Sikkerhedskampagne for mindre virksomheder

1. Århus5. April 2006 Sikkerhedskampagne for mindre virksomheder Rico Raja Jyskpc.dk AS rr@jyskpc.dk Community: http://www.windows-admin.com

2. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

3. Baggrunden for dette initiativ • Fokus for mindre virksomheder er [stadig] deres forretning, ikke IT • Kompleksitet versus omkostninger • Stigende tillid til teknologien • Stigende tillid til leverandører af teknologien • Vi må aldrig glemme de basale krav • Backup og reetablering er stadig øverst på listen over IT relaterede fokusområder for mindre virksomheder • 43% af mindre virksomheder¹ • … og sikring af data • 30% af mindre virksomheder¹ • Ekspertise i virksomheden er begrænset • IT outsources til Jer! • Daglige drift skal være enkel

4. Baggrunden for dette initiativ Funktionalitet Virksomhed ? Forretningsløsning • Rydde vejen for en mere interessant diskussion af formålet med virksomhedens IT • Nu og på længere sigt • Få taget tyren ved hornene mht. sikkerhed • Få samtidig afdækket hvor virksomheden kan få øget værdi hurtigt ? ? Samarbejde Produktivitet ? Mobilitet E-handel ? Relationelt lager/datastyring ? Integreret administration ? Integreret udviklingsmiljø ? Terminal Services ? Applikations Services ? Kommunikations Services ? Web Services ? Fil- og Print Services ? Netværksadgangsservices ? Sikkerheds Services ? OS ?

5. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

6. Hvor starter diskussionen?Dér hvor udfordringerne er, er dér I gerne vil være • Mistede data • Utilstrækkelig sikkerhed • De funktionelle udfordringer • Flere udgaver af samme dokument • Adgang til informationer når man er ude af huset • Finde hinandens informationer • Køb af den samme hardware • Ingen – eller utilstrækkelig – web tilstedeværelse

7. Ved at starte med det grundlæggende... Generisk funktionalitet Kunden ? Forretningsløsning • Hvad vil de med deres serverinfrastruktur? • Nu • På længere sigt • Hvilke leverandører overvejer de? • Microsoft • Linux • Novell, Oracle mfl. • Hvordan vil/kan du levere løsningen? • Microsoft har mange partnere • Microsoft har leveret superstærke løsningsguides • Du kan basere din løsning på disse • Til gratis download • Skamrost af IT professionelle ? ? Samarbejde Produktivitet ? Mobilitet E-handel ? Relationelt lager/datastyring ? Integreret administration ? Integreret udviklingsmiljø ? Programmerings ramme ? Applikations Services ? Media Services ? Web Services ? Fil- og Print Services ? Netværksadgangsservices ? Sikkerheds/Directory Services ? OS ?

8. Forretningsløsning Samarbejde Produktivitet Mobilitet E-handel Relationelt lager/datastyring Integreret administration Integreret udviklingsmiljø .NET Framework IIS ASP.NET Programmerings ramme MSMQ Transaction Service Applikations Services Windows Media Services Media Services Web Services Distributed File Service STS Fil- og Print Services VPN RAS PKI Smart Card Netværksadgangsservices Active Directory WMI Kerberos Sikkerheds/Directory Services OS ...vil kunden selv fuldføre ligningen! Kunden Microsoft platform ? ? ? Exchange, SPTS Office System ? ? Exchange 2003 CS2000 ? SQL Server ? SMS 2000, MOM ? Visual Studio.NET ? ? ? ? ? Alt-i-én pakke Samme stærke fundamet Bygget til mindre virksomheder Meget for pengene ? ? ?

9. Small Business Server 2003 funktionaliteter Integreret installation og konfiguration Fax Server og en lang række funktioner specielt til den mindre virksomhed Administration for hhv. kunde og leverandør Windows Server 2003 Active Directory; brugerdatabase der kontrollerer brugerrettigheder på netværket Automatisk installation og konfiguration af PC’ere på netværket Automatisk overvågning af serverens tilstand Indbygget backup og restore Indbygget applikations- og web server Sharepoint Services; Intranet løsning tilpasset til mindre virksomheder og lettilgængeligt intranet Sikker opkobling af hjemmearbejdsplads med indbygget VPN Server Sikkert trådløst netværk Indbygget firewall Exchange Server 2003 Medfølgende Outlook 2003 klient Adgang til e-mail via mobiltelefon (afh. af telefon) Udbygningsmuligheder med antivirus og spam Small Business Server 2003 Premium Edition Som ovenstående men med SQL Server 2000 Internet Security and Acceleration Server 2000 NøglefunktionaliteterHvad indeholder Small Business Server 2003

10. En klassisk salgsproces • Identificér salgsmuligheder • Kvalificere kunde • Synliggøre/forstærke behov • Håndtere indvendinger Identificere muligheder Kvalificere kunde Forstærke behov Imødekomme indvendinger

11. Migrering af den gamle baseHvorfor? Den kører jo meget godt Ford Taunus 15M. 1970 Ford Mondeo 2,0. 2004 145 HK, Topfart 215 Km/t Benzin Blyfri Oktan 95 3 punkts rulleseler + både for og bag 2 kreds bremser, ABS Bremse assistent Antiudskridningssystem (ESP) Laminerede ruder Airbags, både puder og gardiner Sikkerheds-ratstamme Forstærkninger i døre Deformerbare sikkerheds zoner Nakkestøtter 82 HK, Topfart 150 Km/t Benzin Blyholdig Oktan 98 3 punkts faste seler på forsæde 2 kreds bremser Lamineret forrude

12. Salg af sikkerhed handler om at reducere angrebsoverfladen • Som tema i sig selv burde det være en primær motivator for migrering • Secure by design, by default, by deployment • Sikker web afvikling • Flere ’airbags’ til administrator • Services der kører med lavere rettigheder • Services slukket per default Mindre angrebsoverflade

13. Når kunden har sagt ja • Rørlægning er på plads • Leverance af den ønskede løsning • Næste mulige skridt • Database (C5 native -> SQL) • Forretningsapplikationer • Firewall • Øget sikkerhed • Website • SQL Server 2000 • ISA Server 2004

14. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

15. Sundhedstjek; hvad dækkes • Password • Antivirus • Backup • UPS • Firewall • Fysisk sikring • Trådløst • Operativsystem • Server • Klient

16. Sundhedscheck - rapport

17. Sundhedscheck - anbefalinger • Hvor er der identificeret graverende forhold? • Hvad bør udbedres? • Hvad er en anslået pris? • Gode estimater i bagagen er selvsagt altid en fordel

18. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

19. Behovsanalyse • Mail • Central backup • Kalender • Fælles adressekartotek (medarbejdere, kunder, forretningsforbindelser mm.) • Adgang fra forskellige steder • Fjernopkobling • Applikationer der anvender central database • Intranet

20. Spørgsmål/svar mht. behovsanalyse • I mange tilfælde vil du have en erfaring og viden om tilgangen til mødet • På områder hvor du ikke har spidskompetence har vi lavet en vejledning

21. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

22. Det handler om at sikre kundens systemer • Baseline assessment • Bruger uddannelse • Opdatering • Teknologier (for udbedring af lokaliserede sårbarheder)

23. God dybdegående guide: Microsoft Solutions Guide for Securing Windows 2003 Eksempel på en tilgang for at foretage et sundhedstjek • Vurdering • Vurdere og værdifastsættelse af aktiver • Identificere og prioritere risici • Risiko måling; design af politikker • Udvikling og implementering • Teknikker til udbedring af risiko • Fangst af viden om sikkerhed og sårbarhed • Drift • Re-vurdering af aktiver og sikkerheds risiko • Stabilisér og udrulning af nye eller ændrede modtræk

24. Eksempel på en tilgang for at foretage et sundhedstjek – 2 Prioritering af kundens aktiver (Skala 1 til 10) 1. Server leverer grundlæggende funktionalitet, men har ingen finansiel effekt på forretningen 3. Server har vigtig information, men data kan hurtigt og nemt reetableres 5. Server indeholder vigtige data, der vil tage noget tid at reetablere (2-5 timer) 8. Server indeholder information der er væsentlig I relation til virksomhedens forretningsmål. Tabet af udstyr/service vil have stor effekt for alle brugere 10.Server har en central betydning for virksomhedens forretning. Tabet af udstyr og data vil have direkte effekt på virksomhedens evne til at agere på markedet.

25. Eksempel på en tilgang for at foretage et sundhedstjek – 3 • Damage • Reproducibility • Exploitability • Affected Users • Discoverability Sårbarhed = (Prioritet af aktiv*trusselsrangering)

26. En ramme for at tilgå sikkerhed • Defense in Depth anvender en lagdelt tilgang • Du kan bruge modellen som et redskab til at afdække risici i dybden for din kunde • Sammenhold det med din viden om tilgængelige redskaber i det pågældende lag Politikker, procedurer og årvågenhed Fysisk sikkerhed ACL, kryptering Data Applikation Hardening af applikation, antivirus Hardening af OS, patch management, authentication, HIDS Host Interne netværk Netværkssegmenter, IPSec, NIDS Firewalls, VPN karantæne Perimeter netværk Vagter, låse, tracking enheder Bruger uddannelse

27. Baseline Security Analyzer MSSecure.xml indeholder • Navn på bulletin og ID nr. • Versions-specifik information om opdateringer • Version og checksum info • Baseline Security Analyzer køres fra admin PC med angivet mål MicrosoftDownload Center • MBSA henter opdateret MSSecure.xml MSSecure.xml • Scanning af angivne mål mht. OS, OS komponenter og applikationer foretages • Rapportering til admin PC, der samler information • Krydstjek mod MSSecure.xml for at se om påkrævede opdateringer mangler MBSAComputer • Genererer rapport på manglende opdateringer

28. Agenda • Baggrunden for dette initiativ • Salg af Small Business Server 2003 • Hvad ligger bag det anbefalede to timers sundhedstjek? • Hvad er gode emner i relation til en behovsanalyse? • Andre redskaber du kan anvende i relation til et sundhedstjek af virksomhedens IT miljø

29. Links og yderligere information • Generelt • Danske sikkerhedssite: www.microsoft.dk/sikkerhed • Windows XP og Windows Server • Step-by-Step Guide to Securing Windows XP Professional in Small and Medium Businesses http://go.microsoft.com/fwlink/?linkid=19453 • Windows XP Security Guide, http://go.microsoft.com/fwlink/?LinkId=14839 • Windows Server 2003 Security Guide http://go.microsoft.com/fwlink/?LinkId=14845 • Threats and Countermeasures: Security Settings in Windows Server 2003 and Windows XP http://go.microsoft.com/fwlink/?LinkId=15159 • Netværk • Sikring af perimeter netværk med firewalls; Microsoft Systems Architecture Perimeter Firewall Service Design for the CDC Scenario http://www.microsoft.com/resources/documentation/msa/2/all/solution/en-us/msa20ik/vmhtm57.mspx • Sikre trådløse netværk med EAP og certifikater Securing Wireless LANs: A Windows Server 2003 Certificate Services Solution, at http://go.microsoft.com/fwlink/?LinkId=14843