Site sikkerhet og fremtiden

Vi har brukt mye tid på å diskutere hva sikkerhet egentlig betyr--noe som vi ikke hadde tid til å gå i dybden på i systemadmin kurset. Nå kan vi oppsummere det vi har lært i form av en sjekkliste for en organisasjon.

Sikkerhetssoneterapi...

Det første vi må gjøre er å avgjøre organisasjonens natur. Mange organisasjoner (som banker f.eks.) trenger flere nivåer av sikkerhet, delt i ulike soner. Informasjon er tilgjengeig på `need to know' basis. Det finnes både fysiske og logiske kontroller.

The enemy within...

Husk at i de fleste hackertilfeller hvor store summer er involvert er det innsiderkunnskap som står bak. Vi må finne en balanse mellom å stole på arbeidskraften og å kontrollere den. Dersom vi ikke er varsomme nok kommer noen til å prøve seg. Hvis vi er for strenge skaper vi bare misnøye, og vender arbeidskraften mot organisasjonen.

Usikre operativsystemer

Disse har ikke minnebeskyttelse eller filbeskyttelse. Det er trivielt å infisere dem med virus. Det eneste vi klan gjøre med slike maskiner er å plassere dem bak en brannmur (eller ikke koble dem i nett i det hele tatt) og krysse fingrene. En kan prøve å dressere brukerne til å unngå de verste feil, men de vil sannsynligvis ikke forstå behovet for sikkerhetsrutiner.

Usikre operativsystemer som brukes i forbindelse med viktig arbeid bør aldri kobles til et offentlig nettverk eller være tilgjengelig for uautoriserte personer. .

Det er vanskelig å stole på et operativsystem som er åpen for angrep både fra konsollet og fra nettet.

Analyse og sjekkliste

• Basics
  • Backup, redundancy (dupliserings) plan, recovery (rekonstruksjons) plan
  • Tilgangskontroll på backup media.
  • En maskin per oppgave er lettest å sikre men kostbart.
  • Sikkerhetspolitikk (unngå for mye ubekvemmelighet for brukere)
  • Fysisk sikkerhet av maskiner og arbeidsplass.
  • Informer brukere om politikken. (De må virkelig forstå dens betydning/hvorfor)
  • Opplæring mot social engineering. Hvem stoler du på når du snakker i telefonen? Gir du sjefen din passordet ditt dersom han ber om det?
  • Forstå alle tillitsforholdene i et nettverk.
• Se på nettverkstopologi: hvor mange veier inn og ut finnes det?
  • Hvor mange inngangsveier?
  • Hvilke tilgangskontroller finnes det på router trafikk?
  • Honey pots, sacrificial lambs
  • Firewall/brannmur (disse beskytter ikke mot dataangrep)
  • Modemer (ikke glem disse!)
  • Bakdører
  • Dependencies/avhengigheter. Denial of service angrep.
• Se på maskinene i nettverk:
  • Hvilke operativsystemer bruker de?
  • Er de riktig/forsvarlig konfigurert ut ifra sikkerhets politikken?
  • Hvilke sikkerhets problemer er kjent i disse operativsystemer? (CERT)
  • Er OSene oppdatert med de siste sikkerhetspatcher?
  • Hvilke rettigheter brukes på filer?
  • Privacy/fortrolighet av data v.h.a. VPN, kryptering eller bruk av tilgangskontroll.
  • Gransk de setuid programmene på systemet: trenger de privilegier?
    (f.eks. Fjerning setuid bits fra Common Desktop Environment window system har spart oss for mye trøbbel.)
  • Er software riktig installert?
  • Pass på rettigheter og konfigurasjon hele tiden.
• Se på nettverkstjenester:
  • Se på router filtere RPC (SMB) og SNMP bør aldri lekker ut av domenet.
  • Hvilke rettigheter kjører tjenester med?
    (Ikke kjør med privilegier hvis du kan unngå det)
  • Hvilken informasjon kunne en lure ut av tjenester dersom en prøvde?
  • Har tjenestene en historie av softwarefeil/bugs?
  • Hvilke tilgangskontroller er i bruk? (TCP wrappers/firewalls)
  • Hvilke avhengigheter rammer tjenester? (DNS)
  • Hvor sikkert er E-mail? Privacy?
• Autentisering
  • Smartcards/javacards
  • Biometrisk autentisering?
  • Digital signatures.
  • Kerberos
• Denial of service attacks
  • Router filtere
  • Brannmurer er utsatt for disse
  • Intrusion detection system er utsatt for disse
  • Spam?
• WWW sikkerhet
  • Kjær som ikke-priviligert bruker www
  • CGI scripts - aldri setuid. Kontroller innholdet.
  • CGI scripts kan omgå .htaccess sikkerhet
  • Fil rettigheter - datafiler skal ikke være eid av www brukeren!
  • Mail er alltid anonym (sendes av www bruker)
  • Bruk HTTPS for privacy. (f.eks. mod_ssl i Apache)
• Bruk Intrusion Detection for å estimere hvor ofte du blir angrepet. (Du kommer ikke til å finne de flinkeste).
  • Se etter crackeres spor: nuke rootkit cloak zap icepick toneloc .mo osv
  • Sett opp en md5 sjekksum database på /usr

Sikkerhetens fremtid

Vi kan ikke spå fremtiden. Behovet for sikkerhet har alltid eksistert. Vi har sett i løpet av kurset at datasikkerhet ikke er spesiell på noe vis. Det er bare anvendelsen av grunnleggende sikkerhetsprinsipper på dataverdenen. Det er bare teknologien for å implementere disse som er spesielt.

Sikkerhetsproblemet kommer aldri til å bli løst fordi det har med trust å gjøre, og det er ikke et teknologisk problem. Jeg sier det igjen: dersom du får en ting ut av dette kurset så bør det være det at alt gjelder tillit i den endelige analysen. Vi kan bruke teknologi for å flytte tillit fra sted til sted, men vi kan aldri unngå den endelige avgjørelsen om tillit. Hvorfor gidder vi da å bry oss sikkerhet? Hvis du ikke vet ennå...

Hva kan vi vente spesifikt?

• IPv6 vil gi oss layer 3 kryptering.
• Primtall kommer til å bli mindre viktig når quantum cryptography kommer på scenen.
• Vi kommer til å få nye operativsystemer med ideer fra Unix, NT og Novell. Men dette vil ta tid, for mange har prøvd dette før! Den eneste modellen som har lykkes i lengden er Uix modellen: små krypende forandringer, økende kaos og så en kamp for rasjonalisering.
• Det er anarki på internettet. Det er ingen vei tilbake.
• Brukersoftware kommer til å bli skrevet med sikkerhet som design prinsipp (ok, bare kødder!)
• Sikre språk kommer til å bli laget (Java er et første skritt)
• Datakrig vil nå et høydepunkt og så bli for vanskelig å gjennomføre. Er vi heldige vil fri tilgang til informasjon og utdannelse øke personlig frihet over hele verden og gjøre vanlig krig mindre attraktiv.

Sikkerhetsfokusering nå vil om ikke noe annet optimere sikkerhetsproblemer senere. Ny teknologi kommer til å gjøre angrep vanskelig, men lureri er det menneskeintelligens ble utviklet til! Det blir ingen slutt på svindel og lureri sålenge mennesker er smartere enn maskinene.

Du er fremtiden! Gå og spre budskapet om god og sikker praksis, ved å sette et godt eksempel.