A továbbiakban a http://blog.itent.hu címen olvashatóak az informatikai biztonságról szóló cikkeim.
Új helyen folytatom
március 4th, 2010Bizalmas adatokat kukáztam
november 6th, 2009Magam sem hittem volna, hogy belevetem magam a konténerbe. Épp az étteremből sétáltunk vissza a kollégákkal a gyárba, amikor az egyik neves informatikai cég épülete előtt egy nagy, lomtalanító konténerre lettem figyelmes. Informatikai biztonsági specialistaként egyből megszólalt a fejemben a vészcsengő: Hohó! Itt értékes kincsek lehetnek.
A többiek beszélgetése elhalkult számomra, fél szemmel már a konténert figyeltem. Dossziék!! CD-k!! Határidő-naplók! Őrület, micsoda fogás! Szóltam a társaimnak, akik csillogó szemekkel kezdték nézegetni a CD-ket és oktatási anyagokat.
Találomra kivettem egy CD lemezt, ez állt a tokjába csúsztatott papírfecnin:
Archiv 01
A nulla áthúzva természetesen, jó informatikus szokás szerint. Alatta pedig többek közt: Outlook.
Tehát ezt valakinek a vállalati levelezésének, határidőnaplójának az archívuma. A nagyvállalati környezetben bevett szokás, hogy a megbeszélések jegyzőkönyveit a résztvevők emailben megkapják, tehát nagy valószínűséggel komoly belső információkat tartalmazhat a CD-re mentett PST (Outlook Személyes Mappa) fájl.
Hihetetlen, hogy a céges archívumot csak úgy kirakták az utcára. Ha ezt egy informatikai biztonsági audit során egy auditor találja meg, akkor oda a cég minősítése. Ha pedig rossz kezekbe jut, jóvátehetetlen károkat okozhat a vállalatnak.
A szóban forgó cég nagyságát ismerve, minden bizonnyal ezek az adatok már nem értékesek, annyira elavultak, hogy nem lehet őket felhasználni, ezért ezt ki lehetett dobni.
De mi a teendő azokkal az adathordozókkal, papírokkal, feljegyzésekkel, határidő naplókkal, amik még releváns adatokat tartalmaznak? Hogyan kell megfelelő módon megszabadulni ezektől?
Zúzdába velük!
Minden olyan papírt, amin szenzitív információ, pl. személyes adat, a cég belső struktúrájára vonatkozó adat, belső feljegyzések, jegyzőkönyvek, szigorúan tilos az irodai papírkosárba dobni! Elég arra gondolni, hogy a takarító személyzet tagjai közt lehetnek akár ipari kémek is.
Az ilyen iratoktól csak külön erre a célra rendszeresített iratmegsemmisítő berendezéssel szabad megszabadulni.
Ugyanez a helyzet az adathordozókkal: a modern iratmegsemmisítők be tudják zúzni a CD és DVD lemezeket is, ezáltal végleg olvashatatlanná téve őket.
Nagyon fontos, hogy tisztában legyünk a következőkkel:
- Munkahelyünkön mit tartalmaz az adatkezelési szabályzat (ha van ilyen)
- Hol van(nak) az iratmegsemmisítő(k)
Ne bízzuk a véletlenre a bizalmas adatok védelmét! Ne segítsük azokat, akik visszaélhetnek ezekkel az információkkal. Ha elbukik emiatt a cég, ahol dolgozunk, a lavina előbb vagy utóbb minket is elér, és előfordulhat, hogy a munkahelyünk kerül veszélybe.
Másnap…
Másnap is ott volt a konténer. Az eső jó munkát végzett, jó eséllyel olvashatatlanná tette a CD-ket és DVD-ket. Ahogy a sarkon befordultunk, a vállam fölött visszanézve még láttam, ahogy egy sárga kabátos férfi unott arccal piszkálgatja a konténernek álcázott adatbázis rekordjait…
Ingyenes vírusvédelem a Microsoft-tól.
november 5th, 2009Magam is meglepődtem, amikor egy kollégám megemlítette, hogy a Microsoft nemrég kiadott egy ingyenes vírusvédelmi szoftvert:
Kifejezetten otthoni felhasználásra adták ki, a felhasználás egyetlen feltétele, hogy legális Windows operációs rendszer fusson a számítógépen.
Még nem volt időm kipróbálni, de a leírás alapján a vírusok, kémprogramok, és egyéb ártó programok elleni védelmet nyújt.
A termék honlapja az alábbi címen érhető el:
http://www.microsoft.com/Security_Essentials/
Letölteni is innen lehet, és egy videofelvétel is megtekinthető a program telepítéséről.
Mindenképp érdemes adni egy esélyt neki, mert első ránézésre is jóval többet nyújt, mint a többi ingyenes vírusvédelmi szoftver.
Korlátokon innen és túl: Miért korlátozza a munkáltató az internet-használatot?
augusztus 23rd, 2009Sokakat hallok panaszkodni arról, hogy a munkáltatójuk, vagy iskolájuk bizonyos weboldalak megtekintését letiltotta. Sőt, egyes szolgáltatások sem érhetőek el a belső hálózatról, tipikus példa erre az SMTP, vagy a POP3, FTP. Ilyenkor mindig azt mondom magamban: nagyon helyes!
Miért korlátoz a munkáltató vagy az iskola?
Röviden: Önvédelemből. Védi magát. Védi az értékeit. Védi az érdekeit. Azért, mert a titkait meg akarja őrizni saját magának. Azért, mert Ő fizeti az internet kapcsolatot amit használnak a felhasználók, és Ő viseli a felelősséget a hálózati forgalomért.
Bővebben: Az üzleti titkait, illetve érdekeit védendő létrejön előbb-utóbb minden vállalatnál egy Informatikai Biztonsági Szabályzat és egy Elfogadható Használatról Szóló szabályzat. Ezekben benne van, hogyan kell az adatokkal bánni, mit szabad és mit nem szabad a számítógéprendszerben csinálni. Ezt a felhasználókkal elfogadtatják, majd elkezdik betarttatni velük. Mivel emberek vagyunk, szeretünk kibújni ezek alól a szabályok alól, ezért jönnek a korlátozások és letiltásra kerülnek többek között az alábbiak:
- SMTP (tcp/25), POP3 (tcp/110) , IMAP (tcp/143), nem munkával kapcsolatos webmail felületek azért, hogy ne az értékes munkaidőben nézegessék, intézzék a felhasználók a privát levelezésüket. Ezen kívül ezen a csatornán kijuttatható üzleti titok és bejuttatható ártó tartalom a hálózatra, pl. vírus, trójai, kémprogramok. Ezen kívül titkosítatlanul mennek át ezeken a protokollokon a jelszavak, emiatt könnyedén lehallgathatóak.
- FTP (tcp/21): Szintén titkosítatlan jelszavak + a tartalom szabad le-föltöltögetése szerzői jogot sérthet, ipari titok kerülhet ki.
- SSH (tcp/22): Ez nagyon érdekes, mert sok, egészen komoly helyen nincs letiltva. Ez hatalmas biztonsági rés, később visszatérek rá.
- HTTP (tcp/80): A közvetlen kifelé irányuló HTTP kapcsolatot letiltják, helyette egy belső proxy veszi át a HTTP kéréseket és az továbbítja kifelé. Ezáltal tartalomszűrés valósítható meg, csak olyan oldalak látogathatók, amelyek a munkához kellenek. Így az értékes munkaidő jobban kihasználható.
- Közkedvelt p2p illetve fájlmegosztó protokollok, IRC, stb.: Sok olyan alkalmazás van, ami a fenti kategóriák valamelyikének veszélyét rejti magában, ezért ezek sem kívánatosak egy munkahelyen.
Az infobiztonsági kérdésekben kevésbé járatos rendszergazdai ill. üzemeltető csoportok meg is elégednek ennyivel. Esetleg külön utasítás van arra, hogy a fentiek közül valamit nem szabad blokkolni, mert az üzletpolitika úgy diktálja. Minden esetre a fenti tiltások beállítása önmagában nem elég. Nézzük, miért…
Tipikus hibák
Minden engedélyezett, de néhány dolog tiltott.
Ez az a szituáció, amikor meghatározott protokollok, portok és forgalmak tiltva vannak, de minden más engedélyezve van. Két tipikus példa:
1. A www.tiltottoldal.hu a cég belső proxyján tiltva van, nem látogatható az oldal. Ugyanakkor a tiltottoldal.hu, elérhető. Villámgyorsan elterjed a felhasználók körében a jó hír, hogy kedvenc weboldaluk újra nézhető, csak a www-t kell elhagyni. Tapasztalatból mondom, előfordul az ilyen. A hiba oka, hogy explicit URL van megadva a tartalomszűrőnek, nem regex, illetve nincs súlyozott kiértékelés.
2. Bár az SSH forgalom (tcp/22) tiltva van a hálózatról kifelé, egy tetszőleges porton, pl. 50505-os porton szabadon lehet kifelé TCP kapcsolatot létesíteni. Elég egy hozzáértő kolléga, aki az otthoni gépére felrak egy SSH szervert úgy, hogy az ne tcp/22-n fogadja a kapcsolatokat, hanem tcp/50505-on. Amint van kifelé SSH kapcsolata, már ütött is egy jókora lyukat a tűzfalon és azt juttat be, visz ki amit csak akar.
Megoldás: Első lépésben a tűzfalon MINDEN forgalmat tiltani kell. A szabályrendszer végén mindenképp legyen egy explicit vagy implicit “deny any any” szabály. Ez elé kell beszúrni azokat a szabályokat, amelyek bizonyos forgalmakat engedélyeznek. Így elérhető, hogy amire nincs szabály, az tiltott, amire van, csak az engedélyezett.
Nincs alkalmazás-szintű analízis
Van tűzfal, jó a szabályrendszer is, csak az van engedélyezve, amire szükség van. Így már nem érhet minket meglepetés… vagy mégis? Tegyük fel, hogy az előző kolléga nem tud már tetszőleges porton kifelé kapcsolódni, helyette az engedélyezett portok felé fordul: megpróbálja a 443-ast, ami gyakran engedélyezve van, mert ezen kommunikál a HTTPS protokkoll. Az SSH szerverét otthon átállítja a 443-as TCP portra, majd bentről kapcsolódni próbál. A tűzfal átengedi, mert HTTPS forgalom az engedélyezett, így megint sikerült lyukat ütni a tűzfalon.
Megoldás: Alkalmazás-proxy-k illetve behatolásérzékelő rendszer alkalmazása, RFC-megfelelőségi ellenőrzés. Ilyen esetben a hálózati eszköz nem bután nyitogatja a sorompót attól függően, hogy ki hova akar menni, hanem belenéz a csomagokba is, mint a repülőtéren a biztonsági ellenőrzés röntgen gépei. Ha az úticél engedélyezett és a tartalom megfelel az úticélnak, akkor átengedi a forgalmat, ellenkező esetben elutasítja azt és riasztást küld.
A jéghegy csúcsa
Ez csak a jéghegy csúcsa abban a macska-egér játékban, amelyet a biztonsági szakemberek és a leleményes alkalmazottak vívnak egymással. Számtalan egyéb módszerrel próbálják a korlátokat ledönteni a felhasználók, többnyire sikerrel, mert az informatikai biztonságra fordított összeg teszi ki a legkisebb részt egy vállalat IT költségvetéséből. A hazai kkv szektor informatikai biztonsági szempontból többnyire rémes állapotban van, ami előbb-utóbb megbosszulja magát adatvesztés, hacker támadás, vagy belső visszaélés képében.
A Megelőzés
Az alábbi eszközök, módszerek együttes alkalmazásával csökkenthető a kockázat:
- Hálózati Biztonsági Szabályzat, Elfogadható Használatról Szóló Szabályzat megléte,
- A fentiek betartása és betartatása megfelelő informatikai eszközökkel (tűzfal, IDS/IPS, syslog szerver),
- Motivált, kompetens, proaktív rendszergazda(i csapat), napi szintű naplóelemzéssel, a felügyeleti konzolok monitorozásával,
- Szükség esetén külön infobiztonsági csoport felállításával,
- A szabálysértők szankcionálásával,
- Rendszeres auditokkal, etikus hackeléssel (számos cég kínál ilyen szolgáltatást). A szabályok pontosításával, biztonsági rések megszüntetésével.
- Folyamatos koordinációval az IT üzemeltetés és a HR részlegek között. (Elbocsátott alkalmazott jogosultságai azonnal kerüljenek visszavonásra!)
Ha Ön cégtulajdonos és a vállalatánál mindez megoldott, akkor nyugodtabban alhat…
Ha Ön felhasználó, vagy alkalmazott, akkor már tudja, miért vannak a korlátozások. Ha a cég egy adatvesztés, vagy visszaélés miatt csődbe megy, az Ön állása is veszélybe kerül. Ezért kell betartani a szabályokat…
Összefogás: Pincében porosodó, kinőtt kerékpárok
augusztus 5th, 2009Ez a bejegyzés rendhagyó - de lehet, hogy hagyományteremtő lesz ebben a blogban. Kivételesen nem infobiztonságról fogok írni, szó sincs vírusokról, tippekről és trükkökről, vagy hackerekről.
Ahogy korábban írtam, a környezetvédelem, az egészségem és nem utolsó sorban a mozgás szeretete miatt áttértem kerékpáros közlekedésre. Naponta 40 kilométert tekerek Budapest útjain. Eközben megismerkedtem egy nagyon jó társasággal, akik szintén két keréken “rakják a várost”. Ők a http://www.criticalmass.hu tagjai.
Közülük néhányan elindítottak a napokban egy Bike Kitchen 2 nevű projektet, erről itt olvasható bővebb infó: http://www.criticalmass.hu/blogbejegyzes/20090731/bike-kitchen-2-indulunk
Röviden, tömören összefoglalva: A Daganatos Gyeremekekért alapítvány számára szeretnének gyermekkerékpárokat adományozni. Lelkes amatőrök és profi szerelők teljesen önkéntesen, szabadidejükben, összedobott pénzből vett szerszámokkal, alkatrészekkel újítják fel, javítják meg a felajánlott adománykerékpárokat. A szívüket-lelküket beleadják, hogy segíthessenek.
Ezért kérem, hogy akinek van a padlásán, pincéjében porosodó, kinőtt, megunt gyermekkerékpár, és egy jó cél érdekében felajánlaná, küldjön egy emailt a blog@sysmaster.hu címre. Mindegy, milyen műszaki állapotban van a kerékpár, a srácok újjá varázsolják. Aki a környezetében tud felajánlható kerékpárról, továbbítsa a felkérést a tulajdonosnak.
Az adománygyűjtésről itt olvasható bővebb infó:
http://criticalmass.hu/blogbejegyzes/20090804/bike-kitchen-adomanygyujtes
Köszönöm a többiek nevében is.
Vírusok két vállra fektetve
július 30th, 2009Ha gyanús, hogy valami megfertőzte a számítógépet, akkor érdemes alaposan átnézni azt egy jó víruskeresővel. Csakhogy, az esetek többségében az ártó kód, ami a gépet megfertőzte, blokkolja a vírusvédelmet, a kémprogram elleni védelmet, illetve gyakran az olyan alkalmazásokat is, mint például a Process Explorer, a Regmon, regedit.exe és társaik, melyek veszélyeztetik az Ő egzisztenciáját.
Nagyon fontos, hogy tisztában legyünk azzal, hogy a fertőzött operációs rendszerben nem bízhatunk. Nem hihető el, amit a képernyőn látunk. Olyan ez, mintha bekötött szemmel próbálnánk egy sötét szobában megfogni egy denevért.
Offline ellenőrzés
Ha tehát az operációs rendszerben nem bízhatunk, akkor ki kell azt iktatni. Úgy kell ellenőrizni a merevlemezeket, hogy nem fut a vírusos operációs rendszer. Ez elég ellentmondásosnak hangzik, hiszen a számítógép bekapcsolásával az operációs rendszer is elindul. Ezt kétféle képpen lehet elkerülni:
1. Merevlemezek áthelyezése egy másik számítógépbe
A képlet pofon egyszerű. Kikapcsolt állapotban ki kell venni, és egy megbízható számítógéphez kell csatlakoztatni a lemezegységet. Ha ezen a számítógépen megbízható operációs rendszer fut, akkor jó eséllyel le lehet takarítani a fertőzést a lemezekről. Nagyon oda kell figyelni azonban a következőkre:
- Még véletlenül se induljon el a számítógép a fertőzött lemezről, mert akkor esélyes, hogy megfertőzzük a ez eddig tiszta lemezeket is.
- Tilos bármilyen programot futtatni az átvizsgálandó winchesterről.
- Az autorun funkciót szigorúan le kell tiltani a befogadó számítógép operációs rendszerében.
Egy linuxos gépre USB-csatlakoztatva az ellenőrizendő lemezt ezek a veszélyek elkerülhetők.
2. LiveCD használata
Ha az előző megoldás nem alkalmazható, jöhet a B terv. Megbízható operációs rendszert nem csak másik számítógépen, hanem LiveCD-ken is találhatunk. A LiveCD egy olyan CD lemez (vagy DVD), amin egy teljes operációs rendszer van a szükséges kiszolgáló alkalmazásokkal együtt. Erről elindítva a számítógépet, a LiveCD oprendszere fog elindulni, lehetőséget ad a merevlemezek elérésére úgy, hogy a vírusunk közben gyanútlanul alszik valahol a fájlrendszerben.
Van is néhány ingyenes, víruskergetésre specializált LiveCD az interneten, melyek csak arra várnak, hogy letöltsük és használjuk őket.
Az egyik ilyen a BitDefender Rescue CD v2., amely egy Linux alapú megoldás. A rajta lévő antivírus szoftver adatbázisa online frissíthető, majd az összes merevlemez átvizsgálható vele. A megtalát kártevőket el is távolítja. Innen tölthető le az ISO képfájl, amit egy nyers CD lemezre kiírva elkészíthető a saját vírusvédelmi svájci bicskánk.
Egy másik remek alternatíva lehet a Kaspersky Rescue CD, amely szintén Linux kernelre épül és frissíthető a vírusadatbázisa. Ezt a BitDefenderrel ellentétben nem próbáltam ki, ha valakinek van vele tapasztalata, szívesen látom. Innen tölthető le az ISO képfájl.
Mielőtt elkezdenénk
A vírusfertőzés eltávolítása a számítógépről nagyon idő- és energiaigényes feladat. Érdemes mérlegelni, hogy az operációs rendszer újratelepítése nem egyszerűbb, gyorsabb megoldás-e. Ha igen, nem érdemes foglalkozni a kártevő levadászásával.
Ha szeretnénk megtartani a jól bevált környezetet, a telepített programokat, nincs biztonsági mentés, vagy egyéb okból kifolyólag nem szeretnénk újratelepíteni/telepíttetni a számítógépet, akkor van értelme a fenti megoldások alkalmazásának.
Átnyergeltem két kerékre
május 14th, 2009Ezentúl senki ne lepődjön meg, ha bukósisakban érkezek vírust irtani, vagy hálózatot konfigurálni.
Kb. egy hónapja kattantam rá a nyélre. A bringázz-a-munkába kampány vett rá, hogy leporoljam a régi rozsdafoltos cangát és BKV helyett bringázzak a gyárba.
Azóta letekertem 600 km-t és most már nem vagyok hajlandó visszaülni a BKV-re.
Felkészültem az esőre, vettem lámpát (bár ez még elég light-os), sisak az alap volt már az első napon is.
Igyekszem minél hamarabb levetni a kocabőrt, ezért kerülöm a járdát és vagy bringaúton vagy az utakon rakom. A pirosokon nem megyek át, csak ha tényleg nincs semmi a láthatáron.
Néha még sikerül extrém bénázásba keveredni, ha ezzel valakit veszélyeztetek vagy akadályozok, szorri, előbb-utóbb ez is elmúlik
A kerékpáros tapasztalataim itt olvashatók:
Szerszámosláda, vagy fegyverraktár?
május 14th, 2009Egy remek lista a legkülönfélébb informatikai biztonsági eszközökről:
http://securitytoolslist.domandhost.com/
Lehetőleg fehér vagy szürke kalapban csemegézzünk belőle
Oktató videók
május 1st, 2009Kezdőknek
Egy humoros oktatófilm a jelszavakról és a leggyakoribb jelszókezelési hibákról: Bud Logs In
Hogyan működnek a jelszótörő szoftverek? Íme: How Password Crackers Work
Gyanús emailek biztonságos kezelése: Bud Has Mail
(Nem csak) IT Security szakembereknek
A zombi vagy bot-hálózatokról: miért, hogyan, fertőz a malware, kinek van ebből haszna, hogyan lehet ellenük védekezni:
Drive-by-Download, avagy hogyan fertőzi meg a gépet észrevétlenül egy fertőzött weboldal meglátogatása.
Sidejacking (Session Hijacking), avagy milyen könnyen el lehet téríteni egy webes munkamenetet. A filmben a “támadó” egy gmail fiókot ér el íly módon.
Inkább szakembereknek
A Rootkit-ek működéséről, detektálásáról, elhárításukról beszél a kolléga:
Üzenet
Nem győzöm hangsúlyozni: erős jelszó + napra kész frissítések + napra kész vírusvédelem + józan ész = Biztonság.
Ha kulcsa van a betörőnek…
április 30th, 2009Az utóbbi napokban folyamatosan feltört honlapokról takarítottam le a kártékony szkripteket és malware-eket. Több különböző szervert is érintettek ezek a támadások és közös volt bennük, hogy FTP jelszóval jutottak be a támadók.
A feltört honlapok egy részére szexhirdetéseket tettek, a nagyobbik részt viszont egy-egy trójai-letöltő szkripttel fertőzték meg. Teljesen megbízható honlapok próbálták ezentúl megfertőzni a látogatókat. Aki odatévedt, és nem volt naprakészre frissítve az oprendszere és a böngészője, az észrevétlenül meg is kapta a trójait.
Az FTP jelszavakat nem nyers erővel, találgatással fejtették meg, erre a logokban semmi jel nem utal. Nagyon valószínű, hogy ellopták őket. Honnan, mivel? A honlaptulajdonos, vagy a fejlesztő számítógépéről, valami kémprogrammal vagy bottal. Hogyan? Úgy, hogy nem volt védve a gépe. Úgy, hogy sérülékeny böngésző verziót használt. Esetleg a vírusvédelme nem volt megfelelő, vagy az oprendszere nem volt frissítve. Illegális windowsra ugyebár nem megy fel a windows update, megy helyette vírus.
Sokan nem gondolják végig: felelnek a rájuk bízott titkokért. Ilyenek a jelszavak is. Szoftverfejlesztők és designerek hajlamosak elfeledkezni arról, hogy a megbízójuk üzleti érdekét sértik vele, ha védtelen gépről töltik fel az ügyfél honlapját.
Néhány tipp az ilyen esetek elkerüléséhez:
- Biztonsági szabályzat elfogadtatása - Meg kell követelni az alkalmazottaktól, alvállalkozóktól, hogy csak megfelelő védelemmel ellátott számítógépről dolgozhatnak. Hogy mivel játszanak, az senkit nem érdekel. De a munkára használjon védett gépet! Ez után lehet beszélni felelősségre vonásról.
- Hozzáférés karbantartása - Ha feltöltésre került a honlap, át lett adva és már nem kell folyamatosan fejlesztgetni, akkor az FTP hozzáférést le kell tiltani. Majd ha megint munka lesz vele, akkor újra lehet aktiválni új jelszóval. Amennyiben ez nem lehetséges, a jelszót rendszeresen cserélni kell.
- Oktatás - Tudjon róla az ügyfél, alkalmazott, alvállalkozó, hogy milyen veszélyekkel jár, ha FTP, SSH, SCP, stb. hozzáférés kerül a birtokába. Ha kikerül tőle ez, akkor a honlapján megjelenhet bármi.
- Szerver oldalon is update, audit és hardening - Legyen a szerver biztonsági szempontból up to date. Naplózni kell a sikeres bejelentkezéseket (igen, a sikereseket, a sikertelen nem érdekel, mert sikertelen) és az adatokat össze kell vetni a rendszeres “napi zajjal”. A rendszergazda legalább 1-2 naponta nézze át a logokat. Rendszeres automatizált vírusellenőrzés a tárhelyeken nagyon hasznos tud lenni. Behatolás-érzékelő és a hálózati forgalmat elemző eszközök szintén elengedhetetlenek.
Mindenki védje saját magát!