14. PODSTAWOWE POJĘCIA ZWIĄZANE Z BEZPIECZEŃSTWEM SYSTEMÓW I SIECI KOMPUTEROWYCH

1. 14. PODSTAWOWE POJĘCIA ZWIĄZANE Z BEZPIECZEŃSTWEM SYSTEMÓW I SIECI KOMPUTEROWYCH Pojęcia bezpieczeństwa danych, bezpieczeństwa systemów komputerowych i bezpieczeństwa sieci komputerowych są ze sobą ściśle związane. Zasadniczym celem jest zapewnienie bezpieczeństwa danych. Systemy komputerowe powinny być bezpieczne, gdyż zawierają w sobie zapisane dane (służą do ich zapamiętywania, udostępniania i modyfikacji). Sieci komputerowe powinny być bezpieczne, gdyż zawierają w sobie systemy komputerowe (umożliwiają zdalny dostęp do ich zasobów). Fizyczna struktura (sprzęt) systemów i sieci komputerowych również posiada pewną wartość i oczywiście też powinna być chroniona, ale na ogół wartość ta jest niewspółmiernie niska w stosunku do wartości przechowywanej informacji.

2. Według B. Chapman’a zagrożenia danych dzielimy na następujące kategorie:  zagrożenia poufności danych;  zagrożenia dostępności danych;  zagrożenia spójności (integralności) danych. Przez zagrożenie poufności danych rozumiemy możliwość zapoznania się z danymi (zapisanymi w pamięci operacyjnej lub pamięci zewnętrznej komputera) przez osoby, które nie zostały uprawnione do tego (bezpośrednio lub pośrednio) przez właściciela danych. Przez zagrożenie dostępności danych rozumiemy utrudnienie bądź uniemożliwienie dostępu do danych (w sensie ich odczytu, modyfikacji lub usunięcia) właścicielowi danych oraz osobom przez niego upoważnionym. Przez zagrożenie spójności danych rozumiemy możliwość zmiany zapisanych danych (w szczególności ich usunięcia) przez osoby, które nie zostały uprawnione do tego (bezpośrednio lub pośrednio) przez właściciela danych.

3. Przez bezpieczeństwo danych rozumiemy brak występowania któregokolwiek z wyżej wymienionych zagrożeń. Przez bezpieczeństwo systemów (sieci) komputerowych rozumiemy brak zagrożeń prawidłowego spełniania swoich funkcji przez te systemy (sieci), a tym samym brak zagrożeń przechowywanych w nich danych. Pod przedstawionymi wyżej, bardzo ogólnymi, formalno-prawnymi określeniami zagrożeń kryje się w praktyce bardzo dużo różnorodnych możliwości – od przypadkowego spojrzenia na ekran, przez świadomy podsłuch lub podgląd, usunięcie plików na dysku, nielegalne skopiowanie programu, odczytywanie cudzej korespondencji elektronicznej, zmianę zawartości cudzej strony domowej, aż do fałszerstwa danych finansowych (czyli kradzieży pieniędzy), zawładnięcia cudzym systemem operacyjnym w celu przeprowadzenia przy jego użyciu ataku na inny system, czy programowego uszkodzenia sprzętu komputerowego. Według szacunkowych danych, w skali całego świata suma rocznych strat wskutek przestępczości elektronicznej jest rzędu miliardów dolarów (i ma tendencję wzrostową).

4. Stopień zagrożenia systemu komputerowego jest ściśle związany z jego możliwościami komunikowania się z otoczeniem. 1) Komputer indywidualny nie podłączony do sieci (obecnie to już jest bardzo rzadki przypadek) na ogół jest używany przez jedną osobę, lub co najwyżej przez kilka osób, z których zwykle jedna pełni rolę nadzorcy (administratora). Stopień zagrożenia jest bardzo mały, gdyż można przyjąć, że użytkownicy znają się wzajemnie, i że możliwe są co najwyżej nieumyślne uszkodzenia. 2) Komputer podłączony do sieci lokalnej nie mającej połączenia z siecią zewnętrzną (to również jest dość rzadki przypadek) zagrożony jest w niedużym stopniu, gdyż zbiór użytkowników sieci lokalnej jest ograniczony i w całości znany administratorowi tej sieci (bo zakładał im wszystkim konta). Zagrożenia związane są głównie z brakiem umiejętności i staranności użytkowników, a nie z ich złą wolą (złośliwi użytkownicy na ogół są szybko wykrywani przez administratora sieci). Sytuacja jest najtrudniejsza w przypadku: a) dużych i szybko wymieniających się grup użytkowników (na przykład na uczelniach); b) udostępniania w ramach sieci lokalnej łączności bezprzewodowej.

5. 3) Komputer podłączony do sieci komunikującej się z siecią zewnętrzną (Internetem) jest narażony przez cały czas na ataki o bardzo rozmaitym charakterze, co jest związane z bardzo dużą liczbą i anonimowością użytkowników Internetu oraz brakiem scentralizowanego zarządzania jego zasobami. Komputer może stać się celem ataku nie tylko z powodu czyjejś ukierunkowanej wrogości, ale również w przypadku przeprowadzania przy jego użyciu ataku pośredniego na inny komputer. Uwaga Wbrew temu, co mogłyby sugerować punkty 2) i 3), statystyki podają, że ataki wewnętrzne (mające źródło w atakowanej sieci lokalnej) stanowią większą część wszystkich ataków (ponad 60 %). Są one (i ich sprawcy) zazwyczaj łatwiejsze do wykrycia, niż ataki zewnętrzne (spoza sieci lokalnej), ale również są w stanie spowodować wiele szkód. Typowym przypadkiem jest przeprowadzanie ich przez pracowników, którzy z jakiegoś powodu czują się niesprawiedliwie potraktowani (na przykład zwalniani z pracy bez wyraźnego powodu) i którym przestało już zależeć na opinii współpracowników.

6. W przypadku komputerów podłączonych do sieci zagrożenia można podzielić na dwa rodzaje w zależności od miejsca ich występowania: 1) związane z przepływem informacji przez sieć od nadawcy do odbiorcy; 2) związane z uzyskaniem zdalnego dostępu do komputera przez osoby niepowołane. Przykłady zagrożeń pierwszego rodzaju: – możliwość podsłuchu informacji w celu późniejszego wykorzystania; – możliwość wysyłania fałszywych informacji w cudzym imieniu; – możliwość zajmowania przepustowości łącza (na różnych poziomach stosu protokołów komunikacyjnych).

7. Skuteczną metodą zapobiegania podsłuchowi jest szyfrowanie przesyłanej informacji. Duże znaczenie ma oczywiście jakość stosowanego szyfrowania – słabe szyfry mogą być złamane „metodami siłowymi” przy użyciu sprzętu o dużej mocy obliczeniowej. Warto wspomnieć, że prawodawstwo niektórych krajów zabrania stosowania zbyt mocnych szyfrów – powinny one być na tyle mocne, aby uniemożliwić podsłuch przestępcom, ale nie na tyle mocne, żeby nie mogły być złamane (w razie potrzeby) przez policję i służby specjalne. Wysyłanie fałszywych informacji w cudzym imieniu jest istotnym problemem społeczno-prawnym nie tylko w dziedzinie sieci komputerowych (można wysłać papierowy list podpisany cudzym imieniem i nazwiskiem lub zamówić przez telefon dostawę towaru pod cudzy adres). Problem w dużej mierze związany jest z łatwowiernością ludzką i brakiem przywiązywania należytej wagi do potrzeby uwierzytelnienia. W dziedzinie sieci komputerowych nadużycia tego rodzaju mogą występować we wszystkich warstwach stosu protokołów komunikacyjnych – od wysyłania ramek z cudzym adresem fizycznym (MAC) do wysyłania poczty elektronicznej ze sfałszowanym adresem nadawcy.

8. Zajmowanie przepustowości kanału komunikacyjnego również należy do trudnych problemów. Jeżeli udaje się znaleźć źródło niepożądanych jednostek informacji (ramek, pakietów, e-maili), należy próbować interwencji u administratora sieci, z której pochodzą (może to być problemem, jeśli jest ona umieszczona w jakimś egzotycznym kraju). W większości przypadków jednak owe jednostki informacji mają sfałszowane adresy nadawców (atakującemu nie zależy na otrzymaniu odpowiedzi na nie). Zdecydowanie najtrudniejsza jest obrona przed atakiem rozproszonym (prowadzonym przy użyciu wielu opanowanych wcześniej przez przestępców systemów komputerowych). Jeżeli chodzi o punkt 2) (uzyskanie zdalnego dostępu do komputera), możliwość wyrządzenia szkody związana jest z utworzeniem procesu (lub zmodyfikowaniem istniejącego procesu) w atakowanym komputerze tak, aby wykonywał on program dostarczony przez atakującego (lub odpowiednio uruchomiony istniejący w nim program, na przykład polecenie systemowe z odpowiednimi argumentami). Najbardziej pożądane przez atakujących jest posiadanie procesu wykonywanego jako uprzywilejowanego (z prawami administratora systemu).

9. Warto zauważyć, że dla atakującego nie posiadającego konta na danym komputerze zazwyczaj dużo trudniej jest tam w ogóle dostać się (w charakterze dowolnego użytkownika), niż przejść później do praw administratora (wynika to z tego, że systemy operacyjne na ogół są dużo gorzej chronione przed swoimi zarejestrowanymi użytkownikami, niż przed atakami z zewnątrz). Przykładowe sposoby dokonania włamania do systemu operacyjnego: – podpatrzenie, podsłuchanie lub odgadnięcie hasła jednego z zarejestrowanych użytkowników; – przysłanie „konia trojańskiego” w poczcie elektronicznej; – wykorzystanie błędów w funkcjonującym oprogramowaniu komunikacyjnym (najczęściej sprowadza się to do przepełnienia jakiegoś bufora w pamięci); – wykorzystanie ukrytych „tylnych drzwi” umieszczonych w sprzedawanym lub udostępnianym za darmo oprogramowaniu przez jego wytwórcę.

10. 2. DOKUMENTY I AKTY PRAWNE DOTYCZĄCE BEZPIECZEŃSTWA SYSTEMÓW I SIECI KOMPUTEROWYCH W 1983 r. z inicjatywy Agencji Bezpieczeństwa Narodowego Departamentu Obrony USA oraz Narodowego Biura Standaryzacji powstał dokument o nazwie Trusted Computer System Evaluation Criteria (TCSEC), znany powszechnie jako Orange Book (Pomarańczowa Księga) od koloru jego okładki. Był on pierwszym powszechnie znanym i uznawanym dokumentem określającym kryteria oceny bezpieczeństwa systemów komputerowych. Wyróżniał następujące klasy bezpieczeństwa: D - ochrona minimalna (Minimal Protection) C1 - ochrona uznaniowa (Discretionary Protection) C2 - ochrona z kontrolą dostępu (Controlled Access Protection) B1 - ochrona z etykietowaniem (Labeled Security Protection) B2 - ochrona strukturalna (Structured Protection) B3 - ochrona przez podział (Security Domains) A1 - konstrukcja zweryfikowana (Verified Design)

11. Po kilku latach Pomarańczowa Księga została zaktualizowana, a następnie zastąpiona przez dokument o nazwie Common Criteria (Wspólne Kryteria), który został zaakceptowany jako standard międzynarodowy (norma ISO/IEC o numerze 15408). Dokument ten określa procedury pozwalające zdefiniować rodzaje zagrożeń dla danego systemu oraz sposoby zabezpieczeń przed nimi, jak również tryb sprawdzenia faktycznego działania zabezpieczeń w danym systemie. Wynikiem przeprowadzenia sprawdzenia zabezpieczeń przez akredytowaną firmę jest wydanie odpowiedniego certyfikatu – w zależności od stopnia szczegółowości (Evaluation Assurance Level) wyróżnione są stopnie od EAL1 do EAL7. W Europie prace nad standaryzacją zabezpieczeń informacji były prowadzone przez British Standardization Institute (BSI), który w 1995 r. wydał Brytyjską Normę nr 7799 („BS 7799, Information technology – Code of practice for information security management”). W 2000 r. ISO przy współudziale organizacji IEC (International Electrotechnical Commitee) wydała na jej podstawie normę ISO/IEC 17799:2000, która w kolejnych latach była kilkukrotnie aktualizowana . W Polsce normy ISO/IEC są adaptowane i wydawane w języku polskim (dostęp do nich jest płatny) przez Polski Komitet Normalizacyjny. Mają one oznaczenia PN - ISO/IEC – numer : rok .

12. Bezpieczeństwa informacji w systemach komputerowych dotyczą również niektóre dokumenty RFC wydawane przez organizację IETF (Internet Engineering Task Force), w szczególności RFC 2196 (B. Fraser, Site Security Handbook). Dokument ten przedstawia metodykę projektowania systemu zabezpieczeń na podstawie analizy ryzyka (inwestycja w zabezpieczenia nie powinna przekraczać średniej oczekiwanej straty w przypadku ich braku): – identyfikacja zasobów informatycznych (i ich wartości) podlegających ochronie; – ustalenie możliwych zagrożeń i oszacowanie ich prawdopodobieństwa; – wdrożenie systemu zabezpieczeń w sposób efektywny kosztowo; – monitorowanie działania i ewentualne korekty w sytuacji pojawienia się zagrożeń. Zarówno zaprojektowanie, jak i okresowy audyt systemu zabezpieczeń firma może wykonywać sama, lub zlecić wyspecjalizowanej (i zaufanej) firmie zewnętrznej.

13. Podstawowe akty prawne obowiązujące w Polsce i dotyczące informacji zapisanej w formie elektronicznej to: – Rozporządzenie MSWiA w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, Dz. U. z dn. 3 czerwca 1998 r. – Rozporządzenie Prezesa Rady Ministrów w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformatycznych, Dz. U. z dn. 5 marca 1999 r. – Ustawa o ochronie danych osobowych, Dz. U. z dn. 29 sierpnia 1997 r. – Ustawa o ochronie informacji niejawnych, Dz. U. z dn. 8 lutego 1999 r. – Ustawa o świadczeniu usług drogą elektroniczną, Dz. U. z dn. 18 lipca 2002 r. oraz Dyrektywy Parlamentu Europejskiego z lat od 1995 r. do chwili obecnej.

14. Naruszenie bezpieczeństwa danych jest przestępstwem. Odnoszą się do tego artykuły rozdziału XXXIII Kodeksu Karnego (Przestępstwa przeciwko ochronie informacji), w szczególności zaś artykuły 267, 268 i 269. Ściganie sprawców następuje na wniosek pokrzywdzonego. Przewidziane kary – do 8 lat pozbawienia wolności.