Bezpečnost IS Informační bezpečnost – ochrana informace a uchování bezpečnostních atributů informace – Důvěrnost, Integrita, Dostupnost, Autentičnost, Spolehlivost? Informace představují majetek s určitou hodnotou a musí se chránit před – neoprávněným přístupem, zsizením, zfalšováním a zneužitím, vyzrazením, zablokováním přístupu opravněným subjektům Bezpečnostní politika Základní dokument informační bezpečnosti – Bezpečnostní politika IS/IT Je to soubor technických, administrativních opatření a postupů sloužící k udržení definovaného zabezpečení Vztahuje se na – IT, lidé, data Systém řízení informační bezpečnosti ISMS – Information Security Management System Analýza rizik Klíčový krok ve výstavbě ISMS Co nastane, když nebudou informace chráněny? (dopad) Jak může být bezpečnost informací porušena? (zranitelné místo, hrozba) Jaká je pravděpodobnost, že to nastane? (míra rizika) Základní bezpečnostní cíle Zachování důvěrnosti informace Zachování integrity informace Zachování dostupnosti informace Zajištění autenticity informace Zajištění spolehlivosti informace Zajištění prokazatelnosti původu informace Zajištění prokazatelnosti převzetí informace Zranitelné místo – vlastnost IS, nějaká nedokonalost (neexistuje IS bez zranitelných míst) Výskyt: v HW, v SW, v provozním prostředí, v lidech Cíl AR – odhalení zranitelných míst, určení přijatelné míry rizik, určení způsobu, jak rizika udržet na přijatelné úrovni Hrozba – možnost využít zranitelné místo Riziko – pravděpodobnost využití zranitelného místa Útok – úmyslné, nebo neúmyslné využití zranitelného místa Přerušení, Odposlech, Změna, Padělání – zfalšování. Dopad – důsledek útoku vyjádřený v určité hodnotě (zpravidla finanční) Objekt IS – pasivní entita IS, obsahuje nebo přijímá informace Subjekt IS – aktivní entita IS autorizovaná k manipulaci s informací Bezpečnostní funkce – opatření k dosažení bezpečnostního cíle
Bezpečností mechanismus – prostředek, nebo nástroj k dosažení bezpečnostního cíle K dosažení bezpečnostního cíle je nutné zvolit vhodnou bezpečnostní funkci, ta se zajistí vhodným bezpečnostním mechanismem. Typy bezpečnostních opatření podle času uplatnění – preventivní, detekční, opravné (zálohy), kontrolní (monitoring), zastrašovací (podniková ustanovení, zákonná opatření) podle způsobu implementace – fyzické (zámky, trezory...), HW (identifikační karty, …), SW , administrativní (směrnice, předpisy) Implementace bezpečnostních mechanismů Kryptografické systémy, firewally, monitorovací a auditní systémy, digitální podpis,... Postup při provádění Analýzy rizik Identifikace a ocenění aktiv, Nalezení zranitelných míst, Odhad rizik, Stanovení nepřijatelných a přijatelných rizik, Stanovení očekávaných ročních ztrát Systémová bezpečnostní politika (SBP) – vychází z celkové bezpečnostní politiky, zahrnuje technickou složku a administrativní složku Součástí je – Plán obnovy, Havarijní plán Monitoring a audit – průběžné a následné sledování účinnosti informačního bezpečnostního systému. Standardy vznikají na mezinárodní úrovni v ISO (International Organization for Standardization) a IEC (International Electrotechnical Commision) Na státní úrovni – ÚNMZ - Úřad pro technickou normalizaci, metrologii a státní zkušebnictví 27000 Series of Standards – ISO/IEC 27k – jednotná koncepce normalizace informační bezpečnosti Bezpečnostní domémy Bezpečnostní politika, Organizace bezpečnosti, Klasifikace a řízení aktiv, Personální bezpečnost, Fyzická bezpečnost a bezpečnost prostředí, Řízení komunikací a řízení provozu, Řízení přístupu, Vývoj a údržba systému, Management bezpečnostních událostí Řízení přístupu – kategorie Požadavky na řízení přístupu – řídit přístup k informacím – měl by být řízen na základě provozních a bezpečnostních požadavků Řízení přístupu uživatelů – předcházet neoprávněnému k informačním systémům – měli by existovat formální postupy pro přidělování uživatelských práv Odpovědnosti uživatelů – předcházet neoprávněnému uživatelskému přístupu Řízení přístupu k síti – politika užívání síťových služeb, princip oddělení v sítích, … Řízení přístupu k OS – Systém správy hesel, Časové omezení spojení, ... Řízení přístupu k aplikacím Monitorování přístupu k systému a jeho použití Mobilní výpočetní prostředí a práce na dálku.
Common Criteria TOE – Target of Evaluation – produkt/systém, který je předmětem hodnocení PP – Protection Profile – dokument, který identifikuje bezpečnostní požadavky pro třídu bezpečnostích zařízení ST – security target – dokument identifikující bezpečnostní vlastnosti TOE SFR – Security Functional Requirements - identifikuje jednotlivé bezpečnostní funkce, které by měl TOE zajistit. SAR – Security Assurance Requirements – udává míru zajištění souladu s požadovanými bezp. Požadavky EAL – Evaluation Assurance Level – vyjádření stupně hloubky a rozsahu evaluace Úrovně záruk EAL1 – EAL4 1. Funkčně testováno – poskytuje jistou míru důvěry... 2. Strukturovaně testováno – nezávislé testování... 3. Metodicky testováno a kontrolováno – maximální záruky … 4. Metodicky navrženo, testováno a kontrolováno Kryptografické systémy Symetrické DES (Data encryption standard) IDEA (International Data Encryption Algorithm) RC2 a RC4 Asymetrické RSA (Rivest Shamir Adleman) DSS EC HASH algoritmy MAC MD5 SHA – 1 Digitální podpis Složky zajišťující digitální podpis asymetrické kryptografické systémy, hash funkce, správa veřejných klíčů, certifikační autorita Digitální podpis zabezpečuje integritu podepsané zprávy, autentičnost zprávy Automatizovanou správu veřejných klíčů zajišťuje PKI – Public Key Infrastucture Funkce CA – registrace uživatelů certifikátů, vydávání certifikátů k veřejným klíčům, odvolávání platnosti certifikátů, odebírání platnosti certifikátů,...
Bezpečnost sítí Distribuované systémy – IS jsou provozovány v síťové infrastruktuře na autonomních systémech. Bezpečnost DIS (distribuovaný systém) – bezpečnost komunikačních procesů Lokální uživatel – interakce s produktem pomocí jeho vlastních prostředků Vzdálený uživatel - interakce s produktem pomocí jiného produktu Autorizovaný uživatel – uživatel oprávněný provést určitou operaci Role – předdefinovaná sada pravidel určující povolené interakce pro jejich zabezpečení …. Model ISO/OSI Aplikační, prezentační, relační, transportní, síťová, datových spojů, fyzická Bezpečnostní služby Služby pro autentizace – ověření identity Služby pro řízení přístupu – autorizace Služby pro zajištění důvěrnosti – ochrana informace před neautorizovaným odhalením Služby pro zajištění integrity Služby pro nepopíratelnost zodpovědnosti – služba zajišťující možnost dokázat přijetí/odeslání zprávy Bezpečnostní mechanizmy vhodné pro implementaci bez. funkcí Kryprografická ochrana důvěrnosti, Kryptografická ochrana integrity, Systém řízení přístupu, krypt. Autentizace, elektronický podpis, … Bezpečná komunikace –důvěra v partnera s kterým komunikuji, že není odposlouchávána zpráva, že není změněna, …. Služby důvěryhodných třetích stran – TTP – poskytují bezp, služby kterým lze důvěřovat. In-line TTP – leží přímo v komunikačním kanále mezi dvěma entitami. On-line TTP – neleží přímo v komunikačním kanále, poskytuje bezp. službu na základě požadavků jedné, nebo obou stran Off-line TTP – nezůčastní se transakce, své služby poskytuje před uskutečněním komunikace Penetrační testy Nástroj k odhalení zranitelných míst v IS, součást bezp. analýzy, Cílem je prevence, snížit rizika využití zranitelných míst Metody Network scanning, Vulnerability scanning, password cracking, log review, virus detection, Exploit – speciální program, data nebo skript, které využívají programátorskou chybu, která způsobí původně nezamýšlenou činnost SW a umožňuje tak získat nějaký prospěch. Vulerability – chyba SW, která může být využita k provedení útoku Exposure – chyba v SW, která nepřímo dovoluje neoprávněný přístup do systému Penetrační testy se provádí ve všech fázích výstavby ISMS
Strategie – odkud bude prováděn – externí/interní podle míry znalostí zúčastněných stran – blind (útočník má omezené informace, cíl ví všechno), double-blind (nikdo neví nic), tandem (všichni ví všechno), reversal (útočník ví všechno, cíl neví nic) White box – útočník zná infrastrukturu a má přístupy Black box – útočník má znalosti, které může sehnat například na public webu Gray box – kombinace předchozích – částečná znalost infrastruktury a přístupy Typy – podle oblasti IS, kde se cíl nachází, podle známých útoků, které se provádějí Známé útoky – Network sniffing, spoofing, , trojan atack, SQL injection, Cross-site scripting, … Dohoda o provedení PT – výběr testera, stanovení rozsahu, doby a způsobu Výběr je kritické rozhodnutí – penetrační tým dostane veškeré info o IS atd., nemusí se povést, může nechtěně spustit další události... Nikdy ho neprovádí vlastní IT tým Stanovení rozsahu – určení cílů a hranic, jednorázový/opakovaný test, kdy se ukončí apod. IDS/IPS – bezpečnostní mechanismy preventivní a detekční – detekce pokusu, nebo průniku
