Ασφάλεια Π.Σ. Ενότητα Α: Εισαγωγικές Έννοιες http://di.ionio.gr/~emagos/security/lectures.html Ιόνιο Πανεπιστήμιο Τμήμα Πληροφορικής Ακαδημαϊκό Έτος 2010-2011 Εξάμηνο: Η’ Ασφάλεια Π.Σ. Ενότητα Α: Εισαγωγικές Έννοιες Εμμανουήλ Μάγκος 1

Syllabus Λίγα λόγια για το μάθημα Η έννοια της Ασφάλειας Γιατί η Ασφάλεια είναι τόσο σημαντική σήμερα Απειλές-Ευπάθειες-Κίνδυνοι-Μηχανισμοί προστασίας Το γνωστικό αντικείμενο

Α. Προκαταρκτικά Μαθήματος Σελίδα μαθήματος: http://e-class.ionio.gr/courses/DCS169/ … Ο χώρος επικοινωνίας μας

Β. Ασφάλεια – Ορισμοί Security: (Oxford Dictionary) Freedom from danger or anxiety Ασφάλεια: (Μπαμπινιώτης) Η κατάσταση στην οποία … αισθάνεται κανείς ότι δεν απειλείται. Η αποτροπή κινδύνου ή απειλής… 4

Ασφάλεια – Ορισμοί Ασφάλεια (Security) & Ασφάλεια (Safety) Η “ασφάλεια” στα ελληνικά: Ένα σημαίνον για δύο σημαινόμενα 5

Ένας Ορισμός… Το γνωστικό αντικείμενο που ασχολείται με: Την πρόληψη, ανίχνευση και αντιμετώπιση μη εξουσιοδοτημένων πράξεων, οι οποίες γίνονται από χρήστες υπολογιστικών συστημάτων Forester and Morrison (1994) defined a computer crime as: a criminal act in which a computer is used as the principal tool. Η επιστήμη της Ασφάλειας Υπολογιστών σχετίζεται με ένα πλήθος γνωστικών αντικειμένων, θεωριών, και τεχνολογιών που σκοπό έχουν: Την πρόληψη, ανίχνευση και αντιμετώπιση μη εξουσιοδοτημένων πράξεων, οι οποίες γίνονται από χρήστες υπολογιστικών συστημάτων Ο ρόλος του Η/Υ κατά την εκτέλεση των μη εξουσιοδοτημένων πράξεων συνήθως είναι διττός: Α) Αποτελεί βασικό εργαλείο (αλλά όχι πάντα αποκλειστικό) κατά την τέλεση τους Β) Ο ίδιος ο Η/Υ (και συγκεκριμένα τα δεδομένα ή/και οι πληροφορίες που περιέχονται ή δημιουργούνται σε αυτόν) αποτελεί στόχο των πράξεων αυτών Οι μη εξουσιοδοτημένες πράξεις, ανάλογα με τις συνέπειες τους μπορούν να αποτελούν ή όχι ένα Ηλεκτρονικό Έγκλημα (e-crime, computer crime). Οι [FM94] ορίζουν το Ηλεκτρονικό Έγκλημα ως «Μία εγκληματική πράξη κατά την τέλεση της οποίας ο Η/Υ αποτελεί το βασικό εργαλείο» 6

C. Μα, γιατί μιλάμε για την ασφάλεια; Κακόβουλο λογισμικό (botnets, trojans),…. Παράνομη εισβολή σε συστήματα, (Hacking,…), Μη εξουσιοδοτημένη πρόσβαση σε πληροφορία (read, write) Επιθέσεις Άρνησης Εξυπηρέτησης (DOS). Επιθέσεις Πλαστοπροσωπίας (Spoofing / Masquerading), Κλοπή Ταυτότητας (Identity Theft) Υποκλοπές Επικοινωνιών, Πρόσβαση σε προσωπικά δεδομένα Μη ζητηθείσα επικοινωνία (spam), «Ηλ. Ψάρεμα» (Phishing) Παραβίαση δικαιωμάτων πνευματικής ιδιοκτησίας …

Spoofing / Masquerading

Phishing

Phishing -Kοινωνική μηχανική (social engineering)

Μα, γιατί μιλάμε για την ασφάλεια; Cisco 2010 Annual Sec. Report Sel. 10 mule Σελ. 21 Stuxnet

Facebook clickjacking Quarterly Report, Panda Labs, April-June 2010

Tabnapping

Cisco 2010 Annual Sec. Report

Quarterly Report, Panda Labs, April-June 2010

Video time

Cisco 2010 Annual Sec. Report

D. Τι σημαίνει «Ασφαλές Σύστημα»; http://www.ptatechnologies.com/PTA3.htm

Τι σημαίνει «Ασφαλές Σύστημα»; Δρ. Π. Κοτζανικολάου, «Τεχνολογία και Πολιτικές Ασφάλειας», Πανεπιστήμιο Πειραιώς, 2009

Βασικοί όροι στην Ασφάλεια Αγαθό (Asset) Κάθε αντικείμενο ή πόρος το οποίο αξίζει να προστατευθεί. Φυσικά Αγαθά (Physical Assets): Κτίρια, Υπολογιστές, Δικτυακή Υποδομή, Έπιπλα, κτλ Αγαθά Δεδομένων (Data Assets): Αρχεία (ηλεκτρονικά, έντυπα) Αγαθά Λογισμικού (Software Assets): Λογισμικό Εφαρμογών, Λειτουργικά Συστήματα, κτλ

Φόρμα Καταγραφής Αγαθών

Φόρμα Εκτίμησης Άμεσης Αξίας Φυσικών και Λογισμικών Αγαθών

Βασικοί όροι στην Ασφάλεια Συνέπεια (Impact) Η απώλεια που θα προκληθεί από την προσβολή ενός αγαθού Άμεσες Συνέπειες – π.χ. Kόστος επαναγοράς και διαμόρφωσης Έμμεσες Συνέπειες – π.χ. Πρόκληση δυσφήμησης Νομικές συνέπειες Απώλειες από διακοπή ή παρεμπόδιση λειτουργιών

Φόρμα Εκτίμησης Συνεπειών

Βασικοί όροι στην Ασφάλεια Απειλή (Threat) Οποιοδήποτε γεγονός το οποίο προκαλεί αρνητικές συνέπειες (impact) σε κάποιο αγαθό Φυσικές Απειλές: Φωτιά, Σεισμός, Πλημμύρα,… Ανθρώπινες Εσκεμμένες: Κλοπή, Βανδαλισμός, Αλλοίωση, Αποκάλυψη Πληροφορίας Ανθρώπινες Τυχαίες: Κακή χρήση πόρου, πρόκληση ζημιάς, τυχαία αποκάλυψη πληροφορίας κτλ

Απειλές στην Ασφάλεια – 1η Θεώρηση Παθητικές επιθέσεις: τις κάνει η Eve (eavesdrop) Packet sniffing Traffic analysis Αλλά και: Password cracking / breaking a crypto key … Ενεργητικές επιθέσεις: τις κάνει ο Mallory Πλαστοπροσωπία: Masquerading, Spoofing, MIM Επιθέσεις επανάληψης (replay) Επιθέσεις άρνησης εξυπηρέτησης (Denial Of Service – DOS) Επιθέσεις Τροποποίησης (modification)

Απειλές στην Ασφάλεια– 2η Θεώρηση Υποκλοπή (Interception) Διακοπή (Interruption) Αλλοίωση (Modification) Εισαγωγή (Fabrication) Σε χαμηλό επίπεδο, εκτός από τις προηγούμενες γενικές κατατάξεις, οι επιθέσεις στην Ασφάλεια Η/Υ μπορούν να κατηγοριοποιηθούν ανάλογα με το είδος της ζημιάς που επιφέρουν στα αγαθά (πόρους) ενός συστήματος. Έτσι, οι επιθέσεις διακρίνονται [*] σε: [ΣΧΗΜΑ] - Υποκλοπής (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε ένα αγαθό. Οι επιθέσεις αυτές στοχεύουν στην παραβίαση της εμπιστευτικότητας (confidentiality) του συστήματος. - Διακοπή (Interruption) Ένα αγαθό χάνεται, γίνεται μη διαθέσιμο, ή τίθεται εν αχρηστία. Για παράδειγμα, διαγραφή αρχείων, δεδομένων και πληροφοριών, επιθέσεις άρνησης εξυπηρέτησης (DOS attacks). κ.λ.π - Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αποκτά μη εξουσιοδοτημένη πρόσβαση με σκοπό την αλλοίωση-τροποποίηση των περιεχομένων ενός αγαθού (π.χ. αλλαγή των περιεχομένων ενός αρχείου, των εγγραφών (records) σε μία Βάση Δεδομένων, των παραμέτρων μιας συναλλαγής σε εφαρμογές ηλεκτρονικού εμπορίου κ.λ.π) - Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα. Οι επιθέσεις πλαστοπροσωπίας (spoofing) και Ενδιάμεσης Οντότητας (Man in the Middle attacks) αποτελούν υποπεριπτώσεις αυτής της κατηγορίας επιθέσεων. 28

Απειλές στην Ασφάλεια – 2η Θεώρηση Υποκλοπή (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε αγαθό Παραδείγματα Packet sniffing Traffic analysis Shoulder surfing … Σε χαμηλό επίπεδο, εκτός από τις προηγούμενες γενικές κατατάξεις, οι επιθέσεις στην Ασφάλεια Η/Υ μπορούν να κατηγοριοποιηθούν ανάλογα με το είδος της ζημιάς που επιφέρουν στα αγαθά (πόρους) ενός συστήματος. Έτσι, οι επιθέσεις διακρίνονται [*] σε: [ΣΧΗΜΑ] - Υποκλοπής (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε ένα αγαθό. Οι επιθέσεις αυτές στοχεύουν στην παραβίαση της εμπιστευτικότητας (confidentiality) του συστήματος. - Διακοπή (Interruption) Ένα αγαθό χάνεται, γίνεται μη διαθέσιμο, ή τίθεται εν αχρηστία. Για παράδειγμα, διαγραφή αρχείων, δεδομένων και πληροφοριών, επιθέσεις άρνησης εξυπηρέτησης (DOS attacks). κ.λ.π - Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αποκτά μη εξουσιοδοτημένη πρόσβαση με σκοπό την αλλοίωση-τροποποίηση των περιεχομένων ενός αγαθού (π.χ. αλλαγή των περιεχομένων ενός αρχείου, των εγγραφών (records) σε μία Βάση Δεδομένων, των παραμέτρων μιας συναλλαγής σε εφαρμογές ηλεκτρονικού εμπορίου κ.λ.π) - Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα. Οι επιθέσεις πλαστοπροσωπίας (spoofing) και Ενδιάμεσης Οντότητας (Man in the Middle attacks) αποτελούν υποπεριπτώσεις αυτής της κατηγορίας επιθέσεων. 29

Απειλές στην Ασφάλεια – 2η Θεώρηση Διακοπή (Interruption) Ένα αγαθό/υπηρεσία καταστρέφεται, γίνεται μη διαθέσιμο, ή άχρηστο Παραδείγματα Διαγραφή δεδομένων/προγραμμάτων Καταστροφή υλικού Διακοπή επικοινωνίας … Σε χαμηλό επίπεδο, εκτός από τις προηγούμενες γενικές κατατάξεις, οι επιθέσεις στην Ασφάλεια Η/Υ μπορούν να κατηγοριοποιηθούν ανάλογα με το είδος της ζημιάς που επιφέρουν στα αγαθά (πόρους) ενός συστήματος. Έτσι, οι επιθέσεις διακρίνονται [*] σε: [ΣΧΗΜΑ] - Υποκλοπής (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε ένα αγαθό. Οι επιθέσεις αυτές στοχεύουν στην παραβίαση της εμπιστευτικότητας (confidentiality) του συστήματος. - Διακοπή (Interruption) Ένα αγαθό χάνεται, γίνεται μη διαθέσιμο, ή τίθεται εν αχρηστία. Για παράδειγμα, διαγραφή αρχείων, δεδομένων και πληροφοριών, επιθέσεις άρνησης εξυπηρέτησης (DOS attacks). κ.λ.π - Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αποκτά μη εξουσιοδοτημένη πρόσβαση με σκοπό την αλλοίωση-τροποποίηση των περιεχομένων ενός αγαθού (π.χ. αλλαγή των περιεχομένων ενός αρχείου, των εγγραφών (records) σε μία Βάση Δεδομένων, των παραμέτρων μιας συναλλαγής σε εφαρμογές ηλεκτρονικού εμπορίου κ.λ.π) - Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα. Οι επιθέσεις πλαστοπροσωπίας (spoofing) και Ενδιάμεσης Οντότητας (Man in the Middle attacks) αποτελούν υποπεριπτώσεις αυτής της κατηγορίας επιθέσεων. 30

Απειλές στην Ασφάλεια – 2η Θεώρηση Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αλλοιώνει-τροποποιεί ένα αγαθό Παραδείγματα: Τροποποίηση δεδομένων σε αρχείο, Τροποποίηση εγγραφών σε μια ΒΔ Τροποποίηση μηνυμάτων που μεταδίδονται Αλλοίωση του κώδικα προγράμματος Αλλαγή δεδομένων συναλλαγής Σε χαμηλό επίπεδο, εκτός από τις προηγούμενες γενικές κατατάξεις, οι επιθέσεις στην Ασφάλεια Η/Υ μπορούν να κατηγοριοποιηθούν ανάλογα με το είδος της ζημιάς που επιφέρουν στα αγαθά (πόρους) ενός συστήματος. Έτσι, οι επιθέσεις διακρίνονται [*] σε: [ΣΧΗΜΑ] - Υποκλοπής (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε ένα αγαθό. Οι επιθέσεις αυτές στοχεύουν στην παραβίαση της εμπιστευτικότητας (confidentiality) του συστήματος. - Διακοπή (Interruption) Ένα αγαθό χάνεται, γίνεται μη διαθέσιμο, ή τίθεται εν αχρηστία. Για παράδειγμα, διαγραφή αρχείων, δεδομένων και πληροφοριών, επιθέσεις άρνησης εξυπηρέτησης (DOS attacks). κ.λ.π - Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αποκτά μη εξουσιοδοτημένη πρόσβαση με σκοπό την αλλοίωση-τροποποίηση των περιεχομένων ενός αγαθού (π.χ. αλλαγή των περιεχομένων ενός αρχείου, των εγγραφών (records) σε μία Βάση Δεδομένων, των παραμέτρων μιας συναλλαγής σε εφαρμογές ηλεκτρονικού εμπορίου κ.λ.π) - Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα. Οι επιθέσεις πλαστοπροσωπίας (spoofing) και Ενδιάμεσης Οντότητας (Man in the Middle attacks) αποτελούν υποπεριπτώσεις αυτής της κατηγορίας επιθέσεων. 31

Απειλές στην Ασφάλεια – 2η Θεώρηση Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα Παραδείγματα Εισαγωγή πλαστών μηνυμάτων σε επικοινωνία/συναλλαγή Εισαγωγή πλαστών εγγραφών σε ΒΔ Αλλά και: Phishing, Spoofing, Man-in-the-Middle attacks Σε χαμηλό επίπεδο, εκτός από τις προηγούμενες γενικές κατατάξεις, οι επιθέσεις στην Ασφάλεια Η/Υ μπορούν να κατηγοριοποιηθούν ανάλογα με το είδος της ζημιάς που επιφέρουν στα αγαθά (πόρους) ενός συστήματος. Έτσι, οι επιθέσεις διακρίνονται [*] σε: [ΣΧΗΜΑ] - Υποκλοπής (Interception) Μία μη εξουσιοδοτημένη οντότητα αποκτά πρόσβαση σε ένα αγαθό. Οι επιθέσεις αυτές στοχεύουν στην παραβίαση της εμπιστευτικότητας (confidentiality) του συστήματος. - Διακοπή (Interruption) Ένα αγαθό χάνεται, γίνεται μη διαθέσιμο, ή τίθεται εν αχρηστία. Για παράδειγμα, διαγραφή αρχείων, δεδομένων και πληροφοριών, επιθέσεις άρνησης εξυπηρέτησης (DOS attacks). κ.λ.π - Αλλοίωση (Modification) Μία μη εξουσιοδοτημένη οντότητα αποκτά μη εξουσιοδοτημένη πρόσβαση με σκοπό την αλλοίωση-τροποποίηση των περιεχομένων ενός αγαθού (π.χ. αλλαγή των περιεχομένων ενός αρχείου, των εγγραφών (records) σε μία Βάση Δεδομένων, των παραμέτρων μιας συναλλαγής σε εφαρμογές ηλεκτρονικού εμπορίου κ.λ.π) - Εισαγωγή (Fabrication) Ένα (μη αυθεντικό) αντικείμενο εισέρχεται στο σύστημα. Οι επιθέσεις πλαστοπροσωπίας (spoofing) και Ενδιάμεσης Οντότητας (Man in the Middle attacks) αποτελούν υποπεριπτώσεις αυτής της κατηγορίας επιθέσεων. 32

Απειλές στην Ασφάλεια – 3η Θεώρηση Ένας άλλος τρόπος να θεωρήσουμε τις απειλές είναι ως προς την παραβίαση μιας εκ των «πασίγνωστων» στόχων ασφάλειας: Απειλές κατά της Εμπιστευτικότητα π.χ. Interception attacks Απειλές κατά της Ακεραιότητας π.χ. Modification & Fabrication attacks Απειλές κατά της Διαθεσιμότητας π.χ. Interruption attacks

Απειλές στην Ασφάλεια – 4η Θεώρηση Εξωτερικές Απειλές: Χρήστες εκτός Επιχείρησης / Οργανισμού Outsiders: Hackers / Crackers / Vandals / Hacktivists Outsiders: Κοινωνικοί Μηχανικοί (Social Engineers) Εσωτερικές Απειλές: - Χρήστες εντός Επιχείρησης/Οργανισμού Insiders: Παράκαμψη ελέγχου πρόσβασης «εκ των έσω» π.χ. Δυσαρεστημένοι υπάλληλοι, λάθη & απροσεξίες Οι απειλές στην ασφάλεια του συστήματος διακρίνονται σε Εξωτερικές (δηλαδή απειλές που προέρχονται από το εξωτερικό περιβάλλον – π.χ. εκτός του Οργανισμού/Επιχείρησης) και σε Εσωτερικές (δηλαδή απειλές που προέρχονται από το εσωτερικό περιβάλλον – π.χ. εντός του Οργανισμού/Επιχείρησης) Εξωτερικές απειλές. Γεγονότα, καταστάσεις ή οντότητες που δρουν ή εκτυλίσσονται στο εξωτερικό περιβάλλον απειλούν την ασφάλεια του συστήματος. Εξωτερικοί Εισβολείς (outsiders): Hackers / Crackers / Vandals / Hacktivists Πραγματοποίηση Επιθέσεων όπως: (Footprinting – εύρεση στοιχείων για την επιχείρηση όπως μπλοκ IP διευθύνσεων, e-mail διευθύνσεις, τοπολογία δικτύου, ονόματα υπολογιστών, διάρθρωση της επιχείρησης κ.λ.π), scanning & enumerating ((Εύρεση υπηρεσιών, προγραμμάτων εφαρμογών και πρωτοκόλλων που υλοποιούν/εκτελεί ο υπολογιστής-στόχος), hacking (παράκαμψη του μηχανισμού ασφάλειας με σκοπό τη μη εξουσιοδοτημένη πρόσβαση σε κάποιο αγαθό του συστήματος), κ.λ.π Κακόβουλο λογισμικό: Ιοί (Viruses), Σκουλήκια (Worms), Δούρειοι Ίπποι (Trojan Horses), λογισμικό spyware/adware κ.λ.π Κοινωνικοί Μηχανικοί (Social Engineers): Εξωτερικοί χρήστες που εκμεταλλεύονται τον ανθρώπινο παράγοντα για να παρακάμψουν έναν μηχανισμό ασφάλειας και να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο σύστημα Εσωτερικές Απειλές. Δηλαδή, «νόμιμοι» χρήστες του συστήματος οι οποίοι προσπαθούν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε πόρους του συστήματος. Π.χ. Χρήστες της Επιχείρησης/Οργανισμού που παρακάμπτουν τις διαδικασίες ελέγχου για την πρόσβαση σε διαβαθμισμένα δεδομένα/πληροφορίες Π.χ. Χρήστες που αποκτούν πρόσβαση σε λογαριασμούς χρηστών με περισσότερα δικαιώματα σε σχέση με τα δικαιώματα που ήδη έχουν 34

Απειλές στην Ασφάλεια – 5η Θεώρηση Τυχαίες ή Εσκεμμένες Φυσικές π.χ. φωτιά Διακοπή ρεύματος; Οι επιθέσεις που πραγματοποιούνται μπορεί να είναι Τυχαίες (λάθη, αμέλεια, φωτιά, διακοπή ρεύματος..) Εσκεμμένες (hackers, crackers, vandals,..) Ανθρώπινες e.g. Λάθη χρήστη, hackers, Ιοί. Εξοπλισμός π.χ. CPU, Δίκτυο, Σκληρός δίσκος, - Σφάλμα εφαρμογής, - Buffer overflow attacks 35

Ενδεικτικός Πίνακας Απειλών Ενδεικτικός Πίνακας Απειλών Παράδειγμα

Ευπάθειες (Vulnerabilities) Ευπάθεια ή Αδυναμία (Vulnerability) Οποιαδήποτε χαρακτηριστικά κάνουν ευάλωτο ένα αγαθό σε κάποια απειλή, δηλαδή αυξάνουν την πιθανότητα εκδήλωσης της απειλής Π.χ: εάν η πρόσβαση σε ένα απόρρητο αρχείο δεν προστατεύεται, το αρχείο έχει μεγάλη αδυναμία στην απειλή της κλοπής Οτιδήποτε μεγιστοποιεί τις συνέπειες από την εκδήλωση μίας απειλής Π.χ: εάν δεν υπάρχει σύστημα αυτόματης πυρόσβεσης σε ένα χώρο, η συνέπειες από μία πιθανή πυρκαγιά θα είναι πολύ μεγάλες

Φόρμα αντιστοίχησης Απειλών και Αδυναμιών σε Αγαθά Φόρμα αντιστοίχησης Απειλών και Αδυναμιών σε Αγαθά Παράδειγμα

http://csrc.nist.gov/publications/nistpubs/800-12/800-12-html/images/figure5.jpg

Χαρακτηρισμός Επιπέδων Απειλής και Αδυναμίας Παράδειγμα

Φόρμα Εκτίμησης Επιπέδων Απειλών και Αδυναμιών σε Αγαθά Φόρμα Εκτίμησης Επιπέδων Απειλών και Αδυναμιών σε Αγαθά Παράδειγμα

Ανάλυση Κινδύνου (Risk Analysis) Risk = Threat x Vulnerability x Impact (Asset value)

Ανάλυση & Διαχείριση Πληροφοριακού Κινδύνου Ανάλυση Κινδύνου (Risk Analysis) Διαδικασία εντοπισμού των ευάλωτων σημείων ενός Π.Σ. και προσδιορισμού των επιμέρους κινδύνων οι οποίοι σε περίπτωση εκδήλωσης θα είχαν αρνητικές συνέπειες για τον υπό μελέτη οργανισμό. Διαχείριση Κινδύνου (Risk Management) Η διαδικασία αντιμετώπισης των κινδύνων που έχουν εντοπιστεί στην προηγούμενη φάση με την κατάλληλη μέθοδο, με βάση τις αποφάσεις της Διοίκησης ενός οργανισμού. 44

Παράδειγμα πίνακα εκτίμησης κινδύνου Ανάλυση Κινδύνου Παράδειγμα πίνακα εκτίμησης κινδύνου

Πίνακας Υπολογισμού Επιπέδου Κινδύνου

Πίνακας Επεξήγησης Κωδικών Παράδειγμα

Διαχείριση Κινδύνου

Μια θεώρηση από τη σκοπιά των Οικονομικών της Ασφάλειας (Security Economics) Στόχος της ασφάλειας (Infosec goal) Ο σκοπός του ιδιοκτήτη ή χρήστη ενός αγαθού: επιθυμητή ισορροπία μεταξύ του κόστους και της συνέπειας από την επίθεση σε αγαθά Κόστος Μηχανισμών Ασφάλειας << Κόστος Αγαθών Κόστος Επίθεσης >> Ενδεχόμενο Όφελος

Πίνακας Σύνοψης Επιπέδου Κινδύνων Παράδειγμα

Μηχανισμοί Ασφάλειας (Security Controls) 1η Θεώρηση Θα δωθεί έμφαση στην πρόληψη (prevention), ανίχνευση (detection), ή απόκριση (response); Κλείδωσε τα Παρακολούθησε τα Αν κλαπούν ή Αλλοιωθούν, Κάνε κάτι

Μηχανισμοί Ασφάλειας - 1η Θεώρηση Πρόληψη Φυσική ασφάλεια, access control, replication, Firewalls, Κρυπτογράφηση, Ψηφ. Υπογραφή, Προγράμματα antivirus, Ασφαλής Προγραμματισμός, Πολιτική κωδικών ασφάλειας,… Ανίχνευση Συστήματα Ανίχνευσης Εισβολών (IDS), Αρχεία καταγραφής, penetration testing,… Κρίσιμα Ερωτήματα κατά το Σχεδιασμό της Ασφάλειας του Συστήματος D. Θα δoθεί έμφαση στην πρόληψη (prevention), ανίχνευση (detection), ή ανάνηψη (recovery) από παραβίαση ασφάλειας; Οι πλέον σημαντικές πρακτικές στην ασφάλεια Η/Υ επικεντρώνονται σε τρεις κατευθύνσεις: Πρόληψη εισβολής. Τεχνολογίες όπως Έλεγχος πρόσβασης σε επίπεδο Λ.Σ., ταυτοποίηση χρηστών, κρυπτογράφηση, firewalls, ασφάλεια εφαρμογών, συστήματα antivirus, ανιχνευτές ευπαθειών (vulnerability scanners) χρησιμοποιούνται κατά κόρον για να αποτρέψουν κάθε πιθανή εισβολή. Ανίχνευση Εισβολής. Όποια μέτρα πρόληψης και αν υιοθετηθούν, κανένα σύστημα δε μπορεί να είναι 100% ασφαλές. Στο σχεδιασμό ασφάλειας θα πρέπει λοιπόν να ενσωματωθούν πρακτικές οι οποίες έχουν ως στόχο να ανιχνεύσουν μια εισβολή, όταν και εφόσον αυτή συμβεί. Τα συστήματα συναγερμού (alarm systems) αποτελούν το πλέον χαρακτηριστικό παράδειγμα στη φυσική ασφάλεια συστημάτων. Σε επίπεδο εφαρμογών, ενδιαφέρον παρουσιάζουν τα συστήματα Ελέγχου Εισβολής (Intrusion Detection Systems) και τα προγράμματα καταγραφής συμβάντων (monitoring, audit systems). Με τη χρήση των συστημάτων ανίχνευσης, είναι δυνατόν να περιοριστεί (ή ακόμα και να εξαλειφθεί) ένα περιστατικό εισβολής εν τη γενέσει του. Ανάνηψη από Εισβολή. Η θεωρία και η εμπειρία έχουν δείξει ότι η προστασία μεγάλων και πολύπλοκων δεν είναι πάντα εύκολη. Ιδίως όταν τα συστήματα αυτά είναι συνδεδεμένα με άλλα δίκτυα ή/και στο Διαδίκτυο, κανένα μέτρο πρόληψης και ανίχνευσης δε μπορεί να εγγυηθεί πλήρη προστασία. Όταν τόσο η πρόληψη όσο και η ανίχνευση αποτύχουν, το σύστημα θα πρέπει να είναι δυνατόν να ανανήψει. Η βιωσιμότητα (survivability) ενός συστήματος εξασφαλίζεται με τεχνικές όπως: αυτόματη λήψη (ή/και επαναφορά) αντιγράφων ασφαλείας (back-up), εργαλεία αφαίρεσης κακόβουλου λογισμικού, συστήματα πλεονασμού (redundancy) και Ανοχής Λαθών (fault-tolerant systems) όπως συστοιχίες RAID, τεχνικές hot swapping, συστήματα UPS, εφεδρικές γραμμές επικοινωνίας κ.λ.π Απόκριση Back-up, Computer forensics, malware removal, hot sites,… 52

Πρόληψη Ανίχνευση Αντιμετώπιση Κατηγορία Ελέγχου` Πρόληψη Ανίχνευση Αντιμετώπιση Φυσικής πρόσβασης (παραδείγματα) Φράχτες X Προσωπικό Ασφαλείας Χ Έξυπνες Κάρτες (smartcards), Βιομετρία Διαχειριστικός (παραδείγματα) Πολιτικές Ασφάλειας Έλεγχος και Εποπτεία Εκπαίδευση υπαλλήλων Λογικής Πρόσβασης (παραδείγματα) Λίστες Ελέγχου Πρόσβασης (ACLs), MAC, RBAC,… Passwords, CAPTCHAs Λογισμικό Antivirus, Anti-spam, Anti-Spyware,.. Κρυπτογράφηση Δεδομένων και Επικοινωνιών Firewalls (Packet Filters, Application Gateways) Συστήματα Ανίχνευσης & Αποτροπής Εισβολών (IDS/IPS) http://www.cs.uwf.edu/~rdavid/CEN4540/sec3.ppt

Μηχανισμοί Ασφάλειας - 2η Θεώρηση Τεχνικά μέσα π.x. passwords, firewalls, smartcards Μη τεχνικά μέσα (Non-technical): Άνθρωποι και διαδικασίες Προσωπικό ασφάλειας, ασφάλεια κτιρίου Πολιτικές Ασφάλειας Νομικά ζητήματα, Ηθική του Κυβερνοχώρου (Cyber-ethics) Στα τεχνικά μέσα συμπεριλαμβάνονται όλες οι τεχνικές λογικού ελέγχου πρόσβασης (Logical Access Control) που αναφέραμε και που θα μελετήσουμε στη συνέχεια, καθώς και οι τεχνολογίες ανίχνευσης και αντιμετώπισης εισβολών. Μη τεχνικά μέσα. Συχνά οι τεχνολογίες λογικού ελέγχου πρόσβασης συμπληρώνονται από άλλα μέτρα προστασίας. Για παράδειγμα, οι ισχύοντες νόμοι σε εθνικό ή παγκόσμιο επίπεδο συμβάλουν στην αποτροπή επιθέσεων. Με την άνθηση του Internet και του Ηλεκτρονικού Εμπορίου, οι νόμοι περί της προστασίας των καταναλωτών, περί προστασίας πνευματικής ιδιοκτησίας και περί ηλεκτρονικών εγκλημάτων (=εγκλήματα που διαπράττονται με τη χρήση Η/Υ) παρουσιάζουν το μεγαλύτερο ενδιαφέρον. Η ηθική του Κυβερνοχώρου. Μια άλλη κατηγορία συνιστούν οι αμιγώς «φυσικοί» έλεγχοι πρόσβασης και ανίχνευσης, όπως ασφάλεια κτιρίου, προσωπικό ασφαλείας, ασφαλείς εγκαταστάσεις, γεννήτριες ρεύματος κ.λ.π. Ένα άλλο παράδειγμα είναι η τοποθέτηση των «κρίσιμων» (από τη σκοπιά της ασφάλειας) υπολογιστικών συστημάτων και άλλων ηλεκτρονικών διατάξεων σε ασφαλείς χώρους με ελεγχόμενη πρόσβαση . Πολιτική Ασφάλειας: Οι πολιτικές ασφάλειας περιγράφουν με γενικό τρόπο τις διαδικασίες που πρέπει να ακολουθούνται, τόσο κατά την πρόληψη, όσο και κατά την ανίχνευση και αντιμετώπιση δυσάρεστων καταστάσεων. Οι Πολιτικές Ασφαλείας (και τα Σχέδια Αντιμετώπισης) δίνουν μεγαλύτερη έμφαση στις διαδικασίες και στους ανθρώπους. Για παράδειγμα, η Πολιτική του οργανισμού μπορεί να προβλέπει τη διεξαγωγή, σε τακτά χρονικά διαστήματα, σεμιναρίων με σκοπό την ενημέρωση των χρηστών του συστήματος για τις απειλές phishing και Κοινωνικής Μηχανικής. Βεβαίως οι διαδικασίες που περιγράφονται συχνά απαιτούν και τη χρήση/αξιοποίηση τεχνολογικών μέσων. Οι πολιτικές ασφαλείας ωστόσο είναι αρκετά «γενικές» ώστε να επιτρέπουν τη χρήση ποικίλλων εργαλείων-προγραμμάτων για την υλοποίηση των απαιτήσεων. Στα πλαίσια μιας ολοκληρωμένης πολιτικής ασφαλείας της Επιχείρησης/Οργανισμού, ή ανεξάρτητα από αυτήν, λειτουργεί το Σχέδιο Απρόσκοπτης Λειτουργίας (contingeny plan), το οποίο καθορίζει με σαφή και κατανοητό τρόπο τις ακριβείς διαδικασίες-βήματα που πρέπει να ακολουθηθούν σε περίπτωση απώλειας δεδομένων, ή βλάβης, ή καταστροφής του δικτύου-συστήματος. Πριν την υλοποίηση οποιουδήποτε μηχανισμού ασφάλειας, θα πρέπει να έχει γίνει ανάλυση των κινδύνων και ανάλυση των απαιτήσεων. Έτσι, πρίν τεθεί το ερώτημα: “Τί είδους Firewall πρέπει να τοποθετήσουμε στο δίκτυό μας;” θα πρέπει να έχει απαντηθεί πλήρως το ερώτημα “Ποιές απειλές υπάρχουν;” Με άλλα λόγια ο οργανισμός θα πρέπει να ξέρει τί θέλει να προστατεύσει και από τί θέλει να το προστατεύσει. Στα πλαίσια της ανάλυσης κινδύνων λοιπόν, καθορίζονται τα τρωτά σημεία του συστήματος, οι πιθανότητες εκμετάλλευσης των τρωτών σημείων του συστήματος, τα μέτρα που πρέπει να ληφθούν σε συνάρτηση με το κόστος τους. Στη συνέχεια, και στα πλαίσια της ανάλυσης των απαιτήσεων, καθορίζονται τα χαρακτηριστικά της συγκεκριμένης υπηρεσίας που θα απαιτηθεί καθώς και τί θα συμβεί σε περίπτωση που η υπηρεσία διακοπεί. 54

E. To Γνωστικό Αντικείμενο – 1η Θεώρηση ΑΣΦΑΛΕΙΑ ΑΣΦΑΛΕΙΑ ΥΠΟΛΟΓΙΣΤΙΚΩΝ ΣΥΣΤΗΜΑΤΩΝ ΚΑΙ ΕΦΑΡΜΟΓΩΝ ΑΣΦΑΛΕΙΑ ΔΙΚΤΥΩΝ ΚΑΙ ΥΠΟΔΟΜΩΝ ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΩΝ ΦΥΣΙΚΗ ΑΣΦΑΛΕΙΑ ΕΜΠΙΣΤΕΥΤΙΚΟΤΗΤΑ ΛΕΙΤΟΥΡΓΙΚΗ ΑΣΦΑΛΕΙΑ ΑΥΘΕΝΤΙΚΟΤΗΤΑ ΑΣΦΑΛΕΙΑ ΠΡΟΣΩΠΙΚΟΥ ΑΚΕΡΑΙΟΤΗΤΑ ΔΙΑΘΕΣΙΜΟΤΗΤΑ ΔΙΑΘΕΣΙΜΟΤΗΤΑ

To Γνωστικό Αντικείμενο – 2η Θεώρηση Πού γίνεται έρευνα;

To Γνωστικό Αντικείμενο – 2η Θεώρηση Πού γίνεται έρευνα;

To Γνωστικό Αντικείμενο – 2η Θεώρηση Πού γίνεται έρευνα;

To Γνωστικό Αντικείμενο – 2η Θεώρηση Πού γίνεται έρευνα;

To Γνωστικό Αντικείμενο – 2η Θεώρηση Πού γίνεται έρευνα;

Το Γνωστικό Αντικείμενο – 3η θεώρηση

1. Έλεγχος Πρόσβασης – Αυθεντικοποίηση Οντότητας 1. Έλεγχος Πρόσβασης – Αυθεντικοποίηση Οντότητας Αυθεντικοποίηση “Κάτι που ξέρω” (passwords, PINs, challenge-response) “Κάτι που έχω” (smartcards, tokens) “Κάτι που είμαι” (Biometrics) … αλλά και : “Κάτι που βλέπω/ακούω” (CAPTCHAs)

Passwords-Pins

Smartcards

Affordability >> Biometrics 1 Affordability >> 2 3 4 Accuracy >> http://www.csse.monash.edu.au/courseware/cse2500/ppt/Authentication.ppt

CAPTCHAs

2. Εξουσιοδότηση και Έλεγχος Πρόσβασης Συστημάτων 2. Εξουσιοδότηση και Έλεγχος Πρόσβασης Συστημάτων “Hot” θέματα: ACLs, Ασφάλεια MLS and information flow Sandboxing & Virtualization Application Security Memory security File system Security Database Security OS Kernel Security Trusted Computing Hardware Security Tempest and Side Channel Attacks Assurance and Evaluation

ACLs, Ασφάλεια MLS and information flow

Sandboxing

Application Security

Memory

File system security Bitlocker (Windows Vista)

Database Security

OS Kernel Security

Tempest attacks

Assurance and Evaluation

3. Κακόβουλο Λογισμικό “Hot” θέματα: Bots, Botnets Rootkits Spam, Phishing & Fraud Intrusion Detection …

Botnets

Rootkits

Spam

Intrusion Detection signature database user mode kernel mode Antivirus Application Antivirus Service user mode signature database kernel mode Antivirus Filter driver File System Driver

4. Ασφάλεια στο Web “Hot” θέματα: Web browser security Web app & web server security Web privacy …

Web browser security

Web app & web server security (1) Buffer overflow attack 1 Shell

Web app & web server security (2) Buffer overflow attack 1 Shell SQL injection attack

6. Ασφάλεια Δικτύων “Hot” θέματα: TCP/IP Security Penetration testing Authenticated Key establishment and applications Network intrusion Detection Security in Wireless networks …

TCP/IP Security attacks (1)

TCP/IP Security attacks (2) SYN Flooding DDOS attack

Penetration Testing

Authenticated Key establishment and applications

Alice and Bob

Network Intrusion Detection

Security in Wireless Networks (1) VANETs

Security in Wireless Networks (2)

Security in Wireless Networks (3) Security in RFID systems

7. Ασφάλεια Κατανεμημένων Συστημάτων “Hot” θέματα: Security Domains E-commerce transactions E-voting/ e-auctions Distributed Databases Security Distributed File Systems Security WS Security Security and Privacy in Pervasive Computing Environments Security and Privacy in Location-based Services (LBS) Security in banking/health sector

Security Domains Kerberos

Ανεξιχνίαστα Ηλ. Μετρητά - Untraceable e-Cash Online: ecash, Offline: CAFE Issuer Acquirer sign untraceable Check Issuer’s signature ή Merchant Buyer anonymously

Secure and Private e-Elections Counting Registration Voting at Booth Poll list Observer/ Administrator Voters Voting office Secret voting Tallying Identification by poll list Voting Sheet # slip Μπορούμε να ψηφίζουμε μέσω Internet με Ασφάλεια και Ιδιωτικότητα;

Secure and Private e-Auctions Opening BBS Auctioneer Public communication channel Prime security issue 1. Secrecy of bid value 2. Anonymity of bidder Bidding Bidders

Distributed Databases Security Privacy-Preserving Data Mining (PPDM) Client3 Client2 data3 data2 Client1 data1 miner Client4 data4 data1 data2 data3 data4

Security and Privacy in Pervasive Computing Environments (PCEs)

Security and Privacy in Location-based Services (LBS)

Security & Privacy in e-Health environments

8. Κοινωνικά Ζητήματα της Ασφάλειας “Hot” θέματα: User anonymity & Privacy Freedom-of-Speech & Censorship Security and Usability Security Psychology Security Economics … Αλλά και: Πνευματικά Δικαιώματα Δεοντολογία Κυβερνο-ηθική (Cyber-ethics)

User anonymity and Privacy (1)

User anonymity and Privacy (2)

User anonymity and Privacy (3)

Freedom-of-Speech & Censorship

Security and Usability πετάχτηκε; Ή καταστράφηκε; To αρχείο

Security and Usability

Security and Psychology Bruce Schneier: DIMACS Workshop on Information Security Economics, 2007

Security Economics

9. Διαχείριση Ασφάλειας Π.Σ. “Hot” θέματα: Ανάλυση και Διαχείριση Κινδύνου Πολιτικές Ασφάλειας Επιχειρησιακή συνέχεια Πρότυπα διαχείρισης ασφάλειας …

Πολιτικές Ειδικού Σκοπού Διαδικασίες Ασφάλειας Πολιτικές Ασφάλειας Πρότυπα (Standards) Γενική Πολιτική Πολιτικές Ειδικού Σκοπού Διαδικασίες Ασφάλειας Τεχνικά Εγχειρίδια, Οδηγίες Γενικές Αρχές Ειδικές Αρχές Υλοποίηση Αρχών Υφιστάμενος Πληροφοριακός Κίνδυνος Συστάσεις (Guidelines) Οδηγίες Νομοθεσία Δρ. Π. Κοτζανικολάου, «Τεχνολογία και Πολιτικές Ασφάλειας», Πανεπιστήμιο Πειραιώς, 2009

Επιχειρησιακή συνέχεια Cost Hot site Warm Site Cold Site Restore time

Πρότυπα Διαχείρισης Ασφάλειας

Διεπιστημονικότητα της Ασφάλειας Πληροφορική Δίκτυα, Προγραμματισμός Λειτουργικά Συστήματα, Βάσεις Δεδομένων Αρχιτεκτονική Η/Υ – Hardware Human Computer Interaction (HCI) Κρυπτογραφία Άλγεβρα, θεωρία αριθμών, … Κοινωνικές Επιστήμες Διοίκηση Π.Σ. & ανθρώπινων πόρων Ψυχολογία Δίκαιο … Η Ασφάλεια Υπολογιστών χρησιμοποιεί (χωρίς να περιορίζεται από) τη γνώση που πηγάζει από τη μελέτη αρκετών γνωστικών χώρων, όχι απαραίτητα σχετιζόμενων μεταξύ τους, όπως Πληροφορική, Κρυπτογραφία και Κοινωνικές Επιστήμες. Συγκεκριμένα - Πληροφορική Α) Ανάπτυξη λογισμικού. Η γνώση βασικών τεχνικών προγραμματισμού κρίνεται απαραίτητη για την αντιμετώπιση των «εχθρών» του συστήματος (hackers, crackers κ.λ.π) οι οποίοι α) παράγουν κακόβουλο κώδικα με σκοπό τη μη εξουσιοδοτημένη πρόσβαση στους πόρους του συστήματος ή β) εκμεταλλεύονται λάθη στον κώδικα των εφαρμογών του χρήστη-συστήματος. Β) Διαχείριση Δικτύων, Internet. Η κατανόηση των δικτυακών υποδομών, καθώς και των υπηρεσιών που τις χρησιμοποιούν (λογισμικό δικτύου, δικτυακές εφαρμογές και υπηρεσίες, υπηρεσίες Internet, αρχιτεκτονικές πρωτόκολλων, κ.λ.π) Γ) Προστασία Υλικού (Hardware tamper-resistance) * - Κρυπτογραφία. Η επιστήμη που ασχολείται με την προστασία της εμπιστευτικότητας και της ακεραιότητας των δεδομένων και πληροφοριών κατά την αποθήκευση ή/και μεταφορά τους μεταξύ υπολογιστικών διατάξεων. Η κρυπτογραφία χρησιμοποιεί (χωρίς να περιορίζεται από) στοιχεία θεωρίας πληροφοριών (Information theory), μαθηματικά μοντέλα και στοιχεία θεωρίας γραμμικής άλγεβρας (linear algebra) καθώς και θεωρίας αριθμών (number theory) για το σχεδιασμό τεχνικών προστασίας των δεδομένων. - Κοινωνικές Επιστήμες. Α) Διοίκηση ανθρώπινων πόρων * Β) Ψυχολογία. Η ασφάλεια αξιοποιεί βασικές γνώσεις της θεωρίας της ψυχολογίας (προφίλ επιτιθέμενου, προφίλ αμυνόμενου) Γ) Δίκαιο και Ηθική του Κυβερνοχώρου. Η νομοθεσία αποτελεί ίσως το σημαντικότερο μη τεχνικό (non-technical) μέσο για την πρόληψη επιθέσεων στην ασφάλεια Η/Υ. Ωστόσο, ζητήματα όπως η ανωνυμία των χρηστών, η ελευθερία έκφρασης και η προστασία των πνευματικών δικαιωμάτων σχετίζονται σε μεγάλο βαθμό με την αποκαλούμενη και ως Ηθική του Κυβερνοχώρου (cyber ethics) Δ) Ιστορία. Η μελέτη των γεγονότων κατά το Β’ παγκόσμιο πόλεμο (κώδικές, επιθέσεις σε κρυπτογραφημένα συστήματα επικοινωνιών) καθώς και τα «μαθήματα» που προκύπτουν από τη μελέτη περιπτώσεων παραβίασης συστημάτων και επικοινωνιών από τα μέσα της δεκαετίας του 1980 και μετά (δημιουργία και εξάπλωση κακόβουλου λογισμικού). 119