Bezpecnost datovych siti

Ivan Svoboda
T-SOFT Praha

Zajisteni spolehlivosti a duveryhodnosti komunikacniho systemu neni zadarmo

V uplynulych mesicich a letech zaznamenal Internet bourlivy rozvoj jako celosvetova sit zalozena na protokolu TCP/IP a jeho sluzbach. V soucasne dobe nabyva na vyznamu take zajisteni bezpecnosti, spolehlivosti a duveryhodnosti tohoto komunikacniho systemu a zajisteni bezpecnosti vsech dat prostrednictvim Internetu prenasenych. Tyto pozadavky jsou zpusobeny predevsim zmenou struktury uzivatelu teto site ze sfery akademicke do sfery komercni.

Bezpecnostni pozadavky jsou zhruba nasledujici:

Jednou z oblasti, ktera v soucasnosti nabyva na vyznamu, je zpristupneni sluzeb site Internet pro uzivatele lokalni site pri soucasnem zajisteni ochrany lokalni site pred neopravnenym pristupem z Internetu. Krome zniceni dat, coz lze povazovat spise za vandalizmus, muze utocnik prostrednictvim site provest mnohem rafinovanejsi utok. Cilem utoku nemusi byt likvidace dat, ale naopak jejich ziskani nebo pozmeneni. Vlastnik potom velmi casto nema ani moznost zjistit, ze doslo k modifikaci jeho informaci.

Dale je strucne zhodnocen soucasny stav a mozne zpusoby minimalizace nebezpeci, ktere hrozi uzivatelum site Internet. Informace, uvedene pro sit Internet, vsak plati i pro vsechny ostatni site s protokolem TCP/IP.


Jake jsou hrozby?

Nejprve se zastavme u slabych mist siti s protokolem TCP/IP (Internetu).

Slaba autentizace stanic a autorizace uzivatelu

Vetsina serveru umoznuje prihlaseni uzivatelu jako ANONYMOUS, GUEST, HOST atd., coz dovoluje pripadnym utocnikum monitorovat strukturu serveru, dat na nem ulozenych, pripadne na tento server umistit "trojskeho kone" nebo jiny typ monitorovaciho programu, popripade viru.

Snadnost monitorovani provozu site

Otevrenost TCP/IP siti umoznuje kvalifikovanemu utocnikovi monitorovat provoz na komunikacnim uzlu site a odchytit IP adresu, prihlasovaci heslo, pripadne cele zpravy. (Monitorovani mohou napriklad provadet spravci uzlu).

Jednoduchost pretvarky - vydavani se za nekoho jineho

Pokud utocnik ziska IP adresu nebo heslo opravneneho uzivatele a ma patricne technicke vybaveni a odborne znalosti, muze se pri komunikaci s prislusnym komunikacnim serverem tvarit jako opravneny uzivatel a server nema prostredky, jak by tuto pretvarku odhalil.

Administrace uzlu a serveru site

Spravci informacnich a komunikacnich serveru podcenuji nebo neprovadeji v dostatecne mire administraci systemu, kontrolu auditnich souboru a spravu uzivatelskych profilu a hesel.

Rozsirenost

Je to paradoxni, ale jako dalsi slabe misto, z pohledu bezpecnosti systemu, muze byt v nekterych pripadech povazovana i rozsirenost teto site, pocet pracovniku, kteri mohou provest kvalifikovany utok na komunikacni uzel nebo server, a dostupnost prostredku pro provedeni tohoto utoku. Na komunikacnim protokolu TCP/IP je postavena i nejvetsi sit na svete - Internet s mnoha miliony uzivatelu.


Slaba mista siti s jinymi protokoly

Bezpecnost siti s jinymi protokoly (X.25, Frame Relay, DECnet, SNA a dalsi) je velmi podobna jako u protokolu TCP/IP, prestoze nektere komunikacni protokoly maji zabudovany urcite prvky, ktere bezpecnost zvysuji; napriklad sit s protokolem X.25 umoznuje vytvoreni uzavrene uzivatelske skupiny (CUG - Closed User Group). Pokud nejsou u techto typu siti dodrzovana bezpecnostni pravidla pro spravu a udrzbu komunikacnich uzlu a informacnich serveru, je bezpecnost techto siti srovnatelna s bezpecnosti site Internet. To znamena, ze patricne vybaveny a kvalifikovany utocnik muze provadet monitorovani site a nasledne se i tvarit jako opravneny uzivatel i na sitich s jinym protokolem nez je TCP/IP.

Zminene site s jinymi protokoly nez TCP/IP maji i urcite vyhody (z bezpecnostniho pohledu):


Zajisteni bezpecneho pripojeni k siti WAN

Obrovsky rozvoj komunikacnich siti v celosvetovem meritku, rozvoj vzajemneho propojeni pocitacu prostrednictvim siti LAN a v soucasnosti i ruznymi typy siti WAN a Internetu umoznuji snadnou komunikaci mezi vzdalenymi uzivateli. Tento velky rozvoj komunikacnich technologii doprovazi i rozvoj monitorovacich prostredku a prostredku pro neopravneny pristup k cizim pocitacum a take rozsireni skupiny utocniku, kteri mohou ohrozit bezpecnost vaseho systemu a dat (v siti Internet mohou byt az miliony potencialnich utocniku). Pokud si v teto souvislosti uvedomime, ze na pocitacich a sitovych serverech jsou stale cennejsi a duvernejsi data, je patrna nutnost zajistit bezpecnost dat a provozovanych aplikaci.

Pri sprave komunikacnich uzlu a informacnich serveru je treba zabranit:

Uvedena nebezpeci hrozi i provozu lokalni site; v pripade pripojeni organizace a jejich serveru do site WAN (neni podstatne, zda je to vlastni celorepublikova sit, nebo napriklad Internet) se objevuji dalsi okolnosti, se kterymi je nutne pocitat, jako napriklad:
  • utocnik nemusi pracovat na prislusnem pocitaci, ale dokonce muze byt vzdalen mnoho desitek ci stovek kilometru,
  • utocnik muze provadet utok v noci nebo o vikendu,
  • utocnik muze vyuzit sve technicke a odborne zazemi.


    Zajisteni ochrany pocitacovych siti a dat

    Existujici ochranne prostredky lze zhruba rozdelit do tri hlavnich skupin, ktere se samozrejme castecne prekryvaji: Dale se budeme zabyvat prostredky z prvnich dvou skupin.


    Autorizace uzivatelu

    Mnoho bezpecnostnich incidentu v siti Internet, ale nejenom v ni, je zpusobeno nedostatky pri tradicni autorizaci heslem. Casto se stava, ze systemovi administratori nekonfiguruji system tak, aby: Dalsi oblasti, kde jsou nedostatky, je kazen uzivatelu, kteri si musi zvyknout na pravidla pri praci s prihlasovacim heslem. To znamena, ze by nemeli volit snadno uhodnutelna hesla, nemeli by sdelovat sve heslo dalsim osobam, nechavat je zapsane na svem pracovisti a v zadnem pripade nesmeji opustit sve pracoviste, pokud jsou prihlaseni do site.

    I v pripade, ze systemovy administrator a uzivatele budou dodrzovat pravidla pro spravu a uzivani hesel, je zde nebezpeci ziskani hesla odposlechem site, protoze napriklad v prostredi siti s protokolem TCP/IP (ale i X.25, Frame Relay) se hesla prenaseji v otevrene podobe. Tomuto nebezpeci je mozne se branit v zasade dvema zpusoby: pouzit pro kazde prihlaseni vzdy nove heslo, nebo sifrovat vsechna prenasena data vcetne hesel.

    Pouziti hesla vzdy pouze pro jedno prihlaseni

    Tento zpusob autorizace je mozne zajistit pomoci cipove karty, autentizacniho kalkulatoru (tento kalkulator je synchronizovan s prislusnym serverem a generuje kazdou minutu nove - nahodne heslo ).

    Pouziti sifrovani pri prenosu vsech dat

    Tohoto je mozne dosahnout s vyuzitim prostredku jak hardwarovych (servery), tak i softwarovych (uzivatelske stanice). Sifrovani vsech dat zajisti bezpecny prenos prihlasovacich hesel, ale soucasne i vsech dalsich informaci, ktere se prenaseji mezi serverem a prislusnou stanici.


    Firewall

    Pri budovani a nasledne i pri kazdodenni udrzbe musi vzdy platit: Co neni dovoleno, je zakazano!!

    Pri napojeni k celosvetove siti Internet nebo pri reseni rozsahlych siti typu WAN je prvoradym pozadavkem zachovani bezpecnosti informaci, dat, ale i struktury lokalni site, ktera je k siti WAN pripojovana. V teto souvislosti se dnes casto uvadi pojem firewall. Je tedy vhodne nejprve uvest, co je a co neni firewall.

    Firewall neni pouze nakonfigurovany smerovac. Neni to ani stanice nebo server, dokonce ani skupina systemu zajistujicich bezpecnost. Firewall je predevsim metodika, ktera pomaha implementovat moderni prvky pro zajisteni bezpecnostni politiky pri propojeni lokalni site se siti WAN (napriklad Internetem).

    Jde vlastne o soubor opatreni, ktera zajisti implementaci bezpecnostni politiky pomoci konfigurace jedne nebo nekolika stanic, routeru, pripadne i dalsich zarizeni. Hlavnim poslanim firewallu je zajistit, aby soucasne:

    Firewall by mel byt koncipovan tak, aby ochranil sebe i celou interni sit proti neautorizovanym operacim. Budovany firewall by mel umet odhalit a znemoznit pouziti chyb a der v implementaci nekterych programu (napriklad Sendmail), pokusy o odhaleni hesla zkusmo s pouzitim "crack" programu.

    Podle financnich moznosti uzivatelu, velikosti jejich site a citlivosti dat ulozenych na lokalni siti se nabizi nekolik moznosti, jak resit zacleneni firewallu do komunikacniho systemu spolecnosti. Zakladni moznosti reseni budou popsany dale.

    K cemu slouzi a co muze firewall zajistit:


    Vyhody firewallu a jejich prinos pro organizaci


    Co firewall neresi


    Filtrovani paketu

    Jak vlastne firewally pracuji? Jednim z nejcasteji pouzivanych opatreni, ktera zajistuji bezpecnost, je filtrovani paketu. Firewall, jehoz soucasti je filtrovani paketu, provadi spojovani provozu mezi sitemi na urovni aplikaci - tedy sluzeb a protokolu Telnet, FTP, DNS, Finger, SMTP, NFS, WWW atd.; pakety jsou filtrovany podle nakonfigurovane databaze uzivatelu na zaklade autentizace a autorizace uzivatelu. Firewall, ktery pouziva filtrovani paketu, tak zcela odstini provoz na interni siti a utaji strukturu vnitrni site pred externimi uzivateli, kteri nemaji podle databaze opravneni k pristupu. Firewall nezatezuje uzivatele dalsimi hesly, nemeni zpusob pouzivani sitovych sluzeb.

    Smerovac, ktery obvykle zajistuje pro firewall filtrovani paketu, se ridi nasledujicimi udaji: zdrojova IP adresa, cilova IP adresa, TCP/ UDP zdrojovy port, TCP/ UDP cilovy port.

    Filtrovani adres se pouziva predevsim pro uplne zablokovani pristupu ke konkretnim sitim a stanicim, pripadne pro zablokovani spojeni na konkretni porty.

    Preklad privatnich adres

    Pro zajisteni ochrany proti odposlechu vnitrni struktury site a sitovych adres se zavadi preklad adres uzivanych v lokalni siti na oficialni adresy pouzivane pro komunikaci s vnejsi siti.


    Aplikacni brany - Proxy servery

    Jelikoz zavedeni filtrovani paketu s sebou prinasi nektere nevyhody (neni mozne pouzivat nektere sluzby), zavadeji se do firewallu aplikace, ktere zprostredkuji bezpecne uzivani prislusne sluzby (napriklad Telnet, FTP). Vyhodou Proxy serveru je, ze umoznuji filtrovat samotny protokol. Napriklad nektere firewally umoznuji zakazat v protokolu FTP pouziti prikazu put. Nevyhodou soucasnych Proxy serveru jsou jejich ruzne standardy a chybejici normalizace rozhrani mezi klientem a Proxy serverem, a mezi Proxy serverem a aplikacnim serverem.


    Hardwarove konfigurace

    Jaka reseni se pouzivaji pro budovani firewallu? Zastavme se nejdrive u hardwarovych konfiguraci.

    Samostatne routery

    Pouziti samostatnych routeru pro ochranu lokalnich siti je pri stavu soucasnych komunikacnich prostredku nedostacujici. Routery totiz filtruji pakety pouze na linkove a sitove urovni a je tedy mozne pouze globalne povolit nebo globalne zakazat nektere sluzby ci pristupy. Spravce lokalni site a komunikacniho uzlu nemuze individualne pridelovat jednotlivym uzivatelum pristupova prava k vybranym sluzbam vnitrni nebo vnejsi site. Rovnez moznosti monitorovat komunikace mezi vnitrni a vnejsi siti jsou omezene. Routery umoznuji pristup z vnejsi do vnitrni site pouze zakazat nebo povolit, pripadne povolit pouze pro nektere adresy vnejsi site spojeni s nekterymi adresami vnitrni site.

    Packet Filter

    Firewall server slouzi zaroven jako gateway mezi vnejsi a vnitrni siti. Jde napriklad o unixovy server vybaveny komunikacnim rozhranim, kterym je tento server soucasne pripojen k vnitrni i vnejsi siti. V tomto pripade neni potrebny zadny dalsi hardware (napriklad router), nebot smerovani mezi vnitrni a vnejsi siti provadi firewall server.

    Dual- Homed Gateway

    Router (tzv. "Screening Router" nebo "Choke") zajistuje pripojeni lokalni site do Internetu nebo jine site WAN prostrednictvim firewallu. Screening Router je nakonfigurovan tak, aby dovolil spojeni z vnejsi site pouze na firewall server, ktery provadi autentizaci a autorizaci veskere prichozi komunikace.

    Screened SubNet

    Mezi Internetem nebo jinou externi siti a lokalni siti je umisten "Screened SubNet" lokalni site. Tento SubNet je propojen k Internetu i k lokalni siti pres Screening routery. Firewall server je zapojen jako soucast chraneneho SubNetu. Veskera spojeni mezi vnitrni a vnejsi siti mohou prochazet pouze pres firewall. Screening router, pouzity pro spojeni s Internetem nebo jinou externi siti, smeruje pakety pouze mezi externi siti a firewall serverem. Router do interni site smeruje pakety pouze mezi firewallem a vnitrni siti. Veskera komunikace tedy prochazi vzdy pres firewall server.

    Screened SubNet predstavuje nejbezpecnejsi zpusob pripojeni lokalni site k siti Internet nebo jine externi siti. Svou funkci je toto reseni castecne shodne s "Dual - Homed Gateway", pouze misto jednoho serveru je mezi externi a interni sit vlozen cely SubNet (napriklad jeden segment Ethernetu), oddeleny od lokalni i externi site routery. Krome firewallu se do chraneneho segmentu vkladaji i servery zajistujici dalsi sluzby, napriklad FTP, WWW, Gopher, mail.


    Softwarove konfigurace

    Pohled na firewally je treba doplnit jeste o softwarove konfigurace.

    Network Level - Firewall pracujici na sitove vrstve

    Firewally patrici do teto skupiny kontroluji pro kazdy IP paket zdrojovou adresu, cilovou adresu a cislo portu. Router lze povazovat za nejjednodussi Network Level Firewall. Moderni systemy teto kategorie jsou schopny zajistit i informace o stavu prave provadene komunikace nebo obsahu nekterych paketu. Administrator Network Level Firewallu definuje skupinu IP adres, ze kterych je provoz povolen, a skupinu IP adres, na ktere je IP provoz povolen. Network Level Firewall pak primo propousti takovou komunikaci, kde zdrojova IP adresa je obsazena v jedne a cilova IP adresa ve druhe definicni tabulce. Pro spravnou funkci je tedy nutne zajistit spravne prideleni a kontrolu vyuzivani IP adres uvnitr chranene site.

    Application Level - Firewall pracujici na aplikacni vrstve

    Firewall teto kategorie nepripousti zadny primy provoz mezi vnejsi a vnitrni siti. Komunikaci mezi sitemi zprostredkovavaji Proxy servery - softwarove moduly firewallu, ktere "rozumeji" pouzitemu aplikacnimu protokolu. Pri pouziti tohoto zpusobu pristupu do lokalni site je mozne definovat opravneni mnohem podrobneji nez v pripade Network Level Firewallu. Proxy servery umoznuji definovat komunikacni podminky jednotlivych uzivatelu i pro jednotlive prikazy a sluzby pouziteho protokolu (napriklad FTP Proxy server lze nakonfigurovat tak, ze umozni FTP prenos do interni site, a zaroven je mozne zakazat FTP prenos z interni site "ven").

    Proxy servery jsou aplikacne zavisle. Existuji Proxy servery pro Telnet, FTP, Rlogin, HTTP, Gopher a dalsi protokoly. Soucasti Proxy serveru jsou i moduly pro autorizaci vzdalenych uzivatelu, coz umoznuje nadefinovat pristupova prava k jednotlivym protokolum a sluzbam konkretne pro jednotlive uzivatele.

    Application Level Firewall se casto pouziva take jako prekladac IP adres (Address Translator). Protoze se v pripade Proxy serveru jedna o propojeni dvou komunikaci (uzivatel - Proxy server a Proxy server - server), pouziva se tedy i dvou ruznych IP adres. Tato vlastnost je uzitecna nejen v pripadech, kdy jiz interni sit pouziva IP adresy, ktere nebyly oficialne prideleny (a kdy tedy neni mozne prime propojeni lokalni site do celosvetove site Internet bez organizacne narocneho precislovani vsech stanic uvnitr lokalni site), ale predevsim preklad adres zabrani komukoliv z vnejsi site monitorovat strukturu a velikost lokalni site.

    Firewall teto kategorie je narocnejsi na vykon systemu, ale administratorum poskytuje detailni informace o provozu mezi sitemi az do urovne pouzitych protokolu a sluzeb. Umoznuje take presne definovat prava uzivatelu vnitrni i vnejsi site.


    Podle ceho vybirat

    Pri vyberu firewallu musime na jedne strane zvazit vlastni pozadavky a moznosti, a na druhe strane posoudit vyhody a nevyhody jednotlivych nabidek. Uvedene schema rozhodovaciho procesu je platne i pro vyber jinych bezpecnostnich prostredku, napriklad sifrovacich systemu (viz dale).

    Vyber podle poptavky (podle vlastnich pozadavku a moznosti)

    Vzdy je nutne vychazet z podrobne analyzy rizik, ktera hrozi prislusnym datum a cele organizaci v pripade, ze budou data poskozena nebo znepristupnena v dusledku neopravneneho utoku. Dale je nutne pred realizaci firewallu zvazit nebezpeci a rizika, ktera mohou vyplynout z odcizeni a ze zneuziti dat ulozenych na lokalni siti.

    Pri realizaci firewallu je nutne brat zretel i na moznosti prislusne organizace, vcetne toho, zda ma napriklad kvalifikovane pracovniky pro spravu a udrzbu firewallu a vsech jeho casti.

    Vyber podle nabidky

    Pri srovnavani jednotlivych firewallu od ruznych vyrobcu je nutne vzit do uvahy opet dve hlediska - za prve celkove naklady spojene s koupi a provozem firewallu, a za druhe vsechny prinosy, tj. vykon, spektrum poskytovanych sluzeb a podobne. Uvedene faktory jsou obecne platne i pro vyber jinych bezpecnostnich prostredku, napriklad sifrovacich systemu.


    Celkove naklady na zavedeni bezpecnosti

    Je nutne si uvedomit, ze samotna porizovaci cena jakehokoliv bezpecnostniho prostredku byva jenom zlomkem celkovych nakladu (to plati obecne pro vsechny soucasti informacnich systemu).

    Porizovaci cena se pohybuje ve velikem rozsahu v zavislosti na typu firewallu, od zhruba 30 tisic Kc za nejjednodussi softwarova reseni, az po nekolik milionu v pripade nejslozitejsich reseni typu "Dual-homed gateway" nebo "Screened subnet". Cena je casto zavisla take na poctu klientu, pripadne na dokoupeni ruznych "doplnkovych" vlastnosti.

    Pri posuzovani ceny je predevsim nutne pozorne sledovat, zda cena zahrnuje take nezbytny hardware (server apod.). Prodejci firewallu vetsinou cenu potrebneho hardware z konkurencnich duvodu neuvadeji; kvalitni slozite firewally vsak bezne vyzaduji vysoce vykonny (ale drahy) server.

    Naklady na provoz a udrzbu opet vetsinou souvisi s typem firewallu. Jde predevsim o mzdove naklady na praci specialistu; napriklad typy pracujici na unixovem serveru vyzaduji pritomnost prislusneho unixoveho specialisty. Velmi dulezitym parametrem je moznost centralni spravy vsech zarizeni. Predevsim ve vetsich organizacich, s mnozstvim vzdalenych pobocek, nebo velkym mnozstvim jednotlivych zabezpecenych uzlu, je velice podstatne, zda je nutne delat caste zmeny, a zda je mozno tyto zmeny provadet na dalku, z jednoho centralniho pracoviste. Tento parametr navic souvisi nejen s naklady, ale take s kvalitou bezpecnosti - system, kde neni mozne provest nejakou zmenu jednotne a naraz, neposkytuje dostatecne zaruky.

    Naklady na skoleni zamestnancu jsou dalsim velmi dulezitym parametrem. Tyto naklady souvisi predevsim s tim, na jake urovni je bezpecnost aplikovana. Napriklad bezpecnostni systemy, ktere pracuji na aplikacni vrstve, casto vyzaduji urcite zapojeni koncovych uzivatelu; v tom pripade je tedy nutne provest jednotne vyskoleni vsech uzivatelu, a nasledne provadet take permanentni kontrolu dodrzovani pravidel a opakovana skoleni.

    Dalsi vynucene naklady pri instalaci. Do teto polozky patri predevsim naklady na porizeni ci upgrade nutneho hardware (nejen samotne pocitace, ale i komunikacni infrastruktura) a take naklady spojene s upravou vsech dotcenych aplikaci.

    Budouci naklady spojene s rozvojem IT. Jiz pri nakupu je vhodne premyslet o tom, zda vyrobce poskytuje zaruky snadneho rozvoje vlastniho produktu (tj. zaruky kompatibility) a take zaruky transparentnosti pro budouci rozvoj ostatnich soucasti informacniho systemu. Jde napriklad o vzajemne ovlivneni pri rozvoji stavajicich aplikaci, pri zavadeni zcela novych aplikaci, ale take o rozvoj komunikacni infrastruktury - napriklad o moznost snadneho prechodu na jiny typ WAN, prechod na jine rychlosti komunikaci a podobne. Je tedy vhodne se zajimat o principialni transparentnost vuci aplikacim i vuci komunikacim, o dodrzovani mezinarodnich standardu a o modularnost cele stavby (pro moznost snadne vymeny jednotlivych komponent).


    Vyber podle kvality a vykonu

    Tento typ srovnani je asi ze vseho nejslozitejsi, nebot zde prichazi do uvahy rada parametru, casto vzajemne protichudnych. Napriklad vykonnost (neboli propustnost, pocet provedenych transakci za minutu, v zavislosti na poctu klientu) je obecne nizsi u firewallu typu aplikacnich bran; aplikacni brany vsak na druhou stranu poskytuji funkce, ktere filtrace datagramu nikdy neposkytne.

    Porovnani funkcnosti je jeste slozitejsi. U firewallu typu aplikacni brany lze napriklad porovnat, kolik aplikacnich bran (pro jednotlive sluzby) je implementovano. U vsech typu lze porovnavat, jake poskytuji prostredky pro autentizaci uzivatelu, jaka je kvalita monitoringu a auditu, jaka je snadnost ci komplikovanost konfigurace a administrace a podobne. Dalsim kriteriem muze byt take dostupnost doplnkovych vlastnosti, jako je napriklad moznost sifrovani dat.