1 / 48

OSNOVE BEZBEDNOSTI I ZAŠTITE IKTS

OSNOVE BEZBEDNOSTI I ZAŠTITE IKTS. TEMA 5 KONCEPTI ZAŠTITE IKTS. CILJ. RazumetI : koncept , prednosti i nedostatke reaktivne zaštite koncept , prednosti i nedostatke proaktivne zaštite koncept, namenu i značenje termina kontrola zaštite (k/z)

ely
Download Presentation

OSNOVE BEZBEDNOSTI I ZAŠTITE IKTS

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. OSNOVE BEZBEDNOSTI I ZAŠTITE IKTS TEMA 5 KONCEPTI ZAŠTITE IKTS UNIVERZITET SINGIDUNUM, FPI

  2. CILJ • RazumetI: • koncept, prednosti i nedostatke reaktivne zaštite • koncept, prednosti i nedostatke proaktivne zaštite • koncept, namenu i značenje termina kontrola zaštite (k/z) • strukturu upravljačkih, operativnih i tehničkih k/z • izbor kontrola zaštite za sistem osnovne zaštite • metod bezbednosne kategorizacije i klasifikacije IS UNIVERZITET SINGIDUNUM, FPI

  3. KLJUČNI TERMINI • Reaktivna zaštita • Proaktivna zaštita • Kontrola zaštite • Upravljačke kontrole zaštite (U) • Organizaciono-operativne kontrole zaštite (O) • Tehničke kontrole zaštite (T) UNIVERZITET SINGIDUNUM, FPI

  4. Funkcionalni model strategije reaktivne zaštite -zaštita od poznatih pretnji- 1 2 0 4 3 UNIVERZITET SINGIDUNUM, FPI

  5. Generički model reaktivnog sistema zaštite ? UNIVERZITET SINGIDUNUM, FPI

  6. Zaštitna funkcija reaktivnog sistema UNIVERZITET SINGIDUNUM, FPI

  7. Proktivni sistemi zaštite 1. Koristimehanizme proaktivne zaštite na više nivoa: • različitih brzina reakcije i preciznosti (adaptivne!) • veće ukupne efektivnosti/efikasnosti • za detekciju i adekvatni odgovor na poznate i nepoznate napade • smanjuje operativni rizik i troškove razvoja, rada i održavanja 2. Realizacija sa tri gradivna bloka: • ažurna baze znanja i podataka o napadima i ranjivostima (CIRT/CERT) • vodeće tehnologije proaktivne zaštite za: • detekciju napada, • proaktivnu zaštitu od poznatih i nepoznatih pretnji (virtual patch), • adekvatni odgovor na napad • pojednostavljen proces zaštite UNIVERZITET SINGIDUNUM, FPI

  8. Proktivni sistem zaštite-BAZA ZNANJA- • ISC CBK, NIST, ISF, ISS (10-12 komponenti zaštite): • upravljanje zaštitom, • arhitektura i modeli sistema zaštite, • kontrole pristupa, • zaštita razvoja aplikacija, • operativna, fizička, kriptografska i zaštita telekomunikacija • plan kontinuiteta poslovanja (upravljanje VD i incidentom), • akreditacija i sertifikacija sistema zaštite, • istraga zloupotreba IKTS (zakonski okvir, etičke norme)…. • katalozi kontrola dobre prakse zaštite (ISO/IEC 27002, NIST SP 53, 1,2,3, ISFv.4) UNIVERZITET SINGIDUNUM, FPI

  9. Proktivni sistem zaštite-Vodeće tehnologije - Primer: ISS tehnologija proaktivne zaštite • Centralnu jedinicuzaštite (Protection engine): • IDPS, Protection Engine, reaktivni modul • Komandnu jedinicu (Site Protector) • kontrolne komande, centralizovano upravljanje • Integrator sistema (Fusion System): • digitalnu obradu signala, prepoznavanje obrazaca napada, analizu uticaja DPP napada • Modul za ažuriranje (X-Press Updater): • automatski ažurira bazu podataka o napadima i ranjivostima UNIVERZITET SINGIDUNUM, FPI

  10. Proktivni sistem zaštite-Pojednostavljen proces zaštite- • Virtuelna zakrpa (Virtual Patch): • automatski sanira ranjivosti sistema • sanira ranjivosti pre generisanja i objavljivanja zakrpa na Internetu • u realnom vremenu štiti od poznatih i nepoznatihnapada • preventivno održava sistem zaštite • redefiniše koncept održavanje sistema zaštite: • zaštita je deo procesa upravljanja promenama IS • efektivnije/efikasnije planiranje resursa UNIVERZITET SINGIDUNUM, FPI

  11. Prozor proaktivne zaštie UNIVERZITET SINGIDUNUM, FPI

  12. Prošireni prozor proaktivne zaštie UNIVERZITET SINGIDUNUM, FPI

  13. TRENDRAZVOJA IKTS • Trend sledećih 5 g.a (Gartner, 2009): • virtuelizacija kijenta, • manja potrošnja energije, • praćenje resursa, • primena društvenih mreža (facebook i dr..) na radnom mestu, • unifikacija komunikacija , • jeftine aplikacije, • mrežno, distribuirano računarstvo • Potreba da se redefinišu koncepti sistema zaštite UNIVERZITET SINGIDUNUM, FPI

  14. Novi koncept zaštite • Predlog 7 glavnih principa zaštite (RCA London, 2009): • Sistem zaštite se mora ugraditi, a ne integrisati u IS (npr. CISCO e-mail security gateway) • Razvoj ekosistema zaštite brojnih org. za rešavanje opštih problema zaštite (npr. finansijske institucije) • Kreirati koherentni i transparentni sistem zaštite za korisnike (npr. e-plaćanja) • Obezbediti centralizovano upravljanje i korelaciju incidenata sistema zaštite • Sistem zaštite mora biti orijentisan na zaštitu spolja i iznutra • Sistem zaštite mora biti dinamičan i zasnovan na proceni rizika • Efektivni sistem zaštite treba da bude samoobučavajući (proaktivno prikupljanje informacija o špijunima, virusima, spamu itd.) UNIVERZITET SINGIDUNUM, FPI

  15. Koncept kontrola zaštite (k/z) - namena • Struktuiranje kataloga k/z: • dinamički, skalabilan skup k/z • osnovni elementi uputstava za korišćenje k/z • Obezbediti: • lakši izbor adekvatnih k/z u sistemu zaštite • konzistentan i ponovljiv pristup za izbor k/z • preporuke za osnovni sistem zaštite (baseline security) sa minimumom k/z • zaštitu objekata IS prema standardima za bezbednosnu kategorizaciju i klasifikaciju UNIVERZITET SINGIDUNUM -FPI

  16. Kontrola zaštite • Generička SE definicija funkcije kontrole: • dovodi izlazni podatak/signal na ulaz • zahteva primenu korektivnih mera (t/n-t) • krajnja klasifikacija mehan./protok. s/z • interfejs mehanizma/protokola i korisnika • neka funkcija arhitekture sistema zaštite: • tehničke (logička AC: log događaja) • operativne (procedura: restrikcija ulaza) • upravljačke (dokument: Politika zaštite) • osnov procesa akreditacije/sertifikacije s/z UNIVERZITET SINGIDUNUM -FPI

  17. Kontrola zaštite-1 • Kodirana zamena atributa : • Etičkog i kulturološkog okruženja: • svest o potrebi, odnos prema zaštiti - obezbeđuju etički okvir • Normativno-pravnog okruženja: • zakoni i standardi zaštite – obezbeđuju i obavezuju • Dokumenata zaštite: • program, plan, politika, procedure - obavezuju i nameću • Organizacione strukture: • praksa zaštite – kontroliše odgovornost i usaglašenost • Tehničkihsistema zaštite: • koje izvršavaju servise zaštite – nameću politiku zaštite UNIVERZITET SINGIDUNUM -FPI

  18. Karakteristike k/z • Osnovne karakteristike k/z zasnovane su na: • hw/sw mehanizmima zaštite (IAA, AC, kriptozaštita) • dokumentima zaštite (politika, sporazumi, .... 2. Kvalitet • robusnost:osnovna (o), srednja (s), visoka (v) • jačina bezbednosne funkcije • nivo zaštite (garantovana bezbednost) • fleksibilnost: • zarazličitepolitike zaštite i potrebe organizacije 3. Kompenzujuće k/z: za sve IS, grupu IS, tipične IS Primer: firewalls UNIVERZITET SINGIDUNUM -FPI

  19. Struktura i organizacija k/z • Katalog kontrola zaštite sadrži tri sekcije: • Bezbdnosni ciljevi: • osnovna, poboljšana, jaka zaštita, • Opis. • specifični zahtevi i detalji svake k/z za osnovnu, poboljšanu i jaku zaštitu • Mapiranja k/z: • da se izbegne nepotrebno dupliranje k/z UNIVERZITET SINGIDUNUM -FPI

  20. Dimenzije kontrole zaštite 1. Životni ciklus • dizajn • implementacija • upotreba/održavanje • odlaganje 2. Forma: • politike/procedure • procesi • tehnologija • 3. Namena za: • prevenciju • odvraćanje, • detekciju • redukciju, • oporavak, • korekciju, • monitoring, • razvoj svesti UNIVERZITET SINGIDUNUM -FPI

  21. Dimenzije kontrole zaštite 4. Kategorija događaja: • kontrola gubitaka • kontrola pretnji • kontrola ranjivosti 5. Karakteistike: • robusnost • fleksibilnost • 6. Relevantni parametri implementacije kontrola: • cena • benefiti • prioriteti UNIVERZITET SINGIDUNUM -FPI

  22. Organizacija k/z (NIST) 1. Klase k/z: • upravljačke kontrole (U) • organizaciono/operativne kontrole (O) • tehničke kontrole zaštite (T) 2. Familije k/z • gradivni blokovi klasa k/z 3. Kontrole zaštite - k/z • gradivni blokovi familija zaštite UNIVERZITET SINGIDUNUM -FPI

  23. Klasa upravljačkih kontrola zaštite Sadrži 5 familija (procesa zaštite): • Upravljanje programom/sistemom zaštite • Bezbednosna procena i autorizacija • Planiranje sistema zaštite • Procena rizika • Akvizicija sistema i servisa zaštite UNIVERZITET SINGIDUNUM -FPI

  24. Klasa operativnih kontrola zaštite Sadrži 9 familija: • Svest o potrebi zaštite i obuka o zaštiti • Upravljanje konfiguracijom (promenama) • Planiranje kontinuiteta poslovanja • Upravljanje kompjuterskim incidentom • Zaštita integriteta sistema i informacija • Održavanje sistema zaštite • Zaštita medija • Fizička i zaštita okruženja • Personalna zaštita UNIVERZITET SINGIDUNUM -FPI

  25. Klasa tehničkih kontrola zaštite Sadrže 4 familije kontrola: • Nadzor, revizija i odgovornosti • Kontrola pristupa (AC) • Identifikacija i autentifikacija • Zaštita sistema i komunikacija UNIVERZITET SINGIDUNUM -FPI

  26. KATALOG KONTROLA ZAŠTITE • Jedinstvena identifikacija k/z (ID) • Klase i familija: • skraćenica, npr. VD za vanredni događaj • alfa-numerički ID nivoa robusnosti k/z: • o - osnovna robusnost • p - poboljšana robusnost • j - jaka robusnost • Broj k/z: redosled bezbednosnog značaja u okviru familije - prioritet implementacije Primer: VD-4.o - 4. k/z u familiji Planiranje VD sa osnovnim nivoom robusnosti (o) UNIVERZITET SINGIDUNUM -FPI

  27. SISTEM OSNOVNIH KONTROLA ZAŠTITE (OKZ) 1. Procedura: odrediti odgovarajući set k/z za osnovnu zaštitu (Baseline Security) 2. Osnovne Kontrole Zaštite(OKZ) (u OS Win 2k i >): • minimum kontrola zaštite, sistemski principi zaštite • obezbeđuju minimum zaštite za odgovarajuću B/K (bezbednosnu kategorizaciju) 3. Potrebne i rentabilne k/z birati na bazi: • B/K/Kinformacione imovine (informacija, hw objekata IS i ljudi) • procesa analize rizika 3. Svaka modifikacija mora se dokumentovati 4. U katalogu k/z identifikovana su tri seta OKZ na: • N, S, V nivou zaštite definisanom u procesu B/K/K • lista OKZ daje se respektivno za svaku od tri seta OKZ UNIVERZITET SINGIDUNUM -FPI

  28. Nivoi robusnosti • K/z u svakoj od 3 seta OKZ: • kombinacija k/z od 3 nivoa robusnosti Primer: • za N uticaj pretnji (u/p) OKZ sadrži k/z sa o nivoom robusnosti • za S u/p OKZ – kombinaciju k/z sa o i p nivoima robusnosti • za V u/p OKZ - kombinaciju k/z sa o,p i j nivoima robusnosti UNIVERZITET SINGIDUNUM -FPI

  29. Relacija-NIVO ROBUSNOSTI : OKZ • Ne postoji direktna relacija • Odgovarajuće k/z biraju se za odgovarajuće nivoe OKZ • Primer: neka k/z samo je na raspolaganju kao opcija za dopunu seta k/z • Primer: skup OKZ za N uticaj faktora pretnji – ima ukupno (v. 2009.) 198 k/z • sa o nivoom robusnosti: 42 U, 78 O, 78 T k/z UNIVERZITET SINGIDUNUM -FPI

  30. Pridruživanje k/z specifičnim zahtevima za zaštitu (ZZ) • Pomoću odgovarajuće Matrice za Praćenje Zahteva – MPZ(eng. RTM-Requirements Traceability Matrix) • početi sa specifičnim i usaglašenim ZZ • svaki ZZ mapira se prema odgovarajućoj k/z unutar seta izabranih OKZ UNIVERZITET SINGIDUNUM -FPI

  31. Mapiranje ZZ prema k/z može biti • 1:1 (jedan prema jedan) – 1 ZZ rešava se sa 1 k/z • 1:N (jedan prema više) – 1 ZZ rešava se sa (više) N k/z • N:1 (više prema jedan) - više (grupa) ZZ rešava se sa 1 k/z • N:1 (više prema više) - više ZZ rešava se sa (više) N k/z UNIVERZITET SINGIDUNUM -FPI

  32. Primer dela MPZ UNIVERZITET SINGIDUNUM -FPI

  33. Revizija kontrola zaštite • Kontrole zaštite nisu statičke kategorije • Mogu se revidirati i dopunjavati na osnovu: • prakse zaštite i iskustva iz k/kriminala • promena u zahtevima zaštite u organizaciji • pojave novih tehnologija zaštite • neke se k/z eliminišu, a druge dodaju • dodavanje/brisanje/modifikacija k/z zahteva rigoroznu raspravu, reviziju i konsenzus UNIVERZITET SINGIDUNUM -FPI

  34. Proces selekcije kontrola zaštite Početak procesaformiranja s/z sa izborom k/z Poverenje u sistem zaštite i IS: • pažljivom selekcijom OKZ • implementacijom definisanog seta k/z Proces selekcije k/z za IS: • izbor inicijalnog seta OKZ • kreiranje OKZ prema ZZ (mapiranje) • (idealno) završen u toku rane faze ŽC razvoja IS • predmet procene rizika organizacije (UR, SOA) • dokumentovanje konačnog seta k/z u Planu zaštiteIS UNIVERZITET SINGIDUNUM -FPI

  35. Proces selekcije kontrola zaštite 1. korak: B/K/K OBJEKATA IKT SISTEMA 2. korak: IZBOR MINIMUMA ODGOVARAJUĆIH OKZ 3. korak: PRILAGOĐENJE OKZ REZULTATIMA ANALIZE I PROCENE RIZIKA UNIVERZITET SINGIDUNUM -FPI

  36. korak: B/K/K OBJEKATA IS Iz Plana zaštite uzeti: • granice akreditacije i dekompoziciju sistema • kritičnost/osetljivost objekata sistema (A) • izloženost sistema napadima spolja (Te) • izloženost sistema napadima iznutra (Ti) • u izboru OKZ prvi korak je uspostavljanje B/K/K • BK=(Up), (Ui), (Ur)= =(N ili S ili V)( N ili S ili V)(N ili S ili V)=V UNIVERZITET SINGIDUNUM -FPI

  37. 2. korak:IZBOR MINIMUMA ODGOVARAJUĆIH OKZ • izabrati (za N) minimum k/z iz obaveznog seta OKZ • izabrati dodatne minimalne k/z za S ili V procenuuticaja R • iz kataloga OKZ izabrati inicijalni set k/z na bazi najveće vrednosti BK: • najveći uticaj N-izaberu se OKZ za N uticaj pretnji • najveći uticaj S-izaberu se OKZ za N i S uticaj pretnji • najveći uticaj V-izaberu se OKZ za N,S i V uticaj pretnji • inicijalni set OKZ - baza k/z, uvećava se po potrebi UNIVERZITET SINGIDUNUM -FPI

  38. 3. korak: PRLAGOĐENJE OKZ REZULTATIMA PROCENE RIZIKA • Na bazi procene rizika prilagoditi izabrani set OKZ • Navesti povučene, zamenjene, modifikovane k/z • Dokumentovati sve k/z u planu zaštite • Planzaštite sadrži sve k/z planirane/instalirane: • dokumentovati konačne k/z selektovane/identifikovane • obrazloženja i glavnerazloge za konačan izbor k/z • objašnjenje zašto k/z ispunjavaju bezbednosne zahteve • osnova za sertifikaciju/akreditacije sistemu zaštite UNIVERZITET SINGIDUNUM -FPI

  39. ZAKLJUČAK • Proaktivna DPP zaštita je efikasnija i efektivnija • Uspešno zamenjuje preovlađujuće, skupe, i spore reaktivne sisteme zaštite • Proaktivna DPP zaštita poboljšava, ubrzava i obezbeđuje pojednostavljen, integralan sistem zaštite • Proaktivna DPP zaštita reducira resurse (osoblje i hw/sw) UNIVERZITET SINGIDUNUM, FPI

  40. ZAKLJUČAK-2 5. Kontrola zaštite jekrajnja klasifikacija mehanizama zaštite, tipično neka tehnička i/ili netehnička funkcija dizajna sistema. 6. K/Z poseduju dva osnovna atributa: robusnost(otpornost na napade) i adaptivnost (fleksibilnost,skalabilnost). Organizuju se u klase (upravljačke,operativne i tehničke)i familije, koje sadrže konkretne k/z

  41. Zaključak-3 7. KlasaU k/zzaštite sadrži 5 familija k/z za: upravljanje s/z i rizikom, akviziciju IS, analizu k/z i C&A. 8. Klasa O k/zsadrži 9 familija k/z za: personalnu, fizičku i zaštitu okruženja, planiranje VD, upravljanje promenama, održavanje hw/sw, integritet IS i informacija, zaštitu medija, upravljanje kompjuterskim incidentom, razvoj svesti o potrebi zaštite i obuku.

  42. Zaključak-4 9. Klasu T k/z, mehanizmi i protokoli zaštite, obuhvata hw/sw kontrole u 4 familije: IA, logičku AC, kontrolisanu odgovornost i zaštitu sistema i komunikacija. 10. Sistem kontrola osnovne zaštite (OKZ) je minimalnih skup k/z za osnovni nivo zaštite. Potrebne i rentabilne k/z određuju se i biraju na bazi B/K/K objekata IKT sistema i procesa analize rizika. Svaka modifikacija osnovnih kontrola mora se dokumentovati u Planu zaštite. 11. Sistem osnovnih kontrola zaštite za N uticaj pretnji sadrži ukupno 198 kontrola zaštite sa niskim (n) nivoom robusnosti: 42 upravljačkih, 78 operativnih i 79 tehničkih kontrola zaštite.

  43. Pitanja za ponavljanje 1. Sa metodološkog aspekta, razvoj reaktivnog sistema zaštite najbolje se može predstaviti procesom upravljanja rizikom. (Tačno ili netačno). 2. Navedite ključne faze opšteg funkcionalnog modela koncepta reaktivne zaštite. 3. Koncept proaktivne zaštite presudno određuje (zaokružite tačne odgovore): • a. veća rentabilnost vremena i troškova od postojećih reaktivnih sistema • b. reagovanje na dinamički promenljive, kombinovane pretnje • c. manja finansijska sredstva za oporavak sistema • d. proaktivna detekcija i zaštita od poznatih i nepoznatih napada • e. velika ušteda u vremenu, analizi i upravljanju rizikom i sistemom zaštite. 4. Navedite ključne module koncepta proaktivne zaštite. UNIVERZITET SINGIDUNUM, FPI

  44. Pitanja za ponavljanje 5. U sistemu proaktivne zaštite Virtual Patch obezbeđuje (Zaokružite tačne odgovore): • proaktivnu zaštitu od nepoznatih napada • obezbeđuje rezervno vreme, omogućavajući organizaciji da bezbedno čeka dok se ne pojavi dovoljno ažurna bezbednosna popravka (update) • zahteva individualno krpljenje i manuelno rebutiranje sistema • obezbeđuje preventivno održavanje sistema zaštite • redefiniše održavanje sistema bezbednosti u deo normalnog procesa upravljanja promenama IKT sistema • ne omogućava mnogo efektivnije i efikasnije planiranje resursa • obezbeđuje sporiji vremenski odziv na poznate i nepoznate pretnje. UNIVERZITET SINGIDUNUM, FPI

  45. Pitanja za ponavljanje 6. Sistem proaktivne DPP zaštite ima sledeće osnovne prednosti u odnosu na reaktivni sistem zaštite (Zaokružite tačne odgovore): • veća brzina reagovanja na napad • sporija reakcija na nepoznati napad • manja tačnost detekcije napada • veća tačnost detekcije napada • veća pouzdanost (manji broj lažnih alarma) • veći nivo zaštite za ista finansijska ulaganja UNIVERZITET SINGIDUNUM, FPI

  46. Pitanja za ponavljanja 7. Navedite osnovne efekte kontrola zaštite na osnovu kojih se procenjuje pokrivanje pretnji u izabranom osnovnom sistemu zaštite. 8. . Kontrolazaštite je između ostalog (Zaokružite tačna saopštenja): • krajnja klasifikacija mehanizama zaštite • implicira da mehanizam zaštite ima punu vrednost samo ako se može kontrolisati • tipično neka funkcija dizajna tehničkog mehanizma zaštite sa kibernetičkom, kontrolnom povratnom spregom

  47. Pitanja za ponavljanja • tipično funkcija normativnog okvira, organizaciono-operativne prakse i tehničkih mehanizama zaštite • poseduju osnovne atribute: robusnosti(otpornost na napade) i adaptivnosti (fleksibilnost i skalabilnost) • statičke su i ne menjaju se u zavisnosti od promena u sistemu upravljanja, operativnim uslovima rada sistema i tehnologijama zaštite. • prema cilju namenei robusnosti dele se na: osnovna, poboljšana ili jaka • organizuju se hijerarhijski u familije kontrola 9. Definišite opšti metod bezbednosne kategorizacije tipa informacija. 10. Navedite tri glavne faze (koraka) u procesu izbora skupa kontrola osnovnog sistema zaštite.

  48. Pitanja za ponavljanja 6. Povežite klase sa odgovarajućim familijama kontrola zaštite.

More Related