 - 1 : 2 0 0 1 , m ó d o s í t v a ) 6 0 9 5 0 - 2 1 :2 0 0 3 I n f o r m á c i ó t e c h n i k a i b e r e n d e z é s e k . B i z t o n s á g . 2 1 . r é s z : T á v o l i e n e r g ia b e t á p l á l á s ( I E C 6 0 9 5 0 - 2 1 : 2 0 0 2 ) 7 2 6 -7 :2 0 0 0 A z o n o s í t ó k á r t y a - r e n d s z e r e k . T á v k ö z l é s i i n t e g r á lt á r a m k ö r ö s k á r t y á k é s t e r m i n á l o k . 7 . r é s z : B i z t o n s á g i m o d u l


- 58 -

2 0 0 6 m á ju s

35.100.70 Alkalmazási réteg


154/296

MTA SZTAKI; E4 - 4671/4/2003


59.

M agyar I B szabványok (3) M S Z E N V 1 2 5 7 -1 :2 0 0 1 M S Z E N V 1 2 5 7 -2 :2 0 0 0 M S Z E N V 1 2 5 7 -3 :2 0 0 0 M M M M M M M M

S S S S S S S S

Z Z Z Z Z Z Z Z

E E E E E C E E

N N N N N R N N

1 5 4 6 -2 :2 0 0 0 V 1 2 9 2 4 :2 0 0 0 V 1 3 6 0 8 -1 :2 0 0 0 V 1 3 6 0 8 -2 :2 0 0 0 V 1 3 6 0 8 -3 :2 0 0 0 1 3 6 9 4 :2 0 0 1 V 1 3 7 2 9 :2 0 0 1 1 4 4 8 4 :2 0 0 4

M S Z E N 1 4 4 8 5 :2 0 0 4 M S Z E N 6 1 7 0 3 :2 0 0 2 M S Z E N 1 2 2 5 1 :2 0 0 5

A z o n o s ít ó k á r t y a - r e n d s z e r e k . A s z e m é ly i a z o n o s í t ó s z á m k e z e lé s é n e k s z a b á ly a i s z e k t o r o k k ö z ö t t i k ö r n y e z e t b e n . 1 . r é s z : A P IN b e m u ta tá s a A z o n o s ít ó k á r t y a - r e n d s z e r e k . A s z e m é ly i a z o n o s í t ó s z á m k e z e lé s é n e k s z a b á ly a i s z e k t o r o k k ö z ö t t i k ö r n y e z e t b e n . 2 . r é s z : A P IN v é d e lm e A z o n o s ít ó k á r t y a - r e n d s z e r e k . A s z e m é ly i a z o n o s í t ó s z á m k e z e lé s é n e k s z a b á ly a i s z e k t o r o k k ö z ö t t i k ö r n y e z e t b e n . 3 . r é s z : A P I N ig a z o ló e lle n ő r z é s e A z o n o s ít ó k á r ty a - r e n d s z e r e k . S z e k t o r o k k ö z ö t ti e le k t r o n ik u s p é n z tá r c a . 2 . r é s z : B iz to n s á g i a r c h it e k tú r a O r v o s i in f o r m a t ik a . E g é s z s é g ü g y i in f o r m á c ió s r e n d s z e r e k b iz t o n s á g i k a t e g o r iz á lá s a é s v é d e lm e E g é s z s é g ü g y i in f o r m a t ik a . A z e g é s z s é g ü g y i k o m m u n ik á c ió b i z t o n s á g a . 1 . r é s z : F o g a lo m m e g h a t á r o z á s o k E g é s z s é g ü g y i in f o r m a t ik a . A z e g é s z s é g ü g y i k o m m u n ik á c ió b i z t o n s á g a . 2 . r é s z : B iz t o n s á g o s a d a t o b j e k tu m o k E g é s z s é g ü g y i in f o r m a t ik a . A z e g é s z s é g ü g y i k o m m u n ik á c ió b i z t o n s á g a . 3 . r é s z : B iz t o n s á g o s a d a t á t v it e li c s a t o r n á k G y ó g y á s z a t i in f o r m a t ik a . B iz t o n s á g é s a d a tb iz t o n s á g v o n a tk o z á s ú s z o f t v e r m in ő s é g i s t a n d a r d o k a z e ü s z á m á r a ( S S Q S ) E g é s z s é g ü g y i i n f o r m a t i k a . B i z t o n s á g i f e l h a s z n á l ó a z o n o s í t á s . S z i g o r ú h it e le s í t é s t h a s z n á l ó m i k r o p r o c e s s z o r o s k á r t y á k E g é s z s é g ü g y i in f o r m a t ik a . A z E U a d a t v é d e lm i ir á n y e lv h a t á ly a a lá t a r t o z ó s z e m é ly e s e g é s z s é g ü g y i a d a t o k n e m z e t k ö z i a d a t á t v i t e l e . M a g a s s z i n t ű b i z t o n s á g p o l it i k a E g é s z s é g ü g y i in f o r m a t ik a . Ú t m u t a t ó a z E U a d a t v é d e l m i ir á n y e l v v e l k a p c s o la t b a n a s z e m é l y e s e g é s z s é g i a d a t o k n e m z e t k ö z i f e lh a s z n á lá s o k b a n v a ló k e z e lé s é h e z A h ib a m e n t e s s é g i, a h a s z n á lh a t ó s á g i, a k a r b a n t a r th a t ó s á g i é s a k a r b a n t a r t á s - e llá t á s i f o g a lm a k m a te m a t ik a i k if e je z é s e i ( IE C 6 1 7 0 3 :2 0 0 1 ) G y ó g y á s z a t i in f o r m a t ik a . B iz t o n s á g o s f e lh a s z n á ló a z o n o s ít á s a z e g é s z s é g ü g y b e n . A je ls z a v a s f e ljo g o s í t á s k e z e lé s e é s b iz to n s á g a

M S Z E N 4 5 0 1 1 :1 9 9 9 M S Z E N IS O 1 9 0 1 1 :2 0 0 3 M S Z E N 4 5 0 1 2 :2 0 0 0

T e r m é k t a n ú s í t á s i r e n d s z e r e k e t m ű k ö d t e t ő s z e r v e z e t e k r e v o n a t k o z ó á lt a lá n o s k ö v e t e lm é n y e k ( I S O / I E C G u id e 6 5 : 1 9 9 6 ) Ú t m u t a tó m in ő s é g ir á n y í tá s i é s /v a g y k ö r n y e z e tk ö z p o n t ú ir á n y í tá s i r e n d s z e r e k a u d itjá h o z ( I S O 1 9 0 1 1 : 2 0 0 2 ) M in ő s é g ü g y i r e n d s z e r e k m in ő s í t é s é t é s t a n ú s í t á s á t / r e g i s z t r á lá s á t v é g z ő s z e r v e z e t e k r e v o n a t k o z ó á lt a lá n o s k ö v e t e lm é n y e k ( IS O /I E C G u id e 6 2 : 1 9 9 6 )

M S Z E 1 7 7 9 9 -2 :2 0 0 4 M S Z E 1 5 1 0 0 -1 :2 0 0 5 M S Z E 1 5 1 0 0 -2 :2 0 0 5

A z in f o r m á c ió v é d e le m ir á n y í t á s i r e n d s z e r e i. E lő í r á s é s h a s z n á la t i ú t m u t a t ó A z in f o r m a t ik a s z o lg á lt a t á s ir á n y í t á s a . 1 . r é s z : E lő í r á s a s z o lg á lt a t á s ir á n y í t á s h o z A z in f o r m a t ik a s z o lg á lt a t á s ir á n y í t á s a . 2 . r é s z : Ú t m u t a t ó a s z o lg á lt a t á s ir á n y í t á s h o z


- 59 -

2 0 0 6 m á ju s

35.100.70 Alkalmazási réteg


155/296

MTA SZTAKI; E4 - 4671/4/2003


60.

T e r m é k / r e n d s z e r é r té k e lé s i s z a b v á n y o k TC SEC 1983 (O ra n g e b o o k )

C ESG 3 D T IE C G B

R a in b o w S e r ie s

Z S IE C

SCSSI

DE

F

IT S E C 1 9 9 1 ( W h it e b o o k )

CTC PEC

FC

CA

USA

C C 2 .1 IS O /IE C 1 5 4 0 8 :1 9 9 9 + C E M

IT B 1 6 . a já n lá s

( IS O H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 60 -

M IB É T S

/IE C 1 5 4 0 8 - 1 :2 0 0 2 )

2 0 0 6 m á ju s

Az USA Védelmi Minisztériuma az 1980-as évek elején dolgozta ki a TCSEC-et (Trusted Computer System Evaluation Criteria), vagy közismertebb nevén az Orange Book-ot. Az ebben foglalt követelményrendszer az USA kormányzati és katonai szervezeteinél telepített számítástechnikai rendszerek biztonsági szempontból történő értékelésére szolgáltak. A narancs színű könyvet több kötet követte, amely az egyes részelemek biztonságának értékelésében nyújtott segítséget, ezek az ún. szivárvány kötetek. Ilyenek pl. Jelszókezelés – zöld könyv, naplózás - „tan” napbarna... Ezek mind a mai napig érvényesek, használatuk kötelező. A TCSEC az informatikai rendszereket négy osztályba sorolja, amely a különböző erősségű védelmi szintek alapján értékelik a beépülő biztonsági szabályozás hatékonyságát. Jelenleg a D, C1,C2, B1,B2, B3, A1 osztályok léteznek, ahol a D a minimális, az A1 a legmagasabb szintű védelmet jelenti. Az osztályozáshoz a minősítést négy területen kell elvégezni Biztonsági stratégia (security policy) Követhetőség (accountability) Biztosítékok (assurance) Dokumentálás (documentation) Ezután több európai ország is fejlesztett saját kritériumrendszert, Nagy-Brittaniában (külön a kormányzat részére: CESG3, külön kereskedelmi célra DTIEC, Németországban ZSIEC, Franciaországban SCSSI) 1991-ben négy ország (a fenti három és Hollandia) dolgozta ki ITSEC 1.2-öt (Information Technology Security Evaluation Criteria), és ez az Európai Közösség közös értékelési rendszere lett. AZ ITSEC és a TCSEC azonos módon értelmezi a biztonsági osztályokat, de a TCSEC-kel összevetve finomít az értékelésen (pl. az TCSEC-kel szemben külön kell


156/296

MTA SZTAKI; E4 - 4671/4/2003


értékelni a veszélyeket elhárító intézkedéseket, és azok teljeskörűségét szolgáló garanciákat.) Újabb kanadai és amerikai ajánlások után végre az ISO keretein belül kidolgozták a Common Criteria-t, a CC-t (Közös szempontrendszert) és a CEM-t (a közös értékelési módszertan), amely megpróbálta összhangba hozni a korábbi dokumentumok tartalmi és technikai vonatkozásait. 1996. ver.1; 1998 verzió 2; 2000 verzió 2.1. A 3.0-as verzió draft változata elkészült, nyilvános vitára és kísérleti kipróbálásra bocsájtották. A CEM (Common Evaluation Methodology) a CC társdokumentuma. Célja, hogy leírja azokat a tevékenységeket, melyeket egy értékelő elvégez a CC szerinti értékelés folyamán. A CC magyarországi honosításának első lépése 1997-ben történt, amikor a MEH támogatásával kiadták az ITB 16. sz. ajánlást (Címe: Common Criteria (CC), az informatikai termékek és rendszerek biztonsági értékelésének módszertana)


157/296

MTA SZTAKI; E4 - 4671/4/2003


61.

C C R A ta g o rs z á g o k A K ö z ö s s z e m p o n to k s z e r in t k ib o c s á to tt ta n ú s ítv á n y o k k ö lc s ö n ö s e lis m e r é s é r ő l s z ó ló n e m z e tk ö z i m e g á lla p o d á s

T a n ú s ítv á n y t k ia d ó

T a n ú s ítv á n y t e lfo g a d ó

A u s z t r á lia é s Ú j Z é la n d ( 2 )

A u s z t r ia

F r a n c ia o r s z á g ( 5 )

C seh o rszá g

H o lla n d ia ( 1 )

F in n o r s z á g

Japán (3)

G ö rö g o rszá g

K anada (3)

I n d ia

N a g y B r it t a n ia ( 5 )

Izrael

N é m e to rs z á g ( 1 4 )

M a g y a ro rszá g

N o r v é g ia ( 2 )

O la s z o r s z á g

U S A (9)

S v éd o rszá g S p a n y o lo r s z á g S z in g a p ú r

IS O 1 7 0 2 5 :2 0 0 0 H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

T ö rö k o rszá g - 61 -

2 0 0 6 m á ju s

Magyarország 2003-ban csatlakozott a CCRA-hoz. A csatlakozás két lépcsőben valósul meg. Első lépcsőben (jobb oszlop) az országok vállalják, hogy elfogadják a kiállított tanúsítványokat, második lépcsőben pedig már maguk is kiállíthatnak ilyeneket. Ahhoz, hogy átlépjünk a felsőbb csoportba, saját nemzeti sémát kell kidolgoznunk, működtetnünk, valamint ki kell alakítani a megfelelő bevizsgálási, auditálási folyamatokat. Ehhez pedig értékelő laboratóriumok/szervezetek és tanúsító szervezet felállítása szükséges. A laboratóriumokat felállításuk után az ISO 17025:2000 szabványnak megfelelően auditáltatni kell. A baloldali oszlopban az egyes országokban található értékelő laboratóriumok számát jeleztük.


158/296

MTA SZTAKI; E4 - 4671/4/2003


62.

C C a la p fo g a lm a i (K ö z ö s s z e m p o n tre n d s z e r)

• É r t é k e lé s t á r g y a ( T o E ) – in fo r m a t ik a i t e r m é k v a g y r e n d s z e r • V é d e lm i p r o fil ( P P ) - k ö v e t e lm é n y r e n d s z e r • B iz to n s á g i k ö v e t e lm é n y f e lo s z t á s a • f u n k c io n á lis k ö v e t e lm é n y e k ( f u n c tio n a l) • g a r a n c ia k ö v e t e lm é n y e k ( a s s u r a n c e ) • K ö v e te lm é n y e k c s o p o r t o s í t á s a ( o s z tá ly , c s a lá d , k o m p o n e n s ) V é d e l m i p r o fi l • B iz t o n s á g i r e n d s z e r t e r v ( S T ) B e v e z e t é s ( c ím , k u lc s s z a v a k a z o n o s ít á s ) • G a r a n c ia s z in t e k ( a s s u r a n c e le v e l) T o E le ír á s a •H a tó k ö r B iz t o n s á g i k ö r n y e z e t ( v e s z é ly e k , s z e r v e z e t i • M é ly s é g b iz t o n s á g p o lit ik a . . . ) • s z ig o r ú s á g B iz t o n s á g i c é lo k

P A A T R

r o file N a m e p p lic a tio n - L e v e l F ir e w a ll f o r B a s ic R o b u s tn e s s E n v iro n m e n ts P P p p lic a tio n - L e v e l F ir e w a ll f o r M e d iu m R o b u s tn e s s E n v ir o n m e n ts P P ra ffic F ilte r F ire w a ll P P fo r M e d iu m R o b u s tn e s s E n v iro n m e n ts o b u s tn e s s T ra ffic F ilte r F ire w a ll P P fo r M e d iu m R o b u s tn e s s E n v iro n m e n M e d iu m R o b u s tn e s s

I T b iz t o n s á g i k ö v e t e lm é n y e k F u n k c io n á lis G a r a n c iá lis I n d o k lá s

V er. 1 .0 1 .0 1 .1 ts


D a te Jun 00 A L F W Jun 00 A L F W Jan 06 T F F W 1 .0

Short N am e P P - L R _ V 1 .0 P P -M R _ V 1 .0 P P -M R _ V 1 .1 Feb 05 T FFW

S p o n so r N SA N SA N SA P P - M R _ V 1 .0

- 62 -

C o n f C la im EA L 2 EA L 2+ M e d iu m N SA

2 0 0 6 m á ju s

http://www.commoncriteriaportal.org/ http://niap.nist.gov/cc-scheme/index.html A CC informatikai termékek és rendszerek értékelésével foglalkozik. Értékelés tárgya (target of evaluation): IT termék vagy rendszer Védelmi profil (protection profile): előre megadott követelményelemekből egy adott feladatot lefedő, önmagában konzisztens követelményrendszer. Az adott feladat lehet pl. vírusírtóra, tűzfalra, operációs rendszerekre, biometriára, PKI-ra, adatbázisra stb. vonatkozó követelményrendszer.) A védelmi profilokat a különböző alkalmazásokra felkészült szakemberek állítják össze – feladatspecifikus kockázatelemzés után. Természetesen egyre újabb PP-k jelennek meg. Jelenleg a NIST lapján kb 40 db PP látható, a másik (francia) honlapon kb 50. db. A követelményeket két nagy csoportba osztják: ●

funkcionális követelmények – az értékelés tárgyának a biztonság szempontjából lényeges funkcióira vonatkoznak

●

garanciakövetelmények – a vizsgálatokkal szembeni követelések. A vizsgálatok garantálják,hogy az értékelés tárgya eleget tesz a funkcionális biztonsági követelményeknek, a megvalósítás megfelelő.

Mind a biztonsági, mind a garanciális követelményeket osztályozzák. A legfelső osztály a csoport, a csoport családokból áll, a család pedig komponensekből. A komponensek között hierarchia lehet.) Garanciaszint: az értékelés tárgyának vizsgálatát milyen mélységben, milyen erőforrásráfordítással végezték BRT – biztonsági rendszerterv/security target


159/296

MTA SZTAKI; E4 - 4671/4/2003


63.

P é l d a e g y v é d e l m i p r o fi l r a ( 1 ) 1 . H á ló z a ti/s z á llí t á s i s z in te n c s o m a g s z ű r ő tű z f a l ( T C P , I P , I P X , t ű z fa l. .. ) 2 . A z é r t é k e lé s t á r g y a e g y tű z f a l. T ip ik u s e lr e n d e z é s . . .. 3 . B iz to n s á g k ö r n y e z e t 3 .1 . A b iz t o n s á g r a v o n a tk o z ó f e n y e g e té s e k 3 .1 .1 A z É T á lt a l k iv é d e n d ő fe n y e g e té s e k T . L A C C E S S : ille t é k t e le n s z e m é ly h o z z á f é r h e t a t ű z f a lh o z T . S P O O F : ille t é k t e le n s z e m é ly h á ló z a t i c í m e k e t b e c s a p ó t á m a d á s o k a t h a jt h a t v é g r e

3 .1 .2 . A m ű k ö d é s i k ö r n y e z e t á lta l k iv é d e n d ő f e n y e g e t é s e k T .E V IL _ A D M : v a n n a k g o n d a tla n s z á n d é k o s a n h a n y a g v a g y e lle n s é g e s r s z a d m in o k T . I N S H A R E : . . . a t ű z f a l m ö g ö t t i in f o r m á c ió t a k a r já k m e g o s z t a n i e g y k ü ls ő h á ló z a t f e lh a s z n . .

3 .2 S z e r v e z e t i b iz t o n s á g i e lv e k 3 .3 A b iz t o n s á g o s h a s z n á la t f e lt é te le i 3 .3 .1 F iz ik a i fe lt é te le k A . S E C U R E : f e lt é t e le z ik , h o g y c s a k a f e lh a t a lm a z o t t s z e m é ly e k f é r h e t n e k h o z z á f iz ik a ila g

3 .3 .2 S z e m é ly i f e lt é t e le k : A . N O _ E V IL : fe lté te le z ik , h o g y a z a d m in is z tr á t o r o k n e m e lle n s é g e s e k

3 .3 .3 Ö s s z e k ö t t e t é s i fe lt é t e le k A _ S IN G L .P T A tű z fa l a h á ló z a to k k ö z ö tti e g y e t le n k a p c s o la t i p o n t


- 63 -

2 0 0 6 m á ju s

Bevezetés: ●

védelmi profil azonosítás (címe, kulcsszavak), áttekintése

Az értékelés tárgya: tűzfal, tipikus elrendezésről egy ábrát közöl, mire jó a tűzfal (hálózati tartományok szétválasztására), a forgalom ellenőrzése hálózati/szállítási szinten történhet Biztonsági környezet


160/296

MTA SZTAKI; E4 - 4671/4/2003


64.

P é l d a e g y v é d e l m i p r o fi l r a ( 2 ) 4 . B iz t o n s á g i c é lo k 4 .1 I n fo r m á c ió te c h n o ló g ia i b iz t o n s á g i c é lo k O . A C C E S S : A t ű z f a ln a k a . . . h á ló z a t o k k ö z ö t t e lle n ő r z ö t t h o z z á f é r é s t k e ll b iz t o s í t a n i, . . . O . A U D I T : A t ű z f a ln a k b iz t o s í t a n i k e ll, h o g y a z ö s s z e s f e lh a s z n á ló t u t ó la g f e le lő s s é g r e le h e s s e n v o n n i

4 .2 N e m I T - b iz t o n s á g i c é lo k O . P A C C E S S : A t ű z f a lé r t f e le lő s s z e m é ly n e k b iz t o s í t a n i k e ll a t ű z f a lh o z t ö r t é n ő f iz ik a i h o z z á f é r é s e lle n ő r z é s é t

5 . É T - r e v o n a tk o z ó IT b iz to n s á g i k ö v e te lm é n y e k 5 .1 F u n k c io n á lis k ö v e t e lm é n y e k F A U _ G E N . 1 N a p ló a d a t g e n e r á lá s F I A _ A D A . 1 F e lh a s z n á ló i h it e le s í t ő a d a t in ic ia liz á lá s F D P _ A C F . 4 H o z z á fé r é s h ite le s íté s é s m e g ta g a d á s . . .

5 .2 G a r a n c iá lis k ö v e te lm é n y e k O s z tá ly o ACM – ADV – ALC – ....

O s z t á ly o k : F A U - s e c u r ity a u d it F I A – id e n t if ic a t io n a n d a u t h e n t . F D P - u s e r d a t a p r o t e c t io n … C s a lá d o k : F A U _ G E N - S A d a ta g e n e r a tio n

k: c o n f ig u r a t io n m a n a g e m e n t K o m p o n e n s e k F A U _ G E N .1 – A u d it d a ta g e n e r a ti d e v e lo p m e n t F A U _ G E N . 2 – U s e r id e n t it y a s s o c life c y c le

6 . I n d o k lá s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

( K o m p o n e n s e k k ö z o tt h ie r a r c h ik u s ö s s z e fü g g é s e k le h e tn e k ) - 64 -

2 0 0 6 m á ju s

Funkcionális követelmények osztályainak száma: 10 osztály FAO - security audit FCO – communication FCS – cryptographic support FDP – user data protection FIA – identification and authentication FMT – security management FPR – privacy FPT – protection of TSF(ToE Security Function) FRU – resource utilisation FTA – ToE access Garanciakövetelményekhez tartozó osztályok 7 osztály: ACM – Configuration management ADO – delivery and operation ADV – development AGD – Guidance documents ALC – life cycle support ATE – tests AVA -vulnerability assessment


161/296

MTA SZTAKI; E4 - 4671/4/2003


65.

É r té k e lé s i G a r a n c ia S z in t e k E v a lu a t io n A s s u r a n c e L e v e l ( E A L ) É G S Z : m e n n y ir e f e le l m e g a t e r m é k / r e n d s z e r a z a d o t t V P - n a k ? A la p g a r a n c ia s z in t ( a z a t e r m é k , a m it k if e j le s z t e t t e k é s m e g v iz s g á lt a k ; a f e lf e d e z e t t h ib á k a t k ö v e t ik ; v a n a d m in is z t r á t o r i é s f e lh . ú t m u t a t ó ) ) E A L 1 - f u n k c i o n á l i s a n t e s z t e l t ( a t e r m é k k ü l ö n b ö z ő k o n fi g u r á c i ó s t é t e l e i r e n d b e n ; a m e g t e r v e z e t t b iz t o n s á g i f u n k c ió k h e ly e s e n v a ló s ít o t t á k m e g ; a t e r m é k a le ír t m ó d o n m ű k ö d ik ) E A L 2 – s t r u k t u r á lis a n t e s z t e lt ( b iz t o n s á g o s t e le p ít é s , g e n e r á lá s , in s t a llá lá s ; r e n d e lk e z ik a P P k ie lé g ít é s é h e z s z ü k s é g e s t u la j d o n s á g o k k a l, a f e j le s z t ő f e lm é r i a s e b e z h e t ő s é g e k e t ; é r t é k e li a z e g y e s b iz t o n s á g i f u n k c ió k e r e j é t ) E A L 3 – m ó d s z e r t a n ila g t e s z t e lt é s e lle n ő r z ö t t E A L 4 – m ó d s z e r t a n i l a g t e r v e z e t t , t e s z t e l t é s á t n é z e t t ( a k o n fi g u r á c i ó k e z e l é s é s a f e j le s z t é s t e r ü le t é n , a z é le t c ik lu s t á m o g a t á s é s a t e s z t e lé s v o n a t k o z á s á b a n , s e b e z h e t ő s é g e le m z é s e t e r ü le t é n ) E A L 5 – f é lf o r m á lis m ó d s z e r r e l t e r v e z e t t é s t e s z t e lt E A L 6 – f é lf o r m á lis a n e lle n ő r z ö t t t e r v e z é s é s t e s z t e lé s E A L 7 – fo r m á lis a n e lle n ő r z ö t t é s t e s z t e lt H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 65 -

2 0 0 6 m á ju s

A védelmi profiloknál kétfajtakövetelményt állítottak fel, funkcionális garanciakövetelményt. A CC szerint értékelt termék/rendszer két értékelést kap:

és

●

funkcionálisan megfelel-e az adott Védelmi profil elvárásainak?

●

mennyire biztos ez a megfelelés? (Hányas ÉGSZ-en volt biztosítva az értékelés?)

Egy felhasználó – ftlenül az értékelés szintjéről garanciát kap az alábbiakról: ●

azt a terméket kapja, amit a gyártó kifejlesztett és az értékelő megvizsgált (tehát a szállítás során nem kompormittálódik)

●

felfedezett hibákat nyomon követik, kijavítják

●

a termékhez admin és felh. útmutatókat adnak, admin: installálás, biztonságos működtetés...)

ÉGSZ1:legnyilvánvalóbb hibák kimutatása min. ellenőrzési és értékelési költség mellett) Az alapgaranciaszinten kívül az alábbi területeken ad többletgaranciát: ●

-a fejlesztő nem keveri össze a termék különböző konfigurációs tételeit

●

a fejlesztés során a megtervezett biztonsági funkciókat helyesen bontották le és valósították meg

●

-a termék a leírt módon működik

ÉGSZ2: lényegesen magasabb garanciát biztosító szint, többletgaranciák: ●

a termék biztonságos telepítéséhez, generálásához és indításához szükséges lépéseket az átadott dokumentációban leírta

●

a biztonsági funkciókat helyesen valósították meg

●

a fejlesztő felméri a termék létrehozása és működtetése során jelentkező sebezhetőségeket,


162/296

MTA SZTAKI; E4 - 4671/4/2003 ●


a fejlesztő értékeli az egyes biztonsági funkciók erejét: alalp/közepes/erős

EAL4:tervszerűen tervezett, tesztelt és áttekintett – ez a a szint, ami gazdaságosan megvalósítható utólag egy már létező termékre. (A magasabb garanciaszintek csak úgy érhetők el, ha már a tervezést alárendelik a garanciaszintnek) kb 150 értékelt terméka NIST oldalain, ebből 2 EAL5 és egy EAL7: EAL5 XTS 400 op rsz.; multiple domain solution EAL5,7:Tenix Interactive Link Version 5.1 , Tenix Interactive Link Data Diode Device Version 2.1


163/296

MTA SZTAKI; E4 - 4671/4/2003


66.

P é ld a a z é r té k e lt te r m é k e k r e T ű z fa la k P r o d u c t N a m e / M a n u fa c t u r e r / C o n fo r m a n c e C la im / P P / V a lid . D a t e C y b e r G u a r d F ir e w a ll/V P N v 6 . 1 . 2 C y b e r G u a r d C o r p o r a tio n

E A L 4 A u g m e n te d ..

P P 1,P P

2

Jun 05

C y b e r G u a r d F ir e w a ll/V P N v 6 . 2 . 1 C y b e r G u a r d C o r p o r a tio n

E A L 4 A u g m e n te d ...

D ec 05

C r y p t e k , I n c . , D ia m o n d T E K ( D ia m o n d C e n t r a l ( N S C A p p lic a t io n S / W v e r s io n 2 . 4 . 0 . 5 , N S D - P r im e F / W v e r s io n 2 . 4 . 0 . 3 ) a n d N S D ( D ia m o n d L in k , D ia m o n d P a k , D ia m o n d V P N , D ia C ry p te k , In c . EAL 4 D ec 05 D ia m o n d T E K C r y p t e k S e c u r e C o m m u n ic a t io n s , L L C

EAL 4

Jun 02

L u c e n t T e c h n o lo g ie s L u c e n t V P N F ir e w a ll V 7 . 0 ( P a t c h 5 3 1 ) L u c e n t T e c h n o lo g ie s , In c .

EAL 2

O ct 03

L u c e n t T e c h n o lo g ie s L u c e n t V P N F ir e w a ll ( L V F ) v e r s io n 7 . 2 w it h p a t c h 2 9 2 L u c e n t T e c h n o lo g ie s , In c .

EAL 4

P P 3:

Jan 06

M a r c o n i S A - 4 0 0 F ir e w a ll M a r c o n i C o m m u n ic a t io n s

EAL 2

Jul 04

P P 1 : U . S . G o v e r n m e n t A p p lic a t io n - L e v e l F ir e w a ll P r o t e c t io n P r o f ile f o r L o w - R is k E n v ir o n m e n t s P P 2 : U . S . D e p a r t m e n t o f D e f e n s e A p p lic a t io n - le v e l F ir e w a ll P r o t e c t io n P r o f ile f o r B a s ic R o b u s t n e s s E n v ir o n m e n t s P P 3 : T r a f f ic F ilt e r F ir e w a ll P r o t e c t io n P r o f ile f o r L o w - R is k E n v ir o n m e n t s , V 1 . 1 , A p r 1 9 9 9 H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 66 -

2 0 0 6 m á ju s

A kiértékelés eredménye egy olyan dokumentum, amely kijelenti, hogy a termék/rendszer ●

egy adott védelmi profilnak megfelel

●

egy adott biztonsági cél követelményeinek megfelel

●

-a megfelelés az 1-7 szint valamelyikén történik


164/296

MTA SZTAKI; E4 - 4671/4/2003


67.

MIBÉTS

a g y a r in fo r m a t ik a i B iz t o n s á g i É r t é k e lé s i é s T a n ú s ít á s i S é m a

„ 4 . 2 K i k e ll a la k ít a n i a z in fo r m a t ik a i a lk a lm a z á s o k m in ő s é g é n e k é s b iz t o n s á g á n a k h it e le s t a n ú s ít á s i r e n d j é t , a z e h h e z s z ü k s é g e s j o g s z a b á ly o k m e g a lk o t á s á v a l é s in t é z m é n y r e n d s z e r fe lá llít á s á v a l” . 1 2 1 4 / 2 0 0 2 . ( X I I . 2 8 . )

M I B É T S n e m z e t i s é m a á lt a lá n o s m o d e lle z é s e v . 0 . 9 ( 2 0 0 3 . a u g . ) - 1 . s z . A z é r t é k e lé s é s t a n ú s ít á s fo ly a m a t a i v . 0 . 9 ( 2 0 0 3 . s z e p t . ) - 2 . s z . A z é r t é k e lé s m ó d s z e r t a n a v . 0 . 9 ( 2 0 0 3 . n o v . ) - 3 . s z . • A z é r t é k e lé s i m ó d s z e r t a n a la p j a in a k ö s s z e fo g la ló á t te k in t é s e • A b iz t o n s á g i e lő ir á n y z a t é r t é k e lé s é n e k m ó d s z e r t a n a • A z a la p g a r a n c ia s z in t é r t é k e lé s é n e k m ó d s z e r t a n a • A fo k o z o t t g a r a n c ia s z in t é r t é k e lé s é n e k m ó d s z e r t a n a • A k ie m e lt g a r a n c ia s z in t é r t é k e lé s é n e k m ó d s z e r t a n a A t a n ú s ít á s m ó d s z e r t a n a v . 0 . 9 ( 2 0 0 3 . n o v . ) - 4 . s z . M ó d s z e r t a n i ú t m u t a t ó a m e g b íz ó k s z á m á r a v . 0 . 9 ( 2 0 0 4 . j a n . ) - 5 . s z . M ó d s z e r t a n i ú t m u t a t ó a fe j le s z t ő k s z á m á r a v . 0 . 9 ( 2 0 0 4 . m á r c . ) - 6 . s z . M ó d s z e r t a n i ú t m u t a t ó a z é r t é k e lő k s z á m á r a v . 0 . 9 5 ( 2 0 0 5 . fe b r . ) - 7 . s z . M ó d s z e r t a n i ú t m u t a t ó a t a n ú s ít ó k s z á m á r a v . 0 . 9 ( 2 0 0 4 . m á j . ) - 8 . s z . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 67 -

2 0 0 6 m á ju s

Visszatérve a CC + CEM-hez, két síkon zajlik a folyamat A termékre vonatkozó szint– ez a CC – teljes egészében magyar szabvány (MSZ 15408) azaz megfelel-e a termék azoknak a biztonsági tulajdonságoknak, amit ígér/állít magáról Milyen a termék biztonsága, könnyen feltörhető-e Elég biztonságos- a termék ahhoz, hogy egy adott környezetben használják Az értékelés folyamata/gyakorlata - CEM Az értékelés során helyes módszereket alkalmazunk-e? Elég biztonságos-e az értékelést végző labor? A MITS készítéséről rendelkező 1024/2002 (XII.28.) sz. kormányhatározat többek között azt a feladatot tűzte ki célul: „4.2 Ki kell alakítani az informatikai alkalmazások minőségének és biztonságának hiteles tanúsítási rendjét, az ehhez szükséges jogszabályok megalkotásával és intézményrendszer felállításával”. 2003. óta előkészületben van az az IHM rendelettervezet, amely az értékelést végző szervezetek kijelölésnek szabályairól valamint magáról a tanúsításról szól. (Ez azóta is csak tervezet.) A MIBÉTS dokumentumai fent láthatók. A MIBÉTS az értékelés módszertanára a CEM (Közös Értékelési módszertan) egyszerűsített változatát dolgozta ki és fogadja el. Ez tulajdonképpen előkészítő anyag a teljes körű csatlakozáshoz.


165/296

MTA SZTAKI; E4 - 4671/4/2003


68.

MIBÉTS C é l: a k e r e s k e d e lm i é s k o r m á n y z a t i s z f é r a s z á m á r a in fo r m a t ik a i t e r m é k e k é s r e n d s z e r e k b iz t o n s á g i é r t é k e lé s é r e é s t a n ú s ít á s á r a v o n a t k o z ó ig é n y e k k ie lé g ít é s e C é lk ö z ö n s é g : f e j le s z t ő k / g y á r t ó k , b e s z e r z ő k / v á s á r ló k , a k k r e d it o r o k A z é r t é k e lé s i m ó d s z e r t a n á lt a lá n o s e lv e i ( a lk a lm a s s á g , p á r t a t la n s á g , o b j e k t iv it á s , m e g is m é t e lh e t ő s é g , ú j r a e lő á llít h a t ó s á g , a z e r e d m é n y e k h e ly e s s é g e ) A s é m á b a r é s z t v e v ő k : f e j le s z t ő , a z é r t é k e lé s m e g b íz ó j a , é r t é k e lő , t a n ú s ít ó


- 68 -

2 0 0 6 m á ju s

Célnál további feltételek is vannak: költség-hatékony és eredményes legyen az értékelés. Célközönség: fejlesztők/gyártók lehetőséget kapnak arra, hogy biztonsági állításokat fogalmazzanak meg beszerzők/vásárlók: bizonyosságot szerezhetnek arról, hogy a felkínált termékek a biztonsági igényüket kielégítik akkreditorok:meggyőződhetnek arról, hogy az őket érintő biztonsági fenyegetéseket kellően figyelembe veszi Módszertani elvek: ●

alkalmasság: az alkalmazott értékelési tevékenységnek alkalmasnak kell lennie a megcélzott garanciaszint eléréséhez

●

pártatlanság: elfogultságmentesség

●

objektivitás szubjektív elemek vagy személyes vélemény csak min. mértékben

●

megismételhetőség: ugyanazon termék ugyanazon értékelőkkel megismételve ugyanazt az eredményt adja

●

újraelőállíthatóság: ugyanarra a termékre, ugyanazon követelmények mellett megismételt értékelésnek ugyanoda kell vezetnia

●

az eredmények helyessége: az értékels eredményének teljesnek és szakmailag hibátlannak kell lennie


166/296

MTA SZTAKI; E4 - 4671/4/2003


69.

R é s z tv e v ő k k ö z ti k a p c s o la t, fe le lő s s é g

- a z é r t é k e lé s t á m o g a t á s a - a z é r t é k e lé s r e á t a d a n d ó b iz o n y ít é k o k f e jle s z t é s e é s k e z e lé s e - s z e r z ő d é s e k lé t r e h o z á s a - a z é r t é k e lé s r e á t a d a n d ó b iz o n y ít é k o k b iz to s ít á s a

f e jle s z tő m e g b íz ó

é r t é k e lő ta n ú s ító

- a z é r t é k e lé s e lle n ő r z é s e - a ta n ú s ítá s r a á t a d o tt b iz o n y íté k o k á tv é te le é s m e g t e k in t é s e - a z é r t é k e lé s m e g f e le lő m ó d já n a k b iz t o s í t á s a - a z é r té k e lé s e k tá m o g a tá s a e lő ír á s o k lé t r e h o z á s á v a l, a k ö v e t e lm é n y e k é r t e lm e z é s é v e l é s ir á n y m u ta tá s s a l - a z é r t é k e lő i h a t á r o z a t jó v á h a g y á s a v a g y e lv e t é s e - a ta n ú s ító s z e rv e z e t s z á m á r a a T a n ú s ító h a t á r o z a t d o k u m e n t á lá s a é s in d o k lá s a



- b iz o n y ít é k o k á tv é te le - a z é r té k e lé s i te v é k e n y s é g v é g r e h a jtá s a - tá m o g a tá s k é r é s e , n y ú jtá s a - a t a n ú s ít á s r a á t a d a n d ó b iz o n y ít é k o k b iz to s ít á s a - a z é r t é k e lő i v é le m é n y in d o k lá s a - a z é lt a lá n o s e lv e k n e k é s e lő ír á s o k n a k v a ló m e g f e le lé s

- 69 -

2 0 0 6 m á ju s

167/296

MTA SZTAKI; E4 - 4671/4/2003


70.

A z é r té k e lé s fo ly a m a ta E lő k é s z ü le t A m e g b íz ó k e z d e m é n y e z i a z é r t é k e lé s t A m e g b íz ó á t a d j a a z É T - n a k b iz t o n s á g i e lő ir á n y z a t á t A z é r t é k e lő m e g v a ló s ít h a t ó s á g i t a n u lm á n y t k é s z ít ( m ily e n in f o r m á c ió t v á r e l, m i le s z a t e r v e z e t t é r t é k e lé s i t e v é k e n y s é g ) A m e g b íz ó , f e j le s z t ő á t a d j a a k é r t in f o r m á c ió k a t M e g b íz ó é s é r t é k e lő m e g á lla p o d á s t k ö t

L e b o n y o lít á s A z é r t é k e lő v é g r e h a j t j a a m e g k ö v e t e lt g a r a n c ia s z in t n e k m e g f e le lő é r t é k e lé s i te v é k e n y s é g e t É s z r e v é t e le z é s i j e le n t é s t t e h e t T a n ú s ít ó e lle n ő r z i a z é r t é k e lé s t A z é r t é k e lő É r t é k e lé s i j e le n t é s t k é s z ít

K ö v e tk e z te té s A z É r t é k e lé s i j e le n t é s a t a n ú s ít ó h o z k e r ü l A t a n ú s ít ó d ö n t é s t h o z ( T a n ú s ít ó i h a t á r o z a t ) , e lk é s z ít i a z É r t é k e lé s ö s s z e g z ő j e le n t é s t H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 70 -

2 0 0 6 m á ju s

168/296

MTA SZTAKI; E4 - 4671/4/2003


71.

M e n e d z s m e n t é s fo ly a m a ts z a b v á n y o k

F e jle s z té s

Ü z e m e lte té s M é ré s

R e n d s z e r t e c h n o ló g ia i- é s s z o f tv e r t e c h n o ló g ia i szabványok V é d e le m

I n f o r m a t ik a i ir á n y ít á s szabványai - IT IL - BS 15000 - IS O /IE C 2 0 0 0 0

A z in f o r m á c ió v é d e le m ir á n y í t á s i r e n d s z e r é n e k s z a b v á n y a i B S 7 7 9 9 , ...., IS O 2 7 0 0 0 , C O B IT H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 71 -

2 0 0 6 m á ju s

Ez az ábra mutatja az menedzsment és folyamatszabványok fókuszterületeit. Egy informatikai rendszer vagy termék fejlesztése során tekintettel kell lenni a rendszer- és szoftvertechnológiai szabványokra. Az üzemeltetés során az informatikai irányítás szabványait kell figyelembe venni. A védelemre mind a fejlesztés, mind az üzemeltetés során gondolnunk kell, tehát az információvédelem irányítási rendszerének (azaz a menedzsmentnek) a szabványa így jön a képbe.


169/296

MTA SZTAKI; E4 - 4671/4/2003


72.

A z ir á n y ítá s i r s z . s z a b v á n y a i B S 7 7 9 9 - tő l I S O / I E C 2 7 0 0 x - ig

A z I B ir á n y í t á s á n a k g y a k o r la ti k ó d e x e - > B S 7 7 9 9 -1 :1 9 9 5 , 1 9 9 9

A z I B ir á n y í t á s i r e n d s z e r é n e k s p e c if ik á c ió ja -> B S 7 7 9 9 -2 :1 9 9 8

IS O /IE C 1 7 7 9 9 :2 0 0 0 ,2 0 0 5

IS O : é r e tle n s z a b v á n y

IS O 9 0 0 1 /2 0 0 0 M in ő s é g b iz to s ítá s i re n d s z e r IS O 1 4 0 0 1 :1 9 9 6 K ö r n y e z e tir á n y ítá s i re n d s z e r

B S 7 7 9 9 -2 :2 0 0 2 IS O /IE C 2 7 0 0 1 :2 0 0 5 A jö v ő : a z IS IS IS IS IS IS IS

IS O /IE O /IE C O /IE C O /IE C O /IE C O /IE C O /IE C O /IE C

O E C D G u id e lin e s :: P D C A m o d e ll

C 2 7 0 0 0 s o ro z a t: 2 7 0 0 0 : I S M S P r in c ip le s a n d v o c a b u la r y 2 7 0 0 1 : I S M S s p e c ific a t io n 2 7 0 0 2 : I S O /I E C 1 7 7 9 9 :2 0 0 5 h e ly e t t 2 7 0 0 3 : I S M S I m p le m e n t a t io n G u id e lin e s 2 7 0 0 4 : I S M S M e tr ic s a n d M e a s u r e m e n t s 2 7 0 0 5 : I S M S R is k M a n a g e m e n t 2 7 0 0 5 : Ü z le t i f o ly t o n o s s á g é s k a ta s z t r ó f a v é d e le m


- 72 -

2 0 0 6 m á ju s

Ez a szabvány nem az USA-ból, hanem Nagy-Brittaniából indult ki. 1987-ben az akkori Kereskedelmi és Ipari Minisztérium (Department of Commerce and Trade) megalapította a CCSC-t (Commercial Computer Security Center), kettős feladattal: ●

a számítógépes termékek/rendszerek biztonsági értékelését oldja meg (ITSEC)

●

segítse az embereket (a felhasználókat) a helyes biztonsági szabályzatok, gyakorlatok alkalmazásában.

Ennek eredményeképp 1989-ben elkészült a „User Code of Practice”, ami konzultációk és finomítások után 1995-ben brit szabvánnyá vált: „A code of practice for information security management” BS7799:1995. - Az információbiztonság irányításának gyakolati kódexe – lényegében a helyes biztonsági gyakorlatok átfogó katalógusa. Az első rész 2000. decemberében kis módosításokkal ISO/IEC 17799:2000 néven szabvánnyá vált. Azonban korán kiderült, hogy a szabvány nem ad arra választ, hogy az adott vezető melyik védelmi eszközt alkalmazza és melyiket ne. Ekkor fogalmazták meg a szabvány második részét, „Az információbiztonság irányításának specifikációja”,-t BS7799:2. A megfogalmazás során derült, hogy ez a rész sokkal fontosabb, mint az első. Mert a visszacsatolási hurkok bevezetésével a vezető figyeli és ellenőrzi a biztonsági rendszert, így minimalizálja a biztonsági kockázatot, és így sikerül a szervezeti, a vevői és jogi igényeknek megfelelni. Ezután a BS7799:2-t jó néhány ISO szabvánnyal harmonizálták, és figyelembe vették az OECD Guidelines for the Security for the Security of Information Systems and Standards Plan-Do-Check-Act modelljét, és elkészült a 2002-es változat. A jövő a 27000-es sorozat: 27001 -követelményrendszer 27002 – BS7799:1 új neve  IHM-MTA-E4-3.doc

170/296

MTA SZTAKI; E4 - 4671/4/2003


27003: Útmutató a 27001-hez 27004: ISM measurement and 27005: kockázatkezelés MO: ISO 17799.2004 előszabvány


171/296

MTA SZTAKI; E4 - 4671/4/2003


73.

I B g y a k o r la ti k ó d e x e I S O / I E C 1 7 7 9 9 :2 0 0 5 I n f o r m á c ió ( e le k t r o n ik u s , p a p ír , r ö g z ít e t t , k o m m u n ik á c ió ) K e z d e t : ig é n y e k é s s z ü k s é g le t e k f e lm é r é s e F ő c ím e k ( 1 1 ) – > in t é z k e d é s e k ( 1 3 3 ) - > 5 0 0 0 + h e ly e s g y a k o r la t V é d e lm i p o lit ik a A v é d e le m s z e r v e z e t i v o n a t k o z á s a i V a g y o n t á r g y a k o s z t á ly o z á s a é s f e lü g y e le t e A v é d e le m s z e m é ly z e t i v o n a t k o z á s a i A v é d e l e m fi z i k a i é s k ö r n y e z e t i v o n a t k o z á s a i A k o m m u n ik á c ió é s ü z e m e lt e t é s ir á n y ít á s a H o z z á fé r é s e lle n ő r z é s R e n d s z e r e k f e j le s z t é s e é s k a r b a n t a r t á s a I n f o r m a t ik a i b iz t o n s á g i in c id e n s e k k e z e lé s e M ű k ö d é s f o ly t o n o s s á g f e n n t a r t á s a M e g f e le lő s é g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 73 -

2 0 0 6 m á ju s

A szabvány alapfogalma az információ. Az információt széles értelemben veszi: ●

elektronikus fájl (szoftver fájl, adatfájl)

●

papír alapú dokumentum (nyomtatott, kézzel írt, fényképek)

●

rögzített (recording) dokumentumok: video és audio

●

kommunikáció ●

beszélgetés (telefon-, mobil-, szemtől-szemben történő -)

●

üzenetek(email, fax, video, instant, fizikai)

Az információnak értéke van, tehát az vagyontárgy. A vagyon védeni kell, és védeni kell a vagyont tároló infrastruktúrát is. Védeni kell a fenyegetésről... Az ISO 17799 szerint a védelem intézkedések (control) alkalmazásával valósítható meg. Az intézkedések lehetnek szabályzatok, eljárások, folyamatok és szervezési elemek.) Az információ védelmére intézkedéseket kell kifejleszteni, telepíteni, figyelni (monitor), értékelni és javítani. A szabvány szerint induláskor az igényeket és szükségleteket fel kell mérni: ●

kockázatelemzést kell végezni (fenyegetések, sebezhetőségek)

●

jogi környezet átnézése (szabályzatok, szabályozások, előírások a szervezetben és a partnereknél)

●

saját igények felmérése

A szabvány 11 főcím alatt 133 biztonsági intézkedést határoz meg, amelyek további intézkedéseket foglalnak magukban, így 5000 felett van a helyes gyakorlat kontrolljai és elemei Minden intézkedés 4 részből áll:  IHM-MTA-E4-3.doc

172/296

MTA SZTAKI; E4 - 4671/4/2003


●

mi a szabályozási cél,

●

hogy lehet az adott célt elérni (intézkedések - control)

●

hogy lehet megvalósítani/implementálni a cél eléréséhez szükséges eszközöket

●

útbaigazítás, magyarázat (note)


173/296

MTA SZTAKI; E4 - 4671/4/2003


74.

P é ld a : fő c ím + in té z k e d é s e k F ő c ím

H o z z á fé r é s e lle n ő r z é s A h o z z á f é r é s e lle n ő r z é s s z e r v e z e t i- m ű k ö d é s i k ö v e t e lm é n y e A z in f o r m á c ió k h o z v a ló h o z z á f é r é s e lle n ő r z é s e

S z a b á ly o z á s i c é l

H o z z á f é r é s e lle n ő r z é s i p o lit ik a

In té z k e d é s F e lh a s z n á ló i h o z z á f é r é s k e z e lé s e A z in f o r m á c ió s r e n d s z e r e k h e z v a ló h o z z á f é r é s i jo g o s u lt s á g o k m e g fe le lő e n g e d é ly e z é s é n e k , k io s z t á s á n a k é s k a r b a n t a r t á s á n a k b iz to s í t á s a S z a b á ly o z á s i c é l F e lh a s z n á ló k n y ilv á n t a r t á s a In té z k e d é s P r iv ilé g iu m o k k e z e lé s e In té z k e d é s F e lh a s z n á ló i je ls z a v a k k e z e lé s e F e lh a s z n á ló i jo g o s u lt s á g o k á t v iz s g á lá s a In té z k e d é s . . . . In té z k e d é s



- 74 -

2 0 0 6 m á ju s

174/296

MTA SZTAKI; E4 - 4671/4/2003


75.

A z I B i r á n y í t á s i r e n d s z e r é n e k s p e c i fi k á c i ó j a ( I S O / I E C 2 7 0 0 1 :2 0 0 5 ) A z IS O /IE C 2 7 0 0 1 :2 0 0 5 : h o g y a n a lk a lm a z z a a z IS O /IE C 1 7 7 9 9 -e t, é s h o g y a n é p íts e fe l, m ű k ö d te s s e , ta r ts a s z in te n é s ja v íts a a z IB ir á n y ítá s i r e n d s z e r é t.


- 75 -

2 0 0 6 m á ju s

PDCA – ez az amit az OECD egyik ötletéből vettek át. A négy lépés (tervezés, megvalósítás, ellenőrzés, beavatkozás) állandó körforgásban van. Tervezés: Az első lépés az ISMS (IBIR) hatókörének meghatározása: az egész szervezet, egy részleg vagy csak egy szolgáltatás. Irányvonal (policy): miért fontos az IB; van-e valamilyen speciális fenyegetettség; mit szeretne elérni a CIA (titkosság, sértetlenség, rendelkezésreállás) területén; mi az elfogadható kockázat; van-e valamilyen törvényi vagy egyéb korlátozás, amit be kell tartani;... kockázatok felmérése: mit szeretne védeni; milyen kockázatok vannak; mi az kockázat, amit még elviselhetőnek ítél; mérje fel a kockázatokat a bekövetkezés valószínűsége és a kiváltott hatás függvényében,,, Kockázatkezelési terv: egy adott kockázatot elfogad-e és ha bekövetkezik azonnal tudna arra válaszolni; egy másik kockázatot mindenáron el szeretne kerülni vagy harmadik félre hárítani (biztosítás)?... Alkalmassági nyilatkozat: az ISO/IEC 17799 135 db intézkedésel melyeket szeretné alkalmazni, és melyeket nem. Megvalósítás: Hajtsa végre az intézkedéseket: szükség van eljárásokra, amelyek segítségével észleli az incidenseket és válaszol rájuk, képeznie kell az embereket, biztosítani kell a megfelelő infrastruktúrát stb. Ellenőrzés: az intézkedések megfelelően működnek és el is érik a céljukat Beavatkozás: az ellenőrzés eredményeképp megteendő lépések: javító, megelőző akciók


175/296

MTA SZTAKI; E4 - 4671/4/2003


76.

IBIK + IBIV

( I B I r á n y ítá s i K e r e t r e n d s z e r + I v iz s g á la ta )

IBIK E lő z m é n y : I n f o r m a t ik a i R e n d s z e r e k B iz t o n s á g i K ö v e t e lm é n y e i ( I T B 1 2 . a j á n lá s , 1 9 9 6 ) A la p : I S O / I E C 1 7 7 9 9 IS O /IEC TR 13335 N A TO C -M (2 0 02 )4 9 E U T a n á c s á n a k B iz t o n s á g i s z a b á ly z a t a ( 2 0 0 1 / 2 6 4 / E K )

V e r z ió : 0 . 9 5

IBIV E lő z m é n y : I n f o r m a t ik a i b iz t o n s á g m ó d s z e r t a n i k é z ik ö n y v ( I T B 8 . a j á n lá s , 1 9 9 4 ) A la p : B S 7 7 9 9 - 2 V e r z ió : 0 . 9 5 H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 76 -

2 0 0 6 m á ju s

IBIV, IBIK státusza még bizonytalan.


176/296

MTA SZTAKI; E4 - 4671/4/2003


77.

COBIT C o n t r o l O b j e c t iv e s f o r I n f o r m a t io n a n d R e la t e d T e c h n o lo g ie s (IS A C A ) – 1 .0 1 9 9 2 , 4 .0 2 0 0 5 . d e c. M is s z ió : „ t o r e s e a r c h , d e v e lo p , p u b lic iz e a n d p r o m o t e a n a u t h o r it a t iv e , u p - t o - d a t e , in t e r n a t io n a l s e t o f g e n e r a lly a c c e p t e d in f o r m a t io n t e c h n o lo g y c o n t r o l o b j e c t iv e s fo r d a y - t o - d a y u s e b y b u s in e s s m a n a g e r s a n d a u d it o r s ” . A C O B I T 4 .0 s t r u k tú r á j a E x e c u t iv e S u m m a r y Fram e w ork C o n t r o l O b j e c t iv e s A u d it G u id e lin e s I m p le m e n t a t io n T o o l S e t M a n a g e m e n t G u id e lin e s

CO BIT és az ISO 17799:2000 COBIT DOMAIN Plan and Organize Acquire and Implement Deliver and Support Monitor and Evaluate

1 + -


2 + 0 + 0

3 0 0 -

4 + 0

5 + 0 + .

6 + + . .

7 + . + .

8 + . 0 .

9 10 11 12 13 - - 0 . . . . . . . 0 0 + 0 0 . . . . . - 77 -

2 0 0 6 m á ju s

Az IB irányítási rendszerek közé tartozik, tudtommal még nem ISO szabvány. A COBIT tulajdonképpen a helyes gyakorlatok gyűjteménye, amelyet az ISACA és az IT Governance Institute (ITGI) 1992-ben állított össze. A dokumentumot a vezetők, auditorok és IT felhasználók számára készítették, általánosan elfogadott intézkedéseket, indikátorokat, folyamatokat és helyes gyakorlatot tartalmaz. Célja, hogy az IT technológia használatából származó előnyöket maximálisan kihasználják a vállalatok/intézmények IT irányításánál és ellenőrzésénél. Az első változat 1996-ban, a második 1998-ban, majd 2000-ben, a legújabb negyedik változat 2005. decemberében jelent meg. (Ez utóbbi már tartalmazza azokat a módosításokat, amelyeket az Enron botrány miatt tettek bele, és ami az hiíres SarbanesOxley törvényhez vezetett (USA)). A COBIT struktúrája: ● ● ● ● ●

vezetői összefoglaló keretrendszer Kontroll célkitűzések implementációs eszköztár auditálási útmutató (Ingyenesen letölthető, kivéve ezt!!!)

A COBIT keretrendszere 34 informatikai folyamatot határoz meg, ehhez kapcsolódnak a (215) részletes kontroll célkitűzést tartalmaz 4 tárgykörben: Tervezés és Szervezés, Beszerzés és telepítés, Szolgáltatás és Támogatás valamint Monitorozás és Értékelés. A kontroll: mindazon szabályok, eljárások, gyakorlati módszerek és szervezeti struktúrák, amelyeket arra a célra terveztek, hogy az üzleti célkitűzések megvalósítását elősegítsék, és a nemkívánatos eseményeket megelőzzék, felderítsék és korrigálják. A COBIT az IT irányítás és vezetés nemzetközileg elfogadott keretrendszere. Az ISO17799:1 a helyes gyakorlatok kézikönyve, nem versenyeznek, hanem egymást


177/296

MTA SZTAKI; E4 - 4671/4/2003


kiegészítik. A COBIT szélesebb területet fed le, az ISO17799 jobban fókuszál a biztonság területére. COBIT DOMAIN

1

2

3

4

5

6

7

8

9 10 11 12 13

Plan and Organize

-

+

-

-

+

+

+

+

-

-

0

.

.

Acquire and Implement +

0

0

-

0

+

.

.

.

.

.

.

.

Deliver and Support

-

+

0

+

+

. +

Monitor and Evaluate

-

0

-

0

.

.

.

0 .

0 .

0 .

+ .

0 .

0 .

+ jó illeszkedés; - nincs vagy kicsi illeszkedés, 0 részleges illeszkedés, . nincs


178/296

MTA SZTAKI; E4 - 4671/4/2003


78.

C O B I T k e re tre n d s z e re A A F F

f o ly a m a t o k n y o m o n k ö v e t é s e b e ls ő ir á n y í t á s f e lm é r é s e tle n m e g e r ő s ít ő v iz s g á la to k ü g g e tle n a u d itá lá s

T e rv e z é s é s s z e rv e z é s

M o n ito r o z á s é s é r té k e lé s

A A A A A A A A A A A A A

s z o lg . s z in te k m e g h a tá r o z á s a k ü ls ő s z o lg . k e z e lé s e te lje s ítm é n y é s k a p a c itá s k e z e lé s e fo ly a m a t o s m ű k ö d é s b iz t o s ít á s a r s z . B iz t o n s á g á n a k m e g v a ló s í t á s a k ö lt s é g e k m e g á lla p í t á s a é s f e lo s z t á s a fe lh a s z n á ló k o k ta tá s a , k é p z é s e fe lh a s z n á ló k s e g íté s e , ta n á c s a d á s k o n f ig u r á c ió k e z e lé s r e n d k í v ü li e s e m é n y e k k e z e lé s e z a d a to k k e z e lé s e lé te s ítm é n y e k k e z e lé s e z ü z e m e lte té s ir á n y ítá s a H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


A A A A A A A A A A A

z in f. s tr a té g ia i t e r v m e g h a tá r o z á s a z in f. a r c h it e k tú r a m e g h a tá r o z á s a te c h n o ló g ia i ir á n y m e g h a tá r o z á s a z in f. s z e r v e z e t é s k a p c s o la ta in a k m e g h a t. z in f. b e r u h á z á s k e z e lé s e v e z e tő i c é lo k .. . z e m b e r i e r ő fo r r á s k e z e lé s e k ü ls ő k ö v e te lm é n y e k b e ta r tá s á n a k b iz to s ítá s a k o c k á z a to k é r té k e lé s p r o je k te k ir á n y ít á s a m in ő s é g ir á n y ítá s

B e s z e r z é s é s t e le p í t é s S z o lg á lt a tá s é s t á m o g a t á s A A A A A A

z a u to m a tiz á lt m e g o ld á s o k m e g h a tá r o z á s a z a lk a lm a z á s i s z o ftv e r e k b e s z e r z é s e é s k a r b a n ta r tá s a te c h n o ló g ia i in fr a s t r u k tú r a b e s z e r z é s e z e ljá r á s o k k if e jl e s z t é s e é s k a r b a n t a r t á s a r e n d s z e r e k t e le p í t é s e é s jó v á h a g y á s a v á lto z á s k e z e lé s - 78 -

2 0 0 6 m á ju s

179/296

MTA SZTAKI; E4 - 4671/4/2003


79.

I T I L k ia la k u lá s a B r it k o r m á n y z a ti a já n lá s I T I n fr a s tr u c tu r e L ib r a r y

itS M F S e r v ic e D e liv e r y B S 1 5 0 0 0 (2 0 0 0 , 2 0 0 2 ) S e r v ic e S u p p o r t

IS O 2 0 0 0 0 (2 0 0 5 )


- 79 -

2 0 0 6 m á ju s

A 80-as évektől kezdve az informatikai rendszerek egyre mélyebben épültek be a vállalatok, intézmények életébe, és egyre inkább függő helyzetbe kerültek a vállalatok az informatikától. Az informatika üzemeltetése során felmerült problémára az angol CCTA (Central Computer and Telecommunicaton Agency) próbált választ adni avval, hogy összegyűjtötte és egységes formába öntötte a helyes gyakorlatot. Ez a dokumentum az ITIL: IT Infrastructure Library. Ebben a sorozatban mintegy 40 kötet látott napvilágot, és ez lett az alapja és névadója a kialakult módszertannak. Ennek alapján megszületett a brit kormányzati ajánlás, amely a legfontosabb 10 témát tartalmazza, és ez az informatikai szolgáltatásirányítási és üzemeltetési módszertan „de facto” szabvánnyá vált. Ezután Európa több országában is terjedt, helyi fórumok jöttek létre (a második éppen Hollandiában.) Végül megalakult az IT Service Management Forum (itSMF), amely segítette a ITIL terjedését, másrészt vigyázott arra, hogy egységes maradjon az ajánlás. Mo.-on az MTA KFKI-ban és a MATÁV Informatikánál jelent meg először, majd a MEH ajánlások között jelent meg. (15. ajánlás) A 2000-es évre ár nagyon sok nagyvállalat használta, pl. a Microsoft. Ebben az évben az ITIL brit szabvány lett BS 15000 számmal. A brit szabvány két kötetben jelent meg, az egyik a Szolgáltatásnyújtás, a másik a szolgáltatás támogatás. 2002-be a szabvány lényegesen megújult, majd 2005-ben javasolták, hogy gyorsított módszerrel ISO szabvány is legyen ISO 20000.


180/296

MTA SZTAKI; E4 - 4671/4/2003


80.

ITIL

„ a z in fo r m a t ik a ü z le t é s a z ü z le t in fo r m a tik a ”

I n fo r m a t ik a i s z o lg á lt a t á s m e n e d z s m e n t ~ c é lk it ű z é s e i: A z in f o r m a t ik a s z o lg á lt a t á s á t h o z z á k e ll r e n d e ln i a j e le n é s a j ö v ő ü z le t i ig é n y e ih e z é s f e lh a s z n á ló ih o z J a v ít a n i k e ll a n y ú j t o t t in f o r m á c ió s z o lg á lt a t á s m in ő s é g é n C s ö k k e n t e n i k e ll a s z o lg á lt a t á s o k h o s s z ú t á v ú k ö lt s é g é t S z o lg á lt a t á s b iz to s ít á s S z o lg á lt a t á s i s z in t m e n e d z s m e n t R e n d e lk e z é s r e á llá s m e n e d z s m e n t I n f o r m a tik a - s z o lg á lt a tá s f o ly t o n o s s á g m enedzsm ent K a p a c itá s m e n e d z s m e n t I n f o r m a tik a s z o lg á lta t á s p é n z ü g y i ir á n y ítá s a


S z o lg á lt a t á s tá m o g a t á s Ü g y fé ls z o lg á la t I n c id e n s m e n e d z s m e n t P r o b lé m a m e n e d z s m e n t V á lt o z á s k e z e lé s K o n f ig u r á c ió k e z e lé s K ia d á s k e z e lé s

- 80 -

2 0 0 6 m á ju s

Az informatikai szolgáltatásmendezsment egymással együttműködő folyamatok együttese, amelynekfeladata, hogy az ügyféllel megállapodott szolgáltatási szinteken biztosítsa az informatika szolgáltatás minőségét. Az informatikai szolgáltatásmenedzsment a témaköröket két fő csoportba szervezte: ●

szolgáltatásbiztosítás

●

szolgáltatástámogatás


181/296

MTA SZTAKI; E4 - 4671/4/2003


81.

I T I L d o k u m e n tá c ió j a

F o r r á s : h t t p : / / w w w . it s m f . h u H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 81 -

2 0 0 6 m á ju s

Szolgáltatástámogatás Szolgáltatásnyújtás Az üzleti nézőpont: az üzletvezetést ismerteti meg az üzleti folyamatokat támogató informatikai és kommunikációs technológia összetevőivel, tervezésével és a bevált gyakorlatokkal. Az infokommunikációs technológia menedzsmentje: aAz ICT infrastruktúra menedzsmentjének minden aspektusát tárgyalja: az üzleti követelmények meghatározását, a tenderezést, az infrastruktúra alkatrészeinek és az információszolgáltatás egyes elemeinek tesztelését, telepítését, üzembeállítását, karbantartását. Alkalmazásmenedzsment: az ~tárgykörét dolgozza fel a kezdeti üzleti igényektől egészen a megszüntetésig. Biztonságmenedzsment: különálló, de integrálódik a meglévő folyamatokba,


182/296

MTA SZTAKI; E4 - 4671/4/2003


82.

Ö s s z e fo g la lá s Irá n y ítá s i m e n e d z s m e n t

T e r m é k é r t é k e lé s CEM TCSEC

IS O 1 7 7 9 9 :1 , :2

IS 1 8 0 4 5

BS7799

CC IS 1 5 4 0 8

IB IK , IB IV

O ra n g e B o o k M IB É T S

IS O 2 7 0 0 0

C O B IT

itS M F M SZE 15100

IT IL BS15000 IS O 2 0 0 0 0

S z o lg á lt a tá s m e n e d z s m e n t H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 82 -

2 0 0 6 m á ju s

183/296

MTA SZTAKI; E4 - 4671/4/2003


83.

H a s z n o s lin k e k , r e fe r e n c iá k In fo r m a n c e A s s u ra n c e p o w w o w h t t p : / / w w w - 1 2 8 . ib m . c o m / d e v e lo p e r w o r k s / s e c u r it y / lib r a r y / s - c o n f n o t e s / M IT S In fo r m a tik a i B iz to n s á g R é s z s tr a té g ia K r a u th P é t e r : A z in fo r m á c ió b iz to n s á g i s z a b v á n y o k fe jlő d é s e a z e lm ú lt é v b e n ( M a g y a r M in ő s é g , 2 0 0 3 . a u g .) h t tp :/ /w w w .q u a lit y - m m t. h u /m o t o r / p h p /in d e x . p h p ? o = 4 4 & c = 4 & f = 7 & p o r t a l= m m t & la n g = 1 T C S E C (O ra n g e B o o k ) h t t p : / / w w w . b o r a n . c o m / s e c u r it y / t c s e c . h t m l R a in b o w s e r ie s h t t p : / / w w w . r a d iu m . n c s c . m il/ t p e p / lib r a r y / r a in b o w / C o m m o n C r it e r ia h t t p : / / n ia p . n is t. g o v / c c - s c h e m e / in d e x . h t m l M IB É T S h tt p :// w w w .it k tb . h u /e n g in e .a s p x ? p a g e = d o k u m e n tu m ta r & d o c s t o r e f o ld e r = 1 1 B S7799 h ttp ://w w w .b s 7 7 9 9 .h u IB IK é s IB IV h t t p : / / w w w . it k t b . h u / e n g in e . a s p x ? p a g e = ib a _ o ld a l IT IL h t t p : / / w w w . it s m f . h u / p o r t a l/ C 3 4 9 0 5 4 2 8 C 0 F 4 A 4 D 9 9 D 4 4 F 7 3 6 C 8 1 7 E 3 6 _ 7 1 E 4 8 6 5 B F 0 7 C 4 A E F A 2 4 A E 6 D 5 C 9 6 D 0 C 5 5 . p h p


- 83 -

2 0 0 6 m á ju s

1. National Information Assur ance Glossary Készítette: National Security Telecommunications and Information System Security Committee (NSTISSC, No. 4009) http://www.cultural.com/web/security/infosec.glossary.html (1992. jún.) 2. Internet Security Glossary (RFC 2828) http://www.ietf.org/rfc/rfc2828.txt 3. Informance Assurance powwow (indián ceremónia) http://www-128.ibm.com/developerworks/security/library/s-confnotes/ MITS http://www.bs7799.hu. 4. Krauth Péter: Az információbiztonsági szabványok fejlődése az elmúlt évben (Magyar Minőség, 2003. aug.) http://www.quality-mmt.hu/motor/php/index.php? o=44&c=4&f=7&portal=mmt&lang=1 http://www.itktb.hu/engine.aspx?page=dokumentumtar&DocStoreFolder=13 5. TCSEC (Orange Book) http://www.boran.com/security/tcsec.html 6. Rainbow series http://www.radium.ncsc.mil/tpep/library/rainbow/ 7. CC http://www.commoncriteriaportal.org 8. MIBÉTS: http://www.itktb.hu/engine.aspx?page=dokumentumtar&docstorefolder=11 9. IBIK és IBIV: http://www.itktb.hu/engine.aspx?page=iba_oldal 10. ITIL:


184/296

MTA SZTAKI; E4 - 4671/4/2003


http://www.itsmf.hu/portal/C34905428C0F4A4D99D44F736C817E36_71E4865BF0 7C4AEFA24AE6D5C96D0C55.php1. NATO – a biztonság összetevői http://www.mki.gov.hu/file/Biztonsagpolitikai_agazat.ppt 11. Az informatikai szabványokról általában http://www.martin-charles.hu/forrasanyagok/szabvanyokrol.html 12. Common Criteria 3.0-as draft verzió készen http://niap.nist.gov/cc-scheme/index.html 13. CCRA országok http://www.commoncriteriaportal.org/public/developer/index.php?menu=8


185/296

MTA SZTAKI; E4 - 4671/4/2003


84.

R ö v id íté s e k BSI

B r it is h S t a n d a r d s I n s t it u t io n

CC

C o m m o n C r it e r ia

CCIM B CC

I n te r p r e t a tio n M a n a g e m e n t B o a r d

CCRA CC

R e c o g n it io n A r r a n g e m e n t

CEM CC

E v a lu a t io n M e t h o d o lo g y

CEN

E u r o p e a n C o m m it t e e f o r S t a n d a r d iz a t io n ( C o m it é E u r o p é e n d e N o r m a lis a t io n )

CEN ELEC

E u r o p e a n C o m m it t e e f o r E le c t r o t e c h n ic a l S t a n d a r d iz a t io n

CLEF

C o m m e r c ia l E v a lu a t io n F a c ilit y

ETSI

E u r o p e a n T e le c o m m u n ic a t io n s S t a n d a r d s I n s titu t e

EESSI

E u r o p e a n E le c t r o n ic S ig n a t u r e S t a n d a r d iz a t io n I n it ia t iv e

FIPS

F e d e r a l I n fo r m a t io n s P r o c e s s in g S t a n d a r d s

IBIK

I n f o r m a t ik a i B iz t o n s á g I r á n y ít á s i K e re tre n d sz e r

IBIV

I n f o r m a t ik a i B iz t o n s á g I r á n y ít á s á n a k v iz s g á la t a

IEC

I n t e r n a t io n a l E le c t r o t e c h n ic a l C o m m is s io n

I S A C A I n f o r m a t io n S y s t e m s A u d it a n d C o n t r o l A s s o c ia t io n ITIL

I T I n fr a s t r u c t u r e L ib r a r y

ISM S

I n f o r m a t io n S e c u r it y M a n a g e m e n t S y s t e m s

ISO

I n t e r n a t io n a l O r g a n iz a t io n f o r S t a n d a r d iz a t io n ( N e m z e tk ö z i S z a b v á n y ü g y i S z e rv e z e t)

ITU

I n t e r n a t io n a l T e le c o m m u n ic a t io n U n io n N e m z e t k ö z i T á v k ö z lé s i E g y e s ü le t

JTC

J o in t T e c h n ic a l C o m m it t e e

M IBÉTS

M a g y a r I n f o r m a t ik a i B iz t o n s á g É r t é k e lé s i S t r a t é g ia

M SZT

M a g y a r S z a b v á n y ü g y i T e s t ü le t

N IS T

N a t io n a l I n s t it u t e o f S t a n d a r d s a n d T e c h n o lo g y A m e r ik a i S z a b v á n y ü g y i T e s t ü le t

( N e m z e t k ö z i E le k t r o n t e c h n ik a i B iz o t t s á g ) IETF

I n t e r n e t E n g in e e r in g T a s k F o r c e


BSI CC CCIMB CCRA CEM CEN CENELEC CLEF ETSI EESSI FIPS IBIK IBIV IEC IETF ISMS ISO ITU

- 84 -

2 0 0 6 m á ju s

British Standards Institution Common Criteria CC Interpretation Management Board CC Recognition Arrangement CC Evaluation Methodology European Committee for Standardization (rövidités: Comité Européen de Normalisation) European Committee for Electrotechnical Standardization Commercial Evaluation Facility European Telecommunications Standards Institute (Európai Távközlési Szabványosítási Intézet) European Electronic Signature Standardization Initiative Federal Informations Processing Standards Informatikai Biztonság Irányítási Keretrendszer Informatikai Biztonság Irányításának vizsgálata International Electrotechnical Commission (Nemzetközi Elektrontechnikai Bizottság) Internet Engineering Task Force (RFC-k) Information Security Management Systems International Organization for Standardization (Nemzetközi Szabványügyi Szervezet) International Telecommunication Union Nemzetközi Távközlési Egyesület (1947 óta az ENSZ távközlésre szakosodott szervezete. Feladata az egész hírközlési szektor munkájának összehangolása, koordinálása kezdve afejlesztlsektől, szabványoktól, egészen az egyes frekvenciák, műholdpályák kiosztásáig.)


186/296

MTA SZTAKI; E4 - 4671/4/2003

JTC MIBÉTS MSZT NIST


Joint Technical Committee Magyar Informatikai Biztonság Értékelési Stratégia Magyar Szabványügyi Testület National Institute of Standards and Technology Amerikai Szabványügyi Testület


187/296

MTA SZTAKI; E4 - 4671/4/2003


85.

M e g e lő z ő in té z k e d é s e k 1 . ( te c h n o ló g ia )



2006-05-13

188/296

MTA SZTAKI; E4 - 4671/4/2003


86.

T a r t a lo m B e v e ze té s A z in t e r n e t e s v e s z é ly e z t e t e t t s é g r ő l M a g y a r é s n e m z e tk ö z i C S I R T - e k H á ló z a t b iz t o n s á g i s z a b v á n y o k M e g e lő z ő in t é z k e d é s e k 1 . r é s z : T e c h n o ló g ia 2 . r é s z : A u d it é s m a n a g e m e n t

V is s z a h a t ó in t é z k e d é s e k



- 86 -

2 0 0 6 m á ju s

189/296

MTA SZTAKI; E4 - 4671/4/2003


87.

M ir ő l le s z s z ó ? B iz t o n s á g i p r o b lé m á k e lő fo r d u lá s a i F o r g a lo m s z ű r é s , t ű z f a la k B iz t o n s á g i k o c k á z a t o k , t á m a d á s o k K ü lö n b ö z ő h á ló z a t i r é t e g e k T it k o s ít á s é s h it e le s ít é s T it k o s ít á s i m ó d s z e r e k é s a lk a lm a z á s a ik J o g o s u lt s á g e lle n ő r z é s , h o z z á f é r é s v é d e le m A C - r e n d s z e r e k á t t e k in t ő ö s s z e h a s o n lít á s a E lm é le t i G y a k o r la t i H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 87 -

2 0 0 6 m á ju s

A biztonsági problémák előfordulási helyei, a különböző hálózati rétegek. Fontos, hogy minden hibát a maga helyén kell kijavítani. Vázlatos összefoglaló a különféle védekezési mechanizmusokról: ●

megelőzés

●

korlátozás

●

kármentés

Titkosítások: szimmetrikus és nyilvános kulcsú AC-rendszerek összehasonlítása: az elméleti elvek és az ismertebb implementációk


190/296

MTA SZTAKI; E4 - 4671/4/2003


88.

A z I S O O S I r e fe r e n c ia m o d e ll H á ló z a t lo g ik a i f e lé p ít é s e 7 6 5 4 3 2 1

. . . . . . .

S z o lg á lt a t á s o k K ó d cse re F e lh a s z n á ló i k a p c s o la t E n d - to - e n d cs a to rn a Ú t v o n a lv á la s z t á s H ib a m e n t e s s é g C s a t o r n a k ó d o lá s

A lk a lm a z á s i M e g je le n íté s i V is z o n y S z á llítá s i H á ló z a ti A d a tk a p c s o la ti F iz ik a i


- 88 -

2 0 0 6 m á ju s

Alulról fölfelé haladva a különböző rétegek: 1. Bitek továbbítása fizikai közegen (pl. Manchester-kódolás) 2. Az átküldött bitek hibátlan megérkezésének biztosítása (Ethernet-keretezés) 3. Routing, útvonal fölépítése pontról pontra 4. Két végpont kezelése 5. Session kezelése, szinkronizációk 6. Kódlapok konverziója 7. Alkalmazási protokollok Beszámozva a rétegek alapfeladatai. Ezek kifejtése.


191/296

MTA SZTAKI; E4 - 4671/4/2003


89.

F o r g a lo m s z ű r é s , tű z fa la k H á ló z a t i s z in t e n C so m ag szű rő k P r o t o k o ll, f o r r á s , c é l, p o r t , s t b . s z e r in t

A lk a lm a z á s i s z in t e n P r o x y k , „ g y e r m e k v é d ő k ” , fo r g a lm a t e le m z ő k

H o s t - s z in t e n S z e m é ly i t ű z fa la k , p r o g r a m o k a la p j á n s z ű r ő k

S t a t e fu l I n s p e c t io n E g y e s a d a t i j e lle m z ő k a la p j á n ( m in t v ír u s ö lő k ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 89 -

2 0 0 6 m á ju s

Az alapvető tűzfaltípusok: Csomagszűrő: pl. iptables, portokra és hostokra konfigurálható Application: pl. squid, tartalomelemzést végez Személyi: programok hozzáférését engedi vagy nem engedi Állapotgépes: jellemző minták, lenyomatok alapján keres (+connection tracking) Bővebb kifejtése annak, hogy melyik hogyan működik.


192/296

MTA SZTAKI; E4 - 4671/4/2003


90.

F iz ik a i r é t e g k o c k á z a ta i L e h a llg a t á s ( á t h a llá s ) K á b e le k m e g c s a p o lá s a S z a b o t á z s a k c ió k ( á t k ö t é s )


- 90 -

2 0 0 6 m á ju s

Rátérünk a különböző hálózati rétegekre. Bevezető arról, hogy miért kell a támadásokat a saját rétegükben kezelni. Rövid példa a monitor lehallgathatóságáról és a vámpírcsatlakozókról. A szabotázsakciók, mint szélsőséges példa említése.


193/296

MTA SZTAKI; E4 - 4671/4/2003


91.

L a y e r 2 p r o b lé m á i ( 1 ) C A M T a b l e o v e r fl o w S w it c h e k C A M - t á b lá i v é g e s m é r e t ű e k E lá r a s z t á s u t á n e lf e le j t i a z ö s s z e r e n d e lé s e k e t M in d e n p o r t o n m e g j e le n ik a f o r g a lo m L e h a llg a t h a t ó v á v á lik C s a k a d o t t V L A N - o n b e lü l m ű k ö d ik

M e g e lő z é s : P o r t s e c u r it y , k o r lá t o z á s M A C - r e


- 91 -

2 0 0 6 m á ju s

Layer 2 rövid ismertetése (keretezés) CAM-tábla lényegének ismertetése: Ismert hostok helyét port szerint megjegyzi és a CAM-táblában tárolja Hogyan is alakul ki a probléma: véges táblákat felülírják flooddal, így elfelejti a hozzárendeléseket Bevezető a megelőzés módszereibe, rövid ismertető az említett technológiákról. Port security: csak az adott MAC cím(ek)et engedi forgalmazni, így a hamisított forráscímmel küldött csomagok nem jutnak túl a switchen.


194/296

MTA SZTAKI; E4 - 4671/4/2003


92.

L a y e r 2 p r o b lé m á i ( 2 ) M A C S p o o fi n g H a m is M A C p r o p a g á lá s a S w it c h C A M - t á b lá j á b a n f e lü lír ó d ik a h e ly e s c ím V a ló d i c ím z e t t n e m k a p f o r g a lm a t , m íg n e m k ü ld F e lh a s z n á lá s a : le h a llg a t á s , D o S

M e g e lő z é s : P o r t s e c u r it y H a m is M A C n e m j u t k i a h á ló z a t r a


- 92 -

2 0 0 6 m á ju s

Rövid bevezető az idtheft-es támadásokról: lehet IP-t vagy bármi mást spoof-olni. Általános ismertető a spoofing-ról: a forrást hamisítva másokat lehet megszemélyesíteni, ez sok támadás alapjául szolgál. Switch forgalomirányítási módszerének rövid ismertetése: megjegyzi a switch, hogy melyik portján látta azt a MAC-címet, aminek a továbbítandó csomag szól. Így a csomagot ezen a portján adja ki. Ezt hogyan használja ki a MAC Spoofing? Úgy, hogy a hamis MAC-címmel mást megszemélyesítve valaki egy másik portjára küld csomagot a switchnek, mint ahol az eredeti tulajdonos tartózkodik. Innentől kezdve a switch azt fogja gondolni, hogy a hamisított csomagot feladó támadó a MAC-cím valódi tulajdonosa, így a továbbiakban erre a portra fogja továbbítani a neki szóló csomagokat, tévesen. Egészen addig így marad ez, amíg az eredeti tulajdonos egy újabb csomagot nem küld és ezzel vissza nem íratja a switchben a helyes portszámot.


195/296

MTA SZTAKI; E4 - 4671/4/2003


93.

L a y e r 2 p r o b lé m á i ( 3 ) A R P P o is o n in g T á m a d ó h a m is A R P R e p ly - t k ü ld a h á ló z a t r a A R P - t á b la b e j e g y z é s é t f e lü lír j a P l. s w it c h e lő l e lh a lá s s z a a fo r g a lm a t : D o S M á s ik h o s t o t t u d m e g s z e m é ly e s ít e n i M a n - in - t h e - M id d le

M e g e lő z é s : P o r t s e c u r it y B e j e g y z é s e k a z A R P - t á b lá b a n v é g e s id e ig C s a k k é r d é s r e j ö v ő A R P R e p ly - t fo g a d u n k e l H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 93 -

2 0 0 6 m á ju s

Switchekről most áttérünk a hostokra. Mire is jó az ARP? Arra, hogy az interface szerepét játssza a layer2 és 3 között, összerendelést biztosítson MAC-cím és IP-cím között. DoS-támadás rövid ismertetése: elárasztással vagy egyéb módszerrel a célpont szolgáltatási kapacitását kimeríteni, ezzel a szolgáltatást megbénítani. Utalás a Man-in-the-Middle támadás későbbi részletezésére. ARP-tábla kezelésének magyarázása: hostok a közelmúltban felbukkanó, ismert IP/MACösszerendeléseket megjegyzik, hogy ne kelljen ARP kéréseket küldözgetniük a hálózaton fölöslegesen. Ezt a táblát lehet szándékosan, támadási céllal felülírni.


196/296

MTA SZTAKI; E4 - 4671/4/2003


94.

L a y e r 2 p r o b lé m á i ( 4 ) S p a n n in g T r e e M a n ip u la t io n R e d u n d á n s a n lin k e lt a lh á ló z a t o k p r io r it á s i ü g y e i H i e r a r c h i a - f a e r ő s z a k o s á t a l a k í t á s a ( B P D U fl o o d ) T á m a d ó b e é p ít i m a g á t a h ie r a r c h iá b a F o r g a lo m ille t é k t e le n ü l le h a llg a t h a t ó

M e g e lő z é s : „ R o o t G u a r d ” a t t r ib ú t u m a g y ö k é r s w it c h j e lö lé s é r e „ B P D U G u a r d ” a z á t a la k ít á s o k k o r lá t o z á s á r a


- 94 -

2 0 0 6 m á ju s

Spanning Tree algoritmus rövid ismertetése Switchek hierarchia-fáját elmagyarázni: a redundánsan kapcsolt switchek egy prioritási fába rendeződnek, hogy eldönthessék a forgalom útvonalát. Miért van ezekre szükség? Local echo és üzenetpattogás megelőzésére, mert ha ez nem lenne, akkor minden switch minden vonalán adná-venné a forgalmat és megsokszorozódna a vonalon. Támadó szerepe az, hogy erővel átalakítani próbálja a fát és ezzel saját maga felé irányítani olyan forgalmakat, amikhez eredetileg semmi köze sem lett volna. Guard attribútumok ismertetése: Root Guard segítségével megmondhatjuk, hogy melyik switch legyen a gyökér a fában. BPDU Guard pedig a portokra alkalmazható, ezzel lehet tiltani a BPDU-k elfogadását. Ha csak az uplink portokra engedjük, akkor a támadó gépek nem tudják a fát átalakítani.


197/296

MTA SZTAKI; E4 - 4671/4/2003


95.

L a y e r 2 p r o b lé m á i ( 5 ) D H C P S t a r v a t io n H C K D

a m is M A C - c ím e k k e l v a ló e lá r a s z t á s ím t a r t o m á n y k im e r ít é s e e g y id ő r e a m u D H C P - s z e r v e r in d ít á s a o S - r a a d le h e t ő s é g e t

M e g e lő z é s : A z o n o s a M A C S p o o fi n g - n á l h a s z n á l t t a l


- 95 -

2 0 0 6 m á ju s

DHCP rövid ismertetése: Dynamic Host Control Protocol, dinamikus címkiosztás MACekkel történő azonosítás alapján. IP-címet és a hozzá tartozó egyéb adminisztratív adatokat osztja ki a DHCP-szerver a kérést küldőknek. Újabb idtheft-es támadás: MAC-ek hamisításával az összes kiosztható címet kiosztathatjuk a DHCP-szerverrel, ezzel egy időre leállíthatjuk a szolgáltatását. Ezalatt például kamu szervert indíthatunk és a további kéréseket ezzel kiszolgálva átverhetjük a hálózat gépeit. DHCP->DoS magyarázása


198/296

MTA SZTAKI; E4 - 4671/4/2003


96.

L a y e r 3 p r o b lé m á i ( 1 ) I P S p o o fi n g C s o m a g o k h a m is fo r r á s I P - v e l N e m - v a k s p o o f : h o s t - a la p ú e lle n ő r z é s t k ik e r ü lh e t i I s m e r n ie k e ll a m e g b íz h a t ó ( t r u s t e d ) I P - c ím e t V a k s p o o f: D o S , s o k fo r r á s c ím r ő l e lá r a s z t á s

M e g e lő z é s : T ö b b fá z is ú h o s t e lle n ő r z é s N e m I P - a la p ú h o s t a z o n o s ít á s D o S : e g r e s s , i n g r e s s fi l t e r i n g


- 96 -

2 0 0 6 m á ju s

Áttérünk a hálózati rétegre. IP-címek ismertetgetése, úgyis mindenki tudja Kétféle spoof van, vak és nem vak: a vak spoofnál ad hoc hamisítunk egy címet, tipikusan DoS-hoz, a nem vak spoofnál pedig egy általunk ismert gép nevében járunk el az ő IPcímével, hogy olyan szolgáltatáshoz jussunk hozzá, amihez egyébként nem lennénk jogosultak és a hozzáférés ellenőrzésére az IP-címet használja a szolgáltatást nyújtó. Megelőzés módszerei, utalás előre (handshaking, authentication): visszaigazolásos handshake bevezetésével például ellenőrizni lehet, hogy valódi host van-e a forrásIP mögött. Más, nem IP-alapú azonosítással pedig a problémát teljes egészében meg lehet előzni. Routerek egress/ingress filterezési technikáit ismertetni: egress filterezés a kimenő forgalmat elemzi és ha nem olyan forráscím szerepel benne, ami a belső hálózatban valóban létezik, akkor eldobja -> más hálózatok védelme; ingress filtering pedig bejövéskor elemzi a forgalmat és ha olyan forráscím szerepel benne, ami a bejövő hálózatban létezik, akkor eldobja -> belső hálózat védelme.


199/296

MTA SZTAKI; E4 - 4671/4/2003


97.

L a y e r 3 p r o b lé m á i ( 2 ) R o u t in g ( R I P ) a t t a c k R I P - n é l n in c s a z o n o s ít á s H a m is R I P - c s o m a g g a l f o r g a lm a t le h e t á t ir á n y ít a n i L e h a llg a t h a t ó é s m e g h a m is ít h a t ó H o s t o t le h e t m e g s z e m é ly e s ít e n i

M e g e lő z é s : R I P v 2 : j e ls z a v a s a z o n o s ít á s IPsec V PN


- 97 -

2 0 0 6 m á ju s

RIP ismertetése, mire való? A legrövidebb vagy legkisebb költségű utak megtalálására a hálózati topológiában. Kiemelni, hogy nincs autentikáció RIP v1-ben: boldog-boldogtalan küldhet RIPcsomagokat, hogy ezzel átverje a routereket. Újra idtheft, mint már korábban szerepelt. Előreutalni VPN-re, meg a következő előadásra: vagy RIP v2-t kell használni, vagy VPN és titkosítás segítségével az azonosítást biztosítani.


200/296

MTA SZTAKI; E4 - 4671/4/2003


98.

L a y e r 3 p r o b lé m á i ( 3 ) I C M P a tta ck D o S : h a m is „ T im e e x c e e d e d ” v a g y „ D e s t in a t io n u n r e a c h a b le ” ü z e n e t e k k e l K a p c s o la t m e g s z a k ít h a t ó L e h a llg a t á s : „ R e d ir e c t ” ü z e n e t t e l

M e g e lő z é s : H á ló z a t i s t r u k t ú r a ( t ű z fa la k k a l I C M P b lo k k o lá s a ) C s a k n é h á n y t íp u s ú I C M P - ü z e n e t e n g e d é ly e z é s e


- 98 -

2 0 0 6 m á ju s

Ritkán használt ICMP üzenetekre figyelmet felhívni/ Time exceeded vagy Destination unreachable üzenetet küldve az egyik vagy mindkét kommunikáló félnek a kapcsolatot azonnal bontani lehet, mert a hostok úgy érzékelik, hogy a másik fél nem elérhető. Ez DoS-támadásra ad lehetőséget. Redirect értelmét megmagyarázni: a gateway szokta küldeni azoknak a hostoknak a Redirect üzenetet, amelyek tévesen azt gondolják, hogy az általuk keresett címzett az alhálózaton kívül található, ezért a gateway-nek címeznek. Hamis Redirect üzenetekkel forgalmat lehet átirányítani és aztán illetéktelenül lehallgatni. Struktúra: tűzfalakkal blokkolni a fölösleges ICMP üzeneteket, és csak a szükségeseket átengedni.


201/296

MTA SZTAKI; E4 - 4671/4/2003


99.

L a y e r 3 p r o b lé m á i ( 4 ) I C M P F lo o d D o S : P i n g fl o o d S c r ip t k id d ie - k k e n y é r r e is k e n h e t ik ( s z e g é n y e m b e r tá m a d á sa )

M e g e lő z é s : H á ló z a t i s t r u k t ú r a , t ű z fa la k I C M P E c h o R e q u e s t b lo k k o lá s a v a g y k o r lá t o z á s a E g r e s s , i n g r e s s fi l t e r i n g


- 99 -

2 0 0 6 m á ju s

Egyszerű támadás, a jól ismert ICMP Echo Request csomagokkal elárasztani a tipikusan kis sávszélességű vonalon lógó célpontot. Nagy sávszélesség ellen nemigen van hatása. A keskeny vonal teljes elfoglalásával DoS-olható a célpont. Gyakori próbálkozás, mert szaktudást és speciális segédprogramokat nemigen igényel. ICMP Echo Request üzeneteket lehet például tűzfallal szűrni, valamint a korábban már említett egress ill. ingress filteringet használni.


202/296

MTA SZTAKI; E4 - 4671/4/2003


100.

L a y e r 3 p r o b lé m á i ( 5 ) S n i ffi n g E g y s z e r ű le h a llg a t á s K ó d o la t la n s z ö v e g e k k in y e r h e t ő k F o r g a lo m s t a t is z t ik a k é s z ít h e t ő

M e g e lő z é s : H á ló z a t i s t r u k t ú r a ( c s illa g p o n t o s ) V L A N - o k , P o r t s e c u r it y T it k o s ít á s


- 100 -

2 0 0 6 m á ju s

Lehallgatás, passzív támadás részletesebb kifejtése: a hálózaton közlekedő adatokhoz hozzáférve lehet a kódolatlan szövegek tartalmát kinyerni, illetőleg forgalomstatisztikát készíteni a megfigyelt forgalom jellemzői alapján. A szövegek kinyerése által okozott biztonsági kockázat triviális. A forgalomelemzéssel arra következtethetünk, hogy a megfigyelt host vagy alhálózat milyen jellegű tevékenységeket végez és mekkora mennyiségben, ezzel sok információ szerezhető az ismeretlen célpontról. Előreutalni VLAN-okra (következő előadás): forgalom lehallgathatóságának korlátozására. Titkosítás: egyértelmű és legkézenfekvőbb módszer, mind a szövegek kinyerését, mint a minőségi és mennyiségi jellemzők alapján történő statisztikakészítést meg lehet vele előzni.


203/296

MTA SZTAKI; E4 - 4671/4/2003


101.

L a y e r 4 p r o b lé m á i ( 1 ) T C P „ S Y N ” F lo o d 3 u ta s h a n d sh a k e S o k S Y N p a c k e t , n in c s v á la s z a S Y N & A C K - r a A z á ld o z a t n e m t u d T C P - k a p c s o la t o k a t n y it n i D oS

M e g e lő z é s : T ű z f a la k k a l k o r lá t o z n i a t r u s t e d h o s t o k a t O p e r á c ió s r e n d s z e r s z in t j é n ( L in u x : T C P S y n c o o k ie su p p o rt)


- 101 -

2 0 0 6 m á ju s

TCP handshake során 3 lépésben veszik fel egymással a kapcsolatot a kommunikáló felek. Az első lépés egy SYN csomag küldéséről szól a gyanútlan címzettnek, aki ekkor nyit egy csatornát és lefoglal hozzá egy erőforrást (TCP connection pool), majd visszaküld egy SYN&ACK-ot a feladónak. Ha a feladó nem válaszol a SYN&ACK-ra, akkor valamennyi idő (tipikusan 75 másodperc) után az erőforrás felszabadul. Ha azonban a válasz helyett újabb SYN csomag érkezik, akkor úja csatorna nyílik és új erőforrás foglalódik. Ennek ismétlésével, valamint a SYN&ACK-ra történő válasz megtagadásával a véges TCP connection pool kimeríthető, ezután a célpont nem tud több TCP-kapcsolatot létesíteni addig, amit timeouttal föl nem szabadulnak a lefoglalt erőforrások.


204/296

MTA SZTAKI; E4 - 4671/4/2003


102.

L a y e r 4 p r o b lé m á i ( 2 ) T C P C o n n e c t io n H ij a c k in g A t ip ik u s M a n - in - t h e - M id d le a t t a c k R o s s z s z in k r o n k ih a s z n á lá s a k a m u c s o m a g o k k a l

M e g e lő z é s : I P S p o o fi n g m e g e l ő z é s é v e l H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 102 -

2 0 0 6 m á ju s

Visszautalni a Man-in-the-Middle említésére (IP Spoofing): hamisított identitással mindkét fél számára eljátssza a támadó, hogy a valódi másik féllel beszélnek az áldozatok, miközben mindkettő számára a másikat megszemélyesíti. Teljes ellenőrzése alatt áll az adatforgalom: átengedheti, módosíthatja, meghamisíthatja, statisztikát készíthet. TCP elcsúszott szinkronja során épülhet be a támadó, illetőleg handshaking közben. Ha nem tud IP-címet hamisítani, akkor viszont esélye sincs: ezért IP Spoofing megelőzésével ez a támadás is megelőzhető.


205/296

MTA SZTAKI; E4 - 4671/4/2003


103.

L a y e r 4 p r o b lé m á i ( 3 ) U D P F lo o d V é le t le n s z e r ű p o r t o k r a c s o m a g o k I C M P „ d e s t in a t io n u n r e a c h a b le ” p a t t a n v is s z a D oS

M e g e lő z é s : T ű z f a lla l a n e m h a s z n á lt p o r t o k a t v é d e n i I C M P e c h o ü z e n e t e k e t t ilt a n i


- 103 -

2 0 0 6 m á ju s

Ha UDP-csomag érkezik egy portra, akkor a gép megnézi, hogy van-e ott szolgáltató. Ha nincs akkor visszaküld egy destination unreachable ICMP-csomagot. Nagy mennyiségű UDP-csomag küldése esetén ezzel egyrészt a gép maga leterhelhető, másrészt a megduplázott hálózati forgalom miatt a vonala is eltömhető.


206/296

MTA SZTAKI; E4 - 4671/4/2003


104.

L a y e r 4 p r o b lé m á i ( 4 ) L a n d A tta ck T C P „ S Y N ” c s o m a g a z o n o s fe la d ó v a l é s c ím z e t t e l S a j á t m a g á v a l h a n d s h a k e - e ln e a h o s t W in d o w s X P ( S P 2 ) , W in 2 0 0 3 , m in d e n B S D T C P / I P Ö s s z e o m o lh a t a r e n d s z e r

M e g e lő z é s : H a s z n á lh a t ó T C P / I P - s t a c k im p le m e n t á c ió j á v a l E g r e s s , i n g r e s s fi l t e r i n g K a m u c s o m a g o k s z ű r é s e ( p l. fo r r á s : 1 2 7 . 0 . 0 . 1 )


- 104 -

2 0 0 6 m á ju s

Puttózni a rossz TCP/IP-stackeket: röhej, de nincs bennük ellenőrzés arra, hogy ne foglalkozzanak az azonos cél- és forráscímet tartalmazó csomagokkal, vagy azokkal, ahol a feladó 127.0.0.1-ként van jelezve. Ha egy ilyen csomagot kapnak, elkezdenek magukkal handshake-elni és összeomolhat az operációs rendszer. Nagyon könnyen megelőzhető, tipikusan ingress filtering alkalmazásával.


207/296

MTA SZTAKI; E4 - 4671/4/2003


105.

L a y e r 4 p r o b lé m á i ( 5 ) P o rts ca n F e ld e r ít ő t á m a d á s , „ k ö r ü ln é z é s ” F lo o d r a is h a s z n á lh a t ó ( D o S ) P o t e n c iá lis s e b e z h e t ő s é g e k u t á n k u t a t

M e g e lő z é s : H á ló z a t i s t r u k t ú r a ( t ű z fa la k ) H o s t - t ű z fa l, a m i e ln y e li a c s o m a g o k a t


- 105 -

2 0 0 6 m á ju s

A portscan során a támadó megvizsgálja az ismeretlen célpontot, hogy szolgáltatások után kutasson rajta. Ha feltérképezte, hogy mik futnak a célponton, akkor utána célzott támadásokat indíthat ezek ellen. Tűzfalakkal nagyon könnyen kivédhető.


208/296

MTA SZTAKI; E4 - 4671/4/2003


106.

L a y e r 7 p r o b lé m á i ( 1 ) V é g f e lh a s z n á ló i p r o g r a m o k b iz t o n s á g i z ű r j e i H á ló z a t o n k ö z le k e d ő „ p la in t e x t ” a d a t o k R é g i p r o t o k o llo k : t e ln e t , R S H , F T P A h á n y a lk a lm a z á s , a n n y i p r o b lé m a : m in d e n , a m i a u t e n t ik á c ió t h a s z n á l, v e s z é ly e s le h e t H á ló z a t o n á t h a la d ó é r z é k e n y a d a t o k r a v ig y á z n i

P r o b lé m á k á t h id a lá s a : H á ló z a t i f o r g a lo m t it k o s ít á s a K ö z p o n t o s ít o t t , k a r b a n t a r t o t t a u t e n t ik á c ió ( L D A P , PAM )


- 106 -

2 0 0 6 m á ju s

Fölértünk a felhasználók szintjére. A sok nyíltszöveges hálózati kommunikáció mind veszélyeket rejt magában, ld. Sniffing. Az elavult telnet ilyen volt, ma már az SSH-t használják minden normális helyen (l. később). De lehetne említeni sok példát, ami autentikációt használ, pl. Apache, samba, stb. Két védekezési mód, ezeket mindjárt kifejtjük: 1. titkosítás 2. ellenőrzött autentikáció


209/296

MTA SZTAKI; E4 - 4671/4/2003


107.

L a y e r 7 p r o b lé m á i ( 2 ) H á ló z a t i f o r g a lo m t it k o s ít á s a : T e ln e t , R S H / R C P h e ly e t t S S H / S C P F T P : t ú l e lt e r j e d t , n e h é z r ó la le s z o k n i – s z o r ít s u k v is s z a é s n e j e ls z a v a s , h a n e m h o s t - a la p ú a z o n o s ít á s t h a s z n á lj u n k in k á b b H a m é g is j e ls z a v a s k e ll, a k k o r s z e p a r á lt L A N - b a n , V L A N - b a n , m in é l k is e b b n é z ő k ö z ö n s é g e lő t t V a n S F T P is H T T P : j e ls z a v a k , k é n y e s a d a t o k c s a k H T T P S - e n P é ld a : b a n k i v a g y e g y é b s z e m é ly e s ü g y in t é z é s


- 107 -

2 0 0 6 m á ju s

A sokat emlegetett titkosítás. Protokollok példaként citálása: HTTPS, meg úgy általában minden, ami SSL fölött van (l. később), SSH, VPN/IPSec, stb. Példa a banki ügyintézésre, személyes adatokra való hivatkozást mindenki érti.


210/296

MTA SZTAKI; E4 - 4671/4/2003


108.

L a y e r 7 p r o b lé m á i ( 3 ) A u t e n t ik á c ió : A z á t t e k in t h e t ő s é g é r d e k é b e n k ö z p o n t o s ít s u n k H a s z n á lj u n k b e v e t t , b e v á lt m e g o ld á s o k a t : L D A P , P A M , K e rb e ro s L D A P : f e lh a s z n á ló i in f o r m á c ió k P A M : a la c s o n y s z in t ű a u t e n t ik á c ió s s é m á k in t e g r á c ió j a m a g a s s z in t e n K e r b e r o s : s z im m e t r ik u s k u lc s ú t it k o s ít á s t h a s z n á ló a u t e n t ik á c ió s p r o t o k o ll


- 108 -

2 0 0 6 m á ju s

Második megelőzési forma. Emlegetni a bevált megoldásokat: LDAP, PAM, Kerberos. Kicsit részletezve LDAP-ot: könyvtárstruktúra felhasználói adatok számára. Pam: moduláris szerkezetű, wrapperként használható autentikációs sémagyűjtemény, amit számos program igénybe vesz. Kerberos emlegetése és előreutalás a következő előadásra.


211/296

MTA SZTAKI; E4 - 4671/4/2003


109.

T itk o s ítá s C é lo k : n y ilv á n v a ló a k F e lh a s z n á lá s t e r ü le t e i f o ly a m a t o s a n n ő n e k S o k fé le m ó d s z e r , e lé r h e t ő s z á m ít á s i t e lj e s ít m é n y n ö v e k e d é s é v e l s o k a n g y e n g é v é v á lt a k Ö k ö ls z a b á ly : s o h a s e g o n d o lj u k a z t , h o g y a t á m a d ó n e m is m e r i a t it k o s ít á s m ó d s z e r é t A k u lc s r a b íz z u k m a g u n k a t , n e a m ó d s z e r r e

K é t t it k o s ít á s i a la p t íp u s : S z im m e t r ik u s k u lc s ú A s z im m e t r ik u s ( á lt a lá b a n n y ilv á n o s ) k u lc s ú H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 109 -

2 0 0 6 m á ju s

Titkosítás bővebb ismertetése jön. Általános bevezető először, az alapvetések: katonai célból használták először, ma már meg sem lehet lenni nélküle. A módszerek mind arra alapoznak, hogy reménytelenül nagy teljesítményre lenne szükség a titkosítás feltöréséhez, nem arra, hogy a támadó nem tudja, hogy milyen módszert használunk. Valós élet példáit hozni illusztrációnak. Kiemelni, hogy alapvetően kétféle módszer van, ezeket mindjárt körüljárjuk.


212/296

MTA SZTAKI; E4 - 4671/4/2003


110.

T itk o s ítá s b iz to n s á g a T ö k é le t e s t it k o s ít á s c s a k e lm é le t b e n lé t e z ik K ó d o lá s h o z h a s z n á lt k u lc s ( le g a lá b b ) a n n y i b it e s , m in t m a g a a h a s z n o s a d a t : O n e T im e P a d I(D , F(D )) = 0

G y a k o r la t b a n m e g v a ló s ít o t t t it k o s ít á s E lm é le t ile g t ö r h e t ő , g y a k o r la t ila g r e m é n y t e le n K é z e n fe k v ő a lg o r it m u s o k : c s a p ó a j t ó - m ó d s z e r e k P é ld a : n a g y s z á m o k p r ím t é n y e z ő k r e b o n t á s a , H a m ilt o n - k ö r g r á f b a n , e llip t ik u s g ö r b é k

T e lj e s b iz t o n s á g b a n n e m v a g y u n k s o h a . . . A t ö b b ie k n é l v is z o n t le h e t ü n k n a g y o b b b iz t o n s á g b a n H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 110 -

2 0 0 6 m á ju s

Titkosítás általános jellemzői: Shannon-t felemlítve, One Time Pad-ot magyarázva: tökéletes titkosítás, legalább azonos kulcshossz, mint adatméret. Ez esetben semmi következtetést nem lehet levonni a titkosított szövegből az eredetire, azaz a kölcsönös információ nulla. Gyakorlati módszerek elmélete: egyirányba könnyen, visszafelé igen nehezen számítható módszerek.


213/296

MTA SZTAKI; E4 - 4671/4/2003


111.

S z im m e tr ik u s k u lc s ú titk . U g y a n a z t a K k u lc s o t h a s z n á lj u k t it k o s ít á s r a é s v is s z a f e j t é s r e C = F ( D , K ) k ö n n y e n s z á m ít h a t ó , F '( C ) r e m é n y t e le n F o ly a m k ó d o ló k , b lo k k - k ó d o ló k

P é ld a : D E S R é g i é s s ik e r e s , d e m á r e la v u lt - > t e lj e s ít m é n y S z e m p o n t v o lt a k ö n n y ű h a r d v e r e s m e g v a ló s ít h a t ó s á g

L e g g y a k r a b b a n h a s z n á lt a lg o r it m u s o k : B l o w fi s h , T w o fi s h , S e r p e n t , 3 D E S , I D E A , A E S H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 111 -

2 0 0 6 m á ju s

Első típusú módszer elmagyarázása: azonos kulcs oda-vissza. A kulcsot ismernie kell a címzettnek és a feladónak is. Sok problémát okoz, hogy mindkettő tudhasson a kulcsról, de úgy, hogy illetéktelenektől az rejtve maradjon. Lásd később: kulcskiosztás. Stream cipher, block cipher, blokkok láncolása: kombinálva a módszereket, jelentősen javítani lehet a hatékonyságon. Alsó sor példáinál kicsit elidőzni, pl. DES leváltására hirdetett pályázat.


214/296

MTA SZTAKI; E4 - 4671/4/2003


112.

N y ilv á n o s k u lc s ú titk . ( 1 ) P , Q k u lc s p á r t h a s z n á lj u k : e g y ik e t t it k o s ít á s r a , m á s ik a t v is s z a f e j t é s r e S z e r e p ü k a lg o r it m ik u s a n fe lc s e r é lh e t ő E g y ik b ő l a m á s ik n e m s z á m ít h a t ó Ö s s z e t a r t o z ó p á r t a lk o t n a k F(G (D , P), Q ) = D ; F(G (D , Q ), P) = D

N e m k e ll h o z z á k ö z ö s k u lc s o t is m e r n i E g y ik k u lc s t it k o s , m á s ik n y ilv á n o s A la p j a : a m it a z e g y ik k e l t it k o s ít o t t a k , a z t c s a k a m á s ik k a l le h e t v is s z a f e j t e n i ( b iz a lm a s s á g )


- 112 -

2 0 0 6 m á ju s

A két kulcspár viszonya részletesebben. Miért fontos, hogy nem számítható egyikből a másik? Hát azért, mert a módszer lényege, hogy az egyik kulcsot nyilvánosságra hozzuk. Ha ebből a másikat ki lehetne számítani, akkor teljesen értelmét vesztené az, hogy egyáltalán titkosítást használunk. Hogyan kell kezelni? Úgy, hogy az egyik kulcsot propagáljuk, a másikat pedig szigorúan titokban tartjuk. Formalizmus kicsit kifejtve azt mondja, hogy amit az egyik kulccsal elkódoltak, azt a másikkal vissza lehet fejteni, és viszont. Három funkcióra utalni: bizalmasság, hitelesség letagadhatatlanság.


215/296

MTA SZTAKI; E4 - 4671/4/2003


113.

N y ilv á n o s k u lc s ú titk . ( 2 ) F e lh a s z n á lá s i m ó d j a i: T it k o s ít á s D ig it á lis a lá ír á s K u lc s c s e r e

T it k o s ít á s A s z o k á s o s r e j t j e le z é s , m a j d v is s z a fe j t é s

D ig it á lis a lá ír á s H it e le s s é g S é r t e t le n s é g L e t a g a d h a t a t la n s á g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 113 -

2 0 0 6 m á ju s

Küröljárni a három felhasználási módot, melyik mire jó. 1. Titkosítás az egyik kulccsal visszafejtés a másikkal 2. Digitálisan aláírni dokumentumokat az egyik kulcs segítségével, így a másikkal ellenőrizhetővé válik az adat. 3. Kulcscserére lehet használni, mert a felek azonosítani tudják egymást. Nyilvános kulcsú módszerrel lehet titkosítani a szimmetrikus kulcsú algoritmusok kulcsait, ezzel biztonságossá téve a kulcskiosztást. Kulcscserét főleg, miért van erre szükség, hol használják? (Kerberos)


216/296

MTA SZTAKI; E4 - 4671/4/2003


114.

N y ilv á n o s k u lc s ú titk . ( 3 ) K u lc s c s e r e K u lc s ille t é k t e le n s z á m á r a is m e r e t le n m a r a d T á m a d ó n e m t u d k u lc s o t k é n y s z e r ít e n i a f e le k r e

H a s z n á lt a lg o r it m u s o k R S A , D S S ( D S A ) , D i ffi e - H e l l m a n n

P r o b lé m á k : T it k o s k u lc s n y ilv á n o s s á g r a k e r ü lé s e a lá á s s a a z e g ész re n d szert V is s z a v o n á s p r o p a g á lá s a m e g o ld a t la n ( k e y r e v o k e )


- 114 -

2 0 0 6 m á ju s

RSA emlegetése kapcsán visszautalni a bevett matematikai módszerekre (prímszorzat). Részletezni, hogy miért megoldatlan a key revoke, előreutalni a PKI-ra (következő előadás): röviden azért, mert a kulcs kompromittálódásakor nincs módszer arra, hogy rövid idő alatt érvényteleníteni lehessen a kulcspárt, azaz a közkézen forgó nyilvános kulcsot ki lehessen vonni a forgalomból.


217/296

MTA SZTAKI; E4 - 4671/4/2003


115.

L e v e le z é s S /M IM E R S A -t használ S z a b v á n y b a ille s z k e d ik ( X . 5 0 0 ) K ö z p o n t o s ít o t t

PG P (G nuPG /O penPG P) P h il Z im m e r m a n n m a c e r a t ú r á j a A lá ír t k u lc s o k , b iz a lm i h á ló N y ilv á n o s k u lc s s z e r v e r e k


- 115 -

2 0 0 6 m á ju s

Jöjjenek a példák. X.500 (megint csak előreutalni PKI-ra) hasznosságának emlegetése: illeszkedik a nyilvános kulcsú titkosítás infrastruktúrájába. PGP és Zimmermann esete a szövetségi kormánnyal (per): a kormány azzal vádolta Zimmermannt, hogy megsérti a szabadalmi törvényt az algoritmus publikálásával, de valójában arról volt szó, hogy nem tudták visszafejteni (túl jó titkosítás volt) és ezért nem fértek hozzá az adatokhoz.


218/296

MTA SZTAKI; E4 - 4671/4/2003


116.

O penSSL (SSL és TLS) S e c u r e S o c k e t L a y e r / T r a n s p o r t L a y e r S e c u r it y L a y e r 5 é s L a y e r 6 f u n k c ió it v é g z i Á lt a lá n o s c é lú c s a t o r n a t it k o s ít ó

S S L H andshake S e s s io n k e y a g r e e m e n t

T ip ik u s f e lh a s z n á lá s a i HTTP PO P IM AP S M TP (ES M TP) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 116 -

2 0 0 6 m á ju s

Ismertetni, hogy miért is tudja mindenki betéve, hogy mi az az SSL: wrapper a biztonságos kommunikációhoz és kliensazonosításhoz. Handshake kapcsán konkrét példa a kulcscserére, megemlíteni, hogy a szimmetrikus kulcsú algoritmusoknak sokkal kisebb az erőforrásigényük. A tipikus felhasználásokra példát hozni (mindre): banki tranzakciciók, levelezések.


219/296

MTA SZTAKI; E4 - 4671/4/2003


117.

SSH (O penSSH ) K lie n s / s z e r v e r - a r c h it e k t ú r a S a j á t p r o t o k o ll M in d e n é r d e m i k o m m u n ik á c ió t it k o s ít o t t H o s t a z o n o s ít á s a N y ilv á n o s k u lc c s a l

F e lh a s z n á ló a z o n o s ít á s a J e ls z a v a s K u lc s a la p ú

S S H -Agent H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 117 -

2 0 0 6 m á ju s

Hostazonosítás és felhasználó-azonosítás. Saját protokoll, saját port, minden titkosítva. Hostot mindig a kulcsával (host key) azonosít, felhasználót lehet kétféleképpen: kulccsal és jelszóval. Agent arra szolgál, hogy az azonosult felhasználónak ne kelljen mindig tornáznia, ha további hostokon is azonosítani akarja magát: agent megoldja helyette.


220/296

MTA SZTAKI; E4 - 4671/4/2003


118.

S S H s z o lg á lta tá s a i S o k f é le t it k o s ít á s i a lg o r it m u s T ö m ö r ít é s I n t e r a k t ív k a p c s o la t T á v o li fu t t a t á s , c s a t o r n á k á t ir á n y ít á s a P o r t fo r w a r d in g ( S S H t u n n e l) T á v o li g é p p o r t j á r a k a p c s o ló d á s s a j á t r ó l P o r t n y it á s a t á v o li g é p e n s a j á t g é p fe lé

X 1 1 F o r w a r d in g A d a t c s a t o r n a h e ly i X - s z e r v e r fe lé


- 118 -

2 0 0 6 m á ju s

Sorolni a titkosítási algoritmusokat, visszautalni az általános bevezető példáira. Shell és távoli linuxos/unixos elérés feltétlen megemlítése. Tunnelezés kapcsán személyes példa, ha belefér az időbe (férjen, színesíti az előadást). X, mint grafikus felület számára nyújtott szolgáltatást, az X11 Forwardingot kiemelni, megjegyezni, hogy mennyire hasznos, meg azt is, hogy bezzeg ez is csak a unix/linux világában érhető el, mint szolgáltatás, a többiek mind ott lenn a porban.


221/296

MTA SZTAKI; E4 - 4671/4/2003


119.

H o z z á fé r é s v é d e le m ( A C ) E lm é le t b e n : D A C : D is c r e t io n a r y A c c e s s C o n t r o l T u la j d o n o s s z a b j a m e g a h o z z á f é r é s i j o g o k a t T e c h n ik á k : A C L , R B A C

M A C : M a n d a to ry A cce s s C o n tro l R e n d s z e r s z a b ja m e g a h o z z á fé ré s i jo g o k a t T e c h n ik a : é r z é k e n y s é g i s z in t ( c ím k e )

R B A C : R o le - B a s e d A c c e s s C o n t r o l S z e r e p lő k t e v é k e n y s é g i c s o p o r t o k b a s o r o lv a J o g o s u lt s á g o k a c s o p o r t o k h o z t a r t o z n a k

G y a k o r la t b a n : R S B A C , G R S e c u r it y , W in N T ( P o s ix + ) A C L H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 119 -

2 0 0 6 m á ju s

Rövidke ismertető mindegyik módszerről, példákkal illusztrálva, hogy tudják a valóságos operációs rendszerekhez kötni Katonai példát felhozni MAC-re: például kártyák használata, illetékességi szintek. Amit mondjuk egy tábornok megtehet, azt nem teheti meg a közlegény, ezért a tábornoknak nagyobb jogokat biztosító kártyája lesz, így bemehet a fegyverraktárba, míg a közlegény csak az épület bejárati ajtaját nyithatja, hogy ne kelljen kint állnia az esőben. RBAC pedig az adminisztratív megközelítés, különböző funkciók szerint csoportokba sorolt szereplők különböző dolgokhoz férnek hozzá. Gyakorlati példákról mindről egy-egy mondatka.


222/296

MTA SZTAKI; E4 - 4671/4/2003


120.

Á tte k in té s B iz t o n s á g i t e c h n o ló g ia k ü lö n b ö z ő s z in t j e i R e n g e t e g t á m a d á s i k o n c e p c ió F ig y e lj ü n k k ü lö n a g é p e in k é s a v o n a la k v é d e lm é r e A p a r a n o ia it t n e m s z é g y e n H a r é s t h a g y u n k , o t t b e is j ö n n e k A r o s s z in d u la t m in d ig lé p é s e lő n y b e n v a n A h a m is b iz t o n s á g é r z e t r o s s z a b b , m in t a b iz o n y t a la n s á g M in d ig m in d e n t t it k o s ít s u n k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 120 -

2 0 0 6 m á ju s

Összefoglalóan megismételni az ökölszabályokat a védekezésre és a titkosításra. Mindig, mindenki csak minket akar bántani. Hamis bzitonságérzet rossz voltának erős hangsúlyozása, előreutalás a következő utáni előadásra. Mindig mindent titkosítani kell, abból nem lehet baj.


223/296

MTA SZTAKI; E4 - 4671/4/2003


121.

H a s z n o s lin k e k , r e fe r e n c iá k N e t w o r k D ic t io n a r y ( S e c u r it y ) h t t p : / / w w w . n e t w o r k d ic t io n a r y . c o m / s e c u r it y W ik ip e d ia h t t p : / / w w w . w ik ip e d ia . o r g / O penSSL h t t p : / / w w w . o p e n s s l. o r g / O penSSH h ttp : / / w w w .o p e n s s h .co m / G R S e c u r it y h t t p : / / w w w . g r s e c u r it y . n e t / H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 121 -

2 0 0 6 m á ju s

Linkekhez nem kell túl sok magyarázat, csak annyit említeni, hogy számtalant lehetett volna még felsorolni. Kiemelni a netes irodalom gazdagságát


224/296

MTA SZTAKI; E4 - 4671/4/2003


122.

M e g e lő z ő in té z k e d é s e k 2 . ( a u d it é s m a n a g e m e n t)


2 0 0 6 m á ju s

A cél nem csak a konkrét tűzoltó technológiák bemutatása, hanem a probléma hosszú távú kezelésére is megoldásokat szeretnénk mutatni.


225/296

MTA SZTAKI; E4 - 4671/4/2003


123.

T a r t a lo m B e v e ze té s A z in t e r n e t e s v e s z é ly e z t e t e t t s é g r ő l M a g y a r é s n e m z e tk ö zi C S I R T - e k H á ló z a t b iz t o n s á g i s z a b v á n y o k M e g e lő z ő in t é z k e d é s e k 1 . r é s z : T e c h n o ló g ia 2 . r é s z : A u d it é s m a n a g e m e n t




- 123 -

2 0 0 6 m á ju s

226/296

MTA SZTAKI; E4 - 4671/4/2003


124.

M ir ő l le s z s z ó ? Ö n m e g t á m a d á s , ö n e lle n ő r z é s S z o ft v e r fr is s ít é s e k , v e r z ió k ö v e t é s E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k H á ló z a t i s t r u k t ú r a m e g f e le lő k ia la k ít á s a F iz ik a i s z in t L o g ik a i s z in t



- 124 -

2 0 0 6 m á ju s

227/296

MTA SZTAKI; E4 - 4671/4/2003


125.

P e n e tr a tio n te s tin g A p r o b lé m a A „ b iz t o n s á g ” n e m s z á m s z e r ű s ít h e t ő N e m s z á m s z e r ű s ít h e t ő = n e m m é r h e t ő N e m m é r h e t ő = ü z le t ile g n e m in d o k o lh a t ó M e g o ld á s ( ? ) : Ö n m e g t á m a d á s , ö n e lle n ő r z é s S z á m s z e r ű s ít h e t ő k : A z e lv é g z e t t v iz s g á la t o k A f e lf e d e t t b iz t o n s á g i h iá n y o s s á g o k A h a té k o n y s á g , p o n to s s á g k é rd é s e s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 125 -

2 0 0 6 m á ju s

A legtöbb támadási sorozat kézenfekvően a célzott rendszer sebezhetőségeinek feltérképezésével kezdődik. Ezek a vizsgálatok sok esetben nem konkrét gyengeségeket fedeznek fel, hanem a támadó számára hasonlóképp értékes szerkezeti információkkal szolgálhatnak. A támadó célszerűen először a célrendszer hálózatáról próbál bővebb információkat szerezni. Nem kevés esetben, például az automatikusan működő férgek vagy az esetlegesen kompromitált gépeken elhelyezett kémrobotok esetén a célhálózat akár az egész Internet is lehet.


228/296

MTA SZTAKI; E4 - 4671/4/2003


126.

P e n e tr a tio n te s tin g ( d e f.) A p e n e t r a t io n t e s t is a m e t h o d o f e v a lu a t in g t h e s e c u r it y o f a c o m p u t e r s y s t e m o r n e t w o r k b y s im u la t in g a n a t t a c k b y a m a lic io u s h a c k e r . T h e p r o c e s s in v o lv e s a n a c t iv e a n a ly s is o f t h e s y s t e m f o r a n y w e a k n e s s e s , t e c h n i c a l fl a w s o r v u ln e r a b ilit ie s . T h is a n a ly s is is c a r r ie d o u t fr o m t h e p o s it io n o f a p o t e n t ia l a t t a c k e r , a n d c a n in v o lv e a c t iv e e x p lo it a t io n o f s e c u r it y v u ln e r a b ilit ie s . A n y s e c u r it y is s u e s t h a t a r e f o u n d w ill b e p r e s e n t e d t o t h e s y s t e m o w n e r t o g e t h e r w it h a n a s s e s s m e n t o f t h e ir im p a c t a n d o f t e n w it h a p r o p o s a l f o r m it ig a t io n o r a t e c h n ic a l s o lu t io n . ( f o r r á s : W ik ip e d ia ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 126 -

2 0 0 6 m á ju s

Egy ilyen szimulált támadás menete, és ennek megfelelően főbb eszközei megfelelnek egy valódi támadás jellemzőinek: első lépésben egy host scannerrel megkeresik azokat a számítógépeket (IP címeket), melyek a választott címtartományban elérhetőek, ezután az elérhető gépek által nyújtott szolgáltatások port scannerrel történő felderítésére van szükség, amit a szolgáltatások security scannerrel való ellenőrzése követ. Egyre gyakrabban előfordul, hogy a security scanner munkáját bizonyos helyzetekben a publikus információkeresés (például: web search) eszközeivel is megtámogatják, mivel bizonyos Internetes férgek és automaták hasonló módszerekkel kutatnak áldozatok után.


229/296

MTA SZTAKI; E4 - 4671/4/2003


127.

P e n . te s tin g ta x o n ó m ia M é ly s é g ( d e p t h ) S in g le h o r iz o n s c a n M u lt ip le h o r iz o n s c a n B e h a t á s ( im p a c t ) I n t e llig e n c e ( lo w ) E x p lo it ( m o d e r a t e ) D o S ( h ig h ) P e r s p e k t ív a Z e r o k n o w le d g e ( b la c k b o x ) V a lid a c c o u n t ( g r e y b o x ) F u ll k n o w le d g e ( w h it e b o x ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 127 -

2 0 0 6 m á ju s

Mélység Az ellenőrzés mélysége nem a részletességre utal, hanem a feltételezett behatolás mélységére. A vizsgálni kívánt hálózat és rendszer a külvilág (Internet) felé általában csak egy korlátozott felületen, például egy tűzfalon keresztül nyújt szolgáltatásokat. A hálózat belülről is több részből, biztonsági zónából állhat, melyek önálló támadási területeket, szinteket jelölhetnek ki az ellenőrzés során. Mélység szempontjából az ellenőrzések két csoportját különböztetjük meg: Behatás A behatás (impact) a biztonsági ellenőrzés erőszakosságát határozza meg. Minél erőszakosabb egy támadás, annál több sebezhetőségre hívhatja fel a figyelmet, de annál több kárt is okozhat. Perspektíva Az ellenőrzés perspektívájának nevezzük a behatolást végző/megkísérlő ember vagy gép a hálózatra vonatkozó előzetes ismereteinek mélységét. Minél teljesebb ezen előzetes ismeretek köre, annál valószínűbb a behatolás sikeressége, vagyis a jogosulatlan információszerzés vagy károkozás.


230/296

MTA SZTAKI; E4 - 4671/4/2003


128.

P e n . te s tin g fo g a lm a k W a r d ia lin g N e m h iv a t a lo s c s a t la k o z á s i p o n t o k k u t a t á s a S o u r c e c o d e a n a ly s is N e m n y ilv á n v a ló t á m a d á s i m ó d o k P u b lic in f o r m a t io n s e a r c h I n f o r m á c ió s z iv á r g á s S o c ia l e n g in e e r in g „ u s e r s e c u r it y s c a n n in g ”


- 128 -

2 0 0 6 m á ju s

War dialing: célja egy hálózathoz való, a hálózat elsődleges védelmi peremeit (például a tűzfalat) megkerülő kapcsolódási lehetőségek felderítése. Általában az analóg telefonhálózat egyes mellékein a felhasználók által saját célokra üzemeltetett modemes elérésekre kell gondolni, melyeket a hálózatra való kapcsolódásra alkalmas gépek mellől elérhető telefonvonalak feltárcsázásával lehet legegyszerűbben felderíteni (innen az elnevezés). Source code analysis: a kiszolgáló szoftverek forráskódjának analízise hálózati és általános biztonsági szempontokból, főként buffer-túlcsordulás hibák és egyéb hálózati viselkedési hiányosságok után kutatva. Public information search: több esetben előfordul, hogy a védeni kívánt adatok egy része valamilyen módon nyilvánosan elérhető. Előfordulhat például, hogy egy távolról is elérhető webszerver egy cég dolgozóinak intranet szolgáltatást is nyújt, az intranet és internet felület pedig közös keresővel rendelkezik. Ilyenkor hiába elérhetetlenek kívülről az intranetes oldalak, a kereső jól formázott keresési feltételek alapján apró részletekben átszivárogtathatja az egész információt a külvilágba. Ilyen, és ehhez hasonló problémák alapján célszerű minden lehetséges információ megszerzésére próbákat tenni, hogy időben elzárhatóak legyenek az adatszivárgási csatornák. Social engineering: sokszor nem is gondolnánk mekkora támadási felületet nyújthatnak egy hálózat jóhiszemű felhasználói, akik egy magát hálózati felügyelőnek vagy rendszergazdának kiadó személy telefonhívására vagy levelére hajlandók gépeikre ismeretlen eredetű programokat telepíteni, vagy jelszavakat és egyéb érzékeny információkat kiadni. A jóindulatú social engineering egyfajta “user scanner”-ként működve a felhasználók körében fellelhető ilyen jellegű biztonsági hiányosságokra próbál rátalálni.


231/296

MTA SZTAKI; E4 - 4671/4/2003


129.

P e n . te s tin g m e to d o ló g ia ( 1 ) O p e n S o u r c e S e c u r it y T e s t in g M e t h o d o lo g y M a n u a l ( o s s t m m . o r g , is e c o m . o r g ) I n f o r m á c ió é s a d a t o k k o n t r o llj a i S z e m é ly z e t b iz t o n s á g t u d a t o s s á g a M e g t é v e s z t é s i k ís é r le t e k e lle n á lló s á g a S z á m ít ó g é p e s é s t e le k o m . h á ló z a t o k W ir e le s s é s m o b il e s z k ö z ö k F iz ik a i b iz t o n s á g i in t é z k e d é s e k B iz t o n s á g i f o ly a m a t o k F iz ik a i h a t á r o ló e le m e k é s a d o t t s á g o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 129 -

2 0 0 6 m á ju s

The Open Source Security Testing Methodology Manual (OSSTMM)is a peer-reviewed methodology for performing security tests and metrics. The OSSTMM test cases are divided into five channels which collectively test: information and data controls, personnel security awareness levels, fraud and social engineering control levels, computer and telecommunications networks, wireless devices, mobile devices, physical security access controls, security processes, and physical locations such as buildings, perimeters, and military bases. The OSSTMM focuses on the technical details of exactly which items need to be tested, what to do before, during, and after a security test, and how to measure the results. OSSTMM is also known for its [Rules of Engagement] which define for both the tester and the client how the test needs to properly run starting from denying false advertising from testers to how the client can expect to receive the report. New tests for international best practices, laws, regulations, and ethical concerns are regularly added and updated. The National Institute of Standards and Technology (NIST) discusses penetration testing in Special Publication 800-42, Guideline on Network Security Testing. NIST's methodology is less comprehensive than the OSSTMM however it is more likely to be accepted by regulatory agencies. For this reason NIST refers to the OSSTMM.


232/296

MTA SZTAKI; E4 - 4671/4/2003


130.

P e n . te s tin g m e to d o ló g ia ( 2 ) N a t io n a l I n s t it u t e o f S t a n d a r d s a n d T e c h n o lo g y ( N I S T ) 8 0 0 - 4 2 - e s k ü lö n k ia d v á n y O S S T M M a la p o k o n , d e á lt a lá n o s a b b H a t ó s á g i e lf o g a d á s r a e s é ly e s e b b I n fo r m a t io n S y s t e m s S e c u r it y A s s e s s m e n t F r a m e w o r k ( o is s g . o r g ) S z a k é r t ő i t e r ü le t e k k ü lö n k e z e lv e V á lla la t i m a n a g e m e n t k ö r n y e z e t r e s z a b v a M é g n in c s k é s z . . .


- 130 -

2 0 0 6 m á ju s

There is a new Methodology known as the Information Systems Security Assessment Framework (ISSAF) by Open Information System Security Group The Information System Security Assessment Framework (ISSAF) is a peer reviewed structured framework that categorizes information system security assessment into various domains & details specific evaluation or testing criteria for each of these domains. It aims to provide field inputs on security assessment that reflect real life scenarios. ISSAF should primarily be used to fulfill an organization's security assessment requirements and may additionally be used as a reference for meeting other information security needs. ISSAF includes the crucial facet of security processes and, their assessment and hardening to get a complete picture of the vulnerabilities that might exist. The ISSAF however is still in its infancy.


233/296

MTA SZTAKI; E4 - 4671/4/2003


131.

P e n . te s tin g e s z k ö z ö k ( 1 ) M B S A ( M ic r o s o f t B a s e lin e S e c u r it y A n a ly z e r ) T a x o n ó m ia : S in g le h o r iz o n L o w im p a c t G r e y ( w h it e ? ) b o x E lő n y ö k : P a t c h v e r z ió k d e t e k t á lá s a H á trá n y o k : C sa k M $ te rm é k e k N a p ra k é szsé g k é rd é se s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 131 -

2 0 0 6 m á ju s

A host scanner működése a már említett ping programhoz hasonló, sőt sok esetben teljesen azonos: az ellenőrzést végző gép egy próbacsomagot küld a célgép hálózati címére, majd válaszra vár. A válasz elmaradása egyet jelent azzal, hogy a célgép nem érhető el. Már ez az információ is nagyon fontos lehet, hisz alkalmas a hálózat alapvető logikai felépítésének feltérképezésére, felfedi azokat a gépeket is, melyek nem feltétlen nyújtanak szándékosan publikált szolgáltatásokat, de elérhetőek. A port scanner feladata a célgép egyenként 65535 TCP és UDP portja közül megkeresni azokat, amelyeket a gépen futó valamely alkalmazás nyitva tart. A működés alapvetően itt is a „kérés-válasz” módszerrel zajlik: az ellenőrző gép kapcsolatot próbál kezdeményezni a célgép adott portján keresztül, ha sikerrel jár, tudja, hogy a kérdéses port nyitva van, azaz a porton a célgép valamilyen szolgáltatást nyújt. Ezután következik a legszerteágazóbb feladatot végrehajtó program, a security scanner, melynek tárházában a célgépen nyitva talált portokhoz tartozó szolgáltatások specializált ellenőrzésére alkalmas tesztek várnak kipróbálásra. Egy ilyen teszt két csoportba tartozhat: A fenyegetettségi teszt csak a szolgáltatást végző kiszolgáló program létének, típusának, verziószámának megállapításából von le következtetést az ezekhez tartozó ismert hibák és támadási lehetőségek vonatkozásában.


234/296

MTA SZTAKI; E4 - 4671/4/2003


132.

P e n . te s tin g e s z k ö z ö k ( 2 ) N e ssu s (w w w .n e ssu s.o rg ) T a x o n ó m ia : S in g le / m u lt ip le h o r iz o n L o w / m o d e r a t e / h ig h im p a c t B la c k / g r e y / w h it e b o x E lő n y ö k : „ T h e ” n e t w o r k s e c u r it y s c a n n e r N a p r a k é s z p lu g in r e n d s z e r H á trá n y o k : M ár nem G PL H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 132 -

2 0 0 6 m á ju s

A behatolási teszt a rosszindulatú felhasználó viselkedésének szimulációjából, elérési jogosultságok ellenőrzéséből, sőt, esetleg károkozásra alkalmas szolgáltatás túlterhelési támadásból (denial of service attack, DoS), vagy a kiszolgáló szoftver puffertúlcsordulásának előidézéséből is következtethet egy valódi támadás lehetséges eredményeire. A figyelmet érdemes még felhívni arra, hogy az ellenőrzést végző és az ellenőrzött gép nem feltétlen különbözik egymástól, sőt léteznek olyan security scannerek, melyek nem is alkalmasak hálózati működésre. Ezek általában a helyi futtatásból származó helyzeti előny miatt fenyegetettségi tesztek végrehajtására különösen alkalmasak, viszont a behatolási tesztelés eredményeinek megbízhatóságát nagymértékben befolyásolhatja, ha egy gép saját magát teszi próbára. A hoszt, port és security scannerek által begyűjtött információkat, a tesztek eredményeit egy teljes alhálózat ellenőrzésekor általában összesített statisztika formájában érdemes megtekinteni, ezután nyílik lehetőség a kockázatok elemzésére és megfelelő kezelésére, vagyis a szükséges biztonsági frissítések, védelmi megoldások alkalmazására. Bizonyos idő elteltével érdemes lenne megismételni a teljes szimulált támadás alapú ellenőrzést, ez azonban sok erőforrást és időt vesz igénybe, ezért sok esetben előnyösebb úgynevezett „követő ellenőrzést” végezni, ahol csak az előző ellenőrzés óta nyilvánosságra került biztonsági rések vonatkozásában kell az egész alhálózatot újra áttekinteni.


235/296

MTA SZTAKI; E4 - 4671/4/2003


133.

P e n . te s tin g e s z k ö z ö k ( 3 ) N m a p , E t h e r e a l, N e t c a t , H p in g 2 , D D D , G C C , p s , ls o f , s y s in t e r n a ls . c o m , s t b . . . E lő n y ö k : „ M in d e n t v is z ” H á trá n y o k : I d ő ig é n y e s S z a k é r t e le m ig é n y e n a g y M é g e z s e m t ö k é le t e s


- 133 -

2 0 0 6 m á ju s

A hálózatbiztonsági pásztázások és ellenőrzések fejlődésére jellemző, hogy a támogató eszközök fejlődésével párhuzamosan nyílt csak lehetőség a teljes szimulált támadási folyamat automatikus elvégzésére, vagyis kezdetben csak a legegyszerűbb host scanner funkció volt bárki számára elérhető, majd később napvilágot láttak különböző port scanner eszközök, és csak az utóbbi években vált jellemzővé a nem ritkán üzleti forgalomban kapható security scannerek elterjedése. A publikus eszközök hiánya azonban nem jelentette soha az ellenőrzés megvalósíthatatlanságát, csupán jóval több szakértelmet igényelt a művelet végzőjétől. A mai napig nem megoldott, és a mesterséges intelligencia további fejlődéséig nem is lesz automatikusan megoldható, egy hálózat teljes körű biztonsági ellenőrzése.


236/296

MTA SZTAKI; E4 - 4671/4/2003


134.

P a tc h m a n a g e m e n t A p r o b lé m a : N in c s s z o f t v e r , a m ib e n n in c s h ib a S o k k is h ib a is s o k r a m e g y A m e g o ld á s : S z o f t v e r e k k ö z p o n t i p a t c h e lé s e , f r is s ít é s e B e s t p r a c t ic e : t e r v e z e t t e n , r e n d s z e r e s e n S e c u r it y s c a n n in g e r e d m é n y e k é p p Ú j a b b p r o b lé m á k : A z ú j p a t c h e k e t a u d it á ln i k e ll A r e n d s z e r t e lj e s k é p e : v e r z ió k ö v e t é s H o g y k é n y s z e r ít s ü k a f r is s ít é s e k e t ? H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 134 -

2 0 0 6 m á ju s

Frissítések által rejtett veszélyek fontosak! A hálózat védelmének fontos eszköze a felhasználói végpontok, a kiszolgálók és az aktív hálózati eszközök rendszeres szoftveres frissítése. Az automatikus szoftveres frissítések kockázati tényezőinek ismeretében előfordulhat, hogy a frissítéseket célszerű egy mintagépen előzetesen kipróbálni. A biztonsági frissítések hitelességének ellenőrzésére digitálisan aláírt frissítőcsomagok használata javasolható. Az aláírások ellenőrzése kézzel és automatikus eszközök segítségével, a frissítés telepítésének megkezdése előtt megtörténhet. Fontos, de nem technológiai feladat a kritikus biztonsági hiányosságokról való időben való tájékozódás érdekében a biztonsági levelezőlisták, automatikus esetben ezek streaming news (RSS) forrásainak figyelése.


237/296

MTA SZTAKI; E4 - 4671/4/2003


135.

P a tc h m g m t. ta x o n ó m ia K lie n s e lé r é s é n e k m ó d j a N on-agent based S W p r o b lé m á k e s é ly e k is e b b A g e n t- b a s e d K o m o ly a b b b e a v a t k o z á s i le h e t ő s é g e k S N M P v 2 a g e n t e k b iz t o n s á g a k é r d é s e s T á m o g a t o t t h á ló z a t i in fr a s t r u k t ú r a H om ogén E z t ip ik u s a n M $ h á ló z a t o k a t j e le n t H e te ro g é n Á lt a lá b a n a g e n t - b a s e d H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 135 -

2 0 0 6 m á ju s

Agent based: tipikusan Enterprise környezetben, tipikusan NMS-ek részeként.


238/296

MTA SZTAKI; E4 - 4671/4/2003


136.

P a tc h m g m t. e s z k ö z ö k ( 1 ) „ N a g y ” N M S - e k id e v á g ó fu n k c ió i ( v íz f e j j e l) I B M T iv o li C A U n ic e n t e r H P O p e n V ie w G P L N M S m e g o ld á s o k ( g y e r e k c ip ő b e n ) N a g io s ( n a g io s . o r g ) J F F N M S ( j ff n m s . o r g ) E g y ú j s ü t e t ű m e g o ld á s : C is c o W o r k s ( w w w . c is c o . c o m ) I P r o u t in g fe lh a s z n á lá s a a k é n y s z e r ít é s r e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 136 -

2 0 0 6 m á ju s

El lehet mondani, ogy a cisco megoldás azért nagyszerű, mert nem a kliensre bízza saját biztonságát...


239/296

MTA SZTAKI; E4 - 4671/4/2003


137.

P a tc h m g m t. e s z k ö z ö k ( 2 ) N o n - a g e n t - b a s e d c é ls z o f t v e r e k H om ogén U p d a te E x p e rt ( w w w .s tb e rn a rd .co m ) H e te ro g é n H F N e t C h k P r o ( w w w . s h a v lik . c o m ) A g e n t - b a s e d c é ls z o f t v e r e k H om ogén M $ S y s te m s M a n a g e m e n t S e rv e r H e te ro g é n B i g F i x ( w w w . b i g fi x . c o m ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 137 -

2 0 0 6 m á ju s

240/296

MTA SZTAKI; E4 - 4671/4/2003


138.

N e m k ö z p o n ti p a tc h m g m t. W in d o w s M ic r o s o f t W in d o w s U p d a t e N e m t e lj e s k ö r ű m e g o ld á s ( c s a k O S ) T a lá n a z M $ in s t a lle r v á lt o z t a t e z e n L in u x a p t- g e t, y u m T e lj e s k ö r ű le h e t N e m ig a z i „ p a t c h ” m a n a g e m e n t


- 138 -

2 0 0 6 m á ju s

Mi az a Windows Update? A Microsoft egy webhelye, amely frissítéseket biztosít a Windows operációs rendszerekhez, illetve a Windows alapú hardvereszközökhöz. A frissítések megoldást nyújtanak az ismert problémákra, és elősegítik az ismert biztonsági fenyegetésekkel szembeni védelmet.


241/296

MTA SZTAKI; E4 - 4671/4/2003


139.

E lo s z to t t b iz t . s z o lg á lt a t á s o k A p r o b lé m a : P a t c h e k h it e le s ít é s e H á r o m t íp u s ú s z e r e p lő : A p a t c h k ib o c s á t ó j a A p a t c h m a n a g e m e n t f e le lő s e A f r is s ít e n d ő k lie n s e k A m e g o ld á s : E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k Ú j a b b p r o b lé m a : E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 139 -

2 0 0 6 m á ju s

Az LDAP, vagyis a Lightweight Directory Access Protocol egy objektum orientált, olvasásra és keresésre optimalizált, redundáns működésre is felkészített adatbázislekérdező nyelv. A központosított felhasználókezelés, vagyis az átfogó jogosultságkiosztás és hozzáférésvédelem elterjedt eszköze, használható kulcskiosztásra, authentikációra, authorizációra. A Microsoft Active Directory megoldásához hasonlít, azzal a különbséggel, hogy nem integrálja a Kerberost és inhomogén alkalmazási környezetben is működőképes.


242/296

MTA SZTAKI; E4 - 4671/4/2003


140.

E B S Z - ta x o n ó m ia I n fra s tru k tú r a C e n t r a l i z á l t ( „ c e r t i fi c a t i o n a u t h o r i t y ” ) E lo s z t o t t ( „ w e b o f t r u s t ” ) A u t e n t ik á c ió m ó d j a N y ilt k u lc s ú a lg o r it m u s ( „ B L A C K k e y ” ) O s z t o t t k u lc s ú a lg o r it m u s ( „ R E D k e y ” ) A lk a lm a z h a t ó s á g i t a r t o m á n y S z é le s k ö r ű , s o k a lk a lm a z á s i t e r ü le t S p e c ia liz á lt , s z ű k e b b a lk a lm a z h a t ó s á g


- 140 -

2 0 0 6 m á ju s

A Certificate Authority, vagyis a hitelesítő hatóság, a nyilvános kulcs infrastruktúra gyökere, gyakorlatilag egy, a tanúsítványok kibocsátására és aláírására, használatos, erősen védett titkos kulcs, valamint a hozzá tartozó gyökértanúsítvány (root certificate) együttese alkotja. A CA kulcsának biztonsága az egész infrastruktúra kritikus pontja, kompromittálódása esetén az általa kibocsátott certificate-eket használó TLS és egyéb ügyfelek kommunikációja teljesen védtelenné válik a megszemélyesítéses támadások ellen, ezért célszerűen elzártan kell tárolni, és a tanúsítványok kibocsátásához egy erre a célra elkülönített, hálózati kapcsolattal nem rendelkező számítógépet ajánlatos használni.


243/296

MTA SZTAKI; E4 - 4671/4/2003


141.

EBSZ – eszközök (1) X . 5 0 9 a u t h e n t ic a t io n fr a m e w o r k C e n t r a liz á lt - A C A a r e n d s z e r e g y e d ü li k u lc s a + T is z t a , á t lá t h a t ó s z e r k e z e t + C A a n y a g i f e le lő s s é g v á lla lá s a ( ? ) - T ip ik u s a n p é n z b e k e r ü l N y ílt k u lc s ú + K u lc s d is z t r ib ú c ió e g y s z e r ű ( X . 5 0 0 ) S z é le s k ö r ű a lk a lm a z h a t ó s á g S S L , S / M I M E , s tb ... H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 141 -

2 0 0 6 m á ju s

Biztonságos átviteli protokoll. (Secure Socket Layer = biztonságos tartó réteg) "RSA" eljárással titkosított biztonságos adatátviteli protokoll webszerverek és klienseik közötti kommunikációra. Újabb webalapú levelezőrendszerek támogatják, a megcélzott távüzletek biztonságos lebonyolítása érdekében; az ilyen szerverek url címében (https://...) egy "s" betű jelzi a biztonságos adatátvitelt.


244/296

MTA SZTAKI; E4 - 4671/4/2003


142.

EBSZ – eszközök (2) P r e t t y g o o d p r iv a c y - P G P E lo s z t o t t ( w e b o f t r u s t ) + N in c s e g y s z e r e s h ib a p o n t + T ip ik u s a n in g y e n e s - N in c s p é n z ü g y i g a r a n c ia N y ílt k u lc s ú + E g y s z e r ű k u lc s d is z t r ib ú c ió ( k e y s e r v e r ) S p e c ia liz á lt a b b a lk a lm a z á s i k ö r S z ö v e g e k ( e - m a il) k ó d o lá s a , a lá ír á s a


- 142 -

2 0 0 6 m á ju s

(Pretty Good Privacy = elég jó biztonság) Az adatbiztonságot szolgáló, titkosító kulcsrendszer, mely az internet kommunikációnak egy alapvető feltételét hivatott szavatolni. A PGP (Pretty Good Privacy) Phill R. Zimmermann egy RSA alapú, rejtjelezô programja. Több, mint egy tucat változatát két fô csoportra lehet osztani. Az RSAREF. függvényeivel fordított verziókat tilos az Egyesült Államok és Kanada területérôl kiadni vagy letölteni. Viszont nem tilos használni, ha már egyszer kikerültek - kivéve azokat az országokat, ahol az állam belsô törvényei tiltják vagy korlátozzák a titkosítást (például Franciaország, Oroszország, Irak, Irán, Kína) Az RSAREF freeware, az RSA Data Secutity Inc. szabadalma. Az USA-ban a PGP-nek csak az RSAREF-es verzióit szabad használni. Az MPILIB is Phill R. Zimmermann munkája, de az MPILIB függvényeire épülô programokat az USA-ban tilos használni (!) Az MIPLIB-esek az ún. "nemzetközi" (i) verziók. Ezek hatékonyabbak (gyorsabbak), 100%-ig kompatibilisek a PGP 2.x (x =< 3) verzióival is, általában kevesebb hibát tartalmaznak, és többféle operációs rendszert támogatnak. Mivel Magyarországon minden verzió szabadon használható, célszerû az "international" változatokat elônyben részesíteni.


245/296

MTA SZTAKI; E4 - 4671/4/2003


143.

EBSZ – eszközök (3) K e rb e ro s C e n t r a liz á lt ( C A k r it ik u s s z e r e p e ) O s z t o t t k u lc s ú ( b o n y o lu lt k u lc s c s e r e ) S p e c ia liz á lt a lk a lm a z h a t ó s á g i k ö r K lie n s a u t e n t ik á c ió s z o lg á lt a t á s o k h o z I n t e r n e t e s a lk a lm a z h a t ó s á g a k é r d é s e s IPS ec E lo s z t o t t N y ílt k u lc s ú S p e c ia liz á lt : c s a k la y e r - 3 H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 143 -

2 0 0 6 m á ju s

IPV6-ban már több IPSEC funkciót is átvettek, pl IKE Az Internet Key Exchange (IKE) protokoll közvetlenül az IPSec szabványhoz került kifejlesztésre, és, mint ahogy neve is sejteti, az Interneten zajló kommunikáció eseti titkosításához használható kulcsok megszerzését tenné lehetővé az IPSec projekt eredeti célkitűzésében szereplő eseti titkosított kapcsolatok kiépítéséhez.


246/296

MTA SZTAKI; E4 - 4671/4/2003


144.

I T s e c u r ity m a n a g e m e n t A p r o b lé m a „ S e c u r it y is a p r o c e s s , n o t a p r o d u c t ” ( B . S . ) A m e g o ld á s M ó d s z e r t a n o k , s z a b v á n y o k a lk a lm a z á s a E r r ő l v o lt m á r s z ó - B e a M e g f e l e l ő fi z i k a i s t r u k t ú r a M e g f e le lő lo g ik a i s t r u k t ú r a M e g f e le lő e s z k ö z ö k h a s z n á la t a Ú j a b b p r o b lé m a : A b iz t o n s á g a h a s z n á lh a t a t la n s á g ig fo k o z h a t ó – k o m p r o m is s z u m o k k e lle n e k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 144 -

2 0 0 6 m á ju s

A strukturálásnál elsődleges szempontként a fizikai adottságok és az elsődlegesen megoldandó feladatok játszanak szerepet. A hálózat az elsődlegesen fizikai elhelyezkedési alapokon kialakított munkacsoportokban (3), vagy ezeken praktikus okok miatt kívül eső (4, 7) munkaállomásokból, az ezek szoftveres működtetéséhez szükséges kiszolgálókból (9, 10), valamint a hálózati elérést biztosító aktív és passzív elemekből (2, 6, 8) áll.


247/296

MTA SZTAKI; E4 - 4671/4/2003


145.

I T s e c . - fi z i k a i s t r u k t ú r a A g y e n g e fi z i k a i s t r u k t ú r a E g y s z e r ű le h e t ő s é g e t a d S W b e h a t o lá s r a ( k e y lo g g e r , u s b d is z k , r e b o o t , s t b . . . ) H a j la m o s a b b a m e g h ib á s o d á s r a ( D o S é r z é k e n y e b b le h e t ) N e m I T s z e m p o n t b ó l is v e s z é ly e s L o g ik a ila g is m e g h a t á r o z e g y e s t é n y e z ő k e t A la p v e t ő p r o b lé m a a z o r g a n ik u s f e j lő d é s G o n d o lj u n k a j ö v ő r e is v á s á r lá s k o r T e r v e z e t t b ő v ít é s , le g y e n p o lic y H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 145 -

2 0 0 6 m á ju s

Nem IT szempont: tűzvédelem


248/296

MTA SZTAKI; E4 - 4671/4/2003


146.

I T s e c . - lo g ik a i s t r u k tú r a A l a p j a a h e l y e s fi z i k a i s t r u k t ú r a I S O O S I ( D o D ) b o tto m - u p te rv e z é s


- 146 -

2 0 0 6 m á ju s

A komponensek logikailag csak a funkcionális szempontoknak felelnek meg, azaz: Az „1” jelölésű LAN egy Ethernet szegmenst alkot, az összes szereplő valós publikus IP címmel rendelkezik, vagyis minden kiszolgáló és munkaállomás minden kiszolgálót és munkaállomást teljes felületen elérhet. A hálózat a „2” jelölésű elérési pontokon biztosít elérést a külvilág (WAN) számára. A „3” jelölésű helyi (LAN kapcsolat) munkaállomások, a „4” jelölésű otthoni (WAN és pont-pont elérés) munkaállomások és a „7” jelölésű mobil (WLAN) számítógépek egyenlő jogú felhasználói a hálózati szolgáltatásoknak. Az „5” jelölésű helyi használatú szerverek szintén a hálózat egész területéről elérhetőek, bár csak lokálisan, az adott munkacsoport kiszolgálását végzik. A „8” jelölésű router nem végez címfordítást és tűzfalszerű funkciókkal sem rendelkezik, hisz ezek egyike sem szükséges a hálózat üzemeltetéséhez. A hálózati kiszolgáló funkciókat a „9” jelölésű, a munkaállomásokkal, munkacsoportokkal fizikailag azonos hálózatra kötött gépek végzik, esetlegesen együttműködve a „10” jelölésű, az Internet más részén elhelyezkedő kiszolgálókkal.


249/296

MTA SZTAKI; E4 - 4671/4/2003


147.

I T s e c . - n e tw o rk a c c e s s ( 1 ) I S O O S I la y e r - 1 ( p h y . ) é s la y e r - 2 ( d a t a lin k ) H o z z á f é r é s v é d e le m E t h e r n e t n é l p l. M A C k o r lá t o z á s C s a t l a k o z á s i p o n t o k fi z i k a i v é d e l m e H á ló z a t i s z in t ű e lk ü lö n ít é s , V L A N t e c h n o ló g ia F u n k c io n á lis s z e m p o n t o k s z e r in t L A N ( L o c a l A r e a N e t w o r k ) k lie n s e k L A N k is z o lg á ló k D M Z ( D e M ilit a r iz e d Z o n e ) V P N ( V ir t u a l P r iv a t e N e t w o r k ) H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 147 -

2 0 0 6 m á ju s

A demilitarizált zóna, röviden DMZ azokat a gépeket („9“) tartalmazza, melyek szolgáltatásait egyaránt igénybe veszik az Interneten és a helyi hálózaton elhelyezkedő gépek is. A DMZ gépei legfőképp abban különböznek a hálózat többi zónájától, hogy az Internet irányába közvetlen kiszolgáló tevékenységet végeznek. A DMZ védelmét a „14“ jelölésű tűzfal látja el, mely, az ábra egyszerűsítése végett – ahogy az ábrán látható többi tűzfal is – router szerepet is vállal. A DMZ hálózat klasszikusan publikus, statikus IP című gépeket tartalmaz, de a „14“ jelölésű tűzfal port átirányító szolgáltatásai esetén akár privát címek hozzárendelése is lehetséges. Ez a tűzfal a zóna funkcióinak megfelelően mindkét irányban végez forgalomtovábbítást.


250/296

MTA SZTAKI; E4 - 4671/4/2003


148.

I T s e c . - n e tw o rk a c c e s s ( 2 ) L A N k lie n s e k C s a k s z o lg á lt a t á s o k a t v e s z ig é n y b e T ip ik u s a n la y e r - 3 s z in t e n is e lk ü lö n ü l S z ü k s é g s z e r in t t o v á b b b o n t a n d ó L e g k e v é s b é k ö n n y e n k a rb a n ta rth a tó N M S - e k , p a tch m a n a g e m e n t H o z z á f é r é s v é d e le m k ie m e lt e n f o n t o s L e g f o n t o s a b b b e ls ő h o z z á f é r é s i p o n t A p e n e t r a t io n t e s t in g f o n t o s c é lp o n t j a


- 148 -

2 0 0 6 m á ju s

A LAN az eredeti hálózat fizikai munkacsoportjait, vagyis a hálózat java részét kitevő kliens szerepű munkaállomásokat („1“) tartalmazza. Ellentétben az eredeti fizikai elhelyezkedésen alapuló elkülönítéstől, az új megoldás a hálózatot logikailag, a munkacsoportok alapján csoportosítva layer 2 szinten szeparált virtuális LAN-okra bontja. A LAN védelmét a „13“ jelölésű központi tűzfal látja el, a LAN gépeinek korlátozott elérést biztosítva a többi főbb csoportban található számítógépek szolgáltatásaihoz. A LAN és virtuális felbontásai privát IP címtartományokat foglalnak el, mivel ezek a számítógépek csak kliens szerepű felhasználói a rendszernek. A tűzfal csak a LAN gépei által kezdeményezett forgalom továbbítását végzi a LAN irányába, ez megoldható a hálózati címfordítást alkalmazó NAT technológia alkalmazásával is. A LAN esetében dinamikus címkiosztás (DHCP) is célszerűvé válhat. Ilyen esetben, mivel a DHCP protokoll alapvetően nem route-olható, problémát jelenthet a kiszolgáló („16“) VLAN-okhoz viszonyított elhelyezése. A problémára több megoldás adható: Minden VLAN-ba külön DHCP kiszolgálót kell telepíteni. Ennek csak akkor van értelme, ha az aktív hálózati eszközök („6“) támogatják a címkiosztást. Ez nem ritkán így van. Egy DHCP kiszolgálót kell telepíteni, de a kiszolgálónak támogatnia kell a VLAN protokollt, így megoldható, hogy fizikailag egy gép több VLAN-t is ellásson dinamikus címekkel. Az előző megoldáshoz hasonlóan egy kiszolgálót kell telepíteni, azonban a VLAN-ok kiszolgálása megoldható az aktív hálózati eszköz („6“) DHCP-proxy szolgáltatás támogatásának segítségével.


251/296

MTA SZTAKI; E4 - 4671/4/2003


149.

I T s e c . - n e tw o rk a c c e s s ( 3 ) L A N k is z o lg á ló k C s a k a L A N é s a D M Z g é p e it s z o lg á lj á k k i K o lla b o r á c ió s f e la d a t o k , a d a t b á z is o k E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k F e lb o n t á s a a k lie n s e k é h e z a lk a lm a z k o d ik F e lh a s z n á lá s a is h a s o n ló P a tch m a n a g e m e n t P e n e t r a t io n t e s t in g


- 149 -

2 0 0 6 m á ju s

A SERVICE zóna a DMZ privát megfelelője. Itt találhatók azok a nem kliens szerepű gépek, melyek szolgáltatásokat nyújtanak a DMZ és a LAN számítógépei számára. Ilyen szerep juthat egy intranetes groupware („3“), egy általános, a ., funkcionális ábrán egy vagy több logikai munkacsoport kiszolgálását végző általános szerepű szerver („5“) és általában minden adatbázis-kiszolgáló („4“). A SERVICE zóna védelmét a „13“ jelölésű tűzfal látja el, a DMZ és LAN zónák számítógépeinek korlátozott elérést biztosítva a zóna szolgáltatásaihoz. A SERVICE zóna számítógépei a belső elérhetőség biztosítása érdekében célszerűen statikus privát IP címmel rendelkeznek, az Internetet a LAN gépeihez hasonlóan csak kliens szerepben érhetik el.


252/296

MTA SZTAKI; E4 - 4671/4/2003


150.

I T s e c . - n e tw o rk a c c e s s ( 4 ) D e m ilit a r iz á lt z ó n a - f e g y v e r m e n t e s ö v e z e t : ) A L A N é s a z I n t e r n e t ir á n y á b ó l is e lé r h e t ő T ip ik u s a n S M T P , H T T P , s t b . . . k is z o lg á lá s a V ir t u a l P r iv a t e N e t w o r k T á v o li L A N k lie n s e k c s a t la k o z á s i p o n t j a K é n y e s k e t t ő s k ö v e t e lm é n y r e n d s z e r L A N é s I n te rn e t „e g y s z e rre ” F o n t o s b e lé p é s i p o n t P a t c h m a n a g e m e n t p r o b lé m á s le h e t P e n e t r a t io n t e s t in g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 150 -

2 0 0 6 m á ju s

Külön zónaként szerepel a LAN-on fizikailag kívül, de logikailag belül elhelyezkedő, a LAN-hoz hasonló szolgáltatásokat igénybe venni kívánó, úgynevezett „szatellit“ munkaállomásokat kiszolgáló VPN zóna. A VPN biztonsági problémáiról a . fejezetben bővebb információ található. A VPN zóna az általánosan elterjedt három külső csatlakozási pont felől a következőképpen érhető el az otthoni („4“) és mobil („7“) szatellit munkaállomások számára: Az internet kapcsolattal rendelkező szatellitek, a hálózat egyéb internetes forgalmával együtt, a „14“ jelölésű tűzfalon keresztül juthatnak el a „11“ jelölésű VPN szerverhez. A telefonos behívók a „2“ jelzésű modemen keresztül a „12“ jelölésű, elkülönített terminálszerverrel veszik fel a kapcsolatot, ahonnan a „15“ jelölésű tűzfalon keresztül juthatnak el a VPN szerverhez. A „7“ jelölésű mobil munkaállomások egy WLAN elérési ponton keresztül szintén a „15“ jelzésű tűzfalhoz kerülnek, melyen keresztül a VPN szerverhez csatlakozhatnak. Mint látható, a szatellit gépek egymástól és a hálózat többi részétől layer 2 szinten elkülönítve, tűzfalas szűrés után juthatnak el az azonosítást és hitelesítést végrehajtó, valamint a biztonságos csatornát közvetlenül kiépítő központi VPN szerverhez. Az így authentikált forgalom a „13“ jelzésű tűzfal szigorú szűrőszabályain keresztül logikailag a LAN egy VLAN-jából származó forgalomként kezelhető a továbbiakban, de a szolgáltatásokat az útba eső tűzfalak segítségével célszerű minimálisra korlátozni. A szatellit gépek biztonságos kezelésére, mivel ezek a gépek a védeni kívánt hálózat számára ellenőrizhetetlen adatforgalmat is folytathatnak, nincsen teljes értékű megoldás, csak abban az esetben ha teljesen a hálózatkezelő felügyelete alá vonhatók, ám erre a gyakorlatban kevés lehetőség adódik.


253/296

MTA SZTAKI; E4 - 4671/4/2003


151.

I T s e c . - in te r n e t ( 1 ) I S O O S I la y e r - 3 ( n e t w o r k ) I t t t ö r t é n ik a r o u t in g A t ű z f a la k e ls ő d le g e s m ű k ö d é s i k ö r n y e z e t e H o z z á f é r é s v é d e le m M e g f e le lő t ű z f a ls z a b á ly o k D H C P , B O O T P s z o lg á lt a t á s I P S e c a u t e n t ik á c ió s s z o lg á lt a t á s o k S t r u k t u r á lá s a a z e lő z ő r é t e g é t k ö v e t i L A N , D M Z , V P N , s tb ...


- 151 -

2 0 0 6 m á ju s

Az ábrán látható struktúra fizikai szempontból összevonásokra ad lehetőséget, a „6“, „13“, „14“, „15“ jelölésű aktív hálózati eszközök akár egyetlen VLAN kompatibilis routing switchben is helyet kaphatnak, fontos azonban, hogy az apró szaggatott vonallal elkülönített hálózatok (DMZ, LAN és részei, SERVICE, VPN és részei) fizikailag, vagy virtuálisan is különböző (Ethernet) szegmensekre essenek. Az ábrán vázolt logikai struktúra a . fejezetben említett fizikai központosítást is könnyebbé téve az eszközök behatolás elleni védelmét is.


254/296

MTA SZTAKI; E4 - 4671/4/2003


152.

I T s e c . - in te r n e t ( 2 ) A lk a lm a s c ím t a r t o m á n y o k L A N k lie n s e k : d in a m ik u s p r iv á t I P c ím D e f a u lt b a s t io n h o s t p o lic y : d e n y V P N : d in a m ik u s p r iv á t c ím , m á s t a r t o m á n y I P s z in t e n is le v á la s z t v a ! L á s d : C is c o t r ü k k L A N k is z o lg á ló k : s t a t ik u s p r iv á t I P c ím A k is z o lg á ló k n e m é r h e t ik e l a k lie n s e k e t ! D M Z : p u b lik u s I P c ím A D M Z g é p e i n e m é r h e t ik e l a k lie n s e k e t ! H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 152 -

2 0 0 6 m á ju s

A routing trükk az, hogy a peccseletlen klienset a peccsszerverrel egy vlanba zárják, és minden http requestet hozzá irányítanak.


255/296

MTA SZTAKI; E4 - 4671/4/2003


153.

I T s e c . - h o s t- to - h o s t I S O O S I la y e r - 4 ( t r a n s p o r t ) , la y e r - 5 ( s e s s io n ) T ű z f a la k m á s o d la g o s m ű k ö d é s i t e r ü le t e T L S ( T r a n s p o r t L a y e r S e c u r it y ) - X . 5 0 9 S S L (S e cu re S o ck e ts L a y e r)

V P N k is z o lg á ló é s k lie n s e k k ö z t i k a p c s o la t A j á n l a t o s e g y s z e r e s h o z z á f é r é s i p o n t o t d e fi n i á l n i

N e m a g e n t a la p ú N M S - e k m ű k ö d é s i t e r ü le t e


- 153 -

2 0 0 6 m á ju s

Főként egyszerűbb, de a magyarországi Internet elterjedésének kezdeti korszakában kiépített hálózatokra jellemző lehet a csak kliens jellegű felhasználási mód mellett a publikus internetes elérhetőség. Ilyen esetben gyakorlatilag a kliensek számára semmi szükség a publikus IP címek megtartására, vagyis az egész hálózat, egy ToReS IP címtranszformációs tűzfal mögé elhelyezve, az ábrán „NAT” jelöléssel ellátott alhálózatnak megfelelő pozícióba tolható. Ezzel a megoldással részben kiválthatóak a kliensekre telepített alkalmazástűzfalak, hiszen a hálózat kívülről indított kapcsolatfelvételek ellen védetté válik, a NAT hálózat privát IP címei nem elérhetők az Internet irányából.


256/296

MTA SZTAKI; E4 - 4671/4/2003


154.

I T s e c . - a lk a lm a z á s o k I S O O S I la y e r - 6 ( p r e s e n t . ) , la y e r - 7 ( a p p . ) A g e n t a la p ú N M S - e k m ű k ö d é s i t e r ü le t e E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k X .5 0 0 , P G P , K e rb e ro s P e n e t r a t io n t e s t in g P a tch m a n a g e m e n t L a n a lk a lm a z á s o k t e le p ít é s é n e k k o r lá t o z á s a L a y e r - 7 s z in t ű ( p r o x y ) t ű z f a la k


- 154 -

2 0 0 6 m á ju s

Fontos megjegyezni, hogy sok tűzfal eldobja az ICMP echo-request és echo-reply üzeneteket, ezért nem vonhatóak le feltétlen következtetések egy ping próba eredményéből, szükség lehet további ellenőrzésekre. Ennek legegyszerűbb módja az lehet, hogyha a host scannert teljesen kihagyjuk a pásztázási műveletből, és egyenesen a port scannert irányítjuk a letapogatni kívánt címtartományba, a ping módszer által eldöntendő kérdést úgy fogalmazzuk át, hogy egy hoszt akkor érhető el, ha a port scanner talált rajta nyitott, vagy zárt portot, és akkor nem érhető el, ha semmilyen választ sem sikerült kapni. A módszer hátránya természetesen a nagy időigényben rejlik: a ping program egy üzenetváltással eldönthette az elérhetőséget, míg a port scanner technikával nagyságrendekkel több üzenetre is szükség lehet.


257/296

MTA SZTAKI; E4 - 4671/4/2003


155.

Ö s s z e fo g la lá s A m e g e lő z é s a la p j a i: L e g y e n v ilá g o s é s á t lá t h a t ó F iz ik a i, lo g ik a i s t r u k t ú r a , m a n a g e m e n t T u d j u k , h o g y m in k v a n P e n e t r a t io n t e s t in g , N M S - e k T a rtsu k k a rb a n P a tch m a n a g e m e n t K ö v e s s ü k a b iz t o n s á g i s z e m p o n t o k a t K ö s s ü n k t u d a t o s k o m p r o m is s z u m o k a t A b iz t o n s á g h a s z n á lh a t a t la n s á g ig f o k o z h a t ó , u g y a n íg y a m a n a g e m e n t is H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 155 -

2 0 0 6 m á ju s

258/296

MTA SZTAKI; E4 - 4671/4/2003


156.

H a s z n o s lin k e k , r e fe r e n c iá k Ö n m e g t á m a d á s , ö n e lle n ő r z é s S z o ft v e r fr is s ít é s e k , v e r z ió k ö v e t é s E lo s z t o t t b iz t o n s á g i s z o lg á lt a t á s o k H á ló z a t i s t r u k t ú r a m e g f e le lő k ia la k ít á s a F iz ik a i s z in t L o g ik a i s z in t



- 156 -

2 0 0 6 m á ju s

259/296

MTA SZTAKI; E4 - 4671/4/2003


157.

V is s z a h a tó in té z k e d é s e k



2 0 0 6 m á ju s

260/296

MTA SZTAKI; E4 - 4671/4/2003


158.

T a r t a lo m B e v e ze té s A z in t e r n e t e s v e s z é ly e z t e t e t t s é g r ő l M a g y a r é s n e m z e tk ö z i C S I R T - e k H á ló z a t b iz t o n s á g i s z a b v á n y o k M e g e lő z ő in t é z k e d é s e k 1 . r é s z : T e c h n o ló g ia 2 . r é s z : A u d it é s m a n a g e m e n t




- 158 -

2 0 0 6 m á ju s

261/296

MTA SZTAKI; E4 - 4671/4/2003


159.

M ir ő l le s z s z ó ? ( 1 ) B e h a t o lá s é r z é k e lé s H ID S re n d sze re k N ID S re n d szerek H o n ey p o t ren d sze rek I n c id e n s k e z e lő r e n d s z e r e k ( R T - I R ) R T I R b e m u ta tá s a I D M E F é s e g y é b g é p i é s h u m á n in t e r fé s z r e c é lz ó in c id e n s / r e p o r t s z a b v á n y o s ít á s i k ís é r le t e k



- 159 -

2 0 0 6 m á ju s

262/296

MTA SZTAKI; E4 - 4671/4/2003


160.

M ir ő l le s z s z ó ? ( 2 ) f o r e n s ic s e s z k ö z ö k é s le h e t ő s é g e k fo r e n s ic s e s z k ö z ö k A T o R e S k e z d e m é n y e z é s b e m u ta tá s a



- 160 -

2 0 0 6 m á ju s

263/296

MTA SZTAKI; E4 - 4671/4/2003


161.

B e h a to lá s é r z é k e lé s A b e h a t o lá s - é r z é k e lő r e n d s z e r e k a h á ló z a t i ille t v e a s z á m ít ó g é p e s e r ő fo r r á s o k o n o ly a n s p e c iá lis e s e m é n y e k , n y o m o k u t á n k u t a t n a k , a m e ly e k r o s s z in d u la t ú t e v é k e n y s é g e k , t á m a d á s o k j e le i le h e t n e k . F e la d a t a a t á m a d á s n y o m o k é s z le lé s e , r ia s z t á s é s e s e t le g e lle n lé p é s .



- 161 -

2 0 0 6 m á ju s

264/296

MTA SZTAKI; E4 - 4671/4/2003


162.

T ö r té n e lm i á tte k in té s T ö r t é n e le m 1 9 8 0 - J a m e s P . A n d e r s o n t a n u lm á n y a : s z á m ít ó g é p e k b iz t o n s á g i v iz s g á la t á n a k é s f e lü g y e le t é n e k j a v ít á s ; a u t o m a t ik u s b e h a t o lá s - é r z é k e lé s 1 9 8 4 - 1 9 8 6 I D E S ( I n t r u s io n D e t e c t io n E x p e r t S y s t e m ) A z I D E S u t á n a f e j le s z t é s e k s o r a in d u lt m e g , a z U S A k o r m á n y a t á m o g a t t a a z ily e n ir á n y ú k u t a t á s o k a t . J e le n t ő s e b b p r o j e k t e k v o lt a k : D is c o v e r y , H a y s t a c k , M I D A S ( M u lt ic s I n t r u s io n D e t e c t io n a n d A le r t in g S y s t e m ) , N A D I R ( N e t w o r k A u d it D ir e c t o r a n d I n t r u s io n R e p o r t e r ) . E z u t ó b b i r e n d s z e r t L o s A la m o s 9 0 0 0 f e l h a s z n á l ó s h á l ó z a t á r a t e l e p í t e t t é k . B á r j o b b á r a o ffl i n e m ű k ö d ö t t , a b e h a t o lá s o k é r z é k e lé s é r e s t a t is z t ik a i m ó d s z e r e k e t é s n y o m f e lis m e r é s t ( s ig n a t u r e ) h a s z n á lt . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 162 -

2 0 0 6 m á ju s

A behatolás-érzékelés majdnem egyidős a számítógépek megjelenésével Kezdetben a adminisztrátorok monitorozták a felhasználók tevékenységét, észrevehették pl. ha egy szabadságon lévő munkatárs nevében bejelentkeztek stb. Ebben az időben szokás volt a bejelentkezési logfájlok kinyomtatása és utólagos elemzése. Egy esetleges incidens esetén kevés remény volt a támadó azonnali azonosítására. 1980-ban James P. Anderson tanulmányában azt elemezte, hogy lehetne a számítógépek biztonsági vizsgálatát és felügyeletét javítani. Az automatikus behatolásérzékelés gondolatát is neki tulajdonítják, amelyet egy másik cikkében írt le. 1984 és 1986 között Dorothy Denning és Peter Neumann fejlesztette ki az első valósidejű IDS-t, az IDES-t (Intrusion Detection Expert System). Az IDES tulajdonképpen egy szabályalapú szakértői rendszer volt, amit a rosszindulatú, veszélyes tevékenység érzékelésére tanították. A következő generációja a NIDES lett, amit még ma is használnak. Az IDES után a fejlesztések sora indult meg, az USA kormánya támogatta az ilyen irányú kutatásokat. Jelentősebb projektek voltak: Discovery, Haystack, MIDAS (Multics Intrusion Detection and Alerting System), NADIR (Network Audit Director and Intrusion Reporter). Ez utóbbi rendszert Los Alamos 9000 felhasználós hálózatára telepítették. Bár jobbára offline működött, a behatolások érzékelésére statisztikai módszereket és nyomfelismerést (signature) használt.


265/296

MTA SZTAKI; E4 - 4671/4/2003


163.

I D S e k o s z tá ly o z á s a ( 1 ) B e a v a t k o z á s i p o n t s z e r in t H I D S - H o s z t - a la p ú I D S - e k e t m a g á r a a v é d e n d ő h o s z t r a t e le p ít ik , a d a t fo r r á s a a g é p e n lé v ő lo g f á j lo k , n a p ló f á j lo k é s m e g a d o t t b iz t o n s á g i s z a b á ly o k . A h o s z t a la p ú r e n d s z e r e k n e m c s a k a z o p e r á c ió s r e n d s z e r e lle n i b e h a t o lá s - v é d e le m r e , h a n e m a z a lk a lm a z á s o k v é d e lm é r e is s z o lg á l. N I D S - H á ló z a t - a la p ú I D S - e k a d a t fo r r á s a a h á ló z a t o n á t h a la d ó c s o m a g o k , e z e k e t e le m z i. S t a c k - a l a p ú I D S - e k a r e n d s z e r e k fi g y e l i k , a h o g y a p r o t o k o lle le m e k h a la d n a k a k ü lö n b ö z ő O S I s z in t e k k ö z ö t t f e lf e lé , é s m é g m ie lő t t a z o p e r á c ió s r e n d s z e r v a g y a z a lk a lm a z á s m e g k a p n á , a z I D S e le m z é s r e m a g á h o z v o n j a . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 163 -

2 0 0 6 m á ju s

Az IDSeket alapvetően két kategóriába sorolhatjuk attól függően, hogy hol helyezkednek el az infrastruktúrában. Egyrészt telepíthetünk behatolás érzékelőt a rendszerben használt hostokra. Itt tudunk védekezni mint az operációs rendszert, mind a hoston futó szolgáltatásokat, alkalmazásokat ért támadások ellen. Telepíthető IDS a hálózat kritikus pontjaira is. Ezeken a pontokon az áthaladó hálózati forgalom megfigyelésével és ezek elemzésével vonhatunk le következtetéseket az esetleges behatolásokra nézve. Újabban szokás megkülönböztetni egy harmadik típust is, az úgynevezett stack alapú rendszert. Ez esetben arról van szó, hogy míg a NIDSek userspaceben futó programok, addig a stack alapú rendszerek beépülnek az operenciás rendszer hálózatot kezelő részébe, és már ott képesek az adatok elérésére. Tehát tulajdonképpen ez nem egy külön kategória, inkább a hálózat alapú IDSek következő evolúciós lépése.


266/296

MTA SZTAKI; E4 - 4671/4/2003


164.

I D S e k o s z tá ly o z á s a ( 2 ) A lk a lm a z o t t t e c h n o ló g ia s z e r in t R e n d e lle n e s s é g e t é s z le lő m o d e ll ( a n o m a ly - b a s e d , b e h a v io r - b a s e d , p o lic y - b a s e d ) : a z ily e n I D S - t e lő s z ö r m e g t a n ít j á k a r r a , h o g y a z a d o t t h á ló z a t o n , g é p e n m e ly e k a n o r m á lis e s e m é n y e k . A n o r m á lis t ó l e lt é r ő v is e lk e d é s t é s z le li a r e n d s z e r , t á m a d á s n a k v e s z i é s r ia s z t . V is s z a é lé s t é r z é k e lő m o d e ll ( m is u s e d e t e c t io n , k n o w le d g e - b a s e d ) : a z ily e n m o d e ll e s e t é b e n a k ü lö n f é le t á m a d á s o k r ó l é s s e b e z h e t ő s é g e k r ő l s z ó ló in fo r m á c ió t t á r o lj á k , é s h a r e n d s z e r e g y o ly a n a d a t o t é s z le l, a m i a t á r o lt in f o r m á c ió k k a l e g y b e e s ik , t á m a d á s n a k j e lz i a z t . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 164 -

2 0 0 6 m á ju s

Alkalmazott technológia szerint alapvetően két módszer különböztethető meg. Az első kategóriába azok a rendszerek tartoznak, amelyek rendellenességet észlelnek. Ezek az IDSek úgy működnek, hogy a működésük elején „megtanulják'' azt, hogy az adott környezetben mi tekinthető normális működésnek, és az ettől való eltérésekre riaszt. A másik kategória a visszaélést érzékelő modell. Ezek egy olyan adatbázisból dolgoznak, amely ismert behatolási módszerekre vonatkozó információkat tartalmaz. A rendszer ezek nyomát keresi. A második rendszer előnye, hogy kevesebb fals pozitív eredményt ad, hátránya viszont, hogy ismeretlen módszerrel elkövetett behatolások érzékelésére alkalmatlan.


267/296

MTA SZTAKI; E4 - 4671/4/2003


165.

I D S e k o s z tá ly o z á s a ( 3 ) U t ó la g o s r e a k c ió s z e r in t P a s s z ív r e n d s z e r : a p a s s z ív r e n d s z e r é r z é k e li a b e h a t o lá s i k ís é r le t e t , fe lj e g y z i a z e r r e v o n a t k o z ó a d a t o k a t , r ia s z t . A r e a g á ló r e n d s z e r ( r e a c t iv e ) : a fe n t ie k e n k ív ü l m é g t o v á b b i a u t o m a t ik u s v é d e k e z ő t e v é k e n y s é g e t is v é g e z .


- 165 -

2 0 0 6 m á ju s

Utólagos reakció szerint ismerünk passzív rendszereket, amelyek működése csak a riasztásig terjed, vagyis csak felismer, naplóz és jelez, ill. reagáló rendszereket, amelyek megpróbálnak valamilyen automatikus válaszlépést is eszközölni a behatolás ellen. Ez utóbbi sajnos jelenleg még gyerekcipőben jár, aminek oka egyrészt a hamis riasztások igen nagy száma, másrészt az ilyen automatizmusok kihasználhatósága. (Példaként hozhatók egy fontos host nevében elkövetett támadás hatásai egy ilyen automatára).


268/296

MTA SZTAKI; E4 - 4671/4/2003


166.

H I D S re n d szere k ( 1 ) A h o s z t - a la p ú I D S - e k e t ( H I D S ) a v é d e n d ő g é p e k r e t e le p ít ik . A d a t f o r r á s u k a g é p e n k e le t k e z ő lo g f á j lo k , e z e n k ív ü l e lle n ő r z ik a fá j lr e n d s z e r in t e g r it á s t , a r e n d s z e r - p r o c e s s z e k v é g r e h a j t á s á t é s e s e t le g m é g e g y e b e k e t is .

M űködés M o n it o r o z a n d ó e r ő f o r r á s o k , ill. a k a p c s o ló d ó v e s z é ly s z in t e k m e g h a t á r o z á s a R e fe r e n c ia a d a t b á z is f e lé p ít é s e R e n d s z e r e s e lle n ő r z é s L e g it im v á lt o z á s e s e t é n a r e f e r e n c ia a d a t b á z is f r is s ít é s e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 166 -

2 0 0 6 m á ju s

A host alapú rendszereket a hálózat számítógépeire telepítik. Információforrásaik a rendszeren található fileok, a naplózott adatok és a futó alkalmazásokra vonatkozott adatok. A host alapú IDSek telepítése előtt meg kell határozni a megfigyelni kívánt erőforrásokat, ill. az ezekhez kapcsolódó veszélyszinteket. Ezekből aztán fel kell építeni egy olyan referencia adatbázist, amely a normális állapot jellemzőit tartalmazza. A működés során az aktuális állapot kerül összehasonlításra a referencia adatbázissal, és a különbségek alapján történik meg a figyelmeztetés. Természetesen ha egy eseményről kiderül, hogy az mégis legitim volt, akkor a változásokat be kell vezetni az adatbázisba.


269/296

MTA SZTAKI; E4 - 4671/4/2003


167.

H I D S ren d szere k ( 2 ) H I D S r e n d s z e r e k v é d e lm e B e h a t o lá s e s e t é n a r e f e r e n c ia a d a t b á z is , ill. a H I D S m a g a is m e g v á lt o z t a t h a t ó . Védekezés N e m ír h a t ó r e fe r e n c ia a d a t b á z is , b in á r is ( C D - R O M , h á ló z a t A z o n n a li lo g g o lá s t á v o lr a ( e g y ir á n y ú c s a t o r n á n ) , e m a ilb e n , n y o m t a t ó r a K ü ls ő r e f e r e n c ia a d a t b á z is ( d e b s u m s , r p m - - v e r if y )


- 167 -

2 0 0 6 m á ju s

HIDS rendszereknél tekintettel kell lenni arra, hogy a host kompromittálódása esetén az IDShez is hozzáfér a támadó, így lehetősége van nyomai elleplezésére. Ez ellen többféleképpen lehet védekezni: Nem írható helyen tárolt referencia adatbázissal: cd-rom, csak olvasható hálózati meghajtó, stb. Természetesen az adatbázis gyakori változásánál ez kényelmetlenséget okozhat. Azonnali naplózás egyirányú (vagyis csak egyszer írható) csatornán, pl. e-mail, nyomtató. Bizonyos esetekben, pl. Linux disztribúcióknál rendelkezésre áll független referencia adatbázis.


270/296

MTA SZTAKI; E4 - 4671/4/2003


168.

H I D S re n d szere k ( 3 ) E lő n y ö k M o n it o r o z h a t ó a f e lh a s z n á ló k t e v é k e n y s é g e , a f á j lo k o n v é g z e t t m ű v e le t e k . L e h e t ő v é t e s z i a r e n d s z e r k o m p o n e n s e k fi g y e l é s é t , m in t p l. W in d o w s e s e t é n a R e g is t r y v a g y fo n t o s D L L - e k m o n it o r o z á s a . A k ó d o lá s h a s z n á la t a a N I D S - e t e g y e s t á m a d á s o k k a l s z e m b e n é r z é k e t le n n é t e h e t i, a H I D S - e t p e d ig n e m . A H I D S f u t a t á s á h o z n e m h a s z n á ln a k k ü lö n h a r d v e r t , íg y o lc s ó b b le h e t a N I D S - n é l. M e g á lla p ít h a t ó e g y t á m a d á s s ik e r e s s é g e , ill. r é s z le t e s e b b in f o r m á c ió k s z e r e z h e t ő k r ó la . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 168 -

2 0 0 6 m á ju s

271/296

MTA SZTAKI; E4 - 4671/4/2003


169.

T r ip w ir e K r it ik u s s á g i t íp u s o k S E C _ C R I T – fá j lo k , a m e ly e k s o h a n e m v á lt o z h a t n a k S E C _ B I N – fá j lo k , a m e ly e k n e k n e m k e lle n e v á lt o z n iu k S E C _ C O N F I G – r it k á n v á lt o z ó , d e g y a k r a n o lv a s o t t k o n fi g u r á c i ó s fi l e o k S E C _ L O G – F o ly a m a t o s a n n ö v e k v ő , d e s o s e m t u la j d o n o s t v á lt o z t a t ó fá j lo k S E C _ I N V A R I A N T – k ö n y v t á r a k , m e ly e k n e k s o s e m v á lt o z ik a t u la j d o n o s u k , v a g y a j o g o s u lt s á g a ik


- 169 -

2 0 0 6 m á ju s

A fenti felsorolás a Tripwire nevű HIDS osztályozási rendszerét mutatja be. Természetesen lehetőség van ezeknek a megváltoztatására, ill. újak létrehozására.


272/296

MTA SZTAKI; E4 - 4671/4/2003


170.

N I D S re n d szerek ( 1 ) A N I D S a z a d o t t h á ló z a t i s z e g m e n s a d a t f o r g a lm á t m o n it o r o z z a . M á s ik s z e g m e n s f o r g a lm á n a k e le m z é s é r e , ille t v e m á s k o m m u n ik á c ió s e s z k ö z ( p l. t e le f o n v o n a l) f o r g a l m á n a k fi g y e l é s é r e á l t a l á b a n n e m a lk a lm a s . N I D S h á ló z a t b a ille s z t é s e HUB S P A N p o rt T a p ( f o r g a lo m le á g a z t a t á s )


- 170 -

2 0 0 6 m á ju s

A hálózati IDSek (NIDS) egy adott hálózati szegmens forgalmát figyelik, és ebben keresnek behatolásra utaló nyomokat. Mivel jelenleg a tipikus számítógép hálózatok mikroszegmentáltak (switcheltek), ezért meg kell oldani, hogy a NIDShez a hálózat teljes forgalma eljusson. Erre háromféle módszer adódik: A csatlakozási pont és a hálózat közé egy HUB segítségével beköthető a NIDS. Ezen megoldás azonban teljesítmény- és megbízhatóságbeli problémákat jelenthet. Komolyabb switchek képesek bizonyos portjaikra a teljes forgalmat kivezetni (span port), ill lehetőség van a direkt forgalomágaztatásra készített eszközök (un. tap-ek) használatára.


273/296

MTA SZTAKI; E4 - 4671/4/2003


171.

N I D S re n d szere k ( 2 ) E lő n y ö k E lé g a h á ló z a t k r it ik u s p o n t j a ir a t e le p ít e n i. A h á ló z a t o n á t h a la d ó c s o m a g o k f e j lé c é t é s t a r t a lm á t is e lle n ő r z i, íg y o ly a n j e lle g ű t á m a d á s o k a t is é r z é k e lh e t , a m it a H I D S n e m . A g y a n ú s fo r g a lm a t v a ló s id ő b e n k e z e li, íg y n a g y o b b a z e s é ly a t á m a d ó b e a z o n o s ít á s á r a , v a la m in t g y o r s a b b v á la s z o k a d h a t ó k , a k á r a t á m a d á s b e fe j e z é s e m é g m e g is a k a d á ly o z h a t ó . H a a t ű z fa lo n k ív ü lr e h e ly e z ik a N I D S - e t , a r o s s z in d u la t ú k ís é r le t – a m it a t ű z f a l k ü lö n b e n m e g s z ű r – is é r z é k e lh e t ő . É s z le lő r e n d s z e r e t ö b b n y ir e o p e r á c ió s r e n d s z e r t ő l f ü g g e t le n . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 171 -

2 0 0 6 m á ju s

274/296

MTA SZTAKI; E4 - 4671/4/2003


172.

N I D S te c h n ik á k M in t a ille s z t é s Á lla p o t f ü g g ő m in t a ille s z t é s H e u r is z t ik á n a la p u ló e le m z é s ( s t a t is z t ik a i b e c s lé s e k ) R e n d e lle n e s s é g e n a la p u ló e le m z é s P r o fi l a l a p ú P r o t o k o ll a la p ú T r e n d e le m z é s S t a t is z t ik a i r e n d e lle n e s s é g P r o t o k o ll- d e k ó d o ló e le m z é s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 172 -

2 0 0 6 m á ju s

275/296

MTA SZTAKI; E4 - 4671/4/2003


173.

S n o rt (1 ) F e lé p ít é s c s o m a g - b e g y ű j t ő e g y s é g ( p a c k e t c a p t u r in g ) c s o m a g d e k ó d o ló ( p a c k e t d e c o d e r ) e lő fe ld o lg o z ó e g y s é g e k ( p r e p r o c e s s o r ) d e t e k t á ló e g y s é g ( d e t e c t io n e n g in e ) z á r ó e g y s é g e k ( o u t p u t p lu g in s ) H á ló z a t i f o r g a lo m

E lõ f e ld o lg o z ó e g y s é g e k ... (p re p ro c e s s o r) C s o m a g -b e g y û jtõ egység ( lib p c a p )

D e t e k t á ló e g y s é g ( d e t e c t io n )

C som agd e k ó d o ló e g y s é g (d e c o d e r)

Z á ró e g y s é g ( o u t p u t p lu g in ) E lõ f e ld o lg o z ó egységek (p re p ro c e s s o r)



- 173 -

2 0 0 6 m á ju s

276/296

MTA SZTAKI; E4 - 4671/4/2003


174.

S n o rt (2 ) C so m a g - b e g y ű jtő e g y sé g K ü ls ő f ü g g v é n y k ö n y v t á r ( lib p c a p ) p la t f o r m f ü g g e t le n T e lj e s ít m é n y k o r lá t o k ( e g y s z e r r e e g y c s o m a g )

C s o m a g d e k ó d o ló k ü lö n b ö z ő f e j lé c e k ( E t h e r n e t , I P , T C P ) e lt á v o lít á s a é s m e g é rté se A d a t s t r u k t ú r a f e lé p ít é s e

E lő f e ld o lg o z ó e g y s é g e k A d a t s t r u k t ú r a o p t im a liz á lá s a s ig n a t u r e ille s z t é s h e z E g y é b t á m a d á s o k fe lis m e r é s e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 174 -

2 0 0 6 m á ju s

A Csomag-begyűjtő egység feladata a csomagok begyűjtése az az operációs rendszertől. A Snort a libpcapet használja, ami sok platformon elérhető, hátránya, hogy párhuzamos feldolgozásra még alkalmatlan. A dekódoló egység feladata a csomagok fejléceinek eltávolítása, ill. a későbbiekben használható adatstruktúra felépítése. Az előfeldolgozó egységek adatstruktúra optimalizációt végeznek a mintaillesztéshez, ill. bizonyos általános támadási formák felismerése is itt történik meg.


277/296

MTA SZTAKI; E4 - 4671/4/2003


175.

S n o rt (3 ) E lő f e ld o lg o z ó e g y s é g e k F ra g 2 , F ra g 3 – I P d e fra g m e n te r S t r e a m 4 – T C P s t r e a m ö s s z e á llít á s , e le m z é s F lo w – u n iv e r z á lis á lla p o t g é p P o r t s c a n , F lo w - P o r t s c a n , s fP o r t s c a n – I P , T C P , U D P p o rts ca n , p o rs w e e p d e te cto r ( d e co y é s d is t r ib u t e d is ) T e ln e t D e c o d e – t e ln e t s e s s io n o k ö s s z e á llít á s a R P C D e c o d e – R P C d e fra g m e n te r H T T P I n sp e ct – h ttp d e k ó d e r, m é g á lla p o t m e n t e s H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 175 -

2 0 0 6 m á ju s

278/296

MTA SZTAKI; E4 - 4671/4/2003


176.

S n o rt ( 4 ) D e t e k t á ló e g y s é g A m á r e lő k é s z ít e t t a d a t s t r u k t ú r á k a t ( c s o m a g o k a t ) a d e t e k t á ló a s z a b á ly r e n d s z e r e n á t f u t t a t j a , s h a a z a s z a b á ly f e lt é t e le in e k m e g f e le l, a k k o r a s z a b á ly b a n lé v ő a k c ió v é g r e h a j t ó d ik . S z a b á ly r é s z e i F e j lé c : a k c ió , f o r r á s - é s c é l c ím e k , m a s z k o k , p o rto k O p c ió k : r ia s z t á s ü z e n e t e k , ill a s ig n a t u r e , é s a rá v o n a tk o z ó m e ta - a d a to k H a e g y s z a b á ly ille s z k e d e t t a c s o m a g r a , a f e ld o lg o z á s m e g á ll, e z é r t a s o r r e n d is f o n t o s . H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 176 -

2 0 0 6 m á ju s

279/296

MTA SZTAKI; E4 - 4671/4/2003


177.

S n o rt (5 ) Z á ró eg y ség F e la d a t a a z a d a t o k k im e n e t i f o r m á j á n a k m e g h a tá ro z á s a

K im e n e t i le h e t ő s é g e k S y s lo g G y o r s lo g – m in im á lis , e g y s o r o s lo g o k T e lj e s lo g – T e lj e s f e j lé c , ill. a t e lj e s c s o m a g o k I P n k é n t U n ix s o c k e t – I P C h e z T c p d u m p lo g f o r m á t u m CSV U n i fi e d – b i n á r i s f o r m á t u m , g y o r s , k é t r é s z b ő l – f e j l é c , i l l . r é s z le t e s c s o m a g in f ó P r e lu d e N u ll H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 177 -

2 0 0 6 m á ju s

280/296

MTA SZTAKI; E4 - 4671/4/2003


178.

ACID A n a ly s is C o n s o le fo r I n t r u s io n D a t a b a s e s – S n o r t fr o n te n d F u n k c ió k L e k é r d e z é s – R ia s z t á s k e r e s é s a r ia s z t á s m e t a a d a t a i, ill. a k a p c s o ló d ó h á ló z a t i a d a t o k a la p j á n C s o m a g m e g j e le n ít ő – a 3 . é s 4 . r é t e g b e li c s o m a g i n f o r m á c i ó k g r a fi k u s m e g j e l e n t í t é s e R ia s z t á s m a n a g e m e n t – lo g ik a i c s o p o r t o s ít á s , f a ls p o z ít ív t ö r lé s , e - m a il e x p o r t , a d a t b á z is a r c h iv á lá s S t a t i s z t i k a é s g r a fi k o n g e n e r á l á s


- 178 -

2 0 0 6 m á ju s

A Snort rengeteg információt naplóz, aminek áttekintése nehézkes. Ebben nyújt segítséget az Analysis Console for Intrusion Databases. Az ACID egy webfelületű frontend a snort által naplózott adatok áttekintéséhez. Képes különböző szempontok szerinti lekérdezésekre, riasztás-management funkciókkal rendelkezik (logikai csoportosítás, archiválás, stb.), statisztikákat készít, ill. képes grafikusan megjeleníteni az adatbázisban található csomagokra vonatkozó 3. és 4. rétegbelii információkat.


281/296

MTA SZTAKI; E4 - 4671/4/2003


179.

H I D S/ N I D S gyengeségek a z I D S - e k k o r lá t a i: h a m is p o z it ív e r e d m é n y t a d h a t n a k , a z a z t á m a d á s t j e le z n e k , h a n in c s is t á m a d á s , h a m is n e g a t ív e r e d m é n y t a d h a t n a k , a z a z n e m j e le z n e k , p e d ig t á m a d á s t ö r t é n ik , n a g y s z a b á s ú t á m a d á s m e g b é n ít h a t j a a z I D S - t , n a g y s e b e s s é g ű h á ló z a t v é d e lm é r e m a m é g k o r lá t o z o t t a n a lk a lm a s a k , n e m h e l y e t t e s í t i k a j ó l k o n fi g u r á l t t ű z f a l a t , a b iz t o n s á g i s z a b á ly z a t o t é s a r e n d s z e r e s b iz t o n s á g i e lle n ő r z é s e k e t .


- 179 -

2 0 0 6 m á ju s

A HIDS/NIDS rendszerek használata – minden egyéb intézkedéshez hasonlóan – bizonyos kockázatokkal jár, amelyekkel számolni kell. Egyrészt fals pozitív eredményeket adhatnak. Ez akkor jelent problémát, ha ezekből túl sok van, egyrészt mert eltereli a figyelmet az igazi támadásokról, másrészt mert komoly erőforrás és időveszteség ezeknek a feldolgozása, ill. reaktív rendszerek esetén vezethet hibás intézkedéshez. Fals negatívok is keletkeznek, vagyis bizonyos problémákat nem vesz a rendszer észre. (Pl. a visszaélést felismerő rendszerek működési modelljükből adódóan nem alkalmasak ismeretlen módszerrel történő behatolások detektálására.) Fontos, hogy ne alakuljon ki hamis biztonságérzet a felhasználóban, és tudatosítsa, az IDS rendszerek használata önmagában nem megoldás. A nagy számítási teljesítmény miatt bizonyos NIDSek kiemelten érzékenyek a DOS típusú támadásokra.


282/296

MTA SZTAKI; E4 - 4671/4/2003


180.

H o n e y p o to k ( 1 ) O ly a n in fo r m a t ik a e r ő f o r r á s , m e ly n e k é r t é k e a n n a k n e m le g it im h a s z n á la t á b a n r e j lik . V a g y is n e m n y ú j t s e m m ily e n s z o lg á lt a t á s t , b á r m ily e n v e le t ö r t é n ő k o m m u n ik á c ió g y a n ú s n a k t e k in t h e t ő . E lő n y ö k : K e v é s , d e r e le v á n s a d a t A la c s o n y e r ő f o r r á s ig é n y A k ó d o lt f o r g a lo m n e m a k a d á ly o z z a a m ű k ö d é s t Á t f o g ó in f o r m á c ió k b e h a t o lá s i t e c h n ik á k r ó l E g y s z e r ű t e c h n o ló g ia H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 180 -

2 0 0 6 m á ju s

A honeypot rendszerek olyan rendszerek, amelyek „csaliként” vannak kihelyezve, nincsenek valós funkcióik, szolgáltatásaik, ezért a rendszerhez történő összes hozzáférés elve gyanús. Ezen technika előnye, hogy kevés, de releváns adatot szolgáltat, a HIDSekhez képest lényegesen alacsonyabb erőforrásigényekkel rendelkezik, nem jelent problémát a kódolt csatornák használata.


283/296

MTA SZTAKI; E4 - 4671/4/2003


181.

H o n e y p o to k ( 2 ) H á trá n y o k N e m lá t h a t ó a m á s h o v a ir á n y u ló f o r g a lo m B iz t o n s á g i k o c k á z a t o k

O s z t á ly o z á s L o w in t e r a c t io n Á lt . e m u lá lt s z o lg á lt a t á s o k / h o s z t o k / h á ló z a t o k

H ig h in t e r a c t io n V a ló d i ( d e a z é le s k ö r n y e z e t t ő l e lk ü lö n ít e t t ) h o s z t o k .


- 181 -

2 0 0 6 m á ju s

A honeypot rendszereknek természetesen hátulütői is vannak: egyrészt csak az a forgalom jelenik meg rajtuk, aminek ők voltak a címzettjei, vagyis önmagában nem alkalmas teljes körű behatolás detektálásra, ill. (az esetenként szándékosan rosszul védett) hamis rendszerek beépítése a hálózatba biztonsági kockázatot jelent. A honeypotokat két csoportba szokás sorolni: low ill. high interaction rendszerek.


284/296

MTA SZTAKI; E4 - 4671/4/2003


182.

H o n e y p o to k ( 3 ) L o w in t e r a c t io n h o n e y p o t ( h o n e y d ) E m u lá lt s z o lg á lt a t á s o k E m u lá lt h á ló z a t i s t a c k

E lő n y ö k K ö n y e b b t e le p ít h e t ő s é g A la c s o n y k o c k á z a t i s z in t

H á trá n y o k K e v e s e b b in f o r m á c ió C s a k m á r is m e r t p r o b lé m á k k e z e lé s é r e a lk a lm a s K ö n n y e b b f e lis m e r n i


- 182 -

2 0 0 6 m á ju s

A low interaction rendszerek ált. szolgáltatásokat, számítógépeket, hálózatokat emuláló programok. Az egyik legismertebb ilyen a honeyd nevű szoftver, ami a fentieken felül képes különböző operációs rendszerek hálózati stackjának emulálására (az nmap adatbázisa alapján), vagyis képes elrejteni, a host operációs rendszer identitását. Ezen rendszerek előnye, hogy vannak kész megoldások, amelyek viszonylag könnyen beállíthatóak, ill. mivel emulációról van szó, lényegesen alacsonyabb a kockázati szint. Hátrányuk, hogy kevesebb információhoz jutunk, csak ismert problémákat tud kezelni (hiszen az emulációt csak már ismert esetre lehet írni), ill. az emuláció felismerése könnyebb, mintha valódi rendszereket használnánk.


285/296

MTA SZTAKI; E4 - 4671/4/2003


183.

H o n e y p o to k ( 4 ) H ig h in t e r a c t io n h o n e y p o t o k ( h o n e y n e t s ) V a ló d i r e n d s z e r e k N e m t e r m é k , a r c h it e k t ú r a

E lő n y ö k T ö b b in fo r m á c ió T e lj e s e n n y it o t t k ö r n y e z e t , e lő f e lt é t e le z é s e k n é lk ü l - le h e t ő s é g is m e r e t le n t e c h n ik á k m e g is m e r é s é r e

H á trá n y o k B o n y o lu lt , n e h e z e n t e r v e z h e t ő M a g a s k o c k á z a t i s z in t – t o v á b b i v é d e le m szükséges H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 183 -

2 0 0 6 m á ju s

A high interaction rendszereknél nincsenek kész termékek. Itt arról van szó, hogy valódi számítógépekre telepítünk valódi szoftvereket, amelyek igazából nyújtanak szolgáltatások, és esetleg igazi hálózatokba vannak rendezve, de egyéb célra ezeket nem használjuk. Ilyen hálózatok összefogása pl. a honeynet projekt. Ennek előnye, hogy lényegesen több ismeretet lehet begyűjteni, ill. mivel egy ilyen rendszer teljesen nyitott, mindenféle előfeltételezéstől mentes, lehetőséget nyújt az eddig ismeretlen támadási módszerek megismerésére. Hátránya egyrészt, hogy komoly hozzáértést igényel, ilyen rendszerek építése egyáltalán nem triviális, és meglehetősen költséges, igazából csak kutatási célokra használható. Továbbá tekintve, hogy itt valódi rendszerektől van szó, a biztonsági kockázatok meglehetősen magasak.


286/296

MTA SZTAKI; E4 - 4671/4/2003


184.

H o n e y p o to k ( 5 ) F e lh a s z n á lá s i t e r ü le t e k É le s r e n d s z e r e k b e n Á lt a lá b a n lo w - in t e r a c t io n M e g e lő z é s S t ic k e y h o n e y p o t s – a u t o m a t a s c a n e k , w o r m o k la s s ít á s a , m e g á llít á s a H u m á n t á m a d ó la s s ít á s a , e s e t le g s z á n d é k t ó l is e lt é r ít

É s z le lé s V á la s z lé p é s s e g ít é s e

K u t a t á s i c é lo k k a l I n fo r m á c ió g y ü j t é s Á lt a lá b a n h ig h - in t e r a c t io n

H o n e y to k e n s H a m is a d a t o k e lr e j t é s e H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 184 -

2 0 0 6 m á ju s

A honeypot rendszerek főbb felhasználási területei a következők: Éles rendszerekben észlelésre, megelőzésre lehet őket használni, különböző trükkökkel az automaták működését jelentősen le lehet vele lassítani, ill. plusz adatokkal szolgáltathat az esetleges válaszlépések megtételéhez. Ilyen célokra általában low intercation rendszereket használunk. Kutatásra is remekül használható, jó módszer a friss támadások felismerésére. A gondolat egy másik igen érdekes lehetséges felhasználási területe a honeytokenek bevezetése. Ezek hamis adatok éles rendszerben való elhelyezését jelentik (pl. híres emberek szerepeltetése adatbázisokban), amivel valamilyen szinten szűrhető az egyébként megbízhatónak tartott felhasználók esetleges rosszindulatú tevékenységének felismerése.


287/296

MTA SZTAKI; E4 - 4671/4/2003


185.

RTIR (1) R e q u e s t T r a c k e r : á lt a lá n o s t ic k e t k e z e lő re n d sze r R T f o r I n c id e n t R e s p o n s e ( R T I R ) : k if e j e z e t t e n a C E R T / C S I R T j e lle g ű t e v é k e n y s é g e k m u n k a t á m o g a t á s á r a k ia la k ít v a , J A N E T C e r t ré szé re F e lé p ít é s B e j e le n t é s e k P r o b lé m á k V iz s g á la t o k B lo k k o k H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l

- 185 -

2 0 0 6 m á ju s

A következőkben röviden megismerkedünk Az RTIR nevű ticketing rendszerrel, amelyet kifejezetten az CSIRT jellegű tevékenységekkel kapcsolatos feladatok megkönnyítésére fejlesztettek. Az RTIR egy web alapú rendszer, amiben a nyitott jegyek (ticketek) négy csoportba sorolhatóak: A bejelentések a nyers beérkező adatokat tartalmazzák, a problémák a valós megállapított problémákat (amikről több bejelentés is érkezhetett), a vizsgálatok a problémák kapcsán esetlegesen felmerült külső kommunikációk (pl. szolgáltatókkal) nyilvántartására szolgál, a blokkok pedig a saját hálózat üzemeltetéssel folytatott kommunikációra való. Természetesen a rendszer tud minden olyan alapfunkciót, amely egy ticketing rendszertől elvárható, mint jegyek közötti relációk, keresések, szűrések, stb.


288/296

MTA SZTAKI; E4 - 4671/4/2003


186.

RTIR (2)


- 186 -

2 0 0 6 m á ju s

Az ábra egy jegy életútját követi nyomon a rendszerben. Miután a bejelentés beérkezik a rendszerbe (és átesik az esetleges előzetes automata vizsgálatokon, pl. spam és vírusszűrés) bekerül a bejelentések közé. Itt el kell dönteni, hogy kezelendő kérdésről van-e szó, és ha igen, akkor ismert problémához kapcsolódike? Probléma esetén meg kell tenni az esetlegesen szükséges lépéseket a saját hálózatunkban, ill. le kell folytatni a külső felekkel történő kommunikácitót, ha erre szükség van a probléma elhárításához. Végül a jegyet le kell zárni..


289/296

MTA SZTAKI; E4 - 4671/4/2003


187.

RTIR (3) T o v á b b i s z o lg á lt a t á s o k C s o p o r t o s é r t e s ít é s e k lé t r e h o z á s a , a k á r w h o is a la p j á n is I n t e g r á lt h á ló z a t i le k é r d e z ő e s z k ö z ö k ( t r a c e r o u t e , w h o is ) V é lh e t ő e n k a p c s o ló d ó j e g y e k k e r e s é s e T e s t r e s z a b h a t ó a u t o m a t ik u s e s e m é n y e k ( s c r ip s ) A u t o m a t ik u s s t a t is z t ik á k



- 187 -

2 0 0 6 m á ju s

290/296

MTA SZTAKI; E4 - 4671/4/2003


188.

S z á m ító g é p e s n y o m e le m z é s I n c id e n s a d a t a in a k h iv a t a lo s r ö g z ít é s e T ö r v é n y i e lj á r á s h o z B e ls ő v iz s g á la t h o z

A la p v e t ő m e g f o n t o lá s o k A z e r e d e t i b iz o n y ít é k m in im á lis k e z e lé s e T e lj e s k ö r ű d o k u m e n t á c ió „ H a z á r d ír o z á s ” k e r ü lé s e N e m é r in t e t t , d e e lő k e r ü lt b iz a lm a s a d a t o k k e z e lé s e


- 188 -

2 0 0 6 m á ju s

A következőkben azt tekintjük át, hogy milyen alapvető elvárásoknak kell megfelelni, ha egy incidenssel kapcsolatban nyomrögzítésre van szükség, akár belső vizsgálathoz, akár jogi eljáráshoz. A mai magyar jogi gyakorlatban sajnos nincs egyértelműen rendezve a digitális bizonyítékok kezelésének módja, az ilyen döntések igazságügyi szakértői vélemények alapján meglehetősen eseti jelleggel történnek. Ezért nagyon fontos a munka pontos dokumentálása.


291/296

MTA SZTAKI; E4 - 4671/4/2003


189.

S z á m ító g é p e s n y o m e le m z é s A g é p é s a z a d a t o k b iz t o n s á g b a h e ly e z é s e A z e le m z é s t , h a c s a k le h e t , n e m a z é le s r e n d s z e r e n k e ll v é g e z n i = > m á s o la t o k A d a t o k b e g y ű j t é s e a k ö r n y e z e t b ő l ( m e r e v le m e z e k , d is k e k , p e n d r iv e o k , b iz t o n s á g i t o k e n e k , ír o t t u t a s ít á s o k ) O n - lin e a d a t r ö g z ít é s L e k a p c s o lá s F iz ik a i v é d e le m k e r e s é s e H a r d w e r k o n fi g u r á c i ó d o k u m e n t á l á s a M e r e v le m e z e k m á s o la t a T e lj e s s é g P o n to s s á g H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 189 -

2 0 0 6 m á ju s

292/296

MTA SZTAKI; E4 - 4671/4/2003


190.

ToReS T ö b b s z á z , s z a b a d o n f e lh a s z n á lh a t ó , r e n d s z e r e z e t t

p r o g r a m e lő z e t e s t e le p ít é s t n e m ig é n y lő f u t t a t á s á n a k le h e t ő s é g e E g y s z e r ű , r é s z b e n a u t o m a t i k u s h á l ó z a t i k o n fi g u r á c i ó a k e z d ő f e lh a s z n á ló k m u n k á j á n a k m e g k ö n n y ít é s e é rd e k é b e n S z á m o s s z o lg á lt a t á s fu t t a t á s á t b iz t o s ít ó k is z o lg á ló a lk a lm a z á s o k H á ló z a t i b iz to n s á g fo k o z á s á r a f ig y e le m m e l e lő z e t e s e n b e á llí to tt k o n fig u r á c ió s á llo m á n y o k U t ó la g o s a d a t m e n t é s t , b iz o n y í t é k - g y ű jt é s t t á m o g a t ó s e g é d p ro g ra m o k A b ő v ít é s , f r is s ít é s , m ó d o s ítá s le h e tő s é g e n y ito t t H á ló z a t i in c id e n s k e z e lé s – T u t o r ia l


- 190 -

2 0 0 6 m á ju s

293/296

MTA SZTAKI; E4 - 4671/4/2003


191.

H a s z n o s lin k e k , r e fe r e n c iá k h ttp : / / w w w .s n o rt.o rg h t t p : / / w w w . c e r t . h u / s z a b a ly / h t t p : / / s y s in t e r n a ls . c o m



- 191 -

2 0 0 6 m á ju s

294/296

MTA SZTAKI; E4 - 4671/4/2003


192.

K a p c s o la tfe lv é te l M T A – S Z T A K I , H á ló z a t b iz t o n s á g i o s z t á ly 1 5 1 8 B u d a p e s t, P f. 6 3 1 1 1 1 B u d a p e s t, L á g y m á n y o si u tca 1 1 . T e l: ( 1 ) 2 7 9 - 6 2 2 2 h t t p : / / n s d . s z t a k i. h u

H un-C ERT h ttp : / / w w w .ce rt.h u b t o t h @ s z t a k i. h u b e c z @ s z t a k i. h u d o n @ s z t a k i. h u m c r e e @ s z t a k i. h u t is z a i@ s z t a k i. h u



( T ó t h B e a t r ix ) (B ecz Tam ás) ( P á s z t o r S z ilá r d ) ( R ig ó E r n ő ) ( T is z a i T a m á s , o v . )

- 192 -

2 0 0 6 m á ju s

295/296

MTA SZTAKI; E4 - 4671/4/2003


193.

K ö s z ö n j ü k a fi g y e l m e t !



2 0 0 6 m á ju s

296/296

Az informatikai hálózati infrastruktúra biztonsági kockázatai és kontrolljai

Recommend Documents