Megbízható számítástechnika

1. Megbízható számítástechnika Kollár László szolgáltatási üzletágvezető Microsoft Magyarország IDC IT Biztonsági KonferenciaBudapest 2003. Február 13.

2. Napirend • A Microsoft (és az egész iparág) előtt álló probléma: biztonsággal kapcsolatos kételyek • A Microsoft válasza ezen problémára • Rövid távon • Hosszú távon • Mit tehet a Vevő? • Összefoglaló • Statisztikai adatok és információforrások

4. A probléma Fast-Spreading Worm Exploits Microsoft IIS Flaw Confusing MS security bulletin aided IIS worm ‘Code Red’ virus infects Web - White House target of worm that attacked about 225,000 Web servers IT bugs out over IIS security: Microsoft's platform flaws have users mulling switch to rival Web servers

5. 120 100 80 12 12 Solaris 60 40 20 Microsoft(OS) 5 EnGarde WindowsXP Windows 2000 SuSE Sun(OS) Mandrake 8.x Trustix 1.5 RedHat 7.2 Debian 0 0 2 4 6 8 10 12 Source: Company web sites A biztonság az egész iparág problémája, nem csak a Microsofté CERT Advisory-kop. rendszerenként - 2002 Security Advisory számok 2002 Redhat(OS)

6. Trustworthy Computing Security Push Strategic TechnologyProtection Program SecureWindowsInitiative Megbízható számítástechnikaHogyan érdemeljük ki ügyfeleink bizalmát?

7. Nimda TWC Security Push Windows 2000 Secure Windows Initiative Secure Technology Protection Program Esemény A kódbázis biztonsá-gossá tétele A bevezetés biztonságá-nak fokozása Biztonság központú kultúra megteremtése Cél OS biztonsági funkciók A funkciók önma-gukban nem elegen-dőek Code Red Kötelező feladat minden fejlesztőnek Skálázható megközelítés a folyamatos fejlődéshez Eszközökre van szükség Tanulság 2000 Február Ma

8. Windows Security Push • Átmeneti stop minden termékfejlesztési munkára • Kötelező biztonsági training • A teljes Windows Division (több, mint 8500 fejlesztő) számára • A Windows kódbázis minden sorának • Ellenőrzése lehetséges biztonsági problémák szempontjából • A hibák felelőshöz rendelése • A kijavított hibák aláírása felelős vezető által • Kritikus javítások az alábbi rendszerekben • Windows NT 4.0 • Windows 2000 • Windows XP SP1 • Windows .NET Server 2003

9. „SD3 + Communications” • Biztonságos architektúra • Veszély modellezés • A bizt. rések kiküszöbölése a kódban Secure by Design • A támadási felület csökkentése • A nem használt funkciók kikapcsolva • A minimálisan kellő jogosultság Secure by Default • Kezdeti védelem, a támadás érzékelése, beavatkozás, helyreállítás, folyamatkoordináció • Architektúra tervezési segédletek + training Secure in Deployment • Elkötelezettség a biztonság iránt • Részvétel a biztonsági szervezetekben • Microsoft Security Response Center Communications A biztonság elérésének elemei

10. Kezdetivédelem • Megfelelő konfiguráció • Pl:  Patch-ek, ACL-ek, Port tiltások, Protocol szűrők A táma-dás érzé-kelése • Monitoring: behatolási kísérletek, szokatlan viselkedés • Pl: többszöri sikertelen belépés, jogosulatlan hozzáférési próbálkozások • Az elfogott behatolók elleni intézkedések • Pl: Portok lezárása, rosszalkodó felhasználó IP címének és vagy felhasználói fiókjának tiltása Beavat-kozás • A rendszerek/adatok támadás előtti állapotba hozatala • Pl.: System restore Helyreállítás • Biztonsági policy a kezdeti védelem, érzékelés, beavatkozás, helyreállítás elemekre • Pl.: Wireless + VPN hozzáférési policy, engedélyezésen alapuló hozzáférés kontroll Koordináció A biztonság fenntartása

11. Mérhető eredményekAhogy az ügyfelek átélik • Divine Managed Systems • 1,200 szerverre 99.3% pontossággal • Divine 99.95% rendelkezésre állást tartott fenn a Code Red támadás alatt http://www.microsoft.com/smserver/evaluation/casestudies/20/divine.asp Patch telepítés Szem előtt levő web site elleni támadás • MSNBC.COM Téli Olimpia • 30M lapletöltés • Közel 5Mfelhasználó naponta • 35,000 konkurrens felhasználó • 8 direkt hacker támadást hárított el az Olimipa 17 napja alatt http://www.microsoft.com/resources/casestudies/casestudy.asp?casestudyid=13422

12. Mérhető eredmények - megbízhatóság Windows 2000 • $162 M USD & 500 emberév csak a megbízhatóság növelésére • Mért uptime: 99.964% (Aberdeen) • Az iparág vezető erőivel való partnerség a magas rendelkezésreállás elérésére Windows Server 2003 • A megbízhatóság a legfontosabb szempont volt már a tervezéskor • Windows megbízhatóságának növelése • Megbízhatósági értékelő eszközök (Baseline Security Analyser, Healthnetcheck, IIS Lockdown) • Termék továbbfejlesztések • A fejlesztési processz átalakítása (Threat modelling) • OEM gyártókkal és ISV_kel való partneri kapcsolat • Ügyfelek „best practice”-einek publikálása • Windows Update • Mérföldkő a szoftveriparban a sokmilliós nagyságrendű SOHO installált bázis szinten tartására • Office XP • Alkalmazás és dokumentum helyreállítás “In addition to significant improvements in reliability, Windows Server 2003 provides several new features designed to minimize the impact that server maintenance and unexpected failures have on users . . . we plan on going from 200 Windows-based servers down to approximately 160, resulting in significantly lower hardware, licensing, and administrative costs.” Thomas Link Manager of European IT Projects GE Capital Information Technology Solutions Europe

13. Direkt kapcsolat a felhasználókkal 450 cég fér hozzá a hiba adatbázishoz (ER DB) A kiértékelt ERDB-t felhasználjuk a javításokhoz: A Windows XP-SP1 a problémák 33%-t, az Office XP-SP1 az összeomlások 38%-t kezelte Összeomlások 400 200 600 Hibák Online hibabejelentésA visszajelzések felhasználása a szoftverfejlesztések során • A hibák 1%-a = az összeomlások 50%-a • Ezen 1 % 75%-a hibás eszközmeghajtó szoftver miatt

14. Mi a helyzet a korábbi termékekkel? • Windows NT 4.0: „Fix backporting” – a későbbi verziókban talált biztonsági rések ellenőrzése és javítása • Windows 9x • A Win9x biztonsági rendszerét 1992-ben tervezték • A futtató (és a támadáshoz használt) gépkapacitás azóta több tízszeresére nőtt

15. Bill Gates memo,a fejlesztési stop Windows XP SP1, Windows Server 2003,WebServiceszabványok Hosszú menetelés . . . Reakció Kulcsszempont a megbízha-tóság a kód írásakor Kulcsszempont a megbízható ság az architekúra tervezésekor Longhorn,(A Windows desktop következő kiadása) Megbízható számítástechnika (TWC) Jövőképünk Idő

16. A Microsoft által javasolt eszközök„Secure in deployment” • IIS Lockdown Wizard + URLscan • Microsoft Baseline Security Analyzer • Windows Update • Software UpdateService • SMS + Feature Pack • ISA + Feature Pack

17. Mit tehet a Vevő? • Az Üzemeltetés dedikált szakembere legyen rajta az MS Security Bulletin DL-enhttp://www.microsoft.com/technet/security/bulletin/notify.asp • Az MBSA (Microsoft Baseline Security Analyser)http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/Tools/MBSAhome.asp • Ismerje az MS Security Response elemeit (pl. no patch in e-mail) http://www.microsoft.com/technet/security/policy/policy.asp?frame=true • Használja az automatizált patch disztribuciós eszközöket (pl. Windows Update, Windows Update Catalog, Spftware Update Services, SMS)http://v4.windowsupdate.microsoft.com/hu/default.asp • Ismerje és telepítse a Service Pack-eket. (pl. az SQL Slammer hotfixe fél éve ismert volt…)

18. Adatbiztonsággal kapcsolatos adatforrások • http://www.securitytracker.com/learn/securitytracker-stats-2002.pdf • http://www.securityfocus.com/vulns/stats.shtml • http://csrc.nist.gov/2001news.html • http://www.cert.org/present/cert-overview-trends/module-4.pdf • http://www.securityfocus.com/corporate/products/vdb • http://razor.bindview.com/ • http://cve.mitre.org/cve/downloads/ • http://unc.dl.sourceforge.net/sourceforge/owasp/OWASPWebApplicationSecurityTopTen-Version1.pdf

19. Writing Secure Code http://www.microsoft.com/MSPress/books/AboutTheBook Security Operations for Windows 2000 Server http://shop.microsoft.com/Referral/productInfo.asp?siteID=128 Windows és Office Update http://windowsupdate.microsoft.com http://officeupdate.microsoft.com ISA http://www.microsoft.com/isaserver http://www.isaserver.org http://www.icsalabs.com/html/communities/firewalls/certification/rxvendors/index.shtml Baseline Security Analyzer http://www.microsoft.com/technet/security/tools/Tools/MBSAhome.asp Software Update Services http://www.microsoft.com/windows2000/windowsupdate/sus/ IIS Lockdown Tool http://www.microsoft.com/technet/security/tools/tools/locktool.asp URLscan http://www.microsoft.com/technet/security/tools/tools/urlscan.asp MS adatbiztonsági információk

21. Nyitottportok Nyitott RPC végpontok Nyitottnamed pipe-ok Szolgáltatások Alapban futó szolgáltatások Rendszerjogosultságokkal futó szolgáltatások Aktív ISAPI szűrők Dinamikus weblapok Végrehajtható virtuális könyvtárak Aktív fiókok Adminisztrátori jogosultságú fiókok Anonim módon elérhetőmegosztások Guestfiók engedélyezése Túlzottan megengedő jogosultságok A file-rendszerben A registry-ben A megosztásokon A támadási felület számszerűsítésefenyegetettség Ismertproblémák Támadásimódokmeghatározása Súlyozófaktorok Σ RASQ

22. A számok http://msdn.microsoft.com/library/en-us/dncode/html/secure02132003.asp