IT a ochrana dat

Bezpečnost dat a výpočetních systémů je ve věku internetu jedním z klíčových problémů, se kterým se potýká pra...


Bezpečnost dat a výpočetních systémů je ve věku internetu jedním z klíčových
problémů, se kterým se potýká prakticky každý. Pokud navíc společnost umožňuje
přístup do svých systémů přes internetové aplikace i svým zákazníkům,
dodavatelům nebo partnerům, celý problém dostává nový rozměr.
Zjednodušeně si můžeme celou oblast ochrany dat vymezit třemi základními
požadavky:
zajištění přístupu jen oprávněným osobám
zajištění bezpečnosti komunikačních kanálů, kterými jsou data přenášena
zajištění integrity (neporušenosti) a autenticity (věrohodnosti) dat

Šustrmat je ostudou
Technické prostředky (hardware a software) dnes umožňují realizovat celou řadu
způsobů splnění naprosté většiny požadavků výše uvedených kategorií, ale přesto
zůstávají pouze výkonným nástrojem bezpečnostní politiky organizace, která musí
na nejvyšší úrovni definovat pravidla pro bezpečnou činnost každé instituce.
Pouze tehdy, když je bezpečnostní politika promítnuta do technické roviny, ale
také současně doplněna písemnými pokyny na organizační úrovni, se lze vyhnout
paradoxním situacím, kdy je velmi bezpečný systém "poražen" o třídu silnějším
nástrojem tahákem s heslem přilepeným na monitoru. V šachu se tomu říká
"ovčácký mat" nebo také "šustrmat" mat na tři tahy. Heslo na monitoru však může
oproti tomu znamenat mat na jeden tah.

Řízení přístupu
Díky velmi rychlému rozvoji komunikace se původně negativistický postoj
bezpečnostních správců pomalu transformuje v pozitivní úkol, a sice jak umožnit
své společnosti provozovat všechny obchodní a jiné aktivity tak bezpečně, jak
jen to je finančně a organizačně možné.
Dnes již správce nemůže jednoduše říci: "Tuto aplikaci nelze provozovat z
bezpečnostních důvodů," aby přitom současně nehledal způsoby, jak ji provozovat
bezpečně.
Jen velmi málo systémů lze provozovat v režimu úplného oddělení od svého okolí,
a proto je jedním z hlavních úkolů současnosti zajištění dostatečné pružnosti
ochranných systémů. Samozřejmě, že největší rizika přináší právě připojení do
internetu, který přináší kombinaci obrovského množství zájemců a současně
vysokou míru anonymity.

Komunikační kanály
Po vyřešení problematiky ochrany a řízení přístupů je v těsném závěsu otázka
ochrany těch vzdálených síťových přístupů, které jsou bezpečnostní politikou
povoleny.
Vzhledem k rozšiřující se škále produktů nabízených telekomunikačními operátory
se stále více stírají pojmy mezi sítí privátní, veřejnou a také mezi tzv.
pevným připojením a datovými přenosy mobilními technologiemi.
Podle konkrétních potřeb lze jednotlivé technologie flexibilně kombinovat a
vytvářet cenově efektivní komunikační struktury pro každý typ organizace.
Ochranu přenášených dat lze realizovat na různých úrovních, od využití nabídky
privátních linek přes zajištění šifrování na obecné úrovni protokolu TCP/IP až
po zabezpečení na úrovni aplikačního protokolu (HTTPS apod.).

Integrita a správnost
Zajištění integrity je podstatný požadavek ve všech fázích práce s daty, tedy
při jejich pořizování, ukládání, úschově i následném zpracování. Hlavními
prvky, které za integritu a správnost dat odpovídají, jsou aplikace, jež s
těmito daty pracují, nicméně je možné uhlídat integritu dat i na úrovni
bezpečnostních systémů. Asi nejznámějším článkem této oblasti je tolik
diskutovaný elektronický podpis, který na úrovni výměny dokumentů zajišťuje
nejen identifikaci autora, ale současně také potvrzuje integritu (tedy
původnost) předávaných dat.

Autentizace
Samostatným problémem je pak autentizace (ověření) osoby, které k datům
přistupuje nebo s nimi manipuluje. Systém založený na statické (byť v čase
proměnlivé) kombinaci uživatelského jména s heslem je nedostatečný, neboť
nezajišťuje ani potřebnou ochranu, ale ani záruku, že ten, kdo se za někoho
vydává, jím skutečně je. Elektronický podpis ve skutečnosti sám o sobě v tomto
případě také není řešením, neboť zajišťuje pouhé spojení fyzické osoby s jeho
nějakou elektronickou prezentací, ale nikoliv už ochranu této elektronické
prezentace. Ta je často opět zajištěna pouze heslem, a jeho zneužití je velmi
jednoduché. Proto dochází k rozvoji technologií sloužících k zapouzdření
identifikace do fyzického prvku (identifikační karty) nebo k využití unikátních
vlastností některých částí lidského těla, jako např. biometrie.

Neautorizovaný přístup
Neautorizovaný přístup ke chráněným datům a jejich následné odcizení je
základním nebezpečím, které může vyústit v několik vážnějších důsledků, jako je
jejich zneužití nebo poškození. Samotné odcizení dat bývá zpravidla obtížně
dohledatelné a ve většině případů jsou identifikovány právě výše zmíněné
závažnější důsledky. Hlavními prostředky ochrany jsou systémy firewallů,
doplněné o kvalitní autentizační mechanismy.

Ztráta a poškození dat
Ztráta nebo poškození dat jsou problémem, který je běžnou součástí života
každého oddělení IT. Paradoxně jsou hlavní prvky ochrany mimo bezpečnostní
oblast a to jsou archivní a obnovovací systémy v kombinaci s řešeními HA (High
Availability). Důvody jsou nasnadě, hlavní příčinou jsou totiž zpravidla
hardwarové nebo softwarové chyby, a nikoliv zásah člověka. Specifickou oblastí
pak jsou poškození způsobená činností hackerů nebo virů.

Hackeři
To jsou téměř mýtické bytosti, jejichž hlavní činností, nebo spíše zábavou, je
hledat a prorážet slabiny v informačních systémech a přístupech k nim,
popřípadě zkoušet své schopnosti pronikat překážkami vystavěnými komerční nebo
vládní sférou.
Dnes jsou nástroje, které mohou zájemci použít bez detailní znalosti věci,
volně dostupné, a tudíž je poměrně snadné zkoušet odolnost cizích sítí a využít
elektronického útoku například pro sledování konkurence.
Ochrana před hackery je dána souborem opatření od kvalitní koncepce
bezpečnostního systému přes nasazení vyzrálých technologií, sledování
bezpečnostních hlášení výrobců provozovaných systémů až po důsledné dodržování
zásad "bezpečnostní hygieny".

Viry
Viry jsou asi nejznámějším pojmem, který zná i ten, kdo v životě s počítačem
nepracoval. Hlavními příčinami jejich rychlého šíření jsou e-mail a stahování
programů, a tím i následných negativních důsledků. Ochrana proti virům je v
principu velmi jednoduchá a spočívá na dvou základních stavebních kamenech na
včasném rozeznání viru a na jeho eliminaci pomocí adekvátních technických
prostředků (antivirů), a tím v zamezení důsledkům jejich činnosti.

Katastrofy
Zejména technické katastrofy jsou nečastější příčinou ztráty či poškození dat
nebo zamezení přístupu k nim. V poslední době získaly na významu katastrofy
přírodní, jejichž důsledky pocítila řada organizací i u nás. Jedinou
smysluplnou ochranou je pravidelné zálohování dat a budování robustních systémů
s prvky vysoké dostupnosti v podobě duálních, geograficky oddělených systémů
(clusterů).

Technická řešení
V rámci popisu jednotlivých technických řešení jsou specifikovány
nejdůležitější prvky využívané k ochraně dat a přístupu k nim. Sem patří
firewally, VPN, IDS, antiviry, autentizační a autorizační systémy, šifrování a
další, nové systémy, kam patří například biometrie.

Firewally
"Bezpečnostní zeď" je stále hlavním prvkem při ochraně přístupu k informačním
systémům. Princip firewallu je jednoduchý na základě definice bezpečnostní
politiky propouští tok dat, nebo mu naopak brání, a sice na úrovni jednotlivých
komunikačních protokolů. To je také jeho největší slabinou, neboť takto
pracující firewall nepostihuje stavovou komunikaci mezi aplikacemi, ať už při
propojení B2B, nebo při práci uživatele s konkrétní aplikací.
Klasické systémy firewallů ale zpravidla bývají bezmocné v případě útoku
vedeného povoleným aplikačním protokolem proti chybě na cílovém serveru.
Na úrovni jednotlivých klientů pak lze používat tzv. systémy "personal
firewall".

VPN
VPN (Virtual Private Network) je základním prvkem zajišťujícím vytvoření
chráněného komunikačního prostoru (pomocí šifrování, v některých případech
logického oddělení na úrovni telekomunikační infrastruktury), a to mezi dvěma a
více body. VPN je možné používat přes veřejnou infrastrukturu, jakou je
telefonní síť nebo internet, a díky tomu výrazně snížit náklady na realizaci
těchto propojení i při zachování potřebné míry bezpečnosti.
Mezi VPN pak lze rozlišit různé varianty, například VPN pro stacionární
bezpečnostní systémy nebo tzv. klienty VPN programové vybavení pro jednotlivé
stanice. Pro kanály VPN je dnes standardem šifrovací schéma IPSEC a šifrovací
protokoly 3DES a AES.
Mezi nejčastěji rozšířené bezpečnostní systémy na VPN patří právě firewally.

IDS
IDS (Intrusion Detection System) je prvkem, který reaguje na potřebu
flexibilního rozeznávání povolené a nepovolené komunikace pomocí sledování a
průběžného vyhodnocování komunikace přes sledované kanály a aktivní reakce ve
chvíli, kdy dojde k "objevení" nepovoleného vzorce. Výhodou IDS je, že umožňuje
řešit stavovou komunikaci včetně rozeznávání jemnějších problémů, jako jsou
např. nepovolené znaky v zadávaném URL apod.
Z hlediska analýzy komunikace můžeme rozlišit sondy IDS pracující na síťové
úrovni, kde provádějí veškerou analýzu toků na síti, nebo sondy serverové,
chránící konkrétní servery. Systémy IDS bývají ve většině případů nasazeny v
rámci uceleného projektu, neboť podstatnou částí dodávek jsou služby vyladění
těchto systémů a následného vyhodnocování jejich činnosti.

Antiviry
Antiviry jsou snad nejznámější součástí obrany před nežádoucími vetřelci. Měly
by být základní výbavou firmy i uživatele.
Z hlediska nasazení ve firmách se prakticky vyskytují tři místa, kde má smysl
mít nainstalovaný antivirový systém. Jedná se o koncové stanice, centrální
souborové a poštovní servery a dále se jedná o bezpečnostní bránu do veřejných
a jiných externích sítí.
Kromě funkce detekce virů v přílohách elektronické pošty je důležité ošetření
dalších protokolů, zejména HTTP a FTP, které mohou posloužit přenosu virové
infekce. Kvalitní antivirový systém umožňuje nejenom viry detekovat, ale také
selektivně řídit tok souborů v závislosti na typech koncovek (přípon).

Autentizační systémy
Jedná se systémy určené k ověření identity osoby nebo systému, který chce
přistupovat k určitým datům nebo s nimi manipulovat. Jsou buď přímo součástí
jiného systému (webového serveru), nebo samostatnou komponentou. Dnes je k
dispozici celá plejáda možných řešení, od prosté autentizace jménem a heslem
přes čipové karty až po mobilní telefony apod. Rozhodující je, co chceme za
určitou míru ochrany zaplatit a jakým nebezpečím čelit. Tyto systémy nahrazují
tradiční kombinaci hesla a uživatelského jména např. elektronickým podpisem
nebo jinou formou elektronické identifikace, zapouzdřenou do fyzické podoby
např. do čipových karet, klíčenek USB, karet SIM, klíčů PIN apod.

Autorizační systémy
Pojmy autorizace a autentizace jsou často zaměňovány. Autorizační systém
využívá informaci o identifikaci uživatele z autentizačního systému a mapuje ji
na definici práv daného uživatele provést konkrétní operaci.
Autorizační systémy tedy slouží k centralizaci práv přístupu uživatelů k
ostatním systémům. Autorizační funkce bývá často zahrnuta v konkrétním
bezpečnostním nebo síťovém prvku (firewall, směrovač) a ten je pak napojen na
externí autentizační systém.

Šifrování
Speciální oblastí ochrany dat je šifrování, které je analogií k uzavření
dokumentu do obálky, aby ji viděl jen cílový adresát, s tím rozdílem, že
ochrana je v tomto případě znatelně vyšší.
V závislosti na konkrétních podmínkách jsou v praxi používány systémy s tzv.
asymetrickým šifrovacím klíčem, který umožňuje komunikovat bezpečně bez
předchozí výměny klíčů jiným bezpečným kanálem, anebo systémy se symetrickou
šifrou, které jsou rychlejší, a tedy propustnější. Asymetrické šifry je často
použito pro výměnu symetrického šifrovacího klíče, kterým je pak prováděno
vlastní šifrování.

Nové technologie
V rámci diskusí o rozvoji ochrany dat je často zmiňovaným tématem autentizace
např. pomocí biometrických systémů.
Tato myšlenka není úplně nová, ale jejímu masovějšímu nasazení doposud bránily
některé technické problémy, související se spolehlivým snímáním a následným
vyhodnocováním biometrických rysů uživatele. K nejčastěji implementovaným
charakteristikám patří otisky prstů a obrazy zřítelnice oka. Vzorek hlasu je
pro bezpečnou autentizaci prakticky nevhodný, a sice z důvodu jeho snadného
zachycení a zkopírování.

Nejbližší výhledy
Paradoxně největším problémem bezpečnostních technologií se stávají ony samy,
neboť jejich komplexnost i různorodost produktů vedou k vytváření nebezpečí
příliš velké fragmentace. Velkou pozornost proto zasluhují systémy
centralizující správu a nasazování bezpečnostní politiky.
Z hlediska nejbližšího vývoje lze očekávat vzhledem k rostoucí komplexnosti
datové komunikace masivnější rozšíření systémů IDS, jejichž počet instalací je
stále minimálně o řád nižší než počty systémů typu firewallů.
Bezpečnostní systémy budou stále mohutněji provazovány s dalšími
infrastrukturálními částmi a budou lépe rozumět datovým tokům na aplikačních
vrstvách.
Velký prostor se také otevírá v oblasti zabezpečení mobilní komunikace, kde
spolu s rostoucími možnostmi mobilních telefonů a sítí bude ruku v ruce
narůstat potřeba ochrany nových inteligentních zařízení před viry a cílenými
útoky tak, jak to známe z běžných datových sítí a počítačů kategorie PC.
Autor je ředitelem divize bezpečnosti a infrastruktury u společnosti Corpus
Solutions.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.