Masterat E- Business

Securitatea sistemelor de
E-Business
- Curs 1 -

Lector. Dr. Ana-Maria Ghiran

anamaria.ghiran@econ.ubbcluj.ro
Cuprins

 Importanța securității informatice

 Definiție, obiective ale securității informatice

 Modele de securitate pentru sistemele informatice

12/01/2020
Importanța securității și în principal a ​securității informatice​
​
 Pentru că orice calculator conține cel puțin o aplicație pentru
care există vulnerabilități deja cunoscute

 Pentru propria persoană​

• Evitare pierderi financiare și/sau alte pierderi imposibil de comensurat​
• Dreptul de a păstra private datele personale​
• Evitare hărțuire cibernetică, furtul de identitate​

 Pentru că este cerută:​

• De către angajator: respectarea anumitor politici de securitate​
 Ce e o politică de securitate?​
• De cadrul legislativ: respectarea anumitor norme de securitate​
 Ce norme de securitate ar trebui să cunosc?​

 Piața produselor de securitate este în continuă creștere!!! (Oportunitate de vă

deschide o afacere în domeniu)
 Practic există vulnerabilități pentru orice program software: 99% din
calculatoarele conectate la Internet au vulnerabilități ce ar putea fi
exploatate!

 MITRE, NIST – mențin o bază de date actualizată cu vulnerabilitățile ce

sunt descoperite: NVD –National Vulnerability Database
 https://nvd.nist.gov/search#
 Vulnerabilități ce sunt pentru browser-ul Chrome:

Căutați
vulnerabilități
pentru
Mozilla,
Windows,
Acrobat
Reader etc.
12/01/2020
Evitarea unor pierderi personale

 Atacatorii cibernetici pot urmării de la capturarea unor

simple informații personale, până la parole, și numere de
conturi bancare; publicarea unor informații confidențiale fie
pe site-uri web, fie pe rețele de socializare; alt tip de atac
este cel prin care sunt făcute indisponibile anumite servicii

 Un român pe lista FBI cu persoanele cele mai căutate

pentru breșele de cybersecurity:
https://www.fbi.gov/wanted/cyber Căutat pentru anunțuri
false pe site-uri de licitații, falsificare însemne documente
 Recompensă: până în 1mil dolari
Piața produselor de securitate
Evitarea pierderilor pentru angajator

 Ce este o Politică de securitate?​

• reprezintă o colecţie de documente de nivel înalt​

• stabilesc ce obiective trebuie să îndeplinească mecanismele de
protecţie​
• care subiecţi (de exemplu utilizatori sau procese)
pot accesa ce obiecte (de exemplu fişiere sau dispozitive periferice)
şi în ce circumstanţe.​

 Mecanismele de securitate:​
• specifică implementările necesare pentru realizarea politicii de
securitate
Politicile de securitate

 Politicile de securitate vor fi stabilite de managerii de top

în funcţie de necesităţile din organizaţie (Least privilege principle)
care se vor asigura că sunt diseminate şi aplicate în
cadrul angajaţiilor​

 Chiar dacă un sistem este securizat din punct de vedere tehnic şi fizic

este nevoie de a se stabili un set de politici şi proceduri de securitate
pentru toţi angajaţii organizaţiei care să asigure securitatea globală​

 Ex: fiecare angajat trebuie să fie instruit să nu dezvăluie parola – un

atacator ar putea să posteze rolul unui inginer de sistem şi să solicite
date de identificare (prin email sau prin telefon („social engineering”) ​
 Modele (templete-uri) de politici de securitate:
https://www.sans.org/security-resources/policies

→ Acceptable Encryption Policy

→ Acceptable Use Policy
→ Clean Desk Policy De ex. Email Policy
→ Data Breach Response Policy Definește cerințele pentru folosirea
→ Disaster Recovery Plan Policy corectă a sistemului de email a
→ Digital Signature Acceptance Policy companiei și atenționează utilizatorii
• General → Email Policy de ceea ce este considerat acceptabil
→ Ethics Policy sau nu.
→ Pandemic Response Planning Policy
→ Password Construction Guidelines
→ Password Protection Policy
• Network Security → Security Response Plan Policy
→ End User Encryption Key Protection Policy

• Server Security

• Application Security

• Old/Retired
Respectarea cerințelor legale

Ce norme de securitate ar trebui să cunosc?​

 Directive legate de securitatea informațiilor date de UE –

propagare directă în legislația națională​
• Planul strategic Europa 2020 – ce cuprinde 7 inițiative (programe pilot) printre care
se regăsește și Economia Digitală (Agenda Digitală)​
 Alte aspecte particulare ce se regăsesc doar în legislația
națională legată de securitatea datelor​
• Directivele date de UE nu dictează modul în care să fie îndeplinite ci stabilesc
doar obiectivele lăsând la nivelul statelor membre să decidă aceste aspecte –
fiecare țară poate să aibă propria implementare ​
 Recomandări date de organizații nonguvernamentale ce
activează în domeniul securității cibernetice​
 Agenda Digitală definește rolul major pe care utilizarea tehnologiei informației și
comunicațiilor va trebui să îl joace în realizarea obiectivelor stabilite pentru Europa
2020. ​

 Strategia Națională pentru Agenda Digitală fixează pentru anul 2020 atingerea

următorilor indicatori:​
• Cel puțin 35% dintre cetățeni să utilizeze sistemele de e-Guvernare e-Guvernare
 în prezent​
• Cel puțin 60% dintre cetățeni să utilizeze cu regularitate internetul 
folosire Internet în prezent​
• Cel puțin 30% dintre cetățeni să facă achiziții on-line e-commerce în prezent ​
• O acoperire cu rețele de comunicații în bandă largă (peste 30Mbs) de minim 80% 
acoperire broadband​
 Îndeplinirea acestor indicatori (mai ales măsurile 1 și 3) au direct implicații în
securitatea datelor​
Instituții de securitate
 În prezent există la nivel european:​
•  Agenţia Europeană pentru
Securitatea Reţelelor şi a Informaţiei – ENISA (European Union Agency for
Network and Information Security) din 2004,​
• BEREC (Body of European Regulators for Electronic Communications) din
2009, ​
• eu-LISA (European Agency for the Operational Management
of Large Scale IT Systems in the Area of Freedom, Security and Justice)
din 2014; ​

 în Romania există din 2005 ANSPDCP (Autoritatea Naţională de

Supraveghere a Prelucrării Datelor cu Caracter Personal), ​
• din 2009 ANCOM (Autoritatea Naţională pentru
Administrare şi Reglementare în Comunicaţii), ​
• iar din 2013 Serviciul Român
de Informaţii coordonează Sistemul Naţional de Securitate Cibernetică​
 Instituții de securitate
NIST – National Institute of Standards and Technology​
www.nist.gov​
SANS – Sysadmin, Audit, Network, Security​
www.sans.org​
​ISACA – Information Systems Audit and Control Association​
www.isaca.org​
​CERT - Computer Emergency Response Team ​
(Carnegie Mellon University)​
www.cert.org​
​ISSA – Information Systems Security Association​
www.issa.org​
​CSA – Cloud Security Alliance​
https://cloudsecurityalliance.org/​
​
Definiție “securitatea informațiilor”

 Computer security (cybersecurity)

 Scop: permiterea folosirii corespunzătoare a computerelor
și prevenirea folosirii necorespunzătoare a acestora.

NIST Computer Security Handbook defineşte securitatea

computerelor astfel:
 Protecţia acordată unui sistem informaţional automat
pentru a atinge obiectivele adecvate de păstrare a
integrităţii, disponibilităţii şi confidenţialităţii resurselor
informaţionale ale sistemului
 Obiective: CIA
 Confidentiality – (Confidenţialitate) informația este oferită doar
persoanelor sau sistemelor autorizate; de ex. un atacator nu va
putea afla date personale dintr-un cont

 Integrity – (Integritate) Informația nu poate fi modificată fără

autorizație; de ex. un atacator nu poate modifica date dintr-un
anumit cont

 Availability – (Disponibilitate) Informația este accesibilă în timp util

persoanelor/sistemelor autorizate; utilizatorii îndreptățiți pot să
vizualizeze oricând datele din cont
 Alte obiective pentru securitatea informațiilor: comunicare
sigură ​

AAA : ​
 Autentificare - Authentification, ​
 Autorizare - Authorization, ​
 Auditare - Accountability (cine, ce,
când) / Auditability (evidenţierea urmelor diverselor acţiuni)​

 + Nonrepudiere - Nonrepudiation​
 Modele de securitate
Modelul de securitate este o schemă pentru specificarea şi impunerea
unor politici de securitate
1. Modele de securitate multi-nivel
 Modelul Bell-LaPadula 2. Modele de securitate multi-laterale
 Modelul BIBA  Modelul Zidului Chinezesc
 Modelul BMA

3. Alte modele de securitate

 Modelul bazat pe Matricea de Control a Accesului
 Modelul Graham-Denning
 MAC – Mandatory Access Cotrol
 DAC – Discretionary Access Control
 RBAC – Role-Based Access Control
 Modele de securitate
 Studierea modelelor abstracte de securitate poate fi determinantă în
înţelegerea mecanismelor de securitate care trebuie aplicate în
anumite cazuri concrete.

 Un model de securitate descrie un mecanism logic care

implementează o anumită politică de securitate deja stabilită.

 Elementele esenţiale: resursele (denumite obiecte) şi utilizatorii

(numiţi adeseori şi subiecte).

 Peste resurse şi utilizatori (mulţimi) sunt definite relaţii.

 Modelele de securitate descriu un anumit set de relaţii între utilizatori
şi resurse.
Modele de securitate

 Conceptul de model de securitate a apărut în domeniul militar:

Bell-LaPadula

 Datorită specificului militar s-a urmărit în primul rând protejarea

confidenţialităţii,

 Este utilizat drept model de bază pentru proiectarea sistemelor

care manevrează date distribuite pe mai multe niveluri – prima
generaţie a modelelor de securitate (anii 1970)

 Ca urmare a formalizării practicilor stabilite în mediul de afaceri

apar modelele de securitate multilaterale (anii 1980)
Modele de securitate multi-nivel

 Principiul securităţii multi-nivel implică atât ierarhizarea

obiectelor, cât şi a subiecţilor pe nivele

 Fiecare subiect are un nivel de confidenţialitate, iar fiecare

obiect deţine o clasificare care îl ataşează unui nivel de
securitate.
Exemple de modele de securitate
multi-nivel:
-Bell-LaPadula
-BIBA
 Modele de securitate multi-
nivel
 Modelul Bell-LaPadula impune următoarele restricţii:
 • Citire în jos: un subiect are acces de citire doar asupra
obiectelor al căror nivel de securitate ce se află sub nivelul
curent de confidenţialitate al subiectului. Această restricţie
împiedică subiecţii să acceseze informaţii al căror nivel de
securitate se află deasupra nivelului de confidenţialitate
curent.
 • Scriere în sus: Un subiect are acces pentru adăugare la
obiecte al căror nivel de securitate este mai mare decât nivelul
de confidenţialitate curent. Astfel se previne ca un subiect să
transfere informaţii la niveluri care se află sub nivelul său.

No Read UP: nu se citesc informaţii secrete

No Write Down: previne scurgerea de informaţii secrete
Modele de securitate multi-
nivel
 Limitări ale modelului Bell-LaPadula:
• se focalizează asupra confidenţialităţii;
 • este static, modelul nu dispune de o politică de
schimbare a accesului sau de reguli pentru crearea
sau ştergerea subiecţilor ori obiectelor;
 Modele de securitate multi-
nivel
 Modelul BIBA
 Poate fi văzut ca şi model complementar al modelului Bell-
LaPadula: are în primul rând în vedere integritatea datelor

 Restricţii stabilite în modelul BIBA:

1. un utilizator poate să scrie informaţie la nivelul său de
integritate ori la un alt nivel de integritate, dar care să fie mai
coborât comparativ cu cel al utilizatorului respectiv.
2. în ceea ce priveşte drepturile de citire, un utilizator poate să
vadă informaţii de la nivel mai mare însă nu mai jos: principiul
“if you can not read it you can not introduce it into the data you
create at your level” – nu se pot propaga informaţii inexacte

No Write UP: nu se pot suprascrie informaţii

No Read Down: nu se pot prelua date eronate
Modele de securitate multi-laterale

 Tratează datele din acelaşi punct de vedere al sensibilităţii,

dar iau în considerare situaţiile în care în cadrul aceluiaşi
nivel pot exista conflicte de interes, caracterul privat al unor
informaţii
Exemple de modele de
securitate multilaterale:
- Modelul Zidului Chinezesc
- Modelul BMA (British Medical
Association)
 Modele de securitate multi-laterale

 Modelul Zidului Chinezesc

 Acest model tratează situaţia în care un angajat al unei
instituţii financiare (consultant financiar) care are relaţii
profesionale cu mai mulţi clienţi, poate intra într-un conflict
de interese.
Modele de securitate multi-laterale

 Componentele cu care lucrează modelul sunt:

 (a) subiectul: consultantul financiar;
 (b) obiectul: datele referitoare la un singur client;
 (c) datele instituţiei: reprezentate de totalitatea datelor
referitoare la clienţi;
 (d) clasa conflictelor de interes: societăţile comerciale
care sunt în competiţie;
 (e) etichete: datele instituţiei coroborate cu clasa
conflictelor de interese;
 (f) informaţii filtrate: acces fără restricţii.
Modele de securitate multi-laterale

 Modelul Zidului Chinezesc

 Proprietăţile modelului sunt:
 • Accesul este permis numai dacă obiectul apelat (datele referitoare la
client) se află în acelaşi set de date ale instituţiei pe care subiectul
(consultantul financiar) le-a accesat; nu aparţine unei clase a
conflictelor de interese între obiectele accesate de subiect (proprietate
cunoscută şi sub denumirea securitate simplă);
 • Un subiect va putea să scrie într-un obiect (datele referitoare la un
client) numai dacă nu are acces în citire la un obiect, care face parte din
datele referitoare la altă societate comercială ori client şi nu sunt filtrate.
Filtrarea informaţiei se face pentru a ascunde date sensibile referitoare
la clienţi (proprietate cunoscută sub denumirea *-securitate).
 • Drepturile de acces ale subiecţilor se schimbă în mod dinamic, în
funcţie de context, cu fiecare operaţie de acces.
Modele de securitate multi-
laterale
 Modelul Zidului Chinezesc:
 „oricine este liber să lucreze la orice companie, dar
îndată ce a optat pentru una, se supune restricţiilor ce
operează în domeniul respectiv de activitate ” (Oprea, 2007:
99).

 - Introduce principiul separării obligaţiilor de serviciu: un

utilizator ar putea să realizeze tranzacţia A sau tranzacţia B
dar nu ambele
 - Permisiunile de acces ale unui utilizator sunt acordate pe
baza unui istoric al accesărilor anterioare.
Modele de securitate multi-
laterale
 Modelul BMA – Brittish Medical Association

 Elementele de noutate ale modelului:

 - Datele şi informaţiile protejate aparţin unei alte
entităţi (pacientul) decât cea care le prelucrează
(instituţia medicală) şi sunt protejate prin legi
specifice;
 - Comunicarea acestor date se poate face cu acordul
pacientului sau pentru îndeplinirea unor obligaţii
legale.
Alte modele de securitate

 Matricea de Control al Accesului:

 Model simplu de control al accesului, defineşte care
subiecţi au acces la ce obiecte

Descriere:
• Subiectul lansează cererea;
• Sistemul interoghează baza de date de control al accesului
pentru a determina drepturilor de acces ale subiectului;
• Sistemul acordă sau refuză accesul subiectului, în
conformitate cu drepturile acestuia.
Alte modele de securitate

 Matricea de Control al Accesului:

 Avantaje:
 - uşor de realizat şi de implementat.
 Dezavantaje ale acestui model:
 - blocajele de sistem frecvente
 - modelul operează, în exclusivitate, asupra
controlului accesului direct asupra resurselor
 - nu modelează regulile după care se pot schimba
permisiile acordate
Alte modele de securitate

 Modelul Graham-Denning
 Realizat pe baza modelului de Control al Accesului
 Indică cum ar trebui creaţi şi şterşi subiecţii precum şi obiectele
dintr-un sistem, dar şi modul de atribuire al drepturilor specifice
din sistem

 Foloseşte:
• O mulţime de subiecţi (S);
 • Un set de obiecte (O);
 • O colecţie de reguli (R);
 • O matrice de control a accesului (MCA).
Alte modele de securitate

 Modelul Graham-Denning

 Constituirea matricei de control a accesului se face

ţinând cont de câteva reguli simple:
 • Pentru fiecare subiect se alocă câte o linie în matrice;
 • Se alocă câte o coloană în matrice fiecărui obiect ori
subiect;
 • Fiecare obiect din sistem are un proprietar;
 • Fiecare subiect are asociat un controlor (care poate fi
chiar acesta).
Alte modele de securitate

 Mandatory Access Control (MAC)– descrie un sistem

(precum SO) care controlează accesul resurselor

 Discretionary Access Control (DAC) – în acest model

proprietarul obiectului controlează cine şi ce poate accesa

 Role Based Access Control (RBAC) – permite simplificarea

gestionării drepturilor acordate utilizatorilor în cadrul unor
sisteme complexe: în locul gestionării drepturilor de access
pentru fiecare utilizator în parte, RBAC se bazează pe
existenţa rolurilor, ce definesc colecţii de drepturi de acces
permise; fiecărui utilizator i se va atribui un anume rol