Recomandări privind securitatea sistemelor IT pentru companii
Securitatea înseamnă managementul riscului
Pentru a reduce riscurile de securitate în utilizarea și administrarea sistemelor IT, cea mai bună strategie este cea pe ansamblu (security in depth). Aceasta presupune evaluarea pe ansamblu a infrastructurii IT și clasificarea expunerii la riscuri de securitate. Pentru fiecare dintre riscurile identificate trebuie realizate planuri de măsuri, fie pentru reducerea expunerii la acele riscuri (mitigation), fie pentru reducerea impactului odată ce riscul s-a produs (contingency).
La polul opus se află abordarea punctuală, a implementării unui sistem specific de securitate, de exemplu antivirus sau intrusion detection. Deși aceste sisteme sunt foarte utile în cadrul ariei specifice de aplicabilitate, această abordare lasă descoperite alte zone cu posibile breșe de securitate. Foarte multe companii cad în greșeala de a investi mult în astfel de sisteme, fără însă a avea o strategie de securitate cap-coadă.
Pentru a avea o abordare de ansamblu, trebuie pornit de la lucrurile elementare: uniformitatea infrastructurii din punct de vedere al sistemelor folosite, administrarea centralizată, menținerea la zi a sistemelor din punct de vedere al patch-urilor și fix-urilor, aplicarea unor configurări standard de securitate pe toate serverele și stațiile de lucru, în funcție de rolul funcțional al acestora, proceduri standard de utilizare și administrare.
Pe această pagină
Securitatea – problemă sau caracteristică a sistemelor IT
Mai toate discuțiile despre securitate se rezumă la problemele identificate la diverse sisteme. Ceea ce se uită însă este faptul ca pentru a avea un sistem sigur nu e suficient să avem tehnologia corespunzătoare. Studiile arată că în medie 90% din breșele de securitate identificate nu sunt datorate problemelor tehnologice ci instalării și configurării necorespunzătoare sau datorită nerespectării unor proceduri de utilizare și administrare a sistemului. În multe cazuri, aceste proceduri nici nu există. Trebuie deci să privim problema pe ansamblu, adresând tehnologia, oamenii și procedurile interne ale companiei.
A privi deci securitatea doar prin prisma problemelor tehnologice este un punct de vedere îngust. Nu ne putem aștepta ca un sistem care nu a fost instalat și configurat corespunzător, care nu e menținut la zi cu patch-urile sau pentru care nu se respectă niște proceduri simple de utilizare și administrare, să fie un sistem sigur.
Securitatea trebuie să fie o caracteristică intrinsecă a sistemului. Un sistem sigur este unul bine proiectat, implementat, utilizat și administrat.
Arii de abordare
În continuare vom trece în revistă câteva dintre ariile de securitate tipice care trebuie abordate pentru o securitate pe ansamblu:
| • | Securitatea serverelor și a stațiilor de lucru |
| • | Securitatea perimetrului rețelei |
| • | Securitatea comunicației în rețea |
| • | Securitatea aplicațiilor |
| • | Securitatea datelor |
| • | Soluții pentru managementul patch-urilor |
Pentru fiecare dintre aceste arii specifice sunt prezentate recomandări de materiale suplimentare care pot fi studiate și implementate în cadrul companiilor.
Securitatea serverelor și a stațiilor de lucru
Atunci când instalăm servere și stații de lucru în rețea, trebuie să avem în vedere 2 lucruri importante:
| • | Acestea trebuie să fie menținute la zi din punct de vedere al aplicării patch-urilor și fix-urilor de securitate. Puteți găsi în cuprinsul acestui articol informații despre managementul patch-urilor. |
| • | Trebuie să realizăm o configurare standard din punct de vedere al setărilor de securitate, în funcție de rolul funcțional al serverului sau al stației de lucru și al nivelului de securitate dorit. Despre asta vom discuta în continuare. |
La aplicarea unei configurări de securitate asupra serverelor sau a stațiilor de lucru trebuie realizat un compromis între funcționalitate și securitate. Gradul de securitate dorit trebuie aplicat în funcție de importanța resurselor stocate sau utilizate pe acel server sau stație de lucru. Cel mai simplu mod de aplicare al unor template-uri de securitate este cu ajutorul lui Active Directory și Group Policy. În acest fel ne asigurăm și de faptul că setările de securitate aplicate sunt și menținute. Puteți găsi mai jos referințe la ghiduri de implementare pentru securizarea serverelor și a stațiilor de lucru.
| • | |
| • | |
| • | |
| • | |
| • |
Îmi oferă platforma Windows un nivel de securitate suficient de bun?
Windows 2000 cu Service Pack 3 a obținut certificarea Common Criteria la nivelul EAL4. Ce este util însă pentru dumneavoastră este faptul că Microsoft a publicat ghidurile de configurare ce descriu pașii de implementare ce trebuie efectuați pentru a atinge acest nivel de securitate.
| • | |
| • |
Sunt în desfășurare procedurile pentru obținerea acestei certificări pentru Windows XP și Windows Server 2003.
Securitatea perimetrului
Datorită accentului pus pe comunicații și accesului la informație de oriunde pentru utilizatorii companiei, problema securizării perimetrului rețelei este destul de complexă, în primul rând deoarece perimetrul nu e simplu de definit. Securizarea perimetrului implică nu doar instalarea și configurarea unui firewall pentru controlul traficului dinspre și către Internet, ci și securizarea conexiunilor RAS sau VPN pentru utilizatorii mobili sau pentru rețele la distanță. În continuare, puteți găsi câteva recomandări de articole despre acest subiect.
| • | |||||||
| • | Designul arhitecturii unui firewall - în cadrul Windows Server System Reference Architecture (WSSRA)
| ||||||
| • | Network Access Quarantine Control in Windows Server 2003 (Facilitatea de carantină pentru accesul pe RAS la Windows Server 2003) | ||||||
| • |
Securitatea comunicației în rețea
Un sistem IT sigur este unul bine proiectat, instalat și administrat. Securitatea comunicației pleacă de la designul arhitecturii rețelei. Să vedem ce resurse putem găsi pe site-ul TechNet.
| • | În cadrul Windows Server System Reference Architecture (WSSRA)
| ||||||||
| • |
Un domeniu particular îl reprezintă comunicațiile wireless. Ca și la perimetru, apare problema definirii rețelei interne. Cum asigurăm comunicații wireless securizate?
| • | Windows Server 2003: Securing Wireless LANs with Certificate Services |
Securitatea aplicațiilor
Fiecare aplicație implementată în cadrul infrastructurii IT trebuie să aibă incluse facilități de securitate specifice. Este recomandat ca aplicațiile să folosească facilitățile de securitate oferite de platformă, de exemplu pentru autentificarea utilizatorilor și autorizarea accesului la resurse.
Din acest punct de vedere, nu putem trata aici pe ansamblu problema securității aplicațiilor. Ne vom rezuma la securizarea câtorva servere de aplicație Microsoft. Iată locurile unde veți găsi documentație:
| • | Exchange Server - pe site-ul TechNet |
| • | Securing Your Database Server - pe site-ul MSDN |
| • | SQL Server 2000 – pe site-ul TechNet |
| • | Securizarea SQL Server 2000 – în cadrul SQL Server 2000 Resource Kit |
Un capitol distinct îl reprezintă securizarea aplicațiilor web. În continuare sunt prezentate cîteva ghiduri de implementare pentru securitatea aplicațiilor ASP.NET.
| • | Improving Web Application Security: Threats and Countermeasures |
| • | Building Secure ASP.NET Applications: Authentication, Authorization, and Secure Communication |
Securitatea datelor
În general orice server de aplicație trebuie să aibă caracteristici de protecție și recuperarea datelor. Acestea au fost discutate anterior. Ne vom referi aici în particular la protecția și recuperarea fișierelor de date.
| • | |
| • |
Soluții pentru managementul patch-urilor
Securizarea rețelei nu poate fi completă fără menținerea la zi a sistemelor din punctul de vedere al patch-urilor de securitate. De foarte multe ori se întamplă ca, deși majoritatea sistemelor, servere și stații de lucru din rețea, au fost actualizate cu ultimele patch-uri, au fost uitate undeva prin rețea sisteme configurate implicit, și care o dată infectate au generat probleme în întreaga rețea.
Pentru a ne asigura ca toate sistemele sunt menținute la zi din punct de vedere al patch-urilor, în nici un caz nu trebuie să ne lăsăm în grija utilizatorilor. Un e-mail cu text-ul: instalați ultimele patch-uri și fix-uri nu rezolvă problema. Automatizarea este cuvântul cheie.
| • | Pentru scanarea sistemelor din rețea din punct de vedere al aplicării patch-urilor și fix-urilor pentru sistemele de operare și aplicațiile de bază Microsoft putem folosi Microsoft Baseline Security Analyzer. Acesta ne generează rapoarte privind starea sistemelor.
| ||||
| • | Cea mai simplă soluție de actualizare o reprezintă Windows Update și Office Update. Aceasta este o soluție manuală și nu este recomandată pentru rețele medii/mari.
| ||||
| • | Software Update Services permite automatizarea aplicării patch-urilor
| ||||
| • | Patch Management cu Systems Management Server 2003 care include și analiza configurației
|
Concluzii
Nu putem pretinde că am făcut o tratare exhaustivă a tuturor ariilor ariilor de securitate posibile. Nu am tratat aici soluții antivirus, intrusion detection etc. Am pornit de la convingerea că orice construcție solidă începe cu fundația. Asigurând securitatea de bază a rețelei putem minimiza majoritatea riscurilor de securitate tipice, după care ne putem concentra asupra unor arii specifice.
Doar investind în securitate cap-coadă vom putea avea sisteme IT mai sigure. De multe ori vom constata că beneficiile vor fi mai mari, iar investițiile și eforturile făcute vor fi mai mici dacă vom avea o abordare pe ansamblu, decât dacă am trata problema punctual. Sau, mai rău, vom acționa pentru a înlătura efectele abia după producerea unui incident de securitate.
Pentru mai multe informații, vă recomandăm să vizitați site-urile:
| • | |
| • | |
| • |