Systémové dopady
rozvoje IT na bezpečnost
           Jan Müller, CSc.
               ICZ a.s.




    Business&Information...
Úvaha nad některými
aspekty bezpečnosti IT
 Všudypřítomnost a provázanost IT technologií
 a naše rostoucí závislost na IT ...
IT jako kritická
infrastruktura
 Tradiční aspekty bezpečnosti informací (moderněji
 spíše služeb)
    Důvěrnost
    Integr...
IT jako kritická
infrastruktura
 Přesto jsou v obchodním světě v reálném čase po sítích
 realizovány obrovské objemy obcho...
Nová rizika nebo nové
zranitelnosti?
 Přes některá nová rizika se velmi často jedná o staré
 hrozby, které pouze využívají...
Nová rizika nebo nové
zranitelnosti?
 M.C.Libicki: Cyberdeterrence and Cyberwar,
 RAND:
    …organizations are vulnerable ...
Nové zranitelnosti a naše
ochota umožnit jejich využití
 Zjednodušujeme nabídku služeb uživatelům
    Špatně zabezpečené c...
Nové zranitelnosti a naše
ochota umožnit jejich využití
 Gen. V.E.Renuart, USAF commander, NORAD
   „Information sharing e...
Komplexní povaha IT
bezpečnosti
 Neexistuje koncensus mezi uživateli, manažery a
 odborníky co je to IT bezpečnost, jaké j...
Komplexní povaha IT
bezpečnosti
 Rozkouskováním bezpečnosti na samostatné
 oblasti vzniká antisynergie, kdy odborníci z
 j...
Komplexní povaha IT
bezpečnosti
 Všechny uvedené aspekty jsou důležité, ale
 neméně důležité je udržovat je v rovnováze v
...
Komplexní povaha IT
bezpečnosti
 ZÁVĚR:
   Pro komplexní pochopení IT bezpečnosti v
   organizaci je třeba průběžně vyhodn...
A na závěr povzbuzení pro
manažery odpovědné za IT
bezpečnost

 You have to run as fast as you can just
 to stay where you...
Upcoming SlideShare
Loading in …5
×

08 jan muller [režim kompatibility]

699 views

Published on

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
699
On SlideShare
0
From Embeds
0
Number of Embeds
6
Actions
Shares
0
Downloads
4
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

08 jan muller [režim kompatibility]

  1. 1. Systémové dopady rozvoje IT na bezpečnost Jan Müller, CSc. ICZ a.s. Business&Information Forum 2010 1.6.2010
  2. 2. Úvaha nad některými aspekty bezpečnosti IT Všudypřítomnost a provázanost IT technologií a naše rostoucí závislost na IT – vznikají nové hrozby Tradiční hrozby mohou využívat nové zranitelnosti, které ochotně otevíráme Komplexnost a mnohotvárnost IT bezpečnosti
  3. 3. IT jako kritická infrastruktura Tradiční aspekty bezpečnosti informací (moderněji spíše služeb) Důvěrnost Integrita Dostupnost tradičně důraz na ochranu dat před vyzrazením, dostupnost spíš ve smyslu zálohování, a to jak v průmyslu a obchodu, tak i ve vojenství apod. Např. vyhláška 523/2005 Sb. o bezpečnosti informačních a komunikačních systémů: Při přenosu utajované informace komunikačním kanálem musí být zajištěna ochrana její důvěrnosti a integrity. Dostupnost služeb je vnímána pouze v kontextu obnovení činnosti po havárii
  4. 4. IT jako kritická infrastruktura Přesto jsou v obchodním světě v reálném čase po sítích realizovány obrovské objemy obchodů, kdy mnohé (např. na burze) jsou životně závislé na okamžité dostupnosti Podobně ve vojenství se používají RT služby, např. v Afganistánu vyhodnocování UAV v USA: Global Hawk during OIF: all operations were performed using reach-back to the MCE located in the CONUS Tzv. útok na Estonsko byl spíš neškodný ZÁVĚR: IT služby mají nyní často charakter kritické infrastruktury, nelze podceňovat útoky DoS I zde je nutno řešit základní problém CIP, což je provázanost, způsobující kaskádové efekty v systému
  5. 5. Nová rizika nebo nové zranitelnosti? Přes některá nová rizika se velmi často jedná o staré hrozby, které pouze využívají nové možnosti Specificky se to týká mnoha nových forem zločinu: Willie Sutton, when asked why he robbed banks, answered „because that‘s where the money is“ … To, že se zločin přesouvá na Internet, se vědělo již dlouho a je s tím prostě nutno počítat: SANS NewsBites December 13, 2002 EXPERTS PREDICT THE FUTURE OF COMPUTER SECURITY Bruce Schneier: I think the next big Internet security trend is going to be crime. Criminals tend to lag technology by five to ten years, but eventually they figure it out. Just as Willie Sutton robbed banks, modern criminals will attack computer networks.
  6. 6. Nová rizika nebo nové zranitelnosti? M.C.Libicki: Cyberdeterrence and Cyberwar, RAND: …organizations are vulnerable to cyberattack only to the extent they want to be … Nový vývoj umožňuje přístup k různým dříve nepřístupným aktivům proto, že TO SAMI CHCEME. Mezi cíle nyní nepatří jen digitální aktiva, ale i fyzikální systémy – SCADA/DCS v elektrických sítích, zpracování odpadu (Vitek Boden v Austrálii v r. 2000) atp.
  7. 7. Nové zranitelnosti a naše ochota umožnit jejich využití Zjednodušujeme nabídku služeb uživatelům Špatně zabezpečené citlivé služby přes nezabezpečené médium Zjednodušujeme život uživatelům a administrátorům systémů Nefunkční mechanismy autentizace/SSO: Microsoft LM/NTLM, MSCHAPv2, LEAP … Zjednodušujeme život uživatelům aplikací: automatické spouštění kódu, mobilní kód: Zeus Exploiting PDF Flaw to Infect PCs (April 15, 2010) … Technically, the flaw is not a vulnerability but "a by- design function of Adobe's specification." Zjednodušujeme život návrhářům Asynchronní konstrukce v Web 2.0, prototypové jazyky (Javascript) pro rychlé klonování, mashups aj.
  8. 8. Nové zranitelnosti a naše ochota umožnit jejich využití Gen. V.E.Renuart, USAF commander, NORAD „Information sharing enables everything we do.“ ZÁVĚR: Každá nová služba přináší Hrozbu DoS díky naší závislosti na této službě Velmi pravděpodobné nové zranitelnosti díky složité vnitřní konstrukci a neprůhledným dopadům vlastností jednotlivých komponent Každá nová služba musí být vyhodnocena z pohledu těchto rizik
  9. 9. Komplexní povaha IT bezpečnosti Neexistuje koncensus mezi uživateli, manažery a odborníky co je to IT bezpečnost, jaké jsou hlavní problémy a jaké jsou způsoby řešení Různí odborníci se tak soustřeďují (výlučně) na své zájmové oblasti: IDS/IPS a „perimeter defense“, monitorování AV systémy Kryptografické systémy Autorizace/autentizace Incident Response a budování CERT center Management SW a uživatelských systémů, zálohování Certifikace a standardy jako ČSN ISO/IEC 27002 – ISMS, BS 25999 – BCM, IEEE/EIA 12207 – SW life cycle apod. Biometrika, odhalovaní a bičování hackerů, PKI, dvoufaktorová autentizace, forenzní analýza atd. atd.
  10. 10. Komplexní povaha IT bezpečnosti Rozkouskováním bezpečnosti na samostatné oblasti vzniká antisynergie, kdy odborníci z jedné oblasti: používají externí výsledky a subsystémy mimo jejich bezpečnostní kontext – typicky v šifrování, kdy slabiny nejsou v šifře, ale v jejím použití (IV vektory, WEP, standardní hlavičky, chybné použití 3DES v autentizaci MSCHAPv2, atd.) si nejsou vědomi, jaké dopady budou mít jejich konstrukce na bezpečnost v jiných oblastech – např. mobilní kód, nezabezpečené systémy DNS, předvídatelná sekvenční čísla v hlavičce TCP/IP, hibernování paměti s hesly a vybalenými klíči na disk, autentizace symetrickými klíči atd. atd.
  11. 11. Komplexní povaha IT bezpečnosti Všechny uvedené aspekty jsou důležité, ale neméně důležité je udržovat je v rovnováze v rámci smysluplného systému – jsou to jen nástroje pro primární cíl bezpečnosti: „ensure business continuity, minimize business risk and maximize ROI“ Organizace musí vědět, jaké nástroje se jí proto vyplatí, tj. musí vědět: Jaká jsou její aktiva – kde má peníze a zdroje a co je poškodí Jaké jsou hrozby (někdo ukradne obchodní plán) a zranitelnosti (sekretářka ho nechává na stole) Jaké nástroje a za jakou cenu můžeme použít pro snížení rizik na přijatelnou míru
  12. 12. Komplexní povaha IT bezpečnosti ZÁVĚR: Pro komplexní pochopení IT bezpečnosti v organizaci je třeba průběžně vyhodnocovat rizika, a zejména u komplexních hrozeb a nových zranitelností sledovat vývoj ve světě Pro komplexní řízení IT bezpečnosti je vhodné mít standardizovaný proces ISMS (Information Security Management System), typicky podle ISO 27002, tak, aby žádné riziko nebylo zapomenuto (může ale být jen sníženo nebo akceptováno) Na konec ale důležité nejsou papíry a certifikace, ale reálné nástroje plnící konkrétní cíle
  13. 13. A na závěr povzbuzení pro manažery odpovědné za IT bezpečnost You have to run as fast as you can just to stay where you are. If you want to get anywhere, you'll have to run much faster. Lewis Carroll, Alice in Wonderland

×