Prošlo je jako puno vremena od zadnjeg teksta na ovom blogu, poslovne obaveze u protekloj godini su onemogućile moju intenzivniju prisutnost na ovim stranicama. Kroz svojevrsni pregled događaja iz 2014. ću pokušati nadoknaditi propušteno, uz obećanje da ću se u novoj godini na ovim stranicama pojavljivati češće i redovitije.
30.5.14
Dionici i razmjena informacija u informacijskoj sigurnosti
Zbog različitih razloga, prorijedio sam svoju prisutnost na ovim stranicama u prvom dijelu 2014., no obećajem da ću uskoro nadoknaditi izostanke.
Za početak, ukazao bih na zanimljiv skup koji se održao jučer (29.5.2014.) u Opatiji u okviru međunarodne konferencije MIPRO. Naziv konferencije bio je Dionici i razmjena informacija u informacijskoj sigurnosti, sadržaj možete pronaći na stranici konferencije. Konferencija se bavila jednom temom koja je u informacijskoj sigurnosti od izuzetne važnosti – o razmjeni informacija relevantnih za donošenje odluka o informacijskim rizicima i za učinkovito reagiranje na sigurnosne incidente.
Razmjena informacija je važna iz više razloga. Navodim tri, no siguran sam da oni nisu jedini.
Prvo, u situaciji kada znanje potrebno za uspostavu zaštitnih mjera postaje sve zahtjevnije a resursi u tvrtkama i organizacijama jako ograničeni, jasno je da stručnjaci u informacijskoj sigurnosti ne bi smjeli znanje zadržavati za sebe. Ovdje govorim o rezultatima koje su mnogi od nas postigli kroz formalne projekte i istraživanja ili, pak, kroz neformalnu sistematizaciju znanja i iskustva proizašlog iz svakodnevnog rada. Često puta se radi o vrijednim rezultatima koji kroz razmjenu mogu biti obogaćeni, dopunjeni ili pak korigirani, a koji nam mogu pomoći u svakodnevnim postupcima.
Drugi važan razlog vezan je za procjenu rizika informacijskih sustava. Naime, u procjeni rizika redovito nam nedostaje dimenzija relevantnosti neke prijetnje predviđene podlogom metodologijom procjene rizika. Da bi neku prijetnju mogli stvarno valorizirati, izuzetno je bitno imati i informaciju o učestalosti pojave ove prijetnje u vlastitoj okolini ili čak u sektoru u kojemu djeluje naša tvrtka. Izostanak ove informacije jedan je od razloga što procjene rizika i odluke o rizicima ponekad izgledaju formalne, bez doticaja sa stvarnošću.
Treći važan razlog je operativnog karaktera: dovoljno detaljna informacija o nekoj prijetnji dostupna u pravom trenutku i na vrijeme, može olakšati djelovanje osobama zaduženima za zaštitu informacijskih resursa. Naravno, mora se znati da djelotvorna zaštita nije samo stvar antivirusne zaštite, vatrozidnih sustava i IDS/IPS sustav, već u velikoj mjeri ovisi o nečijoj odluci donesenoj u realnom vremenu.
Na konferenciji su sudjelovali predstavnici različitih institucija, stručne zajednice ili poslovnih segmenata. Ja sam predstavio tipične probleme s kojima se susreće tvrtka iz segmenta malih/srednjih poslovnih subjekata, a s kojima često profesionalno surađujem. Ovaj segment, koji dominira brojem zaposlenih i vrijednošću proizvoda, postaje sve izrazitija meta napadača. Zadnji događaja s incidentima u servisu Internet bankarstva potvrđuju takav trend. Glavni problemi s kojima se informacijska sigurnost susreće u takvim tvrtkama je izostanak proračuna za sigurnosne mjere i manjak stručnog osoblja što je velikim dijelom uzrokovano nerazumijevanjem vlasnika ili uprave potrebe za takvim aktivnostima. No čak i uz puno razumijevanje neke mjere (npr. operativna provedba operativnih nadzornih mjera koje iziskuju postojanje stručnih timova i opreme) male i srednje tvrtke neće moći provesti. Mogućnost razmjene informacija mogu postati jedan od faktora koji bi olakšao život manjim i srednjim tvrtkama.
Očekivano, jedan od zaključaka konferencije je da bi strah od otkrivanja informacija mogao značajno ograničiti neke tvrtke u pružanju ulaznih informacija u ovakav sustav, naročito kada se govori o osjetljivim djelatnostima kao državne institucije ili bankarski sektor. No, smatram da bi izrada detaljnog modela razmjene podataka i razrada načina dostave podataka, uz eliminaciju svih elemenata kojima bi se mogli identificirati poslovni subjekti, mogla pomoći u otklanjanju ovih strahova.
Za punu realizaciju ideja iznesenih na konferenciji neophodna je pomoć nadležnih državnih institucija, od nacionalnog CERT-a pa na gore, što, nažalost, veoma često izgleda kao nepremostiva prepreka. Vjerujem da će se neke inicijalne i manje formalne inicijative pokrenuti i nakon ove konferencije, a rezultati takvih inicijativa mogu biti značajni, bez obzira što će im nedostajati zacrtana sveobuhvatnost. Drugim riječima, jučerašnja konferencija mogla bi stvarno zaživjeti i izvan jednodnevnog formalnog okvira, što joj iskreno želim.
Za početak, ukazao bih na zanimljiv skup koji se održao jučer (29.5.2014.) u Opatiji u okviru međunarodne konferencije MIPRO. Naziv konferencije bio je Dionici i razmjena informacija u informacijskoj sigurnosti, sadržaj možete pronaći na stranici konferencije. Konferencija se bavila jednom temom koja je u informacijskoj sigurnosti od izuzetne važnosti – o razmjeni informacija relevantnih za donošenje odluka o informacijskim rizicima i za učinkovito reagiranje na sigurnosne incidente.
Razmjena informacija je važna iz više razloga. Navodim tri, no siguran sam da oni nisu jedini.
Prvo, u situaciji kada znanje potrebno za uspostavu zaštitnih mjera postaje sve zahtjevnije a resursi u tvrtkama i organizacijama jako ograničeni, jasno je da stručnjaci u informacijskoj sigurnosti ne bi smjeli znanje zadržavati za sebe. Ovdje govorim o rezultatima koje su mnogi od nas postigli kroz formalne projekte i istraživanja ili, pak, kroz neformalnu sistematizaciju znanja i iskustva proizašlog iz svakodnevnog rada. Često puta se radi o vrijednim rezultatima koji kroz razmjenu mogu biti obogaćeni, dopunjeni ili pak korigirani, a koji nam mogu pomoći u svakodnevnim postupcima.
Drugi važan razlog vezan je za procjenu rizika informacijskih sustava. Naime, u procjeni rizika redovito nam nedostaje dimenzija relevantnosti neke prijetnje predviđene podlogom metodologijom procjene rizika. Da bi neku prijetnju mogli stvarno valorizirati, izuzetno je bitno imati i informaciju o učestalosti pojave ove prijetnje u vlastitoj okolini ili čak u sektoru u kojemu djeluje naša tvrtka. Izostanak ove informacije jedan je od razloga što procjene rizika i odluke o rizicima ponekad izgledaju formalne, bez doticaja sa stvarnošću.
Treći važan razlog je operativnog karaktera: dovoljno detaljna informacija o nekoj prijetnji dostupna u pravom trenutku i na vrijeme, može olakšati djelovanje osobama zaduženima za zaštitu informacijskih resursa. Naravno, mora se znati da djelotvorna zaštita nije samo stvar antivirusne zaštite, vatrozidnih sustava i IDS/IPS sustav, već u velikoj mjeri ovisi o nečijoj odluci donesenoj u realnom vremenu.
Na konferenciji su sudjelovali predstavnici različitih institucija, stručne zajednice ili poslovnih segmenata. Ja sam predstavio tipične probleme s kojima se susreće tvrtka iz segmenta malih/srednjih poslovnih subjekata, a s kojima često profesionalno surađujem. Ovaj segment, koji dominira brojem zaposlenih i vrijednošću proizvoda, postaje sve izrazitija meta napadača. Zadnji događaja s incidentima u servisu Internet bankarstva potvrđuju takav trend. Glavni problemi s kojima se informacijska sigurnost susreće u takvim tvrtkama je izostanak proračuna za sigurnosne mjere i manjak stručnog osoblja što je velikim dijelom uzrokovano nerazumijevanjem vlasnika ili uprave potrebe za takvim aktivnostima. No čak i uz puno razumijevanje neke mjere (npr. operativna provedba operativnih nadzornih mjera koje iziskuju postojanje stručnih timova i opreme) male i srednje tvrtke neće moći provesti. Mogućnost razmjene informacija mogu postati jedan od faktora koji bi olakšao život manjim i srednjim tvrtkama.
Očekivano, jedan od zaključaka konferencije je da bi strah od otkrivanja informacija mogao značajno ograničiti neke tvrtke u pružanju ulaznih informacija u ovakav sustav, naročito kada se govori o osjetljivim djelatnostima kao državne institucije ili bankarski sektor. No, smatram da bi izrada detaljnog modela razmjene podataka i razrada načina dostave podataka, uz eliminaciju svih elemenata kojima bi se mogli identificirati poslovni subjekti, mogla pomoći u otklanjanju ovih strahova.
Za punu realizaciju ideja iznesenih na konferenciji neophodna je pomoć nadležnih državnih institucija, od nacionalnog CERT-a pa na gore, što, nažalost, veoma često izgleda kao nepremostiva prepreka. Vjerujem da će se neke inicijalne i manje formalne inicijative pokrenuti i nakon ove konferencije, a rezultati takvih inicijativa mogu biti značajni, bez obzira što će im nedostajati zacrtana sveobuhvatnost. Drugim riječima, jučerašnja konferencija mogla bi stvarno zaživjeti i izvan jednodnevnog formalnog okvira, što joj iskreno želim.
30.12.13
Bliski susreti koji jamče zarazu
Časopis Lider je u studenom objavio članak u čijoj sam izradi sudjelovao. Članak možete preuzeti na ovom mjestu:
Časopis Lider: Bliski susreti koji jamče zarazu
Časopis Lider: Bliski susreti koji jamče zarazu
6.12.13
“Vulnerability Assessment” ili “Vulnerability Management” (3. dio)
Prvi i drugi dio teksta pronađite na ovim mjestima.
Treći dio teksta o upravljanju računalnim ranjivostima predstavlja specifičnu tehniku mrežnog skeniranja koja je danas imaju svi značajni alati ove namjene. To je tehnika skeniranja primjenom privilegiranih pristupnih prava.
Naime, standardni način rada skenera računalnih ranjivosti šalje niz mrežnih upita prema mrežnom resursu kojeg analiziraju. Na ove mrežne upite odgovaraju mrežni servisi čiji mrežni kanal (specifični TCP/UDP protokol) skener koristi, odnosno kojima se provodi testiranje. Može se reći da ovaj način testiranja simulira postupke osobe koja bi istom sekvencom mrežnih poruka provjeravala reakciju suprotne strane te izvela zaključke o nedostacima, no u slučaju skenera postupak je automatiziran, pa samim time efikasniji, cjelovitiji i brži. Vratimo se na manualno testiranje. Ukoliko bi osoba prije pokretanja provjera imala mogućnost pristupa na resurs koji testira, te postigla mogućnost uvida u resurse operativnog sustava koji nadilaze mrežnu razinu, nalazi će biti puno bogatiji i raznolikiji. Upravo se na ovome temelji tehnika skeniranja primjenom privilegiranih pristupnih prava koju sam najavio u uvodnom odlomku.
Skeneri računalnih ranjivosti za ovu namjenu koriste prikladne mehanizme udaljenog pristupa koji su dovoljni za obavljanje zadatka, uz pridržavanje visokih sigurnosnih kriterija. Za pristup Windows resursima se, npr. koristi udaljeni pristup administratorskim računom koji omogućuje pristup do „Administrative share“ lokacijama i registry podacima, a putem ovih točaka pojedinih do, praktički, svih značajnih informacija o operativnom sustavu, instaliranim aplikacijama, konfiguracijskim postavkama. Na Unix/Linux resursima se za ovu namjenu koristi SSH protokol, a skener se prijavljuje s privilegiranim računom (root ili neki drugi račun koji ima mogućnost elevacije pristupnih prava, npr. „sudo“ tehnikom).
Skeneri danas uglavnom ne koriste namjenske agente koje bi trebalo instalirati na ovim resursima, iako se u nekim slučajevima primjenjuju hibridne tehnike i jednostavni agenti. Da bi se proveo autenticirani sken nije dovoljno imati mogućnost udaljenog pristupa, nego skener u tom slučaju mora imati u bazi podataka podatke o ranjivostima za što je moguće više platformi, što svakako može postati veliki inženjerski zadatak za proizvođače skenera.
QualysGuard, s kojim najviše radim, ima mogućnost privilegiranog pristupa i izvođenja autenticiranog skena na velikom broju platformi – sve Windows platforme, sve značajne verzije Unix/Linux operativnog sustava, baze podataka Oracle i MS SQL Server, Cisco IOS i SNMP.
Razlika između ove dvije tehnike skeniranja prikazana je na sljedećoj slici.
Posebno ću se osvrnuti na dubinski uvid u računalne ranjivosti koji se postiže autenticiranim skenom. Napravio sam sljedeći test: instalirao sam Windows Server 2008 R2 SP1 – samo osnovne pakete, bez i jednog dodatnog programa (dakle, bez baze podataka, Exchange servera, Office paketa…), ali i bez, inače neophodnog, ažuriranja verzije operativnog sustava s programskim popravcima neposredno nakon instalacije. Nakon toga sam napravio autenticirani i neautenticirani sken ove instance sustavom QualysGuard. Cilj je bio utvrditi razlike u detaljnosti nalaza između ova dva skena. Razlika je ilustrirana u sljedećoj tablici:
Kategorije
ranjivosti
|
||||||
5
|
4
|
3
|
2
|
1
|
Total
|
|
Neautenticirani
|
1
|
0
|
1
|
3
|
1
|
6
|
Autenticirani
|
51
|
65
|
29
|
11
|
1
|
157
|
Ranjivosti su kategorizirane u 5 razreda (viša ocjena predstavlja kritičnije ranjivosti). Neautenticirani sken je pronašao samo 6 ranjivosti. Autenticirani sken je pronašao 157 ranjivosti. Ovim testom nisam imao namjeru pokazati eventualne manjkavosti analiziranog operativnog sustava, a ovakav drastičan primjer ćete teško pronaći u ozbiljnom produkcijskom okruženju jer će se i površnom primjenom računalnih popravaka otkloniti brojne inicijalne ranjivosti. Isključiva namjera bila je ilustracija mogućnosti autenticiranog skena.
Autenticirani sken je posebno značajan za radne stanice. Nekako je uobičajeno da programi provjere i upravljanja računalnim ranjivostima zaobilaze radne stanice, a fokus se stavlja na mrežne poslužitelje. To je svakako ispravno gledajući sa stajališta značaja informacijske imovine koja je uglavnom koncentrirana na serverima. No, današnje računalne prijetnje neće ciljati ni perimetarski segment niti direktno mrežne poslužitelje: glavni vektori su usmjereni prema osobama i prema klijentskim računalima, nastojeći iskoristiti računalne ranjivosti na radnim stanicama. Stoga, provjera računalnih ranjivosti na radnim stanicama postaje gotovo jednako važna kao i antivirusna zaštita na istim računalima, naročito ako uzmemo u obzir da antivirusna zaštita nije danas više svemoćna. Autenticirani sken radnih stanica će se pokazati osobito efikasnim u provjeri ranjivosti na tipičnim klijentskim programima – Microsoft Office, web preglednici, Adobe Reader, Adobe Flash Player, Java…
Rezultati autenticiranog skena svakako su dobar materijal za ocjenu stvarne izloženosti sustava napadačima i malicioznim korisnicima, no treba naglasiti da ovakva vrste provjere daju izuzetno bogat materijal tzv. „security intelligence“ sustavima. Analiza ranjivosti prema CVSS parametrima ima smisla prije svega ako su rezultati postignuti autenticiranim skenom.
Kada budete planirali autenticirani sken budite spremni razbiti gotovo neizbježnu predrasudu: s obzirom da se autenticirani sken provodi korištenjem privilegiranih (administrativnih) korisničkih računa, često se nameće pogrešan zaključak da su to ranjivosti koje mogu iskoristiti samo administratori pa se slijedom tog razmišljanja i uobičajenog povjerenja u administratore zaključuje da nema potrebe raditi takvu analizu. Zaključak je pogrešan jer su administratorski računi najjednostavnije sredstvo za utvrđivanje ranjivosti, a same ranjivosti se mogu sasvim efikasno zloupotrijebiti i u kontekstu drugih, „običnih“ korisnika.
Na koncu, bez obzira što smo u ovom tekstu izuzetno naglasili značaj autenticiranog skena, u provjerama računalnih ranjivosti i dalje primjenjujte neautenticirani sken. Rezultat ovog skena daje dobru informaciju o redovitoj vidljivosti vaših sustava na mreži, a ranjivosti koje se otkriju ovim skenom svakako moraju biti na vrhu liste prioriteta.
15.11.13
Ljudi u crnom
S malim zakašnjenjem prilažem kopiju članka iz časopisa Banka koji sam objavio u kolovozu.
Tema je ponovo kibernetičko ratovanje. Naizgled, nije aktualno u našem okruženju, međutim sve ono što se događa u Europi u proteklih nekoliko mjeseci govori da su ratne tehnike operacije prisutne i u razdoblju prividnog kibernetičkog mira.
Tema je ponovo kibernetičko ratovanje. Naizgled, nije aktualno u našem okruženju, međutim sve ono što se događa u Europi u proteklih nekoliko mjeseci govori da su ratne tehnike operacije prisutne i u razdoblju prividnog kibernetičkog mira.
Pretplati se na:
Postovi (Atom)