Networkshop ’2002

KÖZPONTI JOGOSULTSÁG ÉS FELHASZNÁLÓ MENEDZSMENT RENDSZEREK FONTOSSÁGA
AZ E-VILÁGBAN

Egerszegi Krisztián

VT-Soft Kft.

1. Az informatikai biztonság

1.1. Az informatikai biztonság fogalma

Az e-business fellendülésének korában kiemelt fontosságú téma az informatikai biztonság, amelynek megvalósítása nagyon komoly és összetett feladat. Az kétségtelen tény, hogy a biztonság már alapvetõ része az információs rendszereknek, nélküle ezek nem igazán létezhetnek, de nézzünk egy definíciót, hogy mit is értünk informatikai biztonság alatt:

Az informatikai biztonság a védelmi rendszer olyan, a védõ számára kedvezõ állapota, amely az informatikai erõforrások bizalmassága, sértetlensége és rendelkezésre állása szempontjából zárt, teljes körû, folytonos és a kockázatokkal arányos.

1.2. Az informatikai biztonság kulcsfontosságú tényezõi

Egy információs rendszer védelmének a következõ kulcsfontosságú tényezõi vannak: biztosítani kell, hogy ne sérüljön a rendszer bizalmassága, sértetlensége és a rendszer megfelelõ szintû rendelkezésre állását.

A rendszer bizalmassága alatt értjük, hogy a rendszerhez, illetve erõforrásaihoz, tartalmához, az információkhoz csak az arra jogosult személyek férhessenek hozzá, tartalmukat csak õk ismerhessék meg.
A rendszer sértetlensége akkor áll fenn, ha az eredeti állapotának megfelel és bizonyíthatóan hiteles.
A rendszer rendelkezésre állása pedig az jelenti, hogy a rendszer az eredeti rendeltetésének megfelelõ szolgáltatásokat nyújtani tudja és ezek, az erõforrások, az információk ott és akkor amikor szükséges a rendszer felhasználóinak a rendelkezésére állnak.

1.3. A kényelem

Ha már az informatikai biztonság fogalmával és kulcsfontosságú tényezõivel tisztában vagyunk, és tegyük fel, hogy megvan az indíttatás és a szükséges szaktudás is egy biztonságos rendszer kiépítéséhez, miért nem olyan egyszerû feladat ez a valóságban?

Itt egy nagyon egyszerû fogalmat megvizsgálni: a felhasználók mennyire kényelmesen tudják használni a rendszert? A kényelem természetesen szemben áll a biztonsággal, mert a számítógép használata, akkor a legkényelmesebb, ha a gép a világ minden pontjáról hozzáférhetõ, a rajta tárolt adatok korlátozás nélkül írhatóak, olvashatóak, és jelszó nélkül, bármilyen protokollal elérhetjük azokat. A probléma az, hogy ha mi megtehetjük mindezt, akkor bárki képes erre, így biztonságról egyáltalán nem beszélhetünk.

Ezek alapján az informatikai biztonság és a kényelem fordított arányosságban áll egymással. A legbiztonságosabb beállítások, különféle felhasználók által kedvelt, de nem biztonságos szolgáltatások korlátozása, esetleg letiltása esetén elérhetnénk biztonságos mûködést, de ez a felhasználók számára nagyon kényelmetlen, így mindig lesz valaki, aki próbál kiskaput találni, hogy megkönnyítse saját dolgát, de ezáltal veszélyezteti az egész rendszer biztonságát. Ha a felhasználókat próbáljuk megnyerni, a kényelmi szempontokat elõtérbe helyezve, ezzel ugyancsak rendszerünk biztonságát veszélyeztetjük — a fentiek szerint —, mivel így a nem legbiztonságosabb beállítások, használat mellett akarva-akaratlanul is biztonsági rések keletkezhetnek a rendszeren.

Azért kell ezzel foglalkozni a gyakorlatban, mert a rendszereknek a felhasználókat kell kiszolgálniuk, és a leggyakrabban õk vannak kapcsolatban vele. Ha nem vesszük õket figyelembe, akkor, mint fent említettem elõbb-utóbb valaki veszélyforrást fog jelenteni a rendszer biztonságára, ezért nagyon fontos, hogy minden informatikai rendszernél megtaláljuk a megfelelõ egyensúlyt a biztonság és a kényelem között.

2. Integrált jogosultság kezelõ és központi felhasználó menedzsment rendszer

Az integrált jogosultság kezelõ, és központi felhasználó menedzsment rendszerek megbízható megvalósítása az informatikai rendszer bizalmasságának és sértetlenségének fenntartását segíti elõ. Természetesen ezen rendszerek megvalósítása és folyamatos fenntartása, oktatása mellett a teljes körû védelemhez még szükség van más megoldások bevezetésére is, mely eléréséhez ezen rendszerek megléte jó kiindulópontot jelenthet.

2.1. Integrált jogosultság kezelõ rendszer

Az integrált jogosultság kezelõ rendszer lehetõvé teszi, hogy a felhasználók a jogosultságuk szerinti különbözõ felhasználói azonosítókkal és jelszavakkal elérhetõ más rendszereket, alkalmazásokat, adatokat egy központi jelszó megadásával elérjék, valamint a rendszer a más rendszerek, alkalmazások, adatok eléréséhez szükséges jelszavakat automatikusan, a meghatározott módon, a kívánt erõsségûre generálja, a bejelentkezési és azonosítási folyamatokat elvégezze.

Elõnyei:

A felhasználó csak egy jelszóval rendelkezik.
A jogosultságok egyszerûen, gyorsan beállíthatóak, bizonyos jellemzõk automatizálhatóak és könnyen ellenõrizhetõek.
Az informatikusok munkáját egyszerûsíti, az emberi tévedés lehetõségét minimálisra csökkenti.
A sokféle jogosultsággal rendelkezõ, bizalmas rendszereket, alkalmazásokat, adatokat használó felhasználók jelszavainak automatikus, kívánt erõsségû és idõtartamú kezelése minimalizálja a nem megfelelõ és nem megfelelõen használt jelszavakból származó problémákat.

Amire figyelni kell:

A felhasználó jelszavát fokozottan védeni kell, amely a felhasználó biztonsági tudatosságának és a jelszó erõsségének növelésével megoldható.

2.2. Központi felhasználó menedzsment rendszer

A központi felhasználó menedzsment rendszer megoldást nyújt egy informatikai rendszer felhasználóinak mindenféle a rendszerrel kapcsolatos jogosultságainak kezelésére, a felhasználók szervezetbe történõ belépésétõl a szervezetben történõ ténykedésein keresztül a szervezetbõl történõ kilépésükig, és kiterjed más informatikai erõforrások, alkalmazások rendszerbe illesztése, módosítása, eltávolítása esetén szükséges felhasználói jogosultságok beállítására is.

Elõnyei:

A felhasználók csak olyan alkalmazásokat, adatokat érhetnek el, amelyekhez jogosultsággal rendelkeznek.
A felhasználók jogosultságainak menedzselése folyamatosan és centralizáltan mûködhet.
A felhasználó jogosultságait központilag azonnal le lehet tiltani, ha szükséges.

Amire figyelni kell:

A humán erõforrás és az informatikai részleg közti folyamatos és egyértelmû kommunikációt biztosítani kell.

3. E rendszerek létjogosultsága

Azt el lehet mondani, hogy az adatbiztonság, hozzáférés- és adatvédelem tekintetében a megoldások igen széles skálán mozognak, a legújabb titkosítási algoritmusoktól a kifinomult biztonsági politikáig mindenféle szervezési és mûszaki megoldással találkozhatunk, azonban szinte egységesen jellemzõ a dolgozók alacsony biztonsági kultúrája. Emiatt nagy hangsúlyt kell helyezni a jó technikai megoldások használata mellett, ezek felhasználókkal történõ elfogadtatására és magas szintû oktatására is.

Most következzen néhány példa, amelyek jól mutatják, hogy a vizsgált rendszerek hiányából milyen biztonsági rések keletkezhetnek az informatikai rendszeren.

Integrált jogosultság kezelés

A példák arra mutatnak rá, hogy a jelszavak miként – gyakran milyen egyszerûen kerülhetnek illetéktelen kezekbe, akik a jogosultságokkal visszaélve kárt okozhatnak a vállalatnak.

A jelszórendszer megkerülhetõ

Az alkalmazott rendszer nem nyújt biztonságos megoldást a jogosultságok kezelésére. Tipikusan ilyenek a Microsoft Windows operációs rendszer egyes változatai, amelyeknél nincs bejelentkezés azonosítás, hitelesítési megoldás, így a lokális adatokhoz, alkalmazásokhoz minden erõfeszítés nélkül hozzá lehet férni.

Üres jelszó

A felhasználó nem használ jelszót, azaz a jelszava csak egy üres mezõ, így a felhasználónév birtokában, amit általában a rendszerek belépéskor automatikusan felajánlanak, bárki visszaélhet az ilyen felhasználó jogosultságaival.

Gyenge jelszó

A felhasználók túl egyszerû, könnyen kitalálható jelszavakat használnak, például név, családtag neve, születési hely vagy idõ, stb., melyeket kis utánajárással meg lehet szerezni.

A másik veszély, hogy az értelmes szóból, szavakból álló, kis- és nagybetû, valamint speciális karakterek nélküli jelszó jelszótörõ programokkal bizonyos idõ alatt megszerezhetõ.

Nem megfelelõen kezelt jelszó

A felhasználók a kényelmi szempontok és a nehezen megjegyezhetõ jelszavak miatt, ezeket monitorra ragasztott cetlin, vagy papírra felírva nem lezárt helyen tárolják a számítógép közelében.

A jelszavak váloztatása nem történik meg bizonyos, de nem állandó idõközönként, és nem biztosított, hogy a már használt jelszavakat ne lehessen újra használni.

A felhasználók nem ügyelnek a jelszavak bizalmasságára, így közismert jelszavak miatt elõfordulhat visszaélés a jogosultságokkal.

A jelszókezelés nincs szabályozva

Nincs jelszókezelési szabályzat, ha van, akkor nincs a felhasználókkal kellõképpen tudatosítva, így a fenti veszélyforrások megelõzésére sem kerülhet sor, mert nem tudják, hogy mit és hogyan kell tenniük a megfelelõ biztonsági szint eléréséhez, fenntartásához.

Nem biztonságos alkalmazások

A felhasználói szoftverek közül már sok rendelkezik jelszó tárolási funkcióval, azaz általában nem titkosítva tárolják, és indításkor automatikusan felajánlják a felhasználói azonosítót és jelszót, ami abban az esetben, ha valaki jogosulatlanul indítja el az alkalmazást könnyen visszaélésekhez vezethet.

Szoftver hibák

A használt szoftver hibái, hiányosságai – kiemelten a time-out hiánya – nagy kockázatot jelenthetnek a rendszer biztonságára nézve.

Konfigurálási hibák

A rendszergazdák nem oldják meg a rendszeres szoftverfrissítést, ennek hiánya miatt biztonsági rések keletkezhetnek a rendszeren.

A hozzáértés hiánya vagy az emberi tévedés miatti hibás konfigurálás, beállítás ugyancsak jelentõs veszélyforrást jelent.

Központi felhasználó menedzsment

Nincs folyamatos mûködés

A központi felhasználó menedzsment rendszer folyamatos mûködése nem biztosított, például a következõk szerint: Egy új felhasználó belépéskor nem jól, késõn kapja meg a jogosultságait. Új alkalmazás rendszerbe illesztéskor a jogosultságok átvitele nem történik meg azonnal. Felhasználók munkaidõn túli, szabadság alatti rendszerhez való hozzáférését, használatát nem tiltják le olyan munkakörök esetén, ahol ez fontos lenne.

Nem megfelelõ jogosultság kezelés

A fejlesztõi jogosultságok nincsenek eltávolítva.

Nem megfelelõ a jogosultság kiosztás, nem érvényesül a szükséges tudás elve, hogy csak a feladat, munkakör ellátásához szükséges jogosultságokkal rendelkezzenek a felhasználók.

A felesleges és túl magas szintû jogosultságok miatt biztonsági rések keletkezhetnek.

Egy felhasználó szervezetbõl való kilépésekor nem azonnal szüntetik meg a jogosultságokat, ha egyáltalán megszüntetik õket.

Szoftver hibák

A használt szoftver hibái, hiányosságai nagy kockázatot jelenthetnek a rendszer biztonságára nézve, így nem valósulhat meg egy a definíciónak megfelelõ biztonságos, megbízható központi felhasználó menedzsment rendszer.

Konfigurálási hibák

A rendszergazdák nem oldják meg a rendszeres szoftverfrissítést, ennek hiánya miatt biztonsági rések keletkezhetnek a rendszeren.

A hozzáértés hiánya vagy az emberi tévedés miatti hibás konfigurálás, beállítás ugyancsak jelentõs veszélyforrást jelent.

A rendelkezésre álló statisztikák szerint is a logikai veszélyforrások a legmeghatározóbbak a biztonsági rések és sajnálatos módon a biztonsági események kialakulásában. Jól látható ez az arány a következõ ábrán, amely több biztonsági projekt folyamán összegyûjtött és kiértékelt veszélyforrások megoszlását mutatja:

Informatikai veszélyforrások megoszlása egy gyakorlati statisztika alapján

4. Létezõ rendszerek

Amennyiben létezik egy szervezetnél integrált jogosultságkezelõ és központi felhasználó menedzsment rendszer, akkor ez lehet:

megfelelõ;
megfelelõ, de nem jól alkalmazott;
nem megfelelõ.

A fentiek elég egyértelmû kategóriákat képeznek, de természetesen a megfelelõséget vizsgálni kell. Általános hiba, hogy nincs rendszeres idõközönkénti biztonsági audit, amivel ezt ellenõrzik. Ez azért is nagyon fontos tényezõ, mert egy adott pillanatban megfelelõ rendszer nem tekinthetõ biztonságosnak örökké, idõvel változhat a biztonsági állapota, és ha ezzel nem foglalkoznak, akkor a hamis biztonságtudat miatt komoly veszélyeknek teszik ki a rendszert.

5. Rendszer bevezetése

Egy központi jogosultság és felhasználó menedzsment rendszer bevezetését a következõ fõ pontok mentén célszerû elvégezni:

Fogadókészség megléte, követelmények meghatározása:

A szervezetnél, amely ki akar alakítani egy ilyen rendszert, meg kell lenni a megfelelõ fogadókészségnek, és meg kell határozni a kívánt rendszerek követelményeit, mivel csak ezek meghatározása után lehet elkezdeni egy ilyen projektet.

Megfelelõ partner kiválasztása:

Egy hozzáértõ, megfelelõ referenciákkal rendelkezõ partnert kell kiválasztani a feladat megvalósításához.

Feltételek biztosítása:

A rendszerkialakító, bevezetõ partner felé biztosítani kell minden a rendszer kialakításához szükséges információt, dokumentációt, konzultációk és együttmûködés formájában.

A rendszer megvalósítása:

A szerzõdésben meghatározott követelményeknek megfelelõen a központi jogosultság és felhasználó menedzsment rendszer bevezetése.

Tesztelés:

A bevezetett rendszer tesztelése, megfelelõségének ellenõrzése.

Átadás/átvétel:

A bevezetett rendszer átadása és átvétele, valamint ezek megfelelõ adminisztrációja, dokumentációja.

Oktatás:

A rendszer felhasználóinak és üzemeltetõinek képzése, hogy a rendszer indulásakor már biztonságosan és jól tudják használni az új rendszert. Már itt kiemelt szerepet kell szánni a biztonság iránti elkötelezettség megteremtésének, folyamatos fenntartásának, hogy az alkalmazottak érezzék ez a rendszer az õ és szervezet érdekeit szolgálja.

Éles üzem indítása:

A rendszer átadása és az oktatás megtörténte után kerülhet sor az éles üzemeltetés elindítására.

Üzemeltetés:

A rendszert üzemeltetni kell, vagy a szervezet saját maga végzi ezt, vagy a kialakító céggel köt üzemeltetési szerzõdést, de a nagyobb biztonság érdekében ezt célszerû házon belül végezni.

Folyamatos ellenõrzés:

A Létezõ rendszerek címû fejezetben már kitértem a folyamatos ellenõrzés fontosságára, itt csak újra megemlíteném, hogy az ellenõrzésre mindenképpen szükség van, és nem elég az egyszeri ellenõrzés, ennek folyamatosnak, rendszeresnek kell lennie.

6. Gyakorlati példák

Az elõadásomban kitérnék egy általános gyakorlati példára, melyben bemutatom, hogy tényleg és hogy miért szükséges a központi jogosultság és felhasználó menedzsment rendszerek alkalmazása.

7. Összefoglalás

Az elméleti áttekintés és a gyakorlati példák bemutatása után remélem sikerült rávilágítanom, hogy a központi jogosultság és felhasználó menedzsment rendszerek hiánya súlyos biztonsági problémákat okozhat, és nem elég, ha egyszer valaki bevezet vagy kiépít egy ilyen rendszert, mert az csak pillanatnyi megoldást jelent, hanem a megfelelõ biztonságú, megbízható és folyamatosan auditált rendszerek adnak jó megoldást az elõadásban vázolt problémákra.