Az informatikai hálózati infrastruktúra biztonsági kockázatai és kontrolljai

Átírás

1 Az informatikai hálózati infrastruktúra biztonsági kockázatai és kontrolljai Készítő: MTA SZTAKI Státusz: Első mérföldkő lezárása; nyilvános! Utolsó mentés: :03 IHM MTA-SZTAKI, A tanulmány elkészítésében és belső lektorálásában részt vettek: Bencsáth Boldizsár, Bogár Attila, Erdélyi Bálint Károly, Juhász Miklós, Horváth Tamás, Kincses Zoli, Kún László, Martos Balázs, Mátó Péter, Orvos Péter, Papp Pál, Pásztor Miklós, Pásztor Szilárd, Rigó Ernő, Szappanos Gábor, Tiszai Tamás, Tóth Beatrix, Tuzson Tibor, Vid Gábor Külső szakmai lektor: Kadlecsik József MTAsec_w1 1/517 MTAsec_w1 2/517

2 Tartalomjegyzék Tartalomjegyzék...3 Ábrajegyzék...9 Táblázatjegyzék Bevezető A tanulmány felépítése Szerzői jogi nyilatkozatok IHIB kockázatainak ismertetése A kockázatelemzés általános alapjai Informatikai biztonsági kockázatok IHIB kockázatai Fenyegetettségek Biztonsági rések Kockázatok felmérése audit Katasztrófaterv Összefoglalás Támadási módok, gyengeségek, felelősségek Hamis megszemélyesítés és jogosultság szerzés Hitelesítő információk megszerzése Hoszt azonosítók hamisítása Belépés kapcsolatba Szolgáltatásbénító támadások Közvetlen és elosztott szolgáltatásbénító támadások A szolgáltatásbénító támadások hatása Támadási módszerek Hoszt számítógép gyengeségeit kihasználó támadások Nyitott portok és sebezhetőségek feltérképezése Kártékony programok Kártékony programok bejuttatása -en keresztül Támadás a levelező szerveren keresztül Támadás puffertúlcsordulás kihasználásával Támadás webszerver programok felhasználásával Támadás a Web-böngészőn keresztül Hálózati elemek gyengeségeit kihasználó támadások Áthallásos hálózat lehallgatása ARP tábla megmérgezése Forrás vezérelt útválasztás Kapcsolat eltérítése Hosztok közötti bizalmi viszony kihasználása Útválasztók (router) elleni támadások Útválasztó (routing) protokollok gyengeségeit kihasználó támadások Virtuális magánhálózatok gyengeségeit kihasználó támadások Titkosítás nélküli kommunikációs protokoll gyengeségét kihasználó támadások Tikosított kommunikációs protokoll gyengeségét kihasználó támadások Hitelesítési eljárások támadásai Emberi láncszem gyengeségei Rendszergazdai felelősségek Az adminisztrátor napi, rendszeres biztonsági feladatai Középtávú feladatok Biztonsági listák Frissítések és javítások támadásai Frissítések és támadásuk Javítások és támadásuk Védekezések támadásai A támadó szemszögéből Bevezetés Alapfogalmak A Web feltörés módszerei Az infrastruktúra meghatározása A Web-szerver meghatározása A Web-szerver feltörése IIS 5 betörési bemutató Az alkalmazás feltérképezése Az autentikáció kijátszása Az autorizáció kijátszása A mézesmadzag rendszerek Biztonsági védekezés és az adatgyűjtés Gyári és házi megoldások Csapda szerepe a hálózati infrastruktúrában Csapda rendszer specifikálása A csapda biztonsági kockázatai Csapdák a drótnélküli hálózat területén Disztributív védekezés Egy mintarendszer, a Honeyd Védekezések összefoglalása Forgalomszűrés: spamek Spamről általában A spam szűrők működése Bayes szűrők A felismerés hatásfokának javítása Feature filtering (jellemzők szűrése) Spamekben használt trükkök Forgalomszűrés: vírusok Alapfogalmak A vírusok típusai A vírushelyzet a felmérések tükrében Vírusok elnevezése Makróvírusok en terjedő vírusok Hálózati megosztásokon terjedő vírusok Szerver alkalmazások hibáit kihasználó férgek Trójai programok A vírusvédelmek Kihívások a vírusszakma felé Teendők a hatékony vírusvédelem érdekében Információforrások Autentikáció és autorizáció Autentikáció Autorizáció Tűzfalak Csomagszűrő tűzfalak Circuit-level vagy SOCKS tűzfalak MTAsec_w1 3/517 MTAsec_w1 4/517

3 4.4.3 Alkalmazásszintű vagy proxy tűzfal Dinamikus csomagszűrő tűzfal Kernel proxy/moduláris proxy Behatolás-érzékelők IDS-ek osztályozása Hálózat- és hoszt-alapú IDS-ek, összehasonlításuk Az IDS-eknél alkalmazott technikák Két népszerű IDS bemutatása (Snort és a Tripwire) Ellenőrzések, pásztázások Honnan ered és hogyan működik? Történet és fejlődés Mi ellen véd? Kockázatcsökkenés módja Melyiket a sok közül? Bemutatások, főbb típusok előnyei és hátrányai Bővebb információ? Ingyenes termékek, levelezési listák, egyebek Adat és kommunikációs kapcsolat titkosítása Honnan ered és hogyan működik? Történet és fejlődés Mi ellen véd? Kockázatcsökkenés módja Melyiket a sok közül? Bemutatások, főbb típusok előnyei és hátrányai A titkosítás alapvető feladatai A megfelelő védelmi stratégia kialakítása Támadások típusai A főbb titkosítási módszerek Titkosítás az Interneten Bővebb információ? Ingyenes termékek, levelezési listák, egyebek Digitális aláírás és kapcsolódó területek Bevezető fogalmak Az elektronikus aláírás Az elektronikus aláírás létrehozása és ellenőrzése A vak és céges aláírások Elektronikus aláírás algoritmusok biztonsági kérdései Nyilvános kulcs hitelesítése Elektronikus aláírással kapcsolatos törvényhozás és szabványosítás Elektronikus aláírással kapcsolatos néhány konkrét szabvány Elektronikus Aláírás Termék Tanúsítás Következtetések Biztonságos szoftverfutási környezet (TCB) A biztonságos szoftverfutási környezet jelentősége Tipikus programozási hibák A futási környezet biztonsági kockázatai A biztonságos futási környezet védelmi erejének növelése Az operációs rendszer és a programok beszerzése A rendszermag biztonsága A futási környezet leválasztása Biztonságos binárisok és függvénykönyvtárak Az üzemeltetés felelőssége Operációs rendszerek hálózati szerverként További információforrások, ajánlott irodalom A WWW (web) biztonsági kérdése A Web lényege Általánosan használt fogalmak A Web kommunikáció résztvevői Bizalmas adatok védelme A támadó tájékozódásának megnehezítése Virtuális webszerverek A felhasználók azonosítása statikus adatok esetén A szerver megbénítása Dinamikus oldalak Az oldalak lecserélése (deface) A kereső rendszerek veszélyei Speciális webszerverek Kliens oldali biztonsági kérdések A Web-biztonság és a tűzfalak A majdnem tökéletes kliens biztonság A majdnem tökéletes szerver biztonság További információforrások, ajánlott irodalom Adminisztráció British Standard, Information Security Management System (ISO17799) Control Objectives for Information and related Technology (COBIT) Common Criteria (ISO15408) Egyebek Tokenek, intelligens kártyák, jelszó-generátorok Hálózati architektúra megválasztása Bevezetés órás felügyelt működés Gerincvonalak védett elhelyezése Az optikai hálózat tervezésének legfontosabb szempontjai Energiaellátás Érintésvédelem Tranziens, túlfeszültség- és villamos zavarás elleni védelem Tűzvédelem Üzemeltethetőség Informatikai célú helyiségek elhelyezése Aktív hálózati eszközök Példa egy hálózat megtervezésére Informatikai biztonsági események és kontrollok Kontroll lehetőségek osztályozása Megelőző kontrollok Észlelő kontrollok Javító kontrollok Példák Összefoglalás Események és kontrollok rendszerbefoglalása Vezetőség hibái és kontrolljai Hamis megszemélyesítés, jogosultságszerzés és kontrolljai Szolgáltatásbénító támadások Hoszt számítógép gyengeségei Hálózati elemek gyengeségei Emberi láncszem gyengeségei Rendszergazdai felelősségek Katasztrófaterv Várható kockázatok és kezelésük A támadási célok és kimenetelek kockázatai Szemléltető módszer a kockázatelemzéshez Kockázatok egyes speciális alkalmazási területeken Hivatal, közszolgálat, információszolgálat MTAsec_w1 5/517 MTAsec_w1 6/517

4 6.3.1 A közszolgálati elektronikus ügyintézéssel kapcsolatos elvárások A közszolgálati információ-szolgáltatás informatikája Informatikai biztonsági háttér Információ-szolgáltatás biztonsági veszélyei és megoldásai Legfontosabb informatikai alkalmazások, és azok alapfenyegetettségei Az informatikai rendszerek védelmének kidolgozási szempontjai Biztonsági intézkedések Működő információ szolgáltatások biztonsági feltérképezése Szabványok, ajánlások Felhasznált és ajánlott irodalom Elektronikus fizetések különböző hálózati csatornákon Az ideális fizető-rendszer Megoldandó problémák Módszerek Megvalósított fizetőrendszerek Elektronikus kereskedelem szabványosítása Jelenleg használt fizetési módszerek Felhasználási lehetőségek Hazai információforrások: A távmunka hálózati biztonsági kockázatai A távmunka fogalma Alapvető infrastrukturális követelmények A hazai és a nemzetközi helyzet A társadalom és a piac elvárásai a távmunkával szemben A távmunka által felvetett hálózati biztonsági veszélyforrások Javaslatok a veszélyforrások kockázatainak csökkentésére Összefoglalás Záró összefoglalás Szószedet és rövidítések magyarázata Irodalomjegyzék Függelék A Más elemzések Informatikai biztonság az internetes támadások tükrében Más jelentősebb elemzések B Tanulságos történetek, iskolapéldák Egyszerhasználatos jelszavak Személyes ráhatás I Személyes ráhatás II. (Kevin Mitnick sztori) Túlterheléses támadás Téves bizalom Hierarchia vs. szükséges és elégséges Feltört rendszer, újrahúzás A fizika befolyása A fizikai elhelyezés befolyása Mentés és archiválás ára és haszna Mentés visszakényszerítése Átjáróház más cél eléréséhez Nyilvános hálózatok felderítése Karácsony este, speciális napok Hazai bankkártyás helyzetkép C Konkrét adatok megtörtént esetekről Féregtámadás SPAM levelek tömeges kibocsátása I SPAM levelek tömeges kibocsátása II Illegális.exe fájl futása Sasser, avagy a frissítések hanyagolása Vakriasztás, egy példa a sok közül Röviden a hazai deface támadásokról A deface fogalma és tartalma Törvényi rendelkezések Kronológia ( ) Hazai csapatok szerkezeti felépítése Nevezetesebb esetek esettanulmányai Statisztikák és a motiváció kvizsgálata Motivációk vizsgálata Következtetések MTAsec_w1 7/517 MTAsec_w1 8/517

5 Ábrajegyzék Ábra 1. Biztonsági kockázat kifejezése három dimenzióban...15 Ábra 2. A COBIT rendszer felépítése...20 Ábra 3. Kockázat-kezelési mátrix...22 Ábra 4. Kliens-szerver TCP/IP kommunikáció...38 Ábra 5. A NetBus kliens...49 Ábra 6. Egy tipikus számítógépes hálózat támadása...51 Ábra 7. Álcázott levél kinézete...57 Ábra 8. Vírusok eloszlása (2002 december)...59 Ábra 9. A csapda elhelyezkedése a vállalati hálózatban Ábra 10. Vizsgálati környezet kialakítás virtuális géppel Ábra 11. Spamet tartalmazó levelek számának alakulása (2003. március február) Ábra 12. Spamet tartalmazó levelek hányadának alakulása (2003. március február) Ábra 13. Spamek eloszlása kategóriánként a Brightmail adatai alapján Ábra 14. Spam szűrő felépítése Ábra 15. A vírusincidensek típus szerinti eloszlása Ábra 16. Vírustípusok relatív gyakorisága Ábra 17. A vírust tartalmazó üzenetek arányának változása Ábra PC-re jutó havi vírusincidensek Ábra 19. Behatolási útvonalak Ábra 20. Vírusok behatolási pontjai Ábra 21. Vírus nevének felépítése Ábra 22. Makróvírusok százalékos aránya Ábra 23. Vírusfertőzési ráta Ábra 24. Portokat ért támadások eloszlása kontinensek szerint Ábra 25. A Hungarian.482 vírus egy jellemző részlete Ábra 26. BIOS figyelmeztetés Ábra 27. Az MSDOS-hoz mellékelt integritásellenőrző Ábra 28. Tűzfalak fejlődése Ábra 29. Egy tűzfalas megoldás: két DMZ + intranet Ábra 30. A Socks működése Ábra 31. Proxy szerver helye és működése a rendszerben Ábra 32. A Snort egységei Ábra 33. Az ACID által készített összesítés Ábra 34. SnortSnarf által készített HTML formátumú statisztikai összesítés Ábra 35. A különböző földrészekről egy hét alatt beérkező incidensek száma (2004) Ábra 36. A Tripwire működésének vázlata Ábra 37. A Tripwire vizsgákat eredménye: sértetlen rendszer Ábra 38. A Tripwire vizsgálat jelzi egy objektum hosszának változását Ábra 39. Elektronikus aláírás létrehozásának (felső) és ellenőrzésének (alsó) elve Ábra 40. Vak aláírás Ábra 41. Nyilvános kulcs tanúsítvány létrehozása (felső) és ellenőrzése (alsó) Ábra 42. EU elektronikus aláírás szabványosítási folyamat Ábra 43. Elektronikus aláírás létrehozása (felső) és jellemzői (alsó) a CWA14170 szerint Ábra 44. Aláírás létrehozó Eszköz a CWA szerint Ábra 45. Hierarchikus elektronikus aláírás termék tanúsítási folyamata Ábra 46. Chroot-olt környezet Ábra 47. Tipikus webszerver hálózati topológia Ábra 48. DoS és DDoS támadás Ábra 49. Dinamikus Webszerver-rendszer felépítése Ábra 50. Lépések átugrása egy session alatt Ábra 51. VLAN helyes elrendezés általános és összetett helyzet Ábra 52. A COBIT felépítése Ábra 53. Biztonsági koncepció és kapcsolatok, összefüggések (angolul) Ábra 54. Intelligens kártya és SIM kártya méretei Ábra 55. Java Gyűrű alapú ibutton és a hozzávaló dupla olvasóegység Ábra 56. Soros vagy párhuzamos és USB portra köthető kártyaolvasók Ábra 57. One Time Password token, kártyával kombinált csúcsmodell és mobil megvalósítás Ábra 58. Kisméretű, néhány gépből álló irodai hálózat Ábra 59. Egy épület strukturált kábelezésének elemei Ábra 60. VLAN-ok kialakítása és trunk-ölése három switch-ben Ábra 61. Egyszerű irodai hálózat, 15 számítógéppel, szerverrel, tűzfallal, VLAN-okkal Ábra db LAN (vagy VLAN) összekapcsolása látható 4 routerrel Ábra 63. Kémeszközök a lehallgatásra Ábra 64. Az egyik megváltoztatott oldal kinézete Ábra 65. Deface támadást végzők motivációs eloszlása MTAsec_w1 9/517 MTAsec_w1 10/517

6 Táblázatjegyzék Táblázat 1. Vírusterjedés százalékos eloszlása (2002. december)...58 Táblázat 2. HTTP autentikációk Táblázat 3. Nem HTTP-alapú autentikációs protokollok Táblázat 4. Fontos könyvtárstruktúrák egyes rendszerekben Táblázat 5. Spam tokenek valószínűsége spam/nem spam levél esetén Táblázat 6. A különböző szűrőkhöz tartozó tipikus %-os értékek Táblázat 7. Vírus behatolási útvonalak Táblázat 8. A leggyakoribb vírus elnevezések Táblázat 9. Vírusnév-mezők jelentése Táblázat 10. Makrók és végrehajtódásuk feltétele Táblázat 11. Féreg élcsoport statisztika (2004. január) Táblázat 12. Vírusok terjedési sebessége Táblázat 13. IDS hivatkozások felépítése Táblázat 14. A switch és a hub közti legfontosabb különbségek Táblázat 15. Részhálózatok IP címeinek kiosztása Táblázat 16. A részhálózatok közötti protokollok Táblázat 17. A szükséges rendezőpontok száma Táblázat 18. Példák jó és rossz kontrollokra Táblázat 19. PreDeCo - CIA (MÉJ - BSR) táblázat-minta kitöltése Táblázat 20. Vezetőség hibái Táblázat 21. Hamis megszemélyesítés, jogosultságszerzés Táblázat 22. Szolgáltatásbénító támadások Táblázat 23. Hoszt számítógép gyengeségei Táblázat 24. Hálózati elemek gyengeségei Táblázat 25. Emberi láncszem gyengeségei Táblázat 26. Rendszergazdai felelősségek Táblázat 27. Kockázatelemzési mátrix Táblázat 28. Támadók gyakori típusai Táblázat 29. Nevesebb elektronikus fizetések összehasonlítása Táblázat 30. A távmunka előnyei és hátrányai Táblázat 31. Távmunka hazai és nemzetközi megítélése Táblázat 32. A különböző alkalmazási környezetek igényeinek kockázatai Táblázat 33. Veszélyforrások összefoglaló táblázata Táblázat 34. Bekövetkezés valószínűségének jelölése Táblázat 35. Az okozott károk nagyságának jelölése Táblázat 36. Kockázatok jelölése Táblázat 37. A kockázat kiszámítására használt szorzótábla Táblázat 38. Veszélyforrások és a hozzájuk kapcsolódó kockázatok Táblázat 39. Deface támadást szenvedett gépek operációs rendszerének eloszlása Táblázat 40. A feltört nemzetközi oldalak hovatartozásának aránya Szerzői jogi nyilatkozatok A szerzői jogról szóló törvényi szabályok [Szerzői_jog] szellemében kell a tanulmánnyal eljárni mind a készítőkre, az átvevőkre és az olvasókra vonatkozóan. Hasonló módon az Adatvédelmi törvény [AVT] ide vonatkozó paragrafusait is alkalmazni kell. A szerzők nem vállalnak semmilyen felelősséget az anyagok téves felhasználásából, részben kiragadott vagy jogszerűtlen felhasználásából eredő károkért, és az általuk készített anyagokkal kapcsolatban is csak azt tudják vállalni, hogy legjobb szakmai tudásuk szerint állították össze azokat. A tanulmány számos olyan linket (kapcsolódási pontot) tartalmaz, amelyek az Internet más és más oldalaira vezetnek. Ezen oldalak tartalmáért és szolgáltatóik adat-, valamint információvédelmi gyakorlatáért a szerzők nem vállalnak felelősséget. A tanulmányban említett konkrét rendszerek a védjegyet birtokló cég tulajdonában vannak, a példák csak az adott témakör szemléltetésére szolgálnak, azokból általános következtetéseket nem érdemes levonni. A mellékelt CD csak egy példányban készült a tanulmányban használt fontosabb hivatkozások archiválására. A CD nem másolható, és tartalma nem tehető nyilvánossá, csak a tanulmányt olvasó használhatja segítségként, amennyiben az anyagban előforduló fontosabb hivatkozások nem lennének elérhetők a megadott címen, vagy nincs Internet-kapcsolata. MTAsec_w1 11/517 MTAsec_w1 13/517