Κεφάλαιο 3. “Ασφάλεια στα Δίκτυα Υπολογιστών”



3.1: Η Ιστορία της Ασφάλειας Υπολογιστών
3.2: Τι σημαίνει “Ασφάλεια” στα δίκτυα υπολογιστών
3.3: Προβλήματα Ασφαλείας Δικτύων
3.4: Αναγκαιότητα και Σκοπιμότητα της Ασφάλειας
3.5: Ορθή Οργάνωση Διαχρονικών Συστημάτων Ασφαλείας
3.6: Μεθοδολογία Υιοθέτησης Μηχανισμών Ασφαλείας ενός Επιχειρησιακού Δικτύου



3.1: Η Ιστορία της Ασφάλειας Υπολογιστών

Ιστορίες μεγάλων, σχεδόν καταστροφικών, εισβολών εμφανίζονται συνεχώς. Το 2001 ήταν ένα ιδιαίτερα κακό έτος για την ασφάλεια στο Internet. Το σκουλήκι Code Red διαχύθηκε χωρίς έλεγχο μέσα στο Internet και αφού διορθώθηκε ο ιός Nimda έκανε ακριβώς το ίδιο πράγμα. Οι ιοί e-mail διαχέονται τακτικά, και η Microsoft όταν εμφάνισε το της λειτουργικό σύστημα Windows ΧΡ, αποδείχθηκε ότι είχε ένα σφάλμα ασφάλειας, τόσο εμφανές, που οι περισσότεροι εισβολείς θα μπορούσαν να εισβάλουν σε σχεδόν κάθε υπολογιστή χωρίς ιδιαίτερη προσπάθεια Οι πρότυπες υπηρεσίες FTP και NDS του Unix υπέστησαν εισβολές, επιτρέποντας στους εισβολείς να εισέλθουν σε Ιστοθέσεις και να καταστρέψουν τα περιεχόμενά τους ανάλογα με τις επιθυμίες τους. Μέχρι το 2004, παραλλαγές του Nimda συνέχιζαν να υπάρχουν ακόμη στοInternet, χτυπώντας νέες εγκαταστάσεις, ενώ παρόμοιοι ιοί όπως ο Sasser χρησιμοποιούν το διορθωμένο κώδικα για να κάνουν νέες επιθέσεις. Φαίνεται το θέμα της εισβολής να γίνεται όλο και χειρότερο, ακόμη και αν οι επιχειρήσεις ξοδεύουν περισσότερα χρήματα για το πρόβλημα. Στην πραγματικότητα, η ευρέως διαδεδομένη εισβολή γίνεται όλο και πιο συνηθισμένη.

Το 1988, το έτος που άρχισε η καταγραφή των προβλημάτων, η επιτροπή Computer Emergency Response Team (CERT) στο Πανεπιστήμιο Carnegie Mellon, η οποία παρακολουθεί επεισόδια ασφάλειας του Internet, ανέφερε έξι επεισόδια εισβολών. Το 1999, ανέφερε σχεδόν 10000. Το 2000 ανέφερε πάνω από 22000. Το 2001 ανέφερε πάνω από 52000 επεισόδια Τέτοιοι αριθμοί μπορεί να ακούγονται τρομακτικοί, αλλά αν δείτε την αύξησή τους ως επεισόδια ανά υπολογιστή που είναι συνδεδεμένος στο Internet, θα δείτε ότι τα επεισόδια ασφάλειας αυξάνονται με ρυθμό 50% ετησίως (και όχι με ρυθμό 100%, που φαίνεται από τους αριθμούς) και αυτό συμβαίνει από το1993, που είναι το πρώτο έτος για το οποίο υπάρχουν αξιόπιστες πληροφορίες για το συνολικό μέγεθος του Internet. Μια μικρή πτώση στο ποσοστό εμφανίστηκε από το 2001, με 82000 επεισόδια το 2002 και 138000 επεισόδια το 2003, οπότε η αύξηση τείνει να επιβραδύνεται.


1945

Οι υπολογιστές δεν υπήρχαν, όπως τους ξέρουμε σήμερα πριν από το 1945. Η αρχική ανάγκη για ασφάλεια (πέρα από την ανάγκη προστασίας του μηχανήματος από κλοπή) προέκυψε από την ανάγκη για ασφαλείς στρατιωτικές και πολιτικές επικοινωνίες. Αρχικά μελετήθηκαν οι κώδικες και οι κρυπτοθετήρες, επειδή αυτοί μπορούσαν να παρέχουν έναν τρόπο διασφάλισης μηνυμάτων, αν γινόταν παρεμβολή των μηνυμάτων, και μπορούσαν να επιτρέψουν τις επικοινωνίες σε μεγάλες αποστάσεις, όπως παλιότερα γινόταν με τον καπνό, το γυαλί ή τα περιστέρια

Πριν από την έλευση της τηλεγραφίας, της τηλεφωνίας και των ραδιοεπικοινωνιών, η μετάδοση ενός μηνύματος ήταν ιδιαίτερα δύσκολη. Οι πόλεμοι γινόταν αργά, οι συνωμοσίες βασιζόταν σε υποθέσεις και φήμες, επειδή ήταν δύσκολο να βρεθούν πραγματικές πληροφορίες. Τα μηνύματα που μεταδιδόταν με το ταχυδρομείο ή με αγγελιοφόρους ήταν πολύ εύκολο να αναχαιτιστούν και όταν συνέβαινε αυτό, οι συνέπειες ήταν καταστροφικές για τον πόλεμο ή για την πολιτική ζωή.

Γι' αυτόν το λόγο, οι κώδικες, που υλοποιούνται πολύ πιο εύκολα από τους κρυπτοθετήρες, διαμόρφωσαν τη ραχοκοκαλιά των ασφαλών επικοινωνιών πριν από την έλευση της αυτοματοποιημένης υπολογιστικής. Οι κώδικες είναι απλοί κρυπτοθετήρες αντικατάστασης - μια λέξη χρησιμοποιείται για να μεταδώσει μια άλλη λέξη, έννοια ή φράση. Και τα δύο μέρη κωδικοποιούν και αποκωδικοποιούν τα μηνύματά τους χρησιμοποιώντας ένα βιβλίο κώδικα, και γενικά οι κώδικες επιλέγονταν, έτσι ώστε να βγαίνει κάποια λογική έννοια, όταν το μήνυμα διαβαζόταν κωδικοποιημένο, σε μια προσπάθεια απόκρυψης του γεγονότος ότι ήταν κωδικοποιημένο. Οι περισσότερες στρατιωτικές επικοινωνίες πραγματοποιούνται και σήμερα με χρήση κωδικών και βιβλίων κωδικών μέσω συσκευών ραδιοεπικοινωνιών, ως ένα κατάλοιπο από την παλιά εποχή, αλλά καθώς η υπολογιστική ισχύς γίνεται φθηνότερη, αυτή η πρακτική σιγά-σιγά εξαφανίζεται. Δυστυχώς και τα δύο μέρη έπρεπε να έχουν το βιβλίο κωδικών, και η υποκλοπή του βιβλίου κωδικών σήμαινε ότι όλες οι κωδικοποιημένες πληροφορίες θα μπορούσαν να αποκωδικοποιούνται.

1945-1955

Πριν από μισό αιώνα αναπτύχθηκαν οι πρώτοι ηλεκτρονικοί υπολογιστές. Αυτά τα τεράστια μηχανήματα λειτουργούσαν με καθοδικούς σωλήνες και είχαν σαφώς μικρότερη υπολογιστική ισχύ από μια απλή σημερινή αριθμομηχανή. Κόστιζαν πολλά εκατομμύρια δολάρια και κάθε κύκλος λειτουργίας τους ήταν πολύτιμος. Το χάσιμο υπολογιστικού χρόνου σε πολυτέλειες, όπως θεωρείτο η ασφάλεια, ήταν κάτι το αδιανόητο. αλλά εφόσον έπρεπε να έχει κανείς φυσική πρόσβαση και μεγάλη εκπαίδευση για να λειτουργήσετε αυτά τα μηχανήματα, η ασφάλεια δεν αποτελούσε πρόβλημα. Με τόσα πολλά προβλήματα που έπρεπε να λυθούν, η ασφάλεια υπολογιστών ήταν κάτι που δεν απασχολούσε καθόλου.

1955-1965

Καθώς οι υπολογιστές μπήκαν στον επιχειρηματικό κόσμο, κατά τη διάρκεια της δεκαετίας του 60, η ασφάλεια των υπολογιστών περιοριζόταν μόνο στο να περιορίζεται ένας δυσαρεστημένος υπάλληλος για να μην προκαλέσει καταστροφές και στο να μην έχουν οι ανταγωνιστές πρόσβαση στον υπολογιστή της επιχείρησης. Και τα δύο αυτά μέτρα βασιζόταν στην φυσική ασφάλεια του περιβάλλοντος του υπολογιστή και όχι στην ασφάλεια του λογισμικού. Οι λογαριασμοί και οι κωδικοί πρόσβασης, όταν υλοποιούνταν, ήταν απλοί και χρησιμοποιούνταν κυρίως για παρακολούθηση του ποιος χρήστης έκανε ποιες ενέργειες μέσα στο σύστημα, αντί για κάποιο είδος πραγματικής ασφάλειας. Κατά τη διάρκεια αυτής της χρονικής περιόδου, δεν υπήρχε καμία περίπτωση κακόβουλης εισβολής από έξω.

1965-1975

Κατά τη διάρκεια του τέλους της δεκαετίας του 60 και στις αρχές της δεκαετίας του 70, καθώς άρχισαν οι κεντρικοί υπολογιστές να γίνονται πιο ισχυροί και ο αριθμός των χρηστών που συνδεόταν σε αυτούς έφτασαν τις χιλιάδες, το θέμα της υπευθυνότητα έγινε πιο σημαντικό. Για να περιοριστούν αυτά που μπορεί να κάνει ο τυπικός χρήστης, άρχισε να εφαρμόζεται η αρχή των περιορισμένων λογαριασμών χρηστών και των απεριόριστων διαχειριστικών λογαριασμών. Οι τυπικοί χρήστες δεν μπορούσαν να κάνουν ενέργειες που θα μπορούσαν να αλλοιώσουν τα δεδομένα ή να διακόψουν άλλους χρήστες, ενώ οι διαχειριστές μπορούσαν να κάνουν οτιδήποτε ήταν αναγκαίο για το σύστημα. Οι λογαριασμοί χρηστών που προστατεύονταν από κωδικούς πρόσβασης χρησιμοποιούνταν για να διακρίνουν ανάμεσα σε διάφορους τύπους χρηστών. Οι περισσότεροι κεντρικοί υπολογιστές παραδινόταν από το εργοστάσιο με ένα προεπιλεγμένο κωδικό πρόσβασης, τον οποίο οι διαχειριστές έπρεπε να αλλάξουν όταν παραλάμβαναν τον υπολογιστή - μια πρακτική που είναι ακόμη και σήμερα συνηθισμένη σε απλές συσκευές δικτύου.

Αυτήν την περίοδο άρχισε η έρευνα περί Λειτουργικών Συστημάτων, και λειτουργικά συστήματα κεντρικών υπολογιστών, όπως το Multics, άρχισαν να προσαρμόζονται σε μια ποικιλία μικρότερων εμπορικών μηχανημάτων, όπως τους μινι-υπολογιστές και τα πρώτα συστήματα ενός χρήστη που ονομαζόταν σταθμοί εργασίας. Η τηλεφωνική εταιρεία των Η.Π.Α έκανε πάρα πολλή έρευνα εκείνη την εποχή και ανέπτυξε μια έκδοση περιορισμένων δυνατοτήτων του Multics, που ονομάστηκε Unix. Την ίδια εποχή, η Digital Equipment ανέπτυσσε μια περισσότερη φορητή έκδοση του λειτουργικού της συστήματος, που ονομαζόταν VMS, ενώ η ΙΒΜ λειτουργικά συστήματα κεντρικών υπολογιστών

Η εισβολή εκείνη την εποχή ήταν σε επίπεδο φημών, περί κακόβουλων προγραμματιστών, που έκαναν παράνομες ενέργειες - όπως να γράφουν κώδικα που έπαιρνε τα δεκαδικά ψηφία τραπεζικών συναλλαγών και τα κατέθετε στο δικό τους λογαριασμό ή να γράφουν συστήματα "πίσω πόρτας" στον κώδικά τους για να μπορούν να μπαίνουν σε συστήματα (όπως υπονόησαν ότι έκαναν και οι αρχικοί προγραμματιστές του Unix).

1975-1985

Η έλλειψη πραγματικής ασφάλειας εμφανίστηκε στη δεκαετία του 70, όταν οι εταιρείες άρχισαν να παρέχουν απομακρυσμένη προσπέλαση σε χρήστες τερματικών, μέσω μόντεμ που εργαζόταν χρησιμοποιώντας το δημόσιο τηλεφωνικό δίκτυο. Τα μόντεμ επέτρεπαν σε μικρά γραφεία να συνδέονται απευθείας με κεντρικούς υπολογιστές που βρισκόταν στα κεντρικά γραφεία της εταιρείας. Οι εταιρείες επίσης μίσθωναν τα νέα ψηφιακά τηλεφωνικά κυκλώματα και άρχισαν να συνδέουν τα απομακρυσμένα γραφεία τους απευθείας με τα συστήματά τους μέσω "μισθωμένων γραμμών", που δεν απαιτούσαν μόντεμ και μπορούσαν να εκτείνονται σε όλη τη χώρα, με μεγάλο όμως κόστος. Επίσης, εφόσον μπορούσαν να γίνουν μόνο απευθείας συνδέσεις ανάμεσα σε κεντρικούς υπολογιστές και τερματικά, υπήρχε πολύ μικρή ευελιξία για δρομολόγηση πληροφοριών.

Ο στρατός χρησιμοποιούσε υπολογιστές για πολλά χρόνια και είχε αρχίσει να ερεθίζεται από την έλλειψη ευελιξίας κατά την αποστολή μηνυμάτων ανάμεσα σε κεντρικούς υπολογιστές. Το 1969, η Defense Adνanced Research Projects Agency DARPA) ξεκίνησε ένα έργο για να μελετήσει τα δίκτυα δρομολόγησης πακέτων, όπου μεμονωμένα μικρά μηνύματα μπορούσαν να μεταδίδονται ανάμεσα σε δύο τερματικά συστήματα και να δρομολογούνται από ενδιάμεσα συστήματα με ένα χαλαρά ιεραρχικό τρόπο, επιτρέποντας έτσι σε οποιονδήποτε βρισκόταν στο δίκτυο να επικοινωνεί με τους άλλους. Αυτές οι ερευνητικές προσπάθειες άρχισαν να αποδίδουν καρπούς στα τέλη της δεκαετίας του 70.

Η υπολογιστική ισχύς που απαιτούνταν για εκτέλεση της δρομολόγησης μηνυμάτων (ή πακέτων) δεν ήταν πρακτικά εφικτή εκείνη την εποχή, αλλά ήταν ξεκάθαρο ότι οι υπολογιστές θα γινόταν σύντομα αρκετά ισχυροί, ώστε να κάνουν το πρόβλημα τετριμμένο μέσα στα επόμενα χρόνια. Επειδή η δρομολόγηση μηνυμάτων απαιτούσε ενδιάμεσα συστήματα για να κάνουν δουλειές που δεν τα ενέπλεκε άμεσα, η ασφάλεια ήταν κάτι το μη ηθικό στα αρχικά ερευνητικά συστήματα δρομολόγησης πακέτων. Τα ενδιάμεσα συστήματα δεν μπορούσαν να ξοδέψουν το χρόνο τους για να πιστοποιήσουν κάθε πακέτο που περνούσε από μέσα τους, και η απαίτηση της εξασφάλισης της ασφάλειας θα δημιουργούσε πρόβλημα σε όλο το σύστημα Αλλά στο στρατό, η φυσική ασφάλεια και η υπευθυνότητα αντιστάθμισαν την έλλειψη της ασφάλειας συστημάτων, και εφόσον δεν υπήρχαν μη έμπιστοι χρήστες στο σύστημα, η ασφάλεια δεν αποτελούσε πρόβλημα.

Η κυβέρνηση όμως κατάλαβε ότι η ασφάλεια θα αποτελέσει γρήγορα ένα πρόβλημα και άρχισε να χρηματοδοτεί πρωτοβουλίες για βελτίωση της ασφάλειας υπολογιστών. Η ΙΒΜ ανέπτυξε τον αλγόριθμο Data Encryption Standard (DES) για την κυβέρνηση των Η.Π.Α το 1975. Σχεδόν ταυτόχρονα, οι Whitfield Diffie και Martin Hellman ανέπτυξαν την έννοια της κωδικοποίησης δημόσιου κλειδιού (Public Key Encryption, ΡΚΕ), η οποία επέλυσε το πρόβλημα της ασφαλούς ανταλλαγής κλειδιού. Το 1977, οι Rivest, Shamir και Adelman υλοποίησαν την ΡΚΕ στον ιδιοταγή αλγόριθμο κρυπτογράφησης RSA Αυτές οι πρωτοπόρες προσπάθειες στην κρυπτογράφηση δικτύου δεν είχαν αναπτυχθεί ευρέως εκείνη την εποχή, αλλά ήταν τα θεμέλια της σημερινής ασφάλειας υπολογιστών.

Η ανάπτυξη των μικροεπεξεργαστών από την Intel το 1972, άρχισε να αποδίδει καρπούς: τέσσερα από τα πέντε μοντέλα της εταιρείας διατέθηκαν στο κοινό μέχρι το 1975. Οι χομπίστες μπορούσαν να κατασκευάσουν τους υπολογιστές τους από εξαρτήματα που έβρισκαν σε καταλόγους, και μέχρι το 1978 ολοκληρωμένα συστήματα υπολογιστών μπορούσαν να αγοράζονται από τελικούς χρήστες, ως έτοιμα προϊόντα, σε κάθε πόλη των Η.ΠΑ

Οι υπολογιστές αυτοί μπορούσαν να αγοράζονται με ενσωματωμένα μόντεμ, που ήταν σε θέση να επικοινωνούν απευθείας με εταιρικούς υπολογιστές, οπότε γεννήθηκε η τέχνη και η τεχνική της εισβολής.

Η εισβολή εκείνη την εποχή γινόταν με αυτόματες συνεχείς κλήσεις σε μια περιοχή αριθμών τηλεφώνων, αφήνοντας τους υπολoγιστές να δουλεύουν όλη την νύχτα. Όταν ένας υπολογιστής απαντούσε, ο υπολογιστής που έκανε την κλήση κανονικά εκτύπωνε τον αριθμό. Σε κάθε περίπτωση, έκλεινε αμέσως την κλήση, προκαλώντας πολλά ενοχλητικά τηλεφωνήματα σε ανθρώπους, στο μέσο την νύχτας. Ο εισβολέας το επόμενο πρωί θα δοκίμαζε πάλι τα τηλέφωνα υπολογιστών που βρέθηκαν κατά τη διάρκεια της νύχτας, ψάχνοντας για σημάδια υπολογιστών που ίσως θα ήταν εύκολο να παραβιαστούν, όπως κεντρικοί υπολογιστές, των οποίων οι προεπιλεγμένοι κωδικοί πρόσβασης διαχειριστών δεν είχαν αλλάξει.

Μετά από μερικές εύκολες παραβιάσεις αυτού του είδους, εισήχθη η έννοια της ασφάλειας επανάκλησης. Με την ασφάλεια επανάκλησης, ο καλούμενος υπολογιστής δέχεται μόνο έναν αριθμό τηλεφώνου από τον καλούντα υπολογιστή και κλείνει. Κατόπιν το σύστημα ελέγχει αυτό τον αριθμό τηλεφώνου ως προς μια λίστα επιτρεπτών, και αν βρίσκεται σε αυτήν τη λίστα, το σύστημα επανακαλεί τον πελάτη, ο υπολογιστής του οποίου έχει τεθεί ώστε να κάνει ακρόαση για μια επανάκληση. Το γεγονός ότι εκείνη την εποχή οι αριθμοί τηλεφώνων δεν μπορούσαν να πλαστογραφηθούν εύκολα και ότι οι τηλεφωνικές γραμμές ήταν δύσκολο να παγιδευτούν ήταν αρκετά για να εξασφαλιστεί η ασφάλεια.

Οι εισβολείς είχαν τη δυνατότητα να εισβάλουν σε υπολογιστές της τηλεφωνικής εταιρείας και να αναδρομολογούν κλήσεις χειρωνακτικά εκεί που ήθελαν αυτοί, αλλά εισβολείς με τέτοιες δυνατότητες ήταν σπάνιοι και εφόσον δεν υπήρχαν ομάδες συζητήσεων, ο καθένας έπρεπε να βρει τις τεχνικές μόνος του. Μέχρι τα μέσα της δεκαετίας του 80, η ασφάλεια επανάκλησης είχε λύσει το πρόβλημα της ασφάλειας υπολογιστών μέχρι το σημείο που υπήρχε λόγος να λυθεί, και η αυξημένη ασφάλεια από τις εταιρίες δημόσιας τηλεφωνίας έκαναν την εκμετάλλευση αυτών των συστημάτων πολύ δύσκολη.

1985-1995

Περί τα μέσα της δεκαετίας του 80, οι υπολογιστές PC έγιναν πολύ δημοφιλείς. Μετατράπηκαν από ένα νεωτεριστικό παιχνίδι μόνο για ειδικούς σε ένα ουσιώδες εργαλείο που βρισκόταν σε κάθε γραφείο. Μαζί με τη μεγάλη διάδοση μεγάλωσε και η ανάγκη σύνδεσης PC, οπότε τα τοπικά δίκτυα βγήκαν από τα συρτάρια των ερευνητών και έγιναν πραγματικότητα. Αυτά τα δίκτυα χρησιμοποιούσαν επιχειρηματικές εκδόσεις των στρατιωτικών δικτύων δρομολόγησης πακέτων, οι οποίες είχαν βελτιστοποιηθεί για μικρά δίκτυα. Μέχρι το 1995, τα δικτυωμένα PC έγιναν ουσιώδη εργαλεία για τον επιχειρηματικό κόσμο.

Την ίδια εποχή, οι οικιακοί χρήστες υπολογιστών με μόντεμ δημιούργησαν ηλεκτρονικές κοινότητες γνωστές ως ηλεκτρονικούς πίνακες ανακοινώσεων. Χρησιμοποιώντας ένα μόνο ακριβό PC με πολλά μόντεμ ή ένα απαρχαιωμένο κεντρικό υπολογιστή ως κεντρικό διακομιστή, οι χρήστες μπορούσαν να καλέσουν και να συνομιλήσουν με φίλους τους, να στείλουν μηνύματα κειμένου και να συμμετάσχουν σε ηλεκτρονικές ομάδες συζητήσεων και παιχνίδια. Όλα αυτά τα παιχνίδια ήταν χαρακτηρικά, για να μπορέσουν να κάνουν πλήρη χρήση των αργών συνδέσεων μόντεμ και της χαμηλής ταχύτητας επεξεργασίας των υπολογιστών εκείνης της εποχής. Μερικοί από αυτούς τους ηλεκτρονικούς πίνακες ανακοινώσεων έγιναν πολύ μεγάλοι. Η CompuServe έγινε ο μεγαλύτερος πίνακας ανακοινώσεων εκείνη την εποχή, συνδέοντας εκατομμύρια χρήστες υπολογιστών μέσω μόντεμ και επιτρέποντάς τους να ανταλλάσσουν ηλεκτρονικό ταχυδρομείο και να συνομιλούν ή να χρησιμοποιούν μηνύματα κειμένου μεταξύ τους σε πραγματικό χρόνο. Μια άλλη εταιρεία, η America Online, πήρε την έννοια του ηλεκτρονικού πίνακα ανακοινώσεων και της πρόσθεσε μια γραφική διασύνδεση χρήστη, κάνοντας πολύ εύκολη την εισαγωγή για τους αρχάριους χρήστες.

Οι ηλεκτρονικοί πίνακες ανακοινώσεων επέτρεψαν στους εισβολείς να μπορούν να ανταλλάσσουν πληροφορίες και να δημιουργούν κατανεμημένες συμμορίες εισβολέων που συνήθως στοχεύουν σε άλλους πίνακες ανακοινώσεων, επειδή οι περισσότεροι επιχειρηματικοί υπολογιστές είχαν κλειδωθεί με την έλευση της ασφάλειας επανάκλησης. Η εισβολή εκείνη την εποχή εργαζόταν παρόμοια με την εποχή της δεκαετίας του 70, εκτός του ότι τώρα οι στόχοι ήταν οι νέες τηλεφωνικές εταιρείες, οι ηλεκτρονικοί πίνακες ανακοινώσεων και ο περιπτωσιακός λανθασμένα ασφαλισμένoς εταιρικός κεντρικός υπολογιστής.

Εκτός φυσικά και αν ήσουν σπουδαστής σε ένα πανεπιστήμιο. Εκείνη την εποχή, τα πανεπιστήμια ανέλαβαν την ανάπτυξη των πρωτοκόλλων δρομολόγησης πακέτων από το στρατό και τα ανέπτυξαν για να επιλύσουν πραγματικά προβλήματα. Όπως το στρατιωτικό πρωτότυπο, αυτά τα συστήματα βασιζόταν στο γεγονός ότι τα ενδιάμεσα συστήματα δρομολογούν δεδομένα χωρίς πιστοποίηση, για να μπορούν να λειτουργούν. Η ασφάλεια ήταν ένα επίπεδο που τοποθετήθηκε από επάνω, στην πραγματική εφαρμογή που χρησιμοποιούσε το δίκτυο πακέτων, και όχι στο επίπεδο δικτύου. Αυτό επέτρεπε σε έξυπνους σπουδαστές να παρακολουθούν δεδομένα που έρρεαν διαμέσου ενδιαμέσων συστημάτων και να συλλέγουν κωδικούς πρόσβασης και κατόπιν να χρησιμοποιούν αυτούς τους κωδικούς πρόσβασης για να προσπελαύνουν άλλα συστήματά. Επειδή οι στρατιωτικές εγκαταστάσεις και οι ακαδημαϊκές ερευνητικές εταιρείες ήταν επίσης συνδεδεμένες σε αυτό το ''Internet'', οι πρώτοι εισβολείς είχαν την δυνατότητα να προκαλέσουν σοβαρά προβλήματα, αλλά σπάνια το έκαναν.

Κατά τη διάρκεια αυτής της περιόδου το e-mail εξελίχθηκε από ένα απλό σύστημα μηνυμάτων, που επέτρεπε μόνο την επικοινωνία ανάμεσα σε γραφεία μιας εταιρείας σε ένα σύστημα ανταλλαγής μηνυμάτων, που εκτεινόταν ανάμεσα σε πολλές εταιρείες και επέτρεπε σε όποιον ήταν συνδεδεμένος στοInternet να ανταλλάσσει πραγματικές, ανθρώπινες πληροφορίες. Άλλα ερευνητικά έργα όπως το FTP και το Gopher επέτρεπαν σε ανθρώπους να ανταλλάσσουν αρχεία και έγγραφα υπολογιστή μέσω του Internet. Το 1990, ο Gopher συνενώθηκε με μια ερευνητική αρχή που ονομαζόταν HyperText (που προηγουμένως το κοινό μπορούσε να το δει στο προϊόν HyperCard της Apple) για να παράγει την "αναζητήσιμη τεκμηρίωση", που περιείχε ενσωματωμένες συνδέσεις προς άλλα έγγραφα, τα οποία θα μπορούσαν να φορτωθoύν αυτόματα όταν επιλεγόταν η σύνδεση. Αυτή η τεχνολογία, που ονομάστηκε World Wide Web, επέτρεπε σε επιστήμονες να εκδίδουν τα ερευνητικά τους άρθρα αμέσως και είχε άμεση απήχηση στην επιστημονική και στην ιντερνετική κοινότητα.

Το γεγονός ότι η εισβολή μπορούσε να γίνει στο γεννώμενο Internet δεν πέρασε όμως απαρατήρητο. Κάθε μεγάλος οργανισμός που συνδεόταν στο Internet, περιλαμβανομένων του στρατού, των πανεπιστημίων και των εταιρειών με μεγάλους κεντρικούς υπολογιστές, όπως η ΙΒΜ και η Digital, ανέπτυξαν ειδικά ενδιάμεσα συστήματα, τα οποία έκαναν πρόσθετη ανάλυση των δεδομένων που έρρεαν διαμέσου τους για να καθορίσουν αν τα δεδομένα ήταν έγκυρα και έπρεπε να δρομολογηθούν. Αυτοί οι δρομολογητές ονομαζόταν firewalls.

1995-2005

Το Internet έκανε την εμφάνισή του στη δημόσια σκηνή ανάμεσα στα τέλη του 1994 και στις αρχές του 1996 (θα λέμε απλώς, 1995). Γεννήθηκε κυρίως από τα δύο βοηθήματα e-mail και World Wide Web, και έγινε τόσο αναγκαίο, που οι ιδιοκτήτες των περισσοτέρων ηλεκτρονικών πινάκων ανακοινώσεων άρχισαν να συνδέουν τα συστήματά τους στο Internet και η κυβέρνηση έδωσε τη διαχείρισή του σε ένα κονσόρτιο παροχών υπηρεσιών Internet (lnternet Service Providers, ISP). Τα πανεπιστήμια επέτρεπαν την προσπέλαση τις συνδέσεις τους Internet από τις πρώτες φάσεις της εμφάνισής του, και σύντομα, οι τηλεφωνικές εταιρείες άρχισαν να εγκαθιστούν "τράπεζες μόντεμ" για να απαντούν σε τηλεφωνικές συνδέσεις και να τις συνδέουν απευθείας στο Internet. Τα πανεπιστήμια, οι ηλεκτρονικοί πίνακες ανακοινώσεων, και οι τηλεφωνικές εταιρείες έγιναν όλοι πάροχοι υπηρεσιών Internet και μέσα σε πολύ μικρό χρονικό διάστημα, εκατομμύρια άνθρωποι συνδεόταν απευθείας μεταξύ τους μέσω του Internet. Οι πάροχοl υπηρεσιών ηλεκτρονικών πινάκων ανακοινώσεων που δεν μετατράπηκαν σε παρόχους υπηρεσιών Internet, με μοναδική εξαίρεση την ΑΟΙ, έκλεισαν σχεδόν αμέσως.

Η έκρηξη του Internet συνέβη τόσο γρήγορα που οι προμηθευτές λογισμικού πιάστηκαν τελείως στον ύπνο. Ο Βill Gates, πρόεδρος της Microsoft, είπε το 1994 ότι το Internet θα ξεφουσκώσει. Οι λέξεις του απλώς ήταν η τυπική απάντηση των περισσοτέρων προμηθευτών λογισμικού για PC. Ορισμένες νέες εταιρείες, όπως η Netscape, αποτελούνταν από σπουδαστές, οι οποίοι είχαν αρχίσει να χρησιμοποιούν το Internet στη σχολή τους και ήξεραν τις δυνατότητές του, αλλά αυτές οι εταιρείες ήταν ελάχιστες.

Μέχρι τον επόμενο χρόνο ήταν προφανές ότι το Internet δεν επρόκειτο να ξεφουσκώσει. Λέγεται ότι κάποια μέρα, καταλαβαίνοντας το λάθος του, ο Gates συγκάλεσε μια συνάντηση με όλο το προσωπικό και τους ζήτησε να σταματήσουν κάθε τρέχουσα δραστηριότητά τους και να εστιάσουν τις προσπάθειές τους ώστε να κάνουν κάθε προϊόν της Microsoft "με δυνατότητες Internet" (Internet Enabled). Άλλες εταιρείες λογισμικού δεν μπόρεσαν να αντιδράσουν τόσο γρήγορα, και το Internet έκανε πολλές από αυτές να δυσκολευθούν, να εμφανιστούν στην αγορά αργά και τελικά να χαθούν από την αγορά. Μόνο εκείνες οι εταιρείες που βιάστηκαν να κάνουν το λογισμικό τους και τα λειτουργικά τους συστήματα συμβατά με τα πρωτόκολλα Internet παρέμειναν στην αγορά. Τα μεγάλα ονόματα στον κλάδο του λογισμικού εκείνη την εποχή, όπως οι Borland, WordPerfect, Novell, ΙΒΜ και Lotus είχαν προβλήματα επειδή η Microsoft μπόρεσε να κάνει τα προϊόντα της ικανά να εκμεταλλευθούν την νέα τεχνολογία, ενώ αυτές επέλεξαν να τελειώσουν τις τρέχουσες αναπτύξεις τους και να περιμένουν τον επόμενο κύκλο ανάπτυξης προκειμένου να προετοιμάσουν τα προϊόντα τους για το Internet. Μέχρι την ώρα που εμφανίστηκε η επόμενη έκδοση προγραμμάτων, κανένας δεν ασχολούνταν με αυτές τις εταιρείες, επειδή η Microsoft τις είχε σβήσει από το χάρτη.

Η βιασύνη να εμφανιστεί στην αγορά, ενώ ήταν ένα εμπορικό πραξικόπημα της Microsoft, κατέκτησε την ασφάλεια ένα δευτερεύον θέμα. Οι εργαζόμενοι της Microsoft πίστεψαν τη φήμη που είχαν οι ίδιοι διαδώσει, ότι το κορυφαίο τους λειτουργικό σύστημα Windows ΝΤ θα ήταν το ασφαλέστερο λειτουργικό σύστημα στο Internet. Για τα προϊόντα οικιακής χρήσης της Microsoft, Wίndows 95, 98 και Me η ασφάλεια ήταν τελείως απούσα, μιας που κανείς μπορούσε να μπει στο σύστημα πατώντας απλώς Cancel στο παράθυρο διαλόγου εισδοχής, αν είχε διαμορφώσει το σύστημα να εμφανίζει ένα τέτοιο παράθυρο διαλόγου. Στο κάτω-κάτω, αν η Microsoft είχε προσπαθήσει να κάνει αυτά τα προϊόντα ασφαλέστερα, οι τελικοί χρήστες θα προτιμούσαν τα προϊόντα κάποιου άλλου.

Το Internet με τα τελείως ανασφαλή του πρωτόκολλα, ήταν το θερμοκήπιο που χρειαζόταν η κοινότητα των εισβολέων, μετά από την έρημο που πέρασε κατά τη δεκαετία τoυ 80. Όταν οι τηλεφωνικές εταιρείες κλείδωσαν τα συστήματά τους η εισβολή είχε γίνει πλέον κάτι το βαρετό.

Η κυριαρχία της Microsoft στον κόσμο των PC σήμαινε ότι οι εισβολείς μπορούσαν να επικεντρώσουν τις προσπάθειές τoυς στην κατανόηση δύο μόνο λειτουργικών συστημάτων: Unix, που είναι το εγγενές ΛΣ του Internet και Windows, που είναι το λειτουργικό σύστημα για τις μάζες. Δημιουργώντας δυνατότητες εισβολής σε αυτά τα δύο λειτουργικά συστήματα μέσω τoυ Internet, οι εισβολείς είχαν σχεδόν απεριόριστες δυνατότητες προσπέλασης σε πληροφορίες επάνω στο Internet. Οι προμηθευτές κατέβαλλαν προσπάθειες να διορθώσουν προβλήματα ασφάλειας μόλις τα ανακάλυπταν, αλλά η υστέρηση μεταξύ τoυ χρόνου ανακάλυψης και τoυ χρόνου απόκρισης ήταν μερικές εβδομάδες και κατά την διάρκεια αυτών των εβδομάδων οι εισβολείς μπορούσαν να διαδώσουν τις ανακαλύψεις τoυς και να προκαλέσουν εκτεταμένες καταστροφές.

Οι επιχειρήσεις επέβαλαν περιορισμούς εγκαθιστώντας firewalls, τα οποία είχαν εξελιχθεί από την εποχή των ερευνητικών προσπαθειών ασφάλειας για τον στρατό και τις επιχειρήσεις, στις μισθωμένες γραμμές τoυς, στο σημείο όπου συνδεόταν στοuς παρόχους τoυς. Τα firewalls προσπάθησαν να προστατεύσουν τα εσωτερικά συστήματα από εισβολές, αλλά συνέχιζαν να επιτρέπουν στους χρήστες να παρακάμπτουν την ασφάλεια και δεν έκαναν πολλά πράγματα για να σταματήσουν την εισβολή από υπηρεσίες που έπρεπε να επιτρέπουν, όπως το e-mail και τις υπηρεσίες Web. Αυτές οι δύο υπηρεσίες αποτελούν σήμερα τον κύριο όγκο των στόχων εισβολής, επειδή δεν μπορούν να μπλοκαριστούν, εφόσον λειτουργούν σωστά.

Προς το τέλος αuτής της εποχής, η κρυπτογράφηση άρχισε να έχει μεγάλη ανάπτυξη σαν ο σωτήρας του Internet. Υλοποιώντας πρωτόκολλα ασφάλειας, τα οποία μπορούσαν να κρύψουν δεδομένα και να αποδείξουν την ταυτότητα ενός ατόμου, ενώ ταυτόχρονα να διατηρούν την ευκολία χρήσης και την απανταχού παρουσία, που έκαναν το Internet τόσο δημοφιλές, η κρυπτoγράφηση, μαζί με τα firewalls, στην ουσία σώζει το Internet από τα προβλήματα ασφάλειας.

Οι εισβολείς θα συνεχίσουν να εκμεταλλεύονται ανασφαλή πρωτόκολλα, αλλά εφόσον οι προμηθευτές μαθαίνουν να διανέμουν ασφαλές λογισμικό ή να διανέμουν λογισμικό με ενσωματωμένο κώδικα firewall, και οι προγραμματιστές μαθαίνουν να ασφαλίζουν τα συστήματά τoυς, η εισβολή θα ολισθήσει πάλι προς την κατάσταση στην οποία βρισκόταν στα τέλη της δεκαετίας του 80, όταν δεν υπήρχε πλέον ενδιαφέρον, επειδή οι χρήστες που δεν ήταν ασφαλείς δεν παρουσίαζαν κανένα ενδιαφέρον για εισβολή.

2005-

Οι εισβολές θα μειωθούν δραματικά, όταν η Microsoft ενσωματώσει ισχυρό λογισμικό firewall σε όλα τα λειτουργικά της συστήματα, κάτι που έγινε κατά τα τέλη τoυ 2004, όταν η εταιρεία θα κατανοούσε ότι η υιοθέτηση των νέων υπηρεσιών της ηλεκτρονικού εμπορίού .ΝΕΤ εξαρτάται από την ασφάλεια και όχι από τα χαρακτηριστικά. Η κοινότητα ανοικτού πηγαίου κώδικα και η ναυαρχίδα της, το Linux, έχει ήδη ενσωματώσει πραγματικές δυνατότητες firewalls πριν από αρκετά χρόνια, και το Linux θεωρείται ασφαλέστερο από τα Windows - κάτι που η Microsoft δεν θα αvεχτεί για πολύ καιρό. Η Aρple θα υλοποιήσει τις υπηρεσίες firewall αvοικτού πηγαίου κώδικα στo Mac OS Χ, το οποίο βασίζεται στο BSD Unix, για να αποτρέψει τις εισβολές και κάθε άλλη έκδοση του Unix θα εξαφανιστεί λόγω της εμφάνισης των δωρεάν, ταχέως αναπτυσσομένων και ασφαλέστερων λειτουργικών συστημάτων Lίnυx ή BSD Unix.

Η πλαστογραφία e-mail και η ενοχλητική αλληλογραφία θα γίνουν πιο δημοφιλείς, μέχρι οι χρήστες να αρχίσουν να χρησιμοποιούν την κρυπτογράφηση που βασίζεται στο πιστοποιητικό Χ.509 και τις δυνατότητες ψηφιακής υπογραφής, που υποστηρίζονται ήδη, αλλά χρησιμοποιούνται σπάνια. Κάποιος, πιθανώς η Microsoft, το Yahoo ή η ΑΟΙ, θα καθορίσει μια αρχή ελεύθερης πιστοποίησης για ιδιωτικούς χρήστες και θα κάνει τους πελάτες ταχυδρομείου και τα προγράμματα περιήγησης στο Web να φορτώνουν αυτόματα πιστοποιητικά από αυτή, ως τμήμα μιας ηλεκτρονικής ψηφιακής ταυτότητας, η οποία θα χρησιμοποιείται για να επιτρέπει τη διεξαγωγή ασφαλών υπηρεσιών ηλεκτρονικού εμπορίου.

Όταν η Microsoft και η κοινότητα ανοικτού πηγαίου κώδικα περιορίσουν τα κενά στα λειτουργικά τους συστήματα και τις υπηρεσίες τους, οι εισβολές θα γίνουν λιγότερες και πιο σπάνιες. Η κυβέρνηση θα παγιδεύσει τη δραστηριότητα εισβολών και θα αρχίσει πάλι να συλλαμβάνει ενόχους. Η εισβολή θα γίνει πάλι ένα σπάνιο φαινόμενο.

Όλα αυτά όμως μέχρι κάποιος ερευνητής να ανακαλύψει ένα θεμελιώδες μαθηματικό σφάλμα στο λογισμικό κρυπτογράφησης, επί του οποίου βασίζονται όλα τα μέτρα ασφαλείας.

3.2: Τι σημαίνει “Ασφάλεια” στα Δίκτυα Υπολογιστών

Το πρόβλημα της ασφάλειας των πληροφοριών είναι ιδιαίτερα σημαντικό στα σύγχρονα δίκτυα υπολογιστών. Η χρησιμοποίηση όλο και πιο προχωρημένων τεχνικών και τεχνολογιών όπως για παράδειγμα οι σύγχρονες βάσεις δεδομένων και τα σύγχρονα δίκτυα, προσφέρει αναμφισβήτητα σημαντικά πλεονεκτήματα και δυνατότητες, αυξάνει όμως ταυτόχρονα σημαντικά τα προβλήματα τα σχετικά με την προστασία και τη διαθεσιμότητα των πληροφοριών.

Η ασφάλεια αποτελεί αναγκαία συνθήκη και είναι απαραίτητη, σε συνδυασμό με τις άλλες βασικές προϋποθέσεις λειτουργίας όπως η ποιότητα και η απόδοση, για την εξασφάλιση της εύρυθμης λειτουργίας μιας επιχείρησης ή ενός οργανισμού. Αυτό είναι ιδιαίτερα σημαντικό σήμερα όπου πολύ συχνά το σύνολο των παρερχομένων υπηρεσιών μιας επιχείρησης στηρίζεται στην πληροφορική (π.χ. πάνω από το 80% των υπηρεσιών μιας τράπεζας).

Η έννοια της ασφάλειας ενός Δικτύου Υπολογιστών σχετίζεται με την ικανότητα μιας επιχείρησης ή ενός οργανισμού να προστατεύει τις πληροφορίες του από τυχόν αλλοιώσεις και καταστροφές, καθώς και από μη εξουσιοδοτημένη χρήση των πόρων του. Σχετίζεται επίσης με την ικανότητά του να παρέχει ορθές και αξιόπιστες πληροφορίες, οι οποίες είναι διαθέσιμες στους εξουσιοδοτημένους χρήστες κάθε φορά που τις αναζητούν. Η ικανότητα αυτή στηρίζεται στη λήψη μέτρων τα οποία διασφαλίζουν την ακεραιότητα και την εμπιστευτικότητα των δεδομένων, καθώς και την αδιάλειπτη λειτουργία του δικτύου.

Σύμφωνα με τον προηγούμενο ορισμό της ασφάλειας, η ασφάλεια στα δίκτυα υπολογιστών έχει να κάνει με την πρόληψη και ανίχνευση μη εξουσιοδοτημένων ενεργειών των χρηστών του δικτύου καθώς και την λήψη μέτρων. Ποιο συγκεκριμένα η ασφάλεια στα δίκτυα υπολογιστών σχετίζεται με:

* Πρόληψη (prevention) : Την λήψη δηλαδή μέτρων για να προληφθούν φθορές των μονάδων ενός δικτύου υπολογιστών.

* Ανίχνευση (detection) : Την λήψη μέτρων για την ανίχνευση του πότε, πώς και από ποιον προκλήθηκε φθορά σε μία από τις παραπάνω μονάδες.

* Αντίδραση (reaction) : Την λήψη δηλαδή μέτρων για την αποκατάσταση ή ανάκτηση των συστατικών ενός δικτύου.

Η ασφάλεια δικτύων και πληροφοριών μπορεί ακόμη να οριστεί ως η δυνατότητα ενός δικτύου ή συστήματος πληροφοριών να αντισταθεί, σε δεδομένο επίπεδο αξιοπιστίας, σε τυχαία συμβάντα ή κακόβουλες ενέργειες που θέτουν σε κίνδυνο τη διάθεση, την επαλήθευση ταυτότητας, την ακεραιότητα και την τήρηση του απορρήτου των δεδομένων που έχουν αποθηκευτεί ή μεταδοθεί καθώς και τις συναφείς υπηρεσίες που παρέχονται είτε είναι προσβάσιμες μέσω των δικτύων και συστημάτων αυτών.

Η προστασία ενός δικτύου το οποίο συνδέεται και με το Internet είναι ένα θέμα που καλούνται να αντιμετωπίσουν οι σύγχρονες επιχειρήσεις και οργανισμοί. Είναι γενικά αποδεκτό σήμερα ότι η έννοια της ασφάλειας των δικτύων υπολογιστών αλλά και των πληροφοριακών συστημάτων γενικότερα, συνδέεται στενά με τρεις βασικές έννοιες:

* Διαθεσιμότητα {Availability}

* Εμπιστευτικότητα {Confidentiality}

* Ακεραιότητα {Integrity}

Οι γενικές απαιτήσεις ασφάλειας δικτύων και συστημάτων πληροφοριών μπορούν να διατυπωθούν με τα εξής τέσσερα, αλληλένδετα χαρακτηριστικά:

α) Διαθεσιμότητα :

Διαθεσιμότητα ονομάζεται η ιδιότητα του να είναι προσπελάσιμες και χωρίς αδικαιολόγητη καθυστέρηση οι υπηρεσίες ενός δικτύου υπολογιστών όταν τις χρειάζεται μια εξουσιοδοτημένη οντότητα. Με τον όρο διαθεσιμότητα εννοούμε ότι δηλαδή ότι τα δεδομένα είναι προσβάσιμα και οι υπηρεσίες λειτουργούν, παρά τις όποιες τυχόν διαταραχές, όπως διακοπή τροφοδοσίας, φυσικές καταστροφές, ατυχήματα ή επιθέσεις. Αυτό σημαίνει ότι οι εξουσιοδοτημένοι χρήστες των υπολογιστικών συστημάτων και των υπολογιστών του δικτύου δεν αντιμετωπίζουν προβλήματα άρνησης εξυπηρέτησης (denial of service) όταν επιθυμούν να προσπελάσουν τους πόρους του δικτύου.

Για τους σκοπούς της ασφάλειας, μας απασχολεί βασικά η παρεμπόδιση κακόβουλων επιθέσεων που αποσκοπούν στο να παρακωλύσουν την πρόσβαση των νόμιμων χρηστών σε ένα πληροφοριακό σύστημα. Αυτές οι επιθέσεις ονομάζονται επιθέσεις άρνησης παροχής υπηρεσιών. Η άρνηση παροχής υπηρεσιών σημαίνει παρεμπόδιση της εξουσιοδοτημένης προσπέλασης πληροφοριών και πόρων ή πρόκληση καθυστέρησης των λειτουργιών που είναι κρίσιμες στο χρόνο. Η αντιμετώπισή τους αποσκοπεί στο να υπερνικήσει την σκόπιμη, που προκαλείται από κακόβουλα μέρη, παρά τυχαία απώλεια της διαθεσιμότητας. Ένα παράδειγμα επίθεσης άρνησης παροχής υπηρεσιών είναι οι επιθέσεις «πλημμύρας» στο διαδίκτυο, όπου ο επιτιθέμενος κατακλύζει έναν εξυπηρετητή στέλνοντάς του έναν τεράστιο αριθμό αιτήσεων σύνδεσης.

Παρόλο που η διαθεσιμότητα συχνά αναδεικνύεται στο πλέον σημαντικό χαρακτηριστικό της ασφάλειας, εντούτοις λίγοι μηχανισμοί υπάρχουν για να βοηθήσουν στην υποστήριξή της.

β) Εμπιστευτικότητα :

Σε πολλές περιπτώσεις της καθημερινής ζωής οι έννοιες της ασφάλειας και της εμπιστευτικότητας σχεδόν ταυτίζονται, όπως για παράδειγμα στα στρατιωτικά περιβάλλοντα όπου η ασφάλεια έχει τη σημασία του να κρατούνται μυστικές οι πληροφορίες.

Η εμπιστευτικότητα σημαίνει πρόληψη μη εξουσιοδοτημένης αποκάλυψης πληροφοριών, δηλαδή, πρόληψη από μη εξουσιοδοτημένη ανάγνωση. Επομένως, σημαίνει ότι τα δεδομένα που διακινούνται μεταξύ των υπολογιστών ενός δικτύου, αποκαλύπτονται μόνο σε εξουσιοδοτημένα άτομα. Αυτό αφορά όχι μόνο την προστασία από μη εξουσιοδοτημένη αποκάλυψη των δεδομένων αυτών καθαυτών αλλά ακόμη και από το γεγονός ότι τα δεδομένα απλώς υπάρχουν. Έτσι για παράδειγμα, το γεγονός ότι κανείς έχει φάκελο εγκληματία είναι συχνά το ίδιο σημαντικό όπως και οι λεπτομέρειες για το έγκλημα που διαπράχθηκε.

Άλλες εκφάνσεις της εμπιστευτικότητας είναι:

* Η ιδιωτικότητα : προστασία των δεδομένων προσωπικού χαρακτήρα, δηλαδή αυτών που αφορούν συγκεκριμένα πρόσωπα και

* Η μυστικότητα : προστασία των δεδομένων που ανήκουν σε έναν οργανισμό ή μια επιχείρηση.

γ) Ακεραιότητα:

Πρόκειται για την επιβεβαίωση ότι τα δεδομένα που έχουν αποσταλεί, παραληφθεί ή αποθηκευτεί είναι πλήρη και δεν έχουν υποστεί αλλοίωση. Η ακεραιότητα μπορεί να οριστεί γενικότερα ως η απαίτηση να είναι τα πράγματα όπως πρέπει να είναι. Στην πληροφορική, ακεραιότητα σημαίνει πρόληψη μη εξουσιοδοτημένης μεταβολής πληροφοριών, δηλαδή, πρόληψη από μη εξουσιοδοτημένη εγγραφή ή διαγραφή, συμπεριλαμβανομένης και της μη εξουσιοδοτημένης δημιουργίας δεδομένων.

Επομένως, σημαίνει ότι η μετατροπή, διαγραφή και δημιουργία των δεδομένων ενός υπολογιστικού συστήματος, γίνεται μόνο από εξουσιοδοτημένα μέρη.

3.3: Προβλήματα Ασφαλείας Δικτύων

Ένα δικτυωμένο σύστημα είναι επιρρεπές σε ένα αριθμό απειλών που προέρχονται και από νόμιμους χρήστες του συστήματος αλλά και κυρίως από επίδοξους εισβολείς. Κάθε κόμβος του δικτύου είναι ένα υπολογιστικό σύστημα με όλα τα γνωστά προβλήματα ασφάλειας. Σε αυτά, έρχεται το δίκτυο να προσθέσει το πρόβλημα της επικοινωνίας μέσω ενός πολύ εκτεθειμένου μέσου και της προσπέλασης από μακρινές τοποθεσίες μέσω πιθανώς μη-έμπιστων υπολογιστικών συστημάτων. Μερικοί λόγοι για τους οποίους αποκτούν ιδιαίτερη σημασία τα θέματα ασφάλειας δικτύων υπολογιστών είναι οι εξής:

* Η αυξημένη περιπλοκότητα περιορίζει το αίσθημα εμπιστοσύνης για την ασφάλεια των δικτύων.

* Υπάρχει αύξηση στον αριθμό των διαύλων επικοινωνίας και άρα των πιθανών σημείων επίθεσης, τα οποία πρέπει να οχυρωθούν κατάλληλα.

* Έχουν γίνει ασαφή τα όρια των δικτύων και οι διακρίσεις μεταξύ των τμημάτων μιας επιχείρησης. Κάθε κόμβος οφείλει να είναι ικανός να αντιδράσει σωστά στη παρουσία ενός νέου και μη-έμπιστου κόμβου. Από την άλλη, κάθε κόμβος μπορεί να ανήκει ταυτόχρονα σε περισσότερα από ένα δίκτυα, με αποτέλεσμα να μην είναι ξεκάθαρη η εικόνα των νομίμων χρηστών του κάθε δικτύου.

* Η δυνατότητα ανωνυμίας ενός χρήστη απαιτεί ισχυρούς μηχανισμούς πιστοποίησης μεταξύ των υπολογιστών, που συνήθως είναι διαφορετικοί από αυτούς που πιστοποιούν τους χρήστες στα υπολογιστικά συστήματα.

* Υπάρχει αδυναμία ελέγχου της δρομολόγησης των δεδομένων που διακινούνται μέσω των δικτύων.

3.4: Αναγκαιότητα και Σκοπιμότητα της Ασφάλειας

Είναι γεγονός ότι, παρά την προφανή της χρησιμότητα, η λήψη των απαραίτητων μέτρων ασφάλειας δημιουργεί πολλές φορές κάποια πρόσθετη επιβάρυνση στην απόδοση και το κόστος λειτουργίας του δικτύου υπολογιστών μιας επιχείρησης. Θα πρέπει ακόμη να αποδεχτούμε το κόστος της ασφάλειας και ως κόστος χρόνου και ως κόστος χρήματος. Συνεπώς, μπορεί να θεωρηθεί ότι η ασφάλεια βρίσκεται σε σχέση αντιστρόφως ανάλογη με την αποδοτικότητα του δικτύου υπολογιστών μιας επιχείρησης. Αυτό όμως δεν είναι σωστό γιατί η ασφάλεια είναι κόστος αναγκαίο για την ομαλή και εύρυθμη λειτουργία του.

Το συγκεκριμένο κόστος για την ασφάλεια των δικτύων μιας επιχείρησης εξαρτάται και προκύπτει από την εκάστοτε ακολουθούμενη πολιτική ασφάλειας. Απαιτείται συνεπώς μια πολιτική ασφαλείας η οποία θα πρέπει να εξισορροπεί το κόστος εισαγωγής ασφάλειας από την μία πλευρά και το κόστος ζημιών από πιθανολογούμενο κίνδυνο από την άλλη. Επίσης, θα πρέπει να δημιουργούνται τέτοιες συνθήκες ασφάλειας ώστε να μη παρεμποδίζεται η ευελιξία και η ανάπτυξη της επιχείρησης.

Η αναγκαία πολιτική ασφάλειας καθορίζεται από μία δυναμική εκτίμηση του κόστους των μέτρων ασφάλειας σε σχέση με τις συνέπειες που θα έχει για τον οργανισμό οποιαδήποτε πρόκληση δυσλειτουργίας. Ο βασικός αυτός κανόνας ισχύει για όλους τους τομείς και όλα τα επίπεδα ασφάλειας. Έτσι, σε κάθε περίπτωση όπου απαιτείται η λήψη κάποιου μέτρου ασφάλειας, πρέπει να εξετάζεται η πιθανότητα να συμβεί κάποιο πρόβλημα ασφάλειας, σε σχέση με τις συνέπειες που αυτό θα δημιουργήσει. Εάν η τιμή των δύο αυτών παραμέτρων είναι υψηλή, τότε πρέπει απαραίτητα να ληφθούν μέτρα, ανεξάρτητα από το κόστος πρόληψης.

Τέλος, πρέπει να σημειωθεί ότι η ασφάλεια χαρακτηρίζεται από την φύση της ως δυναμική παράμετρος και όχι στατική, καθώς η τεχνολογία, ο ανταγωνισμός, η πολυπλοκότητα των πληροφοριακών συστημάτων και η ολοένα βελτιούμενη επιτηδειότητα των 'επιτιθέμενων', απαιτούν τη λήψη νέων και συνεχώς αυστηρότερων μέτρων ασφάλειας. Συνεπώς, η ακολουθούμενη πολιτική ασφαλείας θα πρέπει να επανεξετάζεται τακτικά και να διορθώνεται όπου αυτό κρίνεται απαραίτητο.


3.5: Ορθή Οργάνωση Διαχρονικών Συστημάτων Ασφαλείας


Η εισαγωγή και η προσθήκη μηχανισμών ασφαλείας σε ένα δίκτυο υπολογιστών μητροπολιτικού μεγέθους, είναι ένα δύσκολο και περίπλοκο έργο. Η δυσκολία αυτή έγκειται σε μεγάλο βαθμό στο ότι τα σύγχρονα πληροφοριακά συστήματα και τα δίκτυα υπολογιστών που αποτελούν μέρος αυτών, περιέχουν συνήθως ένα τεράστιο σε όγκο και πολυπλοκότητα λογισμικό και τα μεγάλα έργα λογισμικού έχει ιστορικά αποδειχθεί ότι είναι σχεδόν αδύνατο να υλοποιηθούν χωρίς λάθη. Ακόμη, η ασφάλεια συνήθως δεν περιλαμβάνεται στο αρχικά σχεδιασμένο ή υλοποιημένο σύστημα αλλά προστίθεται αργότερα και πολλές φορές αφού συμβεί κάποια παραβίαση των ανεπαρκών μηχανισμών ασφαλείας, οπότε ο σχεδιασμός της πολιτικής ασφαλείας δυσχεραίνεται ακόμα περισσότερο.

Πολλές φορές η δυσκολία της υιοθέτησης αυστηρών μηχανισμών ασφαλείας στα δίκτυα υπολογιστών μιας επιχείρησης οφείλεται στο αυξημένο κόστος τους το οποίο φυσικά είναι ανάλογο με τον βαθμό αξιοπιστίας που απαιτεί μια επιχείρηση και το μέγεθός της. Τέλος, πολύ συχνά το πρόβλημα έγκειται στους ανθρώπους που χρησιμοποιούν το σύστημα και όχι στην τεχνολογία που χρησιμοποιείται.

Για όλους αυτούς τους λόγους θα πρέπει μια επιχείρηση να ακολουθεί συγκεκριμένη πολιτική στην οργάνωση και υιοθέτηση μηχανισμών ασφαλείας όσων αφορά τα δίκτυα υπολογιστών της. Η πολιτική αυτή θα πρέπει να πληρεί συγκεκριμένες προϋποθέσεις ώστε να μπορεί να είναι αποτελεσματική για την επιχείρηση. Στη συνέχεια αναλύονται ορισμένα βασικά στοιχεία που πρέπει να περιλαμβάνονται και να λαμβάνονται σοβαρά υπόψη κατά την οργάνωση των συστημάτων ασφαλείας στα δίκτυα υπολογιστών μιας επιχείρησης ή ενός οργανισμού.

3.5.1: Συμμόρφωση με τους Επιχειρησιακούς Στόχους


Το πρώτο χαρακτηριστικό που πρέπει να λαμβάνεται υπόψη από τους σχεδιαστές των μηχανισμών ασφαλείας εταιρικών δικτύων υπολογιστών, είναι η συμπόρευση των στόχων της επιχείρησης και των στόχων της ασφάλειας.

Είναι τουλάχιστον ανώφελο και πολλές φορές ακόμα και επικίνδυνο, αποφάσεις στρατηγικής σημασίας πάνω σε θέματα ασφαλείας της λειτουργίας του δικτύου μιας επιχείρησης να γνωστοποιούνται από την διεύθυνση στο προσωπικό το οποίο εκτός του ότι πολλές φορές δεν είναι τεχνικά καταρτισμένο για να κατανοήσει τη σημαντικότητά τους, δεν ταυτίζεται και με τους στόχους και την πολιτική της επιχείρησης.

Στις περισσότερες των επιχειρήσεων τόσο στο εξωτερικό όσο και σε ορισμένες σημαντικού μεγέθους στην Ελλάδα, τα τμήματα πληροφορικής είναι αυτά που είναι υπεύθυνα για θέματα ασφαλείας δικτύων. Βασικός στόχος τους είναι η εξασφάλιση της συνεχούς λειτουργίας του δικτύου, η σωστή κατανομή των πόρων του δικτύου .και η αναβάθμιση όλων εκείνων των στοιχείων που διευκολύνουν και προωθούν την επίτευξη των στόχων της επιχείρησης.

Το ερώτημα που τίθεται βέβαια είναι το ποιος είναι καταλληλότερος να λάβει αποφάσεις για τεχνικά θέματα όπως η εγκατάσταση Συστημάτων Ανίχνευσης Εισβολής (Intrusion Detection Systems - IDS), Firewalls και αντι-ιοικού λογισμικού. Η απάντηση φυσικά είναι οι ειδικοί περί τεχνολογίας πληροφοριών αλλά όχι μόνο αυτοί. Στις αποφάσεις αυτές θα πρέπει να έχουν ενεργό συμμετοχή και οι διευθυντές ασφαλείας αλλά κατόπιν συζήτησης και συμφωνίας με την διοίκηση. Δυστυχώς τις περισσότερες φορές η απόσταση μεταξύ αυτών που παίρνουν τις αποφάσεις για θέματα ασφαλείας και της διοικήσεως είναι πολύ μεγάλη και αυτό είναι μεγάλο μειονέκτημα για την ομαλή λειτουργία της επιχείρησης.

Η έλλειψη επομένως συνεργασίας των παραπάνω θα μπορούσε να οδηγήσει σε πολύ άσχημα αποτελέσματα, Για παράδειγμα, η διάδοση ενός ιού μέσω του ηλεκτρονικού ταχυδρομείου, θα μπορούσε να προκαλέσει εκτεταμένη ζημιά σε μια επιχείρηση μέσα σε λίγα λεπτά. Ο χρόνος που έχει σε αυτές τις περιπτώσεις στη διάθεση της η ομάδα ψηφιακής ασφαλείας της επιχείρησης είναι πολύ περιορισμένος. Έτσι αν η ομάδα αυτή δεν κατανοήσει εγκαίρως τον κίνδυνο που διατρέχει η επιχείρηση και αν από την άλλη, οι υπόλοιποι υπάλληλοι που δεν σχετίζονται με θέματα ασφαλείας, δεν έχουν κατανοήσει τις συμπεριφορές εκείνες που θέτουν την επιχείρηση σε κίνδυνο, τότε ο χρόνος απόκρισης της ομάδας ασφαλείας θα αυξηθεί δραματικά.

Η διοίκηση της επιχείρησης είναι αυτή που θα πρέπει να κατανοήσει τα τεχνολογικά ρίσκα που αντιμετωπίζει η επιχείρηση και την πιθανή επίδραση αυτών στους στόχους της. Αυτή είναι που πρέπει να αναγνωρίσει την στρατηγική σημασία της συμπόρευσης των στόχων της και των θεμάτων ασφαλείας όλων των υπολογιστικών της μονάδων και να εκμηδενίσει την απόσταση μεταξύ αυτών που παίρνουν αποφάσεις σχετικά με θέματα ψηφιακής ασφάλειας και οριοθέτησης των στόχων της επιχείρησης.


Σχήμα 3.2 : Μοντέλο Ψηφιακής Ασφάλειας


Όπως μπορούμε να δούμε και στο Σχήμα 3.2 η υιοθέτηση μιας τέτοιας πολιτικής παρέχει την απαραίτητη συμπόρευση και ευθυγράμμιση όλων των θεμάτων που σχετίζονται με την ψηφιακή ασφάλεια, τις παραμέτρους της τεχνολογίας πληροφοριών, τις μονάδες του δικτύου υπολογιστών και τους στόχους της εταιρείας έτσι ώστε όλα να επικεντρώνονται στους δύο ανώτερους στόχους της επιχείρησης που είναι η παραγωγικότητα και το κέρδος.


3.5.2: Ευρεία Δράση των Μηχανισμών Ασφαλείας

Ένα δεύτερο πολύ σημαντικό σημείο που θα πρέπει να σταθούν οι σχεδιαστές των μηχανισμών ασφαλείας ενός δικτύου υπολογιστών μιας επιχείρησης είναι ο διευρυμένος χαρακτήρας του. Θα πρέπει δηλαδή οι μηχανισμοί ασφαλείας που θα χρησιμοποιηθούν να περικλείουν την επιχείρηση σε όλα της τα επίπεδα, τόσο οριζόντια όσο και κάθετα.

Μία επιχείρηση είναι τόσος ασφαλής όσο ασφαλής είναι και η τελευταία ασήμαντη σύνδεσή της με το εξωτερικό της περιβάλλον, επομένως ο σκοπός της σχεδίασης μηχανισμών ασφαλείας θα πρέπει να περιλαμβάνει τόσο την επιχείρηση σαν μία οντότητα όσο και τις μεμονωμένες μονάδες από τις οποίες αποτελείται. Για να είναι μια πολιτική ασφαλείας, όσων αφορά των δικτυακό εξοπλισμό μιας επιχείρησης, αποδοτική θα πρέπει να λαμβάνει υπόψη της τις απαιτήσεις της επιχείρησης, να είναι εγκεκριμένη από την διοίκηση της επιχείρησης και να θεωρείται σαν ένας βασικός παράγοντας για την βιωσιμότητα και την επιτυχία της επιχείρησης.

3.5.3: Συνέχεια Μηχανισμών Ασφαλείας

Πολύ σημαντικό ρόλο παίζει και η εξασφάλιση της συνέχειας στην οργάνωση της ασφάλειας των δικτύων υπολογιστών μιας επιχείρησης. Προκειμένου οι μηχανισμοί ασφαλείας ενός δικτύου να είναι σε θέση να εξασφαλίσουν τη συνεχή ανταπόκριση σε θέματα ασφαλείας του δικτύου θα πρέπει το σύστημα να καταγράφει σε πραγματικό χρόνο τις κινήσεις στο δίκτυο και να αναβαθμίζει τις λειτουργίες των προγραμμάτων ασφαλείας με τρόπο αυτόματο.

Σε μία επιχείρηση όπου η ομάδα ασφαλείας είναι είτε μη ενημερωμένη είτε μη κατάλληλα εκπαιδευμένη είναι περισσότερο από βέβαιο το ότι αυτή η επιχείρηση δεν θα μπορέσει να ανταποκριθεί σε περίπτωση κινδύνου της ψηφιακής της ασφάλειας αφού δεν θα είναι ικανή να αναγνωρίσει τον πιθανό κίνδυνο. Αυτές οι καταστάσεις θέτουν ολόκληρη την επιχείρηση σε κίνδυνο διάδοσης ή ακόμη και καταστροφής ευαίσθητων πληροφοριών και δεδομένων, και την κάνουν ευάλωτη.

Αντίθετα, οι επιχειρήσεις εκείνες που παρουσιάζουν μεγαλύτερη εγρήγορση σε θέματα ασφαλείας τόσο των δικτύων τους όσο και γενικότερα των πληροφοριακών τους συστημάτων μειώνουν το ρίσκο που αντιμετωπίζουν. Οι επιχειρήσεις αυτές συνήθως κάνουν χρήση συστημάτων συνεχούς αποτίμησης, ανανέωσης και αναδιάρθρωσης των μηχανισμών ασφαλείας που εφαρμόζουν στα δίκτυα υπολογιστών τους και όχι μόνο. Τέτοια συστήματα περιλαμβάνουν τα εξής τέσσερα σημαντικά βήματα : Σχέδιο, Ασφάλεια, Επιβεβαίωση και Επανόρθωση.

Σχήμα 3.3 : Συνεχές Σχέδιο Ψηφιακής Ασφαλείας


Όπως φαίνεται και στο Σχήμα 3.3 ο κύκλος των τεσσάρων αυτών βημάτων ξεκινάει με τον σχεδιασμό των στενών σχέσεων που πρέπει όπως προαναφέραμε να έχουν οι στόχοι της ασφάλειας και οι στόχοι της επιχείρησης.

Συνεχίζεται με την εκτέλεση του προγράμματος ασφαλείας όπως αυτό σχεδιάστηκε και την εξασφάλιση των ψηφιακών επικοινωνιών της επιχείρησης.

Ακολουθεί η επιβεβαίωση όλων ανεξαρτήτως των μέτρων ασφαλείας που έχουν ληφθεί και θέματα που δεν μελετήθηκαν στο στάδιο του σχεδιασμού ή προέκυψαν κατά την έναρξη λειτουργίας των μηχανισμών, καταγράφονται και επιλύονται έτσι ώστε να εξασφαλίζεται η ολική και ασφαλής λειτουργικότητα του συστήματος.

Τέλος, έχουμε το πιο σημαντικό βήμα του κύκλου, που δηλώνει ότι πρέπει να ξεκινήσουμε τον κύκλο από την αρχή. Οποιαδήποτε αλλαγή σε κάποιο από τα συστήματα της επιχείρησης ή τα μέλη του δικτύου υπολογιστών της ή στροφή στους στόχους και τις επιδιώξεις της επιχείρησης, μπορεί να επιδράσει στην στρατηγική ασφαλείας της επιχείρησης και επομένως η επανεξέτασή της θεωρείται απαραίτητη.

3.5.4: Προληπτική Δράση των Μηχανισμών Ασφαλείας

Το τέταρτο χαρακτηριστικό που πρέπει να πληρεί ένα σύστημα ασφαλείας σε ένα δίκτυο υπολογιστών είναι η αυξημένη δυνατότητά του να προλαμβάνει. Προκειμένου να είναι αποτελεσματικός, κάθε μηχανισμός ασφαλείας θα πρέπει να είναι σε θέση να εξουδετερώνει τις απειλές και να αντιμετωπίζει τις επιθέσεις στα δίκτυα της επιχείρησης.

Για να είναι κάτι τέτοιο εφικτό θα πρέπει να οριστεί επακριβώς τι είναι αυτό που μπορεί να μετατρέψει το δίκτυο της επιχείρησης σε στόχο επίθεσης και να δοθεί ιδιαίτερο βάρος στην λήψη μέτρων εξασφάλισης της ακεραιότητάς του. Αυτό με την σειρά του συνεπάγεται να αποκτήσει η ομάδα ψηφιακής ασφάλειας της επιχείρησης σαφή γνώση σχετικά με το ποιος είναι αυτός που θα ήθελε να επιτεθεί στην επιχείρηση, να μελετήσει το δίκτυο για τυχών αδύνατα σημεία, να προχωρήσει στην οργανωμένη καταγραφή δραστηριότητας από μη εξουσιοδοτημένους χρήστες και στην άμεση εξουδετέρωση αυτής της δραστηριότητας.

Προκειμένου να πραγματοποιηθεί όλη αυτή η έρευνα, σε όλο το εύρος και βάθος που απαιτείται, η επιχείρηση θα πρέπει να διαθέσει σημαντικά μεγέθη τόσο σε πόρους των δικτύων της όσο και σε χρήματα.

3.6: Μεθοδολογία Υιοθέτησης Μηχανισμών Ασφαλείας ενός Επιχειρησιακού Δικτύου Υπολογιστών

Πρωταρχική σημασία για την αντιμετώπιση και επίλυση των προβλημάτων Ασφαλείας (security) σε ένα επιχειρησιακό δίκτυο υπολογιστών που ανήκει στην κατηγορία των μητροπολικών δικτύων, μιας που πάνω σε αυτή την κατηγορία έγινε και η μελέτη του “Εικονικού Επιχειρησιακού Δικτύου” του εβδόμου κεφαλαίου, έχει η αναγνώριση από μέρους της ίδιας της επιχείρησης των πραγματικών απαιτήσεων ασφαλείας που παρουσιάζει. Οι απαιτήσεις αυτές καθορίζονται τόσο από το μέγεθος της επιχείρησης όπως θα δούμε στη συνέχεια όσο και από τη νομοθεσία η οποία επιβάλει κάποιους απαράβατους κανόνες στην υιοθέτηση μηχανισμών ασφαλείας στα εταιρικά δίκτυα.

3.6.1: Αναγνώριση των Κινδύνων Ασφαλείας

Προκειμένου μια επιχείρηση να αποκτήσει σαφή εικόνα των κινδύνων ασφαλείας που αντιμετωπίζει το δίκτυο υπολογιστών της, θα πρέπει να έχει λάβει γνώση των υποχρεώσεων που έχει για εξασφάλιση ασφαλών επικοινωνιών μέσω του δικτύου της. Υπάρχουν τρεις κύριες πηγές για το σκοπό αυτό:

* Η αποτίμηση των κινδύνων που αντιμετωπίζει επιχείρηση. Μέσω αυτής της διαδικασίας, αναγνωρίζονται οι πιθανές απειλές προς την επιχείρηση, υπολογίζεται η ευπάθεια της στις συγκεκριμένες απειλές, η πιθανότητα υλοποίησής τους και το κόστος που θα έχουν για την επιχείρηση.

* Το νομικό πλαίσιο και οι συμβατικές υποχρεώσεις της επιχείρησης απέναντι στο κράτος, το προσωπικό και τους συνεργάτες της.

* Το σύνολο των αρχών, των απαιτήσεων και των στόχων που ορίζει η ίδια η επιχείρηση σχετικά µε την επεξεργασία των πληροφοριών που είναι απαραίτητες στη λειτουργία της.

Ένας αριθμός απαιτήσεων ελέγχου και προστασίας θεωρείται θεμελιώδης για την ασφάλεια των πληροφοριών σε κάθε επιχείρηση. Αυτές, είτε βασίζονται σε υποχρεωτικές νομικές διατάξεις, είτε έχουν καθιερωθεί ως κοινή πρακτική σε θέµατα ασφάλειας.

Απαιτήσεις απαραίτητες σε μια επιχείρηση, που βασίζονται στη νομοθεσία, είναι η διαφύλαξη των προσωπικών δεδομένων, η διαφύλαξη των δεδομένων της επιχείρησης και τα δικαιώματα πνευματικής ιδιοκτησίας. Απαιτήσεις που έχουν καθιερωθεί ως κοινή πρακτική είναι η εκπόνηση σχεδίου ασφαλείας, το οποίο λόγω της εξαιρετικά βαρύνουσας σημασίας του αναλύεται στη συνέχεια, ο καταµερισµός καθηκόντων σχετικών µε την ασφάλεια, η εκπαίδευση σε θέµατα ασφάλειας, η αναφορά συµβάντων και η διαχείριση της επιχειρησιακής συνέχειας

Σε περίπτωση που µία επιχείρηση επιθυµεί να καταγράψει και αντιμετωπίσει τα προβλήματα ασφάλειας που υπάρχουν, µπορεί να ακολουθήσει διάφορες στρατηγικές.

Αν η επιχείρηση είναι μικρής κλίμακας, µπορεί να εφαρμόσει κατευθείαν τη βασική προσέγγιση, στα πλαίσια της οποίας επιλέγονται απευθείας βασικά μέτρα προστασίας, τα οποία είναι ευρέως γνωστά από υπάρχοντες κώδικες ακολουθητέας πρακτικής σε διεθνές επίπεδο.

Αν η επιχείρηση είναι µμεγαλύτερη και τα πληροφοριακά συστήµατα έχουν ιδιαίτερη σημασία για τη λειτουργία της, για την αποτελεσματική και ολοκληρωμένη καταγραφή των προβλημάτων Ασφαλείας που δυνητικά αντιµετωπίζει, ως επαρκέστερη επιστηµονικά µέθοδος προτείνεται η εκπόνηση λεπτοµερούς µελέτης ανάλυσης και διαχείρισης επικινδυνότητας µε χρήση πρότυπης αυτοµατοποιηµένης µεθοδολογίας, από έµπειρους µελετητές.

Στα πλαίσια της µελέτης αυτής, αρχικά καταγράφονται λεπτοµερώς και αποτιμώνται συγκριτικά τα μέλη που περιλαµβάνονται στο δίκτυο της επιχείρησης, µελετώνται διεξοδικά οι απειλές που υφίσταται αυτό και τα σημεία ευπάθειας που παρουσιάζει και ακολούθως υπολογίζεται ο βαθµός επικινδυνότητας του συστήµατος. Τελικά, αναπτύσσεται ένα ολοκληρωµένο σχέδιο ασφάλειας για την επιχείρηση, το οποίο περιλαµβάνει τόσο τα προτεινόµενα αντίµετρα, όσο και την πολιτική Ασφαλείας του οργανισµού. Τα προτεινόµενα αντίµετρα µπορεί να είναι κυρίως τεχνικά, αλλά και διοικητικά και οργανωτικά.

3.6.2: Το Σχέδιο Ασφαλείας


Το Σχέδιο Ασφαλείας είναι το έγγραφο, στο οποίο περιγράφονται οι απαιτήσεις ασφαλείας ενός οργανισμού ή μιας επιχείρησης, οι απαραίτητες ενέργειες για την υλοποίησή τους, καθώς και τα αναγκαία διοικητικά και οργανωτικά μέτρα. Το σχέδιο ασφάλειας υπόκειται σε τακτικές επισκοπήσεις και αναθεωρήσεις, δεδομένης της ραγδαίας ανάπτυξης τεχνολογικών λύσεων και της εφαρμογής τους στα συστήματα πληροφορικής και δικτύων.

Η κατάρτιση του Σχεδίου Ασφάλειας και του Σχεδίου Έκτακτης Ανάγκης, που θα δούμε στη συνέχεια, μπορεί να βασίζεται στα αποτελέσματα μιας ανάλυσης επικινδυνότητας (risk analysis review) της υπολογιστικής και επικοινωνιακής υποδομής. Η ανάλυση επικινδυνότητας έχει ως στόχο να προσδιορίσει τις απαιτήσεις ασφαλείας ενός δικτύου υπολογιστών, αφού αυτό είναι που μας ενδιαφέρει στα πλαίσια της συγκεκριμένης εργασίας. Αφορά την εκτίμηση των κινδύνων και των απειλών στις οποίες είναι εκτεθειμένο ένα πληροφοριακό σύστημα και την λήψη των κατάλληλων μέτρων ασφαλείας για την αντιμετώπισή τους.

Το Σχέδιο Ασφαλείας αποτελείται κυρίως από την Πολιτική Ασφάλειας, την Περιγραφή της Υφιστάμενης Κατάστασης της Υποδομής από τη σκοπιά της Ασφάλειας, τις Απαιτήσεις Ασφάλειας, το πλάνο υλοποίησης και την περιγραφή των διαδικασιών συνεχούς επισκόπησης και αναθεώρησης του σχεδίου Ασφαλείας.

3.6.2.1: Πολιτική Ασφαλείας (Security Policy)


Πρόκειται για ένα σύνολο κανόνων, οι οποίοι προσδιορίζουν επακριβώς το ρόλο κάθε εμπλεκόμενου μέσα σε μία επιχείρηση ή έναν οργανισμό, τις αρμοδιότητες, τις ευθύνες και τα καθήκοντά του.

Μια πολιτική ασφαλείας πρέπει να περιλαμβάνει τα ακόλουθα στοιχεία:

* Αγαθά (Assets): πρόκειται για τις οντότητες (πχ υλικό, λογισμικό, πληροφορίες, θέσεις κλειδιά της επιχείρησης κλπ) του πληροφοριακού συστήματος και κατ’ επέκταση και του δικτύου υπολογιστών που έχουν αξία και πρέπει να προστατευθούν

* Ρόλους και αρμοδιότητες (Roles and Responsibilities): πρόκειται για τους ρόλους και αρμοδιότητες, καθήκοντα, ευθύνες του κάθε ρόλου για θέματα που αφορούν το δίκτυο υπολογιστών και την ασφάλειά του

* Στόχους (Security policy objectives): πρόκειται για το στόχο (ή τους στόχους) ασφαλείας που καθορίζει συνοπτικά την εστίαση της πολιτικής και θέτει περιορισμούς

* Πεδίο εφαρμογής της πολιτικής ασφαλείας (Scope of Security Policy): πρόκειται για την εμβέλεια, την έκταση και το χώρο που αφορά η πολιτική ασφαλείας

* Οδηγίες, Κατευθυντήριες Γραμμές (Guidelines):

* Κουλτούρα, άλλες πολιτικές, νομοθεσία (Culture, legislation, other policies): πρόκειται για το σύνολο των πεποιθήσεων, αξιών, αρχών, πολιτικών, κωδίκων δεοντολογίας, νόμων που συνθέτουν την κουλτούρα της επιχείρησης και του περιβάλλοντός της και ανατροφοδοτούν τους μηχανισμούς της μέσω μιας διαδικασίας συνεχούς εκμάθησης

* Υλοποίηση και εφαρμογή της πολιτικής ασφαλείας - Ενημέρωση και συμμόρφωση (Implementation and application of the security policy – Awareness, enforcement, breach): πρόκειται για το οργανωτικό πλαίσιο ρόλων, αρμοδιοτήτων, κανονισμών, επιτροπών για την υλοποίηση και εφαρμογή της Πολιτικής Ασφαλείας, για την ενημέρωση του προσωπικού σχετικά με την συμμόρφωση και τις ενέργειες που λαμβάνονται στην περίπτωση παραβίασής της Πολιτικής Ασφαλείας

* Επισκόπηση και αναθεώρηση της πολιτικής (Review and audit): πρόκειται για την τακτική επισκόπηση και αναθεώρηση της πολιτικής σύμφωνα με τις εκάστοτε συνθήκες ώστε να είναι επίκαιρη και να καλύπτει το σύνολο των δομικών στοιχείων του δικτύου υπολογιστών και γενικότερα του πληροφοριακού συστήματος και των διαδικασιών διαχείρισης.

Τα βασικά χαρακτηριστικά της πολιτικής ασφαλείας πρέπει να είναι τα παρακάτω:

* Απαιτεί συμμόρφωση από το προσωπικό της επιχείρησης. Το έγγραφο της πολιτικής θα πρέπει να είναι στη διάθεση όλου του προσωπικού

* Εκφράζει γενικότερες απόψεις ή αρχές της επιχείρησης

* Είναι σαφής ώστε να μην παρουσιάζονται δυσκολίες στην κατανόηση και εφαρμογή της και εφαρμόσιμη από άποψη κόστους

* Είναι γενικεύσιμη ώστε η εφαρμογή της να είναι επεκτάσιμη σε μελλοντικά συστήματα που ενδεχομένως ενταχθούν στο πληροφοριακό σύστημα της επιχείρησης

* Είναι απαλλαγμένη από μη απαραίτητους τεχνικούς όρους και εξειδικευμένες αναφορές ώστε να μην καθίσταται δύσκολη στην εφαρμογή της και εξαρτημένη από τεχνολογικές επιλογές καθώς και να μην τροποποιείται συχνά, παρά μόνο όταν συμβαίνουν σημαντικές αλλαγές στα εξής :

- Στην οργανωτική δομή και στην κουλτούρα της επιχείρησης

- Στις απαιτήσεις ασφαλείας

- Στις τεχνολογικές εξελίξεις

Ανακεφαλαιώνοντας θα μπορούσαμε να πούμε ότι η Πολιτική Ασφαλείας περιγράφει το σύνολο των κανόνων που καθορίζουν τον τρόπο µε τον οποίο ένας οργανισμός ή μια επιχείρηση προστατεύει τα πληροφοριακά της συστήµατα, έτσι ώστε να επιτυγχάνει συγκεκριμένους στόχους ασφαλείας. Η Πολιτική Ασφαλείας συντάσσεται λαμβάνοντας υπόψη τα ιδιαίτερα χαρακτηριστικά της επιχείρησης και του τοµέα της οικονοµίας στον οποίο δραστηριοποιείται, βασίζεται στα αποτελέσματα της µελέτης ανάλυσης επικινδυνότητας, καθώς και στις βασικές διαστάσεις των στρατηγικών κατευθύνσεων της επιχείρησης, σε σχέση µε την αξιοποίηση των τεχνολογιών Πληροφορικής και Επικοινωνιών.

Αξίζει να σημειωθεί, ότι η Πολιτική Ασφαλείας αποτελεί υπηρεσιακό κείµενο και θα πρέπει να λαµβάνεται µέριµνα, ώστε όλα τα µέλη του προσωπικού που έχουν ρόλο στη λειτουργία των συστηµάτων, είτε ως χρήστες, είτε ως διαχειριστές, είτε ως διοικητικά στελέχη, να λάβουν γνώση της.

3.6.2.2: Υφιστάμενη Κατάσταση

Η υπολογιστική και επικοινωνιακή υποδομή εξετάζεται σε σχέση με τις αδυναμίες, τους κινδύνους που παρουσιάζονται και τα μέτρα ασφαλείας, τα οποία έχουν ήδη υλοποιηθεί με σκοπό την αντιμετώπιση των αδυναμιών και των κινδύνων ασφαλείας του δικτύου υπολογιστών. Βάση για την εξέταση της υφιστάμενης κατάστασης μπορεί να αποτελέσει και η ανάλυση επικινδυνότητας ενώ τα υφιστάμενα μέτρα ασφαλείας αξιολογούνται.

3.6.2.3: Απαιτήσεις Ασφαλείας


Προσδιορίζονται οι απαιτήσεις ασφάλειας με τη βοήθεια ειδικών μεθόδων ανάλυσης και καταγραφής απαιτήσεων. Ο προσδιορισμός των απαιτήσεων μπορεί να βασίζεται στην ανάλυση επικινδυνότητας, το τελευταίο στάδιο της οποίας είναι εκείνο της ανάλυσης μέγιστου κέρδους - ελάχιστου κόστους (cost benefit analysis) από την εφαρμογή των διαφόρων μέτρων ασφαλείας. Τα μέτρα ασφάλειας πρέπει να προσφέρουν ασφάλεια αντίστοιχη της αξίας του δικτύου υπολογιστών για το οποίο έχουν σχεδιαστεί καθώς και της σοβαρότητας των κινδύνων που αυτό αντιμετωπίζει.

Τα μέτρα ασφαλείας αντανακλούν την διασφάλιση των βασικών απαιτήσεων ασφαλείας και περιλαμβάνουν αναλυτικούς κανόνες και οδηγίες για την επίτευξη των στόχων ασφαλείας που έχουν τεθεί.

3.6.2.4 : Πλάνο Υλοποίησης

Τον προσδιορισμό των απαιτήσεων ασφάλειας ακολουθεί η υλοποίησή τους. Το σχετικό πλάνο υλοποίησης αναφέρεται στον καταμερισμό αρμοδιοτήτων και ευθυνών των εμπλεκόμενων, στην κατάτμηση του έργου υλοποίησης σε επιμέρους εργασίες και στον χρονοπρογραμματισμό τους.

3.6.2.5 : Συνεχής Επισκόπηση και Αναθεώρηση

Προσδιορισμός διαδικασιών για την τακτική ενημέρωση του ίδιου του σχεδίου ασφάλειας. Η επανεξέταση όλων των ελέγχων, καθώς και των λειτουργιών, αποτελεί σημαντικό βήμα προς τη θωράκιση των συστημάτων επιχειρήσεων και οργανισμών, και την ενίσχυση των αμυντικών μηχανισμών τους. Άλλωστε, η τεχνολογία εξελίσσεται με τόσο γρήγορο ρυθμό, που ακόμα και η παραμικρή αλλαγή θα πρέπει να αντικατοπτρίζεται άμεσα στα μέτρα ασφάλειας που τελικά υιοθετούνται. Από την άλλη, αυτό δε σημαίνει απαραίτητα ότι θα υπάρχουν συνεχείς αλλαγές στην πολιτική ασφάλειας, ούτε ότι θα αλλάζουν κάθε τόσο τα καθήκοντα των χρηστών και λοιπών εμπλεκομένων.

Αντιθέτως, όλοι καλούνται να τηρούν πιστά τις οδηγίες που τους έχουν δοθεί, και να φροντίζουν ώστε να ελαχιστοποιούν τα λάθη τους. Επίσης, έχει τεράστια σημασία η καλλιέργεια ενός κλίματος εμπιστοσύνης και αμοιβαίας κατανόησης ανάμεσα στο σύνολο του ανθρώπινου δυναμικού που έρχεται είτε έμμεσα, είτε άμεσα σε επαφή με τα συστήματα πληροφορικής και τηλεπικοινωνιών μέσα σε μία επιχείρηση ή σε έναν οργανισμό.

3.6.3: Σχέδιο Έκτακτης Ανάγκης

Το Σχέδιο Έκτακτης Ανάγκης (Disaster recovery plan and contingency plan) είναι το έγγραφο που αναφέρεται στα μέτρα, τα οποία εφαρμόζονται σε περιπτώσεις έκτακτης ανάγκης, όπως της καταστροφής ενός υπολογιστικού κέντρου ή την κατάρρευση ενός επιχειρησιακού δικτύου.

Στο Σχέδιο Έκτακτης Ανάγκης, το οποίο συμπληρώνει το Σχέδιο Ασφαλείας, προβλέπονται μέτρα που στοχεύουν στα ακόλουθα:

* Ελαχιστοποίηση διακοπών της κανονικής λειτουργίας

* Περιορισμός της έκτασης των ζημιών και καταστροφών, και αποφυγή πιθανής κλιμάκωσης αυτών

* Δυνατότητα ομαλής υποβάθμισης

* Εγκατάσταση εναλλακτικών μέσων λειτουργίας εκ των προτέρων

* Εκπαίδευση, εξάσκηση και εξοικείωση του ανθρώπινου δυναμικού με διαδικασίες έκτακτης ανάγκης

* Δυνατότητα ταχείας και ομαλής αποκατάστασης της λειτουργίας

* Ελαχιστοποίηση των οικονομικών επιπτώσεων

Το σχέδιο έκτακτής ανάγκης πρέπει να προσδιορίζει τους πιθανούς κινδύνους και γενικότερα τα κριτήρια που καθορίζουν την κατάσταση ως έκτατη και επιβάλλουν την ενεργοποίηση του σχεδίου. Πρέπει να υπάρχουν σαφείς και γραπτές διαδικασίες που να θέτουν την επιχείρηση σε κατάσταση έκτακτης ανάγκης και να επιτρέπουν ανάκληση του σχεδίου.

Το σχέδιο έκτακτης ανάγκης πρέπει να προσδιορίζει τις σημαντικές λειτουργίες και τα αντίστοιχα συστήματα της επιχείρησης, τη στρατηγική προστασίας τους και την προτεραιότητα με την οποία θα τεθούν σε εφαρμογή οι δραστηριότητες της επιχείρησης στο εναλλακτικό σύστημα. Επίσης, το σχέδιο πρέπει να περιέχει μια κατάσταση με τα μέλη του προσωπικού που θα κληθούν στην περίπτωση καταστροφής καθώς και τα τηλέφωνα των προμηθευτών υλικού και λογισμικού, των σημαντικών συνεργατών ή πελατών, των ατόμων που βρίσκονται σε διαφορετικές εγκαταστάσεις που θα χρησιμοποιηθούν από την επιχείρηση για τη συνέχιση της λειτουργίας της. Ακόμη, το σχέδιο θα πρέπει να περιέχει διαδικασίες για τον υπολογισμό της ζημιάς από την καταστροφή που συντελέστηκε, ενώ θα πρέπει να περιέχει έναν ρεαλιστικό χρονοπρογραμματισμό με σαφή ανάθεση καθηκόντων για την αποκατάσταση της λειτουργίας της επιχείρησης.

Το σχέδιο έκτακτης ανάγκης πραγματεύεται, εκτός των άλλων, την ανάκαμψη της λειτουργίας της υπολογιστικής και επικοινωνιακής υποδομής μετά από φυσικές καταστροφές (φωτιές, πλημμύρες, σεισμούς, κτλ.). Για την ταχύτερη δυνατή αντιμετώπιση των έκτακτων περιστάσεων, προτείνεται η τοποθέτηση συναγερμών, οι οποίοι χρησιμοποιούνται τόσο για την ανίχνευση (επικείμενης) ζημιάς λόγω των φαινομένων αυτών, αλλά και για την ανίχνευση εισβολών στα συστήματα.

Όσον αφορά τις εισβολές, για την ανίχνευση και αντιμετώπισή τους μπορούν να χρησιμοποιηθούν ειδικά συστήματα λογισμικού, τα επονομαζόμενα συστήματα ανίχνευσης εισβολών, τα οποία κάνουν χρήση διαφόρων αισθητήρων και δίνουν τακτικές αναφορές στα κέντρα ελέγχου.

Πρέπει να επισημανθεί, ωστόσο, ότι οι κίνδυνοι αυτού του είδους ελαχιστοποιούνται, αν έχει προηγουμένως καταστρωθεί ένα προσεγμένο σχέδιο ασφάλειας. Το σχέδιο έκτακτης ανάγκης, άλλωστε, έρχεται να καλύψει τα κενά που πιθανόν να έχει αφήσει το σχέδιο ασφάλειας. Διαβάστε περισσότερα...

Δεν υπάρχουν σχόλια: