przepisał: Aleksander Śmierciak

Bezpieczeństwo systemów informatycznych

Wykład

26 marca 2012

Zakres problematyki

Podstawy bezpieczeństwa komputerów

•

systemy operacyjne

•

konta i ich struktura,

•

hasła,

•

administrator systemu,

•

poufność danych,

•

użytkownicy i grupy,

•

ochrona kont,

•

niebezpieczne konta,

•

systemy szyfrowania haseł,

•

systemy plików,

•

używanie uprawnień do plików i katalogów,

•

pliki urządzeń,

•

strategie archiwizacji,

•

sporządzanie kopii plików systemowych,

•

programy archiwizujące.

Sieci komputerowe

•

protokół TCP/IP,

•

cechy poszczególnych protokołów,

•

identyfikowanie zasobów sieci,

•

fizyczna infrastruktura sieci,

•

granice podsieci,

•

kontrola dostępu logicznego

Rejestrowanie zdarzeń i audyt bezpieczeństwa

•

Strategie zabezpieczeń,

•

planowanie potrze związanych z
bezpieczeństwem,

•

ocena ryzyka,

•

wartość zasobów,

•

analiza kosztów i zysków,

•

podstawowe pliki rejestrów,

•

śledzenie poszczególnych użytkowników w
systemie plików,

•

narzędzia rejestrowania zdarzeń w
systemie,

•

narzędzia monitorowania plików rejestrów,

•

zarządzanie plikami rejestrów,

•

bezpieczeństwo fizyczne komputerów,

•

ochrona sprzętu komputerowego,

•

ochrona danych,

•

prewencja,

•

wykrywanie zmian

1

przepisał: Aleksander Śmierciak

Zakres problematyki

Rodzaje ataków i oprogramowanie szkodliwe

•

ataki destrukcyjne,

•

bomby pocztowe,

•

ataki typu DoS,

•

ataki przez przeciążenie,

•

ataki przeciw sprzętowym elementom sieci,

•

wirusy,

•

robaki

•

ataki zdalne,

•

poziomy ataków,

•

atak przez podszywanie,

•

ataki przez Telnet,

•

programy skanujące,

•

programy łamiące hasła,

•

konie trojańskie,

•

programy do analizy ruchu sieciowego,

•

steganografia (ukrywanie danych w innych
danych)

Zapory sieciowe i detekcja włamań

•

typy zapór sieciowych,

•

zapory sieciowe na poziomie nagłówka
pakietu,

•

zapory sieciowe z kontrolą kontekstową,

•

polityka zabezpieczeń,

•

reguły dostępu di zasobów,

•

wrappery i serwery proxy,

•

systemy wykrywania i analizy włamań IDS,

•

wykrycie włamania,

•

szukanie luki w systemie bezpieczeństwa,

•

przywracanie zwykłej pracy systemu,

•

kontrola zniszczeń

Podstawy kryptografii

•

infrastruktura i integralność danych,

•

szyfrowanie symetryczne i asymetryczne,

•

algorytmy kryptograficzne,

•

skróty wiadomości i podpisy cyfrowy,

•

uwierzytelnianie i autoryzacja,

•

tworzenie i dystrybucja kluczy publicznych,

•

modele zaufania

Technologie bezpieczeństwa Internetowego

•

technologie i protokoły uwierzytelnienia,

•

protokoły bezpieczeństwa warstw aplikacji, transportu i sieci,

•

bezpieczeństwo wirtualnych prywatnych połączeń omutowanych,

•

protokoły L2F, PPTP i L2TP,

•

wirtualne sieci prywatne VPN,

•

infrastruktura klucza publicznego i modele dystrybucji PKI,

•

certyfikaty,

•

podpis elektroniczny i cyfrowy,

•

cyfrowe znaki wodne

[…]

2

przepisał: Aleksander Śmierciak

Literatura

1. Garfinkel, Simson, „Bezpieczeństwo w Unixie i Internecie”, wydawnictwo RM, Warszawa

1997

2. Stawowski Mariusz, „Ochrona informacji w sieciach komputerowych”, wydawnictwo ArsKom,

Warszawa 1998

3. Birkholz, Erik, „Bezpieczeństwo komputerów i sieci Microsoft, UNIX, Oracle”, wydawnictwo

Translator, 2003

4. Strebe Matthew, „Podstawy bezpieczeństwa sieci”, Mikom, 2005

Zarządzanie bezpieczeństwem systemów informatycznych

Zarządzanie bezpieczeństwem systemów informatycznych to proces stosowany w celu

osiągnięcia i utrzymania odpowiedniego poziomu poufności, integralności, dostępności, rozliczalności
i niezawodności systemów informatycznych.

Definicje podstawowe

Poufność (confidentiality): właściwość zapewniająca, że informacja nie jest udostępniania lub

ujawniana nieautoryzowanym osobom, podmiotom lub procesom.

Integralność systemu (system integrity): właściwość polegająca na tym, że system realizuje swoją

zamierzoną funkcję w nienaruszony sposób, wolny od nieautoryzowanej manipulacji, celowej lub
przypadkowej

Integralność danych (data integrity): właściwość zapewniająca, że dane nie został← zmienione lub

zniszczone w sposób nieautoryzowany.

Definicje podstawowe

Dostępność (availability): właściwość bycia dostępnym i możliwym do wykorzystania na żądanie,

w założonym czasie, przez autoryzowany podmiot

Rozliczalność (accountability): właściwość zapewniająca, że działania podmiotu mogą być

przypisane w sposób jednoznaczny tylko temu podmiotowi.

Autentyczność (authenticity): właściwość zapewniająca, że tożsamość podmiotu lub zasobu jest

taka, jak deklarowana. Autentyczność dotyczy takich podmiotów jak: użytkownicy, procesy, systemy
i informacja.

Niezawodność (reliability): właściwość oznaczająca spójne, zamierzone zachowanie i skutki.

3

przepisał: Aleksander Śmierciak

Elementy bezpieczeństwa systemów informatycznych –

wzajemne relacje

Pojęcia i stosowane definicje

Zasoby (assets): wszystko, co ma wartość dla instytucji.
Prawidłowe zarządzanie zasobami jest niezbędne do osiągnięcia celu działania instytucji i jest ono

głównym obowiązkiem osób odpowiedzialnych za kierowanie instytucją na wszystkich poziomach.
Zasoby instytucji to między innymi:

•

zasoby fizyczne (na przykład sprzęt komputerowy, urządzenia komunikacyjne, budynki),

•

informacje/dane (na przykład dokumenty, bazy danych),

•

oprogramowanie, zdolności produkowania lub świadczenia usług,

•

ludzie,

•

dobra niematerialne (na przykład reputacja, wizerunek).

Większość lub wszystkie te zasoby można uważać za wartościowe na tyle, aby zagwarantować

pewien stopień ochrony. Jeśli zasoby nie są chronione, niezbędne jest określenie ryzyka
akceptowalnego.

4

zagrożenia

podatności

zabezpieczenia

ryzyka

zasoby

wymagania w zakresie

ochrony

wartości

(stąd potencjalne

następstwa dla

działania instytucji)

mają

narażają

realizowane przez

chronią przed

wykorzystują

zmniejszają

zwiększają

zwiększają

analiza wskazuje

zwiększają

przepisał: Aleksander Śmierciak

Pojęcia i stosowane definicje

Zagrożenie (threat): potencjalna przyczyna niepożądanego incydentu, którego skutkiem może być

szkoda dla systemu lub instytucji.

Szkoda ta może powstać jako skutek bezpośredniego lub pośredniego ataku na informację

przetwarzaną przez system lub usługę informatyczną, na przykład uszkodzenie, ujawnienie,
modyfikację, utratę informacji lub jej dostępności. Aby wyrządzić szkodę tym zasobom zagrożenie
powinno wykorzystać istniejącą podatność tych zasobów.

Zagrożenia mogą mieć pochodzenie naturalne lub ludzkie i mogą być przypadkowe lub rozmyślne.

Pojęcia i stosowane definicje

Podatność (vulnerability): słabość zasobu lub grupy zasobów, która może być wykorzystana przez

zagrożenie.

Ryzyko (risk): prawdopodobieństwo określające możliwość wykorzystania określonej podatności

przez dane zagrożenie w celu spowodowania straty lub zniszczenia zasobu lub grupy zasobów, a przez
to negatywnego bezpośredniego lub pośredniego wpłynięcia na instytucję.

Scenariusz ryzyka opisuje w jaki sposób dane zagrożenie lub grupa zagrożeń może wykorzystać

konkretną podatność lub grupę podatności

Pojęcia i stosowane definicje

Zabezpieczenie (safeguard): praktyka, procedura lub mechanizm redukujący ryzyko.
Zabezpieczenie to praktyki, procedury lub mechanizmy, które mogą chronić przed zagrożeniem,

redukować podatność, ograniczać następstwa, wykrywać niepożądane incydenty i ułatwiać
odtwarzanie.

Efektywna ochrona wymaga zwykle kombinacji różnych zabezpieczeń w celu utworzenia warstw

ochronnych dla zasobów. Na przykład mechanizmy kontroli dostępu stosowane dla komputerów
powinny być wspomagane przez narzędzia audytu, procedury postępowania dla personelu, szkolenia
i zabezpieczenia fizyczne.

5

przepisał: Aleksander Śmierciak

Proces zarządzania ryzykiem

6

granice systemów

ocena ryzyka

wybór zabezpieczeń

polityka bezpieczeństwa

planowanie zabezpieczeń

end

start

Identyfikacja zasobów

Analiza ryzyka

wycena zasobów,

określenie zależności

między nimi

ocena zagrożeń

ocena podatności

identyfikacja istniejących

i planowanych zabezpieczeń

czy

zaakceptować

ryzyko?

nie do zaakceptowania

identyfikacja

i przeglądy

ograniczeń

przepisał: Aleksander Śmierciak

Zarządzanie ryzykiem (risk management): całkowity proces identyfikacji, kontrolowania i

eliminacji lub minimalizowania prawdopodobieństwa zaistnienia niepewnych zdarzeń, które mogą
mieć wpływ na zasoby systemu inf

Analiza ryzyka (risk analysis): proces identyfikacji ryzyka, określania jego wielkości

i identyfikowania obszarów wymagających zabezpieczeń.

Ryzyko szczątkowe (residual risk): ryzyko, które pozostaje po wprowadzeniu zabezpieczeń.

Analiza ryzyka

Analiza ryzyka identyfikuje ryzyko, które ma być kontrolowane lub zaakceptowane.
W kontekście bezpieczeństwa systemów informatycznych, analiza ryzyka dla systemów

informatycznych składa się z analizy wartości zasobów, zagrożeń i podatności.

Ryzyko określane jest poprzez potencjalne następstwa spowodowane naruszeniem poufności,

integralności, dostępności, rozliczalności, autentyczności i niezawodności.

Wynikiem analizy ryzyka jest określenie prawdopodobnego ryzyka dla zasobów.

Ryzyko szczątkowe

Ryzyko jest zwykle redukowane jedynie częściowo przez zabezpieczenia.
Częściowa redukcja jest najczęściej wszystkim, co można osiągnąć a im więcej chce się osiągnąć,

tym większe są też koszty. Oznacza to, że zwykle istnieje ryzyko szczątkowe.

Elementem podejmowania decyzji o adekwatności zabezpieczeń do potrzeb instytucji jest akceptacja

ryzyka.

Monitorowanie

Używanie zabezpieczeń powinno być monitorowane w celu zapewnienia ich prawidłowego

działania, upewnienia się, czy zmiany w środowisku nie wpłynęły na efektywność działania
zabezpieczeń oraz czy zapewniona jest rozliczalność.

Automatyczne narzędzia do przeglądania i analizy dzienników działań są pomocne w zapewnieniu

zamierzonej skuteczności działania zabezpieczeń.

Narzędzia te mogą także być użyte do wykrywania niepożądanych zdarzeń, a ich użycie ma efekt

odstraszający.

7

przepisał: Aleksander Śmierciak

Planowanie awaryjne i odtwarzanie po katastrofie

Plany awaryjne zawierają informacje o tym, jak prowadzić działalność, gdy procesy

ją wspomagające (w tym systemy informatyczne) są osłabione lub niedostępne.

W planach tych powinny być opisywane wszystkie możliwe składniki różnych scenariuszy sytuacji

awaryjnych, w tym:

•

różne okresy trwania awarii,

•

utrata różnych rodzajów funkcji,

•

całkowita utrata fizycznego dostępu do budynków instytucji,

•

potrzeba powrotu do stanu, który istniałby, gdyby przerwa w działaniu nie nastąpiła.

Cele strategie i polityki bezpieczeństwa

Cele, strategie i polityki bezpieczeństwa instytucji powinny być opracowane hierarchicznie od

poziomu instytucji do poziomu eksploatacyjnego. Powinny odzwierciedlać potrzeby instytucji i
uwzględniać wszelkie występujące w instytucji ograniczenia.

Bezpieczeństwo wchodzi w skład odpowiedzialności na każdym poziomie kierowniczym instytucji i

w każdej fazie cyklu życia systemów.

Cele, strategie i polityki powinny być utrzymywane i aktualizowane w oparciu o wyniki cyklicznych

przeglądów bezpieczeństwa (na przykład analizy ryzyka, audytów bezpieczeństwa) oraz zmian w
celach działania instytucji.

Pojęcia i stosowane definicje

Bezpieczeństwo systemu informatycznego (IT security): wszystkie aspekty związane z

definiowaniem, osiąganiem i utrzymywaniem poufności, integralności, dostępności, rozliczalności,
autentyczności oraz niezawodności.

Polityka bezpieczeństwa instytucji w zakresie systemów informatycznych (IT security policy):

zasady, zarządzenia i procedury, które określają jak zasoby – włącznie z informacjami wrażliwymi - są
zarządzane, chronione i dystrybuowane w instytucji i jej systemach informatycznych.

8

przepisał: Aleksander Śmierciak

Polityka bezpieczeństwa instytucji

Na politykę bezpieczeństwa instytucji składają się podstawowe zasady bezpieczeństwa i wytyczne

dla całej instytucji dot. bezpieczeństwa

Polityka bezpieczeństwa instytucji powinna odzwierciedlać polityki o szerszym zakresie w

instytucji, w tym te, które obejmują prawa jednostki, wymagania prawne i normy.

Polityka bezpieczeństwa systemów informatycznych

Polityka bezpieczeństwa systemów informatycznych powinna odzwierciedlać podstawowe zasady

bezpieczeństwa i zarządzenia wynikające z polityki bezpieczeństwa instytucji oraz ogólne zasady
korzystania z systemów informatycznych w instytucji.

[...]

9

przepisał: Aleksander Śmierciak

Dokumenty polityk bezpieczeństwa w instytucji oraz ich

podporządkowanie hierarchiczne

10

polityka działania instytucji,

wynikająca z jej celów i strategii

(misja instytucji)

polityka

marketingowa

instytucji

polityka

finansowa

instytucji

polityka stosowania

teleinformatyki

w instytucji

polityka bezpieczeństwa instytucji

polityka bezpieczeństwa

systemów teleinformatycznych instytucji

polityka bezpieczeństwa

systemu #A

polityka bezpieczeństwa

systemu #B

polityka bezpieczeństwa

systemu #C

polityka bezpieczeństwa

systemów teleinformatycznych oddziału instytucji

(opcjonalna)

przepisał: Aleksander Śmierciak

Normy w zakresie zarządzania bezpieczeństwem systemów

informatycznych

Polska norma PN-I-02000: zabezpieczenia w systemach informatycznych – Terminologia, PKN,

1998 (dot. polityk bezpieczeństwa systemów i ochrony danych).

Polska norma PN-I-13335-1 (tłumaczenie angielskiej wersji raportu technicznego […]

Raport techniczny ISO/IEC TR 13335

Raport techniczny ISO/IEC TR 13335 składa się z następujących arkuszy pod wsplnym tytułem
Information Technology-Guidelines for the management of IT Security:

[części]

Realizacja usług zapewnienia bezpieczeństwa informacji

Elementy kryptografii i kryptoanalizy

Szyfrowanie i odszyfrowywanie

Szyfrowanie polega na takim przekształceniu wiadomości (tekstu jawnego) by dla osoby trzeciej,

różnej od nadawcy i odbiorcy, stanowiła ona jedynie przypadkowy ciąg znaków, na podstawie którego
nie jest możliwe odtworzenie żadnej użytecznej informacji.

Otrzymany w wyniku szyfrowania ciąg znaków nosi nazwę tekstu zaszyfrowanego (lub inaczej

szyfrogramu).

Procesem odwrotnym do szyfrowania, wykonywanym przez odbiorcę wiadomości jest

odszyfrowywanie, pozwalające na odtworzenie tekstu jawnego.

11

przepisał: Aleksander Śmierciak

System kryptograficzny

Zbiór wszystkich tekstów jawnych (wiadomości), które mogą być zaszyfrowane przy użyciu danego

szyfru to dziedzina przekształceń szyfrujących.

Nowoczesne szyfry zazwyczaj nie wprowadzają żadnych ograniczeń na postać wiadomości

podlegającej szyfrowaniu. Może ją więc stanowić dowolny – sensowny lub bezsensowny – ciąg
znaków.

Klucze systemu kryptograficznego

Klucz kryptograficzny wyznacza odpowiednie przekształcenie szyfrujące i/lub odszyfrowujące.
Klucz szyfru jest [parametrem, którego wartość decyduje o tym, które odwzorowanie ze zbioru

odwzorowań wyznaczonych przez ogólny algorytm szyfrowania, zostanie użyte do zaszyfrowania lub
odszyfrowania danej wiadomości.

Zbiór możliwych do wyboru kluczy powinien być na tyle liczny, by niemożliwe było (w praktyce)

odtworzenie będącego w użyciu klucza metodą sprawdzenia wszystkich możliwości.

System kryptograficzny

W rodzinie przekształceń odszyfrowujących istnieje zazwyczaj tylko jedno przekształcenie odwrotne

do wybranego przekształcenia szyfrującego.

Tylko użycie właściwego klucza po stronie odbiorczej zapewnia odtworzenie zaszyfrowanej

wiadomości.

Współczesne systemy kryptograficzne

Systemy kryptograficzne dzielą się na dwie podstawowe grupy:

1. Systemy symetryczne (klasyczne)

w systemach tych, zwanych również systemami szyfrowania z kluczem tajnym nadawca
i odbiorca posługują się tym samym kluczem, zarówno do szyfrowania jak i do deszyfrowania.

2. Systemy asymetryczne (publicznego klucza)

systemy te, zwane również systemami szyfrowania z kluczem jawnym, posługują się dwoma
oddzielnymi kluczami, przy czym jeden klucz służy do szyfrowania, a drugi do deszyfrowania.
Para takich kluczy jest przypisana każdemu użytkownikowi sieci.

Najczęściej używa się dwóch metod naraz, bo szyfrowanie symetryczne, mimo iż szybkie, bazuje na tym,
że użytkownicy autoryzowani mają dostęp do klucza- a ten klucz najpierw trzeba między nimi
przekazać!

12

przepisał: Aleksander Śmierciak

Trójca AAA

Kerberos – szyfrowanie

Używany jest algorytm szyfrowania symetrycznego (DES w wersji 4, 3DES, RC4 w wersji 5)
Dwie strony konwersacji posiadają tajny klucz znany tylko im (liczba)
Nadawca szyfruje wiadomość kluczem
Odbiorca odszyfrowuje wiadomość tym samym kluczem
Osoby trzecie bez znajomości klucza nie mogą odszyfrować treści.

Powiemy sobie, dlaczego Kerberosa nie stosuje się do autentykacji w zakresie globalnym, np. połączeń
z witrynami przez HTTPS, a zamiast tego stosuje się certyfikaty i szyfrowanie asymetryczne.

Strony konwersacji

Alice i Bob (standardowe imiona używane w rysunkach analitycznych tego typu).
Alice – klient, który chce otrzymać dostęp do jakiejś usługi lub zasobu; inicjuje połączenie
Bob – serwer

Prosty przykład autentykacji

13

A

Authentication via shared key: K

ab

B

I'm Alice

A random challenge, R

K

ab

{R}

przepisał: Aleksander Śmierciak

Autentykacja z pośrednikiem

Zaufana 3. strona pośredniczy w procesie autentykacji.
Tą zaufaną stroną jest KDC (Key Distribution Center), a więc centrum dystrybucji kluczy.
Każda usługa oraz każdy użytkownik posiada unikalny klucz pozwalający na komunikację z KDC.
KDC generuje klucz sesji […]

Kerberos

Generowanie kluczy szyfrujących w ten sposób – przez Kerberos – byłoby zbyt dużym obciążeniem dla
wszystkich połączeń szyfrowanych.

Wykład zostanie dokończony na następnych zajęciach.

14

K

ab

, Bob

A

B

I want to speak to Bob

Ticket

b

=

I'm Alice, Ticket

b

=

KDC

generates

key K

ab

K

ab

, Alice

K

ab

, Alice

Now perform mutual authentication step to prove that both of you know K

ab