Iratkezelő rendszerek biztonsági megoldásai

1. Groma István SDA Stúdió Kft. Iratkezelő rendszerek biztonsági megoldásai Poszeidon adat- és információvédelem

2. Dokumentumkezelés története • Dokumentumkezelés előtörténete • Kr. e. 1792 – 1750 körülHammurápiTörvényoszlopa • XIII. századLeuvenikódex (ÓmagyarMária-síralom) • 1400 körül Johannes Gutenberg (könyvnyomtatás) • 1920-as évektől Enigma (náci Németország által használt titkosítóberendezés) • Napjaink dokumentumkezelése • Elektronikus dokumentumok • Elektronikusan keletkező kinyomtatott dokumentumok • Bizalmas dokumentumok (államtitok, tervrajzok, szerződések, találmányok, egyéb) Poszeidon – www.poszeidon.org.hu

3. Előíró jellegű dokumentumok • IRATKEZELÉS KÖVETELMÉNYEI: 335/2005. (XII. 29.) Korm. rendelet • IRATKEZELŐ SZOFTVER KÖVETELMÉNYEI: 24/2006. (IV. 29.) BM–IHM–NKÖM együttes rendelet • IRATTÁRI TERV: 29/2009. (X. 30.) ÖM rendelet • LEVÉLTÁRI TEVÉKENYSÉG KÖVETELMÉNYEI: 10/2002. (IV. 13.) NKÖM rendelet • Egyéb külső előíró jellegű dokumentumok: • SzervezetiFeljegyzésekvédelme: MSZ ISO/IEC 27001:2006 15.1.3. • Dokumentumokkezelése: MSZ EN ISO 9001:2009 4.2.3 Poszeidon – www.poszeidon.org.hu

4. Poszeidon rendszer biztonsági megoldások • Kommunikációs csatornák biztosítása • Jogosultság, szerepkör, jelszó • Beléptetési metódusok • Konfigurációs állományok védelme • Felhasználói műveletek naplózása • Lehetséges támadások elleni védekezés Poszeidon – www.poszeidon.org.hu

5. A Poszeidon rendszer3 rétegű architektúrája Poszeidon – www.poszeidon.org.hu

6. A Poszeidon rendszer kommunikációs csatornái • Az adatbázis és az alkalmazás szerverek között • Az alkalmazás szerver és a Windows kliens között • A Poszeidon dedikált kapcsolatot tart fenn az adatbázissal • Oracle 10gR2 adatbázis szerver • Oracle kliens, Listener, TNSnames • 1521-es port használata (TCP) • Oracle TCPS protokoll használata • SQL Server 2005 • MS SQL NativeClient • 1433-as port használata (UDP) • MSSQL encrypted Poszeidon – www.poszeidon.org.hu

7. Alkalmazás szerver és natív kliens közötti kommunikáció • Poszeidon integrált titkosításának jellemzői: • Változó kulcshosszúság titkosítás • Gyorsaság, nem befolyásolja jelentősen a kommunikáció sebességét • Megbízhatóság, a kulcs ismerete nélkül nem lehet visszafejteni • Tömörség, nem növeli az információ méretét jelentősen Poszeidon – www.poszeidon.org.hu

8. További lehetőségek • IP tartomány megadása a konfigurációs állomány segítségével • Tűzfalas IP szűrés • VPN csatorna használata Poszeidon – www.poszeidon.org.hu

9. Jogosultság, szerepkör, jelszó • Szerepkörök kialakítása • Funkciók korlátozása • Oszlopszintű olvasási/írás jog • Felhasználóknak megfelelő szerepkör beállítása • Használjon erős jelszavakat • Kis és nagybetű keverése • Speciális karakterek használata Poszeidon – www.poszeidon.org.hu

10. Jelszavak tárolása • Adatbázisban hash érték tárolásával történik • Egyirányú titkosítás, nem lehet visszafejteni • A hash értékek meg vannak „sózva” így a szótáras módszerrel sem törhető! Poszeidon – www.poszeidon.org.hu

11. Jelszó szabályok • A Poszeidon rendszerben is használható jelszószabály • Bonyolultság • Elévülés (lejárat) • Utoljára használt n darab jelszó tiltása • Utolsó n napon használt jelszó tiltása Egy felhasználóhoz tartozhat több ellentmondásos jelszószabály is ami megakadályozza a jelszóváltoztatást, erre az adminisztrátoroknak kell figyelni!!! Poszeidon – www.poszeidon.org.hu

12. Poszeidon rendszerbeléptetési metódusai • Hagyományos felhasználónév/jelszó • Windows alapú azonosítás • LDAP rendszerben történő authentikálás • Biometrikus azonosítás Poszeidon – www.poszeidon.org.hu

13. Poszeidon belső naplózása • Sikeres/sikertelen belépések naplózása • Felhasználói és rendszerhibák nyomkövetése • Adatmódosítások tárolása • Létrehozás, Módosítás, Törlés • ki, mikor, miről, mire Poszeidon – www.poszeidon.org.hu

14. Lehetséges támadások a Poszeidon rendszerrel szemben • Felhasználói jelszavak szótáras és bruteforce támadása • SQL injektálás nem lehetséges • Ami ellen nincs védekezés • Jelszó átadása 3. félnek • Otthagyott kliens program • Egyéb támadások (keylogger) Poszeidon – www.poszeidon.org.hu

15. Adatbázisok és adatfájlok védelme • Felhasználói jogosultságok korlátozása • Külső rendszer hozzáférése • Rendszeres mentés az adatokról • Megfelelő mentési és helyreállítási terv készítése • Az adatbázisszerverhez való hozzáférést korlátozzuk • Profilok, erőforráskorlátok meghatározása • Mentési fájlok biztonságos helyen történő tárolása • Exportált adatok titkosítása • Monitoring lekérdezések beüzemelése Poszeidon – www.poszeidon.org.hu

16. Rendszeres mentés az adatokról • Készítsünk rendszeresen mentéseket az adatbázisunkról • A kritikus fájlokat tároljuk redundánsan (control fájlok, online naplók) • A mentéseket tároljuk a szervertől eltérő helyen • Készítsünk mentési tervet • A mentés helyességét teszteljük • Forgatókönyvek készítése vész- illetve katasztrófahelyzetekre • Készítsünk inkrementális mentéseket • Oracle esetén használjuk az adatbázist ARCHIVELOG módban, hogy adatveszteség nélkül tudjunk helyreállni Poszeidon – www.poszeidon.org.hu

17. Köszönöm megtisztelő figyelmüket!