S

ystem komputerowy można zaatakować na dwa sposoby: bezpośrednio oraz pośrednio. Nietrudno się domyślić, że atak bezpośredni polega na wykorzystaniu różnych podatności danego systemu (zdalnych czy lokalnych), w celu jego całkowitego lub częściowego przejęcia. Atak pośredni natomiast najczęściej wykorzystuje błąd PPKK (Problem Pomiędzy Klawiaturą a Krzesłem). Błąd ten pojawia się, gdy osoba odpowiedzialna za dany system nie końca prawidłowo (lub wcale) przestrzega zasad bezpieczeństwa obowiązujących w danej infrastrukturze. Zasady te noszą nazwę planu lub polityki bezpieczeństwa. Celem opracowania polityki systemu jest poprawienie i zagwarantowanie odpowiedniego poziomu zabezpieczeń dla naszych technologii informatycznych.

Wszystkie systemy komputerowe cechuje pewien poziom wrażliwości (nawet mimo dobrych zabezpieczeń sprzętowych), dlatego zasady bezpieczeństwa stanowiące część polityki pozwalają na znaczne obniżenie tej wrażliwości. Dobre zasady bezpieczeństwa są na tyle surowe, że zapewniają pożądany poziom bezpieczeństwa dla obsługiwanego systemu i przechowywanych w nim informacji. W ten sposób każda osoba posiada jasno określoną odpowiedzialność i oczekiwania w odniesieniu do dostępu do systemu. Motywacją dla każdej osoby, którą jest częścią całego systemu zabezpieczeń (i może stanowić najsłabsze ogniwo poprzez ignorancję naszej polityki), jest zawarcie informacji o konsekwencjach niewłaściwego zachowania lub nieprzestrzegania zasad. Każdy użytkownik uzyskujący dostęp do systemu powinien móc zapoznać się z zasadami bezpieczeństwa. Dla pewności można przygotować stronę z własnoręcznymi podpisami, na której użytkownik wyraża zgodę na akceptację zasad. Korzyści płynące z przestrzegania stworzonych nakazów, czy zakazów są wymierne nie tylko dla danej osoby, ale i dla całej organizacji. Skoro poszczególne jednostki posiadają świadomość np. co do limitów połączeń z innymi systemami, znają priorytety udostępniania i przywracania usług, wiedzą, na jakiej zasadzie odbywa się dostęp przy pomocy publicznych łączy, w jaki sposób odbywa się korzystanie z zastrzeżonych materiałów, czy też komu można nadać lub ograniczyć przywileje systemowe, to w połączeniu z wiedzą i działaniami innych osób mechanizm ten może stanowić dość szczelny system zarządzania wrażliwą informacją.

Należy także pamiętać o kontroli działania i przestrzegania zasad. Ponieważ każda organizacja ma system różnych hierarchii, można wprowadzić autoryzację działania, która pozwala na kontrolę przetwarzanych informacji. W ten sposób osoba bezpośrednio odpowiedzialna za bezpieczeństwo daje możliwość uzyskania najwyższego poziomu bezpieczeństwa przez pracowników technicznych, czy użytkowników. Dla przykładu: zarówno administrator, jak i zwykły użytkownik mają własne obowiązki związane z bezpieczeństwem systemu. Administrator jest bardziej związany z codziennymi operacjami systemu, ponieważ kieruje, wykonuje i monitoruje zadania zabezpieczeń. Użytkownik jest zwykle ogólnie odpowiedzialny za organizację własnej pracy wykonywanej w systemie i to z nim związane jest największe zagrożenie szkodami poprzez celowe lub przypadkowe działania. Bardzo często systemy przeżywające awarię są uszkadzane przez osoby mające prawo do korzystania z nich lub obsługi. Dlatego dodatkowy nadzór osoby związanej bezpośrednio z bezpieczeństwem wspomaga proces usuwania powstałych luk w zasadach bezpieczeństwa. Wybiegając poza czynniki bliższe systemowi, bardzo przydatnymi dla kontroli ruchu są środki kontroli fizycznego dostępu, które w odpowiedni sposób ograniczają wejścia i wyjścia pracowników (ruch urządzeń i nośników) na danym obszarze (np. serwerowni, centrum danych). Oczywiście fundamentem jest zapewnienie bezpieczeństwa pożarowego wykorzystywanych budynków, awaryjnego zasilania oraz uzyskanie pewności, że systemy grzewcze oraz klimatyzacyjne są w pełni sprawne. Ze względu na systemy mobilne (np. laptopy), należy stosować dostępne szyfrowanie danych na nośnikach, co pozwoli na uchronienie informacji w przypadku kradzieży lub zagubienia urządzenia. Nieużywane systemy przenośne należy poddać procesowi bezpiecznego usuwania danych (bez możliwości odtworzenia) i przechowywać w bezpiecznym miejscu.

Procedury bezpieczeństwa można utworzyć dla każdego systemu o różnej charakterystyce, przeznaczeniu oraz wartości. To samo tyczy się grup docelowych. Jednak najważniejszym wątkiem w tej kwestii jest uniemożliwienie powstania błędu PPKK poprzez systematyczne egzekwowanie przestrzegania stworzonych na potrzeby danej organizacji zasad. Grunt to mieć zasady. Bo to, co może nas zniszczyć, to postęp bez współczucia, bogactwo bez pracy, wiedza bez milczenia, religia bez odwagi, kult bez świadomości i polityka bezpieczeństwa bez stosowanych zasad.

Felieton ten pochodzi z magazynu: Hakin9 Nr 12 (32) Grudzień 2007.