iBiz - PC Magazine Romania, Mai  2001

Riscuri de securitate şi soluţii

Una din cele mai mari provocări cu care se confruntă astăzi companiile este utilizarea la maximum a avantajelor internetului. Să creezi şi doar să urmezi un model foarte bun de afacere eCommerce nu este de ajuns. Execuţia, punerea în practică, este adevăratul test. Fără îndoială, unii au utilizat modele ce au pornit de la concepte defectuoase însă şi mai mulţi au căzut victimă problemelor operaţionale, de la securitatea redusă până la sistemele back-end prost proiectate şi nesigure.

În ce măsură compania voastră este pregătită să pună în practică strategia sa online? Va fi ea capabilă să integreze infrastructura sa cu procesele cheie de afaceri? Sunt sistemele voastre sigure, disponibile şi fiabile? Controalele şi procedurile de administrare necesare funcţionează corect? Evaluarea acestor riscuri este o sarcină complexă, care depăşeşte capacităţile chiar ale specialiştilor avansaţi în sisteme informatice şi reţele. De aceea, multe companii apelează la auditori independenţi pentru evaluarea integrităţii sistemelor, identificarea riscurilor asociate şi dezvoltarea soluţiilor alternative.

Peisajul tot mai complicat şi în rapidă schimbare al sistemelor, precum şi noile tehnologii, cum ar fi comerţul electronic, accesul la distanţă, intra/extra/inter-netul au extins mediul informatic al companiilor către zone care copleşesc majoritatea CIO. De aceea, firmele de audit specializate identifică factorii de risc interni şi externi companiilor, le ajută să prevină întreruperile de activitate cauzate de aceste riscuri şi să evite vulnerabilităţile de securitate la nivel de corporaţie.

Multe companii nu pot detecta incidentele de securitate. Sau păstrează tăcerea în legătură cu atacurile de securitate pentru că astfel de informaţii pot serios afecta imaginea lor şi implicit cotaţiile lor pe piaţă. Conform US Department of Defense ,,din 8932 de computere atacate, în 7860 s-a pătruns, 390 au detectat atacul şi numai 19 l-au raportat". Mai mult, studii ale companiilor specializate în auditarea sistemelor informatice arată că angajaţii generează peste 65% din incidentele de securitate.

Adesea, companiile solicită investigaţii minuţioase ale sistemelor lor informatice, atât din perspectivă internă cât şi externă. La nivelul companiei şi al sistemelor informatice, auditorii evidenţiază dezalinierile dintre politicile interne şi cele de securitate",breşele de securitate", ameninţările, vulnerabilităţile sau lipsurile organizaţionale. Planul de audit include realizarea de analize atac şi penetrare din exterior, în timp ce din interior se prevăd analize de securitate (conform SAS 70, de exemplu) iar mai departe definirea profilurile de securitate ale utilizatorilor în sistemele informatice.

O analiză atac şi penetrare (A&P) oferă un test real nedestructiv al expunerii organizaţiei la vulnerabilităţile de securitate şi determină gradul de susceptibilitate la un atac extern sau vulnerabilităţile interne. Testarea este îndeplinită prin încercarea de a realiza incursiuni reale în mediul informatic, după o înţelegere prealabilă şi monitorizare permanentă din partea companiei.

Efectuarea corespunzătoare a analizelor A&P oferă o abordare structurată a examinării securităţii unei organizaţii. Această activitate nu este ,,hacking", aşa cum este înfăţişat de mass-media, ci o examinare detaliată a funcţionalităţilor de securitate şi a tehnologiilor adiacente ce le susţin.

Scenariile de atac includ capacitatea de a vizualiza, sustrage, modifica, distruge sau de a interzice accesul la informaţiile companiei în calitate de ,,entitate din exterior", care nu cunoaşte operaţiunile organizaţiei, şi de ,,entitate din interior", consultant, auditor sau partener de afaceri. Aceste scenarii se aplică la nivelul internet, intranet, extranet şi accesului de la distanţă.

Scopul final al analizei A&P este de a identifica ,,golurile de securitate" şi de a le corecta înainte de a fi utilizate în scopuri neautorizate, utilizând concluziile reieşite din:

• analiza A&P, care furnizează rezultate eficiente şi recomandări de îmbunătăţire a securităţii
  
• analiza ameninţărilor şi a vulnerabilităţilor, care oferă analize tehnice şi administrative minuţioase ale infrastructurii informatice (ex. aplicaţii, sisteme de operare, baze de date, reţele, routere, acces de la distanţă etc.). Auditorii utilizează unelte şi scripturi proprietare de interogare pentru a analiza controalele existente. Aceştia evidenţiază pentru platforma existentă vulnerabilităţile sistemice cunoscute şi analizează politica de securitate în raport cu cele mai bune practici din domeniu.
  
• analiza infrastructurii de securitate care ilustrează existenţa politicii şi a programului de securitate, procesele şi procedurile acestora. De asemenea, caută să identifice punctele tari şi cele slabe ale practicilor de securitate a informaţiilor din cadrul companiei şi să ofere o evaluare completă a arhitecturii actuale de securitate.
  

Prin utilizarea unei combinaţii de unelte şi tehnici specifice se determină profilul organizaţiei prin realizarea aşa-numitei ,,footprint review". Această analiză constă în următoarele etape:

• Enumerarea elementelor reţelei, care identifică numele de domenii, reţelele asociate şi adresele IP existente. În continuare, se determină căile de acces în reţea utilizând unelte speciale pentru a trasa anumite porturi TCP sau UDP, trecând efectiv peste regulile tradiţionale de filtrare ICMP. Rezultatul este o hartă comprehensivă care ne permite să vedem la nivel logic căile de acces disponibile cuiva din exterior şi să determinăm listele cu drepturi de acces (ACL) implementate în router sau firewall.
  
• Interogarea DNS care, în cazul unui server DNS greşit configurat, poate oferi informaţii despre host-ul extern şi adresele interne, furnizând astfel un plan complet al reţelei companiei.
  
• Identificarea hosturilor care determină sistemele "vii" conectate la internet.
  Pentru acestea din urmă, se începe prin scanarea porturilor fiecărui sistem, determinând care porturi de servicii (TCP/ UDP) sunt prezente şi ascultă. Aceste scanări pot include scanări standard TCP/ UDP, scanări ascunse, scanări cu fragmentare, scanare TCP reverse ident, atac FTP bounce şi TCP Fingerprinting.
  

Următorul pas constă în încercarea de a extrage cât mai multe informaţii din sistemul ţintă. Dacă serviciile de ,,informare", cum ar fi finger şi rusers, sunt deschise, se pot obţine username-ul şi informaţii referitoare la acest cont, ceea ce ne-ar putea ajuta să ne conectăm la sistem. Apoi realizăm o corespondenţă între atributele specifice sistemului şi punctele vulnerabile identificate, inclusiv versiunea OS, versiunea specifică fiecărui serviciu de informare, precum şi arhitectura fiecărui subsistem.

Ultimul pas constă în corelarea vulnerabilităţilor identificate mai sus. Corelarea vulnerabilităţilor este o practică ce foloseşte vulnerabilităţi cu risc mic sau mediu, depistate pe diferite platforme, pentru a dobândi acces privilegiat. Astfel, este posibil ca un scaner să depisteze vulnerabilităţi cu risc scăzut sau mediu dar să nu poată stabili dacă un atac care combină aceste vulnerabilităţi va genera sau nu o breşă de securitate. Această expertiză suplimentară reprezintă adevăratul beneficiu pe care un profesionist în sisteme de securitate îl poate oferi unei organizaţii.

Pe baza înţelegerii prealabile cu compania, auditorii fie caută să obţină ,,trofeele" agreate de la început cu compania (fişiere sau informaţii din sistem), fie lasă mici fişiere care să ateste reuşita atacului, fie documentează la nivel de screenshot activitatea realizată.

Dovezile concrete privind vulnerabilităţile sistemului de securitate reprezintă un avantaj enorm pentru obţinerea unor resurse suplimentare de securitate, după efectuarea unei verificări a posibilităţilor de penetrare. Acestea pot constitui o bază şi pentru justificarea unei majorări a bugetului alocat securităţii inforrmaţiilor. Timpul şi efortul cheltuit acum vă vor aduce beneficii majore mai târziu. Din păcate, identificarea vulnerabilităţilor existente reprezintă doar jumătate din luptă, iar acestea, împreună cu cauzele care le provoacă, trebuie corectate.

Deseori firme importante doresc să dezvolte încrederea clienţilor sau partenerilor de afaceri şi solicită ca auditori independenţi specializaţi în sisteme informatice să evalueze dacă procesele şi tehnologiile ce se aplică în cadrul companiei sunt conforme cu practicile şi politicile stabilite.

Din instinct, consumatorii sunt îngrijoraţi atunci când li se cere să trimită informaţii personale într-o reţea computerizată. Pentru a elimina din aceste temeri, multe dintre firmele care-şi desfăşoară activitatea online postează o declaraţie de confidenţialitate pe care ei o consideră importantă în construirea încrederii consumatorilor. Dar cum pot fi consumatorii siguri că o firmă - cu care poate că nu au mai lucrat/auzit până atunci - îşi va respecta cu adevărat promisiunile?

Tocmai din această teamă legată de problemele de confidenţialitate multe persoane renunţă la comerţul online. Într-un studiu efectuat recent de IBM, 61% din consumatorii din Statele Unite au declarat că au renunţat să mai folosească website-urile deoarece le-a fost teamă de modul în care ar putea fi folosite informaţiile lor personale.

În multe din cazuri, soluţia este dobândirea a CyberProcess CertificationSM (CPC), care furnizează un raport independent asupra modului în care este condusă afacerea lor. În plus, ei pot plasa o pictogramă pe website, dovedind că au fost verificaţi de o entitate certificată. Compania beneficiază în acest caz de utilizarea unor standarde recunoscute, cum ar fi BS 7799, SysTrust şi WebTrust (un set de principii de confidenţă în sistem, de securitate şi integritate a tranzacţiilor, elaborat de AICPA şi CICA). În cazul website-uri această certificare este mai mult una funcţională decât una tehnologică (cum ar fi, de exemplu, Verisign).

Neasigurarea securităţii informaţiilor implică şi lipsa confidenţialităţii lor. De aceea, consumatorul are nevoie de o asigurare, dată de o entitate independentă, că o anumită companie a implementat politici referitoare la confidenţialitate şi că aceste politici sunt respectate. Firmele independente de contabilitate şi audit oferă o asigurare rezonabilă că situaţiile financiare ale unei companii nu conţin erori. Această ,,asigurare rezonabilă" lipseşte în lumea online de astăzi. În prezent, website-urile nu sunt obligate să asigure în mod independent confidenţialitatea şi securitatea informaţiilor personale sau încrederea în tehnologia pe care o folosesc.

Însă procesul nu se încheie aici. Auditorii efectuează verificări periodice pentru a se asigura că respectiva companie continuă să îşi respecte politicile declarate.
Este important pentru consumatori să se simtă în siguranţă şi ca toate companiile să demonstreze că respectă politicile pe care le-au declarat ceea ce ajută la construiască un mediu de afaceri bazat pe încredere.

Gabriel Apostu este manager al departamentului Information System Assurance and Advisory din Ernst & Young România.
Îl puteţi contacta la adresa: [email protected]

Unde sunt riscurile şi cum le identificăm:
- Informaţii stocate în calculatoarele companiei (de exemplu, detalii asupra cărţilor de credit)
- Datele pot fi vulnerabile în faţa hackerilor din exteriorul companiei sau angajaţilor rău intenţionaţi?
- Cum recunoaşte clientul că tranzacţionează pe internet cu o companie reputabilă?
- Cum ştie clientul că tranzacţiile lui sunt procesate corect, complet şi la timp?
- Cum ştie clientul că informaţia lui privată va fi protejată corespunzător?
- Cum se măsoară, evaluează şi ordonează, în funcţie de importanţă, riscurile TI?
- Cum sunt definite riscurile TI cu impact mare, mediu şi mic?
- Cum vă ocupaţi de securitate sau vă protejaţi împotriva unui atac?
- Ce proceduri există pentru a răspunde schimbărilor impredictibile în infrastructuta TI?
- Ce planuri de rezervă există dacă sistemele (inclusiv cele TI) nu funcţionează?
- Ce proceduri există pentru gestionarea rapidă a riscurilor legate de securitatea TI?
- Cum vă preocupaţi în continuare de riscurile pe care nu le-aţi identificat?

Primele 5 ameninţări includ:
- Hackerii
- Competitorii
- Entităţile străine
- Vânzătorii
- Clienţii

Cele mai multe riscuri care necesită protecţie sunt asociate:
- Valorii financiare a informaţiei
- Valorii competitive a avantajului informaţional
- Impactului asupra operaţiunilor
- Percepţiei publice şi individuale
- Chestiunilor juridice şi regulatoare
- Mediului economic şi social (riscuri sistemice)

cuprins - Supliment Internet Business