Securitatea reelelor Microsoft

Concepte generale Securitatea reelelor de calculatore este un subiect destul de complicat dar foarte actual, n condiiile n care, din ce n ce mai multe persoane au acces la calculatoare conectate n reea i la resursele distribuite n diferite reele de calculatoare. Nu numai administratorii ci i utilizatorii trebuie s fie interesai de securitatea reelelor, s neleag riscurile i s aplice cele mai potrivite soluii pentru asigurarea securitii datelor i a transmisiilor de date. Securitatea reelelor i a calculatoarelor care le compun se refer la datele pstrate, inclusiv mesajele e-mail, baze de date cu coninut confidenial, tranzacii i componente de tranzacii de tipul e-commerce. Pentru c tot mai muli specialiti IT sunt preocupai de asigurarea securitii reelelor de calculatoare au aprut organizaii specializate. SANS (http://www.sans.org) este lider n cercetarea, certificarea i instruirea n domeniul securitii informaiei. Institutul SANS (SysAdmin, Audit, Network, Security) a fost nfiinat n 1989 ca organizaie de cercetare i colarizare. El pune la dispoziia celor interesai cunotinele i experiena profesionitilor n securitate IT. Buletinele informative, rezumate ale studiilor i cercetrilor, alerte de securitate identificate sunt informaii gratuite i sunt ntotdeauna o surs de inspiraie pentru rezolvarea problemelor i a incidentelor de securitate. Evaluarea gradului de protecie a unei reele sau a unui calculator pornete de la identificarea ameninrilor i a vulnerabilitilor: ameninrile sunt pericole care pot influena buna funcionare, iar vulnerabilitile sunt punctele slabe prin care se pot exercita atacuri att din interiorul ct i din exteriorul reelei. Cele mai comune ameninri, care gsesc din pcate i bree de securitate, respectiv vulnerabiliti prin care pot manifesta, sunt: furtul de date, furtul de coduri surs ale aplicaiilor aflate n dezvoltare, furtul de identitate prin folosirea informaiilor i a datelor cu caracter privat ca urmare a expunerii acestora ntrun mod necontrolat, instalarea i lansarea n execuie a software-ului maliios i, nu n ultimul rnd, dezastrele naturale. Asigurarea securitii folosete conceptul de management al riscurilor cu scopul de a gsi cele mai bune rspunsuri i reacii n faa ameninrilor cunoscute. Managementul riscurilor are la baz studiul atent al criteriilor i condiiilor de apariie a riscurilor, impactul ameninrii asupra reelei i a calculatoarelor care o compun, valoarea estimat a pagubelor i costurile implementrii soluiilor care pot asigura securitatea. n urma unei astfel de evaluri se poate decide care este rspunsul cel mai bun n faa ameninrilor i care sunt cele mai bune reacii la apariia incidentelor de securitate.
1

n domeniul reelelor de calculatoare, securitatea se refer la adoptarea de ctre administratorul de reea a celor mai potrivite strategii, care s protejeze reeaua i resursele accesibile prin reea fa de accesul neautorizat. n plus, administratorul de reea va avea grij s msoare i s monitorizeze periodic eficiena sau lipsa de eficien a msurilor implementate. Un posibil scenariu de securitate a reelelor ncepe cu autentificarea utilizatorilor, n mod normal prin folosirea unui cont de utilizator i a unei parole. Parola este ceva ce utilizatorul tie, cunoate i se spune despre autentificarea de acest tip c este o autentificare cu un singur factor. Autentificarea prin doi factori folosete n plus ceva ce are utilizatorul, cum ar fi un jeton, un card, un telefon mobil. Autentificarea prin trei factori cuprinde i ceva ce este utilizatorul: amprenta digital sau palmar, imaginea scanat a retinei, amprenta vocal. O dat autentificat, ar trebui s intre n funciune procedurile i politicile de acces prin care utilizatorul este autorizat s foloseasc numai anumite resurse i servicii disponibile n reea. Autentificarea i autorizarea utilizatorilor nu sunt suficiente n faa unui software maliios trimis prin reea, cum sunt viruii, viermii, caii troieni. Protecia antivirus i sistemele de detecie a intruziunilor ar putea fi o soluie bun n acest caz. Ar mai fi nevoie de proceduri specializate pentru monitorizarea traficului de date n reea, n cutarea traficului neateptat i pentru identificarea comportamentului neobinuit, chiar bizar, al unor servicii sau aplicaii. Evenimentele trebuie jurnalizate i analizate ulterior. Se ntmpl s fie nevoie cteodat de transmisii criptate de date ntre calculatoare din reea, cu scopul de a asigura confidenialitatea informaiilor. Securitatea reelelor este o component a sistemului de securitate a informaiei. Securitatea informaiei se refer n general la protejarea informaiei i a sistemelor informatice fa de accesul neautorizat, utilizarea, expunerea, modificarea i distrugerea informaiei. Securitatea are n vedere asigurarea confidenialitii, integritii i a disponibilitii informaiei. Procedurile i strategiile de securitate implementate au rolul de a specifica administratorilor i utilizatorilor n general cum s foloseasc aplicaiile i echipamentele astfel nct s asigure securitatea informaiei la nivelul organizaiei.

Aprarea n profunzime i managementul riscului Informaia trebuie protejat pe toat durata de via, de la obinere pn la utilizarea ei final, complet. Ea va fi protejat cnd se afl n micare, la fel ca i n varianta static. Informaia poate parcurge mai multe stadii de prelucrare i va trebui s fie protejat i n timpul prelucrrii. Robusteea oricrui sistem este egal cu cea a verigii celei mai slabe. Folosind strategia aprrii n profunzime, dac o procedur de aprare nu este suficient pentru a asigura protecia datelor, atunci urmtoarea va putea oferi protecia ateptat. n sens larg, procesul de management al riscului const din: 1. identificarea i estimarea valorii bunurilor care au legtur cu informaia, cu pstrarea i folosirea ei n siguran. Se includ aici: persoane, ncperi i cldiri, componentele hardware, cele software, datele nsele indiferent de forma n care sunt pstrate format electronic, tiprituri, manuscrise. 2. evaluarea ameninrilor: condiii de for major identificabile, accidente, acte de rea voin care i au originea n interiorul sau n exteriorul organizaiei. 3. evaluarea vulnerabilitilor i, pentru fiecare vulnerabilitate identificat, estimarea probabilitii ca aceast vulnerabilitate s fie exploatat, folosit; va fi nevoie i de identificarea i evaluarea politicilor, procedurilor, standardelor care ar putea fi aplicate n calitate de contramsuri asociate vulnerabilitilor identificate. 4. calcularea impactului pe care l are fiecare vulnerabilitate asupra bunurilor; va fi folosit analiza cantitativ i calitativ. 5. identificarea, selectarea i implementarea contramsurilor potrivite: politici, proceduri de securitate. 6. evaluarea eficienei aplicrii politicilor i procedurilor de securitate; aplicarea msurilor de securitate nu ar trebui s afecteze productivitatea muncii i nici desfurarea n bune condiii a activitilor curente ale organizaiei.

Unele riscuri ar putea fi acceptate, pornind de la valoarea mic a bunurilor afectate de acel risc, de la frecvena mic de apariie a unui anume risc i de la impactul nesemnificativ asupra desfurrii activitilor organizaiei. Altele pot fi diminuate, atenuate prin alegerea i implementarea celor mai potrivite proceduri i politici de securitate. n anumite situaii riscurile pot fi transferate prin externalizarea unor operaii i activiti sau prin asigurarea bunurilor implicate prin polie de asigurare. Riscurile pot fi diminuate, atenuate prin implementarea procedurilor, politicilor, a msurilor de securitate. Nivelul msurilor de Descriere securitate Controlul administrativ const din documente scrise care conin politicile, procedurile, standardele, ghidurile aprobate de ctre managementul organizaiei. Ele formeaz cadrul n care se desfoar toate activitile organizaiei respective. Documentele informeaz asupra modului n care se Administrativ desfoar activitatea curent, asupra regulilor i regulamentelor aflate n vigoare. n astfel de documente ar trebui s apar, de exemplu, regulile de folosire a parolelor, regulile de utilizare a echipamentelor i a componentelor software, mpreun cu eventualele sanciuni aplicabile n situaia nerespectrii lor. Msurilor aplicabile prin componente software sunt cele prin care poate fi monitorizat (supravegheat) i controlat accesul utilizatorilor la informaiile de orice fel i la calculatoare. Controlul accesului poate fi implementat prin: parole, proceduri sau servicii de tip firewall, sisteme pentru detectarea intruziunilor n reea, liste de tip ACL (Access Software Control List vezi permisiuni la fiiere, foldere, obiecte Active Directory), proceduri pentru criptarea datelor i a transmisiei de date, proceduri pentru securizarea documentelor (vezi criptarea fiierelor). Msuri de securitate importante sunt cele implementate ca efect al principiului privilegiul cel mai mic. Conform acestui principiu, oricrei persoane, program sau proces sistem nu i se vor acorda dect privilegiile minime, suficiente
4

pentru rezolvarea sarcinilor. Un exemplu de abatere de la acest principiu este reprezentat de deschiderea de sesiune folosind un cont cu privilegii de administrare doar pentru citirea mesajelor e-mail i navigarea prin Internet. Un alt exemplu este cel al unei persoane (cont utilizator) care a acumulat n timp anumite privilegii acordate cu titlul temporar dar care nu i-au fost retrase, poate niciodat. Un caz similar este cel al persoanelor crora li s-au schimbat sarcinile de serviciu sau au promovat i care cumuleaz privilegiile vechi cu cele noi, acolo unde, n fond, nu ar fi de dorit aa ceva. Msurile aplicabile la nivel fizic se refer la posibilitile de monitorizare (supraveghere) i control al accesului persoanelor n cldire, n ncperile unde sunt depozitate sursele de informaii i nu n ultimul rnd la calculatoare. Fizic Separarea sarcinilor este o regul care merit avut n vedere. De exemplu, un programator nu ar trebui s fie n acelai timp i administratorul unui server sau al unei baze de date: sunt roluri, respectiv responsabiliti, care trebuie separate unele de altele.

Securitatea reelelor este guvernat de trei principii fundamentale: I. Aprarea n profunzime Aprarea n profunzime este definit drept o combinaie de operaii, persoane (execut operaiile) i tehnologii legate de securitate reelei. Aprarea n profunzime presupune existena mai multor niveluri de aprare, de protecie. Un singur nivel de protecie este de cele mai multe ori insuficient. n eventualitatea existenei mai multor straturi sau niveluri de protecie, dac unul dintre ele este spart, atunci cele rmase vor putea oferi pe mai departe protecia necesar. II. Privilegiul minim Privilegiul minim este acordarea unui minim de privilegii pentru fiecare utilizator al resurselor reelei. Privilegiile maxime induc vulnerabiliti, poteniale bree de securitate care pot fi fructificate. III. Minimizarea suprafeei de atac
5

Minimizarea suprafeei de atac se refer la existena unui numr ct mai mic de puncte care ar putea fi exploatate de un intrus atacator, fie el din interior sau din afar. Securitate unei reele se obine prin implementarea unui proiect de securitate. Proiectul are n vedere construirea unei strategii de securitate, n care vor fi definite i proiectate procedurile de securitate cele mai potrivite pentru protejarea reelei. Implementarea acestor proceduri va asigura securitatea reelei. Bunurile care vor fi protejate prin aplicarea politicilor i a procedurilor de securitate sunt plasate n locuri diferite i se prezint n forme diferite. Proiectul de securitate al reelei va trebui s cuprind politici i proceduri care s protejeze fiecare arie de reea fa de ameninrile i vulnerabilitile identificate n aria respectiv. Ameninri Ameninarea este pericolul sau vulnerabilitatea care se poate materializa la un moment dat. Ameninrile vin din direcii diferite: de la un atacator care tie foarte bine ce vrea s obin, de la aplicaii prost sau insuficient configurate, de la utilizatori care i depesc ndatoririle. Ameninrile se materializeaz uneori n atacuri. Atacurile au motivaii din cele mai diverse: rzbunare, spionaj, publicitate, satisfacie personal (inclusiv hobby), terorism. Cele mai multe ameninri, respectiv atacuri, survin pe fondul unor vulnerabiliti comune, obinuite: parole slabe cnd nu se folosesc deloc parole, parolele folosite sunt cele implicite sau unele predictibile; software neupgradat nu s-au aplicat corecii de securitate (patchuri) pentru vulnerabiliti cunoscute; hardware i software incorect configurat utilizatorii au prea multe privilegii, aplicaiile ruleaz folosind un cont sistem; inginerii sociale dintre ingineriile sociale cea mai simpl este resetarea parolei de administrare sau a altei parole, ca urmare a unei cereri venite prin telefon de la o persoana creia nu i se verific identitatea;
6

 securitate slab la conexiunile la Internet porturile nefolosite nu sunt securizate, router, switch, firewall sunt folosite impropriu. transfer necriptat de date pachetele ce compun operaiile de autentificare circul n clar n reea sau date importante sunt transmise necriptat prin Internet. De cele mai multe ori atacurile se desfoar respectnd acelai model: 1. amprentarea n acest stadiu atacatorul studiaz reeaua. Va obine toate informaiile public disponibile, despre organizaie, conducere, angajai, va scana porturile pe toate calculatoarele la care poate ajunge, va accesa toate resursele disponibile prin Internet. penetrarea Dup identificarea i localizarea vulnerabilitilor urmeaz ncercarea, testarea accesului la reea i la resursele din reea. Cel mai expus loc: serverul de web. evaluarea privilegiilor dup penetrarea reelei are loc evaluarea privilegiilor: atacatorul ncearc s obin privilegii de administrare sau de nivel component a sistemului. Eventual ncearc folosirea unui cont sistem pentru crearea unui cont nou de utilizator cu privilegii de administrare. De multe ori configurarea implicit i las atacatorului suficient libertate pentru a obine acces n reea fr prea mult efort. exploatarea dup obinerea privilegiilor necesare, atacatorul exploateaz situaia tergerea urmelor n final atacatorul va ncerca s-i tearg urmele spre a nu-i fi detectate aciunile. Vor fi terse conturile create i intrrile relevante din jurnale.

2.

3.

4. 5.

Posibilitatea de a anticipa ameninrile este de mare ajutor n identificarea i implementarea regulilor de securitate care vor proteja reeaua. Ameninrile se schimb suficient de des, cel puin n aceeai msur n care se schimb i tehnologiile. Modelul ameninrilor este tehnica folosit pentru anticiparea aciunilor care ar putea fi ntreprinse de un potenial atacator n lipsa msurilor de securitate. Modelul ameninrilor este n fond o abordare structurat care identific breele de securitate, lacunele msurilor de securitate aplicate la un moment dat. Ameninrile descoperite vor sta la baza planului de management al riscului: anticipnd ameninri posibile se poate opera n direcia reducerii riscurilor. Pentru identificarea ameninrilor la adresa securitii reelei i a informaiilor se vor folosi diagramele reelei, informaii despre configurrile specifice ale calculatoarelor (hardware i software) ca i cele relative la configurarea aplicaiilor. n plus, sunt de folos diagrame care identific fluxul datelor / documentelor. Ameninrile, oricare ar fi ele, respect modelul STRIDE:
7

STRIDE Spoofing Tampering Repudiation Information disclosure Denial of service Elevation of privilege Pcleal, neltorie Falsificare, corupere Nerecunoatere, renegare, refuz, negare Divulgare, dezvluire de informaii Refuzarea serviciului Ridicarea, creterea privilegiilor

Analiza riscurilor Riscul este posibilitatea de a suferi o pierdere pentru care se calculeaz impactul, importana i dimensiunea pagubelor care pot rezulta. Managementul riscului este procesul prin care sunt identificate i analizate riscurile la care se adaug planul de operaii care previn riscurile i reduc pagubele. Analiza riscurilor cuprinde o component calitativ i una cantitativ. Analiza calitativ este cea care evalueaz impactul i importana pierderilor provocate. De cele mai multe ori, analiza calitativ are loc prin estimarea probabilitii ca ameninarea s se produc i prin evaluarea importanei, a impactului evenimentului. nmulind probabilitatea cu impactul (importana) se obine riscul relativ, folosit n vederea ordonrii riscurilor dup prioriti sau importan. Analiza cantitativ se refer la msurarea pagubelor, eventual exprimarea lor financiar. n aceeai categorie intr i evaluarea costurilor necesare pentru reducerea probabilitii de materializare a unei ameninri i respectiv, cele pentru diminuarea pagubelor.

Bunurile care au nevoie de protecie prin aplicarea msurilor de securitate sunt:

Tip Echipamente hardware Componente software

Exemple
Calculatoare desktop i laptop-uri Rutere i switch-uri Mediile de comunicaii i cele folosite pentru salvri (backup) CD-uri sau DVD-uri folosite pentru instalarea sistemelor de operare i a aplicaiilor Imagini ale sistemelor de operare care pot fi transferate de la un calculator la altul Aplicaii, fiiere cu comenzi, proceduri Politici i proceduri legate de securitate i de implementarea regulilor de securitate Diagrame i planuri ale reelei i ale cldirilor unde este desfurat reeaua Informaii despre angajai Informaii despre clieni i furnizori Orice alte informaii specifice

Documentaie

Date

Informaiile folosite i cele transmise n afar pot fi ordonate dup gradul lor de expunere ctre exterior:
Secret

Privat Confidential

Public

Strategie Acceptare Atenuare Transfer

Definiie
Riscul exist i acceptat ca atare va

Exemplu
fi Nu va fi ntreprins nimic special

Va fi redus expunerea la mpotriva viruilor va fi folosit un produs risc antivirus Responsabilitatea asupra riscului va fi transferat mcar parial asupra altei pri Pentru gzduirea unui web site va fi gsit un partener care s i asume ridcul

Eliminare

Riscul va fi eliminat, anulat Oprirea din funciune a site-ului web dac nu prin eliminarea expunerii poate fi asigurat protecia datelor resursei confideniale

Schi de securitate pentru resurse fizice Un atacator care are acces la resursele fizice calculatoare, cldiri, ncperile serverelor ar putea penetra foarte uor reeaua i ar putea avea acces n mod implicit la informaiile confideniale i secretele organizaiei. Securizarea accesului fizic necesit preocupare i efort! Succesul proteciei la nivelul resurselor fizice se traduce n fapt prin securizarea accesului la resurse. Protecia software nu mai este suficient dac atacatorul are acces fizic la calculatoare sau la componentele reelei. Din acest motiv vor fi protejate: cldiri, zone din interiorul cldirilor, conexiunile reelelor, echipamentele hardware. Fr protecie fizic, atacatorul ar putea ncrca un program cal troian care s trimit caracterele tastate (n primul rnd parole) undeva la o locaie din Internet. Ameninrile obinuite la nivelul resurselor fizice sunt: Furtul calculatoarelor Instalarea aplicaiilor subversive Sabotarea infrastructurii Instalarea de hardware i / sau software de ascultare a reelei i urmrire a aplicaiilor lansate n execuie de angajai

Protejarea resurselor fizice are loc prin securizarea calculatoarelor din reea i a accesului la ele. Calculatoarele portabile au nevoie de un tratament special, fiind cele mai vulnerabile la furt i sabotaj. Nu n ultimul rnd ar trebui tratate pierderile datorate dezastrelor fizice: cutremure, incendii, inundaii, vandalism, terorism, etc. Exist mai multe metode de protecie; alegerea uneia sau a alteia se va face comparnd costurile i gradele de securitate obinute prin diferitele metode: Angajarea paznicilor Folosirea ecusoanelor de identificare, a legitimaiilor, insignelor, cardurilor de acces, etc. Supravegherea video Folosirea unei singure ci de acces att pentru intrare ct i pentru ieirea din incinte, inclusiv cldirea principal Protejarea cablurilor pentru a nu fi ascultate sau redirecionate Aezarea monitoarelor i a tastaturilor departe de ferestre tergerea tablelor din slile de conferin, de ntlnire, de instruire, etc. Stabilirea unor reguli stricte n situaia mutrii calculatoarelor dintr-o reea n alta
10

Eliminarea din calculatoare a unitilor de CD, DVD, i a dischetelor instalarea de ncuietori (lacte) Restricionarea accesului n camerele serverelor i acolo unde sunt arhive Restricionarea accesului la reeaua locala LAN din spaiile publice: holuri, secretariate, bufete, sli de conferin. etc.

Calculatoarele portabile, ca i celelalte echipamente mobile, au nevoie de tratament i atenie speciale. Sunt folosite din ce n ce mai mult n vederea conectrii la reelele organizaiilor i la reeaua Internet. Chiar dac utilizatorii nu pstreaz informaii secrete pe aceste echipamente, ele pot deine informaii de autentificare ce ar putea fi exploatate de atacatori (ex.: nume de utilizatori i parole, certificate). Calculatoarele portabile sunt dotate cu interfee wireless 802.11. Conexiunile wireless nesecurizate ofer vulnerabiliti, mai ales n locuri publice aglomerate cum sunt aeroporturile, slile de conferin, etc. Planul de recuperare a datelor n urma incidentelor deosebite ar putea avea n vedere urmtoarele: Pstrarea seturilor backup n afar sediului organizaiei Existena dublurilor pentru servere i date (redundan)

Schi de securitate pentru computere Ciclului de via al unui calculator i se pot aplica modele de securitate, care s prevad operaii sigure i corecte. Ameninrile la care sunt expuse calculatoarele pe durata ciclului de via sunt: instalarea iniial: lipsa proteciei antivirus, configurri incorecte, parole slabe pentru conturile de administrare configurrile iniiale de securitate: folosind machete neverificate, machete implicite (ex. machetele implicite de tipul Secutity Templates) configurrile suplimentare, n funcie de rolul ndeplinit de calculatoare: ar putea fi incorecte, insuficiente, incomplet testate aplicarea actualizrilor de securitate pentru sistemele de operare i aplicaii: fr testri serioase ncheierea activitii: atenie la echipamentele care pstreaz informaii, la hard discurile rmase i care pot fi refolosite cu rea intenie

Schia de securitate pentru calculatoare va face referire la toate stadiile ciclului de via al calculatoarelor:
11

instalarea va avea loc ntr-o reea izolat de cea propriu-zis vor fi fcute actualizri ori ce cte ori va fi nevoie: upgrade, update pentru service packs, patch, aplicaii, produse antivirus regimul parolelor administratorilor va fi strict reglementat, la fel ca i cel al tuturor utilizatorilor se vor folosi fiiere cu comenzi pentru instalarea i configurare sistemelor de operare, a aplicaiilor i serviciilor vor fi folosite imagini sigure ale sistemelor de operare sau reinstalri ori de cte ori este nevoie se va folosi dac este posibil - RIS (Remote Installation Service) pentru instalarea i configurarea automat a sistemelor de operare i a aplicaiilor instalarea, configurarea i actualizrile vor fi fcute de o persoan de ncredere

Schi de securitate pentru conturile utilizatorilor Conturile sunt folosite cu scopul de asigura accesul utilizatorilor la resursele reelei. Numai utilizatorii cunoscui i a cror identitate poate fi verificat vor avea acces la resursele reelei. Fiecrui utilizator i corespunde un cont utilizator i o parol. Dac un intrus atacator obine acces la un cont privilegiat atunci va obine acces autorizat la resursele reelei. Conturilor utilizatorilor le sunt asociate aciunile pe care ei le pot ntreprinde: utilizatori diferii au nevoie de reguli de securitate diferite: Utilizatori externi utilizatori anonimi care au acces la serviciile Web cu aspect public, utilizatori Web autentificai, care au acces la site-urile Web protejate, utilizatori parteneri Utilizatori interni angajai i conducere (personalul organizaiei), de cele mai multe ori utilizatori neprivilegiai Administratori utilizatori cu privilegii administrative, conturi folosite de servicii, aplicaii, componente sistem, administratori ai datelor, administratori ai serviciilor Drepturi user rights Permisiuni la resurse (ACL, DACL) Aria de vizibilitate - conturi locale, conturi n domeniu Apartenena la grupuri
12

Conturile utilizatorilor dobndesc privilegii din urmtoarele surse:

Privite astfel vulnerabilitile principale ale conturilor sunt: Parolele prea slabe, identice pentru mai multe conturi, nemodificate la timp, pstrate local, scrise pe hrtie i uitate Privilegii prea mari i prea multe pentru utilizatori n raport cu sarcinile i aciunile lor Folosirea conturilor contul Administrator folosit atunci cnd nu este nevoie, conturi active chiar dac nu mai sunt folosite

Schia de securitate pentru conturi, inclusiv cele din domeniu, se va construi pornind de la premiza c fiecrui cont i sunt asociate numai acele privilegii care i sunt strict necesare. n acelai timp, fiecare cont va fi folosit numai n scopul pentru care a fost creat. A_G_DL_P (Account, Global Group, Domain Local, Permissions) este modelul preferat de Microsoft pentru asocierea permisiunilor n domeniu. La asigurarea drepturilor i a permisiunilor se vor folosi rolurile ndeplinite de persoane n organizaie. Pentru pstrarea consistenei grupurilor se va folosi Restricted Groups Securitatea va fi controlat i gestionat centralizat

Pentru construirea schemei de securitate sunt importante nivelurile de ncredere acordate utilizatorilor (persoane), respectiv: Cine gestioneaz conturile i parolele? Cine obine informaii despre conturi i respectiv cine cunoate informaiile nscrise n conturile utilizatorilor?

n general, se recomand crearea unor proceduri bine descrise i structurate (eventual chiar fiiere script) pentru: crearea / tergerea conturilor, distribuirea parolelor, monitorizarea crerii noilor conturi i a blocrii / tergerii celor nefolosite. atribuirea drepturilor i a permisiunilor

n plus, administratorii vor fi ateni la: apartenena la grupuri (Restricted groups), folosirea conturilor administrative i a condiiilor n care sunt folosite conturile cu privilegii administrative. Se recomand folosirea pentru administrare a procedurilor Terminal Service n mod Remote Administration sau a modului de lucru runas.

13

Schi de securitate pentru autentificarea utilizatorilor Autentificarea valideaz corectitudinea informaiilor de acreditare (credentials) pe care le posed un utilizator. Pentru reelele Microsoft Windows, metodele de autentificare difer n funcie de locul i modul n care un cont acceseaz reeaua. Proiectul de securitate referitor la autentificare va trata toate tipurile de autentificri folosite n reea, inclusiv aplicaiile care folosesc propriile protocoale de autentificare. Autentificrile sunt diferite n funcie de modul n care utilizatorul se conecteaz la reeaua local LAN: direct, de la distan (remote), sau prin Internet. Vulnerabilitile cele mai cunoscute sunt: 1) parole transmise n clar (necriptat) parole interceptate de programele cal troian software mai vechi care folosete metode slabe de autentificare criptri slabe interceptarea pachetelor de autentificare identificarea cerinelor de autentificare n funcie de sistemul de operare folosit (Windows 95, Windows 98, Windows XP, 2000, Windows Vista, Windows 7, etc.) identificarea cerinelor de compatibilitate ale aplicaiilor strategia impus pentru autentificare

Cerinele de autentificare vor fi determinate pornind de la:

2) 3)

Protocoalele folosite de sistemele de operare Microsoft Windows pentru autentificare sunt:

LAN Manager Folosit de sisteme de operare mai vechi; Nesigur; Folosete challenge and response; NTLM Folosit de sistemul de operare Windows NT 4.0; Folosit de sistemele de operare Windows 2000 si urmtoarele pentru conturile locale; Folosete challenge and response;

14

NTLM v.2

Apare la Windows 95 i urmtoarele; Este un NTLM mai sigur, prin adugarea securitii la nivel de sesiune i a criptrii; Autentific mutual clientul i serverul;

Kerberos

Folosit pentru conturile din domeniu, ncepnd cu Windows 2000: Autentific mutual clientul i serverul; Accept smart card;

Serviciul IIS 5.0 (Web) este responsabil de autentificarea utilizatorilor n urmtoarele condiii: anonim Permite accesul utilizatorilor la site-ul Web fr s fie necesar prezentarea informaiilor de acreditare, i anume fr ca utilizatorul s se identifice prin nume i parol. Toi utilizatorii anonimi vor fi n fapt autentificai drept IUSR_NumeServer. Trimite numele i parola n clar prin reea (necodificat, necriptat). Ca s poat folosi acest mod de autentificare, utilizatorul trebuie s poat face log on local la serverul IIS. Toate browser-ele Web admit autentificarea basic; poate fi folosit i cu servere proxy. Se recomand folosirea acestei forme de autentificare numai mpreun cu SSL(Secure Socket Layer). prin rezumat (digest) Folosete nume i parol la care se adaug o valoare aleatoare pentru crearea unui hash care va mbunti autentificarea n model basic. Serverul IIS trebuie s fie membru al domeniului; conturile utilizatorilor din domeniu care vor avea acces la site au proprietatea parole pstrate n Active Directory folosind criptarea reversibil (reversible encryption).

de baz (basic)

15

integrat Windows

Un calculator pe care ruleaz IE 4.0 sau superior asigur automat autentificarea utilizatorului: sunt folosite numele i parola pstrate n cache. Implicit IIS 5.0 folosete Kerberos, dar va folosi i NTLM dac autentificarea prin Kerberos eueaz. Nu poate fi folosit cu proxy.

Prin certificate

Utilizatorul sau calculatorul se vor autentifica la serverul Web prin folosirea unei chei private asociate certificatului X509. Certificatul este asociat (map) unui cont utilizator local sau din domeniu. Este cea mai sigur metod de autentificare pentru serverele IIS 5.0

Autentificarea utilizatorilor aflai la distan (remote) este necesar n condiiile folosirii conexiunilor prin linii telefonice (dial-up) sau prin VPN (Virtual Private Network reea virtual privat). Pot fi folosite urmtoarele protocoale de autentificare: CHAP Challange Handshake Authentication Protocol, protocol de autentificare de tipul challenge response. Folosete pentru hash algoritmul Message Digest 5 (MD5); Hash=a opti, a tcea, a sta linitit; acest algoritm codific rspunsul la provocarea pe care o lanseaz serverul aflat la distan (fat de utilizator). Parola trebuie pstrat n Active Directory folosind criptarea reversibil (reversible encryption), ceea ce introduce vulnerabiliti. Pe de alt parte, CHAP nu permite criptarea datelor. MS-CHAP MS-CHAP v.2 Similar cu CHAP; nu cere ca parola s fie accesibil prin criptare reversibil. Include: autentificarea mutual, chei separate pentru trimitere i recepionare, chei de sesiune generate automat, pornind de la parola utilizatorului.

16

EAP-TLS

Extensible Authentication Protocol Transport Layer Security; ofer: autentificare, integritatea datelor, confidenialitate; folosete autentificarea mutual, negocierea algoritmilor de criptare; transmiterea / recepionarea cheilor de sesiune este sigur; este asigurat integritatea mesajului. Poate fi folosit mpreun cu cardurile smart card i este cel mai sigur protocol de autentificare.

Autentificarea multifactor este tipul de autentificare prin care i se cere utilizatorului s ofere mai multe informaii de acreditare (credentials), cum ar fi: coduri de acces (PIN) , componente fizice (chei, jetoane), informaii biometrice individuale (voce, amprente). Autentificarea multifactor crete sigurana accesului i a lucrului n reea. Este recomandat mai ales pentru utilizatorii de la distan, acolo unde verificarea identitii lor nu este posibil. Este evident utilitatea acestor metode pentru conturile care au privilegii de administrare, ca nivel suplimentar de securitate. Schi de securitate pentru date Securitatea datelor se definete i prin controlul asupra modului n care are loc accesul la date. Controlul se exercit prin asignarea permisiunilor. Potenialii atacatori ar putea, n anumite condiii, s suprascrie permisiunile pentru a controla ei accesul la date. Pentru controlul accesului la resurse se folosesc dou tipuri de informaii: jetoanele software de acces ale utilizatorilor i listele DACL/ACL (Discretionary Access Control List): jetoanele indic n general drepturile utilizatorilor, DACL/ACL arat permisiunile la obiectele din Active Directory i la cele din sistemul de fiiere NTFS, respectiv, dosare i fiiere. Cnd utilizatorul este autentificat, calculatorul pe care acesta l folosete va primi i va pstra un jeton care conine: identificatorul de securitate al contului utilizatorului (SID), identificatorii SID ai fiecrui grup (local sau din domeniu) din care face parte utilizatorul i lista drepturilor de care dispune (user rights). n situaia accesului la o resurs, SID-urile din jeton se compar cu cele DACL/ACL asociate resursei. Datele (informaiile) dintr-o organizaie sunt vulnerabile fa de ameninri interne i externe, provenite de cele mai multe ori prin: incorecta configurare a permisiunilor insuficienta securitate fizic a datelor i a accesului la suporturile de date stricciuni aduse datelor (alterare, criptare incorect)
17

Configurarea la nivel fizic i logic a securitii datelor va ncepe ntotdeauna de la asigurarea minimului de permisiuni de acces la date pentru toi utilizatorii, respectiv pentru fiecare dintre ei: utilizatorii vor avea un minim de permisiuni, suficient numai pentru exercitarea atribuiilor de serviciu. A_G_DL_P este un modelul folosit pentru implementarea securitii pornind de la rolurile ndeplinite de utilizatori ntr-o organizaie. Modelul plaseaz conturi n grupuri, grupurile n alte grupuri (locale domeniului) i le asociaz acestora din urm permisiuni i dac este cazul drepturi. Permisiunile NTFS funcioneaz cnd un utilizator acceseaz resurse aflate pe un volum NTFS; volumul poate fi local sau la distan. Permisiunile de partajare au efect cnd este vorba de date aflate n reea, la distan fa de utilizator. Toate obiectele dosare i fiiere aflate n componena unui volum NTFS au un proprietar, care are ntotdeauna permisiunea de a controla permisiunile asociate acelei resurse. Aceast posibilitate a proprietarului ar putea fi o arm subversiv n politica de securitate. Efs encrypted file system este un instrument puternic n protejarea i sigurana datelor. Folosit incorect ns, poate face ca utilizatori legitimi s nu mai poat avea acces la datele de care au nevoie. Acolo unde exist politici referitoare la criptarea datelor trebuie s existe i unele pentru recuperarea datelor criptate. Schia de securitate a transmisiei de date Datele sunt vulnerabile i pe timpul transmiterii; vulnerabilitile cele mai cunoscute n aceast situaie sunt legate de execuia a unor operaii ruvoitoare: Monitorizarea neautorizat a Observarea traficului de autentificare reelei i a traficului de date Citirea pachetelor e-mail din reea Observarea traficului de management Citirea pachetelor de criptare wireless Pclal (Spoofing) Identificarea i folosirea abuziv a adreselor IP pentru a face ca pachetele s par a fi transmise din reeaua local Falsificarea pachetelor ICMP Trimiterea de e-mail-uri falsificate Modificarea (alterarea) Interceptarea i modificarea datelor datelor Denial of service (negarea Inundarea unui calculator / serviciu cu serviciului) mesaje Folosirea mai multor calculatoare care trimit mesaje inundnd reeaua.
18

Schia de securitate pentru transmiterea datelor are ca punct de plecare securizarea comunicaiilor prin reea, nivelurile modelului cu patru straturi (niveluri) implementat de protocolul TCP/IP. Fiecare nivel este vulnerabil n felul su; pe de alt parte nu tot traficul trebuie securizat ntotdeauna. Metode de securizare recomandate aplicaie reea Legtura de date Secure Socket Layer (SSL), Transport Layer Security (TLS), S/MIME (Security Multiuse Internet Mail Extensions, 802.1x IPSec Tunel IPSec Switch-uri n loc de hub-uri Autentificare la nivel de port Securitate strict la echipamente, incinte nivel fizic: ncperi, cabluri,

fizic

Restricii de acces la reeaua LAN din zone de acces public

Securitatea reelei perimetru Terminologia din domeniul securitii reelelor de calculatoare include termenul de zon demilitarizat sau DMZ (demilitarized zone). DMZ este o subreea fizic sau logic care conine servicii cu vizibilitate extern: servere de web, de mail, servere DNS. Reeaua DMZ se mai numete i reeaua perimetru, cu nelesul c restul reelei, rmas dup decuparea zonei DMZ, este protejat, marcat printr-o frontier de securitate. Scopul existenei reelelor DMZ sau perimetru este cel de a aduga un nivel suplimentar de securitate pentru reeaua LAN a unei organizaii. Componentele din DMZ i numai ele sunt expuse ctre exterior. Pachetele de date dintre reeaua DMZ i reeaua LAN vor fi filtrate pentru ca restul reelei s fie protejat de eventualele intruziuni ale atacatorilor. Filtrele vor asigura comunicaia limitat, strict controlat, dintre componentele DMZ i componentele reelei LAN. Rolul de legtur intre reeaua DMZ i Internet, pe de o parte, i reeaua LAN pe de alt parte este ndeplinit de serviciile firewall. Reeaua perimetru (DMZ) conine: conexiunile directe la Internet legturi WAN dedicate
19

subreele ecranate, zone protejate special pentru c sunt expuse accesului din reele publice clieni VPN conexiuni wireless

Vulnerabilitile cunoscute provin din aceea c perimetrul este zona cu cea mai mare expunere la reelele publice: Internet, acces de la distan, conexiuni cu birouri (filiale, sucursale) aflate la distan. Vulnerabilitile apar prin: expunerea intenionat sau neintenionat a informaiilor despre reea: scanarea porturilor, TCP/UDP, scanarea perimetrului ICMP, analiza pachetelor controlul incomplet asupra infrastructurii: servere Web neautorizate, conexiuni uitate, clieni VPN necontrolai, aplicaii necontrolate expunerea voluntar sau involuntar a calculatoarelor: urmrile sunt atacuri asupra serviciilor, expunerea informaiilor despre conturi, viermi e-mail, acces neautorizat la date, distrugerea datelor.

Perimetrul este, prin definiie, un loc unde ncrederea este limitat: se presupune c zona nu este sigur, c poate fi oricnd atacat. Securitatea perimetrului se construiete cu un firewall sau paravan de securitate i cu echipamente hardware specializate. Soluia Microsoft pentru servicii de tip firewall este serverul Internet Security and Acceleration Server (ISA) Exist urmtoarele tipuri de configurare a serverului firewall, respectiv de constituire a perimetrului: host bastion serverul firewall este conexiunea principal pentru accesul la Internet al calculatoarelor din reeaua intern. Ca firewall, calculatorul bastion este proiectat s le apere pe celelalte mpotriva atacurilor direcionate ctre interior. Bastionul folosete dou adaptoare de reea: unul conectat la reeaua intern, unul la reeaua Internet. Aceast configuraie izoleaz fizic reeaua intern de intruii din Internet.

20

Configuraie cu trei dini numit cteodat i cu trei picioare - ofer utilizatorilor din Internet acces limitat la resursele reelei, interzicnd traficul nedorit cu calculatoarele din LAN. Se folosete un firewall cu trei adaptoare de reea: unul conectat la LAN, unul la reeaua ecranat, protejat (alta dect LAN) i al treilea la Internet. Izoleaz traficul intern i reeaua intern de Internet i permite accesul limitat din Internet i din reeaua local la reeaua ecranat. Configuraie spate n spate plaseaz subreeaua ecranat ntre dou firewall-uri: unul conectat la Internet, cellalt la reeaua local, intern. Exist un singur punct de acces din Internet la reeaua local i acela cere s treci prin dou firewall-uri.

Mecanismele de securitate implementate prin serviciile firewall sunt: Filtrarea pachetelor Reguli noi de rutare a pachetelor Inspecia strii pachetelor Gateway ntre aplicaii Servicii publicate i care devin astfel disponibile n condiii controlate din reeaua Internet Autentificarea utilizatorilor n vederea accesului ctre exterior, ctre reeaua Internet Detectarea intruilor, respectiv utilizatori din afar care ncearc acces la resursele protejate prin firewall
21

Reacii la apariia incidentelor de securitate Securitatea reelelor este n fond un exerciiu de prevenire: evenimentele majore ar putea s nu apar, dac activitatea de prevenire a avut loc i dac toate procedurile stabilite au fost aplicate corect. De multe ori ns, aprarea proiectat este strpuns de atacatori. n urma unui atac nu mai rmn dect minimizarea pagubelor, aprecierea rapid a urmrilor i rspunsul la apariia incidentului. Procedura de rspuns se compune din paii de urmat dup apariia incidentului. Auditul este modalitatea prin care se pot nregistra (nscrie, pstra) evenimentele petrecute deja. Jurnalele acestor evenimente pot releva informaii despre atacuri ntreprinse asupra resurselor reelei. Politica de audit a unei organizaii trebuie s includ rspunsuri la urmtoarele ntrebri: Ce tipuri de evenimente vor fi supravegheate (audit)? Ce instrumente de audit se vor folosi? Cum vor fi investigate evenimentele care au trezit suspiciuni? Ct timp vor fi pstrate jurnalele? Cine analizeaz evenimentele i ct de des? Cum s fie pstrate dovezile?

Procedura de rspuns la incidente conine paii i aciunile de ntreprins dup apariia incidentului. Scopul existenei procedurii este limitarea pagubelor i ncercarea de a rspunde organizat, controlat i eficient la un incident petrecut anterior. Planul de declanare a rspunsului este o activitate organizatoric care cuprinde la rndul ei mai muli pai: 1) 2) 3) 4) 5) Constituirea i instruirea echipei care gestioneaz rspunsurile la incidente; Dezvoltarea planului de comunicare: ntre membrii echipei i cu ceilali angajai; Construirea planului de identificare a atacului i, dac este posibil, a atacatorului; Construirea i revizuirea periodic a politicilor; Documentarea incidentelor dup apariia lor;

Rspunsul la incidente va fi temeinic pregtit pentru a putea aciona deplin i eficient. Primul i cel mai important aspect al rspunsului va fi protejarea i sigurana vieii oamenilor. Abia dup aceea va fi vorba despre: protejarea
22

informaiilor secrete, a celor confideniale, a altor informaii, protejarea componentelor hardware i a celor software. La sfrit se va avea n vedere minimizarea pagubelor. Echipa nsrcinat cu stabilirea i declanarea rspunsurilor la incidente de securitate va fi compus din ct mai puini membri, pentru a asigura rapiditate i eficien n declanarea aciunilor. n general, membrii acestei echipe ar trebui s poat ndeplini urmtoarele roluri: evalueaz i investigheaz incidentele de securitate; ofer sfaturi i soluii ofer informaii despre configuraia reelei i a calculatoarelor; particip la evaluarea pagubelor; ia decizii critice, de la caz la caz, privind rspunsurile la incidente i msura n care incidentele vor fi fcute publice;

specialist n securitate

administrator reelei

conducere

consilier pentru probleme sftuiete conducerea cu privire la aciunile legislative judiciare i condiiile de desfurare; Indiciile apariiei incidentelor de securitate sunt diferite i nu ntotdeauna sigure. Semne asociate posibilelor incidente pot proveni din mai multe locuri, ca de ex.: Scderea performanelor reelei i a sistemelor n general; Calculatoare care cad i se restarteaz misterios; Conturi de utilizator folosite n condiii i la momente cel puin ciudate; Creterea numrului de evenimente de audit nregistrate ntr-un interval de timp; Utilizatorii raporteaz incidente; Apar informaii despre un nou virus; Software-ul specializat detecteaz intrui;

Dup detectare, incidentul va fi analizat. Cele mai importante informaii ce vor fi obinute prin analiz sunt: Simptomele cum a aprut i cum se manifest atacul; Originea care este punctul de origine i dac se poate face o legtur ntre originea incidentului i un prezumtiv atacator;
23

Punctul de intrare cum i pe unde a ptruns atacul, eventul dac exploateaz o vulnerabilitate cunoscut; Intenia ce intenioneaz atacatorul s obin i dac folosete vreun model pentru desfurarea atacului; Gravitatea care sunt riscurile i ct de grave sunt, sau ar putea fi mai trziu impactul i /sau pagubele; Expunerea ce sisteme au fost compromise prin expunerea la atac i n ce constau pagubele Deconectarea de la reea a calculatoarelor (echipamentelor) afectate i a celor care dein date importante; Deconectarea organizaiei de la Internet, blocarea unor porturi TCP / UDP; Instalarea de componente de actualizare upgrade, patch, antivirus, componente pentru detectarea intruilor; Schimbarea parolelor pentru utilizatori; Schimbarea cheilor software; Schimbarea componentelor de protecie fizic: ncuietori, lacte, chei, carduri de acces, etc.

Limitarea pagubelor ar trebui s fie rspunsul imediat i prompt:

Dup rezolvare, incidentul va fi documentat cu minuiozitate. Toate informaiile obinute prin analiz vor fi sistematizate spre a fi apoi introduse n noile politici i proceduri de securitate, dac este cazul.

24

Evaluarea securitii reelelor de calculatoare

MBSA (Microsoft Baseline Security Analyzer)

Microsoft Baseline Security Analyzer este unul dintre programele folosite pentru identificarea problemelor legate de securitate i a actualizrilor de securitate necesare unui computer unde ruleaz un sistem de operare Microsoft. MBSA scaneaz configuraia hardware i software existent, identific posibilele bree de securitate i indic operaiile de executat n acest sens, inclusiv actualizrile de care are nevoie sistemul. MBSA poate fi descrcat gratuit de pe site-ul Microsoft.

Cteva soluii Microsoft pentru securitatea reelelor

EFS - Encrypting File System Encrypting File System este soluia pentru pstrarea sigur a datelor pe hard discuri formatate NTFS. EFS permite utilizatorilor s-i cripteze propriile fiiere. Criptarea i decriptatea fiierelor se face prin folosirea unui certificat special destinat acestui scop. 1. Cnd un utilizator cripteaz un fiier pentru prima data, EFS verific dac exist n local certificate store un certificat care poate fi utilizat pentru EFS. 2. n situaia n care un astfel de certificat nu exist, EFS va lansa o cerere pentru un certificat de tip EFS. Cererea este n mod tradiional adresat unei autoriti de certificare. Dac n reea nu funcioneaz niciun server care poate elibera certificate, atunci certificatul va fi generat local de ctre sistemul de operare.

25

Se genereaz n continuare un numr aleator numit File Encryption Key (FEK), cheia pentru criptarea fiierului. Caracteristicile acestei chei sunt dependente de sistemul de operare. 3. EFS preia cheia public i cripteaz fiierul. Recuperarea fiierelor, n cazul n care certificatul utilizatorului devine inaccesibil (de ex. a fost ters profilul utilizatorului sau i-a fost modificat parola), poate fi fcut de agentul recuperator (Recovery Agent). Agentul recuperator folosete un certificat adecvat care i permite s decripteze fiiere pe care nu le-a criptat. Certificatul agentului recuperator poate fi obinut de la o autoritate de cerificare sau poate fi generat local, de ctre sistemul de operare.

26

n situaia existenei unui domeniu Active Directory, obiectele Group Policy Object (GPO) pot fi folosite pentru stabilirea agentului recuperator. Administratorul de domeniu este n mod implicit agentul recuperator. Cheia privat a administratorului de domeniu (agent recuperator) se afl pe primul controler de domeniu creat. Aceast cheie trebuie importat de la controlerul de domeniu i folosit pe calculatorul unde se afl fiierul de recuperat. EFS file sharing este o facilitate a sistemelor de operare Windows XP i Windows Server 2003 i permite partajarea accesului la un fiier criptat, intre mai muli utilizatori. Securitatea unui server membru in domeniu Securitatea unei reele depinde de setrile de securitate realizate pentru fiecare din serverele din reea. O bre de securitate la un singur server poate compromite ntreaga reea. Pentru a menine un mediu securizat vor fi avute n vedere urmtoarele soluii: aplicarea ultimului service pack i a actualizrilor de securitate (security updates) disponibile folosirea politicilor Group Policy pentru: o dezactivarea serviciilor care nu sunt necesare. Orice serviciu care ruleaz poate reprezent un potenial punct de atac. Cu att mai mult unul nefolosit niciodat. implementarea de politici pentru parole securizate, utilizarea de parole ct mai complexe (in nici un caz folosirea de parole vide !!) dezactivarea LAN Manager i a autentificrii de tip NTLM v1, n cazul n care nu sunt absolut necesare; autentificarea NTLM v1 este folosit la sistemele de operare ceva mai vechi restricionarea dreptului de deschidere a unei sesiuni locale la un server (Log on locally)

folosirea utilitarului Microsoft Baseline Security Analyzer (MBSA) pentru scanarea configuraiilor aflate n funciune i identificarea posibilelor probleme de securitate
27

restricionarea accesului fizic la servere, prin plasarea lor in camere ncuiate sau bine pzite securizarea contului de administrator, de ex., prin folosirea parolelor diferite pentru fiecare administrator local al fiecrui server, restricionarea grupurilor cu drepturi administrative prin utilizarea de Restricted Groups, redenumirea contului de administrator separarea conturilor de utilizator i a celor cu privilegii administrative: niciodat un cont cu privilegii de administrare nu va fi folosit pentru operaii uzuale (mail, rularea aplicaiilor standard, navigare pe Internet). Va fi folosit Secondary Logon (run as) pentru administrare, atunci cnd este posibil. folosirea permisiunilor NTFS pentru securizarea folderelor i a fiierelor stabilirea unei politici de audit pentru detectarea modificrilor care pot aprea la nivelul configurrilor care au legtur cu securitatea restricionarea accesului la serverele din reeaua local folosind Windows Firewall, eventual configurarea lor centralizat prin folosirea GPO crearea unei structuri de uniti organizaionale in Active Directory care s permit construirea i legarea corespunztoare a obiectelor GPO necesare utilizarea machetelor de securitate (security template) pentru configurarea regulilor de securitate. Testarea regulilor de securitate nainte de aplicarea lor in mediul real asigurarea sincronizrii timpului, avnd n vedere c protocolul Kerberos nu permite autentificarea dac diferena de timp ntre client i server este mai mare de 5 minute. Serviciul W32Time asigur sincronizarea dintre serverele membre ale domeniului i controlerul de domeniu, utiliznd protocolul Network Time Protocol (NTP) se recomand folosirea unui smart card pentru deschiderea de sesiune, ca administrator restricionarea staiilor de unde poate deschide sesiune administratorul evitarea rulrii pe controlerul de domeniu a altor servicii dect cele strict necesare n funcionarea unui controler de domeniu. Se recomand ca administrarea domeniului s se fac de la un alt calculator membru al domeniului, evitndu-se deschiderea de sesiune efectuat chiar de la controlerul de domeniu. crearea de grupuri administrative cu drepturi specifice pentru executarea unor anumite operaii bine determinare cum ar fi:
28

administrator de OU, administrator de server DNS, server WINS, DHCP etc. Utilitarul Security Configuration Wizard Security Configuration Wizard (SCW) este componenta folosit pentru configurarea rapid a serverelor, n funcie de cerinele de funcionalitate (Web server, domain controller, DNS, etc.). Prin programul Security Configuration Wizard se pot dezactiva serviciile care nu sunt necesare, se pot bloca porturi, se poate modifica coninutul din regitrii (registry). Configurrile operate pot fi salvate ntr-un fiier, de unde vor fi aplicate ulterior. Acelai fiier poate fi folosit pentru configurarea mai multor calculatoare.

29

Servere securizate in funcie de rolul n reea controlerul de domeniu: va fi plasat ntr-un loc sigur, la care s nu aib acces dect personalul autorizat se recomand s existe cel puin dou controlere de domeniu, pentru siguran se recomand replicarea securizat a traficului DNS asociat, folosind IPSec sau replicarea Active Directory, pentru situaia n care zona DNS este inclus n AD se recomand redimensionarea jurnalelor event log, pentru pstrarea a cat mai multe informaii in cazul unui atac (16 MB) se recomand pstrarea bazei de date Active Directory i a fiierelor jurnal (log) asociate n locuri diferite, eventual pe un discuri separate se recomand dezactivarea serviciilor nenecesare i blocarea porturilor nefolosite urmrirea evenimentelor se va face prin procedurile de audit. Recomandrile minimale sunt cele din tabelul de mai jos:

Audit policy

Setari minimale recomandate

Audit account logon events Success, Failure Audit account management Success, Failure Audit directory service access Success, Failure Audit logon events Success, Failure
30

Audit policy Audit object access

Setari minimale recomandate

la latitudinea administratorului, in funcie de modelul de securitate ales Audit policy change Success Audit privilege use No auditing (eventual) Audit process tracking No auditing Audit system events Success Serverul DNS dac este posibil, se recomand folosirea modelului de server DNS cu baza de date a serviciului integrat n Active Directory este necesar de multe ori dezactivarea dynamic update sau folosirea dynamic update secure se recomand restricionarea transferului de zone este util activarea setrii Secure cache against pollution, pentru a mpiedica preluarea de date eronate (de obicei in mod intenionat) din cache-ul altor servere este recomandat redimensionarea jurnalelor DNS (log), recomandat 16 MB Serverul DHCP se vor monitoriza ncercarea i introducerea n reea a unui nou server DHCP, neautorizat se recomand restricionarea accesului la jurnalele (log) DHCP este necesar de cele mai multe ori creterea dimensiunii jurnalelor DHCP se vor restrnge drepturile administrative la serverul DHCP, ce vor fi acordate numai persoanelor autorizate s administreze i / sau s opereze asupra serverului DHCP Serverul WINS Se recomand restricionarea accesului la serverul WINS; vor avea acces la server numai utilizatorii cu drept de administrare n cazul n care se folosete procedura de replicare ntre serverele WINS, se recomand monitorizarea replicrii datelor ntre servere WINS
31

 se recomand activarea jurnalizrii (logging) WINS de cele mai multe ori se recomand folosirea intrrilor statice controlate strict n baza de date WINS, n locul nregistrrilor dinamice Serverul de fiiere vor fi strict configurate permisiunile NTFS i a cele de partajare se recomand utilizarea i configurarea exemplarelor shadow

Machete de securitate Securitatea unei reele nu este complet dac nu este rezolvat i securitatea calculatoarelor client, calculatoare cunoscute i sub numele de staii de lucru. Cele mai rspndite metode pentru asigurarea i urmrirea funcionrii regulilor de securitate pentru calculatoarele din reea sunt urmtoarele:

aplicarea machetelor de securitate (security template); machetele de securitate sunt fiiere cu extensia .inf care pot fi utilizate prin componenta Security Templates a consolei mmc.

32

utilizarea sistemului de fiiere NTFS redimensionarea jurnalelor pentru evenimente supravegherea accesului prin proceduri de audit configurarea corect a browser-ului Internet Explorer i a oricrui alt browser. utilizarea ori de cte ori este posibil a machetelor .adm, ca de ex. cele furnizate de Office Resource Kit, n vederea implementrii unor reguli de securitate specifice aplicaiilor sau pachetelor de aplicaii protejarea accesului prin proceduri i componente de tip Windows firewall implementarea politicilor restrictive inclusiv cele legate de restricii software fa de utilizarea anumitor aplicaii instalate - folosind obiecte GPO (Group Policy Object)
33

WSUS (Windows Server Update Services) WSUS este instrumentul folosit pentru gestionarea i distribuirea actualizrilor aduse sistemelor de operare i aplicaiilor, n vederea rezolvrii vulnerabilitilor legate de securitate i a problemelor de stabilitate. n mod tradiional, administratorii acceseaz frecvent site-urile Microsoft pentru gsirea actualizrilor (coreciilor) potrivite. De obicei le descarc manual, le testeaz i, dac se potrivesc mediului de operare, le distribuie pe calculatoarele care au nevoie de ele, fcnd o actualizare manual a componentelor. Microsoft Update este un site Web folosit pentru actualizarea componentelor software: sisteme de operare, aplicaii, drivere, alte componente - legate de securitate i stabilitate. Site-ul este permanent actualizat (el nsui) oferind cele mai noi actualizri i corecii pentru sistemele de operare din familia Microsoft. Actualizrile (coreciile) sistemelor de operare pot fi: actualizri critice: corecii de securitate i alte actualizri importante, legate mai ales de securitatea calculatoarelor i a reelelor recomandri: fiiere a cror descrcare este recomandat, de obicei componente de tip service pack instrumente: utilitare de interes actualizri pentru Internet i multimedia: ultimele modificri aduse componentelor Internet Explorer, Windows Media Player; etc. componente adiionale: caracteristici pentru desktop i componente ale sistemelor de operare n general caracteristici multilingvistice: meniuri, cutii de dialog, suport pentru lucrul n alt limb dect engleza ghiduri de utilizare i de instalare

Actualizarea automat este o caracteristic configurabil a sistemelor de operare Windows, prin care se instaleaz i configureaz componente sistem, fr intervenia utilizatorului. Actualizrile provin din descrcarea automat a unor fiiere de la Microsoft Update Web sau de la un server WSUS. Configurarea actualizrii automate este controlat n mod centralizat de ctre Administrator. Instalarea componentelor actualizate i a corecturilor poate avea loc:
34

automat: componentele sunt descrcate automat i instalate la un moment de timp programat. Acesta este modul de lucru recomandat pentru c opereaz modificri valabile pentru toi utilizatorii. descrcare automat instalare la cerere: actualizrile se descarc automat dar nu sunt instalate dect la cererea administratorului. notificare: actualizrile nu sunt nici descrcate nici instalate automat. Administratorii (cu sesiuni locale deschise la respectivul server) primesc notificri referitoare la componentele care admit actualizri i la posibilitatea descrcrii i instalrii lor. anularea actualizrii automate: nu apar notificri despre actualizri i corecii.

WSUS (Windows Server Update Service) este o component opional pentru sistemele de operare Windows Server 2003. Serviciul poate fi descrcat de pe site-ul Web al Microsoft. Va aciona ca un punct central al reelei, folosit pentru distribuirea actualizrilor necesare calculatoarelor client i serverelor. WSUS poate oferi servicii de actualizare pentru: sisteme de operare, pentru Microsoft Office, Exchange Server, SQL Server. WSUS va fi instalat pe un server din reea i va fi configurat astfel nct s-i sincronizeze coninutul cu cel al site-ul Microsoft Update Web, ori de cte ori actualizrile sunt disponibile. Sincronizarea se face automat sau manual ce ctre administrator.

35

36

37

WSUS este versiunea server pentru Microsoft Update care poate rula intr-o reea local i care permite centralizarea instalrii de actualizri software intr-o organizaie: vor fi instalate numai anumite actualizri, cele aprobate de ctre un administrator. Serverul WSUS contacteaz Microsoft Update pentru a obine lista de update-uri existente i eventual necesare. Clienii folosesc Automatic Updates Client cu ajutorul cruia se conecteaz la serverul WSUS, de unde vor fi preluate actualizrile. Fiecare computer poate fi plasat intr-un grup de computere i pot fi aprobate update-uri diferite pentru fiecare grup in parte.

38

Specificarea serverului WSUS ce va fi folosit de ctre clieni se face cu ajutorul obiectelor GPO.

Dup instalare, serverului WSUS se va sincroniza cu Microsoft Update. Sincronizarea se se va face manual sau automat, la anumite intervale de timp definite de administrator. Update-urile ce vor ajunge la clieni trebuie aprobate de ctre administrator. Marcajele care indic tipul de aprobare sunt: Install realizeaz instalarea Detect Only - nu face instalare ci sunt doar detectate, cutate, componentele care ar avea nevoie de un update Remove pentru dezinstalarea anumite update-uri , de ex cele care in urma instalrii au produs probleme Decline nu se va face instalarea acelui update Calculatoarele din reea fac parte n mod automat din grupurile All Computers i Unassigned Computers. Un computer poate fi scos ns din acest ultim grup i introdus in altul.
39

Pentru fiecare grup de computere se pot stabili politici diferite de aprobare a update-ului. Adugarea la un grup de computere se poate face fie specificnd acest lucru folosind un GPO, fie adugnd manual din interfaa WSUS fiecare client n grupul dorit.

40

Propunere de tem practic 1. Identificai ameninrile specifice reelei dvs. Ajutai-v de orice diagram, desen, tabel care descrie reeaua de calculatoare, amplasarea calculatoarelor i a echipamentelor de comunicaii n reea, modul de lucru n general. Evaluai probabilitatea de materializare a fiecrei ameninri, impactul sau paguba suferit. Paguba poate fi la fel de important i n situaia unei pierderi materiale dar i a pierderii de imagine, de credibilitate. Completai tabelul ameninrilor identificate i a vulnerabilitilor care pot fi speculate, fie din interior fie din exterior.
Exemplu: Impact, pierdere, pagub (Evaluare 1 .10) Acces neautorizat la baza de date Expunerea i folosirea improprie a datelor cu caracter secret, confidenial, sau de alt natur Rang, prioritate (Probabilitatea

Ameninare

Vulnerabiliti

Probabilitatea de materializare

*Paguba)
0,63

0,7

Parola administratorului este cunoscut de mult lume Acces fizic la serverul cu baza de date unde este permanent deschis o sesiune de administrator Server nesupravegheat, incinta cu acces aproape liber Atac din exterior prin Internet

Se regsesc aici toate elementele STRIDE

41

Utilizatori neautorizai au acces la date Periclitarea funcionrii serverului Web

Se regsesc aici elementele STR DE Informaiile sunt publice deci nu sunt expuse neautorizat.

Oprirea / blocarea serviciului, alterarea informaiilor (atac din exterior sau din interior) Serverul Web nu se afl ntr-o reea protejat (DMZ, perimetru, firewall) Accesul la pagina / paginile Web este public (fr autentificare)

mic

de imagine

?
(va fi evaluat ulterior)

2. Revizuii tabelul ameninrilor i vulnerabilitilor. Identificai pentru fiecare vulnerabilitate o soluie de rezolvare: de eliminare cu totul a vulnerabilitii sau mcar de diminuare a pierderilor, a pagubelor. 3. Ordonai vulnerabilitile dup importan, dup rang. Vei obine o prim form a strategiei de securitate care ar putea fi implementat, dac v ndreptai atenia asupra soluiilor, aciunilor, operaiilor care trebuie ntreprinse pentru diminuarea sau eliminarea pagubelor, respectiv reducerea vulnerabilitilor. Vulnerabilitile pot fi tratate acum drept riscuri. Managementul riscului se va referi de aici ncolo la: care dintre riscuri (vulnerabiliti) sunt mai importante dect altele, ce riscuri trebuie rezolvate mai nti, ce riscuri vor fi analizate mai trziu, care sunt costurile aplicrii msurilor de securitate pe care le-ai stabilit. 4. Revizuii tabelul ameninrilor / vulnerabilitilor / riscurilor. Verificai dac soluiile de securitate pe care le-ai construit respect cerinele teoretice i practice ale securitii reelelor: Aprarea n profunzime: reea, calculator, aplicaie, date
42

 Regulile, msurile de securitate sunt aplicate: administrativ, software, fizic Privilegiul minim: utilizatorii dispun de minimul necesar i suficient de privilegii pentru rezolvarea sarcinilor Suprafaa de atac din exterior (Internet) este minim Riscurile: acceptate, atenuate, transferate, eliminate Revizuii n consecin tabelul ameninrilor /vulnerabilitilor / riscurilor i completai pe de o parte ameninri / vulnerabiliti i pe de alt parte aciuni / msuri de eliminare sau diminuare a pagubelor. 5. Construii un plan de aciune pentru situaia n care apare un incident de securitate. Pentru cunoaterea mai bun a condiiilor i contextului n care a aprut incidentul trebuie s fie pregtite din vreme jurnale de evenimente i poate alte proceduri de audit. Folosii i un registru (jurnal) n care s fie nscrise incidentele de securitate care au avut loc. Orice revizuire ulterioar a tabelului cu vulnerabiliti va porni de la incidentele, evenimentele semnalate i nscrise n jurnal.

Ce ai nvat n acest modul? s identificai i s evaluai ameninri, vulnerabiliti i riscuri s analizai riscuri i s evaluai pagubele s evaluai gradul de securitate a unei reele i a fiecrei componente n parte s concepei msurile de securitate cele mai potrivite pentru asigurarea securitii unei reele s construii i la nevoie s impunei reguli de securitate pentru reeaua pe care o administrai s cretei gradul de securitate a reelei pe care o administrai s construii un plan de aciune pentru situaia n care apar i sunt detectate incidente de securitate

43