Sigurnost raunalnih mrea

PRIRUNIK ZA NASTAVU IZ PREDMETA: SIGURNOST RAUNALNIH MREA

Strana 1

Sigurnost raunalnih mrea

Sadraj
Uvod 1. Opi pojmovi sistema zatite
to predstavlja zatitu podataka?............................................................................6 Zatita fizikog okruenja Operativne mjere zatite Upravljanje i politika Osnovni ciljevi sistema za zatitu podataka............................................................8 Kako funkcioniraju zatitni procesu?......................................................................8 Antivirusni programi Implementacija kontrole pristupa Kako funkcionira identifikacija? Kako funkcioniraju mreni servisi i protokoli? Topologija mree....................................................................................................13 Definiranje zahtjeva po pitanju dizajna Kreiranje zatitnih zona Rad s novim tehnologijama Poslovna politika u svijetlu sistema zatite Kontrolna pitanja.....................................................................................................19 Odgovori..................................................................................................................22

2. Procjena rizika
Procjena strategije napada.........................................................................................24 Oblici napada radi neovlatenog pristupa Napadi radi izmjene podataka i napadi poricanja Napadi radi guenja servisa i distribuirano guenje servisa Kako prepoznati uobiajene napade?.......................................................................26 Napad tipa back door Napad sa lanim predstavljanjem (spoofing napad) Napad tipa man-in-the-middle Replay napad Napadi sa pogaanjem lozinke TCP/IP protokol i problemi zatite..........................................................................29 Rad s TCP/IP grupom protokola Enkapsulacija Rad s protokolima i servisima Otkrivanje TCP/IP napada Kako funkcioniraju napadi na aplikacije i servise vieg nivoa (software exploitation)?.................................................................................38 Kako preivjeti zlonamjerni kod?............................................................................39 Virusi Trojanski konji Logike bombe Crvi Antivirusni programi Strana 2

Sigurnost raunalnih mrea Kako funkcionira napad zasnovan na ljudskom kontaktu?.....................................45 Uvod u nadzor procesa i datoteka...........................................................................45 Kontrolna pitanja.....................................................................................................46 Odgovori.................................................................................................................49

3. Infrastruktura i povezivanje
to predstavlja zatita infrastukture..........................................................................51 Rad sa hardverskim komponentama Rad sa softverskim komponentama Kako funkcioniraju ureaji koji saimaju mrenu infrastukturu?.............................52 Mrene barijere ( Vatrozid ) vorita Ruteri Prespojnici Beine pristupne toke Modemi Servisi daljinskog pristupa Telekom/PBX sistemi Virtualne privatne mree Praenje prometa na mrei i dijagnostika..................................................................58 Monitori mrenog prometa Zatita radnih stanica i servera...................................................................................59 Kako funkcioniraju mobilni ureaji?.........................................................................60 Kako funkcionira udaljeni pristup?............................................................................60 Rad sa Serial Line Internet protokolom Rad sa Point-to-Point protokolom Protokoli za tuneliranje Beini protokol serije 802.1x RADIUS TACACS/+ Zatita internet veza...................................................................................................63 Rad sa portovima i utinicama Kako funkcionira elektronika pota Rad sa Webom Rad sa File Transfer Protocolom Kako funkcioniraju SNMP i ostali TCP/IP protokoli?................................................68 Osnovni pojmovi o kabliranju, kablovima i vezi.........................................................68 Koaksijalni kabl Neoklopljene i oklopljene upredene parice Optiki kablovi Prijenos u infracrvenom spektru Radio frekvencije Mikrovalni sistemi Upotreba izmjenjivih medija........................................................................................70 Magnetna traka CD-R Hard diskovi Diskete Fle kartice Smart kartice Strana 3

Sigurnost raunalnih mrea Kontrolna pitanja.......................................................................................................72 Odgovori....................................................................................................................75

4. Praenje prometa na mrei

Praenje rada mree..................................................................................................77 Kako prepoznati razliite vrste mrenog prometa TCP/IP Praenje rada mrenih sistema Kako funkcioniraju sistemi za detekciju upada?.......................................................80 Rad sa IDS sistemom zasnovanim na mrei Rad sa IDS sistemom zasnovanim na hostu Primjena lanih mamaca Reagiranje na incidente Rad sa beinim sistemima........................................................................................87 Wireless Transport Layer Security.............................................................................87 IEEE 802.11x beini protokol WEP/WAP Ranjiva mjesta beinih sistema koja morate poznavati Kako funkcioniraju instant poruke?...........................................................................89 Osjetljivost IM sistema Kontrola privatnosti Rad sa 8.3 standardom za nazive datoteka.................................................................90 Kako funkcionira prislukivanje paketa?................................................................91 Kako funkcionira elektroniko izvianje?..................................................................92 Uzimanje otisaka prstiju Skeniranje Kontrolna pitanja.........................................................................................................93 Odgovori......................................................................................................................96

5. Implementacija i odravanje zatiene mree

Prijetnje koje ugroavaju mreu..................................................................................98 Propisivanje mjera zatite............................................................................................98 Ojaanje OS-a i NOS-a................................................................................................99 Konfiguriranje mrenih protokola Microsoft Windows 9x Ojaanje Microsoft Windows NT 4 Ojaanje Microsoft Windows 2000 Ojaanje Microsoft Windows XP Ojaanje Windows 2003 Servera Ojaanje Unix/Linux sistema Ojaanje Novell NetWare operativnog sistema Ojaanje Apple Macintosh sistema Ojaanje datotenih sistema Auriranje operativnih sistema Poboljanje zatite hard diskova..................................................................................105 Auriranje mrenih ureaj Konfiguracija rutera i mrenih barijera Poboljanje zatite aplikacija.......................................................................................107 Poboljanje zatite web servera Strana 4

Sigurnost raunalnih mrea Poboljanje zatite na e-mail serveru Poboljanje zatite FTP servera Poboljanje zatite DNS servera Poboljanje zatite NNTP servera Poboljanje zatite datotekih servera i servera tiska i njihovih servisa Poboljanje zatite DHCP servera Rad sa skladitima podataka Kontrolna pitanja.........................................................................................................112 Odgovori......................................................................................................................115

6. Zatita mree i radnog okruenja

Fizike mjere zatite i sigurnost mree.......................................................................117 Kontrola pristupa Kako funkcioniraju socijalni napadi Procjena ireg okruenja to su planovi za hitne sluajeve?...............................................................................124 Procjena kljunih sistema u organizaciji Procjena rizika Definiranje politike, standarda i uputa.........................................................................126 Definiranje politike Definiranje standarda Definiranje uputa Standardi u oblasti zatite i ISO 17799........................................................................128 Odreivanje stupnja tajnosti podataka..........................................................................130 Podaci javnog karaktera Privatni podaci Uloge u sistemu zatite Kontrola pristupa podacima Kontrolna pitanja...........................................................................................................134 Odgovori........................................................................................................................137

7. Literatura

Strana 5

Sigurnost raunalnih mrea

1. Opi pojmovi sistema zatite

Zatita podataka vae raunalne mree sadri tri osnovne oblasti, koje se odnose na razliite dijelove zatite raunalnih sustava. Efikasni plan zatite sadrava procjenu rizika i odgovarajuu strategiju i metode za svaku pojedinanu oblast. U ovom odjeljku emo govoriti o sljedee tri oblasti: o fizikim mjerama zatite o operativnim mjerama zatite o upravljanju i politici Svaka od navedenih oblasti ima izuzetnu vanost u uspostavljanju efikasnog sistema zatite u organizaciji. Kada je rije o zatiti raunalnih sustava, organizacija i njeno poslovanje se moraju promatrati kao cjelina, uz evidentiranje svih problema. Na slici 1.1 prikazan je meusobni odnos navedenih komponenata sistema zatite raunala, koje zajedno osiguravaju relativno zatieno okruenje.

Slika 1.1 Trojka koja osigurava zatitu Posao administratora sustava zatite jest i da daje prijedloge organima upravljanja o potrebama i nedostacima, da poduzima mjere za smanjenje rizika i izloenosti podataka i sistema, i da uspostavlja, unapreuje i odrava sigurnost sistema sa kojim radi.

Zatita fizikog okruenja

Fizika zatita podrazumijeva spreavanje da neovlatene osobe pristupe opremi i podacima. Fizike mjere tite one elemente koji se mogu vidjeti, dodirnuti ili ukrasti. Oni mogu otuiti dokumenta, otetiti ih ili iznijeti iz ureda, iz koa za otpatke ili iz kase. "Nosioci" ovakvih prijetnji mogu biti serviseri, domari, klijenti, dobavljai, pa ak i zaposlenici. Prva mjera fizike zatite podrazumijeva smanjenje privlanosti fizike lokacije kao cilja eventualnog napada. Zakljuavanje vrata i instaliranje opreme za nadzor ili alarmnih sistema e fiziku lokaciju uiniti manje primamljivom za napad. Druga mjera fizikog sistema zatite podrazumijeva detekciju napada ili kradljivca. Korisnik mora znati gdje je dolo do provale, to nedostaje i kako je dolo do gubitka. Veina organizacija redovno snima na traku kljuna mjesta u svom prostoru radi detektiranja krae i njihovih poinilaca. Trea mjera fizikog sistema zatite obuhvaa oporavak organizacije nakon krae ili gubitka kljunih podataka i sistema, kako bi organizacija mogla dalje normalno nastaviti obavljanje posla. Oporavak zahtjeva detaljno planiranje, razmiljanje i testiranje. Strana 6

Sigurnost raunalnih mrea

Operativne mjere zatite

Operativne mjere zatite odnose se na nain obavljanja poslovnih funkcija u organizaciji. One obuhvaaju i raunala, mree i komunikacijske sisteme, ali i rad sa dokumentima. Operativne mjere pokrivaju iroku oblast, tako da predstavljaju osnovno polje angairanja profesionalnog osoblja na poslovima zatite. Operativne mjere zatite ukljuuju kontrolu pristupa, identifikaciju i topologiju zatite nakon instaliranja raunalne mree, ime su obuhvaeni dnevno funkcioniranje mree, njeno povezivanje sa ostalim mreama, nain kreiranja rezervnih kopija (backup) i planovi oporavka nakon tekih oteenja. Ukoliko primijenite sveobuhvatne mjere za ogranienje roka trajanja lozinki, korisnici e morati da mijenjaju lozinke svakih 30 do 60 dana. Na slici 1.2 prikazana su razliita pitanja koja treba razmotriti kada je rije o operativnim mjerama zatite.

Slika 1.2 Osnovni sadraji operativnih mjera zatite

Upravljanje i politika
Upravljanje i politika ( management and policies) osiguravaju osnovne upute, pravila i procedure za implementaciju zatienog okruenja. Definirana politika mora imati punu podrku organa upravljanja da bi bila efikasna. Profesionalci u oblasti zatite predlau mjere koje e biti ugraene u politiku, ali im je za punu implementaciju tih mjera potrebna pomo organa upravljanja. Zatita mree zahtjeva definiranje brojnih pravila. U sljedeoj listi navode se neke od najirih oblasti koje treba obuhvatiti planiranjem: o o o o o o o administrativna politika zahtjevi u pogledu dizajna softvera planovi oporavka sistema nakon teih padova u oblasti podataka politika zatite pravila upotrebe pravila koja definiraju upravljanje korisnicima

Administrativna politika daje smjernice i definira ciljeve u oblasti nadgradnje raunalnih sistema, nadzora, izrade rezervnih kopija i praenja utroka raunalnih resursa (audit). Sistem administratori i osoblje zadueno za odravanje koriste tako definirana pravila u svom svakodnevnom radu. Zahtjevi u pogledu dizajna softvera definiraju se mogunosti raunalnih sistema. Pomou preciznih zahtjeva u vezi sa dizajnom naruilac moe traiti da dobavlja detaljno objasni predloeno rjeenje.

Strana 7

Sigurnost raunalnih mrea Planovi oporavka sistema nakon teih padova (disaster recovery plans - DRP) donose najveu "glavobolju" IT profesionalcima. Njihov razvoj je skup, kao i njihovo testiranje, ali moraju biti stalno aurni. Velike organizacije ulau mnogo u DRP. Politika u oblasti podataka obrauje razliite aspekte zatite podataka, ukljuujui probleme pristupa, odreivanja tajnosti, zavoenja i skladitenja, prijenosa i unitenja povjerljivih podataka. Politika zatite definira konfiguraciju sistema i mrea, ukljuujui i instalaciju softvera i hardvera i povezivanje mrea. Ona definira i nain identifikacije korisnika, kontrolu pristupa, nadzor nad upotrebom raunalnih resursa (audit) i povezivanje mree sa ostalim entitetima. U njoj se obrauju i nain kriptiranja podataka i primjena antivirusnih programa. Pravila upotrebe definiraju pravila upotrebe podataka i drugih resursa. Njihovi kreatori moraju objasniti kreatorima namjenu i nain upotrebe svih resursa neke organizacije. Neophodno je da se u pravilima jasno definiraju upotrebe Interneta i elektronike pote. Pravila koja definiraju upravljanje korisnicima odreuju se aktivnosti koje su uobiajene u angamanu nekog zaposlenika. U njima se predviaju nain ukljuenja novog zaposlenika na mreu, njegova obuka, usmjeravanje i instalacija opreme za novog korisnika i njena konfiguracija.

Osnovni ciljevi sistema zatite podataka

Ciljevi sistema za zatitu podataka su jasni i precizni. Oni predstavljaju okvir za planiranje kompletnog sistema zatite i za njegovo odravanje. Prevencija podrazumijeva spreavanje nastanka prekraja u vezi sa raunalima ili podacima. Pojave naruavanja sistema zatite se nazivaju i incidenti. Incidenti se mogu javiti zbog naruavanja propisanih procedura zatite. Jednostavni incidenti se javljaju u obliku gubitka lozinke ili ostavljanja ukljuenog terminala preko noi sa ukljuenim korisnikom. Detekcija podrazumijeva identifikaciju dogaaja nakon njihovog nastanka. Ona je esto oteana, napad na neki sistem moe biti poduzet znatno prije nego to se pokae uspjenim. Detekcija incidenta podrazumijeva utvrivanje dijela opreme koja je izloena napadu. Proces detekcije zahtjeva primjenu sloenih alata dok je ponekad dovoljno pregled sistemskih datoteka-dnevnika (log datoteka). Odgovor podrazumijeva razvoj strategija i tehnika radi neutraliziranja napada i gubitaka. Ukoliko incident predstavlja samo sondau terena, napada vjerojatno eli da prikupi podatke o mrei i raunalnim sistemima.

Kako funkcioniraju zatitni procesi?

Sistem zatite se moe promatrati kao kombinacija procesa, procedura i politike. Pored ljudskog, zatita podataka obuhvaa i tehniki faktor. Pitanja sa ljudskim faktorom razraena su u politici zatite koja su usvojena u organizaciji. Tehnika komponenta obuhvaa alatke koje su instalirane na raunalnim sistemima na kojima rade korisnici. Antivirusni programi

Strana 8

Sigurnost raunalnih mrea Raunalni virusi, odnosno aplikacije kojima se realiziraju zlonamjerne aktivnosti, predstavljaju jedan od najzamornijih trendova dananjice. Virusi ispoljavaju svoje djelovanje na korisnike podatke ili na operativne sisteme, ali su, u principu, kreirani radi nanoenja tete, i to bez znanja korisnika. Proizvodnja i prodaja softvera za zatitu od virusa je danas prerasla u itavu industriju. Antivirusni programi pretrauju raunalnu memoriju, datoteke na disku i dolaznu i odlaznu elektroniku potu. Redovitim auriranjem datoteka-definicija virusa osigurava se relativno visok stupanj zatite raunalnih sistema. Implementacija kontrole pristupa Uspostavljanje kontrole pristupa predstavlja kljuni dio itavog sistema zatite. Kontrola pristupa definira meusobnu komunikaciju korisnika i raunalnih sistema. Ona ograniava i kontrolira pristup sistemskim resursima, ukljuujui i podatke, ime se spreava neovlaten pristup podacima. Mandatory Access Control (MAC) , obavezna kontrola pristupa predstavlja statiki model koji koristi unaprijed definirani skup prava pristupa ka datotekama u nekom raunalnom sistemu. Parametre definira sistem administrator, nakon ega ih dodjeljuje nalozima, datotekama ili resursima. MAC model moe biti veoma restriktivan, prava definira administrator i to je jedina osoba koja ih izmjenjuje. MAC model koristi labele za definiranje osjetljivosti, koje se dodjeljuju raznim objektima. Discretionary Access Control (DAC), proizvoljna kontrola pristupa predstavlja model prava pristupa koji definira vlasnik podataka-resursa. Za razliku od MAC modela, u ovom modelu labele nisu obvezne. DAC model omoguava dijeljenje datoteka izmeu korisnika, odnosno rad sa datotekama koje je neka druga osoba proglasila djeljivim. Model uspostavlja listu kontrole pristupa (ACL-Access Control List), u kojoj su navedeni svi korisnici kojima je dozvoljen pristup do podataka. Role-Based Access Control (RBAC),kontrola pristupa na osnovu uloga, predstavlja model koji definira ulogu koju korisnik ima u organizaciji. Korisnicima se dodjeljuju odreene uloge na nivou itavog sistema, na osnovu kojih oni obavljaju odreene funkcije ili dunosti. RBAC model uobiajen je za razne uloge administratora na mrei. Npr. Backup operator ima samo ona prava koja su predviena upravo za tu ulogu. Kako funkcionira identifikacija? Procesom identifikacije utvruje se da li je neka osoba, zaista ona osoba za koju se predstavlja. Ona je kljuni dio sistema zatite. U sutini, to je dio procesa koji se naziva Identification and Authentication (I&A). Sistemi ili metodi identifikacije zasnovani su na sljedeim faktorima: o na neemu to korisnik zna, kao to su lozinka ili PIN o na neemu to korisnik posjeduje ,poput smart kartice ili nekog identifikacijskog ureaja o na neemu to fiziki odreuje korisnika, kao to su otisak prsta ili izgled retine oka Korisniko ime i lozinka jednoznano identificiraju korisnika tijekom prijave na sistem (logon). Veina operativnih sistema koristi korisniki ID i lozinku za proces identifikacije. ID

Strana 9

Sigurnost raunalnih mrea i lozinka se preko mree mogu slati u otvorenom ili ifriranom obliku. Na slici 1.3 prikazan je proces prijave na sistem uz slanje zaporke.

Slika 1.3 Proces prijave na sistem preko radne stanice Password Authentcation Protokol (PAP) ne nudi punu sigurnost ali je jedan od najjednostavnijih metoda identifikacije. Korisniko ime i lozinka se u obliku otvorenog teksta alju na server gdje se vri njihova provjera. U sluaju da ime i lozinka odgovaraju podacima na serveru korisniku se odobrava pristup, u suprotnom, pristup je zabranjen. Challenge Handshake Authentication Protocol (CHAP) koristi provjeru sistema da bi ustanovio identitet korisnika. On ne koristi mehanizam korisniki ID/lozinka. Korisnik alje zahtjev za prijavu sa klijentskog stroja prema serveru, server alje blok za provjeru (challenge) ka klijentu. Klijentski stroj ifrira dobiveni blok i vraa ga do servera. Server provjerava dobivenu vrijednost i u sluaju da je ispravna potvruje identifikaciju. Na slici 1.4 ilustrirana je CHAP procedura.

Slika 1.4 CHAP identifikacija

Strana 10

Sigurnost raunalnih mrea Certifikati se izdaju u obliku fizikih ureaja, poput smart kartica, ili u elektronikom obliku, u kome se upotrebljavaju kao dio procesa identifikacije. Izdavanje i upravljanje certifikatima je definirano dokumentom iji je naziv Certificate Practice Statement (CPS). Na slici 1.5 prikazano je kako server izdaje certifikat klijentu nakon identifikacije.

Slika 1.5 Izdavanje certifikata nakon ispravne identifikacije korisnika Sigurnosni tokeni su po funkciji slini certifikatima. Sistem za identifikaciju kreira token prilikom svakog prijavljivanja korisnika ili na poetku sesije. Nakon zavretka sesije token se unitava. Na slici 1.6 prikazan je proces upotrebe sigurnosnog tokena.

Slika 1.6 Identifikacija pomou sigurnosnog tokena Kerberos je protokol namijenjen identifikaciji korisnika. Kerberos identifikacija koristi usluge KDC-a (Key Distribution Center) koji regulira cijeli proces. KDC vri identifikaciju inicijatora procesa i dodjeljuje mu kartu. Izdana karta se moe iskoristiti za identifikaciju prilikom pristupa drugim objektima. Taj proces se odvija automatski kada drugi objekt uputi zahtjev za identifikaciju. Na slici 1.7 prikazan je proces identifikacije pomou Kerberos protokola, zajedno sa kartom koja se izdaje sistemu koji je proao uspjenu identifikaciju na KDC-u. Viestruka identifikacija je proces identifikacije koji se vri pomou dva ili vie razliitih metoda. Ukoliko sistem koristi smart kartice i lozinke za pristup resursima, govorimo o

Strana 11

Sigurnost raunalnih mrea dvostrukoj identifikaciji. Primjer dvostruke identifikacije prikazan je na slici 1.8. U njemu su za pristup neophodne i smart kartica i zaporka. Smart kartce sadra podatke o identitetu korisnika i njegovim pravima pristupa. ita kartice je povezan sa radnom stanicom, preko koje sigurnosni sistem provjerava karticu. Biometrija je metoda identifikacije korisnika i to njegovih fizikih karakteristika kao to su dlan i retina ali se oekuje da e se uskoro pojaviti i DNK skeneri.

Slika 1.7 Kerberos proces identifikacije

Slika 1.8 Dvostruka identifikacija Kako funkcioniraju mreni servisi i protokoli? Korisnicima raunala na usluzi stoji veliki broj razliitih servisa i protokola. Web, elektronika pota i drugi protokoli omoguavaju komunikaciju izmeu razliitih sistema. Svaki protokol ili servis koji je instaliran na mrei poveava njenu ranjivost i donosi potencijalne probleme u pogledu zatite. Elektronika pota je servis koji je potreban najveem broju korisnika i svakoj organizaciji. To znai da plan mjera zatite mora ukljuiti kontrolu i dolazne i odlazne elektronike pote. Sistem elektronike pote koristi nekoliko portova u zavisnosti od programa koji se koristi Web Veina poslovnih okruenja koristi razne web strategije kao osnovu za komunikaciju. Te strategije ukljuuju serverske i klijentske proizvode ( Web preglednike). Web preglednici koriste nekoliko portova radi komunikacije sa odgovarajuim servisima. Ti portovi omoguavaju slanje i prijem podataka i na klijentima i na serveru. Strana 12

Sigurnost raunalnih mrea Telnet je servis koji udaljenim korisnicima omoguava pristup na sistem emulacijom terminala. Telnet danas nije uobiajeni servis, mada se i dalje esto sree. Povezivanje koritenjem Telneta u principu ne osigurava zatitu podataka, tako da ga treba zamjeniti slinim rutinama koje nude veu sigurnost. File Transfer Protocol (FTP) FTP se intenzivno koristi na Internetu. FTP sesije nisu ifrirane, dok veina FTP implementacija ak ne ifrira ni korisnika imena i lozinke na poetku sesije. Veina Unix sistema nudi anonimnu verziju FTP servisa, pod nazivom Trival File Transfer Protocol (TFTP), iju upotrebu treba izbjegavati po svaku cijenu. Network News Transfer Protocol (NNTP) NNTP omoguava pristup news serverima irom Interneta. Promet se odvija slanjem i prijemom poruka sa Usenet servera, koji skladite i prosljeuju poruke. Danas postoji vie od 20.000 Usenet foruma ili news grupa. Domain Name Service (DNS) DNS se koristi za prevoenje naziva raunala u internet adrese. To je uobiajeni servis koji se koristi na najveem broju mrea. Ukoliko vaa organizacija ima svoj web sajt preko koga nudi svoje usluge, DNS e predoiti vanjskim korisnicima gdje se server tono nalazi. DNS prevodi web adrese, kao to je www.sybex.com , u TCP/IP adrese, poput 192.168.0.110. Instant Messaging (IM) IM predstavlja vrstu trenutne elektronike pote koja se razmjenjuje izmeu dva ili vie korisnika. IM klijenti su obino izloeni zlonamjernom kodu (obino kroz transfer datoteka), ali su podloni i socijalnim formama napada, pri emu hakeri igraju na osjeaj krivnje korisnika da bi postigli ono to ele. Internet Control Message Protocol (ICMP) ICMP predstavlja alatku za slanje poruka (kao to je Ping) u okviru mree. Ping je rutina koja omoguava provjeru dostupnosti nekog sistema slanjem paketa do njega. ICMP znatno olakava mnoge aspekte komunikacije preko Interneta.

Topologija zatite
Topologija zatite na mrei definira dizajn mree i implementaciju sa stanovita sistema zatite. Za razliku od mrene topologije, topologija zatite se bavi tehnikama pristupa, zatitom i uporabljenom tehnologijom. Topologija zatite obuhvaa etiri osnovna pitanja: o o o o dizajnerske zahtjeve zatitne zone tehnologiju zahtjeve poslovnog procesa

Definiranje zahtjeva u pogledu dizajna Dizajnerski zahtjevi topologije zatite odreuju probleme povjerljivosti, integriteta, dostupnosti i nadlenosti. Obino se kae da su povjerljivost, integritet i dostupnost CIA sistema mrene sigurnosti, mada je i nadlenost isto tako vana. Povjerljivost spreava ili umanjuje mogunost neovlatenog pristupa i otkrivanja zatienih podataka i informacija. Postoji veliki broj podataka ija se tajnost mora tititi u skladu sa zakonskim odredbama i propisima. Takvi su, na primjer, podaci o socijalnom osiguranju, o

Strana 13

Sigurnost raunalnih mrea plaama i zaposlenicima, o bolesnicima i o raznim tvrtkama. Oni mogu izazvati probleme u vezi odgovornosti i druge neprijatnosti ukoliko dospiju u pogrene ruke. Integritet podataka treba da osigura korektnost podataka sa kojima se radi. On je kljuan sa stanovita topologije zatite. Organizacije rade sa podacima koji su im dostupni i u skladu sa njima donose vane odluke. Ukoliko podaci sa kojima se trenutno radi nisu ispravni ili ih je izmijenila neovlatena osoba, posljedice mogu biti katastrofalne. Dostupnost osigurava zatitu podataka i spreava njihov gubitak. Ukoliko se podacima ne moe prii, njihova vrijednost je minimalna. Kada neka nezgoda ili napad obore kljuni server ili bazu podataka, podaci sa njega nee biti dostupni korisnicima kojima su neophodni. Takva situacija moe izazvati nesagledive posljedice u nekoj organizaciji. Nadlenost Najvei dio resursa neke organizacije ima djeljiv karakter, tako da ih koristi vie organizacionih cjelina i pojedinaca. Poeljno je definirati vlasnika podataka ili subjekta koji je odgovoran za njihovu validnost je dobra praksa. Kreiranje zatitnih zona Ono to je u poetku izgledalo kao skup raunala koji meusobno dijele resurse veoma brzo prerasta u elektroniku nonu moru. U njima se esto javljaju veze izmeu razliitih organizacionih cjelina, kompanija i drava, kao i razliiti oblici javnog pristupa preko privatnih komunikacijskih linija i preko Interneta. Uspostavljanjem sigurnosnih zona u mreama postie se efekt koji omoguava izoliranje sistema i spreavanje neovlatenog pristupa. U praksi se najee sreu etiri tipa sigurnosnih zona: o o o o Internet intranet ekstranet demilitarizirana zona (DMZ)

Internet predstavlja globalnu mreu koja povezuje raunala i pojedinane mree. Moe ga koristiti svako tko ima pristup preko operatera (ISP Internet Service Provider). Takvo okruenje namee potrebu za niskim stupnjem povjerenja u ostale korisnike Interneta. Zbog visokog stupnja ugroenosti na Internetu, korisnici moraju obavezno tititi svoje podatke sa najveim stupnjem predostronosti. Na slici 1.10 prikazane su internet mrea i njene veze.

Slika 1.10 Tipina veza LAN mree sa Internetom Intranet je vrsta privatne mree koja je uspostavljena u nekoj kompaniji ili organizaciji. Moe se tretirati kao Internet ije granice ne prelaze granice kompanije, to je interna mrea organizacije, gdje je pristup dozvoljen samo onim sistemima koji su ve spojeni na mreu.

Strana 14

Sigurnost raunalnih mrea Intranet koristi iste tehnologije kao i Internet. Pristup intranet mrei dozvoljen je samo provjerenim korisnicima unutar korporativne mree ili korisnicima na udaljenim lokacijama.

Slika 1.11 Intranet mrea Ekstranet proiruje granice intranet mree, tako da u nju ukljuuje i veze ka vanjskim suradnicima. Suradnici mogu biti prodavai, opskrbljivai ili sline institucije kojima je neophodan pristup do baze podataka u organizaciji koja je vlasnik intraneta. Ekstranet podrazumijeva povezivanje onih organizacija koje uivaju meusobno povjerenje. Primjer ekstranet mree dat je na slici 1.12.

Slika 1.12 Tipian primjer ekstranet povezivanja izmeu dvije organizacije Demilitarizirana zona (DMZ) predstavlja oblast u kojoj se smjeta javni server radi pristupa onih osoba koje ne uivaju puno povjerenje. Izoliranjem servera u okviru DMZ prikriva se ili se spreava pristup do ostatka mree. Serveru se i dalje moe prii sa lokalne mree, ali vanjski korisnici nee moi da koriste ostale mrene resurse. Zona se kreira pomou vatrozida (engl. firewall), koja potpuno izolira ostatak mree.

Slika 1.13 Tipina DMZ Strana 15

Sigurnost raunalnih mrea

Rad sa novim tehnologijama Privlana strana tehnologije sadrana je u injenici da se ona stalno mijenja; u istoj injenici je sadrana i loa strana. Na tritu se pojavilo nekoliko relativno novih tehnologija koje mogu pomoi u formiranju manje "ranjivih" raunalnih sistema. U ovom odjeljku emo predstaviti tri takve tehnologije: virtualne lokalne mree (VLAN), Network Adress Translation (NAT) i tuneliranje. One omoguavaju poboljanje stupnja zatite mree, uz minimalne dodatne trokove. Virtualna privatna mrea (virtual local area network - VLAN) omoguava formiranje grupe korisnika i raunalnih sistema i njihovo grupiranje u okviru segmenta na mrei. Podjela mree na segmente omoguava njihovo meusobno prikrivanje, ime se osigurava i kontrola pristupa. VLAN se moe podesiti da kontrolira put podataka od jedne take do druge. On predstavlja dobar nain za zadravanje mrenog prometa u okviru odreenog dijela mree. Network Address Translation (NAT) prua zasebnu mogunost za poboljanje zatite mree. Poveanje broja upotrebljivih internet adresa je osnovna namjena NAT-a. Pomou njega organizacija moe povezati sva raunala na Internet preko jedne jedine IP adrese. NAT server osigurava IP adrese za hostove ili sisteme u mrei, uz istovremeno praenje dolaznog i odlaznog prometa. Ukoliko neka organizacija koristi NAT servis, ona se na Internetu pojavljuje kao jedna jedina konekcija. Ta konekcija se realizira preko rutera ili preko NAT servera. Eventualni napada moe dobiti samo podatak o adresi te konekcije.NAT praktino skriva lokalnu mreu od ostatka svijeta, tako da napadai teko mogu da utvrde vrstu raunalnih ureaja sa druge strane routera. Tuneliranje podrazumijeva kreiranje namjenske virtualne veze izmeu dva sistema ili mree. Tunel izmeu dvije toke kreira se (enkapsulacijom) podataka u zaseban protokol prijenosa koji je ugovoren izmeu dvije strane. U veini implementacija podaci koji dolaze kroz tunel izgledaju kao da potiu sa drugog dijela mree. Protokoli tuneliranja obino osiguravaju i zatitu podataka i njihovo ifriranje.

Slika 1.16 Tipino tuneliranje

Strana 16

Sigurnost raunalnih mrea Poslovna politika u svjetlu sistema zatite Funkcioniranje neke organizacije ili poslovnog procesa obavlja se bez problema ukoliko se redovito vri procjena efikasnosti sistema zatite. Sigurnosna procjena obuhvaa utvrivanje resursa, detaljnu procjenu eventualnih rizika, definiranje prijetnji i proraun "ranjivosti". Pomou navedenih komponenata upravljaki organi mogu shvatiti protiv ega se bore i kako mogu ostvariti ciljeve, uz minimalne trokove. Utvrivanje resursa Svaka organizacija i poslovni proces imaju vrijedne resurse i aktivu, na koje se mora raunati, kako u fizikom, tako i u funkcionalnom smislu. Utvrivanje resursa (engl. asset identification) predstavlja proces u kome organizacija procjenjuje vrijednost podataka i sistema kojima raspolae. Ponekad je to jednostavan proces koji se svodi na obino prebrojavanje sistema i softverskih licenci. Takvo fiziko utvrivanje resursa je uobiajeni dio standardne raunovodstvene procedure (popis), koju organizacije moraju redovno provoditi. Procjena vrijednosti podataka predstavlja znatno sloeniji dio procesa utvrivanja resursa. U nekim sluajevima moe se utvrditi samo teta koja bi nastala zbog nedostupnosti ili gubitka podataka. Ukoliko bi gubitak podataka blokirao itav posao, njihova cijena je nemjerljiva. Takva vrsta podataka pojednostavljuje proces definiranja metoda i pristupa za njihovu zatitu. Procjena rizika Postoji nekoliko naina za procjenu rizika (engl. risk assessment ili risk analysis), od znanstvenih metoda, zasnovanih na formuli, do obinog razgovora s korisnicima. U principu, u procjeni rizika treba identificirati trokove zamjene ukradenih podataka ili sustava, trokove uslijed nefunkcionalnost sustava i sve druge imbenike kojih se moete sjetiti. Procjenu rizika je mogue izvriti tek nakon utvrivanja resursa. Tek kada utvrdite da Vaa baza sadri podatke iz otvorenih izvora (kao to je US Census), koji se uvijek mogu regenerirati bez problema, odnosno da tu bazu ne treba promatrati u istom svjetlu kao i onu koja sadri specifine podatke karakteristine za poslovni proces, moete poeti izraun eventualnih trokova. Definiranje prijetnji Utvrivanje politike zatite obvezno ukljuuje i procjenu rizika od internih i eksternih prijetnji (engl. threat) kojima podaci i mrea mogu biti izloeni. Kreiranje zatienog okruenja koje sprjeava sve napade izvana nee imati nikakvu vrijednost ako prijetnje uglavnom potjeu iznutra. Ukoliko lan Vaeg tima donese u ured disk "zaraen" virusom i uita njegov sadraj na raunalo, virus se moe proiriti preko itave mree, zbog toga to je potpuno imuni na mjere zatite koje su usmjerene prema vanjskom svijetu. Interne prijetnje Najvei broj dokumentiranih internih prijetnji spada u grupu financijskih zlouporaba. Zlouporabe se javljaju u vidu prijevara ili kraa. Takve prijetnje, posebno u okruenjima s intenzivnom primjenom raunala, teko se otkrivaju i istrauju. One su dugotrajne i obino se javljaju u obliku malih transakcija u duem vremenskom razdoblju. U jednoj takvoj prevari kod velikog softverskog proizvoaa nositelj je bio profesionalni raunovoa, koji je pravio lane raune za fiktivne poslove koji nikada nisu obavljane.

Strana 17

Sigurnost raunalnih mrea

Slika 1.17 Interne i eksterne prijetnje u mrei Eksterne prijetnje Veliki broj internih prijetnji s kojima se kompanije bore ukljuuju i primjenu procedura i metoda koje su postale industrijski standard. Eksterne prijetnje, s druge strane, imaju porast koji je ve na granici dramatinosti. Prije nekoliko godina veinu incidenata izazivala su djeca ili osobe koje su to radile iz hobija i radi zabave. U najveem broju sluajeva ti incidenti nisu bili zlonamjerne prirode; samo mali broj je dovodio do izmjene ili unitenja podataka i sloga u bazama. Veliki broj kompanija danas koristi onime baze podataka, interaktivne narudbe, plaanja, isporuke, online popis i administriranje kljunih podataka pomou sloenih sustava. Takvi sustavi su povezani sa drugim sistemima na kojima su smjeteni povjerljivi korporativni podaci, poslovne tajne, strategijski planovi i drugi oblici vrijednih podataka. Proraun "ranjivosti" Zatitne mogunosti softvera i sustava koji se koriste u poslovanju e vjerojatno biti osnovna preokupacija specijaliste u oblasti raunarske zatite. Veliki broj proizvoaa operativnih sustava je u bliskoj prolosti pitanjima zatite poklanjala samo deklarativno pozornost. Jedan od popularnih operativnih sustava je u svrhu zatite koristio tehniku prijave korisnika uz odgovarajuu lozinku. Nakon pojave dijaloga za prijavu na ekranu, korisnik je jednostavno mogao pritisne gumb Cancel, nakon ega je imao pristup veini mrenih i kompletnim lokalnim resursima. Ukoliko je zatita zaslona (Screensaver) bila zatiena lozinkom, ponovni pristup sustavu je bio mogu unosom lozinke, ali i prostim resetiranje sustava. Takva rjeenja su bila opasnija od onih bez ikakve zatite. Veliki broj korisnika je smatrao da je njihov sustav zatien, mada u sutini zatite nije bilo - rezultat su bile brojne krae podataka koje su vrile kolege na poslu.

Strana 18

Sigurnost raunalnih mrea

Kontrolna pitanja
1.Koje od navedenih mjera zatite prvenstveno treba razmotriti u sluaju krae servera iz slubenih prostorija? A. fizike mjere zatite B. operativne mjere zatite C. politika i upravljanje sistemom zatite D. identifikacija 2. Vii organi upravljanja su iznenada postali zainteresirani za probleme zatite. Kao vodei mreni administrator, morate da predloite izmjene koje je potrebno izvriti. Koju tehniku kontrole pristupa ete predloiti ukoliko pristup treba da bude zasnovan na unaprijed definiranim pravilima, koje korisnici ne mogu mijenjati sami? A. MAC B. DAC C. RBAC D. Kerberos 3. Administrator u Vaem uredu je obuen za kreiranje rezervnih kopija podataka sa servera. Koji metoda identifikacije treba primijeniti u takvoj situaciji? A. MAC B. DAC C. RBAC D. sigurnosne tokene 4. Dobili ste zadatak da obuite mlaeg administratora i da ga to prije "uvedete u posao". Trenutno mu objanjavate identifikaciju. Koji metoda koristi KDC za identifikaciju korisnika, programa ili sistema? A. CHAP B. Kerberos C. biometrijske tehnike D. smart kartice 5. Koji metoda identifikacije alje blok za provjeru (challenge) klijentu, koji zatim vraa ifriranu verziju bloka nazad ka servera? A. Kerberos B. PAP C. DAC D. CHAP 6. Nakon paljive procjene rizika, porastao je i znaaj podataka u Vaoj kompaniji. U skladu sa tim, od Vas se oekuje da primijenite tehnike identifikacije koje odgovaraju znaaju podataka. Koja od navedenih tehnika identifikacije koristi vie metoda tokom prijave na sistem? A. viestruka (multi-factor) identifikacija B. biometrijska identifikacija C. smart kartice D. Kerberos 7. Koji od navedenih servisa ili protokola treba izbjegavati (ukoliko je mogue) da bi se poboljala sigurnost na mrei? Strana 19

Sigurnost raunalnih mrea A. e-mail B. Telnet C. WWW D. ICMP 8. Nakon preuzimanja neke kompanije, Vaa organizacija ima priliku da kreira novu, znatno veu mreu od samog poetka. elite da iskoristite prednosti tekue reorganizacije da biste oformili maksimalno zatieno okruenje za korisnike i organe upravljanja. Ve ste zakljuili da su sigurnosne zone jedino reenje za postizanje zadatih ciljeva. Koji od navedenih elemenata ne spada u kategoriju sigurnosnih zona? A. Internet B. intranet C. ekstranet D. NAT 9. Koji od navedenih protokola omoguava postavljanje samo jedne TCP/IP adrese prema Internetu, osiguravajui istovremeno privatno IP adresiranje na lokalnoj LAN mrei? A. NAT B. VLAN C. DMZ D. ekstranet 10. Vi ste administrator u firmi Mercury Technical. Nakon nekoliko proirenja firme, dolo je i do eksponencijalnog rasta mree u posljednje dvije godine. Koji od navedenih metoda moete iskoristiti za njenu podjelu u manje privatne mree, koje e funkcionirati u okviru istog kablovskog sistema, ali nee biti vidljive meusobno? A. VLAN B. NAT C. MAC D. sigurnosne zone 11. Koji od navedenih servisa najvjerojatnije koristi skeniranje retine? A. praenje utroka resursa (auditing) B. identifikacija C. kontrola pristupa D. povjerljivost podataka 12. Jedan od potpredsjednika kompanije je organizirao sastanak sa IT osobljem nakon posjete konkurentskoj firmi. Izvijestio je prisutne da veina firmi u kojima je bio doputa ulaz u svoje zgrade tek nakon provjere otisaka prstiju, dodajui da eli da uvede slian proces i u ovu kompaniju. Koja od navedenih tehnologija koristi fizike karakteristike korisnika za identifikaciju? A. smart kartice B. biometrija C. uzajamna identifikacija D. tokeni 13. Koja tehnologija osigurava povezivanje dvije mree pomou zatienog protokola? A. tuneliranje B. VLAN C. internet Strana 20

Sigurnost raunalnih mrea D. ekstranet 14. U firmu je doao novi IT direktor, kome Vi neposredno podnosite izvijea. Na prvom sastanku Vam je naloio da popiete sve resurse u kompaniji za koje je odgovorno IT odjeljenje i da procijenite vrijednost svakog resursa. Kako se naziva proces utvrivanja vrijednosti podataka i opreme u nekoj organizaciji? A. utvrivanje resursa B. procjena rizika C. definiranje prijetnja D. procjena "ranjivosti" 15. Naloeno Vam je da na sastanku organa upravljanja objasnite eventualne hakerske prijetnje kojima Vaa organizacija moe biti izloena. Koji od navedenih procesa najvie odgovara takvim podacima? A. utvrivanje resursa B. procjena rizika C. definiranje prijetnja D. osjetljiva mjesta 16. Tokom godina Vaa organizacija je gradila operativne i mrene sustave u skladu sa svojim razvojem. Posljednja kontrola je pokazala da na mrei postoji veliki broj baza podataka kojima nitko nije priao vie od godinu dana. Kontrola, meutim, nije mogla da utvrdi tko je kreirao te baze, niti tko im je posljednji pristupio. Kako se naziva proces u kome se utvruje vlasnik odreene baze podataka? A. praenje utroka resursa (auditing) B. kontrola pristupa C. analiza prijetnja D. utvrivanje nadlenosti 17. Jedan korisnik se upravo poalio da se na njegovom raunalu nalazi neki novi tip virusa. Sta ete prvo poduzeti da biste resili problem? A. proverava da li je na raunar instalirana datoteka sa najsvjeijim definicijama virusa B. formatirati hard disk C. ponovo instalirati operativni sistem D. deaktivirati e-mail nalog korisnika 18. Izbezumljeni mlai administrator Vas je obavijestio da se na mrei iznenada u kratkom vremenu pojavio nalog namijenjen gostima (guest account), iju upotrebu ste Vi osobno zabranili. Administrator smatra da je rije o napadu na mreu. Sta najvie moe pomoi u utvrivanju objekata kojima je pristupano tijekom takvog eksternog napada? A. sistemske datoteke-dnevnici (log fajlovi) B. antivirusni program C. Kerberos D. biometrijski ureaji 19. elite da instalirate novi server koji bi nudio web servise internet klijentima. Istovremeno, ne elite da izloite svoju internu mreu dodatnim rizicima. Koji metoda moete iskoristiti za postizanje takvih ciljeva? A. instalaciju servera u okviru intraneta B. instalaciju servera u okviru DMZ C. instalaciju servera u VLAN mrei Strana 21

Sigurnost raunalnih mrea D. instalaciju servera na ekstranetu 20. Vaa kompanija osigurava lijenicima medicinske podatke iz baza irom sveta. Zbog osjetljive prirode takvih podataka, u svakoj sesiji se mora obaviti identifikacija korisnika, koja e vaiti samo tijekom te sesije. Koji od navedenih metoda osigurava identifikaciju koja je vaea samo tijekom odreene sesije? A. tokeni B. certifikati C. smart kartice D. Kerberos

Odgovori
1. A. Fizike mjere zaite prvenstveno se odnose na probleme u vezi sa gubicima ili kraa fizikih dijelova opreme. Problemi mogu biti izazvani kraom, poarom i slinim pojavama koje fiziki onemoguavaju koritenje servisa ili podataka. 2. A. Mandatory Access Control (MAC) dozvoljava pristup na temelju unaprijed definiranih pravila i ovlasti. Ovlasti obino definira mreni administrator, dok ih korisnici ne mogu mijenjati. 3. C. Role Based Access Control (RBAC) omoguuje dodjeljivanje konkretnih uloga konkretnim korisnicima, pri emu dodijeljena uloga odreuje i privilegije na mrei. Operatoru zaduenom za kreiranje priuvnih kopija podataka s posluitelja obino su potrebna ovlatenja administratora. Navedena ovlatenja treba ograniiti samo na odreenu ulogu, tako da ne budu dostupna zaposlenom u obavljaju ostalih redovitih dunosti. 4. B. Kerberos koristi Key Distribution Center radi identifikacije korisnika. KDC omoguuje akreditive koji se mogu koristiti na svim posluiteljima i aplikacijama koje podravaju Kerberos. 5. D. Challenge Handshake Authentication Protocol (CHAP) alje blok za provjeru (challenge) klijentu koji je pokrenuo proces identifikacije. Blok se ifrira i zatim vraa posluitelju, koji usporeuje rezultate enkripciju. Ako je provjera uspjena, klijentu je omoguen pristup sustavu. 6. A. Viestruka (multi-factor) identifikacija koristi dva ili vie procesa za utvrivanje identiteta korisnika. Dvostruki nain, na primjer, moe koristiti smart karticu i biometrijsku tehniku za identifikaciju jednog korisnika. 7. B. Telnet treba izbjei ako je mogue. On alje korisniki ID i lozinku do servera u otvorenom obliku, to stvara potencijalnu opasnost u internet okruenju. 8. D. Network Address Translation (NAT) je metoda koji sakriva TCP / IP adrese od ostalih mrea. Internet, intranet i ekstranet su tri najea modela zatienih zona. 9. A. Network Address Translation (NAT) omoguuje postavljanje samo jedne adrese prema Internetu. To se najee postie pomou rutera ili NAT posluitelja. Ruteri (ili NAT server) upravlja svim "odlaznim" i "dolaznim" zahtjevima i odrava tablicu vraenih poruka. 10. A. Virtualne lokalne mree (Virtual Local Area Networks - VLAN) dijele veliku mreu u manje cjeline. Te manje cjeline (mree) mogu koegzistirati na istoj kablovskoj shemi, mada se meusobno ne vide. Povezivanje vie VLAN mrea moe se obaviti putem rutera ili drugog ureaja koji prua usluge rutiranja. 11. B. Identifikacija je servis koji zahtijeva od korisnika da dokae svoj identitet. Skeniranje retine predstavlja siguran nain utvrivanja identiteta, koji se koristi u tvrtkama s visokim stupnjem zatite u vladinim organizacijama. Strana 22

Sigurnost raunalnih mrea 12. B. Biometrijska tehnika se temelji na fizikim karakteristikama korisnika, pomou kojih se utvruje njegov identitet. Biometrijski ureaji obino koriste otiske prstiju ili skeniranje retine. 13. A. Tuneliranje osigurava povezivanje lokalne mree koritenjem zatienih kanala sa drugim mreama preko Interneta. Tuneli su obino zatieni i predstavljaju ekstenziju obje mree. 14. A. Utvrivanje resursa predstavlja proces kojim se utvruju tip i vrijednost podataka i opreme u nekoj organizaciji. 15. C. Definiranjem prijetnji utvruju se interni i eksterni izvori opasnosti za sustave i podatke. 16. D. Princip nadlenosti zahtijeva utvrivanje vlasnika podataka ili osobe koja je odgovorna za njihovu vjerodostojnost u okviru neke organizacije. Pojedinac koji je nadlean za odreene podatke trebao bi biti odgovoran i za njihovu vjerodostojnost u sluajevima incidenata u kojima se neovlateno mijenja sadraj podataka. 17. A. Na poetku treba izvriti kontrolu aurnosti protuvirusnog programa. Tu spada i provjera aurnosti datoteke s definicijama virusa. 18. A. Sistemske datoteke-dnevnici obino mogu da ukau na objekte kojima je Pristupano, kao i na nain pristupa. Te datoteke obino eksplicitno biljee sve dogaaje koji se odvijaju tijekom naruavanja definiranih pravila zatite. 19. B. DMZ je dio mree koji omoguava pristup vanjskim korisnicima, pri emu su interni korisnici zatieni od dodatnih prijetnji. 20. A. Token se kreiraju prilikom korektno identifikacije korisnika ili sustava. Unitavaju se nakon zavretka sesije.

Strana 23

Sigurnost raunalnih mrea

2. Procjena rizika
Postoji vie razliitih izvora moguih napada na mreu, servere i radne stanice. Administrator sistema zatite mora poduzeti sve mjere koje mogu pomoi u zatiti raunarskih sistema od eventualnog napada. Izmeu potencijalnih napadaa i kreatora proizvoda i servisa za zatitu raunarskih sistema vodi se neprekidan "rat". Administratori se, naalost, nalaze izmeu te dvije ekstremne grupe, dok su njihove mree i sistemi "bojno polje" na kome se "rat" odvija. U ovom poglavlju emo govoriti o razliitim oblicima napada i o uzrocima "ranjivosti" mrea. Osjetljiva mjesta na koja administratori moraju raunati su u najveem broju sluajeva posljedica naina primjene mrenih tehnologija u operativnim sistemima, u sprezi sa zatitnim karakteristikama TCP/IP protokola.

Procjena strategija napada

Napad (engl. attack) obuhvata aktivnosti pojedinaca ili grupa pomou kojih oni pokuavaju da pristupe, izmjene ili otete raunarske sisteme ili okruenje. Napadi mogu biti veoma jednostavni i neusmjereni, ali se javljaju i oni koji po intenzitetu odgovaraju blic-krigu. Napadi se mogu javiti u velikom broju razliitih oblika i sa razliitim ciljevima. U principu, u svakom napadu treba da se ostvari neki od sljedea tri cilja: o neovlaten pristup raunarskim resursima (pristupni napad, engl. access atack) o neovlatenu izmjenu podataka u raunarskim sistemima (napad radi izmjene podataka, engl. modification and repudiation attack) o napad radi "guenja" servisa i mrea (engl. denial of service attack - DoS). Napadai svoje aktivnosti mogu provoditi radi "iste" zabave, radi ostvarenja kriminalnih namjera - pokuaj krae, ali i radi objavljivanja raznih politikih stavova, pa ak i zbog realizacije teroristikih aktivnosti. Bez obzira na motive napadaa, posao administratora je da zatiti korisnike mree sa kojima radi od takvih agresivnih aktivnosti. Administrator je najee jedina osoba u nekoj organizaciji koja je odgovorna za odbijanje takvih napada. Oblici napada radi neovlatenog pristupa Cilj pristupnog napada (access atack) je potpuno jasan - napada pokuava ostvariti pristup do podataka za iju uporabu nije ovlaten. Pristupni napadi su usmjereni ka naruavanju povjerljivosti podataka. Mogu se javiti u obliku internog ili eksternog pristupa; javljaju se iu sredinama u kojima je mogu fiziki pristup podacima. "Kopanje" po kontejneru (engl. dumpster Diving) je uobiajeni nain fizikog pristupa podacima. Kompanije obino generiraju ogromne koliine papirnih dokumenata u svakodnevnom radu, od kojih najvei dio zavrava u kontejnerima ili korpa za otpatke. U korpa se mogu nai i podaci izuzetno osjetljivog sadraja. U vladinim i drugim organizacijama s visokim sigurnosnim zahtjevima osjetljiva dokumenta se unitavaju rezanjem ili spaljivanjem. Najvei broj organizacija, meutim, ne unitava nepotrebna povjerljiva dokumenta. Osim toga, pojava tzv. "zelenih" kompanija dovodi do poveanja uporabe recikliranog papira. Na takvom papiru se mogu nai brojni "soni" podaci o samoj kompaniji i o njenim uposlenicima. Drugim uobiajenim metodom pristupnog napada pokuava pristupiti podacima na putu izmeu dva sustava; umjesto papira, pronalaze se podaci. Najee tehnike takvih pristupnih napada su: Prislukivanje (engl. eavesdropping) Obuhvaa namjerno praenje ili sluajan pristup dijelovima neke konverzacije. Prislukivanjem napadai mogu pratiti i promet na nekoj mrei. Strana 24

Sigurnost raunalnih mrea U principu, ovaj oblik napada je pasivnog karaktera. Va kolega, primjera radi, moe sluajno uti Vae planove za veeru zbog previe glasnog zvunika. Mogunost sluajnog pristupa dijelovima konverzacije potie od nepanje uesnika u konverzaciji. "Njuenje" (engl. snooping) "Njuenjem" napada provjerava sadraj datoteka u nadi da e u njima pronai neto zanimljivo. Datoteke mogu biti u elektronikom obliku ili na papiru. Kada je rije o fizikom "njukanju", napada moe doi do datoteka koritenjem vae kante za otpatke, pa ak i vae kase; podatke moe prikupiti i pomou Post-It biljeki ispod vae tipkovnice ili pomou komadia papira na oglasnoj ploi. "Njuenje" u svijetu raunala, s druge strane, podrazumijeva pretraivanje elektronikih datoteka radi pronalaenja interesantnih podataka. Presretanje (engl. interception) Presretanje moe biti aktivnog ili pasivnog karaktera. Presretanje u mrenom okruenju podrazumijeva rutinski praenje mrenog prometa. Aktivno presretanje moe zahtijevati postavljanje zasebnog raunala izmeu poiljatelja i primatelja, koji e primati sve poslane podatke. Sa stanovita presretanje, takav proces je prikriveno. Otkrivanje je zadnje to bi neka osoba angairana na presretanje prometa poeljeli. Akcije presretanje mogu trajati godinama, bez znanja sudionika u prometu iji se rad prati. Vladine institucije redovito provode akcije presretanja da bi prikupile obavjetajne podatke o mogunostima i poloaju neprijatelja. FBI, na primjer, posjeduje nekoliko sustava koje spaja na Internet provajdere (ISP) radi pronalaenja poruka elektronske pote koje sadre unaprijed zadane kljune rijei. Pretraivanje po kljunim rijeima sve vie postaje osnova svake ozbiljnije istrage. Napadi radi izmjene podataka i napadi poricanja Napadi radi izmjene podataka (modification attack) obuhvaaju napade s ciljem neovlatenog brisanja, umetanja ili izmjene podataka, i to na takav nain da krajnji korisnik prihvaa izmjene kao potpuno legalne. Takve napade je obino vrlo teko otkriti. Oni su slini pristupnim napadima, jer napada prvo mora osigurati pristup podacima na posluitelju, ali se od te toke napadi potpuno razlikuju. Motiv ovih napada moe biti podmetanjem lanih podataka, izmjena ocjena u koli, zlonamjerni izmjena sloga kreditne kartice ili neto slino. Promjena izgleda web sajta predstavlja uobiajeni oblik napada iz ove skupine; u takvom napadu osoba mijenja web stranice sa zlobni ciljevima. Napadi poricanja (engl. repudiation attack) predstavlja jednu varijantu napada radi izmjene podataka. Podaci se u njima mijenjaju tako da izgledaju neispravni ili se izmjene vre radi zavaravanja korisnika, to moe biti jo opasnije. Na taj nain, primjera radi, nepoznata osoba moe prii Va e-mail serveru i poslati intrigantne podatke korisnicima mree s potpisom nekog od najviih organa upravljanja. Takvi podaci mogu dovesti kompaniju u neprijatnu situaciju, pa ak i izazvati nenadoknadivu tetu. Takvi napadi poticanja se izvode relativno lako, zahvaljujui injenici da e-mail posluitelji ne provjeravaju ispravnost odlazee pote. Kao i napadi radi izmjena podataka, i napadi poricanja obino poinju ostvarivanjem neovlatenog pristupa. Napadi radi "guenja" servisa i distribuirano "guenje" servisa Napadi radi "guenja" usluga (engl. Denial of Service, DOS attack) onemoguavaju ovlatenim korisnicima pristup raunalnim resursima i njihovo koritenje. Napada moe oboriti web stranicu u sustavu elektronskog poslovanja (e-commerce) da bi sprijeio da ga koriste legitimni potroai. DOS napadi su uobiajeni na Internetu, tako da su njihove mete bile i tvrtke kao to su Amazon, Microsoft i AT & T. Napadima ove vrste obino se daje Strana 25

Sigurnost raunalnih mrea veliki publicitet u medijima. Veliki broj jednostavnih DOS napada kree sa pojedinanih raunala, pri emu su mete odreeni posluitelji ili organizacije. U ovoj kategoriji se pojavljuje nekoliko razliitih oblika napada. Takvi napadi mogu sprijeiti pristup podacima, aplikacijama, sustavima ili komunikacijama. U sluaju DOS napada na neku aplikaciju, moe doi do pada kompletnog web sajta, dok e komunikacijska oprema i sustavi nastaviti normalan rad. Ukoliko je DOS napad usmjeren na sustav, moe doi do pada sustava (mada e ponovno podizanje sustava vratiti server u normalni rad). DOS napad usmjeren na mreu zauzima cjelokupan propusni opseg kanala, ime se spreava pristup legitimnih korisnika. Jedan od estih oblika DOS napada otvara to je mogue vie TCP sesija; takva vrsta napada se naziva TCP SYN plavljenje (flood) DOS. Dva najea oblika DOS napada su ping of death (smrtonosnog ping) i buffer overflow (preoptereenje bafera). Napadi tipa ping of death rue sustav tako to alju Internet Control Message Protocol (ICMP) pakete (eho) koji su vei od onih koje sustav moe obraditi. Napadi sa preoptereenjem bafera, kao to i sam naziv govori, slue da se u meuspremnik postavi vie podataka (to su obino dugaki nizovi karaktera - ulazni string) nego to oni mogu da prihvate. Napadi pod nazivom Code Red, Slapper i Slammer spadaju u grupu napada sa preoptereenje meuspremnika, dok je sPing ispostavljati napada tipa smrtonosni ping.

Slika 2.1 Napad sa distribuiranim guenjem servisa Distribuirano "guenje" servisa (distributed denail of service, DDoS) je vrsta napada koja je slina klasinim DOS napadima. Distribuirani DOS pojaava koncepte klasinog DOS-a, tako to za napad na jednu organizaciju koristi vei broj raunalnih sustava. Za takve napade se koriste inherentne slabosti posveenih mrea, kao to su DSL ili kablovska mrea. Sustavi koji su trajno prikljueni na takve mree obino imaju slabu, a esto i nikakvu zatitu. Napada moe da postavi programe za napad na desetine, pa ak i stotinu raunarskih sustava koji koriste DSL ili kablovsku mreu. Program ostaje skriven na tim raunalu, sve dok ne dobije signal za napad od master raunala. Signal aktivira raunala, koji istovremeno pokreu napad protiv ciljne mree ili sustava. Raunala koja sudjeluju u napadu (zombi raunala) dobivaju upute od master kontrolnog raunala. Ta raunala jednostavno izvravaju upute dobivene od master raunala.

Kako prepoznati uobiajene napade ?

Strana 26

Sigurnost raunalnih mrea Veina tehnika napada je dizajnirana tako da koristi potencijalne slabosti ciljnog sustava. Te slabosti mogu biti "vezane" za provedbu programa ili za protokole koji se koriste u mreama. Veliki broj napada je tehniki veoma sloen, tako da se rijetko javljaju u praksi. Tehniar zatite, meutim, mora poznavati i takve napade da bi mogao prepoznati njihovu aktivnost u mrei. Napad tipa back door Pojam back door (sporedna vrata) moe imati dva razliita znaenja. Prvobitno je ovaj pojam koriten za prolaze u raunalne sustave koji su namjerno ostavljani radi otklanjanja eventualnih pogreaka i daljnjeg razvoja. Programeri su namjerno ostavljali prolaze (sporedna vrata) u sloene sustave i aplikacije tokom njihovog razvoja. Kroz njih su mogli ispitati operacije u samom kodu tokom njegovog izvrenja. Prolazi su uklanjani iz kda prije nego to je operativni sustav (aplikacija) izbaen u proizvodnju. Kada bi proizvoa softvera otkrio prolaz koji nije uklonjen, obino bi objavljivao sigurnosni dodatak ili "zakrpu" koja je zatvarala takav prolaz. Takve "zakrpe" su este u prvim danima nakon pojavljivanja novog softvera.

Slika 2.2 Napad tipa back dor Drugo znaenje pojma back door "vezano je za ostvarivanje pristupa nekoj mrei i ubacivanje programa ili rutine koja kreira ulaz za dalje napade. To moe biti program koji dozvoljava prijavu korisnika sa odreenim ID-om bez lozinke ili osigurava privilegije administratora. Napad sa lanim predstavljanjem (spoofing napad) Sutina spoofing napada (lano predstavljanje) je u pokuaju lanog predstavljanja nekome ili neemu. Ovaj oblik napada obino svrstava u pristupne napade. Uobiajeni spoofing napad, koji je bio popularan godinama na ranim Unix i drugim operativnim sustavima sa dijeljenim vremenom (timesharing), izvoena je pomou lanog programa za prijavu na sustav (logon). Takav program je zahtijevao od korisnika da unese svoj ID i lozinku, ali je, bez obzira na unijete elemente, prijavljivali pogreku, nakon ega je kontrola prebacivana na pravi program za prijavu. Istovremeno, spoofing program je upisivao ID i zaporku u datoteku na disk, radi kasnije upotrebe. Najpopularniji napadi iz ove skupine danas su IP spoofing i DNS spoofing. Kada je rije o IP spoofingu, napada pokuava da stvori iluziju da podaci dolaze sa legalnog glavnog raunala, iako je njihovo porijeklo drugaije (napada se pretvara da njegova stroj ima istu IP adresu kao i legalni host). Kod DNS napada DNS posluitelju se daju lani podaci o posluitelju naziva, tako da on radi sa lanim serverom, umjesto s pravim. Na taj nain se, ukoliko se DNS server koristi za utvrivanje odredita, moe obaviti bilo kakvo preusmjeravanje Strana 27

Sigurnost raunalnih mrea korisnika ili prometa-korisnik se preusmjerava na pogrean web stranica ili se mail usmjerava na pogrenu adresu. Napad tipa man-in-the-middle Napad tipa man-in-the-middle je prilino sloen u tehnikom smislu. On pripada grupi pristupnih napada, mada se moe poduzeti i kao poetni korak u napadu s ciljem izmjene podataka. U ovom napadu se izmeu legitimnog posluitelja i klijenta neprimjetno postavlja odgovarajui softver, i to tako da administrator i korisnici ne budu svjesni njegovog prisustva. Ubaen softver presree podatke, a zatim ih alje na server, kao da se nita nije desilo. Server reagira normalno na tako dobivene podatke, uvjeren da se komunikacija odvija s legitimnim klijentom. Softver-napada i dalje nastavlja slanje podataka na server i cijeli proces se produava.

Slika 2.3 Napad s lanim predstavljanjem (spoofing) tijekom prijave na sistem Ukoliko se komunikacija izmeu legitimnog posluitelja i klijenta i dalje odvija, kakvu tetu izaziva ubaen softver? Odgovor lei u dodatnim aktivnostima koje taj softver vri nad podacima. Ubaen (man-in-the-middle) softver moe biljeiti presretnute podatke radi kasnijeg pregleda, mijenjati te podatke ili na bilo koji drugi nain ugroziti sigurnost korisnikih sustava i sesije. Replay napad Replay napadaji postaju sve ei u praksi. Izvode se zadravanjem podataka koji se razmjenjuju na mrei, u cilju osiguranja pristupa mrei (pristupni napad) ili izmjene podataka (modifikacioni napad). U distribuirano okruenje se izmeu klijenta i sustava za identifikaciju stalno alju podaci o imenu i lozinci korisnika. Napada moe zadrati takve podatke i naknadno ih ponovno poslati. Isto vrijedi i za sigurnosne certifikate u sustavima poput Kerberos: napada moe ponovno iskoristiti uhvaeni certifikat, u nadi da e biti prihvaen na sustavu za identifikaciju i da e on nadmudriti bilo kakvu zatitu u vidu vremenske osjetljivosti.

Slika 2.4 Napad tipa man-in-the-middle u komunikaciji izmeu klijenta i web servera

Strana 28

Sigurnost raunalnih mrea

Slika 2.5 Primjer replay napada Napadi sa pogaanjem lozinki Napadi sa podudaranjem lozinki (engl. password guessing attacks) obuhvaaju viestruki napad na jedan korisniki raun. To se postie sustavnim slanjem mogue zaporke za odreeni raun. Poetni cilj napada je otkrivanje zaporke, dok se kasnije moe proiriti u napad radi osiguranja pristupa, ili u napad radi izmjene podataka. Postoje dva oblika napada s podudaranjem lozinki: -Napad grubo silom (engl. bruto force attack). Napad grubom silom nasumice isprobava razne zaporke dok ne pronae onu pravu. On se obino izvodi u duem vremenskom razdoblju. Da bi nagaanje lozinke bilo oteano, one moraju biti znatno due od dva ili tri karaktera (est karaktera su apsolutni minimum), sloene po strukturi, uz istovremeno ograniavanje broja neispravnih pokuaja (password lockout). -Napad pomou rjenika (engl. dictionary attack). Za napad pomou rjenika koristi se rjenik esto upotrebljavanih izraza u pokuaju pronalaenja prave zaporke. U javnom domenu postoji nekoliko softverskih alata za Automatizirano izvravanje takvih napada. Pojedini sustavi obavjetavaju korisnika o ispravnosti njegovog ID-a ak i u sluaju neispravne zaporke. Bilo kakva indikacija napadau o ispravnosti korisnikog ID-a nije poeljna. Ukoliko se identifikacija na Vaem sustavu moe podesiti tako da odbija nepotpune prijave, odnosno da prihvaa samo kompletne korisnike podatke (ID / zaporka) ili ponavlja cijeli proces prijave, obvezno primijeniti tu mogunost.

TCP/IP protokol i problemi zatite

Rad sa TCP/IP protokolom strunjaku u podruju zatite svakako predstavlja jedan od najveih problema. Moe se rei da je jednostavnost povezivanja pomou TCP/IP protokola najvea potekoa s kojom se sreu profesionalci u oblasti zatite. Praktino sve vee mree, ukljuujui i Internet, svoj rad temelje na TCP/IP skupini protokola, koja je ve postala meunarodni standard. TCP/IP je dizajniran radi povezivanja razliitih raunalnih sustava u robusnu i pouzdanu mreu. On posjeduje brojne mogunosti, uz bogatu podrku razliitim protokolima. Kada se TCP/IP jednom instalira, on e pouzdano funkcionirati godinama. TCP/IP je spas za organizacije koje moraju povezati razliite raunalne sustave u jedinstvenu cjelinu. Zahvaljujui jednostavnosti primjene i dobroj dokumentiranosti, globalna Internet mrea posjeduje brojne sigurnosne "rupe". Veliki broj takvih "rupa" se moe jednostavno zatvoriti, ali korisnici prije toga moraju biti svjesni njihovog prisustva. U narednim odjeljcima emo govoriti o TCP/IP protokolu i odgovarajuim problemima zatite mree.

Strana 29

Sigurnost raunalnih mrea Rad sa TCP/IP grupom protokola TCP/IP grupa protokola je raspodijeljena na etiri sloja arhitekture: o o o o aplikativni sloj host-to-host ili transportni sloj Internet sloj sloj mrenog interfejsa

Raunari koji koriste TCP/IP rade preko postojeih fizikih veza izmeu sustava. TCP/IP ne obraa panju na mrenu topologiju, niti na fizike veze izmeu raunarskih sustava. Problemi fizikih protokola i topologije rjeavaju se u mrenim kontrolerima, koji su postavljeni u raunalima ili u hostovima. TCP/IP komunicira s takvim kontrolerima, preputajui njima svu brigu o mrenoj topologiji i fizikim vezama. Prema TCP/IP terminologiji, svaki raunar na mrei predstavlja host. Host je bilo koji ureaj koji je prikljuen na mreu i koristi TCP/IP skupinu (niz ili stog) protokola.

Slika 2.6 Slojevi TCP/IP arhitekture Aplikativni sloj Aplikativni sloj je najvii sloj u TCP/IP nizu. Pomou njega aplikacije pristupaju servisima ili protokolima za razmjenu podataka. Najvei broj programa, izmeu ostalog, i web pretraivai, ostvaruje interfejs sa TCP/IP nizom koritenjem ovog sloja. Najei protokoli aplikativnog sloja su: Hypertext Transfer Protocol (HTTP) HTTP je protokol koji se koristi za rad sa web stranicama i World Wide Web-om. HTTP aplikacije koriste standardni jezik pod nazivom Hypertext Markup Language (HTML). HTML datoteke su obine tekstualne datoteke sa specijalnim kodovima, koji omoguavaju prikaz grafike, specijalnih fontova i karaktera u web pretraivaima i drugim web aplikacijama. File Transfer Protocol (FTP) FTP je aplikacija koja osigurava povezivanje sa FTP serverima radi preuzimanja i postavljanja datoteka na njih (download i upload). FTP je uobiajena aplikacija za prijenos datoteka izmeu hostova na Internetu. Simple Mail Transfer Protocol (SMTP) SMTP je standardni protokol za elektronsku potu. On osigurava komunikaciju e-mail klijenata i servera radi razmjene pote.

Strana 30

Sigurnost raunalnih mrea Telnet Telnet je interaktivni protokol za emulaciju terminala. On omoguava interaktivnu sesiju udaljenog korisnika i Telnet servera. Sesija se odvija kao da je korisnik lokalno prikljuen na server. Domain Name Service (DNS) Pomou DNS-a hostovi prevode nazive hostova u IP (Internet Protocol) adrese. U odjeljku o Internet sloju bie vie rijei i o IP protokolu. Routing Information Protocol (RIP) RIP osigurava preusmjeravanje (rutiranje) podataka koji se razmjenjuju izmeu rutera u IP mrei. Simple Network Management Protocol (SNMP) SNMP je upravljaka alatka koja osigurava komunikaciju izmeu mrenih ureaja i upravljake konzole. Najvei broj rutera, mostova i inteligentnih vorova koristi SNMP za komunikaciju. Post Office Protocol (POP) POP je protokol koji se koristi u e-mail sistemima. On osigurava napredne funkcije i predstavlja standardni interfejs na veini e-mail servera. Koristi se za prijem elektronske pote. Host-to-host (transportni) sloj Host-to-host, ili transportni sloj, osigurava aplikativnom sloju servise sesije i komunikacije putem datagrama. U ovom sloju funkcioniraju Transmission Control Protocol (TCP) i User Datagram Protocol (UDP). Navedeni protokoli osiguravaju veliki broj funkcija TCP/IP mree: TCP TCP je odgovoran za pouzdanu sesiju zasnovanu na konekciji, tipa jedan-na-jedan. On uspostavlja vezu i osigurava prijem paketa na drugom kraju veze. Pomou njega dva hosta meusobno razmjenjuju podatke o isporuci paketa. Pored toga, TCP je odgovoran i za ispravno dekodiranje paketa i njihovo postavljanje u pravilan redoslijed. Uspostavljena veza se ne prekida tokom itave sesije. Nakon zavretka sesije, prekida se i veza. UDP UDP obezbeuje nepouzdanu vezu koja nije zasnovana na konekciji (engl. connectionless) izmeu dva hosta. UDP protokol spada u tzv. best-effort protokole, ali je znatno bri u odnosu na TCP Za razliku od TCP protokola, ovdje se u vezi ne uspostavlja sinkronizirana sesija, tako da UDP ne osigurava komunikaciju zatienu od eventualnih greaka. UDP se prvenstveno koristi za slanje manjih paketa podataka, pri emu je ispravan prijem podataka u nadlenosti aplikacije. Internet sloj Internet sloj je odgovoran za rutiranje, IP adresiranje i formiranje paketa. Protokoli ovog sloja obavljaju veliki dio poslova iza scene, koji osiguravaju razmjenu podataka izmeu hostova. U njemu funkcioniraju etiri standardna protokola: Internet Protocol (IP) IP je rutabilni protokol koji je odgovoran i za IP adresiranje. Pored toga, vri fragmentaciju i ponovno sastavljanje paketa podataka. IP samo preusmjerava podatke (rutira ih), bez ikakve provjere njihove ispravnosti, koja je u nadlenosti TCP protokola. IP provjerava da li je poznato odredite podataka, nakon ega jednostavno preusmjerava podatke ka odreditu (ukoliko je ono poznato). Ukoliko je odredite nepoznato, IP alje podatke ka ruteru, koji ih dalje usmjerava.

Strana 31

Sigurnost raunalnih mrea Address Resolution Protocol (ARP) ARP je odgovoran za prevoenje IP adresa u adrese sloja mrenog interfejsa, ukljuujui i hardverske adrese. ARP moe prevesti IP adresu u MAC (Media Access Control) adresu. MAC adrese se koriste za identifikaciju hardverskih mrenih ureaja, kao to su mrene kartice (NIC - Network Interface Cards). Internet Control Management Protocol (ICMP) ICMP podrava funkcije odravanja i izvjetavanja. Ovaj protokol se koristi i u programu Ping. Ukoliko korisnik eli provjeriti vezu do drugog hosta, moe pokrenuti komandu PING sa IP adresom do njega, nakon ega e sistem provjeriti vezu do navedenog sistema. Ako je veza ispravna, ICMP vraa odgovarajue podatke od hosta koji je pokrenuo komandu. On e izvijestiti i u sluaju da veza do navedenog hosta nije mogua. Pored podataka o dostupnosti udaljenog hosta, usputni ruteri izvjeuju i o putanjama izmeu dva hosta. Internet Group Management Protocol (IGMP) IGMP je prvenstveno nadlean za upravljanje IP multicast grupama. IP multicast alje poruke ili pakete do unaprijed definirane grupe hostova. Multicast prijenos se razlikuje od broadcast (difuznog) prijenosa, u kome se poruke alju do svih korisnika u mrei. Enkapsulacija Pojam enkapsulacije predstavlja kljuni koncept za razumijevanje procesa koji se deavaju izmeu TCP/IP slojeva. Enkapsulacija (ugradnja) omoguava slanje podataka transportnog sloja preko mree do prijemnog ureaja, gdje e oni biti obraeni ekvivalentnim servisom ili protokolom. Svaki sloj dodaje osobno zaglavlje tokom prijenosa poruke ka donjem sloju.

Slika 2.7 Proces enkapsulacije pri slanju e-mail poruke

Slika 2.8 Slanje e-mail poruke od e-mail klijenta do e-mail servera preko Interneta Strana 32

Sigurnost raunalnih mrea Rad sa protokolima i servisima U ovom odjeljku nai ete opirnije detalje o komunikaciji izmeu dva TCP/IP hosta. Objasniti emo pojmove portova, komunikacije sporazumjevanjem (handshake) i aplikativnih interfejsa. Pri tom ne elimo da od Vas nainimo specijalistu u tim oblastima, ve da pomognemo da shvatite sutinu aktivnosti pri zatiti TCP/IP mrea. Optepoznati portovi Najjednostavnije reeno, portovi definiraju nain odravanja veze izmeu hostova. Port je specijalna adresa koja omoguava komunikaciju izmeu hostova. Broj porta se definira na hostu koji inicira komunikaciju, ime on odreuje port servera sa kojim eli da ostvari vezu. Ukoliko na serveru postoji takav port i dostupan je, server e poslati povratnu poruku o prihvaanju zahtjeva. U sluaju da zahtijevani port nije validan, server e odbiti zahtjev za odravanje veze. Organizacija Internet Assignet Numbers Authority (LANA) je definirala listu tzv. opepoznatih (engl. well-known) portova. Broj TCP porta 20 21 22 23 25 49 80 110 119 139 143 389 443 Broj UDP porta 53 69 137 138 161 162 Servis FTP (kanal podataka) FTP (kontrolni kanal) SSH Telnet SMTP TACACS servis za identifikaciju HTTP (koristi se za World Wide Web) P0P3 NNTP NetBIOS servis sesije IMAP LDAP HTTPS (za zatiene web veze) Servis DNS upiti za prevoenje naziva Trivial File Transfer Protocol (TFTP) NetBIOS servis naziva hostova NetBIOS datagram servis SNMP SNMP trap

Trostruko TCP sporazumjevanje TCP, kao protokol zasnovan na konekciji (engl. connection-oriented protocol), uspostavlja sesiju izmeu dva hosta trostrukim sporazumijevanjem (engl. three-way handshake). Vezu inicira host koji nazivamo klijent. Klijent alje TCP segment (poruku) ka serveru. U segmentu se nalaze tzv. Initial Sequence Number (ISN, broj sekvence) za konekciju i veliina prozora. Po prijemu tog segmenta, server odgovara, tako to alje TCP segment u kome se nalaze njegov ISN i veliina prozora, koja ukazuje na veliinu meuspremnika. Nakon toga, klijent alje potvrdu prijema ISN broja servera. World Wide Web zahtjev koristi prikazani TCP proces radi uspostavljanja veze izmeu klijenta i servera. Nakon uspostavljanja veze, omoguena je komunikacija izmeu dva Strana 33

Sigurnost raunalnih mrea sistema, pri emu server koristi TCP port broj 80. Isti proces se odvija i pri uspostavljanju email veze; jedina razlika je u tome to klijent koristi port broj 110 (pod uvjetom da koristi POP3). Prikazani mehanizam omoguava serveru da obradi vei broj istovremenih zahtjeva. Dovoljno je da se svakoj sesiji dodjeli drugi broj sekvence (ISN), pri emu sve sesije i dalje koriste isti port. Svaka pojedinana komunikacija u okviru jedne sesije koristi broj sekvence da bi se sprijeilo mijeanje sa ostalim sesijama.

Slika 2.9 Proces TCP konekcije Aplikativni interfejsi Osiguranje interfejsa prema TCP/IP protokolu je znatno jednostavnije u odnosu na ranije mrene modele. Veina proizvoaa softvera nudi niz dobro definiranih i utemeljenih aplikativnih interfejsa (engl. Application Program Interface - API) za tu svrhu. Pomou tih aplikativnih interfejsa programeri mogu kreirati i interfejse prema protokolu. Ukoliko programer eli da kreira aplikaciju koja podrava Web, moe upotrijebiti odgovarajui API da bi osigurao uspostavljanje veze, prijem i predaju podataka i prekid veze. Aplikativni interfejsi su ve napisani, tako da je njihova direktna upotreba znatno jednostavnija od ponovnog pisanja koda koji osigurava uspostavljanje i odravanje veze. Microsoft koristi API pod nazivom Windows socket (WinSock) radi osiguranja interfejsa prema protokolu. Ovaj API moe pristupiti i TCP i UDP protokolu radi obavljanja eljenog posla. Otkrivanje TCP/IP napada Napadi na TCP/IP se najee deavaju na host-to-host ili internet sloju, mada su i ostali slojevi potencijalno "ranjivi". TCP/IP je osjetljiv i na napade spolja i na napade koji potiu iz same organizacije. Mogunost vanjskog napada je donekle ograniena ureajima u mrei, ukljuujui i rutere. Ruter blokira veliki broj portova i spreava njihovu izloenost Internetu. Neki protokoli, kao to je ARP, ne podravaju rutiranje i u principu nisu ni osjetljivi na vanjske napade. Drugi protokoli, kao to su SMTP i ICMP, prolaze kroz rutere i sainjavaju uobiajeni dio internet ili TCP/IP prometa. TCP, UDP i IP protokoli su osjetljivi na napade. Svaka mrea je izuzetno podlona internim napadima. Svaki host koji je podeen za rad na mrei ima pristup cjelokupnom skupu protokola koji se na njoj koriste. Uz odgovarajuu konfiguraciju i softver, svaki raunar sa mrenom karticom moe prislukivati saobraaj na mrei. U narednim odjeljcima prikazaemo prijetnje kojima su izloene TCP/IP mree na kojima se koristi komercijalni ili javni (shareware) softver.

Strana 34

Sigurnost raunalnih mrea

Slika 2.10 Windows Socket interfejs Praenje prometa na mrei Ureaj za -praenje prometa na mrei (engl. network sniffer) "oslukuje" i prikazuje cjelokupni promet na mrei. Praenje prometa se moe izvesti primjenom postojeih raunara. Mrene kartice u raunaru samo prosljeuju podatke ka protokolima vieg nivoa ukoliko su oni namjenjeni tom raunaru; promet koji nije namijenjen tom raunaru se jednostavno ignorira. Veina NIC kartica moe se postaviti u tzv. promiskuitetni reim, u kome one primaju cjelokupan promet na mrei. Najvei broj mrea je zasnovan na sabirnicama, tako da se cjelokupan promet alje do svih prikljuenih raunarskih sistema. Ureaji poput rutera, mostova i preklopnika (switch) mogu izdijeliti, odnosno segmentirati neku veu mreu (time se dobivaju tzv. virtualne mree, ili VLAN). Promet u okviru jednog segmenta je u tom sluaju vidljiv samo stanicama koje pripadaju tom segmentu. Instaliranjem programa za praenje prometa na mrei, poput onoga koji Microsfot isporuuje u Systems Management Server (SMS) paketu, svaki raunar moe postati mreni sniffer. Navedeni program je lako dostupan i posjeduje veoma mone karakteristike. Na Internetu se takoer moe nai veliki broj javnih ili djeljivih sniffer programa. Pomou sniffer ureaja interni napada moe pristupiti svim podacima koji se prenose preko mree. Suvremeni snifferi mogu raspakivati i ponovo sastavljati pakete, tako da kreiraju kompletne poruke, ukljuujui i korisniki ID i lozinku. Takva opasnost je posebno izraena u okruenjima u kojima je olakan pristup vanjskim uesnicima. U takvom okruenju napada moe postaviti laptop ili prenosivi raunar u razvodni ormar i povezati ga sa mreom. Skeniranje portova TCP/IP mrea posjeduje veliki broj portova koji su dostupni vanjskim korisnicima preko rutera. Ti portovi reagiraju na predvidljivi nain na zahtjeve koji stiu preko mree. TCP protokol, na primer, pokuava da izvri sinkronizaciju prilikom inicijalizacije sesije. Potencijalni napada moe sistematski slati zahtjeve na mreu da bi utvrdio koji servisi i portovi su otvoreni. Takav proces, koji predstavlja dio prikupljanja podataka o mrei (engl. fingerprinting) se naziva skeniranje portova; pomou skeniranja napada moe doi do brojnih podataka o odreenoj mrei. Skeniranje se moe realizirati iznutra i izvana. Veliki broj rutera, u sluaju nepravilne konfiguracije, omoguava prolaz svim protokolima. Pojedinani raunarski sistemi na mrei esto izvravaju aplikacije i servise kojih vlasnik ak nije niti svjestan. Takvi servisi mogu osigurati pristup internim napadaima, koji mogu doi do podataka povezivanjem sa odgovarajuim portom. Veliki broj korisnika Microsoftovog Internet Information Servera (IIS) nije ni svjestan propusta koje taj proizvod ima u pogledu zatite. Instaliranjem IIS-a na desktop raunare bez odgovarajuih "zakrpa" napadaima se "otvaraju vrata" da iskoriste sve slabosti IIS-a i dou do eljenih podataka. U praksi postoji veliki broj takvih sluajeva u kojima rtva ak nije bila ni svjesna napada. Takvi napadi se u Strana 35

Sigurnost raunalnih mrea tehnikom smislu moda i ne mogu svrstati u TCP/IP napade, ali ipak pripadaju toj grupi, zato to napadai koriste "uroenu" povjerljivost TCP protokola. Kada vanjski napada doe do IP adresa raunarskih sistema u mrei, on e pokuati da ostvari vezu sa otvorenim portovima na raunalima, to ponekad moe postii ak i Telnet protokolom. TCP napadi TCP funkcionira pomou sinkronizirane konekcije. Sinkronizacija je osjetljiva na napade; to je danas statistiki najei oblik napada. Kao to se sjeate, TCP veza poinje sinkronizacijom ili sporazumijevanjem (handshake). Proces sporazumijevanja je naroito osjetjiv na DoS napade, koji se nazivaju TCP SYN flood napadi (napadi plavljenja). Pored toga, ovaj protokol je osjetljiv i na pristupne i modifikacijske napade, o kojima e biti rijei u narednim odjeljcima. TCP SYN ili TCP ACK Flood napad TCP SYN, koji se esto naziva i TCP ACK napad, danas je veoma est. Osnovni cilj napada je "guenje" servisa. Napad poinje kao i svaka druga TCP veza: klijent i server razmjenjuju podatke kroz TCP pakete. TCP klijent nastavlja slanje ACK paketa ka serveru, koje server tumai kao zahtjeve za uspostavljanje veze. Server odgovara takoer ACK paketima, koje alje prema klijentu, oekujui da e klijent odgovoriti drugim paketom koji oznaava prihvaanje konekcije, nakon ega bi sesija bila uspostavljena. U ovom napadu, meutim, klijent neprekidno alje i prima ACK pakete, bez otvaranja sesije. Server dri sve sesije otvorene, ekajui zadnji paket u sekvenci. Na taj nain server brzo dolazi do maksimalno mogueg broja otvorenih sesija, nakon ega odbija ostale klijente, ne dozvoljavajui im pristup eljenim resursima.

Slika 2.11 TCP SYN flood napad Prikazani oblik napada je praktino nezaustavljiv u najveem broju okruenja bez suradnje sa provajderima vieg nivoa. Veliki broj novijih rutera moe otkriti i eventualno sprijeiti ove napade, tako to ograniava mogunost inicijalne sesije da otvara nove sesije koje se ne zatvaraju. Ovi napadi ak mogu proi potpuno neopaeno. Napada moe upotrijebiti neispravnu IP adresu, pri emu TCP uope nee reagirati, poto ovaj protokol odgovara na sve korektne zahtjeve koji stiu iz IP sloja. Napad tipa TCP Sequence Number TCP Sequence Number napadi nastaju kada napada preuzme kontrolu jednog kraja u TCP sesiji. Da bi napad bio uspjean, napada mora odvojiti napadnuti raunar sa mree tokom kompletne sesije. Prilikom svakog slanja TCP poruke na klijentu ili na serveru se generira odgovarajui redni broj (sequence number). U napadu tipa TCP Sequence Number napada presree poruku i zatim odgovara rednim brojem koji je slian onome koji je upotrijebljen u pravoj sesiji. Ovaj napad moe poremetiti ili preoteti korektnu sesiju. Ukoliko pogodi pravi Strana 36

Sigurnost raunalnih mrea redni broj, napada se moe postaviti izmeu klijenta i servera. Na slici 2.12 prikazan je napad koritenjem rednog broja koji je usmjeren na server. U ovom primjeru napada pogaa redni broj i preuzima ulogu pravog raunarskog sistema.

Slika 2.12 Napad tipa TCP Sequence Number Sistem-rtva moe dobiti poruku o greci koja obavijetava o prekidu veze ili e pokuati da uspostavi novu sesiju. U tom sluaju, napada preuzima konekciju i ostvaruje pristup podacima sa legitimnog sistema. Napada na taj nain stjee prava i privilegije koji su odreeni u vrijeme kreiranja sesije. Slabosti koje omoguavaju takav napad su ponovo "vezane" za sam karakter TCP protokola, tako da se malo to moe uraditi da bi napad bio sprijeen. Prepoznavanje takvih napada je osnovna mjera zatite od njih. Navedeni napadi su obino samo uvod u smiljeni napad na server na nekoj mrei. TCP/IP Hijacking TCP/IP Hijacking (otmica, naziva se i aktivno "njuenje"; engl. active sniffing) podrazumijeva napadaa koji ostvaruje pristup nekom hostu u mrei, nakon ega ga logiki iskopava sa mree. Po odvajanju pravog hosta, napada povezuje drugi raunar sa istom IP adresom. itav proces se odvija brzo, nakon ega napada ima pun pristup uspostavljenoj sesiji i svim podacima na prvobitnom sistemu. Server uope ne zna da je dolo do napada, tako da e nastaviti da odgovara na zahtjeve kao da je rije o provjerenom klijentu.

Slika 2.13 Napad tipa TCP/IP Hijacking Na slici 2.13 prikazan je napad tipa TCP/IP hijacking. Napada u prikazanom primjeru primorava server da prihvati njegovu IP adresu kao ispravnu. ICMP napadi ICMP napadi nastaju tako to se ICMP protokol primorava da alje odgovore na prividno legitimne ICMP zahtjeve. U prethodnom razmatranju smo ve naglasili da je ICMP obino povezan sa ehom. ICMP osigurava odravanje i izvjetavanje o stanju u TCP/IP mreama. Ovaj protokol pripada IP sloju niza protokola. Postoji nekoliko razliitih programa, ukljuujui i Ping, koji koriste ICMP protokol. Sve do nedavno ICMP je tretiran kao protokol koji ne moe izazvati mnogo tete. Danas se, meutim, napadi na njega svrstavaju u Strana 37

Sigurnost raunalnih mrea uobiajene DoS napade. ICMP tuneliranje i smurf napad predstavljaju dvije osnovne tehnike koje koriste ICMP radi naruavanja rada sistema. Smurf napadi Smurf navadi postaju sve ei i mogu izazvati pravu pometnju na mrei. Za njih se koriste IP lano predstavljanje (spoofing) i difuzno emitiranje (broadcasting) radi slanja ping komande ka grupi hostova u mrei. Kada do nekog hosta stigne komanda ping, on odgovara ICMP porukom koja ukazuje na njegov status. Ukoliko se ping komanda poalje difuzno na mreu, na nju e odgovoriti svi hostovi, zbog ega dolazi do preoptereenja mree i ciljnog sistema. Napada alje difuznu poruku sa legalnom IP adresom. U naem primjeru raunar napadaa alje ping zahtjev na difuznu adresu mree. Zahtjev se alje do svih raunara u velikoj mrei, koji alju odgovor do raunara ija je adresa odreena ICMP zahtjevom (prijevara je kompletna). Krajnji rezultat je DoS napad koji optereuje propusni opseg mree, dok je ciljni raunar preplavljen prijemom ICMP poruka. Smurf napadi su veoma popularni. Osnovni nain zatite podrazumijeva zabranu prijenosa ICMP prometa preko rutera. Ukoliko ruter blokira ICMP promet, smurf napadi izvana nisu mogui. ICMP tuneliranje ICMP poruke mogu sadrati i podatke o vremenima prijenosa i ruterima. Pored toga, ICMP paketi se mogu iskoristiti i za prijenos drugih oblika podataka. Zahvaljujui tome, ovi paketi se mogu iskoristiti kao komunikacijski kanal izmeu dva sistema, preko koga se mogu slati "trojanci" ili drugi zlonamjerni sadraji. ICMP tuneliranje je jedna od novijih tehnika za kreiranje pometnje i nanoenje tete u mreama. Zabrana ICMP prometa u mrei je osnovna protivmjera za ICMP napade. Veina rutera nudi mogunost zabrane ICMP prometa, to svakako treba da razmotrite kao mogunost i u Vaoj mrei.

Slika 2.14 Smurf napad na mreu

Kako funkcioniraju napadi na aplikacije i servise vieg nivoa (software exploitation)?

Pojam software exploitation oznaava napade koji su usmjereni na aplikacije i servise vieg nivoa. Ti napadi osiguravaju pristup podacima zahvaljujui slabostima sistema pristupa u bazama podataka ili grekama u servisima. U ovom odjeljku emo ukratko objasniti neke uobiajene i uspjene metode napada koji eksploatiraju slabosti softvera. Ti napadi poinju

Strana 38

Sigurnost raunalnih mrea upotrebom odreenih virusa, kao to je Klez32, ili provoenjem tzv. pristupnog napada, o emu smo ve govorili u ovom poglavlju. Eksploatacija baza podataka Veliki broj baza podataka omoguava kreiranje sloenih pristupnih upita u okruenjima tipa klijent/server. Ukoliko napada uspije da preotme (hijack) klijentsku sesiju ili da se predstavi kao legitimni klijent (spoofing), moi e i da kreira odgovarajui upit da bi iz baze podataka dobio informacije za koje, inae, nije ovlaten. Da bi takav napad bio uspjean, napada prvo mora ostvariti pristup mrei primjenom neke od ranije opisanih tehnika. Eksploatacija aplikacija Makro virusi predstavljaju jo jedan primer eksploatacije softvera. Makro virus sadri niz programskih instrukcija u nekom jeziku, kao to je VBScript, na osnovu kojih aplikacija izvrava nareene nelegalne radnje. Korisnici uvijek ele mone alatke, dok proizvoai prodaju upravo ono to korisnici ele. Makro virusi eksploatiraju tu mo koja dolazi uz programe za obradu teksta i za tabelarne proraune ili uz druge aplikacije. Makroi su trajno ugraeni u ove programe, tako da su njihovi korisnici uvijek izloeni moguim napadima, osim ako ne iskljue sve makroe. E-mail eksploatacija Teko da proe i jedan dan bez pojave novog e-mail virusa. Takva situacija je rezultat slabosti najveeg broja standardnih e-mail klijenata. Suvremeni e-mail klijenti posjeduju brojne preice, liste i druge elemente koji zadovoljavaju potrebe korisnika. Uobiajena zloupotreba e-mail klijenata obuhvaa pristup adresaru klijenta radi dalje propagacije virusa. Korisnik e-mail klijenta ne moe uiniti praktino nita protiv takve zloupotrebe adresara, mada odgovarajui antivirusni program moe pruiti odreeni stupanj zatite. Da bi zatita bila potpuna, proizvoai softvera moraju otkloniti slabosti

Kako "preivjeti" zlonamjeran kod?

Zlonamjeran (malicious) kod oznaava iroku kategoriju softverskih prijetnji usmjerenih na mree i raunarske sisteme. Takve prijetnje obuhvaaju viruse, "trojance", logike "bombe" i "crve". Administrator sistema zatite treba da pomogne svojim korisnicima u stvaranju uvjeta za siguran rad i za odbijanje takvih napada. Ukoliko je takav napad uspjean, on moe napraviti pusto na raunalu, uz dodatno irenje preko itave mree. Poznat je sluaj sa Melissa virusom koji je praktino oborio itav Internet u trajanju od nekoliko dana u oujku 1999. godine. Virus se proirio na vie milijuna raunara korisnika Eudoora i Outlook Expressa irom svijeta. Razne varijante ovog virusa se i danas prenose Internetom. Virusi Virus je softverski proizvod koji je kreiran radi "inficiranja" raunarskog sistema. Pojedini virusi ne poduzimaju nikakve druge akcije, osim to se smjetaju na napadnutom raunaru. Drugi oblici virusa mogu otetiti podatke na hard disku, unititi operativni sistem i proiriti se na ostale raunare. Virusi dospijevaju na raunar na jedan od tri mogua naina: preko "zaraene" diskete ili CD diska, elektronikom potom ili kao dio drugog programa. Virusi se mogu svrstati u nekoliko vrsta: polimorfni, nevidljivi (stealth), retrovirusi, multipartite, oklopni (armored), companion, phage i makro virusi. Svaki tip primjenjuje drugaiju strategiju napada i ima razliite efekte. Simptomi virusne "infekcije"

Strana 39

Sigurnost raunalnih mrea Veliki broj virusa objavljuje svoje prisustvo odmah nakon naseljavanja raunara. Takvi virusi mogu preuzeti kontrolu nad sistemom, uz zamorno ispisivanje poruka na ekranu ili unitenje podataka na hard disku, tako da korisnik odmah zna da je "zaraen". Postoje i virusi koji usporavaju rad raunara, trajno uklanjaju datoteke sa diska ili, jednostavno, zauzimaju prostor na disku korisnika. Da biste utvrdili da li ste "zaraeni" virusom, provjer da li na raunaru postoji neki od sljedeih simptoma: o Uitavanje programa traje due nego obino. To se deava zato to se virus iri i na ostale programe na raunaru ili zato to zauzima raunarske resurse. o Na hard disku se pojavljuju strane datoteke ili se postojee datoteke jednostavno gube sa raunara. Veliki broj virusa brie kljune datoteke sa sistema, tako da on postaje neupotrebljiv. o Veliina programa je izmijenjena u odnosu na stanje nakon instalacije. Do promjene dolazi zbog toga to se virusi "veu" na programe sa diska. o Web ita, program za obradu teksta ili neki drugi program poinju da se ponaaju udno. Dolazi do izmjene standardnih ekrana ili menija. o Sistem se misteriozno gasi sam od sebe ili se sam pokree, uz poveanu aktivnost diska. o Korisnik misteriozno gubi mogunost pristupa disku ili drugim sistemskim resursima. Virus je izmijenio parametre ureaja, koji se vie ne moe koristiti. o Sistem se ne moe ponovo podii ili prikazuje neoekivane poruke o grekama prilikom dizanja. Kako funkcioniraju virusi? U najveem broju sluajeva virusi pokuavaju da postignu jedan od dva mogua cilja: da onesposobe raunarski sistem ili da se proire na druge sisteme. Veliki broj virusa e se proiriti na druge sisteme ukoliko mu se ukae prilika, nakon ega e onesposobiti raunar. Takvo ponaanje je uobiajeno za novije viruse.

Slika 2.15 irenje virusa inficiranog sistema putem mree ili izmjenjivih medija za skladitenje podataka Ukoliko je raunar "zaraen", virus e verovatno pokuati da se "prikai" na sve datoteke na raunaru da bi mogao da pree i na ostale sisteme prilikom slanja dokumenata drugim korisnicima. Kada "zaraeni" disk date drugom korisniku ili ga postavite u drugi raunar, virus e "zaraziti" i taj raunar.

Strana 40

Sigurnost raunalnih mrea Vrste virusa Virusi se javljaju u vie razliitih oblika. U ovom odjeljku emo ukratko objasniti te oblike i nain njihovog funkcioniranja. Prikazaemo najee koritene viruse, mada navedena lista svakako nije konana. Polimorfni virusi Polimorfni virusi mijenjaju svoj oblik da bi izbjegli detekciju. Oni napadaju raunarski sistem, prikazuju poruku na raunani i briu datoteke sa njega. Pored toga, virusi ovog tipa pokuavaju da prikriju svoje postojanje od antivirusnih programa. Da bi izbjegli detekciju, oni najee ifriraju svoje dijelove - taj proces se naziva mutacija. Mutacija oteava antivirusnim programima detekciju uobiajenih karakteristika virusa.

Slika 2.16 irenje e-mail virusa geometrijskom progresijom

Slika 2.17 Polimorfni virus koji mjenja svoje karakteristike Nevidljivi (stealth) virusi Stealth virusi pokuavaju da izbjegnu detekciju prikrivajui svoje prisustvo od aplikacija. Oni se mogu prikaiti na startni (boot) sektor hard diska. Prilikom pokretanja neke sistemske rutine ili programa stealth virus preusmjeravan komande sa sebe da bi izbjegao detekciju. Strana 41

Sigurnost raunalnih mrea "Inficirana" datoteka moe prijaviti veliinu koja se razlikuje od stvarne da bi se izbjegla detekcija. Retro virusi Retro virusi napadaju ili zaobilaze antivirusne programe koji su instalirani na raunaru. Oni se mogu tretirati kao anti-antivirusni programi. Mogu direktno napasti antivirusni program, tako to e unititi datoteku sa definicijama virusa. Unitavanje ove datoteke bez znanja korisnika ostavlja kod njega lani osjeaj sigurnosti. Pored toga, virusi ovog tipa mogu napasti antivirusni program da bi kreirali zaobilaznicu za sebe. Multipartite virusi Multipartite virusi napadaju sistem na vie razliitih naina istovremeno. Oni mogu "inficirati" startni sektor ciljnog raunara i sve izvrne datoteke, pa ak i unititi aplikativne datoteke. Polazi se od pretpostavke da korisnik nee moi da se izbori sa svim problemima, tako da e dozvoliti da se "pustoenje" nastavi. Oklopni (armored) virusi Oklopni virusi su dizajnirani tako da oteavaju svoju detekciju i analizu. Oni se zaklanjaju iza zatitnog koda koji spreava da debager ili disasembler izvre ispitivanje kljunih elemenata virusa. Virus moe biti napisan tako da dijelovi njegovog koda funkcioniraju kao "mamci" koji e usmjeriti analizu na pogrean pravac, dok e pravi kod biti skriven u drugim dijelovima programa. Sa stanovita kreatora virusa, virus e "ivjeti" due ukoliko je due i vrijeme koje je potrebno za njegovu rekonstrukciju. Dui "ivotni vijek" znai i vie vremena za replikaciju virusa i veu mogunost irenja na nove raunare. Osnovne mjere za zaustavljanje najveeg broja virusa su njihova identifikacija i izvjeivanje administratora o njegovom postojanju upravo one aktivnosti koje zatitni oklop ove vrste virusa oteava.

Slika 2.18 Nevidljivi (stealth) virus sakriven u startnom (boot) sektoru Companion virusi Companion virusi se "okae" na legitimne programe, nakon ega kreiraju programe sa drugom ekstenzijom. Takve datoteke se esto smjetaju u privremene direktorijume napadnutog raunara. Kada korisnik unese naziv legitimnog programa, umjesto njega se pokree companion virus. Na taj nain je virus praktino sakriven od korisnika. Veliki broj virusa koji napadaju Windows sisteme mijenjaju pokazivae na programe u Registry bazi, tako da oni ukazuju na "inficirane" verzije programa. Nakon pokretanja, "inficirani'' program obavlja svoj "prljavi" posao, a zatim pokree pravi program. Phage virus Phage virusi mijenjaju druge programe i baze podataka. Virusi ovog tipa "inficiraju" sve takve datoteke. Ponovna instalacija "zaraenih" programa je jedini nain za njihovo uklanjanje sa raunara. Ukoliko tokom uklanjanja virusa ostane samo jedna "zaraena" datoteka, itav proces e poeti iznova i cjelokupni sistem e ponovo biti "zaraen".

Strana 42

Sigurnost raunalnih mrea Makro virusi Makro virusi koriste poboljanja koja su dodata brojnim aplikativnim programima. Programeri mogu proiriti mogunosti programa kao to su Word i Excel. Word, primjera radi, podrava mini-BASIC programski jezik, koji osigurava automatiziranje rada sa datotekama. Takvi programi koji postoje u okviru datoteka nazivaju se makroi. Pomou makroa se moe naloiti programu za obradu teksta da automatski provjeri potovanje pravopisa u nekom dokumentu odmah nakon njegovog otvaranja. Makro virusi mogu "zaraziti" sva dokumenta na ciljnom raunani, uz mogunost irenja na druge raunare putem elektronike pote ili drugih metoda.

Slika 2.19 Multipartive virus u napadu na raunalni sistem

Kako prepoznati lane viruse?

Korisnici mree moraju voditi rauna o bezbroj opasnih virusa. I pored toga, postoje ljudi koji misle da je zabavno slati lane prijetnje da bi odrali korisnike budnim. Najpoznatiji sluajevi lanih virusa (engl. hoax viruses) su Good Time i Irina. Vie milijuna korisnika je primilo email o tim virusima, u kojima su njihovi simptomi opisivani kao uasni. U porukama se tvrdilo da ovi virusi obavljaju aktivnosti koje je, inae, nemogue izvesti sa virusima. Po prijemu upozorenja o nekom virusu, korisnik moe provjeriti njegovu autentinost, tako to e posjetiti web stranice proizvoaa antivirusnog softvera koji je instaliran na njegovom raunaru ili neku od javnih lokacija posveenu toj temi. Jedna od najkorisnijih lokacija te vrste na kojoj se mogu dobiti podaci o najnovijim virusima je CERT organizacija (www. cert .org). CERT stalno kontrolira i prati aktivnost virusa, o emu izdaje redovita priopenja na svom sajtu. Kada primite obavijest o virusu u iju autentinost sumnjate (hoax), posjetite CERT sajt prije nego to proslijedite poruku nekom drugom. Osnovni cilj kreatora hoax virusa jeste opa panika, tako da ete prosljeivanjem obavijesti samo pomoi u ostvarivanju cilja. Poruka koja se zavrava pozivom tipa "proslijedite ovu poruku svim svojim prijateljima" vjerojatno pripada grupi hoax (lanih) virusa. Zanemarivanje takvih poruka vodi do brze "smrti" virusa, tako da se korisnici mogu koncentrirati na produktivan rad. "Trojanski konji" "Trojanski konj" je program koji se nastanjuje na raunaru ili na mrei, tako to se maskira u neki korisni program. Virusi ovog tipa se mogu javiti u obliku priloga ili kao dio nekog instalacijskog programa. Kada dospije na raunar, "trojanac" moe kreirati sporedna vrata Strana 43

Sigurnost raunalnih mrea (back door) ili zamijeniti ispravan program tokom instalacije. Nakon toga, obavlja svoju konanu misiju pod maskom nekog drugog programa. "Trojanci" se mogu iskoristiti za naruavanje sistema zatite u ciljnoj mrei, pri emu mogu proi godine prije nego to budu detektirani. Zabrana pristupa "trojancima" je najbolja preventiva protiv njih. Neposredno prije i nakon instalacije novog softvera ili operativnog sistema obvezno napravite rezervne kopije. Ukoliko sumnjate na virus iz ove grupe, moete reinstalirati originalne programe, ime e "trojanac" biti uniten. Skeniranje portova takoe moe detektirati "trojanca" na Vaem raunarskom sistemu. Ukoliko neka aplikacija otvara TCP ili IP port koji nije podran na Vaoj mrei, skeniranjem moete otkriti koji je to port. Logike "bombe" Logike "bombe" predstavljaju programe ili dijelove programskog koda koji se izvravaju nakon pojave unaprijed definiranog dogaaja. "Bomba" moe poslati obavijest napadau kada se korisnik povee na Internet i radi sa programom za obradu teksta. Takva poruka obavjetava napadaa da je korisnik-"rtva" spreman za napad. Logike "bombe" se mogu podesiti i tako da se aktiviraju odreenog datuma ili pod skupom unaprijed definiranih okolnosti. "Crvi" "Crv" (worm) se razlikuje od klasinih virusa po tome to ima mo reprodukcije, predstavlja zaokruenu cjelinu i ne zahtjeva host-aplikaciju za prenoenje. Veliki broj virusa koji zaokupljaju panju medija i tampe u principu i ne pripada virusima, ve je rije o "crvima". Ipak, "crvi" mogu ak sadravati i viruse, tako da se mogu iskoristiti za isporuku virusa na ciljni sistem.

Slika 2.20 Logika bomba u akciji Antivirusni programi Upotreba antivirusnih programa predstavlja osnovnu mjeru zatite od irenja zlonamjernog koda. Ti programi su aplikacije koje se instaliraju na raunarski sistem radi njegove zatite i otkrivanja virusa, "trojanaca" i "crva". Najvei broj virusa posjeduje neke zajednike karakteristike koje su specifine za tu familiju programa. Anitivirusni programi pronalaze upravo takve karakteristike ("otiske prstiju") da bi identificirali i neutralizirali viruse prije nego to nanesu bilo kakvu tetu. Danas je definirano vie od 60.000 najrazliitijih virusa, "crva", "bombi" i drugih oblika zlonamjernih kodova, a svakodnevno se pojavljuju i nove vrste. Proizvoai antivirusnih proStrana 44

Sigurnost raunalnih mrea grama obino ulau velike napore da bi odrali aurnost svojih baza podataka sa definicijama virusa. Datoteke sa definicijama virusa sadre podatke o svim poznatim virusima, zajedno sa protumjerama za konkretan antivirusni paket. Male su anse da korisnik "naleti" na virus koji ve nije detektiran u nekoj od tih kompanija. Ukoliko redovno aurirate bazu sa definicijama virusa, vjerojatno neete biti previe izloeni napadima.

Kako funkcionira napad zasnovan na ljudskom kontaktu?

U prethodnim odjeljcima smo prikazali kako funkcioniraju napadi na raunare i mree. Pored toga, bilo je rijei i o TCP/IP sistemima i njihovim slabim tokama. Opisali smo i situacije sa kojima e se vjerojatno sresti korisnici Vae mree da biste im mogli pruiti pomo sa tehnikog aspekta. Ipak, najvie panje morate posvetiti napadima koji su zasnovani na obinom ljudskom kontaktu (social engineering). Ova vrsta napada predstavlja proces u kome napada pokuava da prikupi podatke o ciljnoj mrei i sistemima na njoj putem socijalnih kontakata, kao to su razgovori sa pripadnicima organizacije. Socijalni napadi se mogu izvoditi preko telefona, elektronikom potom ili obinom posjetom. Namjera napadaa je da prikupi podatke koji e mu omoguiti pristup sistemu, poput podataka o korisnikim IDovima i lozinkama. Uvod u nadzor procesa i datoteka Najvei broj raunarskih sistema generie datoteke-dnevnike (log files) u koje se biljee svi dogaaji "vezani" za sistem zatite i datoteke u koje se biljee svi podaci o aktivnostima na sistemu (audit files - nadzorne datoteke). Ove datoteke nemaju nikakve koristi ukoliko se njihov sadraj povremeno ne kontrolira radi otkrivanja neuobiajenih dogaaja. Veliki broj web servera (logon, sistemski i aplikacijski serveri) biljee sve poruke koje se javljaju na sistemu (message auditing). Obujam podataka koji se nalaze u takvim datotekama moe biti izuzetno veliki. Da biste mogli da ih koristite, morate osigurati redovitu, periodinu kontrolu njihovog sadraja. Datoteke sistema nadzora takoer mogu biti predmet pristupnih ili modifikatorskih napada. U njima se esto nalaze kljuni podaci o sistemima na mrei, ukljuujui i podatke o dijeljenim resursima, statusu sistema zatite, itd. Napada moe iskoristiti takve podatke da bi prikupio dodatne informacije o ciljnoj mrei. U pristupnom napadu nadzorne datoteke mogu biti izbrisane ili se njihov sadraj moe izmijeniti da bi se sprijeilo da administrator otkrije nelegalne aktivnosti. Neka logika "bomba" bi mogla, primjera radi, da obrie sadraj ovih datoteka kada zavri svoj rad. Administrator e u tom sluaju znati da se neto desilo, ali nee moi da prikupi nikakve dodatne podatke, niti da iskoristi sadraj log i nadzornih datoteka. Administrator mora periodino provjeravati stanje svog sistema da bi utvrdio koji je novi softver instaliran i da li ima pojava da korisnici ostavljaju svoje lozinke na ljepljivim papiriima na monitoru ili na tastaturi. To se moe postii bez pretjeranog privlaenja panje jednostavnim organiziranim ienjem monitora korisnika. Tijekom ienja se moe utvrditi i da li se korisnici pridravaju propisanih mjera fizike zatite. Ukoliko tijekom kontrole naiete na papiri sa ispisanom lozinkom, moete jednostavno "zaboraviti" da je vratite na njeno mjesto. Pored toga, moete i upozoriti korisnika na mogue opasnosti. Kao administrator, morate planirati i povremenu analizu (skeniranje) "ranjivih" mjesta na svojoj mrei. Skener osjetljivih mjesta (engl. vulnerability scanner) je softverska aplikacija koja provjerava mreu i pronalazi uobiajene sigurnosne propuste na njoj; bolje je da takav skener sami pokrenete na svojoj mrei, nego da ekate da to uradi neko izvan organizacije. Jedan od najpoznatijih skenera te vrste je SADNT - Security Administiator's Integrated Network Tool. Strana 45

Sigurnost raunalnih mrea

Kontrolna pitanja
1. Koji napad sprjeava pristup legitimnih korisnika do mrenih resursa? A. DoS B. "crvi" C. logika "bomba" D. socijalni napad 2. Kao administrator sistema zatite u organizaciji, morate poznavati sve vrste napada koji se mogu pojaviti na mrei i raunati na njih. U kojem napadu na rtvu se koristi vei broj raunara? A. DoS B. DDoS C. "crvi" D. UDP napad 3. Na serveru Vae mree izvrava se program koji omoguava izbjegavanje identifikacije tokom prijave. O kakvom napadu je rije? A. DoS B. DDoS C. sporedna vrata D. socijalni napad 4. Administrator u kompaniji sa kojom Vaa firma surauje je izvijestio o pojavi nove prijetnje za raunarske sisteme. Prema njegovim rijeima, rije je o napadu u kome se napada ubacuje sa svojim raunarom u vezu koja se trenutno odvija izmeu dva sistema. O kakvom napadu je rije? A. napad sa ubacivanjem u vezu (man-in-the-middle napad) B. napad preko sporednih vrata C. Crvi D. TCP/IP otmica 5. Otkrili ste da se u mrei esto pojavljuje certifikat kome je istekla vanost. O kakvom napadu se najvjerojatnije radi? A. man-in-the-middle napad B. napad preko sporednih vrata C. replay napad D. TCP/IP otmica (hijacking) 6. Mlai administrator je dotrao do Vas u panici - nakon pregleda log datoteka zakljuio je da neki napada pokuava da iskoristi IP adresu da bi preuzeo ulogu drugog sistema u mrei i osigurao pristup. O kakvom napadu je re? A. man-in-the-mddle napad B. napad preko sporednih vrata C. "crv" D. TCP/IP hijacking 7. Server u Vaoj mrei vie ne prihvaa konekcije preko TCP protokola. Podaci ukazuju da je prijeen limit sesije. O kakvom napadu je vjerojatno rije? A. TCP ACK napad B. smurf napad Strana 46

Sigurnost raunalnih mrea C. napad virusa D. TCP/IP hijacking 8. Smurf napad alje difuzni (broadcast) ping na mreu; adresa na koju se vraaju ping odgovori moe biti neki od legitimnih raunara na Vaoj mrei. Koji protokol se koristi u ovom napadu? A. TCP B. IP C. UDP D. ICMP 9. Osoblje Help Deska je izvijestilo da je primilo hitan poziv od potpredsjednika prole noi sa zahtjevom da mu se saopi njegov korisniki ID i zaporka. O kakvom napadu je rije? A. spoofing (lano predstavljanje) B. replay napad C. socijalni napad D. "trojanski konj" 10. Pozvao Vas je uspanieni korisnik, obavjetavajui Vas da prima e-mail poruke od raznih ljudi sa upozorenjem da od njega dobivaju poruke sa virusima. U toku dana je pristiglo vie od 200 takvih poruka. O kakvom napadu je najvjerojatnije rije? A. SAINT B. napad preko sporednih vrata C. "crv" A. TCP/IP hijacking 11. Va raunar je iznenada prestao da reagira na komande sa tastature. Primijetili ste da je problem nastao tijekom biranja Interneta, pri emu je bio otvoren i program za tabelarne proraune. O kakvom napadu je vjerojatno rije? A. logika "bomba" B. "crv" C. virus D. ACK napad 12. Pokuavate da objasnite osnovne pojmove o sistemu zatite organima upravljanja da bi osigurali dodatne fondove za razvoj mree. Jedan od organa upravljanja je napomenuo da je uo da postoje virusi koji prikrivaju svoje postojanje tako to kriju svoj kod od anuvirusnih programa. O kakvim virusima je rije? A. oklopni (armored) virusi B. polimorfni virusi C. "crvi" D. nevidljivi (stealth) virusi 13. Kako se nazivaju virusi koji se smjetaju u startni (boot) sektor na disku da bi izbjegli detekciju i pruili lane podatke o veliini datoteke? A. "trojanski konji" B. nevidljivi (stealth) virusi C. "crvi" D. polimorfni virusi

Strana 47

Sigurnost raunalnih mrea 14. Pozvao Vas je telefonom mobilni korisnik koji se nalazi na putu da bi Vas informirao da se njegov laptop ponaa udno. Izvijestio je da nije imao nikakvih problema tijekom preuzimanja tic-tac-toe programa sa sajta na kome nikada ranije nije bio. Koja od navedenih stavki najbolje opisuje program koji je uao u sistem "preruen" u neki drugi program? A. virus tipa "trojanski konj" B. polimorfni virus C. "crv" D. oklopni (armored) virus 15. Va raunar se ponaa udno posle preuzimanja datoteke od kolege. Nakon aktiviranja antivirusnog programa, uoili ste da je datoteka sa definicijama virusa izgubljena. Kako se naziva virus koji je najvjerojatnije "zarazio" va sistem? A. polimorfni virus B. retrovirus C. crv D. oklopni virus 16. Interni korisnici izvjetavaju o upornim pokuajima "inficiranja" njihovih raunam, na osnovu pop-up poruka koje izbacuje njihov antivirusni program. Sudei prema sadraju poruka, rije je o istom tipu virusa na svim raunalima. Koji je najvjerojatniji uzrok problema? A. Server se ponaa kao nosilac virusne infekcije. B. Na mrei se nalazi "crv"-virus. C. Antivirusni program ne funkcionira ispravno. D. U toku je DoS napad. 17. Datoteke-dnevnici na Vaem sistemu izvjetavaju o pokuaju osiguranja pristupa jednom korisnikom nalogu, koji je i toku. Do sada je takav pokuaj bio neuspjean. O kakvom napadu je najvjerojatnije rije? A. napad sa pokuajem pogaanja lozinke B. napad preko sporednih vrata C. napad pomou "crva" D. TCP/IP hijacking 18. Korisnik je izvestio da prilikom podizanja sistema prima poruku o greci koja ukazuje da je njegova TCP/IP adresa ve u upotrebi. Njegovom raunaru je dodijeljena statika IP adresa, a Vi ste sigurni da ta adresa nije sluajno dodijeljena drugom raunaru. O kakvom napadu je najvjerojatnije rije? A. man-in-the-middle napad B. napad preko sporednih vrata C. "crv" D. TCP/IP hijacking (otmica) 19. Za vrijeme rada u kasnim nonim satima primijetili ste neobino visoku aktivnost hard diska na Vaem novom raunaru, mada ne poduzimate nikakve aktivnosti na njemu. Istovremeno, raunar je prikljuen na Internet. O emu je, najvjerojatnije, rije? 20.Vi ste adirunistrator u velikoj vinskoj kompaniji. Na kraju svakog mjeseca redovno provjeravate sadraj log datoteka, u potrazi za nepravilnostima. Ovog mjeseca ste u log

Strana 48

Sigurnost raunalnih mrea datoteci e-mail sistema otkrili veliki broj neuspjenih pokuaja prijave. Oigledno je da je e-mail server predmet napada. O kakvom napadu je vjerojatno rije? A. napad sa eksploatacijom slabosti primijenjenog softvera B. napad preko sporednih vrata C. "crv" D. TCP/IP hijacking

Odgovori
1. A. DoS napad pokuava da sprijei pristup mrenim resursima, tako to preoptereuje ili preplavljuje neki servis na mrei. 2. B. DDoS napad koristi vie raunara radi napada na server ili neki host na mrei. 3. C. U napadima preko sporednih vrata na server se postavljaju neki program ili servis koji "preskau" uobiajene procedure sistema zatite. 4. A. Napad sa ubacivanjem u vezu (man-in-the-middle attack) pokuava da zavara oba kraja komunikacijske sesije, tako to se predstavlja kao ureaj sa drugog kraja veze. 5. C. Replay napad ponavlja saobraaj koji je obavljan u prethodnoj sesiji da bi osigurao pristup raunarskim sistemima. 6. D. TCP/IP hijacking (otmica) podrazumijeva krau validne IP adrese i njenu upotrebu radi uspjene identifikacije ili ostvarivanja pristupa podacima na mrei. 7. A. TCP ACK napad kreira vie nezavrenih sesija. TCP protokol je vjerojatno doao do limita, tako da odbija sve dodatne konekcije. 8. D. Smurf napad alje difuzni ping (ICMP) na mreu. Povratna ping adresa moe biti neki od legitimnih sistema na mrei. Taj raunar e u nekoj veoj mrei biti preplavljen odgovorima. 9. C. Nepoznata osoba pokuava da prevari Vau organizaciju da bi dola do podataka o nalogu i do lozinke. Rije je o socijalnom napadu. 10. C. "Crv" je jedna vrsta zlonamjernog koda koja se razmnoava i iri pomou svih raspoloivih sredstava. On ne mora voditi porijeklo sa raunara iji se naziv nalazi u poruci; vjerojatno potie sa raunara u kome se taj naziv nalazi u adresaru. 11. A. Logika "bomba" alje obavjetenje napadau u kome ga obavjetava da su ispunjeni svi unaprijed definirani uvjeti za napad. Takva poruka moe pokrenuti napad na ciljni raunar. 12. A. Oklopni virus je dizajniran tako da prikriva svoje karakteristike iza koda koji zbunjuje antivirusni program ili blokira detekciju samog virusa. 13. B. Nevidljivi virusi daju lane podatke da bi prikrili svoje postojanje od antivirus-nih programa. Oni se obino "prikapaju" na startni sektor operativnog sistema. 14. A. Virus tipa "trojanski konj" ulazi na raunarski sistem preko legitimnog programa, nakon ega moe realizirati svoje zle namjere. 15. B. Retrovirusi se esto nazivaju i anti-antivirusi. Oni mogu blokirati rad antivirusnih programa, ime se sistem otvara za nove, manje opasne viruse. 16. A. Neki virusi ne oteuju napadnute sisteme da bi osigurali irenje na ostale raunare u mrei. Oni koriste te sisteme kao nosioce "infekcije". 17. A. Uporni pokuaji aktiviranja naloga sa razliitim lozinkama jasno govore da je rije o napadu radi pogaanja lozinke. 18. D. Nedostupnost TCP/TP adrese prilikom pokretanja sistema predstavlja jedan od simptoma napada tipa TCP/TP hijacking (otmice). 19. B. Veliki broj virusa se manifestira u neuobiajenoj aktivnosti hard diska. Poveana aktivnost je rezultat irenja virusa na ostale datoteke na disku.

Strana 49

Sigurnost raunalnih mrea 20. A. U napadu sa eksploatacijom postojeeg softvera napada pokuava da iskoristi slabosti tih programa. Napada obino pokuava da uspostavi vezu sa odgovarajuim portom da bi ostvario nedozvoljeni pristup. Najvei broj e-mail servera koristi port broj 25 za vezu preko SMTP protokola.

Strana 50

Sigurnost raunalnih mrea

3. Infrastruktura i povezivanje
Vaa mrea je sastavljena od razliitih prijenosnih medija i ureaja koji osiguravaju komunikaciju i odreeni nivo zatite. Neki od tih ureaja (poput rutera, modema i PB sistema) omoguavaju povezivanje mree sa vanjskim uesnicima i drugim mreama. Drugi ureaji (kao to su CD-R, diskovi i magnetne trake) predstavljaju interni arhivski medij, ali i medij za radno skladitenje podataka u raunarskim sistemima. Da bi se osigurao odreeni nivo zatite, administrator sistema zatite mora znati kako ti ureaji rade i na koji nain osiguravaju zatitu (ili to ne ine). U ovom poglavlju govorimo o osnovnim temama u vezi sa infrastrukturom i prijenosnim medijima.

to predstavlja zatita infrastrukture

Zatita infrastrukture obuhvata najvanije aspekte protoka podataka i naina rada u mrei i raunarskim sistemima. Mrena infrastruktura predstavlja osnovu za cjelokupan posao koji se odvija u odreenoj organizaciji. Kada je rije o infrastrukturi, imajte na umu da nju sainjavaju serveri, mree, mreni ureaji, radne stanice i svi procesi koji omoguavaju normalno odvijanje posla. Radi analogije, zamislite neki grad: gradsku infrastrukturu ne sainjava samo mrea meunarodnih autoputova koji se proteu kroz njega, ve u nju spadaju i magistralni putovi, ulice, zaobilaznice, itd. Da biste procijenili sigurnost konkretne infrastrukture, morate znati koji hardver sainjava tu infrastrukturu i kakve su njegove karakteristike, ali i softver koji se u njoj koristi i njegove karakteristike. Svako dodavanje novog ureaja, izmjena konfiguracije ili komutacijske tehnologije potencijalno mijenjaju i stupanj zatite mree. Poput lanca koji je jak onoliko koliko je jaka njegova najslabija karika, i mrea je jaka upravo onoliko koliko je jak njen najslabiji vor. Mree su meusobno povezane putem Interneta i drugih tehnologija, ime se poveava i mogunost za napade na njih primjenom razliitih tehnika. Eliminacija oiglednih prijetnji je osnovni posao strunjaka u oblasti zatite, zajedno sa procjenom buduih kreativnih napada na mrenu infrastrukturu, uz istovremenu pripremu za neutralizaciju napada prije nego to do njega doe. Rad sa hardverskim komponentama Mrene hardverske komponente obuhvaaju ureaje poput rutera, servera, mrenih barijera, radnih stanica i (povremeno) prespojnika. Na slici 3.1 prikazana je tipina mrena infrastruktura, sa uobiajenim hardverskim komponentama. Sa stanovita sistema zatite, takva infrastruktura je znatno vea od prostog zbira komponenata. Pri procjeni sigurnosti mree mora se uzeti u obzir svaki pojedinani ureaj u njoj. Kompleksnost veine mrea znatno oteava njihovu zatitu. Ostvarenje razumnog stupanja zatite nije mogue ukoliko se ne razmotre slabosti i prednosti svakog pojedinanog ureaja na mrei. Rad sa softverskim komponentama Hardver postoji da bi omoguio izvrenje softvera. Najvei broj ureaja koji su danas u upotrebi posjeduje odreene elemente umjetne inteligencije, koji olakavaju njihovu konfiguraciju i podrku, ali istovremeno i njihovo eventualno izbjegavanje (zaobilaenje). Mrena infrastruktura prikazana na slici 3.1 sadri servere, radne stanice na kojima se "vrte" razni operativni sistemi, rutere, mrene barijere (koje mogu postojati u vidu aplikacija na serverima) i specijalne ureaje koji posjeduju osobne komunikacijske kanale i kontrolne programe. Strana 51

Sigurnost raunalnih mrea

Slika 3.1 Tipina mrena infrastuktura Takva mjeavina ureaja izaziva brojne probleme u sistemu zatite i izlae mreu eventualnim napadima, zato to veina nabrojanih sistema radi nezavisno. Najvei broj krupnih organizacija objedinjava proces mrenog nadzora i administrativne kontrole raunarskih sistema na mrei. Takva centralizacija osigurava iru, opu sliku itave mree, nudei istovremeno i mogunost sinkronizirane akcije nad veim brojem raunarskih sistema ili mrenih resursa u sluaju eventualnog napada. Centralizaciju osigurava institucija pod nazivom mreni operativni centar (NOC - Network Operations Center). NOC olakava praenje eventualnog napada i poduzimanje odgovarajuih protivmjera. Formiranje takvog centra, naalost, prevazilazi mogunosti najveeg broja srednjih i malih kompanija. Operativni centri su skupi i zahtijevaju jaku podrku; to su inioci koji prevazilaze mogunosti veine firmi, osim onih najveih. Posao, meutim, ne prestaje nakon formiranja i aktiviranja mrenog operativnog centra - efikasnost NOC-a se mora stalno procjenjivati, uz poduzimanje mjera za njeno poveanje.

Kako funkcioniraju ureaji koji sainjavaju mrenu infrastrukturu?

Povezivanje mrenih komponenata koje sainjavaju infrastrukturu zahtjeva posebne fizike ureaje. Velike multinacionalne korporacije, ali i male i srednje korporacije formiraju izuzetno sloene mree visokog tehnolokog nivoa. Rad tih mrea zasniva se na kilometrima kablovskih i beinih komunikacija. Bez obzira da li je mrea potpuno oiena obinim ili optikim kablovima ili je u potpunosti zasnovana na beinim tehnologijama, sistem prijenosa podataka sa jedne lokacije na drugu je izuzetno osjetljiv i otvoren za napade. Problem osjetljivosti se javlja uvijek kada postoji mogunost prislukivanja prijenosa podataka prijeko medija. Mrene barijere (Vatrozid, eng. Firewalls) Mrene barijere (firewalls) predstavljaju prvu liniju odbrane raunarskih mrea. Postoji vie razliitih vrsta tih barijera, u obliku samostalnih sistema ili u sastavu drugih ureaja, poput rutera ili servera. Pored toga, na tritu se mogu nai iskljuivo hardverska ili iskljuivo softverska rjeenja barijera. Vei broj mrenih barijera, meutim, dolazi u obliku softverskih dodataka koji se mogu ugraditi na servere ili na radne stanice. Mrena barijera na slici 3.2 Strana 52

Sigurnost raunalnih mrea ograniava vanjski pristup mrei, dozvoljavajui istovremeno unutarnjim korisnicima da koriste vanjske resurse. Prikazana barijera istovremeno obavlja proxy funkciju.

Slika 3.2 Proxy mrena barijera koja sprjeava pristup na vanjski dio mree Mrene barijere za filtriranje paketa Mrena barijera koja rad zasniva na filtriranju paketa proputa ili blokira promet do odreenih adresa, u zavisnosti od vrste aplikacije. Filtar paketa ne analizira njihov sadraj; odluku o proputanju paketa barijera donosi na osnovu adresnih podataka. Tako, na primjer, filtar moe proputati web promet koji je vezan za port 80, blokirajui istovremeno Telnet promet prijeko porta 23. Takav nain filtriranja je ugraen u veliki broj rutera. Ukoliko primljeni paket zahtjeva pristup portu koji nije dozvoljen, filtar e jednostavno odbiti zahtjev ili e ga ignorirati. Veina filtara dozvoljava definiranje portova koje je mogue zahtijevati sa konkretnih IP adresa, tako da se zahtjevi prihvaaju ili odbijaju u zavisnosti od sigurnosnih parametara koji su definirani na mrenoj barijeri. Filtri paketa se svakim danom sve vie usavravaju i poveavaju se njihove mogunosti. Mrena barijera na bazi filtriranja paketa moe propustiti cjelokupan promet koji korisnik ocjeni kao prihvatljiv. Ukoliko, na primjer, elite da omoguite pristup web korisnika Vaem sajtu, barijeru treba podesiti tako da dozvoljava kompletan ulaz podataka sa porta 80. Da su sve mree na svetu identine bilo bi mogue proizvesti mrene barijere sa trajno ugraenim standardnim parametrima. Mree su, meutim, veoma raznolike, tako da u mrenim barijerama ne postoje takvi parametri. Proxy mrena barijera Proxy mrena barijera se moe promatrati kao meustanica koja se nalazi izmeu Vae mree i ostalih mrea. Proxy barijere obrauju zahtjeve koji pristiu izvana, barijera provjerava podatke i donosi odluke na bazi definiranih pravila da li e zahtjev biti proslijeen ili odbijen. Proxy presree sve pakete i ponovo ih obrauje za internu upotrebu. Ponovna obrada ukljuuje i prikrivanje IP adresa. Kada je rije o skrivanju IP adresa, podsjetite se Network Address Translation (NAT) servisa, o kome je bilo rijei u odjeljku "Rad sa novim tehnologijama" u Poglavlju 1, "Opi pojmovi sistema zatite". Proxy barijere osiguravaju bolju zatitu u odnosu na barijere sa filtriranjem paketa, zahvaljujui poveanoj inteligenciji koja je ugraena u njih. Zahtjevi internih korisnika se usmjeravaju kroz proxy, koji ih prepakira i alje dalje, izolirajui tako korisnike od vanjske mree. Proxy moe obavljati i keiranje ukoliko se isti zahtjevi ponavljaju, ime se poveava efikasnost u isporuci zahtijevanih podataka. Proxy mrene barijere obino koriste dvije mrene (NIC) kartice, tako da se ureaji ove vrste esto nazivaju i dualhomed mrene barijere. Jedna kartica je povezana sa vanjskom, dok je druga prikljuena na internu mreu. Proxy softver upravlja vezom izmeu te dvije kartice. Takva konfiguracija potpuno odvaja dvije mree, nudei istovremeno i vii stupanj zatite. Na slici 3.3 prikazana je dual-homed mrena barijera koja razdvaja dvije mree. Strana 53

Sigurnost raunalnih mrea

Slika 3.3 Dual-homed mrena barijera koja odvaja dvije mree Mrene barijere na bazi punog nadzora U posljednjem odjeljku posveenom mrenim barijerama govorimo o konceptu punog nadzora (stateful inspection). Puni nadzor se esto naziva i puno filtriranje paketa (stateful packet filtering). Najvei broj mrenih ureaja ne pamti podatke o nainu rutiranja i koritenja informacija. Kada paket proe ureaj, svi podaci o njemu i o njegovoj putanji se gube. U punoj inspekciji (ili punom filtriranju paketa) uvodi se posebna tabela stanja, u koju se upisuju podaci o svakom komunikacionom kanalu. Puni nadzor se vri na svim nivoima mree, ime se osigurava dodatna zatita, posebno sa protokolima koji nisu zasnovani na konekciji, kao to su User Datagram Protocol (UDP) i Internet Control Message Protocol (ICMP). Takav nain rada dodatno komplicira kompletan proces. Napadi sa "guenjem" servisa (DoS napadi) predstavljaju poseban problem za ovaj tip mrenih barijera, zato to tehnika plavljenja moe "zaguiti" tabelu stanja, to e dovesti do pada mrene barijere ili njenog resetiranja. vorite vorite (hub) je jedan od najjednostavnijih ureaja na mrei. I pored toga to se u njega moe uitati softver koji omoguava upravljanje njegovim radom, u sutini je rije samo o ureaju koji prijeko svojih fizikih portova omoguava komunikaciju veeg broja hostova. vorite osigurava prolaz za difuzni (broadcast) promet, pri emu se svi podaci koji pristiu sa jednog porta alju na sve ostale portove. Takav nain rada stvara potpuno nezatieno okruenje, u kome napada moe pratiti cjelokupan promet na mrei ukoliko se prikljui na vorite. Ruteri Ruter je osnovni ureaj za povezivanje dvije ili vie mrea, koji svoj posao obavlja definiranjem putanje izmeu mrea. On posjeduje dvije konekcije koje se koriste za povezivanje mrea. Svaka konekcija posjeduje osobnu adresu, koja se javlja kao validna adresa u odgovarajuoj mrei. Na slici 3.4 prikazan je ruter koji je spojen izmeu dvije LAN mree. Ruteri su inteligentni ureaji, koji skladite podatke o mreama sa kojima su povezani. Veina rutera se moe konfigurirati tako da obavlja i funkciju mrene barijere sa filtriranjem paketa. Pored toga, noviji ruteri nude i napredne funkcije mrenih barijera. Ruteri se koriste i za prelazak sa LAN veza na WAN veze (tako, na primjer, ruter moe povezati l0-BaseT mreu na T1 mreu). Takav prelazak je neophodan, zato to LAN i WAN Strana 54

Sigurnost raunalnih mrea mree koriste razliite protokole. Takvi ruteri se nazivaju i border (granini) ruteri. Oni predstavljaju vanjsku konekciju LAN mree na WAN i predstavljaju granicu lokalne mree.

Slika 3.4 Router koji povezuje dvije LAN mree Ruteri uspostavljaju komunikaciju pomou tabela sa podacima o odreditima i lokalnim vezama. Ruter posjeduje podatke o sistemima koji su povezani na njega i o tome gde treba poslati zahtjeve ukoliko odredite nije poznato. Veliina tih tabela raste sa poveanjem broja veza koje prolaze kroz rutere. Ruteri razmjenjuju podatke o preusmjeravanju i druge vane podatke koristei tri standardna protokola: o Routing Information Protocol (RIP) - jednostavan protokol koji je dio /I niza. Ruteri koji koriste RIP redovno emitiraju podatke o svom statusu i o putanjama do poznatih rutera. Pored toga, RIP pokuava da otkrije i putanje izmeu sistema koje imaju najmanji broj "skokova" ili konekcija. o Border Gateway Protocol (BGP) - protokol novijeg datuma, koji osigurava dijeljenje podataka o rutiranju izmeu grupe rutera o Open Shortest Path First (OSPF) - protokol koji osigurava bre auriranje podataka o rutiranju u odnosu na RIP Ruteri predstavljaju prvu liniju odbrane i moraju se konfigurirati da proputaju samo onaj promet koji je odobrio mreni administrator. Zbog toga, ruter moe obavljati i funkciju mrene barijere (ukoliko je pravilno konfiguriran). Najbolji pristup je onaj sa slojevima najbolje je da ruter ne zauzme u potpunosti funkciju mrene barijere; dovoljno je da je samo ojaa.

Slika 3.5 Korporativna mrea sa routerima koji osiguravaju segmentaciju i zatitu Prespojnici Prespojnici (switches) predstavljaju ureaje za poboljanje efikasnosti rada mree sa vie portova. Obino sadre manje koliine podataka o sistemima koji se nalaze na mrei. Zahvaljujui mogunosti uspostave virtualnih kola, prespojnici osiguravaju veu efikasnost Strana 55

Sigurnost raunalnih mrea mree u odnosu na vorite (hub). Oni doprinose i poveanju stupanja zatite na mrei, zato to je pristup virtualnim krugovima pomou mrenih monitora znatno otean. Prespojnik se moe promatrati kao ureaj koji posjeduje najbolju kombinaciju karakteristika rutera i vorita. Prespojnik odrava ogranienu koliinu podataka za rutiranje o sistemima u internoj mrei, istovremeno osiguravaju vezu do sistema poput vorita. Na slici 3.6 prikazanje prespojnik koji obavlja svoju funkciju izmeu dvije radne stanice u LAN mrei. Veza ne mora uvijek biti zatiena ili ifrirana; ipak, podaci ne naputaju zonu prespojnika, tako da ne postaju dio ukupnog difuznog prometa kao kod LAN mrea sa topologijom zvijezde ili sabirnice.

Slika 3.6 Prespojnik izmeu dva sistema Beine pristupne take Kreiranje beine mree zahtjeva veoma malo truda. Kada je rije o klijentima, potrebna je beina mrena kartica (NIC), dok je na strani mrei potreban neki ureaj koji e komunicirati sa klijentima. Beini portal je osnovni nain povezivanja beinih ureaja sa mreom. Beina pristupna toka (wireless access point - WAP) predstavlja primopredajnik male snage (transiver), koji se smjeta na strateko mjesto najpogodnije za pristup. Prijenosni ureaji i pristupna taka odravaju vezu preko jednog od niza komunikacijskih protokola, ukljuujui IEEE 802.11 (tzv. Wireless Ethernet). Beine komunikacije, kao to i sam naziv govori, ne koriste kablove za odravanje veze. One koriste dio spektra radio frekvencija (RF), najee u mikrovalnoj oblasti. Beine komunikacije su sve prisutnije u svetu raunala, zahvaljujui drastinom padu cijena primopredajne opreme u posljednjih nekoliko godina. Pored toga, beina tehnologija osigurava i povezivanje mobilnih uesnika u okviru univerzitetskih centara, zgrada, pa ak i itavih gradova. Najvei dio frekvencija koje se koriste za tu svrhu spada u tzv. dijeljene frekvencije, tako da vie osoba moe koristiti istu frekvenciju za komunikaciju.

Slika 3.7 Beina pristupna toka i radna stanica Strana 56

Sigurnost raunalnih mrea Modemi Modemi su hardverski ureaji koji prosljeuju digitalni signal iz raunara na analognu telefonsku liniju. Oni osiguravaju prijenos signala na vee daljine u odnosu na one koje se mogu ostvariti prijenosom digitalnog signala. Termin modem predstavlja kombinaciju pojmova modulator i demodulator, koji predstavljaju dvije funkcije koje se odvijaju tokom primoprijedaje signala. Modemi su izvor brojnih izazova za sistem zatite. Veina modema reagira na bilo koji poziv koji stie prijeko vanjske linije. Kada prijemni modem odgovori na telefonski poziv, on obino uspostavlja i sinkronizaciju sa ureajem koji je poslao poziv i uspostavlja vezu sa njim. Modem koji je nepravilno povezan na mreu moe dozvoliti direktan, nezatieni pristup podacima i drugim resursima na raunarskim sistemima i mrei. Ukoliko doe do naruavanja fizikih mjera zatite, modem se moe iskoristiti za udaljeni pristup mrei, bez ikakvog ogranienja prava. Takav pristup se moe realizirati i bez znanja vlasnika sistema ili mrenog administratora. Servisi daljinskog pristupa Servisi daljinskog pristupa (Remote Access Services - RAS) predstavljaju ponudu Microsofta koja se nalazi u Windows proizvodima. RAS nudi mogunost povezivanja dva raunara preko modema ili druge vrste veze na vea rastojanja. U praksi se termin RAS koristi za oznaavanje Microsoftovog proizvoda, ali i za oznaavanje procesa povezivanja udaljenih sistema. Telekom/ sistemi Telekomunikacije (telekom) su doivjele radikalne promjene u zadnjih 10 godina. Raspoloivi telefonski sistemi i tehnologije danas osiguravaju punu integraciju prijenosa govora i podataka po cijenama koje su dostupne i za manje firme. Navedene promjene u telekomunikacijskim sistemima su "iskomplicirale" i pitanja u vezi sa sistemom zatite. Interne automatske telefonske centrale (Private Branch Exchange - ) predstavljaju jedno od osnovnih sredstava u takvim komunikacijama. Te centrale omoguavaju povezivanje ureaja za prijenos govora, podataka, pagera i mrea i ostalih

Slika 3.8 RAS veza izmeu udaljene radne stanice i Windows servera

Strana 57

Sigurnost raunalnih mrea

Slika 3.9 Suvremeni digitalni PBX sistem sa integracijom prijenosa govora i podataka preko jedne linije Virtualne privatne mree Virtualna privatna mrea (virtual private network - VPN) predstavlja privatnu mrenu konekciju koja se obavlja prijeko javne mree. Privatna mrea osigurava zatieni prijenos preko neosiguranog okruenja. VPN se moe iskoristiti za povezivanje LAN mrea preko Interneta ili neke druge javne mree. Krajnji uesnici u virtualnoj privatnoj mrei se ponaaju kao da su povezani lokalno. VPN zahtjeva instalaciju specijalnog hardvera ili VPN softverskih paketa na serveru i u radnim stanicama. VPN obino koristi protokol tuneliranja, kao to su Layer 2 Tunneling Protocol (L2TP), IPSec ili Point-to-Point Tunneling Protocol (PPTP). VPN predstavlja pravi izbor za uspostavljanje ekstraneta ili intraneta izmeu udaljenih ispostava neke organizacije. ifriranje poruka predstavlja osnovni problem u zatiti prometa preko VPN. PPTP nudi neku vrstu kriptozatite, mada je ona prilino slaba. IPSec nudi vii stupanj zatite, tako da se danas sve vie koristi za kriptozatitu u sigurnim VPN okruenjima.

Slika 3.10 Povezivanje dvije LAN mree pomou VPN preko Interneta

Praenje prometa na mrei i dijagnostika

Praenje prometa na mrei (engl. network monitoring) je oblast koja je stara koliko i sam prijenos podataka. To je proces u kome se specijaliziranim ureajima prislukuje prijenos Strana 58

Sigurnost raunalnih mrea podataka na mrei. Postoje dvije vrste ureaja za praenje prometa na mrei - to su sniferi ("njukala", engl. sniffers) i sistemi za detekciju uljeza (intrusion detection svstems - IDS). Pomou tih alata administrator moe pratiti aktivnosti na svojoj mrei, dok uz IDS itavom procesu moe dodati i odreenu inteligenciju, nadgledati sistemske log datoteke i sumnjive aktivnosti, pa ak i poduzimati odreene korektivne mjere, ukoliko je to potrebno. Monitori mrenog prometa Monitori mrenog prometa, tzv. sniferi, prvenstveno su uvedeni radi pomoi u otklanjanju problema u funkcioniranju mree. Jednostavni programi za mrenu konfiguraciju, kao to je IPCONFIG, ne mogu pristupiti samom provodniku da bi odgonetnuli to se fiziki deava na mrei. Ispitivanje fizikih signala i prometa na mrei nije mogue bez mrenih monitora. Prvi monitori su bili sloeni i kabasti, dok je njihova upotreba bila rezervirana samo za eksperte. Kao i sve ostalo u svetu raunara, i monitori su u meuvremenu postali jednostavniji, manji i jeftiniji. Mreni monitori danas postoje za najvei broj okruenja, veoma su efikasni i jednostavni su za upotrebu. Dananji sistem za nadzor mrenog prometa se obino sastoji od PC-a sa NIC karticom (koja radi u promiskuitetnom reimu) i odgovarajuim monitorskim softverom. Program je jednostavan za upotrebu i sadri veliku help datoteku, dok se upravljanje programom vri prijeko menija. Prikaz mrenog prometa u tim programima moe biti prilino sloen, tako da je esto neophodna dodatna tehnika dokumentacija. Takvu dokumentaciju moete nai u knjiarama ili na Internetu (besplatno). Posle nekoliko sati rada najvei broj korisnika e moi efikasno da upotrebi mrene monitore i podatke koje oni pruaju. Sistem za detekciju "uljeza" (IDS) IDS (Intrusion detection system) je softverski proizvod koji se izvrava na pojedinanim radnim stanicama ili na mrenim ureajima radi nadzora i praenja aktivnosti na mrei. Pomou IDS-a mreni administrator moe konfigurirati sistem da reagira poput obinog alarma za zatitu od provale. IDS sistemi se mogu konfigurirati tako da kontroliraju sistemske log datoteke, otkrivaju sumnjive aktivnosti na mrei, pa ak i da prekidaju sesije koje naruavaju definirani sistem zatite. Ova tehnologija mnogo obeava, mada je jo uvijek relativno mlada. Veliki broj proizvoaa IDS sistema prenaglaava njihovu jednostavnost. Oni su, meutim, prilino sloeni, dok njihova efikasnost zavisi od detaljnog planiranja i odravanja. IDS sistemi se obino prodaju zajedno sa mrenim barijerama, u kombinaciji koja mnogo obeava. Mrena barijera spreava neke uobiajene napade, ali, uslijed nedostatka inteligencije i sistema izvjetavanja, ne osigurava nadgledanje itave mree. Kombinacija IDS-a i mrene barijere, sa druge strane, osigurava i reaktivnu (mrena barijera) i preventivnu zatitu mree (IDS).

Zatita radnih stanica i servera

Radne stanice su izuzetno osjetljivi elementi bilo koje mree. Najvei broj suvremenih radnih stanica, bez obzira na primijenjeni operativni sistem, komunicira putem dijeljenih datoteka, raznih mrenih servisa i aplikativnih programa. Veliki broj tih programa nudi mogunost povezivanja sa drugim radnim stanicama i serverima. Takve veze radnih stanica i servera mogu postati predmet prislukivanja i eksploatacije. Proces poveanja stupnja zatite radnih stanica i servera se naziva i "elienje" platformi (engl. platform hardening), dok se proces poveanja stupanja zatite operativnog sistema naziva OS "elienje" (ono je dio elienja platforme, mada se odnosi samo na operativni sistem). Procedure "elienja" platformi mogu se podijeliti u tri osnovne oblasti:

Strana 59

Sigurnost raunalnih mrea o uklanjanje programa, servisa i procesa koji se ne koriste sa radne stanice (na primjer, uklanjanje serverskih servisa sa radne stanice) - Takvi servisi i procesi mogu predstavljati izvor eventualne eksploatacije. o osiguranje aurnosti svih servisa i aplikacija (ukljuujui raspoloive servise i pakete sistema zatite - security packs), uz njihovu konfiguraciju koja osigurava najvii stupanj zatite - To se obino postie uvoenjem zaporki, ograniavanjem pristupa i drugim restriktivnim mjerama. o to manje publiciranje podataka o primijenjenom operativnom sistemu, servisima i mogunostima sistema - Napad na neku platformu moe biti znatno olakan ukoliko se znaju podaci o njoj. Veliki broj operativnih sistema koristi standardne nazive za naloge koji omoguavaju administrativni pristup. Takve nazive treba to prije izmijeniti, ukoliko je mogue.

Slika 3.11 IDS i mrena barijera u zajednikom sistemu mrene zatite

Kako funkcioniraju mobilni ureaji?

Mobilni ureaji, ukljuujui pagere i osobne digitalne pomonike (PDA, Personal Digital Assistants), danas postaju sve popularniji. Najvei broj tih ureaja koristi radio-frekvencije ili celularnu tehnologiju za odravanje veze. Ukoliko takav ureaj koristi Wireless Application Protocol (WAP), sistem zatite najvjerojatnije nije aktiviran. WAP protokol nudi nekoliko nivoa zatite, ukljuujui: o anonimnu identifikaciju (anonimous authentication), koja osigurava povezivanje bilo koje osobe na beini portal o identifikaciju na serveru, koja zahtjeva identifikaciju radne stanice na serveru o dvosmjernu identifikaciju (klijenta i servera), koja zahtjeva identifikaciju oba uesnika u vezi (i klijenta i servera). Veina novijih palm sistema je konfigurirana tako da omoguava identifikaciju. Sistem se moe konfigurirati tako da zahtjeva identifikaciju korisnika prije upotrebe ureaja, ali i njegovu identifikaciju prije povezivanja na server.

Kako funkcionira udaljeni pristup?

Povezivanje sistema je jedan od osnovnih zadataka mree. Sa porastom veliine mrea razvijaju se i nove tehnologije koje olakavaju proces povezivanja, nudei istovremeno i vii stupanj zatite. Osnovni problem se javlja pri povezivanju sistema i drugih mrea koje ne pripadaju organski Vaoj mrei. U ovom odjeljku emo govoriti o uobiajenim protokolima za povezivanje udaljenih sistema. Rad sa Serial Line Internet Protocolom Serial Line Internet Protocol (SLIP) spada u grupu starijih protokola koji je ranije koriten za okruenja sa daljinskim pristupom. Prvenstveno je razvijen radi povezivanja UNIX sistema Strana 60

Sigurnost raunalnih mrea prijeko komutiranih (dial-up) telefonskih linija. Ovaj protokol podrava samo serijsku vezu. SLIP je veoma jednostavan protokol koji se koristi za prijenos /I prometa. Protokol nije zatien, ali se ne moe "pohvaliti" ni svojom efikasnou. Veliki broj sistema i danas podrava SLIP, radi osiguranja kompatibilnosti sa starijim sistemima. Kada se izuzmu stariji sistemi, SLIP nema iru primjenu, tako da je danas uglavnom zamjenjen Point-to-Point Protocolom (PPP).

Slika 3.12 Mobilno okruenje sa WAP zatitom Rad sa Point-to-Point protokolom Point-to-Point Protocol (PPP) je nastao 1994. godine, od kada je uglavnom zamijenio SLIP protokol. PPP podrava vie protokola, ukljuujui AppleTalk, IPX i DECNet. PPP radi prijeko obinih telefonskih mrea (POTS), ISDN (Integrated Services Digital Netvvork) mrea, kao i prijeko drugih, brih sistema, kao to je T1. PPP ne osigurava zatitu podataka, ali nudi mogunost identifikacije pomou Challenge Handshake Authentication Protocola (CHAP).

Slika 3.13 PPP preko jednog B kanala ISDN linije Protokoli za tuneliranje Protokoli za tuneliranje dodaju nove mogunosti mrei. Izmeu mrea se mogu uspostaviti tuneli koji nude sigurniji prijenos, osigurava se podrka dodatnim protokolima, a izmeu sistema uspostavljaju se virtualne putanje. Tuneliranje se najbolje moe razumjeti ukoliko se promatra kao proces enkapsulacije (ugraivanja) osjetljivih podataka u druge pakete koji se alju prijeko javne mree. Kada se takvi podaci prime na suprotnom kraju, oni se odvajaju od paketa i ponovo vraaju u prvobitni oblik. Tuneliranje se najee izvodi pomou sljedeih protokola: Point-to-Point Tunneling Protocol (PPTP) PPTP podrava enkapsulaciju u zasebnom ponitto-point okruenju. PPTP enkapsulira i ifrira PPP pakete, zbog ega spada u grupu omiljenih mrenih protokola na donjem kraju ljestvice. Poetno sporazumijevanje uesnika u PPTP vezi obavlja se otvoreno, nakon ega se prijenos podataka ifrira. Otvoreni poetni prijenos je jedna od osnovnih slabosti PPTP protokola. Praenjem poetka veze pomou bilo kog ureaja Strana 61

Sigurnost raunalnih mrea za presretanje paketa (na primjer, pomou snifera) moe se utvrditi tip veze i nain funkcioniranja tunela. PPTP je proizvod Microsofta, koji ga ugrauje u veinu svojih sistema. PPTP odrava vezu koritenjem porta 1723 i TCP protokola. Layer 2 Forwarding (L2F) L2F protokol je nastao u firmi Cisco prvenstveno radi kreiranja tunela za veze prijeko komutirane telefonske linije (dial-up). Njegove mogunosti su sline kao mogunosti PPP protokola, tako da ga ne bi trebalo koristiti u WAN okruenjima. L2F osigurava identifikaciju korisnika, ali ne podrava kriptozatitu. L2F odrava vezu prijeko porta 1701 i pomou TCP protokola. Layer 2 Tunneling Protocol (L2TP) Microsoft i Cisco su nedavno postigli sporazum o objedinjavanju svojih protokola za kreiranje tunela u jedan protokol - L2TP Rije je o hibridu PPTP i L2F protokola. To je protokol koji je prvenstveno namijenjen za veze tipa toka-toka. L2TP podrava vie razliitih mrenih protokola, tako da se moe koristiti i u mreama koje nisu zasnovane na /I. L2TP radi pomou PX SNA i IP protokola, tako da se moe iskoristiti i kao most izmeu razliitih sistema. Osnovni problem L2TP protokola je to ne podrava zatitu podataka - podaci se ne ifriraju. Zatita se moe osigurati pomou protokola kao to je IPSec. L2TP odrava vezu koristei port 22 i TCP protokol. Secure Shell (SSH) SSH je protokol za tuneliranje koji je dizajniran prvenstveno za Unix sisteme. On koristi ifriranje prilikom uspostavljanja zatiene veze izmeu dva sistema. Pored toga, SSH nudi i alternativne, zatiene programe za takve Unix standarde kao to su Telnet, FTP i mnogo drugih programa zasnovanih na vezi. SSH se danas moe koristiti i na Windows sistemima, to ga ini dobrim izborom za zatitu Telneta i drugih tekstualno orijentiranih programa sa otvorenim prijenosom u Unix okruenju. SSH koristi port 22 i TCP protokol za odravanje veze. Internet Protocol Security (IPSec) IPSec u sutini i ne pripada grupi protokola za tuneliranje, mada se koristi u sprezi sa njima. Ovaj protokol je prvenstveno orijentiran ka vezama tipa LAN-LAN, kada se moe koristiti i u vezama prijeko komutiranih linija. IPSec nudi zatienu identifikaciju korisnika, zajedno sa ifriranjem podataka i zaglavlja, zbog ega predstavlja dobar izbor kada je rije o zatiti podataka. Moe raditi u reimima Tunneling ili Transport. Pored ifriranja samih podataka, u Tunneling reimu se vri i ifriranje zaglavlja. Za razliku od njega, reim Transport ifrira samo osnovne podatke. Beini protokoli serije 802.lx I 802.1x grupa obuhvata irok opseg protokola za beine komunikacije. Postoje dve osnovne familije standarda za beine komunikacije: 802.11 i 802.16. Standarde iz grupe 802.11 emo detaljno razmotriti u Poglavlju 4, u odjeljku "Beini sistemi". Standardi iz grupe 802.16, koji su definirani u jesen 2002. godine, trenutno se razmatraju u okviru IEEE organizacije. Protokoli 802.11 su prvenstveno namijenjeni ureajima malog dometa, pogodnim za upotrebu u okviru zgrada ili univerzitetskih centara. RADIUS Remote Authentication Dial-In User Service (RADIUS) predstavlja mehanizam za identifikaciju korisnika koji se prikljuuje na mreu prijeko komutirane linije ili nekog drugog oblika povezivanja. RADIUS protokol spada u IETF standarde, a implementira ga veina proizvoaa vodeih operativnih sistema. Upravljanje RADIUS serverom je centralizirano. Mreni serveri, koji osiguravaju pristup mrei, provjeravaju autentinost pozivajueg uesnika koritenjem RADIUS servera. Na taj nain se identifikacija svih korisnika u sloenim mreama sa velikim brojem veza obavlja iskljuivo pomou jednog servera.

Strana 62

Sigurnost raunalnih mrea

Slika 3.14 RADIUS klijent odrava lokalnu vezu sa centralnim serverom, preko kojeg se obavlja i identifikacija udaljenog korisnika TACACS/+ Terminal Access Controller Access Control System (TACACS) je okruenje tipa klijent/server koje funkcionira slino RADIUS sistemima. Najnovija verzija TACACS sistema nazvana TACACS/+ osigurava razmjenu akreditiva putem razliitih tehnika, ukljuujui i Kerberos. TACACS proces tipa klijent/server odvija se na isti nain kao i RADIUS proces. Cisco intenzivno primjenjuje TACACS/ + u svojim sistemima. Oekuje se da e TACACS/+ stei iroku popularnost kao alternativa za RADIUS.

Zatita internet veza

Kada je rije o mreama, Internet je svakako oblast sa najveim stupnjem rasta. To je svjetska mrea koja osigurava trenutnu vezu izmeu razliitih mrea, bez obzira na njihovu fiziku lokaciju. itava internet tehnologija je poela kao istraivaki projekt iju je realizaciju financiralo Ministarstvo odbrane SAD, a kasnije je nastavila svoj razvoj nevjerojatnom brzinom. Oekuje se da e za nekoliko godina svaki raunar u svetu biti povezan na Internet. Predvia se da e potranja za strunjacima iz oblasti informatike i zatite raunara rasti eksponencijalno. U narednim odjeljcima emo opisati neke od najeih internet protokola, ukljuujui i World Wide Web, Telnet, FTP, e-mail i SMTP. Pored toga, govoriti emo o portovima i utinicama pomou kojih navedeni protokoli rade. Rad sa portovima i utinicama Kao to smo ve rekli, TCP/IP protokol predstavlja osnovna metoda za povezivanje raunarskih sistema prijeko Interneta. On uspostavlja vezu i kolo za prijenos podataka kombinacijom IP adrese i porta. Port predstavlja interfejs koji se koristi za povezivanje ureaja, a utinica (engl. socket) kombinaciju porta i IP adrese. Ukoliko, na primjer, pokuate da se povezete na udaljeni sistem ija je IP adresa 192.168.0.100 i na kome se nalazi web sajt, prijema vaeim standardima koristit ete port 80. Kombinacija ta dva elementa daje utinicu, tako da e puna adresa, odnosno utinica, biti 192.168.0.100:80. IP se koristi za rutiranje podataka od jednog do drugog hosta kroz mreu. etiri sloja TCP/IP protokola enkapsuliraju podatke u validan IP paket, koji se, zatim, prijenosi prijeko mree. Izvorni (source) port je onaj koji e biti adresiran na odreditu. Odredini (destination) port je onaj na koji se podaci alju. Kada je rije o web aplikacijama, oba polja e vjerojatno sadrati adresu 80. Brojane vrijednosti u adresnim poljima paketa se koriste u okviru TCP protokola radi verifikacije i provjere integriteta, tako da se za sada neemo "zamarati" sa njima.

Strana 63

Sigurnost raunalnih mrea Polje podataka u naem primjeru, meutim, sadri vrijednost Get /, koja predstavlja zahtjev za poetnom (home) stranicom na web serveru. U sutini, ta komanda ili proces zahtjeva poetnu stranicu na sajtu 192.168.0.100 port 80. Zahtijevani podaci (stranica) se smjetaju u nove pakete, koji se prosljeuju do IP protokola i dalje alju na raunar koji je poslao zahtjev na port 1024. Povezivanje sa veinom servisa pomou / protokola prati prikazani model sa portovima. Veina portova je dobro dokumentirana, dok su protokoli koji ih koriste za komunikaciju opepoznati. Ukoliko u nekom proizvodu postoje slabosti tehnoloke prirode ili su mjere zatite nedovoljno implementirane, ti nedostaci e biti otkriveni i zloupotrebljeni u izuzetno kratkom vremenskom roku. Kako funkcionira elektronika pota? Elektronika pota (e-mail) predstavlja jednu od najpopularnijih aplikacija na Internetu. Na tritu postoji nekoliko veoma dobrih e-mail klijenata i servera. Veina poznatih e-mail sistema koristi sljedee protokole (koji, sa druge strane, uspostavljaju sesiju prijeko TCP protokola): Simple Mail Transport Protocol (SMTP) SMTP je protokol za isporuku pote, koji se koristi za razmjenu pote izmeu e-mail klijenata i servera i izmeu e-mail servera. Poruke se alju od klijenata ka serveru i ponovo do klijenata prijeko Interneta. Svaka e-mail poruka se alje razliitim putanjama izmeu klijenata i servera. SMTP koristi port 25 i TCP za uspostavljanje sesije. Post Office Protocol (POP) POP spada u novije protokole koji se "oslanjaju" na SMTP radi prijenosa poruka. POP osigurava skladitenje poruka radi njihovog naknadnog slanja (storeand-forward). Ukoliko neki server nije u funkciji, server-poiljalac moe da uskladiti poruke da bi naknadno ponovo pokuao da ih poalje. , kao najnovija verzija POP protokola, osigurava slanje poruka sa servera koji je "na ekanju" direktno do e-mail klijenta. Trenutni POP standard koristi port 109 za POP2 i 110 za . POP protokol koristi TCP za uspostavljanje veze. Internet Message Access protocol (IMAP) IMAP predstavlja novinu na polju elektronske pote, koja brzo stie veliku popularnost. Kao i POP, IMAP takoer podrava tehniku zadrii-proslijedi, ali uz znatno veu funkcionalnost. On omoguava skladitenje poruka na e-mail servera, umjesto njihovog prijenosa na klijentske maine. Pored toga, protokol omoguava preuzimanje samo odreene pote na osnovu zadatih kriterijima pretraivanja. Veliki broj IMAP implementacija omoguava vezu i prijeko web itaa. Trenutna verzija IMAP protokola (I4) koristi port 143 i TCP protokol za vezu. Rad sa Webom Ukoliko dva hosta komuniciraju preko Weba, podaci se alju pomou Hypertext Markup Language (HTML) protokola. HTML nije nita drugo nego nain kodiranja koji osigurava prikaz teksta i slika u web itaima. HTML sadraj se moe kreirati na najrazliitije naine, od runog kodiranja, pa sve do primjene programa za grafiki dizajn. HTML datoteke se zatim oitavaju i interpretiraju u web itau, nakon ega se njihov sadraj prikazuje na ekranu raunara. Ukoliko elite da vidite kako HTML izgleda iznutra, podesite svoj web ita tako da prikazuje izvorni kod vidjet ete elemente sline kodovima u procesorima teksta praktino za svaki element na web stranici koja je prikazana na ekranu. Web sajt predstavlja kolekciju takvih stranica, koje se ucrtavaju u web ita kada kliknete odreeni link ili mijenjate stranice dokumenta na ekranu. Najvei broj dizajnera web stranica Strana 64

Sigurnost raunalnih mrea eli mnogo vie od obinog prikaza sadraja sa obojenim tekstom na raunalima krajnjih korisnika. Da bi se osiguralo stvaranje kreativnih i suvremenih web sajtova, web itai su vremenom postajali sve sloeniji, ba kao i web serveri. Dananje verzije itaa podravaju reprodukciju audio i vizualnih sadraja, animacije, "askanja" uivo (live chat) i druge opcije koje korisnici mogu da smisle. Zatiene web konekcije Postoje dva uobiajena naina za uspostavljanje zatiene veze izmeu vveb klijenta i vveb servera: SSL/TLS Secure Socket Layer(SSL) i Transport Layer Security (TLS) su dva uobiajena protokola koji se koriste za prijenos podataka izmeu web klijenta i servera. SSL koristi kriptozatitu podataka izmeu dva sistema. Klijent inicira sesiju, dok server odgovara, ukazujui da je neophodna kriptozatite prijenosa, nakon ega klijent i server usuglaavaju odgovarajui nain ifriranja podataka. TLS je protokol novijeg datuma, koji povezuje SSL sa drugim protokolima radi osiguranja kriptozatite. TLS podrava SSL veze radi kompatibilnosti, ali omoguava i upotrebu drugih protokola za kriptozatitu, kao to je Triple DES. SSL/TLS koristi port 443 i TCP protokol za odravanje veze. HTTP/S HTTP Secure (HTTP/S) je protokol koji se koristi radi odravanja zatiene veze izmeu dva sistema prijeko Weba. On titi vezu izmeu dva sistema. Kompletan promet izmeu dva sistema se ifrira. HTTP/S koristi SSL ili TLS za zatitu veze, dok za svoj rad koristi port 443 i TCP protokol. Osetljivost web dodataka Porast Weba i stalni zahtjevi korisnika za novim mogunostima otvaraju nova osjetljiva mjesta na mreama koja se moraju razmatrati. Web itai i ostale web tehnologije sve vie omoguavaju serverima slanje instrukcija prijema klijentima da bi bile aktivirane multimedijalne i druge mogunosti. Time se nameu novi problemi za profesionalce iz oblasti zatite, jer takvi protokoli dodatno slabe sisteme. U ovom odjeljku govoriti emo o standardnim web aplikacijama, kao to su apleti i JavaScript, kao i njihovim slabostima koje morate poznavati. Te slabosti mogu biti "vezane" za zlonamjeran kod, viruse i zloupotrebu. JavaScript JavaScript je programski jezik koji osigurava pristup resursima onog sistema na kome se skript izvrava. Skript napisan u JavaScriptu predstavlja samostalni program koji se moe pokrenuti kao izvrna datoteka u velikom broju okruenja. Pomou skripta se moe ostvariti interfejs sa svim aspektima operativnog sistema, ba kao i iz klasinih programskih jezika, kao to je C. To znai da skript napisan u JavaScriptu moe prilikom izvrenja otetiti raunarski sistem ili poslati podatke sa sistema do nelegitimnih korisnika. Skripe se mogu preuzimati i sa web sajtova. Java apleti Java aplet predstavlja mali, samostalni Java skript, koji se preuzima sa servera, nakon ega se izvrava u web itau klijenta. ita mora podravati izvravanje Java apleta u okviru virtualne maine klijenta. Java apleti se danas intenzivno koriste na web serverima i sve vie postaju jedna od najpopularnijih alatki za razvoj web sajtova. Aplikacije koje podravaju Javu mogu preuzeti programirane instrukcije (Java skriptove) sa servera, uz kontrolu odreenih aspekata klijentskog okruenja. Da bi izvravanje Java aplikacija ili apleta bilo mogue, klijent mora preuzeti Java virtualnu mainu. Java skriptovi se izvravaju na raunaru-klijentu. Apleti se izvravaju u ogranienom podruju memorije koje se naziva sandbox ("kutija za pesak"). To podruje ograniava apletu pristup do korisnikih oblasti i do sistemskih resursa. Strana 65

Sigurnost raunalnih mrea Smatra se da je aplet koji se izvrava u okviru sandboxa siguran (safe), to znai da nee pokuavati pristup osjetljivim sistemskim podrujima. Zahvaljujui eventualnim grekama u virtualnoj maini koja se izvrava u aplikaciji, pojedini apleti se mogu izvravati i izvan sandboxa. Ukoliko do toga doe, aplet vie nije siguran, pa ak moe realizirati i neke zlonamjerne aktivnosti. Napadai na klijentske sisteme ve dugo eksploatiraju takve slabosti. Sa stanovita korisnika, pokretanje apleta iz provjerenih izvora je najbolja odbrana u takvim situacijama. Sa stanovita administratora, potrebno je provjeriti da li se programeri pridravaju uputstava prilikom kreiranja apleta. Ovjereni apleti Ovjereni (signed) apleti nalikujue na obine Java aplete, uz jednu kljunu razliku: ovjereni se ne izvrava u ogranienoj memorijskoj oblasti (sandbox), tako da ima vee mogunosti za pristup sistemskim resursima. Ovjereni apleti se obino ne preuzimaju sa Interneta, njih najee kreiraju sami korisnici ili programeri u okviru kompanije. Oni mogu sadrati i digitalne potpise, kojima se provjerava njihova autentinost, pri emu e aplet biti instaliran samo u sluaju potvrde autentinosti. Korisnici ne bi smjeli da preuzimaju ovjerene aplete, osim kada oni potiu iz sigurnih izvora. Ovjereni aplet iz nepouzdanog izvora "nosi" iste sigurnosne prijetnje kao i neovjereni aplet. ActiveX je tehnologija pomou koje korisnik moe prilagoditi izgled svojih kontrola, ikona i ostalih elemenata korisnikog interfejsa. Tehnologiju je uveo Microsoft radi poveanja stupanja upotrebljivosti sistema koji podravaju Web. ActiveX se izvrava na klijentskim mainama, dok se zatita ostvaruje tehnikom koja se naziva Authenticode. To je neka vrsta certifikata pomou kojih se obavlja validacija ActiveX komponenata na serveru. ActiveX komponente se preuzimaju sa mree i smjetaju na hard disk klijenta, ime se otvaraju nove "rupe" u sistemu zatite. Web itai se mogu konfigurirati tako da zahtijevaju posebnu potvrdu prije bilo kakvog preuzimanja ActiveX kontrola. Veliki broj korisnika, meutim, ne shvaa znaenje takve poruke o prihvaanju, ve automatski prihvaa ponuenu komponentu. Automatsko prihvaanje ActiveX komponente ili kontrole otvara potencijalni prolaz u sistemu zatite na klijentskom raunaru, koje postaju aktualne prilikom upotrebe same kontrole. Opasnost se javlja zbog toga to ActiveX kontrole sadre programske instrukcije u kojima moe biti smjeten zlonamjerni kod ili kod koji e otvoriti nova "ranjiva" mjesta na raunarskom sistemu. Zaguenje bafera Zaguenje bafera (buffer overflows) nastaje kada neka aplikacija primi vie podataka u odnosu na koliinu za koju je programirana. Takva situacija moe zaustaviti dalji rad aplikacije, pri emu sistem ostaje u reimu slanja podataka, ali se istovremeno osigurava mogunost privremenog pristupa privilegiranim nivoima napadnutog sistema. Takva mogunost zloupotrebe je obino posljedica programerske greke u toku razvoja softvera. Zaguenje bafera se danas rede sree, mada je u prolosti ono bilo jedan od glavnih izvora zloupotrebe postojeeg koda. "Kolaii" (cookies) predstavljaju tekstualne datoteke koje odrava web ita na hard disku korisnika da bi osigurao konzistentan rad korisnika prilikom svake posjete nekom web sajtu. Oni obino sadre podatke o samom korisniku. U njima se, primjera radi, mogu nai podaci o ranijim aktivnostima korisnika na web sajtu (njegova historija), ime se poveava stupanj uslunosti sajta. Ukoliko neka knjiara eli da zna Vae obiaje tokom kupovine i vrstu knjiga koje su privukle Vau panju prilikom zadnje posjete, na primjer, te podatke moe upisati u "kolai" koji e biti smjeten na Vaem hard disku. Prilikom sljedee posjete toj knjiari server e proitati sadraj "kolaia", na osnovu ega e prilagoditi izgled stranice koju e Strana 66

Sigurnost raunalnih mrea Vam ponuditi. "Kolaii" se mogu iskoristiti i za ogranienje pristupa korisnicima na osnovu vremenskih markera koji se u njih upisuju: financijska institucija moe poslati "kolai" sa vremenskim markerom nakon uspjene identifikacije korisnika. Nakon toga, server moe oitati sadraj "kolaia" da bi utvrdio da li je definirani vremenski rok proao. Oigledno je da "kolaii" predstavljaju rizik sa stanovita zatite sistema, zato to se u njima mogu nai Vai lini podaci, koji mogu pasti u pogrene ruke. Ukoliko je zatita sistema od izuzetne vanosti, zabrana prihvaanja "kolaia" predstavlja najbolju obranu. Common Gateway Interface (CGI) CGI je stariji oblik skripta koji je intenzivno koriten na prvim web sistemima. CGI skriptovi su koriteni za prikupljanje podataka od korisnika pomou jednostavnih obrazaca. Oni se danas manje koriste, a njihovo mjesto zauzimaju Java, ActiveX i druge tehnologije. CGI skriptovi su izvravani na web serverima, odakle su ostvarivali interakciju sa klijentimaitaima. Nove aplikacije koriste CGI prvenstveno zbog problema zatite, mada se on i dalje koristi u starijim sistemima. Rad sa File Transfer Protocolom File Transfer Protocol (FTP) je godinama bio osnovni protokol za razmjenu datoteka izmeu sistema na Internetu, mada se i danas nalazi na veini vodeih operativnih sistema. Internet je vremenom zamijenio veinu funkcija FTP-a, koji se, ipak, i dalje esto koristi, mada njegova popularnost pada sa pojavom novih tehnika za preuzimanje datoteka. Veina suvremenih web itaa nudi mogunost povezivanja sa FTP sajtom kao da je rije o obinom web sajtu, pri emu se za prijenos datoteka koristi HTTP Web itai nude grafiki korisniki interfejs, koji je znatno jednostavniji u odnosu na standardni komandni interfejs FTP-a. "Slijepi/anonimni FTP server Prvi FTP serveri nisu osigurali formalnu zatitu - zatita je bila zasnovana na povjerenju u raunarski sistem koji je nudio FTP usluge. U najveem broju sluajeva takav sistem je koriten samo da klijenti preuzimanju datoteke sa FTP servera. Klijenti nisu mogli da postavljaju svoje datoteke na server bez specijalnog ID-a za prijavu. Najvei broj FTP sajtova u to vrijeme je podravao anonimnu prijavu na sistem (logon): ID korisnika je prema konvenciji bio anonymous, dok je za lozinku koritena njegova e-mail adresa. Takav nain prijave se i danas koristi na sistemima koji dozvoljavaju javni pristup do datoteka. Jedina zatita u takvim okruenjima jeste ona koju nudi sam operativni sistem. Secure FTP (S/FTP) Zatieni FTP (Secure FTP - S/FTP) dobiva se upotrebom protokola pod nazivom Secure Shell (SSH) - vrsta protokola tuneliranja koji dozvoljava zatieni pristup udaljenim sistemima. Kao to smo ve rekli, SSH osigurava zatienu vezu, tako to ifrira sesiju izmeu klijenta i servera. SSH postoji za Unix i druge operativne sisteme koji nude usluge sline FTP-u. Dijeljenje datoteka Dijeljenje datoteka se postie njihovim skladitenjem na unaprijed odreenoj lokaciji na serveru ili na radnoj stanici. Kada se datoteke skladite na radnoj stanici, govori se o vezi ravnopravnih uesnika (peer-to-peer veza). Dodijeljena lokacija za datoteke je obino neki poddirektorijum na disku servera ili radne stanice. Osjetljiva mjesta FTP sistema FTP ima jednu veliku manu: korisniki ID i njegova lozinka se prenose otvoreno, tako da se mogu otkriti programima za presretanje paketa. Time se namee i osnovni problem zatite

Strana 67

Sigurnost raunalnih mrea takvih sistema - posebno u sluajevima kada se povezivanje na FTP server obavlja preko Interneta.

Kako funkcioniraju SNMP i ostali TCP/IP protokoli?

Pored TCP/IP, Vaa mrea vjerojatno koristi i druge protokole koji mogu biti izloeni vanjskim napadima. Neki protokoli (kao to su NetBEUI, DLC i drugi jednostavniji protokoli) ne podravaju rutiranje, tako da nisu ni podloni napadima. Naravno, postoji jedno veliko "osim ako": ukoliko su Va ruter ili mrena barijera konfigurirani tako da proputaju ove protokole, neki od njih mogu proi do drugih sistema kroz TCP/IP. /I preteno koristi sljedee protokole za odravanje i sline aktivnosti (li protokoli, sa druge strane, koriste TCP ili UDP komponentu TCP/IP grupe za prijenos podataka): Simple Network Management Protokol (SNMP, jednostavan protokol za upravljanje radom mree) SNMP se koristi za upravljanje i nadzor nad ureajima u mrei. Veliki broj kopiraparata, faks strojeva i drugih inteligentnih uredskih ureaja koristi SNMP za funkcije odravanja. Ovaj protokol bez problema prolazi kroz rutere, tako da moe biti izloen napadima. Takvi napadi ne moraju biti opasni, ali zamislite to bi se desilo kada bi Va tiska iznenada preao u online reim i poeo da izbacuje listove papira na pod. SNMP je proiren u standard pod oznakom SNMPv2. SNMPv2 osigurava zatitu i poboljane funkcije udaljenog nadzora. SNMP je trenutno u procesu revizije; pojavio se i novi standard (SNMPv3), mada najvei broj sistema i dalje koristi SNMPv2. Internet Control Message Protocol (ICMP) ICMP se koristi za prijavu greaka i za odgovore na zahtjeve koji potiu od programa kao to su Ping i Traceroute. ICMP je jedan od omiljenih protokola koji se koristi za DoS napade. Veina poslovnih okruenja zabranjuje prolaz ICMP protokola kroz rutere, radi spreavanja takvih napada.

Osnovni pojmovi o kabliranju, kablovima i vezi

Na mrei se nita ne deava sve dok podaci ne budu premjeteni sa jedne lokacije na drugu. Za takav prijenos su, naravno, neophodni i nekakav kabl, provodnik ili neki drugi prijenosni medij. U ovom odjeljku emo govoriti o kabliranju sa tehnikog aspekta i sa aspekta sistema zatite. Tonije, bie rijei o koaksijalnim kablovima, UTP/STP kablovima, optikim kablovima, infracrvenom i radio prijenosu i o mikrovalovima kao mediju prijenosa. Koaksijalni kabl Koaksijalni kabl (koaksijalac, ) je jedan od najstarijih medija za prijenos podataka u mreama. Zasnovan je na centralnom provodniku (jezgru), koji prijenosi podatke od jedne do druge take. Oko centralnog provodnika se nalazi izolator, prijeko koga je postavljen metalni oklop, a zatim i neprovodni omota. Takva konstrukcija, titi centralni provodnik od vanjskih smetnji. Pored toga, metalni oklop spreava i emitiranje signala sa centralnog provodnika u okolni prostor. Postoji veliki broj konektora (engl. plumbing) za povezivanje koaksijalnih kablova. Ti konektori podravaju modularni dizajn, ime su olakana eventualna proirenja. Najee se koriste tzv. T-konektor, Mine konektor i zavrni (terminalni) konektor (naziva se i terminalni otpornik, ili terminator). Neoklopljene i oklopljene upredene parice

Strana 68

Sigurnost raunalnih mrea Kablovi sa neoklopljenim upredenim paricama (Unshielded Twisted Pair - UTP) i sa uklopljenim upredenim paricama (Shielded Twisted Pair - STP) danas predstavljaju najpopularniji prijenosni medij u raunarskim mreama. Konstrukcija UTP i STP kablova je identina, ukoliko se izuzme metalni oklop koji se nalazi oko provodnika oklopljenog kabla (kao kod koaksijalnih kablova). STP se esto primjenjuje u mreama, mada je UTP znatno popularniji medij prijenosa. Tabela 3.1: Specifikacija UTP/STP kablova Kategorija Kategorija 1 Kategorija 2 Kategorija 3 Kategorija 4 Kategorija 5 Brzina Prijenos govora 4 Mbps 10 Mbps Ethernet 16 Mbps 1.000 Mbps Upotreba Iskljuivo za telefone i modeme Na starijim mainframe sistemima Koristi se u 10Base-T mreama. U Token Ring mreama Koristi se u 10-, 1000- i 1000-Base-T i slinim mreama; najee primjenjivani kabl u suvremenim mreama Koristi se u brzim mreama. Jo uvijek nije u iroj upotrebi. Koristi se u izuzetno brzim mreama. Jo uvijek nije raspoloiv - postoji samo u vidu predloenog standarda.

Kategorija 6 Kategorija 7

1.000 Mbps 1.000 Mbps

Danas se najee koriste kablovi kategorije 5 (CAT 5). CAT 3 je est u starijim mreama koje koriste upredene parice. Maksimalna duina Ethernet segmenta sa kablom sa upredenim paricama iznosi 100 metara; vea duina izaziva slabljenje, koje moe ugroziti pouzdan prijenos podataka. UTP i STP kablovi nisu tako sigurni kao koaksijalni, zbog toga to je prikljuivanje na njih jednostavnije, pa se prvenstveno koriste za interna kabliranja. Prikljuivanje na kabl sa upredenim paricama moe biti oteano, mada je danas lako kupiti ili napraviti trosmjernu razvodnu kuriju. Optiki kablovi Tehnologija optikih kablova (fiber optic) podie propusnu mo mree i njene performanse na izuzetno visok nivo. Telekomunikacijski operatori, kao i operatori za prijenos podataka irom sveta, intenzivno rade na postavljanju optikih kablova. Postoji procjena odgovarajuih strunjaka da e optiki kablovi preuzeti ulogu vodeeg prijenosnog medija u mreama od klasinih kablova. Optiki kablovi i pratea oprema su, meutim, i dalje veoma skupi u poreenju sa klasinim, tako da ta tehnologija nije mnogo popularna meu desktop sistemima. Prijenos podataka prijeko optikih kablova je znatno sigurniji, zato to je oteano neovlateno prikljuivanje na njih. Najslabija toka takvih sistema prijenosa jeste spojno mjesto optikog kabla i primopredajnika. Na tim mjestima se moe ostvariti pasivna veza prijeko koje se mogu oslukivati signali koji se prijenose. Pored toga, u mreama su esti i prijelazi sa optikih na klasine kablove, to predstavlja jo jedan problem sa stanovita zatite. Prijenos u infracrvenom spektru Strana 69

Sigurnost raunalnih mrea Infracrveni (IC) prijenos koristi specijalna zraenja za odravanje veze. Infracrveno zraenje omoguava vezu tipa toka-toka izmeu dva ureaja sa IC primopredajnicima. IC veze su prilino spore i koriste se za prijenos ogranienih koliina podataka. Veina novih laptop PCa, PDA i prijenosnih tampaa posjeduje IC primopredajnike za beinu komunikaciju. IC veze su mogue samo u granicama optike vidljivosti; one su nezatiene i lako se mogu prislukivati. Ureaj za prislukivanje, meutim, mora biti postavljen izmeu dva uesnika u vezi ili na mjesto na koje dospijevaju reflektirani IC zraci (IC zraci se odbijaju od prozora i ogledala, kao i druge vrste zraenja). Radio frekvencije Prvi sistemi za prijenos podataka, poput teleprintera, najee su koristili mree kratkovalnih predajnika za slanje podataka. Novinske vesti su u to vrijeme slane difuzno na kratkim valovima i u tom obliku su primane u sjeditima novinskih agencija irom sveta. Iste veze su koritene i za prvi faksimil prijenos vremenskih mapa i drugih grafikih sadraja. Takvi predajnici su bili veoma skupi i zahtijevali su brojno osoblje za rad i odravanje. Telefonske veze su u znatnoj mjeri zamijenile takav nain prijenosa, mada se teleprinteri koriste i danas. Prijenos pomou radio frekvencija (RF) koristi antene za slanje signala kroz eter. Takvi signali se mogu lako prislukivati - svatko moe prikljuiti kratkovalni prijemnik na zvunu karticu PC-a radi otkrivanja, prijema i zapisa prijenosa u kratkovalnom i viim spektrima. Mikrovalni sistemi Mikrovalni sistemi takoer koriste radio spektar, ali posjeduju neke dodatne karakteristike i mogunosti. Mikrovalni spektar obuhvata vie razliitih vrsta komunikacije; neke od njih prijenose ogromne koliine podataka, dok je kod drugih obim prenijetih podataka mali. Standardna primjena mikrovalnog spektra danas obuhvaa mobilnu telefoniju, veze policije, veze u okviru zranog-prometa, faks i irokopojasne telekomunikacijske sisteme. Ureaji koji rade u mikrovalnom spektru obino imaju male dimenzije i visoku energetsku efikasnost. Najvei broj telekomunikacijskih sistema koji su danas u upotrebi zasniva svoj rad na mikrovalnoj tehnologiji. Mikrovalovi mogu nositi izuzetno velike koliine podataka; oni osiguravaju vezu i izvan granice optike vidljivosti, uz irok raspon izlaznih snaga.

Upotreba izmjenljivih medija

Raunarski sistemi su u posljednjih nekoliko godina postali modularni, uz puno iskoritavanje prednosti koje donose izmjenljivi mediji za skladitenje podataka. Pojam izmjenljivi mediji oznaava sve ureaje za skladitenje podataka (poput diskete, magnetne trake ili CD-ROM-a) koji se mogu ukloniti sa sistema. Diskovi ija je cijena nekada iznosila nekoliko hiljada dolara danas kotaju nekoliko stotina dolara ili, ak, i manje. Ono to je nekad smjeteno u itavu prostoriju danas moe stati u dep kaputa. Imajte na umu da su izmjenljivi mediji osjetljivi na viruse, fizika oteenja i krau. Ukoliko se povrina CD-ROM-a izgrebe ili oteti pritiskom, disk vjerojatno vie nee raditi ispravno. Ako ga neko ukrade, on vie nee biti dostupan, dok e podaci sa njega nestati zauvijek. Ti podaci mogu sadrati listu kupaca, IP adrese, baze podataka, financijske tabele ili bilo koji drugi osjetljivi sadraj. Magnetna traka Magnetna traka predstavlja jedan od najstarijih izmjenljivih medija za skladitenje podataka. Postoji vie vrsta magnetnih traka razliite veliine. Starije trake, namotane na dva kalema, Strana 70

Sigurnost raunalnih mrea bile su glomazne i osjetljive na faktore okruenja, kao to su temperatura i vlanost. Novije trake su smjetene u catrtidge ili kazete, manjih su dimenzija i znatno su izdrljivije. Neke od njih omoguavaju smjetaj podataka za koje je nekada bio potreban mehanizam dimenzija 10x10 stopa. Dananja traka je neto vea od CD-ROM kuita. CD-R CD Recordable (CD-R) predstavlja relativno novu tehnologiju koja osigurava snimanje CD diskova na raunarskim sistemima. CD-R funkcionira kao i obian CD, dok njegovo snimanje traje relativno kratko. Veina suvremenih raunarskih sistema se isporuuje sa ugraenim CD-R snimaem ili CD-R ureajem. Upis podataka na CD-R i njihova restauracija sa diska traju kratko. Hard diskovi Dananji hard diskovi imaju male dimenzije i skladite velike koliine podataka. Mogu se brzo ukloniti sa sistema, dok postoje i oni prijenosni koji se lako prikljuuju na raunar. Kopiranje itavog sistema na hard disk se obavlja za nekoliko minuta pomou programa koji kreiraju identine kopije (slike; engl. images) tih sistema. Veina dananjih hard diskova koristi USB ili paralelne portove za povezivanje sa raunarom, dok najvei broj operativnih sistema takve diskove instalira automatski pomou Plug and Plav tehnologije. Diskete Veina raunarskih sistema podrava rad sa flopijem i drugim vrstama disketa. Takve diskete imaju sline karakteristike kao i hard diskovi, mada se na njih moe smjestiti manja koliina podataka. Diskete se mogu iskoristiti za kreiranje kopija manjih datoteka sa hard diska, ali su istovremeno jedan od osnovnih prenosilaca raunarskih virusa. Fle kartice Fle kartice (memory sticks) predstavljaju male memorijske kartice koje se koriste za skladitenje podataka. Raunari koji ih koriste obino ih tretiraju kao i hard diskove. Fle kartice mogu imati viruse, a mogu se potrebiti i za krau manjih koliina podataka sa sistema koji ih podravaju. Smart kartice Smart (pametne) kartice se, u principu, koriste za kontrolu pristupa raunarskim sistemima i za druge poslove u vezi sa zatitom sistema. Na njima se obino nalazi manja koliina memorije, na koju se smjetaju prava pristupa i ostali podaci "vezani" za pristup nekom sistemu.

Kontrolna pitanja

Strana 71

Sigurnost raunalnih mrea 1. Koji od navedenih ureaja osigurava najveu zatitu mrene infrastrukture? A. vorite (hub) B. prespojnik (switch) C. ruter D. modem 2. Vii organi upravljanja su odluili da se na mreu odmah mora prikljuiti mrena barijera, prije nego to doe do napada na sajt poput onoga koji je poduzet protiv srodne kompanije. U skladu sa tom odlukom, Va neposredni rukovodilac je naredio da se do kraja nedjelje postavi filtar paketa. Koju funkciju obavlja taj filtar? A. spreavanje ulaza na mreu neprovjerenim paketima B. omoguavanje izlaza sa mree za sve pakete C. omoguavanje ulaza na mreu svim paketima D. eliminacija sudara na mrei 3. Koji ureaj na mrei skladiti podatke o odredinim adresama? A. vorite B. modem C. mrena barijera D. ruter 4. Sa poveanjem broja klijenata na mrei dolo je i do znaajnog pada njene efikasnosti. Pripremate budet za narednu godinu i elite da pronaete reenje i za ovaj problem. Koji od navedenih ureaja moe znaajno da popravi efikasnost mree? A. vorite B. prespojnik C. ruter D. 5. Koji ureaj se koristi za integraciju prijenosa podataka, govora, pagera, razliitih mrea i slinih aplikacija u okviru jedinstvenog telekomunikacijskog sistema? A. ruter B. C. vorite D. server 6. Prodavai u Vaoj firmi vie ne moraju osobno da podnose izvijea direkciji svakog dana. Umjesto toga, ubudue e provoditi najvei dio svog vremena na putu, u potrazi za novim kupcima. Svi su opremljeni laptop raunarima i naloeno im je da se svake noi povezuju na mreu prijeko komutirane (dial-up) linije. Koji od navedenih protokola se danas najvie koristi kao transportni protokol za internet veze prijeko komutiranih linija? A. SLIP B. PPP C. PPTP D. L2TP 7. Koji protokol nije pogodan za WAN VPN veze? A. PPP B. PPTP C. L2TP Strana 72

Sigurnost raunalnih mrea D. IPSec 8. Nagovjeteno je da ete uskoro biti prebaeni na novi sajt. Prije nego to odete, morate da izvrite inspekciju mree - da popiete sve ureaje na mrei i da navedete razloge za njihovo postavljanje. Budui administrator e iskoristiti tu dokumentaciju da bi osigurao dalji nesmetan rad mree. Koji od narednih protokola ne pripada grupi protokola za tuneliranje, ali se vjerojatno koristi i na Vaoj mrei radi osiguranja zatite prijenosa tuneliranjem? A. IPSec B. PPTP C. L2TP D. L2F 9. Koji elementi sainjavaju utinicu (socket)? A. TCP i broj porta B. UDP i broj porta C. IP i broj sesije D. IP i broj porta 10. Objanjavate protokole mlaem administratoru prije nego to odete na odmor. Upravo mu predoavate kako sistem elektronike pote i Internet funkcioniraju danas i kako bi, po Vaem miljenju, trebalo da funkcioniraju ubudue. Koji od narednih protokola predstavlja najnoviji standard na polju internet aplikacija elektronske pote? A. SMTP B. POP C. IMAP D. IGMP 11. Koji protokol se prvenstveno koristi za odravanje mree i prikupljanje podataka o odreditu? A. ICMP B. SMTP C. IGMP D. ruter 12. Vi ste administrator u firmi rcur Technical. Prilikom provjere protokola koji su instalirani na Vaem serveru pronali ste jedan za koji niste ni znali da je aktiviran; pretpostavljate da ga koristi neko iz kadrovskog odjeljenja radi slanja difuznih (broadcast) poruka na vie odredita. Koji od navedenih protokola se koristi za slanje grupnih poruka, odnosno za slanje poruka na vie adresa (multicast)? A. SMTP B. SNMP C. IGMP D. L2TP 13. Koji ureaj vri pasivni nadzor nad mrenim prometem? A. snifer B. IDS C. mrena barijera D. web ita

Strana 73

Sigurnost raunalnih mrea 14. Zatita je postala tema od najvee vanosti u Vaoj organizaciji. Vie se ne moete zadovoljiti reaktivnim odgovorima na incidente nakon njihovog pojavljivanja - morate poeti da ih tretirate proaktivno. Koji sistem osigurava aktivni nadzor i analizu rada mree, uz mogunost poduzimanja proaktivnih koraka radi njene zatite? A. IDS B. snifer C. ruter D. prespojnik 15. Koji od navedenih medija posjeduje vie kategorija u zavisnosti od mogunosti prijenosa? A. koaksijalni kabl B. UTP C. infracrveni spektar D. optiki kabl 16. Vi ste mreni administrator u MTS. Kroz pet mjeseci Vaa kompanija e napustiti iznajmljene kancelarije u kojima se sada nalazi i prijei u vei objekt. Sa porastom tvrtke, porastao je i znaaj njenih podataka. Va zadatak je da definirate raspored mree na novoj lokaciji od nule, uz poduzimanje svih potrebnih mjera za njenu zatitu. Koji prijenosni medij je najmanje osjetljiv na prislukivanje i neovlateno prikljuivanje? A. koaksijalni kabl B. UTP C. STP D. optiki kabl 17. Koji prijenosni medij osigurava prijenos u osnovnom i proirenom opsegu u okviru granica optike vidljivosti? A. koaksijalni kabl B. infracrveni spektar C. mikrovalni D. UTP 18. U Vaoj firmi se vri procjena tipova prijenosnih medija za skladitenje podataka iju upotrebu treba dozvoliti. Na osnovu te procjene bie izmijenjena i pravila za koritenje mree i raunara. Koji od sljedeih medija prvenstveno treba koristiti za arhiviranje i kreiranje priuvnih kopija? A. magnetne trake B. CD-R C. fle kartice (memory stick) D. izmenljive hard diskove 19. Koji skladini medij je osjetljiv na viruse? A. magnetne trake B. fle kartice (memory stick) C. CD-R D. svi navedeni mediji 20. Pokuavate da izbacite diskete iz Vae firme i elite da uvedete medije na koje je mogue uskladititi dodatne personalne podatke da bi bilo oteano njihovo neovlateno kopiranje ili falsificiranje. Koji od navedenih ureaja moete iskoristiti za tu svrhu? Strana 74

Sigurnost raunalnih mrea A. B. C. D. Odgovori 1. C. Veina rutera se moe konfigurirati tako da funkcionira kao mrena barijera sa filtriranjem paketa. Ukoliko se pravilno konfiguriraju, ruteri mogu sprijeiti otvaranje nelegalnih portova. 2. A. Filtri paketa spreavaju ulaz nelegitimnih paketa na mreu, odnosno izlaz sa nje. Oni su vrsta mrene barijere koja blokira promet prijeko odreenog porta. 3. D. Ruteri skladite podatke o odreditima za slanje paketa u tzv. tabelama rutiranja. Tabele sadre podatke o poznatim hostovima na obje strane rutera. 4. B. Prespojnici (switches) kreiraju virtualna kola izmeu sistema na mrei. Ta virtualna kola imaju privatni karakter i smanjuju mreni promet. 5. B. Veliki broj suvremenih (Private Branch Exchange) sistema osigurava istovremeni prijenos govora i podataka prijeko iste linije za prijenos podataka koja vodi do telefonskog operatora. Time se moe postii i umanjenje ukupnih trokova prijenosa. Takve veze se uspostavljaju prijeko postojeih mrea, kao to su TI ili mree. 6. B. SLIP veze su, uglavnom, zamijenjene PPP vezama za internet konekcije prijeko komutiranih linija. SLIP proputa samo TCP/IP promet, dok PPP proputa vei broj protokola. 7. A. PPP ne osigurava zatitu prijenosa, tako da su sve aktivnosti ovog protokola nezatiene. PPP se prvenstveno koristi u vezama prijeko komutiranih linija i ne treba ga koristiti za VPN veze. 8. A. IPSec osigurava zatitu za protokole tuneliranja. Moe se koristiti sa velikim brojem drugih protokola. Ovaj protokol nudi dva reima zatite. 9. D. Utinica je kombinacija IP adrese i broja porta. Ona odreuje aplikaciju koja e reagirati na zahtjev koji stie sa mree. 10.C. IMAP sve vie postaje standard na e-mail klijente, zamjenjujui POP protokole u sistemima elektronske pote. IMAP osigurava preusmjeravanje pote i skladitenje informacija u specijalnim oblastima (tzv. stores). 11.A. ICMP se koristi za utvrivanje podataka o odreditu i za dovijanje raznih izvijea u TCP/IP prijenosu. ICMP osigurava rutiranje i koristi se u programima kao to su Ping i Traceroute. 12.C. IGMP se koristi za grupno slanje poruka, odnosno za slanje poruka na vie adresa (multicasting). IGMP kreira listu sistema koji pripadaju jednoj grupi za slanje. Kada se poruka alje odreenoj grupi, svaki lan grupe dobiva osobnu kopiju poruke. 13.A. Prislukiva-snifer nadgleda funkcije mree i prikazuje podatke o mrenom prometu u realnom vremenu. Sniferi, ili mreni monitori, prvenstveno su dizajnirani za nadzor mree i otklanjanje problema na njima. 14. A. IDS se koristi za zatitu mree i obavjeivanje administratora (ili sistema) o neuobiajenim aktivnostima na mrei. Sistem radi pomou datoteka-dnevnika i pravila koja definiraju nain reakcije na neuobiajene dogaaje. 15.B. UTP kablovi su svrstani u sedam kategorija koje definiraju njihovu propusnu mo i performanse. Najvie se upotrebljava kategorija 5 (CAT 5), koja osigurava propusnu mo od 100 Mbps. CAT 5 kablovi se najee koriste u 100Base-T mreama. 16.D. Smatra se da su najsigurnije mree sa optikim kablovima, mada je mogue neovlateno prikljuivanje i na njih. Takve mree koriste plastine ili staklene provodnike, kroz koje se proputa svijetlost generirana laserom. Strana 75 CD-R smart kartice fle kartice magnetne trake

Sigurnost raunalnih mrea 17.C. Mikrovalni komunikacijski sistemi nude izuzetno veliku propusnu mo i mogu raditi u osnovnom (baseband) ili u proirenom opsegu. Prijenos u osnovnom opsegu se odvija prijeko jednog kanala, dok proireni opseg osigurava viekanalni prijenos. 18.A. Magnetne trake su najei medij za arhiviranje i kreiranje rezervnih kopija u velikim sistemima. Od svih navedenih medija trake osiguravaju najgue pakovanje na najmanjem prostoru. CD-R i izmjenljivi hard diskovi se takoer mogu upotrijebiti, mada ovi mediji ne posjeduju kapacitet ekvivalentan magnetnim trakama. 19. D. Svi navedeni ureaji mogu primiti viruse i prenijeti ih na "nezaraene" sisteme. Obavezno skenirajte sve datoteke da biste otkrili eventualne viruse prije nego to ih kopirate na takve medije. 20.B. Smart kartice se koriste za kontrolu pristupa i na njih se moe uskladititi manja koliina podataka. One sve vie zamjenjuju magnetne kartice, zato to se na njih mogu postaviti i dodatni osobni podaci koje je tee kopirati ili falsificirati.

4. Praenje prometa na mrei

Strana 76

Sigurnost raunalnih mrea Osnovna namjena mree je, kao to znate, osiguranje pogodne veze za dijeljenje podataka, resursa i servisa. Upravo ta veza predstavlja osnovu brojnih problema sa kojima se susreemo u osiguranju zatienog okruenja za nae sisteme. U ovom poglavlju emo govoriti o brojnim "stvarima", ukljuujui detekciju neovlatenog upada na mreu, razliite tehnike detekcije, beinu tehnologiju i instant poruke. Pored toga, bie rei i o analizi signala i nadzoru rada mree.

Praenje rada mree

U Poglavlju 2 smo uveli pojam "praenje rada mree, mada je bilo reci samo o osnovnim pojmovima. U ovom poglavlju emo nastaviti tamo gdje smo stali, uz detaljniju obradu karakteristika mrenog nadzora. Svaka mrea je izloena razliitim oblicima napada i pokuaja neovlatenog upada. Tehnike za nadzor mrenih aktivnosti pomau pri praenju svega onoga to se deava na mrei. Nadzor se moe vriti u realnom vremenu (pomou mrenih prislukivaa - snifera, na primjer) ili praenjem dogaaja preko log datoteka i sigurnosnih sistema (pomou sistema za detekciju "uljeza" - IDS). Kako prepoznati razliite vrste mrenog prometa? Vaa mrea vjerojatno koristi nekoliko mrenih protokola i servisa za komunikaciju. U ovom odjeljku emo ukratko objasniti uobiajene protokole i servise u mreama. Danas se u regionalnim mreama (WAN - Wide Area Network) najee koristi /I Veliki broj mrea koristi i protokole specifine za Novell, Microsoft, Network File Systems i AppleTalk. U narednim odjeljcima ete ih upoznati i definirati kakve potencijalne prijetnje predstavljaju za mree. TCP/IP Kao to se vjerojatno sjeate, niz /I protokola podrava irok spektar protokola za prijenos podataka unutar i izvan lokalne mree (LAN - local area network). Najosjetljiviji na napad su IP, TCP, UDP ICMP i IGMP (o njima je ve bilo rijei u Poglavlju 2, "Definiranje potencijalnih opasnosti"). Bitno je da upamtite da svaki od navedenih protokola posjeduje "ranjiva" mjesta, zbog nezatienog karaktera /I ili zbog propusta proizvoaa softvera u njihovoj implementaciji. Novell protokoli Novell, Inc. je ve dugo znaajno ime na polju mrenih okruenja sa svojom linijom NetWare proizvoda. Novell je dugogodinji rival Microsofta, a ujedno i firma sa velikim brojem odanih sljedbenika. NetWare, serversko mreno okruenje/operativni sistem, nudi niz mrenih protokola, servisa i aplikacija. NetWare je osjetljiv na DoS napade, kao i veina /I okruenja. Pored /I, NetWare podrava jo dva privatna protokola: IPX/SPX Internetwork Pocket Exchange (IPX - meumrena razmjena paketa) i Sequenced Packet Exchange (SPX - sekvencijalna razmjena paketa) predstavljaju dva privatna protokola karakteristina za Novell 4.x i ranije NetWare mree. IPX i SPX su uobiajeni protokoli i u velikim i u manjim mreama. To su brzi i efikasni protokoli, ujedno i dobro dokumentirani. Osjetljivi su na neovlateno praenje prometa (prislukivanje) internim monitoringom. Microsoftovi desktop operativni sistemi obavezno podravaju komunikaciju preko IPX/SPX protokola, tako da radna stanica sa takvim operativnim sistemom moe postojati i na NetWare

Strana 77

Sigurnost raunalnih mrea mrei. S obzirom da je IPX/SPX u privatnom vlasnitvu Novella, Microsoft je kreirao osobni protokol pod nazivom NWLink, koji je IPX/SPX kompatibilan. NDS i eDirectory Novell je uveo osobni servis imenika, pod nazivom NetWare Directory Services (NDS), radi upravljanja cjelokupnim resursima u nekoj mrei. Skraenica NDS je naknadno izmijenjena u Novell Directory Services. NDS sadri bazu podataka o svim objektima u mrei i njenim resursima. Bitno je da upamtite da je NDS mreni servis. Imajte u vidu da NDS stablo ukljuuje i tiskae, disk volumene, korisnike i grupe kao objekte-listove, ili resurse, u stablu. Ranije verzije NetWare operativnog sistema su koristile tzv. bindery servise; foldere (bindery) su sadravale podatke o resursima na bazi servera.

Slika 4.1 Struktura tipinog NDS stabla NetBIOS Nework Basic Input Output System (NetBIOS) je standardni protokol Windows PC-a. On podrava nazive mrenih resursa maksimalne duine od 15 karaktera. To je difuzni (broadcast) mreni protokol u kome je cjelokupan promet dostupan svim ureajima na LAN mrei. Protokol se moe prenositi ako se koriste NetBEUI, /I ili IPX/SPX. Najvei nedostatak NetBIOS protokola sa stanovita zatite je injenica da on otvara port za dijeljenje datoteka i tiskaa. Takvom portu moe prii bilo koja nepozvana osoba sa Interneta na isti nain kao i preko ureaja koji je spojen na lokalni LAN. NetBEUI NetBIOS Extended User Interface (NetBEUI) se koristi za prijenos NetBIOS prometa u okviru LAN mree. NetBEUI i NetBIOS su na poetku prodavani kao jedinstven proizvod (od pojave sistema Windows for Workgroups). Sa napretkom mrene tehnologije NetBIOS je prerastao u odvojeni protokol. NetBEUI ne podrava rutiranje, to znai da ne moe prolaziti kroz rutere. NetBEUI promet se lako moe prislukivati pomou mrenog snifera.

WINS servis Strana 78

Sigurnost raunalnih mrea Windows Internet Naming Servise (WINS) prevodi NetBIOS adrese u /I adrese. WINS se izvrava kao servis na serveru kao to je Windows 2000 Advanced Server. On osigurava prevoenje mrenih naziva, slino kao i DNS. Ukoliko WINS nije aktiviran, Windows sistemi mogu koristiti lokalnu datoteku pod nazivom LMHOSTS da bi preveli NetBIOS naziv u TCP/IP adresu.

Slika 4.2 NetBEUI mrea koja koristi VPN preko TCP/IP mree

Slika 4.3 Prevoenje TCP/IP adrese u nazive na WINS serveru Network File System protokol Netiwork File System (NFS) je standardni protokol za dijeljenje datoteka na Unix sistemima. NFS omoguava udaljenim korisnicima da instaliraju (mount) diskove sa maina u mrei. Da bi osigurao zatitu. NFS je ekvivalentan DFS (Distributed File System) sistemu, koji je vie karakteristian za svet izvan Unixa.

Slika 4.4 Instaliranje NFS ureaja pomou udaljenog Unix sistema Apple protokol Apple Computers se nalazi na tritu mrenih proizvoda ve dugi niz godina. Apple mreni protokol, tzv. AppleTalk, podrava rutiranje (mada ono u znatnoj mjeri optereuje promet) i predstavlja standard na Apple raunalima i Apple tiskaima ve dui niz godina. Najvei broj proizvoaa mrenih sistema podrava AppleTalk protokol, koji nije pogodan za aplikacije sa

Strana 79

Sigurnost raunalnih mrea velikim zahtjevima u pogledu zatite. Pored ovog protokola, suvremeni Macintosh sistemi mogu koristiti i /I za odravanje veze. Praenje rada mrenih sistema Postoji nekoliko mehanizama za nadgledanje prometa na mrei. Praenje se moe vriti na pojedinanim sistemima, na serverima ili na odvojenim mrenim komponentama. Ono se odvija preko specijalnih prikljuaka (engl. tap). Na slici 4.5 prikazano je nekoliko mjesta na mrei gdje se takvi prikljuci mogu postaviti. Svaka pojedinana lokacija osigurava razliit pogled na mreu. Da bi zatita bila efikasna, obino se mora postaviti vie takvih prikljuaka. Mreni sistemi su izloeni i unutranjim i vanjskim prijetnjama. Ukoliko se cjelokupan nadzor orijentira na vanjske prijetnje, detekcija unutranjih naruavanja sistema zatite e biti oteana. Uvijek treba teiti pravilnom balansu izmeu praenja unutranjih i vanjskih prijetnji, pri emu se i taj odnos moe mijenjati u skladu sa konkretnom situacijom. Ukoliko, na primjer, kompanija eli da smanji broj zaposlenih za 25 postotaka, mjere zatite treba pojaati tako da se umanji opasnost od unutranjih oblika naruavanja rada mree. Kada doe do poveanog broja vanjskih napada na kompanije koje se bave slinim poslom kao i Vaa, prioritet treba da bude na poboljanju mjera zatite od vanjskih napada.

Slika 4.5 Lokacije prikljuaka preko kojih se prati promet na mrei

Kako funkcioniraju sistemi za detekciju upada?

Sistemi za detekciju upada (IDS - intrusion detection systems) danas predstavljaju integralni dio sistema za nadzor mrenog prometa. IDS je relativno nova tehnologija koja dosta obeava na polju detekcije "uljeza" na mrei. Detekcija "uljeza" (ID) je proces praenja dogaaja na sistemu ili u mrei radi otkrivanja eventualnih neovlatenih upada. Upad (engl. intrusion) je po definiciji svaka aktivnost ili akcija usmjerena na naruavanje ili kompromitaciju povjerljivosti, integriteta ili dostupnosti mrenih resursa. Mrene barijere, kao to se vjerojatno sjeate, dizajnirane su radi spreavanja napadaa da pristupe mrenim resursima. IDS sistem nadgleda takve aktivnosti i izvjetava o njihovoj pojavi. Da biste u potpunosti shvatili ovu tehnologiju i uspjeno pratili ostatak razmatranja u ovom odjeljku, potrebno je da poznajete nekoliko kljunih pojmova: Aktivnost je element (karakteristika) izvora podataka koji ima znaaja za operatora. Aktivnost izvora podataka obuhvata i one radnje koje mogu biti sumnjive. Primjer takve aktivnosti moe biti uporno ponavljanje zahtjeva za TCP vezom koji dolazi sa jedne IP adrese. Administrator je osoba koja je odgovorna za uspostavljanje sistema zatite u nekoj organizaciji. Nadlean je za donoenje odluka o postavljanju i konfiguraciji IDS sistema. On mora donositi pravilne odluke o nivoima aktiviranja alarma, obimu pamenja deavanja na Strana 80

Sigurnost raunalnih mrea mrei (history logging) i o obimu praenja sesija. Pored toga, odgovoran je i za definiranje odgovarajuih reakcija na napade, kao i za njihovu realizaciju. Upozorenje (engl. alert) je poruka koja potie od analizatora i ukazuje da se desio dogaaj koji zasluuje panju. Ono sadri podatke o aktivnosti i o okolnostima pod kojima se dogaaj desio. Upozorenje se, primjera radi, moe generirati u sluaju pojaanog ICMP (Internet Control Message Protocol) prometa ili u sluaju vie uzastopnih neispravnih pokuaja prijave na sistem (logon). Svaka mrea ima odreeni nivo prometa koji je potpuno normalan za njeno funkcioniranje. Upozorenja se generiraju kada aktivnosti odreenog tipa preu unaprijed definirane granine vrijednosti (pragove). Upozorenje se, primjera radi, nee generirati uvijek kada neki vanjski korisnik ispituje server programom Ping. Ukoliko, meutim, intenzitet komandi ping poraste ili pree unaprijed definirani prag, upozorenje e vjerojatno biti dobro dolo. Analizator je komponenta ili proces koji analizira podatke prikupljene pomou senzora. Pokuava da pronae sumnjive aktivnosti meu prikupljenim podacima. On funkcionira tako to prati dogaaje i utvruje da li na mrei postoje neuobiajene aktivnosti ili koristi procese zasnovane na pravilima koja se definiraju prilikom konfiguracije IDS sistema. Izvor podataka (data source) je "sirova" informacija koju IDS koristi da bi otkrio sumnjive aktivnosti. Kao izvor podataka mogu se koristiti nadzorne (audit) datoteke, sistemske log datoteke i konkretan mreni promet. Dogaaj (engl. event) predstavlja bilo kakvo deavanje u okviru izvora podataka koje ukazuje na sumnjive aktivnosti. Dogaaji se biljee u datoteke-dnevnike radi naknadnog prouavanja. Pored toga, oni obino aktiviraju i proces izvjetavanja o nesvakidanjim deavanjima na mrei. IDS moe poeti biljeenje dogaaja ukoliko doe do iznenadnog porasta dolaznih email veza; takav dogaaj moe biti indikator da neko ispituje Vau mreu. Dogaaj moe aktivirati i upozorenje ukoliko se pojavi odstupanje od uobiajenog mrenog prometa ili kada doe do prekoraenja granine vrijednosti (praga) neke aktivnosti. Menader je komponenta ili proces pomou koje korisnik upravlja IDS sistemom. IDS konzola je primjer menadera. Sve izmjene IDS konfiguracije obavljaju se koritenjem IDS menadera. Obavjetavanje (engl. notification) predstavlja proces ili metodu pomou koga IDS menader upozorava operatora o neuobiajenim aktivnostima. Obavjetavanje se moe realizirati pomou grafikih prikaza intenziteta prometa ili pomou e-mail poruka koje se alju administrativnom osoblju mree. Operator je osoba koja je prvenstveno odgovorna za funkcioniranje IDS sistema (korisnik, administrator, itd), pod uvjetom da je najvanija u lancu odgovornosti. Senzor je IDS komponenta koja prikuplja podatke iz izvora podataka i prosljeuje ih do analizatora radi dalje analize. Senzor moe biti neki postojei drajver na sistemu ili "crna kutija" koja je prikljuena na mreu iskljuivo radi prikupljanja podataka za IDS. Upamtite da je senzor osnovna toka za prikupljanje podataka u IDS sistemu. IDS, kao to moete vidjeti, posjeduje veliki broj razliitih komponenata i procesa koji funkcioniraju kao cjelina radi kreiranja slike o mrenom prometu u realnom vremenu.

Strana 81

Sigurnost raunalnih mrea

Slika 4.6 Komponente IDS sistema koje zajednikim naporima osiguravaju nadzor nad mreom

Slika 4.7 MD-IDS sistem u akciji IDS sa detekcijom zloupotrebe (MD-IDS, misuse-detection IDS) MD-IDS otkriva napade na osnovu "otisaka prstiju" pojedinih vrsta napada i praenja tragova sistema nadzora (audit trails). "Otisci prstiju" opisuju ope karakteristike za izvoenje pojedinih napada na sistem. Napad sa TCP plavljenjem, na primjer, inj velikim brojem nezavrenih TCP sesija. Ukoliko MD-IDS sistem "zna" kako izgleda napad sa TCP plavljenjem, on moe generirati odgovarajui izvjetaj ili poduzeti mjere reakcije na takav napad. Rad sa IDS sistemom zasnovanim na mrei Mreni IDS sistem (N-IDS, network-based IDS) je prikljuen na takvo mjesto u mrei odakle moe nadgledati cjelokupan mreni promet i izvjetavati o stanju. Postavljanjem N-IDS sistema ispred mrene barijere osigurava se nadzor nad cjelokupnim dolaznim prometom. Time se osigurava obrada velike koliine podataka, uz mogunost kontrole cjelokupnog prometa koji dolazi na mreu. Postavljanjem N-IDS iza mrene barijere omoguava se praenje samo onog prometa koji prolazi barijeru. Mada se time smanjuje

Strana 82

Sigurnost raunalnih mrea koliina podataka za obradu, takav pristup ne osigurava uvid u sve napade koji su moda u fazi razvoja.

Slika 4.8 AD-IDS sa ekspertnim sistemom za procjenu rizika

Slika 4.9 Lokacija N-IDS sistema na mrei odreuje koji podaci e biti analizirani N-IDS se moe prikljuiti na komutator ili na vorite ili se prikljuuje na prijenosni medij (tap). Veina vorita i komutatora posjeduje specijalni nadzorni port, koji je namijenjen za dijagnostiku i otklanjanje kvarova. Takav port moe funkcionirati na slian nain kao i obian prikljuak na kablu. Obian prikljuak, meutim, ima prednosti, zato to je IDS jedini ureaj koji e ga koristiti. Na nivou mree je mogue definirati dva osnovna naina reakcije: pasivni i aktivni. Oba su ukratko objanjena u narednom odjeljku.

Slika 4.10 Povezivanje N-IDS sistema na mreu preko vorita Implementacija pasivne reakcije Pasivna reakcija je najei nain reagiranja na veliki broj upada u sistem. U principu, ona je najjednostavnija za razvoj i implementaciju. Njena strategija obuhvata: Strana 83

Sigurnost raunalnih mrea Evidentiranje (logging) Evidentiranje podrazumijeva biljeenje pojave odreenih dogaaja i okolnosti pod kojima su oni nastali. Funkcija evidentiranja mora osigurati dovoljno informacija o prirodi napada da bi administrator mogao utvrditi ono to se desilo i procijeniti prijetnju. Te informacije se, zatim, mogu iskoristiti i za formuliranje odgovora na prijetnju. Obavjetavanje (notification) Funkcija obavjetavanja prenosi sve podatke o napadu koji se desio do odgovarajueg osoblja. To podrazumijeva i prijenos onih podataka o dogaaju koji mogu pomoi u procjeni situacije. Ukoliko je IDS sistem neprekidno "pokriven" osobljem, poruke se mogu prikazati i na menaderskoj konzoli da bi upozorile na pojavu odreenih dogaaja. Ignoriranje (shurming) Ignoriranje napada je jedan od uobiajenih naina reagiranja. Ukoliko IDS detektira Internet Information Server (IIS) napad na sistem na kome se izvrava drugi web-hosting servis, kao to je Apache, napad se moe slobodno ignorirati. On nee biti efikasan, zato to Apache ne reagira na isti nain kao i IIS. Na optereenoj mrei moe postojati vie razliitih napada u jednom trenutku. Ukoliko neki od tih napada ne izaziva previe brige, zato biste gubili energiju i vrijeme za njegovo ispitivanje i obavjetavanje drugih korisnika? IDS moe jednostavno notirati takav napad u log datotekama i prei na vanije poslove. Implementacija aktivne reakcije Aktivna reakcija obuhvaa poduzimanje odreenih mjera, u zavisnosti od vrste napada ili prijetnje. Cilj takvog reagiranja jeste poduzimanje najbre mogue akcije da bi bili umanjeni mogui efekti napada. Aktivno reagiranje zahtjeva postojanje odgovarajuih planova za konkretne dogaaje, jasnu politiku i odreeni oblik inteligencije IDS sistema da bi bila osigurana njegova efikasnost. Aktivna reakcija ukljuuje jednu od sljedeih mjera: Zaustavljanje procesa ili sesije Ukoliko se detektira napad radi "guenja" servisa (flood atack), IDS moe reserirati sve tekue sesije preko odreenog podsistema, kao to je TCP. Na taj nain se oslobaaju resursi i stvaraju uvjeti za normalan rad TCP protokola. Naravno, time se zaustavljaju i sve legalne sesije, koje se moraju ponovo uspostaviti - ponovna uspostava e ipak biti mogua i nee previe opteretiti krajnje korisnike. IDS procjenjuje novonastale dogaaje i odreuje najbolji nain za njihovo neutraliziranje. Izmjena mrene konfiguracije Ukoliko se detektira neka IP adresa koja predstavlja izvor stalnih napada na mreu, IDS moe naloiti graninom ruteru ili mrenoj barijeri da ubudue odbije bilo kakav zahtjev ili promet koji dolazi sa te adrese. Takva izmjena konfiguracije moe biti trajna ili se vezuje za odreeni vremenski period. Ukoliko IDS "zakljui" da je napad usmjeren na odreeni port ili utinicu, on moe naloiti mrenoj barijeri da blokira taj port u odreenom vremenskom intervalu. Time se efikasno eliminira napad, mada se istovremeno moe nenamjerno prouzrokovati i DoS situacija ("guenje" servisa) uslijed eliminiranja legitimnog prometa. To se naroito odnosi na promet pomou porta 80 (HTTP ili web). Obmanjivanje (deception) Aktivna reakcija u vidu obmanjivanja kod napadaa stvara lanu sliku o uspjenosti napada, osiguravajui, istovremeno, pun nadzor nad dogaajima, uz eventualno preusmjeravanje napadaa na specijalno pripremljen sistem. Na taj nain operator (ili administrator) moe prikupiti podatke o nainu izvrenja napada i upotrijebljenim tehnikama. itav proces se esto naziva i preusmjeravanje na lani mamac (engl. honey pot); o njemu e biti vie rijei kasnije u odjeljku "Primjena lanih mamaca". Strana 84

Sigurnost raunalnih mrea Osnovna prednost ovakvog naina reagiranja jeste mogunost praenja i biljeenja svih aktivnosti radi naknadne analize nakon zavretka napada. Definiranje itavog scenarija je prilino oteano, dok je putanje hakera na mreu relativno riskantan potez, ak i kada potpuno nadgledate sve dogaaje. Rad sa IDS sistemom zasnovanim na hostu IDS sistem zasnovan na hostu (H-IDS, host-based IDS) dizajniran je u obliku softvera koji se izvrava na raunarskim sistemima - hostovima. Takav IDS se obino pokree u obliku servisa ili pozadinskog procesa, H-IDS prati sadraj log datoteka na raunani, sistemske dogaaje i interakcije izmeu aplikacija; on obino ne nadgleda dolazni mreni promet prema hostu. H-IDS sistemi su popularni na serverima koji koriste kriptozatiene kanale ili kanale prema drugim serverima. H-IDS sistemi posjeduju dva osnovna problema koja nije lako rijeiti. Prvi problem je "vezan" za kompromitaciju sistema. Ukoliko doe do nje, moe doi i do naruavanja sadraja log datoteka u koje IDS upisuje izvijea. Pogrean sadraj tih datoteka moe oteati uoavanje greaka, pa ak i dovesti do nestabilnosti sistema. Drugi problem sa H-IDS sistemima je sadran u injenici da se on mora instalirati na svaki raunar koji treba zatititi, to moe predstavljati ogromno optereenje za administratora i osoblje podrke. Osnovna prednost H-IDS sistema detekcije je mogunost formiranja kontrolnih suma (checksum) za datoteke, radi informiranja administratora o eventualnim izmjenama sadraja datoteka tokom napada. Oporavak od posljedica napada je u tom sluaju olakan, zato to je lako utvrditi na kojim datotekama je dolo do izmjena. IDS instaliran na hostovima obino reagira pasivno na incidente, mada je teoretski mogue predvien' i aktivne reakcije sline onima koje se primjenjuju u mrenim IDS sistemima. Primjena lanih "mamaca" Lani "mamci" (engl. honey pots) su raunala koja su odreeni za metu eventualnih napada. Postavljaju se da bi rtva svjesno prihvatila napad. Tokom procesa "umiranja" rtva moe angairati zasebno raunalo da bi prikupila podatke o nainu odvijanja napada i o tehnikama njegove realizacije. Prednost lanih "mamaca" je u injenici da se napad odvlai od osjetljivih sistema sa znaajnim podacima i da administrator moe prikupiti dodatne podatke o strategiji napada. Lani "mamci" obino nisu dodatno zatieni. Za jednostavni "mamac" se moe iskoristiti standardni raunar sa uobiajenim operativnim sistemom i aplikativnim softverom, bez dodatne konfiguracije, a sloeniji, meutim, mogu sadrati dodatne podatke i softver koji e namamiti napadaa dublje u sistem radi njegovog preuzimanja. Ukoliko takvi raunari"mamci" nisu pravilno konfigurirani, napada ih moe iskoristiti kao polaznu osnovu za dodatne napade na ostale raunare u mrei. Postoji nekoliko zanimljivih inicijativa na polju tehnologije lanih "mamaca". Jedna od njih je i The Honeynet Project, sintetika mrea-"mamac" koja se realizira samo na jednom raunalu, prikljuenom na stvarnu mreu pomou obine mrene (NIC) kartice. Raunalo simulira rad itave korporativne mree, sa imitacijom svih aplikacija i podataka koji se mogu nai na pravoj mrei. Prije nego to se upustite u implementaciju lanih "mamaca" ili projekata tipa lanih mrea, morate upoznati sadraj pojmova namamljivanje (enticement) i poticanje (entrapment): Namamljivanje je proces navoenja neke osobe na zamku koju ste mu pripremili. To se moe postii davanjem oglasa o posjedovanju besplatnog softvera ili hvalisanjem da nitko ne moe Strana 85

Sigurnost raunalnih mrea provaliti u Va raunar. Ukoliko pozivate nekoga da to uini, Vi ga namamljujete da uradi neto to biste Vi eljeli. Poticanje je proces u kome organi vlasti ili vladine institucije ohrabruju ili potiu neku osobu da poini kriminalno djelo, ak i kada potencijalni kriminalac ne pokazuje elju da nastavi tim putem. Poticanje je legalan nain za borbu protiv kriminala. Namamljivanje je prihvatljivo sa stanovita zakona, dok se za poticanje to ne moe rei. Vaa odgovornost je u oba sluaja vjerojatno mala, mada uvijek treba da potraite pravni savjet prije nego to postavite lani "mamac" u svojoj mrei. Pored toga, poeljno je da kontaktirate sa organima vlasti ili tuilatvom ukoliko elite da poduzmete legalnu akciju protiv napadaa. Reagiranje na incidente Reagiranje na incidente obuhvaa procese identifikacije, istraivanja, otklanjanja posljedica, dokumentiranja i prilagoavanja u cilju spreavanja daljih incidenata. Najjednostavnije reeno, incident oznaava bilo kakav dogaaj koji predstavlja opasnost za raunarski sistem ili za mreu. Mi emo razmotriti dvije vrste reakcija na incidente: interne reakcije i reakcije koje zahtijevaju angairanje profesionalaca iz kriminalistikih slubi. Incidenti su danas neizbjena pojava, tako da se moraju poduzimati dodatni koraci za izvlaenje iskustava iz onih incidenata koji su se ve desili. Mi emo ovdje govoriti o prvom tipu reakcija na incidente - o internim reakcijama na incidente. U svakom sluaju, poeljno je da u organizaciji postoji razraen opi plan sa procedurama koje sainjavaju reagiranje na incidente (Incident Response Plan - IR). Takav plan sadri korake koje treba poduzeti u sluaju incidenta i spisak odgovornih osoba koje odluuju o nainu reagiranja u konkretnim situacijama. Pojam incident ima specifino znaenje u razliitim industrijskim oblastima. Kada je rije o bankama i financijskim institucijama, pojam incident odnosi se na pojave koje dovode do gubitka novca. Upad hakera u bankarsku mreu se nee tretirati kao incident, zato to bi takva kvalifikacija automatski pokrenula sasvim drugaiji oblik istrage. Narednih pet odjeljaka posveeno je fazama tipine reakcije na incidente, koje u naem primjeru imaju opi karakter. Svaka organizacija definira specifine procedure koje pokrivaju te korake. Prvi korak: identifikacija incidenta Identifikacija incidenta predstavlja prvi korak u utvrivanju onoga to se dogodilo u okviru odreene organizacije. Neki interni ili eksterni napad moe biti samo dio ireg napada koji tek zapoinje ili moe biti sluajna proba u sklopu skeniranja Vae mree. Drugi korak: istraga o incidentu Proces istrage o okolnostima nastanka incidenta obuhvaa pregled dnevnika, datoteka i drugih izvora podataka o prirodi incidenta i njegovom obimu. Poeljno je, ukoliko je mogue, da se utvrdi da li je incident dio ireg napada i da li je rije o sluajnom dogaaju ili o lanom alarmu. Lani alarmi (false positives) su uobiajeni u IDS okruenjima i mogu biti rezultat neuobiajenog intenziteta prometa na mrei. Moe se desiti da je Vaa mrea izloena ping komandama itavog odjeljenja uenika na satu koji je posveen zatiti raunarskih sistema radi utvrivanja vremena odziva ili je rije o nekom automatiziranom ureaju koji izvodi osmiljeni napad. Trei korak: otklanjanje posljedica

Strana 86

Sigurnost raunalnih mrea Odmah nakon izbijanja incidenta morate utvrditi kako moete povratiti pristup ugroenim resursima. Nakon toga, naravno, morate ponovo uspostaviti kontrolu nad itavim sistemom. Najvei broj operativnih sistema podrava proces oporavka od katastrofalnih padova pomou distribucijskih medija ili datoteka u koje je upisano stanje sistema. Koje korake treba poduzeti nakon identifikacije problema radi "oivljavanja" ugroenih servisa? Ukoliko je rije o DoS napadu, vjerojatno e pomoi obino restartanje sistema. Proizvoai operativnih sistema obino tampaju detaljne upute za ponovno pokretanje izgubljenih servisa. Ukoliko je rije o ozbiljnijem ugroavanju sistema, poput onoga sa "crvima", oporavak sistema moda nee biti mogu. Moe se desiti da se sistem mora regenerirati od samog poetka. Sreom, antivirusni programi mogu otkloniti vei dio teta koje nanose poznati virusi. to ete, meutim, raditi ukoliko naiete na potpuno novi virus? Vjerojatno ete morati krenuti od poetka, podiui novi sistem. Preporuujemo da u tom sluaju izvrite potpuno formatiranje diska da biste sprijeili skrivanje koda koji ponovo moe inficirati mreu. etvrti korak: dokumentiranje reakcije Poduzete korake morate dokumentirati tijekom itavog procesa reakcije na incident, od identifikacije i detekcije, pa sve do restauracije raunarskog sistema ili mree. Takvi podaci imaju veliku vanost; oni se mogu iskoristiti ukoliko ponovo doe do slinog napada. Veliki broj pomonih softverskih sistema nudi razraene tehnike za memoriranje poduzetih procedura i koraka, uz mogunost brzog pristupa unijetim podacima. Peti korak: izmjena postojeih procedura Nakon uspjenog okonanja incidenta, potrebno je preispitati postojee procedure i propise u okviru organizacije da bi bile izvrene odreene izmjene, ukoliko je to potrebno. Rjeavanje problema moete poeti odgovorima na jednostavna pitanja. Upute mogu sadrati sljedea pitanja: o Da li su postojei propisi adekvatni za ovakve situacije? o to ste nauili o situacijama koje su nove za Vas? o to sljedeeg puta treba uraditi drugaije? Odgovori na navedena pitanja mogu pomoi u eventualnim izmjenama postojeih procedura. Ovaj proces se esto naziva i post mortem i moe se usporediti sa autopsijom.

Rad sa beinim sistemima

Beini sistemi su oni koji za slanje podataka ne koriste kablove, ve ih prenose kroz zrak. Poveana upotreba beinih sistema stvara nove prilike za napadae. Rije je o relativno novim sistemima, koji koriste dobro razvijene komunikacijske mehanizme, ali se istovremeno lako mogu "prislukivati". U ovom odjeljku emo govoriti o razliitim vrstama beinih sistema sa kojima moete doi u kontakt i o nekim pitanjima "vezanim" za zatitu ove tehnologije. Tonije, predstaviti emo WTLS (Wireless Transport Layer Securiry) standard iz IEEE 802 grupe beinih standarda i WEP/WAP aplikacije, zajedno sa sigurnosnim problemima koje svaki od navedenih protokola donosi.

Wireless Transport Layer Security

Wireless Transport Layer Security (WTLS) je sigurnosni protokol WAP (Wireless Applications Protocol) protokola, o kome e biti vie rijei u odjeljku "WEP/WAP". WTLS osigurava identifikaciju, ifriranje i integritet podataka pri radu sa beinim ureajima. Strana 87

Sigurnost raunalnih mrea Dizajniran je tako da koristi relativno mali dio propusnog opsega tih ureaja, uz umjerenu zatitu. WTLS osigurava prihvatljiv nivo zatite za prijenosne ureaje, tako da ima iroku primjenu kod beinih ureaja. IEEE 802.11x beini protokoli Familija IEEE 802.11x protokola namijenjena je beinim komunikacijama i prijenosu podataka pomou radio frekvencija. Standard 802.11 predvia rad na frekventnim opsezima od 2,4 i 5 GHz. Postoji nekoliko standarda i frekventnih pojasa koji su odreeni za beina okruenja, izmeu kojih nije osiguranana potpuna kompatibilnost: 802.11 Standard sa oznakom 802.11 definira beine lokalne mree (LAN) sa brzinama prijenosa od 1 ili 2 Mbps na frekventnom opsegu od 2,4 GHz. Prijenos se odvija u proirenom spektru, i to kodiranjem podataka frekventnim "skakanjem" (FHSS - frequency-hopping spread spectrum) ili direktnom sekvencom (DSSS - direct-sequence spread spectrum). 802.11a Standard 802.11a podrava brzine prijenosa u beinim LAN mreama do 54 Mbps u frekventnom opsegu od 5 GHz. Umjesto FHSS ili DSSS, ovaj standard koristi za kodiranje ortogonalni frekventni multipleks (OFDM - orthogonal frequency division multipleodng). 802.11b Standard 802.11b osigurava brzine prijenosa do 11 Mbps (sa moguim smanjenjem na brzine od 5,5,2 i 1 Mbps) u opsegu od 2,4 GHz. Naziva se i WiFi ili 802.11 high rate. Kodiranje podataka se vri iskljuivo DSSS tehnikom. 802.11g Standard 802.11g osigurava brzine prijenosa od 20 Mbps+ na opsegu od 2,4 GHz. Standardi iz grupe 802.11 koriste tri tehnologije za odravanje veze: Proireni spektar sa direktnom sekvencom (DSSS - direct-sequence spread spectrum) DSSS osigurava odravanje veze, tako to podatke koje treba prenijeti ubacuje u prijenos koji se odvija znatno veim brzinama. Takav brzi prijenos sadri redundantne podatke koji osiguravaju ispravne podatke na mjestu prijema. Zahvaljujui redundanci, svaki paket se moe ponovo konstruirati na mjestu prijema u sluaju pogrenog prijenosa. Proireni spektar sa frekventnim "skakanjem" (FHSS - frequency-hopping spread spectrum) FHSS osigurava odravanje veze mijenjanjem frekvencije predajnika u okviru unaprijed odreenog pojasa frekvencija. Izmjene frekvencije, ili skokovi su sinkronizirani na oba kraja, tako da uesnici imaju utisak da rade preko jedinstvenog prijenosnog kanala. Ortogonalni frekventni multipleks (OFDM - orthogonal frequency division multiplexing) OFDM osigurava odravanje veze "razbijanjem" podataka u manje dijelove i njihovim istovremenim prijenosom. Prijenos podgrupa se odvija na zasebnim frekvencijama ili podpojasima. Matematiki opis i kompletna teorija koja prati navedene tehnologije prijenosa prevazilaze zadate okvire ove knjige. WEP/WAP Beini sistemi obino koriste Wireless Access Protocol (WAP - beini pristupni protokol) za komunikacije u okviru mree. Wired Equivalent Privacy (WEP) osigurava stupanj zatite u

Strana 88

Sigurnost raunalnih mrea beinom prijenosu koji je ekvivalentan onome kod inih mrea. U ovom odjeljku emo ukratko objasniti ova dva protokola, uz dodatni prikaz njihovih mogunosti. Wireless Access Protocol (WAP - beini pristupni protokol) predstavlja tehnologiju koja je namijenjena beinim ureajima. Postao je standardni protokol koji je prihvaen od velikog broja proizvoaa, ukljuujui Motorolu, Nokiu i druge. WAP je u funkcionalnom smislu ekvivalentan TCP/IP protokolu po tome to obavija iste poslove, ali za beine ureaje. On koristi manju verziju HTML jezika pod nazivom Wireless Markup Language (WML), koja se upotrebljava za prikaz internet sadraja. Ureaji koji podravaju WAP mogu prepoznati i skript datoteke napisane u jeziku WMLScript. Ovaj skript jezik podsjea na Javu, standardni programski jezik. Mogunost prihvaanja web stranica i skript programa "otvara vrata" zlonamjernom kodu i virusima, koji se na taj nain mogu prenositi i preko WAP ureaja. Nema sumnje da e takva mogunost izazvati itav niz novih problema, koji e se rjeavati novim antivirusnim programima. Mreni prolaz prevodi podatke iz HTTP formata u WAP i obratno, uz dodatna kodiranja/dekodiranja zbog razliitih sigurnosnih protokola. Takvim pristupom se znatno podie stupanj zatite ureaja koji podravaju WAP Ukoliko veza izmeu WAP servera i Interneta nije zatiena ifriranjem, paketi koje oni razmjenjuju se mogu presresti, ime se otvara nova osjetljiva toka. Ova toka se esto naziva gap in the WAP (rupa u WAP-u). Wired Equivalent Privacy (WEP) je relativno nov standard u oblasti zatite beinih ureaja. On obavlja ifriranje podataka da bi osigurao njihovu zatitu. Od kolovoza 2002. godine poduzimaju se dodatna ispitivanja, zato to se ispostavilo da nije siguran kao to se u poetku eljelo. Osjetljivost WEP protokola potie od nedostataka u algoritmu za ifriranje podataka. Zbog tih nedostataka, algoritam moe biti provaljen za manje od pet asova pomou raspoloivog PC softvera. Zbog toga je WEP svrstan u jedan od "najranjivijih" protokola na polju zatite podataka. Relativno je novi proizvod, koji e, bez sumnje, biti poboljan u daljem razvoju. "Ranjiva" mjesta beinih sistema koja morate poznavati Beini sistemi su osjetljivi na sve napade koji su karakteristini za kablovske mree. S obzirom da protokoli beinih sistema koriste radio frekvencije, oni imaju i dodatne slabosti: radio signali se mogu jednostavno prislukivati. Da biste prislukivali 802.11x promet, potrebni su Vam samo PC i odgovarajua i pravilno instalirana 802.11x kartica. Jednostavan softver na PC-u omoguava praenje WAP prometa i obradu prikupljenih podataka radi deifriranja informacija o korisnikim nalozima i zaporkama. Ispitivanje sajta (engl. site survey) predstavlja jo jedan bitan aspekt beinih sistema sa stanovita zatite. Ispitivanje sajta obuhvata prislukivanje prometa u beinoj mrei pomou komercijalno raspoloive tehnologije. Zahvaljujui tome, napada moe prikupiti podatke obavjetajnog karaktera o odreenoj beinoj mrei, pa ak i podatke koji su uskladiteni na njoj. Pojam ispitivanja sajta je u poetku oznaavao mjere koje su poduzimane radi provjere postojanja smetnji na nekoj lokaciji. Kada takvo ispitivanje poduzima napada, on moe utvrditi tip ureaja u beinoj mrei, protokole koji se koriste i druge kljune informacije o odreenoj mrei. Ispitivanje sajta je osnovni nain za prikupljanje podataka o beinoj mrei. Praktino sve beine mree su osjetljive na ispitivanje sajtova.

Kako funkcioniraju instant poruke?

Strana 89

Sigurnost raunalnih mrea Instant poruke (IM - instant messaging) su postale izuzetno popularna aplikacija na Internetu. Procjenjuje se da vie milijuna korisnika irom sveta danas koristi instant poruke. America Online i Microsoft nude besplatne i lako dostupne IM servise svojim pretplatnicima.. IM korisnici mogu slati fotografije, igrati mrene igre, "atanje" (chat), slati elektroniku potu, pa ak i obavljati IM konferencije. Porast popularnosti IM sistema se moe objasniti njegovom funkcionalnou. Pored toga, moe biti i obina zabava. Klijenti osiguravaju komunikaciju preko odgovarajueg softvera i povezivanjem na IM servere. Ti serveri mogu biti sinkronizirani irom sveta, ime se osigurava trenutna komunikacija izmeu bilo koja dva uesnika na proizvoljnoj lokaciji u svetu. U narednim odjeljcima emo govoriti o slabostima IM sistema i o nainima za zatitu privatnosti. Osjetljivost IM sistema Napadi preko IM sistema postaju danas sve ei. U veini sluajeva napadai pokuavaju da narue rad postojeih sistema ubacivanjem beskorisnih podataka u kanale i njihovim preoptereivanjem. Taj proces se naziva i ometanje (engl. jamming) i predstavlja omiljenu tehniku za ugroavanje javnih kanala u komunikacijskim sistemima, raunajui i IM sisteme. Zlonamjerni kod, programi u obliku "trojanskih konja" i klasini DoS napadi takoer mogu naruiti rad klijenata. Od IM sistema se oekuje da bude jednostavan za upotrebu, da osigurava visoku interaktivnost i da bude intuitivan za prosjenog korisnika. Korisnici, naalost, obino ne obraaju panju na probleme u vezi sa zatitom podataka pri radu sa IM sistemima. Najvei broj sistema omoguava difuzni (broadcast) prijenos, koji se na taj nain uvlai i meu poslovne korisnike. Pomou difuznog prijenosa napada moe da alje tzv. poruke"mamce" (bait message) istovremeno do vie milijuna korisnika irom sveta. Takav prijenos otvara vrata irenju pornografije, pa ak i stvara mogunost za zaradu vie milijuna dolara za nekoliko minuta. Neobavijeteni korisnik moe prilikom posjete takvim sajtovima biti preplavljen bukvalno stotinama prozora koji se otvaraju istovremeno na njegovom raunaru. Kada korisnik zatvori jedan prozor, otvaraju se jedan, dva, tri ili vie novih prozora. Rije je o DoS napadu na raunalo klijenta. Ukoliko odete u chat prostoriju (prostoriju za "atanje") na optereenoj mrei, kao to su AOL ili MSN, moete vidjeti ogromnu koliinu ometajueg prometa na njihovim kanalima. Antivirusni programi predstavljaju najbolju zatitu od takvih vrsta napada, uz izbjegavanje sajtova koji su "na loem glasu" i neotvaranje sumnjivih datoteka. Kontrola privatnosti Veliki broj korisnika smatra da se privatnost na mrei podrazumijeva sama po sebi. Naalost IM sistemi nisu namijenjeni aplikacijama koje zahtijevaju zatitu podataka. Bez obzira to je veina operatera unijela odreena poboljanja na ovom planu, nikada nemojte pretpostaviti da je zagarantirana privatnost podataka koji se alju preko IM sistema. Osjetljivi prilozi (attachments) moraju se zatititi ifriranjem prije slanja preko IM sistema. I se esto koristi za ostvarivanje kontakta izmeu dvije osobe. Ljudi ga obino koriste radi razmjene telefonskih brojeva, adresa i drugih osobnih podataka. Ukoliko se takvi podaci nau na Internetu, njihovi vlasnici mogu doivjeti neprijatne situacije. ak i otkrivanje e-mail adrese moe poveati obim neeljene elektronske pote od drugih korisnika Interneta.

Rad sa 8.3 standardom za nazive datoteka

Strana 90

Sigurnost raunalnih mrea Prvi PC sistemi su koristili standardni nain za dodjelu naziva datotekama pod nazivom 8.3 format. Taj format je dozvoljavao maksimalno osam karaktera za naziv datoteke i dodatna tri karaktera za tip datoteke, odnosno ekstenziju. Odreene ekstenzije su bile rezervirane za datoteke koje su operativni sistemi odmah izvravali (takve su, na primjer, ekstenzije .bat, .com i .). U suvremenim sistemima je proiren format 8.3 da bi se omoguila dodjela duih naziva datoteka koji su prilagoeni korisniku. Novi formati i dalje podravaju ranije ekstenzije, koje se skrivaju od korisnika. Ukoliko je definiran tip datoteke (na primer, .jpg datoteka), operativni sistem e automatski otvoriti odgovarajui program koji je registriran u sistemu i pridruen tom tipu. U tabeli 4.1 prikazani su neki uobiajeni tipovi datoteka u dananjim PC sistemima. Tabela 4.1: Uobiajeni tipovi datoteka u PC sistemima .bat Komandna (batch) datoteka .com Komandna datoteka . Izvrna datoteka JavaScript .vbs Visual Basic Script Veliki broj operativnih sistema, ukljuujui i Windows, ne prikazuje ekstenzije datoteka na ekranu. Ukoliko korisnik primi datoteku pod nazivom mojaslika, on e vjerojatno zakljuiti da je rije o JPEG ili nekom slinom grafikom formatu. Pravi tip, meutim, obino nije prikazan korisniku koji razmilja da li da otvori upravo primljenu datoteku ili ne. Ukoliko je rije o izvrnoj datoteci ili o skriptu, otvaranjem e se automatski pokrenuti i njeno izvravanje u odreenom programskom jeziku ili komandnom procesoru. Ako su u datoteci "trojanac", "crv" ili neki drugi oblik zlonamernog koda, moe doi do naruavanja rada raunarskog sitsema. Neke datoteke mogu imati i vie ekstenzija. Datoteka mojaslika.jpg., na primjer, moe obmanuti korisnika, tako to e prikazati naziv mojaslika.jpg. Poto je rije o izvrnoj datoteci, ona e automatski biti startana nakon otvaranja, izlaui tako sistem potencijalnom zlonamjernom kodu. to su "stvari" jednostavnije, sa stanovita korisnika, to je i rad sa njima olakan. Sa stanovita administratora, meutim, uvijek je potrebno znati to vie. Windows P kao i njegovi prethodnici, standardno ne prikazuje ekstenzije datoteka i odreene kompletne datoteke i foldere.

Kako funkcionira "prislukivanje" paketa?

"Prislukivanje" paketa (packet sniffing) predstavlja proces praenja podataka koji se prenose preko mree. Programi koji obavljaju ovu funkciju nazivaju se sniferi. Oni se mogu lako nai na Internetu. Rije je o alatima koji su prvenstveno bili namijenjeni regularnom nadzoru prometa na mrei, mada se mogu koristiti i za neovlateno prikupljanje podataka. IM promet, na primjer, koristi Internet, tako da je osjetljiv na "prislukivanje" paketa. Svi podaci koji se prenose tijekom IM sesije mogu se lako presretati. Obavezno predoite korisnicima Vae mree da se povjerljivi podaci ne smiju slati na ovaj nain.

Strana 91

Sigurnost raunalnih mrea

Kako funkcionira elektroniko izvianje?

Elektroniko izvianje (signal analysis and signal intelligence) oznaava proces presretanja i analize elektrinih signala. Vojska i druge vladine institucije obavljaju sline poslove jo od poetka elektronike ere. Cilj elektronikog izvianja predstavljaju otkrivanje i procjena neprijatelja, otkrivanje i praenje njegovih komunikacija i utvrivanje tehnologije koju on koristi u svojim komunikacijama. Elektroniko izvianje je zasnovano na strpljenju i neprekidnom radu. Osobe koje ele da napadnu Va sistem takoer sprovode neke oblike elektronikog izvianja. One pokuavaju da otkriju podatke o komunikacionoj topologiji i infrastrukturi i da utvrde kritine ili osjetljive elemente u sistemu i njihovu namjenu. Brojni alati stoje napadaima na raspolaganju; njihova upotreba je u veini sluajeva jednostavna. Va posao se svodi na posao "kontraobavjetajnog agenta" i, ukoliko je mogue, na spreavanje pristupa neovlatenih osoba do tih podataka. Vai neprijatelji koriste nekoliko standardnih metoda za prikupljanje obavjetajnih podataka o Vaoj mrei i potencijalnim "ranjivim" mjestima na njoj. U narednim odjeljcima emo opisati dva metoda iz te grupe. Uzimanje "otisaka prstiju" Uzimanje "otisaka prstiju" (footprinting) oznaava sistematini proces otkrivanja karakteristika mree i njenog sistema zatite. Napada moe doi do podataka o sistemima koji se nalaze na mrei, o aktiviranim protokolima, o serverima i o dodatnom softveru koji se koristi na sistemima, kao to su web serveri, serveri elektronike pote i slino. Navedene karakteristike se mogu jednostavno otkriti ispitivanjem izvornog koda Vaeg web sajta. Pored toga, web serveri obino posjeduju dodatke (plug-ins) ili druge instalirane opcije koje omoguavaju pristup mrei prepunjavanjem bafera ili procesiranjem komandi. Napada moe ostvariti uvid i u proces poslovanja jednostavnom online pretragom poslovnih dokumenata. EDGAR, online poslovni pretraiva, na primjer, odrava bazu podataka sa javno dostupnim podacima o poslovanju brojnih firmi. U godinjem izvjetaju o poslovanju Vae firme se mogu nai "hvalisavi" podaci o novoj mrenoj infrastrukturi koja je instalirana prole godine. Povjerljivi podaci o poslovanju neke firme se mogu nai i paljivom analizom njenih stratekih odnosa sa partnerima. Tako prikupljeni podaci olakavaju napadau prodor u raunarsku mreu firme: odlaskom na Verisign/InterNic utvruje osnovnu IP adresu firmine mree i ostale podatke o osobama sa kojima moe ostvariti osobni kontakt radi realizacije socijalnih upada. Drugim rijeima, kompletan online ili tiskani materijal moe posluiti kao izvor podataka za napadaa. Slanjem upita ka DNS serverima napada utvruje vrstu slogova u bazi servera u mrei potencijalne rtve. Na osnovu tih podataka moe utvrditi koji e-mail sistem mrea koristi. Veina DNS servera takve podatke daje bez ikakvih problema ukoliko dobije pravilno formiran zahtjev. Ako se promatra izolirano, ni jedan od navedenih podataka ne moe napraviti veu tetu, niti otkriti kompletnu sliku o poslovanju neke firme. Svi oni zajedno, meutim, daju kompletnu sliku-slagalicu o organizaciji koja je predmet potencijalnog napada. Skeniranje Skeniranje je proces koji napada koristi da bi prikupio podatke o konfiguraciji mree. Napada skenira mreu pomou programa kao to je Traceroute, u potrazi za putanjama do

Strana 92

Sigurnost raunalnih mrea odreenih sistema u toj mrei. Program Traceroute moe dati detaljnu sliku mree, sve do demilitarizirane zone (DMZ). Napada moe poeti skeniranje kada prikupi podatke o opem izgledu mree. Skeniranje poinje jednostavnim pingom do sistema koji imaju adrese bliske adresama web ili mail servera na mrei-rtvi. Ukoliko bilo koja od pingovanih maina odgovori, to je znak da su na mrei-rtvi aktivirani ICMP i (standardno) /IP. Kada utvrdi koji sistemi su "ivi" u ciljnoj mrei, napada prelazi na sistematino otkrivanje portova aktiviranih na tim sistemima. Nakon otkrivanja otvorenih portova, on moe izvriti nekoliko jednostavnih proba da bi utvrdio eventualna "ranjiva" mjesta koja e biti osnova napada.

Kontrolna pitanja
1. Koji od navedenih ureaja moe da se koristi za praenje nedozvoljenih aktivnosti na mrei (zaokruiti dva tona odgovora)? A. mreni sniffer B. N-IDS C. H-IDS D. VPN 2. Vi ste administrator u firmi Acme Widgets. Nakon sastanka sa organima upravljanja, Va ef je rekao da do kraja nedjelje na mreu mora da se postavi IDS sistem. Koji od navedenih sistema treba instalirati na host da bi bio postavljen TDS? A. mreni sniffer B. N-IDS C. H-IDS D. VPN 3. to spada u aktivan odgovor IDS sistema? A. slanje upozorenja na konzolu B. ignoriranje (shunning) C. rekonfigurirnje rutera radi blokiranja IP adresa D. unos zapisa u nadzornu (audit) datoteku sistema zatite 4. Mlai administrator je "uletio" u Va ured sa izvijeem u rukama. On tvrdi da je pronaao dokaz o periodinom prisustvu "uljeza" na mrei. Koji od navedenih IDS sistema moe otkriti upade na osnovu unaprijed definiranih pravila o mrei? A. MD-IDS B. AD-IDS C. H-IDS D. N-IDS 5. Koja IDS funkcija procjenjuje podatke prikupljene senzorima? A. operator B. menader C. upozorenje D. analizator

Strana 93

Sigurnost raunalnih mrea 6. Tijekom definiranja novih pravila i procedura za rad na mrei doli ste do definiranja pojedinih funkcija-uloga. Koja od navedenih uloga je po pravilu odgovorna za izvjeivanje administratora ili sistem operatora o rezultatima napada na sistem? A. upozorenje B. menader C. analizator D. izvor podataka 7. Kako se naziva sistem koji je dizajniran da privue napad? A. lani "mamac" (honey pot) B. Honevbucket C. Decoy (mamac) D. Spoofing sistem 8. Sazvan je hitan sastanak svih administratora u MTS-u. Izgleda da neka neovlatena osoba redovno upada u mreu nakon radnog vremena. Sastanak je sazvan da bi bile definirane mjere reakcije na te upade. Kako se zvanino naziva proces formuliranja mjera reakcije na napad? A. reagiranje na incident B. prikupljanje dokaza C. navoenje D. poticanje 9. to od navedenog ne spada u reagiranje na incident? A. identifikacija B. istraga C. poticanje D. otklanjanje posljedica 10. Vaa tvrtka se proiruje u stariji dio zgrade. Lokalne vlast su daj dio proglasile spomenikom kulture, tako da se mreni kabl ne smije postavljati kroz zidove. Izgleda da je beina mrea najbolje rjeenje za taj dio zgrade. Koji protokol osigurava povezivanje beinih ureaja i ostatka mree ? A. WEP B. WTLS C. WAP D. WOP 11. Koji protokol radi na 2,4 GHz i sa brzinama prijenosa 1 i 2 Mbps? A. 802.11 B. 802.11a C. 802.11b D. 802.11g 12. Izlaete plan za implementaciju beine mree organima upravljanja. Iznenada, potpredsjednik postavlja pitanje o zatiti takve mree. Koji protokol je namijenjen za zatitu prijenosa u beinim mreama ekvivalentnu zatiti koja postoji u inim mreama? A. WAP B. WTLS C. WEP Strana 94

Sigurnost raunalnih mrea D. IR 13. Koja od navedenih slabosti predstavlja osnovni problem u beinom okruenju? A. softver za dekriptiranje B. IP spoofing C. Gap in the WAP D. ispitivanje sajta (site survey) 14. Kao MTS administrator elite da definirate pravila koja e zabraniti upotrebu instant poruka, ali kod korisnika postoji odreeni otpor. Da biste smanjili napetost, odluili ste da ih informirate o opasnostima koje IM sistem nosi. Na koji napad je IM sistem osjetljiv? A. zlonamjerni kod B. IP spoofing C. napad sa ubacivanjem u vezu (man-in-the-middle attack) D. Replav napad 15. Kako se naziva proces utvrivanja konfiguracije mree-rtve? A. uzimanje "otisaka prstiju" (footprinting) B. skeniranje C. ometanje D. enumeracija 16. Za vrijeme godinje prezentacije objasnili ste direktoru da naredne godine elite da definirate sve izvore podataka i sisteme koje Vai korisnici mogu upotrebljavati. Smatrate da je to uobiajena procedura u kreiranju sigurnog okruenja. Kako se naziva proces utvrivanja konfiguracije mree i mjera zatite koje se na njoj primjenjuju? A. uzimanje "otisaka prstiju" (footprinting) B. skeniranje C. ometanje D. enumeracija 17. Koji termin se koristi za oznaavanje detekcije koja se deava u vrijeme odvijanja i samog dogaaja? A. sadanje vrijeme B. Here-and-now C. aktivno vrijeme D. realno vrijeme 18. Jedan korisnik se poalio na problem - bez obzira to mu je reeno da ne koristi instant poruke, on to ipak ini. Sada se na njegovom raunalu zbog neobjanjivih razloga javlja veliki broj prekinutih sesija. Odgovorili ste mu da je njegovo raunalo vjerojatno napadnuto. Kako se naziva proces prekida IM sesija? A. ometanje B. difuzna predaja (broadcasting) C. reakcija na incidente D. ispitivanje sajta (site survey) 19. IM korisnik je posjetio jedan reklamni web sajt i ali se da njegov sistem vie ne reagira na komande i da na ekranu postoji milijun otvorenih prozora. O kakvom napadu je rije? Strana 95

Sigurnost raunalnih mrea A. B. C. D. DoS zlonamjerni kod IP spoofing ispitivanje sajta

20. Kolega administrator ispituje sadraj log datoteka za protekli mjesec i u njima je pronaao veliki broj IDS zapisa koji djeluju udno, tako da eli da provjeri o emu je rije. Koji od navedenih pojmova najbolje opisuje pojavu sumnjivih aktivnosti na mrei? A. dogaaj B. pojava C. epizoda D. enumeracija Odgovori 1. A.B. Mreni prislukivai (sniferi) i N-IDS sistemi se koriste za praenje mrenog prometa. Upravljanje mrenim prislukivaima je runo, dok se upravljanje N-IDS sistemima moe automatizirati. 2. C. Host IDS (H-IDS) sistem se instalira na svakom hostu koji treba da ima IDS funkcije. 3. C. U aktivan odgovor spada dinamika izmjena konfiguracije sistema radi zatite mree. 4. A. IDS utvruje postojanje napada usporeivanjem karakteristika napada i nadzornih (audit) informacija. 5. D. Analizator koristi podatke iz senzora radi analize i utvrivanja postojanja napada. 6. B. Menader oznaava komponentu koju operator koristi radi upravljanja IDS sistemom. On moe postojati u vidu grafikog interfejsa, prikaza prometa u realnom vremenu ili u obliku komandne linije. 7. A. Lani "mamac" (honey pot) predstavlja sistem koji je namjerno rtvovan radi prikupljanja podataka. Pomou njega istraitelji mogu vriti analizu upotrijebljene strategije napada. Kriminalistike slube koriste lane "mamce" radi prikupljanja dokaza i daljeg gonjenja optuenih. 8. A. Reagiranje na incident je proces u kome se odreuje najbolji nain za neutraliziranje posljedica incidenta u funkcioniranju sistema zatite. 9. C. Poticanje je proces ohrabrivanja neke osobe da poini nezakoniti akt, koji ona, inae, sama ne bi poduzela. 10. C. Wireless Application Protocol (WAP) je namijenjen beinim ureajima. U funkcionalnom smislu, on podsjea na TCP/IP. 11. A. 802.11 radi na 2,4 GHz. Ovaj standard osigurava propusni opseg od 1 do 2 MB. 12. C. Wired Equivalent Privacy (WEP) je definiran radi osiguranja nivoa zatite koji je ekvivalentan onome kod inih mrea. Ovaj protokol, meutim, posjeduje niz slabosti koje taj cilj ine nedostinim. 13. D. Ispitivanje sajta (site survey) predstavlja proces praenja rada beine mree pomou raunala, beinog kontrolera i programa za analizu. Takvo ispitivanje se lako realizira, ali se teko otkriva. 14. A. I korisnici su izuzetno osjetljivi na zlonamjeran kod u vidu "crva", virusa i "trojanaca". Provjerite da li su antivirusni programi aurni kod svih I korisnika. 15. B. Skeniranje je proces prikupljanja podataka o konfiguraciji mree i utvrivanja sistema koji su u radu.

Strana 96

Sigurnost raunalnih mrea 16. A. Uzimanje "otisaka prstiju" predstavlja proces u kome se utvruju sastav mree i primijenjene procedure zatite. U tom procesu se koriste najrazliitije izvori podataka iz kojih se mogu utvrditi sistemi koji se nalaze na mrei. 17. D. Realno vrijeme (real time) oznaava da je detekcija izvrena u vrijeme odvijanja nekog dogaaja. 18. A. Ometanje (jamming) predstavlja proces namjernog naruavanja veze u IM sesiji. Ometanje nije najprecizniji termin, ali se primjenjuje za sva namjerna naruavanja koja ne spadaju u grupu DoS napada. 19. A. Korisnik je izloen DoS napadu na nivou aplikacije. Takav napad je est i obino nema fatalne posljedice, mada je veoma dosadan. Potrebno je da korisnik restarta svoj sistem, da provjeri da li virus dolazi sa web sajta i da se ubudue dri dalje od difuznih sajtova. 20. A. IDS e najaviti dogaaj upozorenjem (alert) kada otkrije sumnjivu aktivnost na mrei.

Strana 97

Sigurnost raunalnih mrea

5. Implementacija i odravanje zatiene mree

Operativni sistemi, aplikacije i razni mreni proizvodi sa kojima radimo obino pruaju dovoljan stupanj zatite ukoliko su implementirani onako kako je proizvoa predvidio. U ovom poglavlju emo govoriti o proizvodima koji se koriste na mreama i o stupnju zatite koji je njihovim koritenjem mogue postii. Ojaavanje (engl. hardening) oznaava proces smanjenja ili otklanjanja slabosti i zatite servisa, zajedno sa pokuajem da se mreno okruenje uini imunim na napade. U ovom poglavlju emo objasniti opi proces poboljanja zatite ili ojaanja sistema, mrea i aplikacija koje se obino koriste za poslovne svrhe. Pored toga, proirit ete dosadanja znanja o prijetnjama koje ugroavaju mreu i nauit ete kako se propisuju osnovne mjere zatite (securitv baseline).

Prijetnje koje ugroavaju mreu

Mree su izloene brojnim prijetnjama koje obuhvaaju sve aspekte mrenih komunikacija i same organizacije. Vidjeli ste da postoje brojni interni i eksterni faktori, kao i faktori u vezi sa dizajnom primijenjenih sistema, koji mogu biti osnova za napad i naruavanje rada raunarskih sistema. Rizik od takvih prijetnji se znaajno umanjuje ukoliko se vodi rauna o aurnosti sistema i aplikacija i ukoliko postoje razraene mjere zatite koje se dosljedno potuju. Propusti u programima kao to su Outlook, Outlook Express i Exchange, koji predstavljaju osnovu brojnih napada, ispravljaju se raznim dodacima odmah nakon otkrivanja. Kao administrator, Vi ste odgovorni za instaliranje ispravaka i "zakrpa" odmah nakon njihovog detaljnog testiranja u laboratorijima; Vaa zadaa je da sprijeite neovlateno prikupljanje podataka o Vaim sistemima i zloupotrebu poznatih slabosti.

Propisivanje mjera zatite

Propisivanje minimalnih mjera zatite predstavlja jedan od prvih koraka u razvoju zatienog mrenog okruenja u nekoj organizaciji. Takav pravilnik (engl. securitv baseline) definira nivo zatite koji e biti implementiran i odravan. Nivo koji definira pravilnik moe biti veoma nizak (neto iznad stanja u kome nisu propisane nikakve mjere) ili veoma visok - takav nivo koji ne dozvoljava korisnicima nikakve izmjene na mrei i sistemima. Najvei broj praktinih implementacija je negdje izmeu ta dva ekstrema; administrator mora sam odrediti najpogodniji nivo za svoju organizaciju. Pravilnik predstavlja ulazni podatak neophodan za pravilan dizajn, implementaciju i podrku zatienoj mrei. Prije izrade pravilnika moraju da budu prikupljeni svi podaci o sigurnosnim problemima u vezi sa sistemima koji e biti implementirani u mreu. Jedan od najnovijih standarda iz oblasti zatite nosi naziv Common Criteria (CC). Ovaj dokument je plod zajednikog rada strunjaka iz Kanade, Francuske, Njemake, Nizozemske, Velike Britanije i SAD. Verzija 2.1 ovog standarda donosi obiman skup kriterija za procjenu sistema zatite, koji su svrstani u sedam nivoa (EAL - Evaluation Assurance Level). U nastavku emo dati prikaz svih nivoa, od EAL1 do EAL7. EAL1 se primjenjuje prvenstveno tamo gdje je potrebno osigurati samo korektan rad sistema, dok se prijetnje ne razmatraju ozbiljnije. EAL2 pred proizvoae postavlja zahtjeve u vezi dizajna, dok se zatiti ne daje veliki prioritet. EAL3 zahtjeva poduzimanje odreenih mjera u razvoju sistema koje osiguravaju umjerenu razinu zatite. Strana 98

Sigurnost raunalnih mrea EAL4 zahtjeva zaseban inenjering u pogledu zatite, u skladu sa dobrom razvojnom praksom komercijalnih proizvoda. Predvia se da e EAL4 biti standardni benchmark test za komercijalne sisteme. EAL5 zahtjeva planski pristup zatiti jo od faze poetnog dizajna nekog proizvoda. Ovaj nivo treba da osigura visoku razinu zatite sistema. Prema EAL dokumentaciji, njega je mogue dostii samo uz specijalne mjere jo u dizajnu sistema. EAL6 osigurava visoku razinu zatite uz primjenu specijalnih sigurnosnih mjera. Ovaj nivo ukazuje na visok nivo zatite od znaajnijih oblika ugroavanja. Primjena EAL6 mjera znatno poboljava zatitu od napadaa koji ele da prodru u raunarske sisteme. EAL7 standard je namijenjen sistemima sa izuzetno visokim stupnjem zatite. Zahtjeva obimna testiranja i mjerenja, zajedno sa potpuno nezavisnim testiranjima svake pojedinane komponente. EAL standardi su zamijenili Trusted Computer Svstems Evaluation Criteria (TCSEC). Preporueni nivo zatite komercijalnih sistema je EAL4.

Ojaanje OS-a i NOS-a

Svaka mrea je onoliko jaka koliko je jaka njena najslabija komponenta. Administrator mora razmotriti utjecaj svake komponente na sistem zatite, zato to se esto deava da se pri procjeni sigurnosti zanemare ak i najoiglednije komponente. Administrator mora osigurati primjenu svih moguih mjera zatite operativnih sistema na radnim stanicama i na mrenim serverima. Ojaanje (engl. hardening) operativnih sistema (OS) i mrenih operativnih sistema (NOS) predstavlja proces kojim se poboljava otpornost radnog okruenja na napade i "uljeze". U ovom odjeljku emo govoriti o ojaanju OS-a i o nainima za ouvanje njegove otpornosti u uvjetima pojave novih prijetnji. Pored toga, bie reci i o nekim slabostima najpopularnijih operativnih sistema i o moguim mjerama za njihovo ojaanje. Konfiguracija mrenih protokola Pravilna konfiguracija mrenih protokola nekog OS-a predstavlja najznaajniji faktor njegovog ojaavanja. Osnovni mreni protokoli koje koriste PC sistemi su: o NetBEUI o TCP/IP o IPX/SPX Svaki od navedenih protokola moe transportirati Microsoftov osnovni NetBIOS protokol preko mree. Sistemi koji podravaju NetBIOS periodino objavljuju svoje nazive, vrste servisa i druge podatke na mreu na koju su povezani. NetBIOS se koristi i kao programski interfejs i za druge namjene. Ve nekoliko godina Microsoft se zalae da TCP/IP postane osnovni protokol koji e se koristiti u mreama. On istovremeno ulae velike napore radi poboljanja sigurnosti tog protokola. Aplikacije kao to su Netscape, Internet Explorer i Office podlone su napadima zasnovanim na njihovim slabostima. Administrator mora osigurati upotrebu najnovijih verzija tih aplikacija, uz instalaciju svih objavljenih dopuna i "zakrpa".

Strana 99

Sigurnost raunalnih mrea Vezivanje protokola Vezivanje (binding) protokola predstavlja proces povezivanja jednog mrenog protokola sa drugim ili njegovog povezivanja sa mrenom karticom (NIC). NetBIOS u Microsoftovim mreama moemo povezati sa bilo kojim od tri protokola koja su navedena u prethodnom odjeljku. Povezivanjem NetBIOS-a sa TCP/IP protokolom, na primjer, osigurava se ugradnja (enkapsulacija) NetBIOS poruka u TCP/IP pakete, pomou kojih se zatim NetBIOS promet alje preko mree. Proces povezivanja namee nove sigurnosne probleme. Problem potie od injenice da su NetBIOS podaci ugraeni u TCP/IP pakete, ime se poveava njihova osjetljivost na prislukivanje (sniffing). Ukoliko TCP/IP paketi budu presretnuti, moe doi do otkrivanja kljunih sistemskih podataka, ukljuujui i lozinke. Provjerite da li je povezivanje ispravno konfigurirano na Vaim mrenim protokolima i adapterima. Nemojte vezivati NetBIOS protokol ukoliko to zaista nije potrebno. Ukoliko dva raunarska sistema, kao to su server i klijent, ele da ostvare vezu, prvo moraju pronai zajedniki jezik za komunikaciju. Oni e to pokuati tako to e isprobati razliite protokole, i to onim redom kojim je definirano i njihovo povezivanje. Zbog toga, najee koritene protokole na serveru/klijentu treba postavljati na vrh liste povezivanja (binding list). NetBEUI NetBEUI je protokol u vlasnitvu Microsofta koji je namijenjen Windows mreama. Ukoliko je itava mrea konfigurirana za rad sa NetBEUI protokolom, ona e biti skoro potpuno zatiena od vanjskih napada. To je posljedica injenice da NetBEUI ne podrava rutiranje, tako da se takva mrea ne moe povezati na vanjske mree preko rutera. TCP/IP TCP/IP je osjetljiv na sve prijetnje o kojima je bilo rijei u Poglavlju 2, "Definiranje potencijalnih opasnosti". Ukoliko je Va sistem povezan sa Internetom ili sa drugim velikim mreama, zatita itavog sistema je direktno zavisna od osjetljivosti TCP/IP protokola. Aktualna implementacija TCP/IP je relativno sigurna. Ranije verzije ovog protokola, poput onih koje su implementirali Microsoft, Novell, Apple i drugi proizvoai, imale su veliki broj tehnikih problema i osjetljivih mjesta u pogledu zatite. Zatita mree je, bez obzira na proizvoaa, onoliko dobra koliko je dobra implementacija protokola. IPX/SPX IPX/SPX je veoma efikasan protokol sa podrkom rutiranja, koji je prvenstveno bio namijenjen Novell NetWare sistemima. Dananji ruteri u principu ne rutiraju IPX/SPX promet, osim ako su specijalno konfigurirani za takvu zadau. NetBIOS se moe povezati sa IPX/SPX protokolom, bez opasnosti da e biti izloen napadima ukoliko se izbjegne rutiranje. Microsoft Windows 9x Windows okruenje je, bez svake sumnje, jedan od najpopularnijih operativnih sistema koji je neka firma ikada napravila, sa tendencijom zadravanja te titule. Windows 98 je tijekom nekoliko godina bio instaliran praktino na svakom desktop raunalu; istovremeno, to je jedan od najpopularnijih operativnih sistema ikada prodat. Windows ME je imao minimalna poboljanja u odnosu na Windows 98; on je isporuivan nekoliko godina prije nego to je zamijenjen Windowsom XP. U Windows 9x proizvodima nije voeno mnogo rauna o zatiti, tako da je u njima ugraen minimalan broj zatitnih mehanizama. Strana 100

Sigurnost raunalnih mrea Ojaanje Microsoft Windowsa NT 4 Windows NT 4 je upotrebljavan kao server i kao radna stanica od sredine 90-ih godina prolog vijeka. Veliki broj korisnika je smatrao da je to najzatieniji Microsoftov proizvod koji je ikada objavljen. NT 4 je imao est bitnih poboljanja ili servisnih paketa i djelovao je veoma pouzdano. Pored toga, zvanino je potvreno da Windows NT 4 podrava EAL 3 kriterij. Ojaanje Microsoft Windowsa 2000 Windows 2000 se pojavio na tritu na prijelazu u ovaj milenij. Sistem obuhvaa verziju za radne stanice i nekoliko serverskih verzija. Trite je dobro prihvatilo ove proizvode, koji osiguravaju relativno visok stupanj zatite uz odgovarajua auriranja. Windows 2000 sadri ikonu Windows Update u meniju Start; pomou nje korisnik moe da se povee sa Microsoftovim web sajtom da bi automatski preuzeo i instalirao dopune za auriranje (updates). Postoji veliki broj dopuna za Windows 2000 koje su posveene sistemu zatite provjerite da li su sve instalirane. Ojaanje Microsoft Windowsa XP Windows XP je Microsoftova najnovija ponuda na polju klijentskih operativnih sistema. Ovaj sistem predstavlja zamjenu i za Windows 9x familiju i za Windows 2000 Professional. Danas postoje dvije verzije Windowsa XP: Home i Professional. Windows XP Home Edition je prvenstveno zamiljen kao zamjena za Windows 9x klijente. Windows XP Home se moe instalirati kao nadgradnja na Windows 9x ili kao potpuno nova instalacija na novim sistemima. Windows XP Professional je dizajniran kao nadgradnja za Windows 98 i Windows 2000 Professional u korporativnim okruenjima. Windows 98 sistemi ne mogu iskoristiti sve prednosti sistema zatite koje postoje u mreama zasnovanim na Windowsu NT ili 2000. Veliki broj ljudi koristi Windows 98 na kunim raunalima, zbog ega eli istu funkcionalnost i na poslu. Windows XP prua istu funkcionalnost i kunim i korporativnim korisnicima. Windows XP Professional moe iskoristiti prednosti Windows 2000 Servera na kome je aktiviran Active Directorv. Ojaanje Windows 2003 Servera Najnovija verzija linije Windows Server 2000 jeste Windows Server 2003, koji postoji u etiri varijante: o web verzija o Standard verzija o Enterprise verzija o Datacenter verzija Ovaj ispit je dizajniran prije pojave Windows 2003 Servera, tako da poznavanje navedenog sistema nije uvjet za sricanje Securtiy+ certifikata. Bez obzira na to, dobro je znati da ovaj proizvod uvodi nove funkcije u Microsoftovu liniju servera: o o o o o o o mrena barijera za internet veze zatiena identifikacija (lokalna i udaljena) zatiena beina veza pravila softverske restrikcije ifriranje i poboljanja u sistemu kriptozatite poveana zatita VPN veza podrka PKI i x.509 certifikata Strana 101

Sigurnost raunalnih mrea Ukratko, Microsoftov cilj je bio da ponudi sistem koji je istovremeno siguran i fleksibilan. Ojaanje Unix/Linux sistema Unix okruenje i njegove varijacije predstavljaju najee serverske proizvode u povjesti raunarske industrije. Danas postoji vie od 10 razliitih verzija Unixa; najpopularnija se zove Linux. Unix je nastao 70-ih godina prolog vijeka. Njegovi kreatori su ga izgradili kao otvoren sistem, to znai da je korisnicima dostupan kompletan izvorni kod za najvei broj verzija. Zahvaljujui takvom pristupu, desetine hiljada programera, znanstvenika u oblasti raunara i sistemskih dizajnera je ukljueno u poboljanje ovog proizvoda. Ukoliko su pravilno konfigurirani, Linux i Unix osiguravaju visoku razinu zatite. Pravilna konfiguracija predstavlja osnovni izazov u Unix okruenjima. Unix moe raditi praktino sa svakim protokolom, servisom i drugim opcijama. Sve nepotrebne servise treba iskljuiti, to se radi pomou skripta tijekom dizanja sistema. Takav skript konfigurira protokole i odreuje koji servisi e biti pokrenuti. Kompletna zatita Unix sistema odvija se na nivou datoteka. Datoteke i direktoriji moraju biti pravilno definirani da bi mogla biti definirana korektna prava pristupa. Struktura datoteka je, po prirodi, hijerarhijska, tako da sa definiranjem prava pristupa nekom direktoriju njegovi poddirektoriji obino nasljeuju ista takva prava. Takvo nasljeivanje odreuju administrator sistema ili korisnik koji zna da podesi prava pristupa nekom direktoriju. Redovno instaliranje novih "zakrpa" i drugih paketa za auriranje predstavlja osnovu za uspjean rad Unix okruenja. To se moe postii periodinim posjetama web stranica dizajnera one verzije Unixa koju koristite i preuzimanjem najnovijih dopuna. Linux takoer podrava pamenje najveeg dijela aktivnosti na mrei u log datotekama. Takve log datoteke predstavljaju osnovu za utvrivanje naina upada. Linux sistemi se mogu dodatno zatititi tzv. TCP omotaima (wrappers), log paketima specijalno dizajniranim za Unix sisteme. Takvi omotai osiguravaju detaljnije biljeenje (log) aktivnosti u vezi sa odreenim protokolom. Uz svaki protokol ili port mora biti instaliran zaseban omota, koji e biljeiti aktivnosti i sprijeiti pristup servisu ili serveru. Linux takoer spada u grupu otvorenih sistema. Drugim recima, korisnicima je na raspolaganju cjelokupan izvorni kod operativnog sistema radi ispitivanja i eventualnih izmjena. Takve aktivnosti su obino rezervirane za iskusne programere. Veliki broj proizvoaa, kao to su Sun, IBM i HP, implementira Unix ili Linux u svoje sisteme da bi bio pojednostavljen proces. Takve izmjene operativnih sistema su u veini sluajeva dostupne kupcima. Ojaanje Novell NetWare operativnog sistema Novell je jedna od prvih kompanija koja je uvela mreni operativni sistem (NOS) za desktop raunare, nazivan NetWare. Ranije NetWare verzije su omoguavale povezivanje PC-a u jednostavnu, ali efikasnu lokalnu mreu (LAN). Najnovija verzija NetWare sa oznakom 6.5 omoguava dijeljenje datoteka i tiskaa, podrava veinu klijenata i prua visok stuppnj zatite. Ojaanje Apple Macintosh sistema Macintosh sistemi su najosjetljiviji na napade u vidu fizikog pristupa preko konzola. Mrene implementacije pruaju isti nivo zatite kao i veina sistema o kojima je bilo rijei u ovom poglavlju. Zatita Macintosh sistema "pada na ispitu" kada je rije o kontroli pristupa i sistemu identifikacije. Macintosh koristi jednostavnu 32-bitnu shemu kriptozatite zaporki koja se moe jednostavno "probiti". Datoteka sa zaporkom je smjetena u Preference folderu; ukoliko je Strana 102

Sigurnost raunalnih mrea omogueno dijeljenje ove datoteke ili je ona dio sistema dijeljenih datoteka na mrei, postoji opasnost od dekriptiranja zaporke koja se u njoj nalazi. . Macintosh sistemi posjeduju nekoliko protokola u privatnom vlasnitvu koji ne podravaju rutiranje. Najnoviji Macintosh sistemi nude podrku TCP/IP mreama kao integralni dio operativnog sistema. Ojaanje datotekih sistema Operativni sistemi o kojima je bilo rijei koriste nekoliko vrsta datotetinih sistema, koji mogu suraivati meusobno, bar kada je rije o radu u mrei. Tijekom niza godina razliiti proizvoai su kreirali osobne standarde za rad sa datotekama. U najpoznatije datotetike sisteme spadaju: Microsoft FAT Prva verzija Microsoftovog datotetinog sistema nosila je naziv File Allocation Table (FAT). FAT je dizajniran prvenstveno za rad na manjim diskovima. Naknadno je sistem unaprijeen u FAT-16, a zatim u FAT-32, kao konanu verziju iz ove grupe. FAT-32 podrava rad sa velikim diskovima na Windows sistemima. FAT osigurava samo dva naina zatite: prava pristupa na nivou datoteka (share level) i prava pristupa na nivou korisnika (user level). Ukoliko korisnik posjeduje prava upisa ili izmjene nad nekim diskom ili direktorijem, ta prava vae za sve datoteke u istom direktoriju. Takav pristup je prilino nesiguran u Internet okruenju. Microsoft NTFS New Technologv File System (NTFS) je uveden uz Windows NT radi rjeavanja problema zatite. Prije objavljivanja Windowsa NT, Microsoftu je postalo jasno da je neophodno uvesti novi datotetini sistem koji bi odgovarao sve veim diskovima i zahtjevima zatite, uz poboljanu stabilnost. NTFS je kreiran upravo da bi zadovoljio te zahtjeve. I pored toga to je FAT bio relativno stabilan ukoliko se osigura neprekidan rad sistema koji ga kontrolira, on je ispoljio niz problema u sluaju nestanka elektrine energije ili iznenadnog pada raunarskog sistema. Jedna od prednosti NTFS sistema bio je sistem za praenje transakcija, koji je omoguavao Windowsu NT da se izvue iz zapoetih operacija sa diskom u sluaju pada operativnog sistema ili nestanka elektrine energije. NTFS omoguava definiranje odvojene zatite za svaku datoteku, direktorija i volumen posebno. Zatita NTFS sistema je fleksibilna i ugraena je u sam sistem. Prava lokalnih korisnika i grupa su u NTFS sistemima definirana u kontrolnim listama pristupa (Access Control Lists, ACL), ali se, pored toga, za svaku stavku u listi mogu definirati i konkretna prava pristupa - kao to su Read-Only (samo itanje), Change (izmena) ili Full Control (puna kontrola). Time je osigurana velika fleksibilnost u podeavanju mree. Pored toga, razvijen je i specijalni program za kriptozatitu datoteka radi ifriranja podataka koji se smjetaju na hard disk. Microsoft preporuuje da se kompletan sistem dijeljenja podataka na mrei uspostavlja preko NTFS sistema. Novell Netware Storage Services Novell, kao i Microsoft, koristi sopstveni datotetini sistem (pod nazivom Netware File Svstem), koji osigurava potpunu kontrolu nad svim datotetinim resursima na Netware serveru. Netware File Svstem je unapreen u Netware Storage Service (NSS) u verziji 6. NSS osigurava bolje performanse i vee kapacitete skladita podataka u odnosu na Netware File Svstem. On, kao i njegov prethodnik, koristi NDS ili eDirectory radi identifikacije u svim pristupima.

Strana 103

Sigurnost raunalnih mrea Unix Filesvstem Datotetini sistem na Unixu ima potpuni hijerarhijski karakter. Svaka datoteka, datotetini sistem i poddirektorijum imaju punu granularnost kontrole pristupa. Tri osnovna atributa datoteka i direktrorija pod Unixom su Read (itanje), Write (upis) i Execute (izvravanje). Mogunost individualne dodjele ovih atributa, zajedno sa opcijom nasljeivanja prava u poddirektorijima, osigurava najvii nivo zatite na Unixu u odnosu na ostale komercijalne sisteme. Osnovni problem je u vremenu koje je neophodno za uspostavljanje takve hijerarhije prava pristupa, koje je naroito veliko pri poetnoj konfiguraciji sistema. Veina savremenih operativnih sistema je prihvatila takav nain organizacije datoteka. Unix Network Filesystem Network File Svstem (NFS) je protokol Unixa koji omoguava montiranje (mounting) datotetinih sistema sa udaljenih lokacija. Zahvaljujui tome, klijenti mogu da koriste skladite podataka na serveru ili udaljenom desktop raunalu kao da je rije o lokalnom disku. NFS jeste funkcionalan sistem, ali je veoma sloen kada je rije o uspostavljanju sistema zatite. Opis navedenog protokola je izvan granica ove knjige; osnovni problem sa stanovita zatite predstavlja Unixovo puno povjerenje u proces identifikacije korisnika. NFS je prvo implementiran na Sun. Apple File Sharing Apple File Sharing (AFS) je razvijen radi podrke jednostavnom umreavanju Apple Macintosh sistema. Ovaj sistem koristi mreni protokol u vlasnitvu firme Apple pod nazivom AppleTalk. AppleTalk ne osigurava rutiranje preko Interneta i ne moe se svrstati u zatiene protokole. AFS omoguava vlasniku datoteke da definira pristup podacima pomou zaporki i dodjelom odreenih prava u procesu koji je slian onome na Unix datotetinom sistemu. OS X, najnovija verzija Macintosh operativnog sistema, posjeduje znatno razvijeniji datotetini sistem koji je zasnovan na Unix modelu. U principu, smatra se da su Apple mree podjednako zatiene kao i ostale implementacije o kojima je bilo rijei u ovom odjeljku. Osnovni sigurnosni problem ovog operativnog sistema vezan je za fiziku kontrolu raunarskih sistema. Svaki od prikazanih datotetinih sistema zahtjeva paljivo razmatranje prilikom implementacije u mrei. Tijekom izbora datotetinog sistema koji e biti primijenjen u mrei potrebno je ustanoviti mogunosti svakog od njih, njihova ogranienja i osjetljiva mjesta. Veina proizvoaa OS-a nudi podrku za razliite protokole i datotetike sisteme. Sve protokole koji nisu potrebni treba iskljuiti, zato to svaki protokol i datotetini sistem koji se izvrava na radnoj stanici ili serveru poveava izloenost stanice ili servera napadima, gubicima podataka i DoS napadima. Auriranje operativnih sistema Proizvoa operativnih sistema po pravilu redovno objavljuju dodatke za auriranje svojih operativnih sistema. Microsoft, na primjer, redovno objavljuje takve dodatke za Windows 2000 (sistem u njegovom privatnom vlasnitvu) i za druge aplikacije. Kada je, meutim, rije o sistemima u javnom vlasnitvu (kao to je Linux), dodaci mogu voditi porijeklo sa konferencijskih grupa, od proizvoaa verzije koju koristite, ili od zajednice korisnika. Bez obzira da li je rije o javnom ili privatnom vlasnitvu, dodaci za auriranje odravaju Operativni sistem na nivou najnovije revizije. Ispitivanje dodataka je veoma bitno; poeljno je da se prije njihove instalacije konsultirate sa ostalim korisnicima, ukoliko je to mogue. Brojni su sluajevi da su takvi dodaci ili servisni paketi izazvali pad sistema. Prije instaliranja dodataka Obavezno kreirajte rezervne kopije (backup) svog sistema. "Vrue" izmjene

Strana 104

Sigurnost raunalnih mrea "Vrue" izmjene (hotfix) se koriste za oporavke u toku normalnog rada sistema, mada one ponekad zahtijevaju i ponovno restartanje sistema (reboot). Hotfix dodaci mogu zahtijevati premjetanje podataka sa nekog loeg dijela diska i njihovo ponovno mapiranje na novi sektor. Time se spreavaju gubitak podataka i gubitak servisa. Takve ispravke mogu izazvati i premjetanje bloka memorije ukoliko, na primjer, doe do problema u funkcioniranju memorije. Na taj nain se osigurava nastavak rada sistema sve do konane ispravke. Microsoft koristi termin hotfix i za otklanjanje bagova (bug fix). Takav proces oznaava zamjenu datoteka auriranim verzijama. Servisni paketi Servisni paket (service pack) predstavlja obiman skup ispravka koje su grupirane u jedan proizvod. Koristi se za ispravljanje veeg broja greaka ili za uvoenje novih funkcija u OS. Prilikom instalacije servisnog paketa obino se vri zamjena veeg broja datoteka. Obavezno provjerite da li na odgovarajuem web stranici postoje podaci o ispravnom radu servisnog paketa. Proizvoai ponekad objavljuju servisne pakete prije detaljnog testiranja. Takvi paketi mogu izazvati veoma nestabilan rad operativnog sistema, pa, ak, i onemoguiti njegov dalji rad. "Zakrpe" "Zakrpa" (patch) je privremena ili brza ispravka nekog programa. Moe se iskoristiti za privremeno zaobilaenje instrukcija programa koje izazivaju probleme. Nekoliko proizvoaa OS-a izdaje "zakrpe" za otklanjanje problema u programima, koje je mogue primijeniti runo ili pomou posebne datoteke. Prilikom rada sa odjeljenjima podrke na rjeavanju tehnikih problema u OS-u ili aplikaciji osoblje iz servisa podrke moe zatraiti da uete u kod i da izvrite izmjene binarnih datoteka koje se izvravaju na Vaem sistemu. Prije svake izmjene obavezno izvrite viestruke provjere da biste sprijeili katastrofalne padove uslijed nepravilno unesenog koda.

Poboljanje zatite hard diskova

U prethodnim odjeljcima smo govorili kako treba definirati i postaviti pravilnik o mjerama zatite (security baseline) i kako se airiraju operativni sistemi. Pored toga, ukratko je bilo rijei i o datotetinim sistemima. U nastavku emo govoriti o dodatnim mjerama za zatitu mrenih ureaja. Ruteri, mreni prolazi, mrene barijere i drugi ureaji koji rade na mrei takoer su osjetljivi na napade. U narednim odjeljcima emo objasniti konfiguraciju i auriranje mrenih ureaja. Teite e biti na aplikacijama i ruterima, dok e ostali ureaji biti obraeni u onoj mjeri u kojoj se uklapaju u ovu temu. Auriranje mrenih ureaja Administrator sistema zatite mora osigurati da softver za ureaje kao to su ruteri i prespojnici bude uvijek auran. Ti ureaji obino sadre OS i aplikacije koje su smjetene u ROM (Read-Only - samo za itanje) memoriju. Pored toga, ureaji mogu imati flopi disk i CD radi auriranja postojeeg softvera. Obavezno posjetite web stranice proizvoaa Vaih mrenih ureaja da biste periodino preuzeli aurne dodatke koje oni objavljuju. Ruteri su "prednja linija" odbrane od vanjskih napada. Nove tehnike napada na mrene ureaje se razvijaju istom brzinom kojom se uvode nove funkcije u mrene ureaje. Sreom, veina mrenih ureaja ima ogranien skup funkcija, za razliku od servera ope namjene. Suena funkcionalnost omoguava proizvoaima brzo poboljanje nivoa zatite tih ureaja. Strana 105

Sigurnost raunalnih mrea Veina navedenih ureaja sadri specijalni operativni sistem u vlasnitvu proizvoaa, koji osigurava punu funkcionalnost rutera. Ureaji poput vorita (hub) i prespojnik (switch) veinom su potpuno konfigurirani jo u vrijeme proizvodnje, mada postoje i suvremeni prespojnici koji nude mogunost naknadne konfiguracije. Mrene barijere, sa druge strane, formiraju osnovni zaklon za mreni promet nakon prolaska podataka kroz ruter. Mrene barijere se neprekidno unapreuju (auriraju) da bi bile poboljane njihove mogunosti. Ruteri su vremenom postali izuzetno sloeni, ba kao i mrene barijere i ostali ureaji u mrei. Ukoliko se ne vodi rauna o stalnom auriranju ovih ureaja, oni e biti izloeni novim oblicima napada i eksploatacije. Veliki broj suvremenih rutera omoguava korisniku dodavanje novih funkcija. Neke od tih funkcija odnose se upravo na sistem zatite. Administrator uvijek mora voditi rauna o aurnosti kompletne mree. Proizvoai mrenih ureaja neprekidno poboljavaju funkcionalnost svoje opreme da bi izali na kraj sa novim prijetnjama i omoguili rad sa novim protokolima; ta poboljanja su ponekad besplatna. Nakon pojave novih opcija, obino se vri kompletno auriranje firmvera mrenih ureaja. U najveem broju sluajeva ete morati da platite za njega. Veliki broj proizvoaa rutera nudi mogunost pojedinane nabavke servisa za osobne ureaje. Zahvaljujui tome, kupac moe izabrati odreene protokole, opcije i funkcije u skladu sa konkretnom namjenom ureaja. Osnovni ruter ponekad moe kotati samo 1.000 dolara, ali dodatne opcije i naknadna auriranja mogu kotati jo nekoliko hiljada dolara. Prednost pojedinane isporuke servisa je u tome to kupac moe opremiti svoj ureaj samo onim opcijama koje su mu potrebne, dok ostale opcije moe da ugradi naknadno - kada se za njima pojavi stvarna potreba. Konfiguracija rutera i mrenih barijera Veliki broj internet i drugih operatera pomae svojim klijentima pri instalaciji i konfiguraciji opreme koja se koristi u mreama. Implementacija takve opreme se moe obaviti preko web interfejsa ili preko terminal interfejsa. Ispravna konfiguracija ovih ureaja predstavlja osnovu za pravilno i efikasno funkcioniranje mree. Za razliku od drugih ureaja, ruteri imaju veliki broj opcija pri konfiguraciji, ukljuujui i osnovne funkcije mrene barijere i podrku sistemu zatite. Pojedini proizvoai mrene opreme, kao to je Cisco, nude posebne programe za stjecanje certifikata i za obuku za njihove ureaje. Pojedini proizvoai mrene opreme nude unaprijed konfigurirane mrene barijere svojim muterijama. Takve barijere se esto nazivaju i appliances (ureaj, sprava). Kao i svi ostali raunarski sistemi, i prekonfigurirane barijere zahtijevaju povremena auriranja i odravanje. Ova tehnologija nagovjetava jednostavniju zatitu mree: kupac moe nabaviti prekonfiguriranu barijeru koja se jednostavno prikljui na mreu i ukljui. Na taj nain se moe znatno pojednostaviti proces instalacije i odravanja inae sloenih mrenih barijera u manjim mreama. Dva osnovna operativna naina za poboljanje nivoa zatite mrenih ureaja su iskljuivanje nepotrebnih protokola i servisa i koritenje kontrolne liste pristupa. U naredna dva odjeljka emo opisati te opcije sa stanovita sistema zatite. Ukljuivanje i iskljuivanje servisa i protokola Veliki broj rutera moe podrati rad DHCP, filtriranja paketa, konfiguraciju servisnih protokola i rad drugih servisa koji se koriste u mrei. Rutere treba konfigurirati tako da podre rad samo onih protokola i servisa koji se zaista koriste u mrei. Aktiviranje ostalih mrenih servisa moe izazvati probleme u radu i stvoriti nova "ranjiva" mjesta u mrei. Mrene ureaje treba konfigurirati to restriktivnije. Takva dodatna mjera zatite ne zahtjeva nikakva sredstva, ali istovremeno oteava i neovlateni upad u mreu. Strana 106

Sigurnost raunalnih mrea Rad sa kontrolnom listom pristupa Zahvaljujui kontrolnim listama pristupa (access control list - ACL), mreni ureaji mogu da ignoriraju zahtjeve koji potiu od odreenih korisnika ili sistema, ili da im dodjele odreena prava u okviru mree. Pretpostavimo, na primjer, da ste otkrili neku IP adresu koja neprekidno skenira Vau mreu i da elite da joj zabranite pristup mrei. Ukoliko blokirate takvu adresu na ruteru, njeni zahtjevi e biti automatski odbijeni uvijek kada pokuaju da priu mrei. ACL nudi mogunost dodatne kontrole pristupa mrei. Pomou ACL kontrole administrator moe dizajnirati i prilagoditi svoju mreu tako da moe "izai na kraj" sa razliitim prijetnjama.

Poboljanje zatite aplikacija

Kao to smo ve rekli, auriranje svih sistema u mrei i iskljuenje nepotrebnih protokola predstavlja prvi korak u poboljanju zatite cjelokupne mree. Naalost, navedeni koraci nisu dovoljni. Na Vaim serverima i radnim stanicama se "vrte" brojne aplikacije i servisi. Serveri (posebno web, e-mail i media serveri) posebno su osjetljivi na eksploatiranene napade. Pored poboljanja zatite sistema, potrebno je poboljati zatitu (hardening) i ovih aplikacija da bi bila oteana njihova eksploatacija u napadima. U narednom odjeljku emo govoriti o poboljanju zatite aplikacija kako na desktop raunarima, tako i na serverima, kojim se postie maksimalna zatita. Poboljanje zatite web servera Web serveri su omiljena meta napadaa. Internet Information Server (IIS), standardni web server, predstavlja stalnu temu za brojne novinske lanke. IIS, kao i veina web servera, odrava vezu sa web pretraivaima klijenata. Prvobitni web serveri su bili prilino jednostavni i koriteni su prvenstveno za osiguranje HTML teksta i grafikog sadraja. Suvremeni web serveri, meutim, nude i pristup bazama podataka, kontinuiranim (streaming) medijima i praktino svim drugim servisima koji se mogu zamisliti. Takva raznolikost omoguava web stranicama da klijentima prue bogate i kompleksne sadraje. Svaki servis i opcija koju web sajt podrava predstavljaju potencijalni cilj za eksploatirani napad. Takve servise i opcije morate uskladiti sa najnovijim softverskim standardima. Pored toga, korisnicima treba dodijeliti minimalna prava pomou kojih mogu obaviti svoje poslove. Ukoliko neki korisnik pristupa Vaem serveru sa anonimnim nalogom, "zdrav razum" nalae da anonimni nalog moe imati samo ona prava koja omoguavaju pregled web stranica i nita vie. Poboljanje zatite na e-mail serveru E-mail serveri osiguravaju komunikacionu osnovu za veliki broj poslovnih okruenja. Oni funkcioniraju u obliku dodatnih servisa na postojeim serverima ili kao zasebni sistemi. Postavljanje aktivnog skenera virusa na e-mail serveru moe umanjiti broj virusa koji prolaze na mreu i istovremeno sprijeiti irenje virusa sa Vaeg e-mail servera. Jedan broj e-mail servera koristi i skladita podataka radi omoguavanja grupnog rada (collaboration), zakazivanja sastanaka i konferencija i drugih funkcija. Funkcionalnost e-mail servera se neprekidno poveava, tako da administrator mora voditi rauna i o njihovoj aurnosti. Poboljanje zatite FTP servera Strana 107

Sigurnost raunalnih mrea File Transfer Protocol (FTP) serveri nisu predvieni za aplikacije koje zahtijevaju visok stupanj zatite, zbog standardnih problema koji prate ovaj protokol. Veina FTP servera dozvoljava kreiranje zasebnih oblasti na bilo kom disku u sistemu. Poeljno je da odredite zaseban disk na sistemu ili da kreirate poseban direktorij koji je namijenjen transferu datoteka. Ukoliko je mogue, poeljno je da FTP aktivnosti obavljate koritenjem virtualne privatne mree (VPN) ili veze sa Secure Shell (SSH) protokolom. FTP se ne moe "pohvaliti" nekom osobino velikom zatitom, dok veliki broj FTP sistema alje ak i podatke o nalozima i zaporke u otvorenom obliku preko mree. FTP je jedna od alatki koju napadai esto koriste za eksploataciju sistema. Poboljanje zatite DNS servera Domain Name Service (DNS) serveri prevode nazive hostova u IP adrese. Ovi servisi omoguavaju prevoenje web naziva, poput www.sybex.com, u IP adresu, kao to je 192.168.1.110. DNS serveri mogu obavljati svoju funkciju interno, samo za korisnike interne mree, ali i eksterno radi prevoenja naziva u IP adrese za ostale korisnike. Napadi sa osloncem na DNS servere nisu esti i obino se javljaju u tri oblika: DNS DoS napad DoS napadi su prvenstveno usmjereni na DNS servere. Cilj napadaa je naruavanje funkcioniranja servera, zbog ega i itav sistem postaje beskoristan. Aurnost DNS softvera i operativnog sistema predstavlja osnovnu obranu od takvih napada. Na taj nain se umanjuje utjecaj DoS napada. Uzimanje "otisaka prstiju" Uzimanje "otisaka prstiju" (network footprinting) predstavlja proces prikupljanja podataka o mrei radi otkrivanja naina za upad na mreu. Na taj nain se otkrivaju slabosti u mrei i naini za ulazak na nju. DNS serveri sadre veliku koliinu podataka o mrei. Upotrebom jednog od standardnih programa za DNS pregled, kao to je NSLOOKUP napada moe doi do podataka o konfiguraciji mree-rtve. DNS podaci obino sadre informacije o nazivima domena i o potanskim, web, komercijalnim i drugim kljunim serverima u mrei. Naruavanje integriteta slogova DNS sistemi mogu koristiti samo primarni ili primarni i sekundarni DNS server. Svaka izmjena na primarnom ili sekundarnom serveru automatski se prenosi i na ostale provjerene DNS servere. Napada moe ubaciti lani slog na DNS server, koji e, umjesto na legitiman sajt, ukazivati na lokaciju koju je odredio napada. Zamislite neprilike koje moe imati neka korporacija ukoliko posjetitelji njenog web sajta budu preusmjereni na konkurentsku firmu ili, jo gore, na neki sajt sa porno sadrajem. DNS servere obavezno treba zatititi tako da se prije bilo kakve izmjene obavezno izvri identifikacija korisnika. Na taj nain se spreava ubacivanje neautoriziranih slogova u DNS servere. Poboljanje zatite NNTP servera Network News Transfer Protocol (NNTP) serveri omoguavaju isporuku poruka-vijesti (network news messages). Koriste se i za internu komunikaciju u okviru neke kompanije ili zajednice. Takve servere news grupa treba zatititi sistemom identifikacije prije bilo kakvog postavljanja podataka na njih i prije bilo kakvog uspostavljanja veze sa njima. NNTP serveri su sve vie izloeni spamu (neeljenoj poti) i DoS napadima. Veliki broj news grupa poinje svoj rad u obliku manje grupe korisnika koji imaju zajednike interese. Takve grupe obino imaju i moderatora, koji je zaduen za uklanjanje neeljene pote i spreavanje Strana 108

Sigurnost raunalnih mrea njene distribucije do regularnih pretplatnika. Pojedine news grupe su, meutim, narasle tako da obuhvaaju desetine hiljada lanova irom sveta, tako da je koliina prometa i poruka odavno prevazila razinu koju moderator moe da kontrolira. Poboljanje zatite datotetinih servera i servera tampe i njihovih servisa Datotetini serveri i serveri tampe su prvenstveno izloeni DoS i pristupnim napadima. DoS napadi mogu biti usmjereni na odreeni protokol, sa preoptereenjem nekog porta dodatnom aktivnou. Provjerite da li su na tim serverima aktivirani samo oni protokoli koji su zaista i neophodni za rad mree. U mreama sa PC-ima obavezno treba iskljuiti NetBIOS servise na serverima ili bar postaviti efikasnu mrenu barijeru izmeu servera i Interneta. Veliki broj popularnih napada danas upravo koristi NetBIOS servise, i to preko portova 135,137,138 i 139. Na Unix sistemima obavezno treba zatvoriti port 111 (Remote Procedure Call, RPC port). Poboljanje zatite DHCP servera Dynamic Host Configuration Protocol (DHCP) se koristi u velikom broju mrea radi automatizacije procesa dodjele IP adresa radnim stanicama. DHCP servisi se mogu izvravati na velikom broju razliitih ureaja, kao to su ruteri, komutatori i serveri. DHCP proces obuhvaa izdavanje TCP/IP adrese radnoj stanici u odreenom vremenskom intervalu. DHCP moe dodjeljivati i druge konfigurirane parametre radnim stanicama na mrei. U okviru jedne mree ili mrenog segmenta moe postojati samo jedan DHCP server. Ukoliko postoji vie takvih servera, moe doi do sukoba meu njima koji e dodijeliti IP adresu - u tom sluaju se pojavljuju duple TCP/IP adrese, to dovodi do adresnih konflikata. Klijenti sa aktiviranim DHCP servisom mogu biti opslueni i preko Network Address Translation (NAT) servera (vie podataka o NAT serverima moete nai u Poglavlju 1, "Opi pojmovi sistema zatite"). Upotrebu DHCP servisa treba ograniiti na radne stanice. Rad sa skladitima podataka Veliki broj sistema koji se danas koriste na mreama svoj rad zasniva na raznim vidovima uskladitenih podataka. Takvi podaci se obino uvaju na serverima koji pruaju usluge imenika i baza podataka. Ti serveri se obino nazivaju i skladita podataka (engl. data repositories). U ovom odjeljku emo govoriti o najeim oblicima skladita podataka koji se danas koriste. Veina takvih skladita je zasnovana na nekoj od tehnologija baza podataka. Servisi imenika Servisi imenika (engl. directory services) predstavljaju alatke koje pomau pri organizaciji i upravljanju sloenim mreama. Imenici omoguavaju brzo i jednostavno pronalaenje datoteka sa podacima, aplikacija i drugih informacija u okviru neke mree. Time se znatno pojednostavljuju i poslovi administracije, dok programeri i razvojni timovi mogu efikasnije da koriste mrene resurse. Najnovije tehnike u okviru imenika tretiraju podatke i druge mrene resurse kao objekte. Takav objektno-orijentiran pristup omoguava skladitenje i pristup informacijama na osnovu odreenih karakteristika ili atributa. LDAP Lightweight Directory Access Protocols (LDAP) je standardizirani protokol za pristup imeniku koji dozvoljava kreiranje upita radi pristupa sadraju imenika (tonije reeno imenicima koji predstavljaju umanjenu verziju X.500 sistema). Ukoliko servis imenika

Strana 109

Sigurnost raunalnih mrea podrava LDAP, njegov sadraj se moe ispitivati na LDAP klijentima. LDAP protokol postaje sve popularniji i intenzivno se koristi za online bijele i ute stranice. LDAP je osnovni pristupni protokol koji se koristi u servisu imenika Active Directory (o njemu e biti rijei u narednom odjeljku). LDAP standardno radi preko porta 389. U LDAP sintaksi se koriste zarezi izmeu imena. Active Directory Microsoft je u Windows 2000 ugradio servis imenika pod nazivom Active Directorv (AD). AD je okosnica sistema zatite, pristupa i mrenih implementacija za sve Microsoftove proizvode. Koritenjem ovog sistema administratori postiu punu kontrolu nad svim resursima. AD je privatni servis imenika koji osigurava podrku za druge servise imenika, kao to je LDAP AD funkcije se izvravaju na jednom ili na vie servera; ti serveri su povezani u strukturu stabla da bi bile omoguene razmjena i kontrola informacija preko itave AD strukture. LDAP koristi etiri razliita tipa naziva u kombinaciji sa AD servisom: Distinguished Name Distinguished Name (DN) se dodjeljuje svakom objektu u AD sistemu. Ovi nazivi se ne mogu duplicirati i moraju biti jedinstveni. Javljaju se u obliku kompletne putanje do objekta, ukljuujui i sve kontejnere. Relative Distinguished Name Naziv tipa Relative Distinguished Name (RDN) ne mora biti jedinstven, ukoliko se osigura da ne postoje duplikati u okviru jedne organizacione cjeline (Organizational Unit - OA). Drugim recima, RDN je dio naziva koji je jedinstven u okviru svog kontejnera. User Principal Name User Principal Name (UPN) se obino naziva i friendly name. Sastoji se od korisnikog naloga i naziva domena kome korisnik pripada i slui za identifikaciju korisnika (poput e-mail adrese). Canonical Name Naziv tipa Canonical Name (CN) predstavlja obrnutu verziju DN naziva (u notaciji od vrha ka dnu). X.500 Meunarodna organizacija za standarde International Telecommunications Union (ITU) je u kasnim 80-im godinama prolog veka objavila standard X.500, koji je predstavljao osnovu za sve kasnije strukture imenika, kao to je i LDAP. Izuzetna sloenost pune implementacije X.500 strukture je predstavljala osnovni problem u njenoj praktinoj primjeni. Novell je jedan od prvih proizvoaa koji je ugradio X.500 u svoj Netware NDS sistem. eDirectory eDirectory predstavlja okosnicu novih Novellovih mrea. Ovaj imenik skladiti podatke o svim sistemskim resursima i korisnicima i sve druge informacije o sistemima koji su prikljueni na Netware servere. eDirectorv je nadgradnja i zamjena za NDS, koja je stekla iroku popularnost meu korisnicima. Baze podataka Mogunost skladitenja podataka, njihovih izmjena i osiguranje pristupa tako uskladitenim podacima predstavljaju osnovne razloge za upotrebu raunara. Baze podataka predstavljaju osnovnu alatku za rad sa podacima. One postaju sve savrenije, tako da su njihove mogunosti drastino porasle u posljednjih 10 godina. Time su stvorene nove mogunosti za pregled podataka, ali su istovremeno nastali novi problemi za dizajnere baza i njihove Strana 110

Sigurnost raunalnih mrea korisnike. U ovom odjeljku emo ukratko opisati tehnologiju baza podataka, uz prikaz njihovih slabosti, koje mogu postati meta napada. Tehnologije baza podataka Relacijske baze podataka su postale najei oblik implementacije baza. Ova tehnologija omoguava dinamiki pregled podataka koji je usklaen sa potrebama administratora ili korisnika. Komunikacija sa bazama se najee obavlja koritenjem jezika pod nazivom Structured Query Language (SQL). SQL omoguava kreiranje upita u realnom vremenu i njihovo prosljeivanje do servera baza podataka. Ova tehnika predstavlja i osnovni izvor problema u zatiti podataka, ukoliko nije implementirana na siguran nain. Pretpostavimo, na primjer, da elite da dobijete brojeve telefona svih korisnika koji ive u odreenoj oblasti i koje su kupile neki od Vaih proizvoda u protekle dvije godine. U sistemima sa runom obradom prvo biste morali da odredite sve korisnike koji ive u konkretnoj oblasti. Nakon runog pronalaenja svih slogova sa podacima o korisnicima, potrebno je odvojiti one korisnike koji su kupovali robu u prethodne dvije godine. Takav proces je prilino kompliciran i zahtjeva dosta vremena. Relacijske baze podataka omoguavaju kreiranje upita radi pronalaenja svih slogova koji zadovoljavaju zadate kriterije, nakon ega se ti slogovi mogu i tiskati. Komanda koja omoguava sve to moe stati u jednu liniju koda, ali ponekad moe obuhvatiti i hiljade instrukcija. Poveanje produktivnosti je, u svakom sluaju, vrijedno dodatnog investiranja. Poslovni podaci neke firme ili organizacije predstavljaju neprocjenjivu vrijednost za tu instituciju. Oni se obino nalaze na desktop raunarima ili na centraliziranim serverima sa bazama podataka. Takvi serveri predstavljaju primamljive ciljeve u oblasti industrijske pijunae, odnosno mete za izazivanje ozbiljnih oteenja. Serveri sa bazama podataka "pate" od istih sigurnosnih "boljki" o kojima je do sada bilo rijei. Pored toga, sama baza podataka predstavlja sloeni skup programa koji zajedno osiguravaju pristup podacima. Prvi sistemi baza podataka su direktno povezivali krajnje korisnike sa podacima koritenjem aplikativnih programa. Ti programi su osiguravali jednostavan pristup podacima i transakcijama izmeu korisnika i same baze. Fizike mjere zatite su obino bile sasvim dovoljne za zatitu podataka u privatnim mreama u to doba. Sa porastom znaaja Interneta, poslovni sistemi su poeli da pruaju razne usluge, kao to su praenje stanja narudbe, online naruivanja i svi ostali servisi koje su potroai zahtijevali. Poveana funkcionalnost je dovela do sloenijih programa, vee koliine softvera i sloenijih baza podataka. Proizvoai softvera su uloili dodatni napor da bi odgovorili novim zahtjevima krajnjih korisnika. Naalost, kreatori softvera obino izbacuju programe koji imaju brojne sigurnosne probleme. Sve sloeniji zahtjevi korisnika baza podataka, zajedno sa sigurnosnim problemima koje stvaraju kreatori softvera, otvaraju nova "ranjiva" mjesta na serverima baza podataka. Da bi poboljali sistemske performanse i razinu zatite baza podataka, proizvoai su uveli troslojni model sistema zasnovanih na bazama podataka. Objasniti emo tri razliita modela baza: Jednoslojni (one-tier) model U jednoslojnom modelu, ili jednoslojnom okruenju, baza podataka i aplikacija postoje kao jedinstveni sistem. Takav pristup je uobiajen za desktop raunare na kojima je postavljena samostalna baza podataka. Prve Unix implementacije su radile upravo na taj nain; pojedinani korisnici su pristupali odreenom terminalu i nakon toga pokretali zasebnu aplikaciju koja je pristupala podacima. Dvoslojni (two-tier) model Klijentski PC ili sistem u dvoslojnom modelu pokree aplikaciju radi ostvarenja komunikacije sa bazom podataka koja se nalazi na zasebnom serveru. To je standardni nain rada koji primjenjuje veina aplikacija. Strana 111

Sigurnost raunalnih mrea Troslojni (three-tier) model Troslojni model praktino odvaja krajnjeg korisnika od baze podataka uvoenjem servera srednjeg sloja (middle-tier). Taj server prima zahteve od klijenata, obrauje ih i prosljeuje do servera baze podataka radi dalje obrade. Server baze podataka alje podatke nazad ka serveru srednjeg sloja, koji ih nakon toga prosljeuje do klijenata. Troslojni model danas postaje standard za poslovne aplikacije. Server srednjeg sloja kontrolira i pristup bazi podataka i osigurava dodatne mjere zatite podataka. Svaki od navedenih modela unosi dodatne mogunosti, ali i poveava sloenost itavog sistema. Zatita podataka se moe osigurati uz kontrolu svakog pojedinanog raunarskog sistema i uz aurnost softvera koji se na njima nalazi.

Kontrolna pitanja
1. Kako se naziva proces definiranja standarda sistema zatite? A. propisivanje mjera sistema zatite (eng. baselining) B. procjena sistema zatite C. ojaanje (hardening) D. metodoloka ispitivanja 2. Izabrani ste za vou tima administratora koji treba da osigura poboljanje sigurnost mree. Trenutno izraujete pregled svih aspekata sistema zatite koje treba ispitati i unaprijediti. Kako se naziva proces poboljanja zatite mrenog operativnog sistema (NOS)? A. Common Criteria B. ojaanje (hardening) C. ifriranje D. umreavanje 3. Kako se naziva proces povezivanja protokola i kontrolerske kartice? A. povezivanje (linkage) B. umreavanje C. povezivanje (binding) D. kontrola pristupa 4. Trenutno vrite procjenu protokola koji se koriste u Vaoj mrei. Nakon procjene, predloit ete zamjeniku direktora IT odjeljenja iskljuenje odreenih protokola. Koji od navedenih protokola ne bi trebalo koristiti uz TCP/IP, ukoliko je to mogue, s obzirom da predstavlja uobiajenu metu za napade? A. IPX/SPX B. SMTP C. NetBIOS D. LDAP 5. Koja alatka Windowsa (log datoteka)? A. Event viewer B. Svslog C. IDS D. Event timer NT slui za pregled sistemskih datoteka-dnevnika

Strana 112

Sigurnost raunalnih mrea 6. Vaa organizacija je uvela novu funkciju nadzornika, nakon ega se pojavio problem sa licencama - potrebno je osigurati licence za cjelokupan softver koji nije u javnom vlasnitvu. Koji od navedenih operativnih sistema spada u grupu open source (otvoreni izvor) proizvoda i ne smatra se privatnim vlasnitvom? A. Windows 2000 B. Novell Netware C. Linux D. Mac OS 7. Koji datotetini sistem je prvobitno bio namijenjen desktop sistemima, uz ograniene mogunosti u pogledu zatite? A. NTFS B. NFS C. FAT D. AFS 8. Vaa kompanija je preuzela posao konkurentske firme. Dobili ste zadatak da definirate nain komunikacije servera sa postojee mree sa onima na mrei bive konkurencije. Poznato Vam je samo da je ta firma koristila najnoviji datotetini sistem Novella i da je to okruenje u kome serveri rade. Koji datotetini sitem koriste Netware serveri? A. NSS B. NTFS C. AFS D. FAT 9. Koji datotetini sistem omoguava daljinsko montiranje datotetinih sistema? A. NTFS B. FAT C. AFS D. NFS 10. Administrator u MTS je nedavno otputen, nakon ega je otkriveno da nije redovno instalirao softverske dodatke za auriranje koji su objavljivani. Vi ste novopostavljeni administrator i Va osnovni zadatak je da aurirate softver na svim umreenim klijentima i serverima. Kako se naziva grupa koja sadri jednu ili vie ispravaka u okviru jedinstvenog paketa? A. servisni paket B. hotfix C. "zakrpa" (patch) D. sistemska instalacija 11. Koja od navedenih tvrdnji nije tona? A. Osnovni direktorij na disku nikada ne treba proglaavan djeljivim. B. Osnovni direktorij na disku treba proglaavan deljivim. C. Deljeni direktorij mora imati to restriktivnija prava pristupa. D. Datoteki sistemi su obino zasnovani na hijerarhijskom modelu. 12. Vaa kompanija obavlja usluge elektronikog nadzora osoba u kunom pritvoru irom sveta. Zbog osjetljive prirode posla, ne smete da dozvolite da eventualno

Strana 113

Sigurnost raunalnih mrea otkazivanje sistema potraje iole due. Kako se naziva proces oporavka operativnog sistema bez prekidanja njegovog rada? A. nadgradnja B. instalacija servisnog paketa C. hotfix D. auriranje datoteka 13. Kako se naziva proces runih izmjena programa? A. hotfix B. servisni paket C. "krpljenje" (patching) D. zamjena 14. Nedavno zaposleni mlai administrator privremeno e obavljati Vae dunosti dok Vi budete na konferenciji. Pokuavate da mu objasnite osnovne postavke sistema zatite u to kraem vremenskom periodu. Koja od navedenih tvrdnji najbolje opisuje kontrolne liste pristupa (ACL)? A. ACL osigurava kontrolu individualnog pristupa resursima. B. ACL se ne koristi u suvremenim sistemima. C. ACL proces je dinamike prirode. D. ACL se koristi radi identifikacije korisnika. 15. Koji proizvod osigurava da datoteke koje su primljene preko SMTP servera ne sadri sumnjivi kod? A. filtar e-mail virusa B. filtar web virusa C. mrena barijera sa filtriranjem paketa D. IDS 16. Korisnici se ale na iznenadne probleme prilikom prevoenja imena, koji se do sada nisu javljali. Pretpostavljate da je neki napada naruio integritet DNS servera na Vaoj mrei. Na koji nain napadai prvenstveno koriste DNS? A. prikupljanjem "otisaka prstiju" mree B. prislukivanjem mrenog prometa (network sniffing) C. pregledom sadraja servera baze podataka D. falsificiranjem registracije 17. to je LDAP? A. protokol za pristup imeniku B. IDS C. slojeviti model razvoja aplikacija D. datotetini server 18. Vaa kompanija biljei izuzetno brz rast, tako da je neophodno zaposliti razliite IT specijaliste, a Vi ste zadueni da pomognete u sastavljanju novinskih oglasa radi njihovog prijema. Zatita baza podataka je jedna od oblasti u kojima Vaa organizacija ve ima problema. Koja vrsta baza podataka se danas najee koristi, a koju moete pomenuti u oglasima? A. hijerarhijske baze B. relacione baze C. mrene baze Strana 114

Sigurnost raunalnih mrea D. arhivske baze 19. emu dananje relacione baze mogu da zahvale za svoju fleksibilnost? A. SQL-u B. trajno kodiranim upitima C. forward projekciji D. primjeni vie razliitih modela 20. Radite na redizajnu mree u sklopu priprema za prodaju kompanije. Mrea, kao i ostali dijelovi kompanije, mora raditi to bolje da bi uope bila predmet prodaje. Koji model se koristi radi ubacivanja meuservera izmeu krajnjeg korisnika i baze podataka? A. jednoslojni model B. dvoslojni model C. troslojni model D. relaciona baza podataka

Odgovori 1. A. Definiranje standarda sistema zatite obavlja se propisivanjem mera sistema zatite (eng. baselining). 2. B. Ojaanje (hardening) je proces poboljanja nivoa zatite nekog operativnog sistema ili aplikacije. Eliminiranje nepotrebnih protokola predstavlja osnovni metoda za ojaanje operativnih sistema. 3. C. Povezivanje (binding) je proces pridruivanja nekog protokola drugom protokolu ili mrenoj kartici. 4. C. Po svaku cijenu treba izbei povezivanje NetBIOS i TCP/IP protokola. NetBIOS je uobiajena meta napada "uljeza". 5. A. Event Viewer je osnovna alatka za pregled sistemskih dogaaja u Windowsu NT. 6. C. Programi sa oznakom open source javno objavljuju izvorni kod, tako da je on dostupan razvojnim timovima i programerima. 7. C. FAT tehnologija nudi ograniene mogunosti u oblasti zatite. 8. A. NSS predstavlja najnoviji datotetini sistem firme Novell. To je radno okruenje servera u privatnom vlasnitvu Novella. 9. D. Network File Svstem (NFS) je Unixov standard za udaljene datotetike sisteme. 10. A. Servisni paket sadri jedan ili vie dodataka koji otklanjaju probleme u funkcioniranju nekog procesa ili funkcije. 11. B. Osnovni (root) direktorij nikada ne treba proglaavati djeljivim (ukoliko je to mogue), jer se time stvara mogunost napada na itav sadraj diska. 12. C. Hotfix je dodatak koji se implementira dok je sistem u radu. Time se smanjuje vrijeme iskljuenja sistema radi opravke. 13. C. "Zakrpe" (patchs) su privremena reenja za bugove ili probleme u kodovima koji se implementiraju runo. One se naknadno zamjenjuju kompletnim programima (novim verzijama). 14. A.Kontrolna lista pristupa (ACL) osigurava definiranje pojedinanih i kontroliranih pristupa do mrenih resursa. Moe se iskoristiti i za iskljuenje prava pristupa pojedinih sistema, IP adresa ili korisnika. Strana 115

Sigurnost raunalnih mrea 15. A. SMTP je osnovni protokol koji se koristi u sistemu elektronske pote. Skener SMTP virusa provjerava svu dolaznu i odlaznu potu radi pronalaenja sumnjivog koda. Ukoliko postoji opasnost da je neka datoteka "zaraena", skener upozorava poiljaoca i smjeta datoteku u "karantin". 16. A. DNS slog na DNS serveru sadri podatke o prirodi i strukturi mree. DNS slogovi moraju sadrati to manje podataka na javnim DNS serverima. 17. A. Lighftveight Directorv Access Protocol (LDAP) predstavlja protokol za pristup imeniku, pomou koga se objavljuju podaci o korisnicima. On je raunarski ekvivalent telefonskog imenika. 18. B. Danas se najee koriste relacione baze podataka. 19. A. SQL predstavlja moan jezik za pristup bazama podataka koji se koristi u veini relacionih baza. 20. C. Troslojni model koristi meuserver, koji je postavljen izmeu klijenta i baze podataka.

Strana 116

Sigurnost raunalnih mrea

6. Zatita mree i radnog okruenja

Postizanje odreenog nivoa zatite raunara i mrea nije "vezano" samo za tehnike aspekte mrenih ureaja i sistema. Pored njih, potrebno je razmotriti i pitanja koja se odnose na fiziko okruenje, kao i ona u vezi sa poslovnim procesom. Njihovo razmatranje obuhvata procjenu fizikih mjera zatite, probleme u vezi sa socijalnim napadima i u vezi sa uvjetima okruenja; neke od tih tema su ve razmatrane u prethodnim poglavljima, ali emo ih ovdje prikazati u cijelosti. Rjeavanje navedenih problema zahtjeva uspostavljanje ravnotee izmeu tehnike i poslovne perspektive. Ovo poglavlje e Vam pomoi da shvatite znaaj fizikih mjera zatite, kao to su kontrola pristupa, fizike prepreke i biometrijski sistemi. Pored toga, govoriti emo i o socijalnim napadima i o uvjetima okruenja koje sistemi zahtijevaju da bi radili sigurno i ispravno. Bie rijei i o procesu zatite mree, sigurnosnim zonama i podjeli mree na particije. Konano, govoriti emo i o problemima u vezi sa samim poslovanjem, kao to su planiranje, utvrivanje politike zatite, standardizacija, rukovodee smjernice, standardi u oblasti zatite i odreivanje stupnja tajnosti informacija.

Fizike mjere zatite i sigurnosti mree

Fizikim mjerama zatite spreava se neovlateni pristup mrenim sistemima, prvenstveno zabranom fizikog kontakta neovlatene osobe sa mrenim sistemima ili ureajima. Veina mrea primjenjuje izuzetno sloene mjere zatite od vanjskih napada. Takve mree su, meutim, i dalje izloene internim napadima, raznim oblicima sabotaa i zloupotreba. Ukoliko napada ima fiziki pristup do Vaih ureaja, mreu ne moete smatrati sigurnom. U narednom odjeljku govoriti emo o razliitim aspektima fizike zatite koji se odnose na radno okruenje, ukljuujui kontrolu pristupa, socijalne napade i uvjete okruenja. Kontrola pristupa Kontrola pristupa (engl. access control) predstavlja kljuan dio itavog sistema fizike zatite. Da bi se mogli tretirati kao sigurni, raunarski sistemi moraju raditi u kontroliranom okruenju. To okruenje mora biti zatieno od neovlatenih upada to je mogue vie. Konzole raunarskih sistema mogu biti najosetljivija toka na itavoj mrei, zato to se preko njih mogu obaviti brojne administrativne funkcije. Takve konzole, kao i same raunarske sisteme, moramo zatititi od fizikog pristupa. Zatita se moe postii fizikim barijerama i biometrijskim ureajima, o kojima e biti vie rijei u narednim odjeljcima. Fizike barijere Fizike barijere predstavljaju osnovu cjelokupnog sistema kontrole pristupa. Spreavanje pristupa raunarima i mreama predstavlja osnovni cilj fizike kontrole. Da bi takva kontrola bila to efikasnija, postavlja se vie fizikih prepreka koje je potrebno proi da bi bio ostvaren pristup raunarskim sistemima. Takav pristup se esto oznaava kao sistem sa viestrukom fizikom kontrolom (engl. multiple barrier svstem). U najboljem sluaju, raunarski sistem mora imati bar tri fizike prepreke. Prva prepreka je kompletan prostor oko zgrade (engl. perimeter), koji se obino titi alarmnim sistemima, ogradom, video nadzorom i slinim tehnikama. Druga prepreka je ulaz u raunarski centar, koji se nalazi iza zakljuanih vrata. Trea prepreka je ulaz u prostoriju u kojoj se nalaze raunari. Ti ulazi se mogu zasebno osigurati, nadgledati i zatititi posebnim alarmnim sistemima. Tri navedene barijere nee uvijek sprijeiti "uljeze", ali e ih sigurno usporiti u dovoljnoj mjeri da organi reda mogu intervenirati dovoljno brzo da bi sprijeili ostvarenje njihovih ciljeva. Raunarski sistemi sa visokim stupnjem zatite koriste i neki vid srednjeg zatitnog mehanizma - tzv. kontrolne prostorije, ili klopke (engl. mantraps). U kontrolnim prostorijama se koristi vizualna identifikacija, koja, zajedno sa utvrivanjem identiteta, osigurava pristup raunarskim sistemima. Kontrolna soba oteava istovremeni pristup veeg broja ljudi. Ona je obino dizajnirana tako da omoguava zadravanje neovlatene osobe, potencijalnog napadaa, sve do dolaska organa sigurnosti. U sredinama sa jakim stupnjem zatite, kao to su vojna postrojenja, u kontrolnim sobama se nalaze i naoruani uvari, zajedno sa sistemom Strana 117

Sigurnost raunalnih mrea video nadzora. Dalji prolaz kroz takve prostorije zahtjeva dodatnu identifikaciju i sigurnosnu provjeru. U narednom odjeljku govoriti emo o vanjskoj zatiti, uspostavljanju sigurnosnih zona i particioniranju.

Slika 6.1 Troslojni model zatite

Slika 6.2 Primjer kontrolne sobe (mantrap) Vanjska zatita Vanjska zatita (perimeter securitv), bez obzira da li se misli na fizike ili tehnike mjere, predstavlja prvu liniju odbrane u itavom sistemu zatite. Ukoliko je rije o fizikim mjerama zatite, tei se ka spreavanju neovlatenog pristupa resursima koji se nalaze unutar zgrade. Mreni ekvivalent fizike vanjske zatite obavlja iste funkcije kao i vanjska zatita zgrade. Kako sprijeiti neovlatenu osobu da pristupi sistemima i podacima u mrei preko mree? Vanjska zatita se u fizikom okruenju postie primjenom brava, vrata, sistema za video nadzor i alarmnih sistema. Zatita raunarskih mrea se ne razlikuje u funkcionalnom smislu, ali se u njima neovlateni pristup spreava pomou graninih rutera, sistema za detekciju "uljeza" i mrenih barijera. Veoma je mali broj zatitnih sistema koji nemaju neku slabost ili osjetljivo mjesto. Uz dovoljno strpljenja, uporan napada moe da savlada veinu sigurnosnih ureaja. Taj posao obino zahtjeva detaljno planiranje i prouavanje; uporan napada e najee pronai "rupu" u zatitnom sistemu. Strana 118

Sigurnost raunalnih mrea Ukoliko elite da odvratite napadaa od provale u zgradu, moete postaviti dodatne sigurnosne brave, zatvorene alarmne sisteme i magnetne kontakte na vratima i prozorima. Upamtite, meutim, da ne postoji apsolutna zatita od provalnika; moete samo poveati rizinost provale i vjerojatnost da e ona biti otkrivena. Sigurnosne zone Sigurnosna zona (engl. securitv zone) predstavlja prostor u zgradi u kome se nadgleda i kontrolira svaki pojedinani pristup. Velike mree, ba kao i velika fizika postrojenja, imaju vie takvih prostora koji zahtijevaju ogranieni pristup. Pojedini katovi u zgradi, dijelovi katova, pa ak i uredi se dijele na vie manjih dijelova ili sigurnosnih zona. Kada je rije o fizikim postrojenjima, svaki kat moe biti podijeljen na vie odvojenih zona, a svaka zona moe imati svoj alarmni sistem, tako da uvarska sluba dobije podatke o dijelu zgrade u kome je dolo do provale; na osnovu identifikacije zone, uvari odluuju odakle e poeti pretragu.

Slika 6.3 Vanjska zatita mree

Slika 6.4 Mrene sigurnosne zone Particioniranje Particioniranje mree je u funkcionalnom smislu identino particioniranju zgrade. U zgradama postoje zidovi koji usmjeravaju kretanje ljudi, osiguravaju kontrolu pristupa i razdvajaju razne funkcionalne oblasti. Na taj nain se podaci i ostalo vlasnitvo mogu drati pod kontrolom i kljuem. Hodnici u poslovnim zgradama su obino izgraeni neto drugaije u odnosu na uredski prostor. Oni su najee otporniji na vatru, pa se esto nazivaju i protupoarni koridori. Kroz te koridore zaposleni mogu brzo napustiti zgradu u sluaju poara. Zidovi protupoarnih Strana 119

Sigurnost raunalnih mrea koridora proteu se od poda do tavanice, dok se interni zidovi mogu zavravati i prije tavanice (najvei broj poslovnih zgrada ima tzv. "lane" tavanice, gdje se smjetaju elektrina i vodovodna instalacija). Particioniranje mree ima isti cilj kao i fiziko particioniranje zgrade. Zgrade su izdijeljene fizikim zidovima, dok se particioniranje mree obavlja pomou privatnih mrea u okviru veih mrea. Takve particije se mogu izolirati jedna od druge pomou rutera i mrenih barijera. Zbog toga se itava mrea u funkcionalnom smislu moe posmatrati kao skupina veeg broja manjih mrea, bez obzira to su svi mreni sistemi meusobno povezani kablom. Upamtite da pojedine particije moraju biti razdvojene odreenim fizikim ureajem (kao to je ruter) da bi bilo sprijeeno irenje signala preko svih kablova u mrei. Taj ureaj obavlja istu funkciju kao i hodnik ili zakljuana vrata - kada se promatra sa iskljuivo fizikog stanovita.

Slika 6.5 Odvojene particije koje razdvajaju manje mree u okviru vee Biometrija Biometrijski sistemi koriste jedinstvene bioloke karakteristike radi utvrivanja identiteta neke osobe. To mogu biti otisci prstiju, izgled retine oka ili otisak dlana. Ureaji koji se danas koriste mogu sadrati skener dlana, skener retine, ili ak i DNK skener kao dio mehanizma za kontrolu pristupa. Ti ureaji su obino povezani sa raunarskim sistemom koji biljei sve pokuaje pristupa. Pristupni ureaji se moraju podstaviti pod stalni video nadzor da bi bilo sprijeeno njihovo zaobilaenje. Navedene tehnologije svakim danom postaju sve pouzdanije, tako da se u oekuje njihova sve masovnija upotreba. Pojedine firme koriste smart kartice kao osnovno sredstvo za kontrolu pristupa, dok je primjena biometrijskih ureaja i dalje ograniena njihovom relativno visokom cijenom. Kako funkcioniraju socijalni napadi? Socijalni napad (engl. social engineering) oznaava proces u kome neovlatena osoba ostvaruje pristup fizikim postrojenjima, mrei, pa, ak, i zaposlenima na osnovu poverenja koje ljudi imaju u druge osobe. Kao to smo ve rekli u Poglavlju 2, "Procjena rizika", socijalni napadi mogu biti inicirani od osobe koja se predstavlja kao snabdjeva ili putem email poruke od (lanog) trgovakog putnika koji izjavljuje da je zaboravio kako da se prijavi na mreu, odnosno kako da ue u zgradu tijekom vikenda. Obino se teko moe utvrditi da li je takva osoba stvarno ona za koju se predstavlja ili je rije o zlonamjernoj osobi. Socijalni napadi mogu biti veoma suptilni i obino se teko otkrivaju. Razmotrimo nekoliko klasinih primjera: Strana 120

Sigurnost raunalnih mrea o Nepoznata osoba je ula u Vau zgradu u bijeloj laboratorijskoj jakni sa logo natpisom na njoj i sa torbom za alat. Nepoznati se na prijavnici predstavio kao mehaniar za kopirne aparate iz vodee lokalne kompanije. Rekao je da mora da obavi servisni pregled na Vaem kopirne aparatu. U najveem broju sluajeva osoblje prijavnice proputa takve ljude, uz dodatno objanjenje o lokaciji kopirnih aparata. Kada "mehaniar" zamakne iza ugla, osoblje prijavnice vie i ne obraa panju na njega. Vaa organizacija je upravo bila rtva socijalnog napada. Napada je probio prvu, a vjerojatno i drugu liniju obrambenog sistema. U veini firmi, ukljuujui i one koje se bave poslovima zatite, nakon takvog ulaza napada je osigurao pristup itavoj organizaciji i moe se slobodno kretati po zgradi. Takav napad ne zahtjeva nikakav poseban talent ili vjetinu - dovoljno je da napada lii na pravog mehaniara za kopirne aparate. o Naredni primjer je istinit; zabiljeen je u jednoj vladinoj ustanovi sa izuzetno jakim sigurnosnim sistemom. Pristup zgradi zahtjeva prolazak kroz nekoliko kontrolnih toaka, na kojima rade specijalno obueni ljudi. Jedan od zaposlenih je rijeio da se naali sa osobljem zaduenim za sigurnost: uzeo je stari bed koji su nosili zaposleni, isjekao svoju sliku sa njega i umjesto nje nalijepio sliku Miki Mausa. Sa takvim bedom je nesmetano ulazio u zgradu tijekom sljedea dva tjedna, prije nego to je otkriven. Sline socijalne napade je relativno lako izvesti u veini organizacija. Oni se mogu izvoditi ak i u onim organizacijama u kojima se primjenjuju biometrijski ureaji, magnetne kartice i slini elektroniki ureaji. Ulaz u prostorije zatiene elektronskim sistemima najee se izvodi jednostavnim praenjem neke osobe koja je upravo otvorila vrata (engl. tailgating vonja bez propisanog odstojanja). Veliki broj ljudi uope i ne razmilja o takvim pojavama one se jednostavno stalno deavaju. Procjena ireg okruenja Radno okruenje u kome se odvija poslovni proces ne obuhvata samo fizike objekte u kojima su smjeteni raunari i zaposleni. Kada je rije o zatiti, potrebno je razmotriti i ire okruenje, koje obuhvata elije beinog telefonskog sistema, fizike lokacije na kojima se nalazi raunarska oprema, sistem elektronikog oklapanja i sistem za gaenje poara. U narednim odjeljcima govoriti emo o navedenim oblastima. Beine elije Uvoenje beine tehnologije dovelo je do pojave brojnih novih reenja, ali i problema za profesionalce u oblasti zatite. Mogunost upotrebe malih ureaja poput mobilnih telefona, sa minimalnim zahtjevima u pogledu napajanja, uinila je tu tehnologiju veoma privlanom za one koji svoj posao obavljaju u pokretu. Proizvoai danas nude "pametne" telefone koji funkcioniraju i kao osobni digitalni pomonici (PDA). Postoje i adapteri za veinu PC-a preko kojih se oni mogu povezati sa celularnim telefonima. Sirom sveta svakodnevno se pojavljuju nova elijska postrojenja, ime se osigurava eksponencijalni porast povrine prekrivene mobilnom telefonijom. Mobilna telefonija je zasnovana na malim predajnicima sa niskom potronjom energije, koji su strateki rasporeeni tako da pokrivaju odreenu teritoriju. Svakom operatoru mobilne telefonije dodjeljuje se oko 800 razliitih frekvencija za odreenu teritoriju. Frekvencije se dalje dijele tako da svaka elija dobiva oko 56 kanala. Svaka pojedinana elija je podrana raunarskom tehnikom koja joj daje odreenu "inteligenciju", dok se promet izmeu elija odvija automatski. Mobilna telefonija u Americi radi u opsegu od 824 do 894 MHz. FCC (Federal Communications Commission) zahtjeva da policijski skeneri izbjegavaju taj opseg u Americi; veina drugih zemalja ne ograniava primjenu navedenog opsega u komunikacionoj opremi.

Strana 121

Sigurnost raunalnih mrea

Slika 6.6 eliski sistem mobilne telefonije u gradskoj sredini Fizika lokacija raunarskih sistema Fizika lokacija raunarskih sistema predstavlja kljuan element u itavom sistemu zatite. Raunari moraju biti smjeteni u prostorije koje je mogue fiziki zatititi. Pored toga, te lokacije moraju zadovoljiti odreene uvjete u pogledu odravanja potrebne temperature, vlanosti i drugih klimatskih uvjeta neophodnih za ispravan rad raunarskih sistema. U narednim odjeljcima emo govoriti o klimatskim uvjetima i sistemu napajanja. Klimatski uvjeti Veliki broj raunarskih sistema zahtjeva kontrolu temperature i vlanosti radi ispravnog rada. Veliki serveri, komunikaciona oprema i sistemi diskova generiraju veliku toplotu; to se naroito odnosi na mainframe i na starije mini raunare. Osiguranje potrebnih klimatskih uvjeta za takve ureaje izaziva znaajne trokove koji su dodatak na cijenu samih raunarskih sistema. Sreom, suvremeni sistemi dobro rade u veim temperaturnim opsezima. Veina takvih sistema je dizajnirana da moe raditi i u obinim uredima. Ukoliko Vai raunarski sistemi zahtijevaju specijalne klimatske uvjete, morate osigurati stalnu kontrolu temperature i vlanosti zraka. Raunarski sistemi su u idealnom sluaju locirani u sredini zgrade, u prostorijama sa zasebnom ventilacijom. Suvremene zgrade sve vie koriste sisteme za klimatizaciju koji su podijeljeni na zone, tako da se klimatizacija odreenih prostorija moe iskljuiti kada se one ne koriste. U prostorijama sa raunarima, meutim, obino je neophodna neprekidna klimatizacija. Sistemi napajanja Raunarski sistemi su osjetljivi na probleme napajanja i na razne vrste smetnji. Raunari zahtijevaju neprekidan izmjenini napon, od koga e kreirati pouzdan jednosmjerni napon za svoje elektronike komponente. Sistemi napajanja su dizajnirani da mogu raditi u relativno irokom opsegu parametara izmjeninog napona; osiguranjem neprekidnog napajanja osigurava se i neprekidan rad raunara. Ureaji za zatitu od naponskih vrhova (engl. surge protector) Ureaji za zatitu od naponskih vrhova tite elektrine komponente od kratkih ili trenutnih poveanja (vrhova - engl. spikes) na naponskom vodu. Veina takvih ureaja kratko spaja naponski vrh na masu pomou male komponente koja se naziva Metal Oxide Varistor (MOV). Vei ureaji ovog tipa postavljaju se u sistemu napajanja itave zgrade ili na glavnom naponskom ulazu za kompletnu zgradu. Prenosni ureaji za zatitu od vrhova mogu se nabaviti kao dodatak uz kabl za napajanje, odnosno uz produni kabl. Ukoliko se posle prvog naponskog vrha pojavi i drugi, moe se desiti da ga zatitni ureaj ne sprovede na masu, odnosno da ga propusti u raunarski sistem.

Strana 122

Sigurnost raunalnih mrea Zatitni ureaji ovog tipa su pasivne prirode, tako da ne obavljaju nikakvu funkciju sve do pojave naponskog vrha. Kondicioneri napajanja Kondicioneri napajanja (engl. power conditioners) predstavljaju aktivne ureaje koji praktino odvajaju sistem napajanja u jednoj zgradi i vre regulaciju napona u okviru tako izoliranog sistema. Kondicioner kontrolira napon u okviru zgrade i isti ga od nepotrebnih primjesa. Kondicioneri obino sadre filtre, priguivae naponskih vrhova i privremene regulatore napona. Ovi ureaji aktiviraju, po potrebi, i rezervne sisteme napajanja. Kondicioner napajanja moe biti ugraen u kompletnu shemu napajanja jedne zgrade, mada se esto mogu sresti i kondicioneri koji su nadleni iskljuivo za napajanje samo prostorije u kojoj su smjeteni raunari. Rezervno napajanje Rezervno napajanje (engl. backup power) se u principu koristi kada je potrebno osigurati neprekidno napajanje elektrinom energijom ak i u uvjetima gubitka gradske mree. Sistemi rezervnog napajanja su obino dizajnirani tako da osiguraju napajanje u kraem vremenskom periodu, kao to je sluaj sa rezervnim baterijskim napajanjem, ili u duem vremenskom periodu, kao u sluaju UPS (Uninterruptible Power Supplv, sistem neprekidnog napajanja) sistema. UPS sistemi obino koriste akumulatore radi obezbeenja napajanja u kraem periodu. Rezervno napajanje na due staze moe se osigurati agregatima, koji obino posjeduju senzore nestanka napona u gradskoj mrei. U sluaju detekcije nestanka mrenog napona, takvi agregati automatski startaju i otpoinju isporuku napona, sve dok ne budu zaustavljeni. Samo ukljuenje agregata zahtjeva odreeno (krae) vrijeme, tijekom kojeg se napon osigurava iz akumulatora. Veina agregata se ne iskljuuje automatski pri ponovnom dolasku mrenog napona - iskljuivanje se mora obaviti runo. Takav pristup je neophodan zato to moe doi do nekoliko naknadnih nestanaka napona prije nego to se uspostavi stabilno napajanje iz mree. Elektroniko oklapanje Elektroniko oklapanje (shielding) oznaava proces kojim se spreava prikupljanje obavjetajnih podataka na osnovu elektronikog zraenja iz raunarskih sistema, uz istovremenu zatitu raunara od vanjskih elektronskih zraenja. Elektroniko oklapanje se u fiksnim postrojenjima, kao to su raunarski centri, moe postii pomou tzv. Faradejevih kaveza. Faradejev kavez se obino sastoji od mree elektrinih provodnika ili nekog drugog provodnog materijala, koja formira kavez oko zatiene prostorije. Mrea provodnika se obavezno uzemljuje. Zahvaljujui takvom kavezu, iz prostorije moe izai, odnosno u nju moe ui samo minimalna elektromagnetna energija, ime se znatno umanjuje i mogunost praenja rada raunara. Efikasnost kaveza se provjerava mjerenjem radio emisije koja naputa prostoriju pomou specijalne opreme. Elektromagnetne i radio smetnje

Slika 6.7 Elektromagnetne smetnje u kablu za prijenos podataka Elektromagnetne smetnje (electromagnetic interference - EMI) i radio smetnje (radio frequency interference - RFI) predstavljaju dva dodatna elementa koja se moraju razmotriti kada se govori o radnom okruenju. Elektrini motori i slini elektromehaniki ureaji izazivaju elektromagnetne smetnje koje mogu preopteretiti elektronika kola, izazvati Strana 123

Sigurnost raunalnih mrea naponske vrhove ili dovesti do kvara na elektrinim komponentama. Pravilnim oklapanjem i uzemljenjem svih signalnih vodova moe se umanjiti utjecaj elektromagnetnih smetnji. Ureaje koji generiraju EMI treba postavljati to dalje od kablova, zato to energija smetnji opada brzo sa poveanjem rastojanja. Kabl za prijenos podataka u tom primjeru je postavljen pored motora i u njemu se generiraju elektromagnetne smetnje. Smetnje utiu na signal koji se prenosi, pa ak mogu i u potpunosti naruiti prijenos podataka. Gaenje poara Sistem za gaenje poara predstavlja kljunu komponentu u dizajnu raunarskog centra. Za razliku od preventivnih mjera za spreavanje poara, sistem za gaenje zaista vodi borbu sa samim poarom. Postoje dva osnovna naina za gaenje poara: pomou aparata za gaenje i koritenjem fiksnih sistema za gaenje. Aparati za gaenje poara Aparati za gaenje poara predstavljaju prijenosne ureaje. Izbor tih aparata i njihova upotreba su kljuni u gaenju. Klasifikacija je izvrena prema etiri osnovne vrste poara za koje su aparati namijenjeni: A, B, C i D. Postoje i takvi vatrogasni aparati koji su namijenjeni za gaenje vie razliitih vrsta poara. Najee su kombinacije A-B, B-C i ABC. Upotreba vatrogasnih aparata obino prati tzv. PASS metodu: Puli, Aim, Squezze i Sweep (izvuci, naciljaj, stisni i prebrii). Njihova funkcija se obino zavrava nakon nekoliko sekundi - ukoliko ga upotrijebite, nemojte ga usmjeriti samo na jednu toku. Veina aparata za gaenje poara ima ogranien domet (jedan do tri metra).

Slika 6.8 Smanjenje RF osjetljivosti usljed smetnji od mobilnog telefona Fiksni sistemi za gaenje poara Fiksni sistemi za gaenje poara su obino deo kompletne instalacije neke zgrade. Oni najee sadre detektore poara i ureaje za gaenje, pri emu detektori obino reagiraju na brze promjene temperature ili na prisustvo dima. Ureaji za gaenje koriste vodene prskalice ili gas za neutraliziranje vatre. Vodeni sistemi koriste prskalice postavljene na plafonu, poput onih koje su prikazane na slici 6.9. Takvi sistemi se danas najee sreu u suvremenim zgradama. Vodeni sistemi su relativno jeftini i pouzdani, sa malim zahtjevima u pogledu odravanja.

to su planovi za hitne sluajeve?

Planovi za hitne sluajeve (engl. Business Continuitv Planning - BCP) definiraju pravila i procedure koje je potrebno poduzeti u sluaju gubitka, prekida ili naruavanja kljunih poslovnih procesa, zajedno sa mjerama za kontrolu tih planova. BCP je prvenstveno alatka organa upravljanja koja osigurava neprekidnost kljunih poslovnih procesa (engl. critical business functions - CBF) u sluaju naruavanja normalnog poslovnog procesa.

Strana 124

Sigurnost raunalnih mrea

Slika 6.9 Sistem za vodeno gaenje poara Procjena kljunih sistema u organizaciji Procjena kljunih sistema (engl. Business Impact Analysis - BIA) oznaava proces analize osnovnih sistema u nekoj organizaciji radi utvrivanja posljedica koje bi prekid funkcioniranja tih sistema izazvao. Analizom se moraju definirati i planovi djelovanja u sluaju prekida funkcioniranja kljunih sistema. BIA ne tretira vanjske prijetnje i "ranjiva" mjesta; analiza je usmjerena na posljedice prekida funkcioniranja kljunih sistema poslovanja. Izrada planova za hitne sluajeve obuhvata sljedee korake: Identifikacija kritinih funkcija Da bi definirala kritine funkcije, organizacija mora odgovoriti na pitanje koje funkcije su neophodne za nastavak rada do potpunog uspostavljanja kompletnog poslovnog procesa. Identifikacijom kljunih funkcija jasno se utvruju i sistemi koji se moraju aktivirati da bi mogao da bude nastavljen i sam poslovni proces. U procesu identifikacije esto ete otkriti da neka mala ili zanemarena aplikacija u jednom od odjeljenja ima presudan znaaj za kontinuitet itavog poslovnog procesa. Veliki broj organizacija jednostavno zanemaruje prividno nevane procese ili sisteme tijekom analize, zbog ega i planovi za hitne sluajeve postaju potpuno neefikasni. Analiza mora obuhvatiti sve organizacione cjeline u firmi, ime se spreavaju bilo kakvi previdi. Odreivanje prioriteta kljunih poslovnih funkcija Da bi bio nastavljen poslovni proces nakon nekog incidenta, mora se odrediti prioritet poslovnih funkcija, odnosno izvriti njihova podjela na sutinske i nebitne. Resursi koji se koriste u procesu oporavka nakon incidenta mogu biti ogranieni po kapacitetu. Pored toga, moe se desiti da cjelokupan poslovni proces bude blokiran u odreenom periodu u sluaju krupnijeg incidenta. Sto e se, na primjer, desiti ukoliko otkazu veze za prijenos podataka? Vjerojatno postoji mogunost uspostavljanja rezervnih kanala, mada u tim uvjetima nije mogue postii punu funkcionalnost mree. Administrator mora znati koje aplikacije i sistemi imaju prioritet u uvjetima ogranienih resursa. Vaa kompanija, na primjer, moe dati prioritet ponovnom uspostavljanju sistema elektronske pote u odnosu na obnavljanje web sajta. Prorauni vremena u uvjetima gubitka kljunih sistema Koliko dugo organizacija moe izdrati bez kljunih funkcija? Pojedine funkcije ne zahtijevaju hitnu reakciju, dok druge trae hitan odgovor. Koje funkcije se mogu ponovo uspostaviti i u kom vremenskom intervalu? Koliko dugo se moe tolerirati kvar na web stranici ukoliko je Va poslovni proces zasnovan na e-trgovini i u potpunosti zavisan od Weba? Organizacija mora procijeniti i utvrditi maksimalno prihvatljivo vrijeme neoperativnosti neke poslovne funkcije. Da bi bili umanjeni gubici uslijed prekoraenja tog vremena, neophodno je definirati planove za hitne situacije. Procjena oiglednih i neuoljivih efekata koje incidenti mogu imati na organizaciju Organizacija e svakako imati gubitke u sluaju prekida poslovnog procesa. Ti gubici mogu biti oigledni, poput smanjenja proizvodnje ili prodaje. Pored oiglednih, moraju se razmotriti i gubici koji se tee uoavaju. Da li e, na primjer, potroai izgubiti povjerenje u Vau

Strana 125

Sigurnost raunalnih mrea organizaciju? Procjena takvih efekata moe u znatnoj mjeri poboljati kvalitetu procjene ukupnih gubitaka u sluaju naruavanja poslovnog procesa. Detaljan plan za hitne sluajeve (BIA) viestruko utie na itavu organizaciju. Prvo, organizacija e moi da sagleda puni utkaj koji bi prekid procesa imao na poslovanje, zajedno sa visinom pratee tete. Drugo, kao i kod osiguranja, poznavanje stvarnih potencijalnih gubitaka moe pomoi u borbi za budet. Tree i, vjerojatno, najvanije, u planu su dokumentirani svi poslovni procesi koji se koriste, njihov utkaj na rad cjelokupne organizacije i naini za njihovo ponovno uspostavljanje u sluaju prekida. Planovi za hitne sluajeve dobivaju na vanosti u okviru itave organizacije tek nakon utvrivanja tete koja je nastala uslijed prekida procesa. Ljudi pribjegavaju osiguranju ne zato to namjeravaju da dozive incident, ve zato to je bolje imati osiguranje ukoliko do incidenta doe. BIA moe pomoi u odreivanju nivoa osiguranja koji je neophodan da bi se organizacija osjeala sigurno. Procjena rizika Procjena rizika (analiza rizika; engl. risk assessment) prvenstveno je okrenuta prijetnjama, "ranjivim" mjestima i posljedicama eventualnog naruavanja rada sistema za obradu podataka, odnosno gubitka podataka. Svaki utvreni rizik mora biti definiran, opisan i procijenjen sa stanovita vjerojatnost da e nastupiti. Procjena rizika obuhvata sljedee aktivnosti: Definiranje moguih rizika U ovom koraku se utvruju scenariji koji mogu pomoi pri definiranju naina reagiranja na odreeni rizik, ukoliko do njega doe. Odreeni operativni sistem, server ili aplikacija mogu biti izloeni poznatim rizicima u konkretnom okruenju. Kako e se Vaa organizacija osigurati od tih rizika i koji je najbolji odgovor na njih? Utvrivanje rizika koji zasluuju posebnu panju Mogue je procjenom utvrditi one rizike ija je vjerojatnost nastupanja visoka, kao i one sa malom vjerojatnosti nastanka. Zahvaljujui tome, organizacija moe usmjeriti svoje resurse na eliminiranje onih rizika ija je vjerojatnost visoka. Industrijska pijunaa i kraa su, na primjer, realne opasnosti, dok je vjerojatnost pojave bijesnog psa koji e pojesti kompletan platni spisak veoma mala. Zbog toga, postojee resurse treba usmjeriti na spreavanje pijunae, umjesto na drugi sluaj. Koordinacija sa planovima za hitne sluajeve Procjena rizika, zajedno sa planovima za hitne sluajeve, osigurava organizaciji jasnu sliku svih situacija sa kojima se moe susresti. Na osnovu toga, organizacija moe donijeti ispravne odluke o nainu reagiranja u razliitim situacijama.

Definiranje politike, standarda i uputa

Implementacija i odravanje zatiene mree moraju zapoeti definiranjem politike, standarda i odgovarajuih uputa. Time cjelokupni napori dodijaju eljeni smisao, regularnost i snagu koja im garantira efikasnost. Politika i upute uspostavljaju standard u pogledu oekivanja u okviru organizacije. Razvoj politike moe angairati sve zaposlene u nekoj firmi, ime se osigurava izgradnja uspjenog sistema zatite. Kada je rije o politici, ona se moe usporediti sa irokim prikazom nekog problema. Standardi ukazuju ljudima to se od njih oekuje, dok upute daju konkretne savjete kako se neki zadatak ili aktivnost mogu izvravati. U narednim odjeljcima govoriti emo o politici, standardima i uputama, koje morate definirati da biste izgradili uspjean sistem zatite. Definiranje politike Politika definira ponaanje koje se oekuje od zaposlenih u nekoj organizaciji. Dobro definisana politika je jasna i koncizna, sa precizno utvrenim mjerama koje se poduzimaju u sluaju njenog nepotovanja. Pored toga, sadri jo nekoliko kljunih detalja: Odreivanje predmeta Dobro definirana politika jasno utvruje predmet na koji se ona odnosi, kao i dokumenta, propise i praksu. Tako definiran predmet predstavlja osnovu pomou koje

Strana 126

Sigurnost raunalnih mrea zaposleni jasno mogu vidjeti na to se politika odnosi, odnosno u kakvom odnosu su oni prema njoj. Cilj Dobro definirana politika mora imati jasno preciziran cilj, znaaj i nain provoenja. Jedan pasus je sasvim dovoljan za jasno izraavanje smisla politike. Sadraj Kada je znaaj politike jasno saopen itaocima, mora se izraziti i njen konkretan sadraj. Sadraj mora biti nedvosmislen i to jasnije izraen. On se moe definirati u obliku obinih pasusa, nabrajanjem ili koritenjem kontrolne liste. Forma dokumenta koji definira politiku zavisi od ciljne publike i od prirode same politike. Ukoliko se politikom definira kako e zaposleni zakljuati ulazna vrata na kraju radnog vremena, najpovoljnije je da se ona izrazi koritenjem kontrolne liste koraka koji se moraju poduzeti. Preciziranje nadlenosti Politikom se mora definirati tko je nadlean za njeno provoenje. Na osnovu ove odredbe italac e znati kome da se obrati u sluaju pojave nekog problema. Pored toga, u dokumentu se moraju precizirati i mjere koje e biti poduzete protiv onih osoba koje se ne pridravaju propisane politike. Odredba o izuzecima ak i najbolje definiranom politikom ne mogu da se predvide sve mogunosti. U odredbi o izuzecima date su upute o proceduri ili procesu koji se moraju ispotovati u sluaju da se ustanovi odstupanje od propisane politike. U ovom djelu se moe precizirati i osoba kojoj se treba obratiti u sluaju incidenta da bi osoba koja rjeava incident znala koga e izvijestiti o svojim aktivnostima. Definiranje politike esto zahtjeva dosta vremena. Takav pristup, meutim, ima i svojih prednosti, zato to se odreene odluke mogu donijeti unaprijed i poslati do svih zainteresiranih. Na taj nain se spreava ponovno angairanje na definiranju pravila ponaanja. Formalno definirana politika tedi vrijeme i uspostavlja strukturu - umjesto da zaposleni pogaaju to treba uraditi u odreenoj situaciji, odgovor mogu nad u dobro definiranoj politici. Definiranje standarda Standardi su "povezani" sa konkretnim problemima i aspektima poslovnog procesa. Definiraju se na osnovu ranije definirane politike. Definicija standarda mora biti dovoljno detaljna da bi bila osigurana mogunost procjene njegovog zadovoljenja. Kao i propisi, i standardi posjeduju neke zajednike strukturne komponente. Sljedeih pet elemenata sainjavaju osnovu dokumenata koji definiraju standarde: Predmet i namjena Svaki standard mora precizno da ima svoj cilj. Ukoliko je standard povezan sa nekom tehnikom implementacijom, kroz predmet moraju biti precizirani kompletan softver, paketi za auriranje, dodaci (add-ins) i sve ostale informacije koje mogu pomoi osobi zaduenoj za implementaciju. Uloge i odgovornosti U ovom odjeljku se definira osoba odgovorna za implementaciju, nadzor i odravanje standarda. Kada je rije o konfiguraciji sistema, u njemu se odreuju poslovi koji su u nadlenosti korisnika i oni koji su u nadlenosti osobe odgovorne za instalaciju. To ne znai da jedna ili druga osoba ne mogu obaviti i poslove koji su izvan njihove kljune nadlenosti; time se samo odreuje koja osoba je odgovorna za koji zadatak u sluaju da doe do bilo kakve zbrke. Referentna dokumenta U ovom odjeljku se objanjava odnos izmeu standarda i razliitih politika u okviru organizacije, ime se osigurava njihova meusobna veza. Time se zaposleni upuuju na izvorni dokument u kome mogu nai reenje za bilo kakav sluaj konfuzije ili nepreciznosti. Tijekom svoje karijere naii ete na brojne standarde koji nemaju smisla. U takvim sluajevima morate se vratiti na dokument u kome je definirana politika da biste utvrdili razloge za propisivanje takvog standarda. Time se stvaraju uvjeti za njegovo potpuno zadovoljenje ili za informiranje osoba zaduenih za standard o promjeni ili problemu.

Strana 127

Sigurnost raunalnih mrea Kriteriji performansi U ovom djelu dokumenta definira se to treba uraditi, odnosno kako treba izvriti neki zadatak. U njemu se mora nalaziti plan (baseline) za realizaciju zadatka, zajedno sa tehnolokim standardima. Plan predstavlja minimalni dio standarda, odnosno samo njegovu polaznu osnovu. Tehnoloki standardi daju podatke o upotrijebljenim platformama i primijenjenim tehnologijama. U planovima su detaljno objanjeni zahtjevi visokog nivoa u vezi standarda ili tehnologije. Odravanje i administrativni zahtjevi Ovim standardima se definiraju poslovi tijekom upravljanja ili administracije nad sistemima i mreama. Ukoliko je rije o fizikim mjerama osigurana, standard e definirati uestalost izmjene brave ili ifre na ulaznim vratima. Kao to moete vidjeti, dokument kojim se definiraju standardi osigurava mehanizam pomou koga se moe procijeniti stupanj pridravanja i postojeih i buduih standarda. Takva procjena se naziva i revizija (engl. audit). Pred organizacijama se sve ee pojavljuju zahtjevi za reviziju postojeih standarda i politike. Definiranje uputa Upute (engl. guidelines) se razlikuju od politike i standarda. Ona pomau u implementaciji i odravanju standarda, time to se u njima jasno definira kako se ostvaruju ciljevi definirani politikom i kako se odravaju sami standardi. Upute su manje formalna u odnosu na politiku i standarde, zato to se u njima objanjava nain za provoenje politike i standarda. Uputom se, primjera radi, moe definirati nain instalacije servisnog paketa, zajedno sa koracima koji se moraju poduzeti prije same instalacije. Sljedea etiri elementa predstavljaju minimalni sadraj dobro napisane upute: Predmet i namjena Ovaj element daje opi pregled i namjenu same upute. Uloge i odgovornosti Ovaj dio definira osobe ili odjeljenja nadlene za realizaciju konkretne zadae. Odgovornost se moe definirati za implementaciju, podrku i administraciju odreenog sistema ili servisa. Osobe angairane u odreenom procesu u veim organizacijama mogu imati razliite nivoe obuenosti i strunosti. Sa stanovita sistema zatite, angairanje neobuenog servisera za realizaciju nekog zadatka bez odgovarajuih uputa moe imati katastrofalne posljedice. Osnovni sadraj upute Osnovni sadraj upute ine instrukcije tipa korak-po-korak pomou kojih je objanjen nain izvravanja konkretne zadae. Naglaavamo da je rije samo o uputama - to ne moraju biti stroga pravila. Operativna pitanja Operativna pitanja u uputama definiraju neophodne poslove koji se moraju izvoditi u odreenim vremenskim intervalima. To mogu biti poslovi koji se izvode dnevno, sedmino ili mjeseno. Upute kojima je precizirana izrada rezervne kopije raunarskog sistema (backup) moe sadrati smjernice koje datoteke i direktorije treba kopirati i u kom vremenskom intervalu. Upute doprinose boljem radu organizacije na nekoliko naina. Prvo, ak i struno osoblje moe zaboraviti kako se neka zadaa realizira ukoliko ga ne izvodi redovito. U tom sluaju, uputa moe "osvjeiti" njihovu memoriju. Drugo, pisana uputa moe znatno ubrzati proces obuke novih osoba. Tree, upute mogu sprijeiti blokade u sluajevima kriza ili visokostresnih situacija.

Standardi u oblasti zatite i ISO 17799

Veliki broj kompanija uvodi standarde u oblasti zatite u svoje organizacione cjeline. Ukoliko je Vaa organizacija u svom poslovanju povezana sa vladinim institucijama, takvi standardi su vjerojatno ve uvedeni. Posljedice u sluaju naruavanja propisanih pravilnika mogu biti kobne. Potreba za standardima u oblasti zatite je sve izraenija irom sveta. ISO 17799 je jedan od standarda koji zadobiva sve iru primjenu. U ovom odjeljku emo ga ukratko opisati. Meunarodna organizacija za standarde (International Organization for Standardization - ISO) objavila je standard pod oznakom ISO 17799, koji se naziva Code of Practices for Strana 128

Sigurnost raunalnih mrea Information Management (praktian rad u upravljanju informacijama) i kojim se definiraju osnovne mjere za osiguranje IT sredine. Najnovija verzija ovog standarda objavljena je u kolovozu 2000. godine. Navedeni standard definira 10 kljunih oblasti. Da bi stekla odgovarajui certifikat, svaka organizacija mora uspjeno zadovoljiti svih 10 kriterija. Kontrolu provoenja predvienih mjera vri specijalna revizijska komisija; sama kontrola je prilino detaljna, tako da zahtjeva odreenu pripremu. Standard definira sljedee oblasti: Pravilnik o sistemu zatite Pravilnik podrazumijeva da je izvrena procjena oekivanja u pogledu zatite, ali istovremeno pokazuje opredijeljenost organa upravljanja i njihovu podrku u izgradnji sistema zatite. Organizacija zatite Organizacija podrazumijeva postojanje strukture koja je odgovorna za cjelokupni sistem zatite. Struktura mora definirati koordinatore u pogledu zatite, odgovarajue delegiranje obaveza sistema upravljanja i procese reakcije na eventualne incidente. Klasifikacija resursa i kontrola Ova oblast je povezana sa procjenom i inventurom kompletne informacijske infrastrukture i ostalih resursa neke organizacije da bi se moglo utvrditi da li se nad odreenim resursima primjenjuju odgovarajue mjere zatite. Personalna politika U ovoj oblasti se analiziraju aspekti ljudskih resursa u okviru poslovnog procesa. Njom se jasno definiraju oekivanja, proces analize ljudskog potencijala i potpisivanje ugovora o zatiti poslovnih podataka. Definiraju se i nain izvjetavanja o eventualnim incidentima odreuju osoba koje su odgovorne za rjeavanje incidentnih situacija. Fizike mjere zatite i mjere u oblasti radnog okruenja Predmet ove oblasti su pravilnici i metodi za zatitu IT infrastrukture, fizikih postrojenja i zaposlenih. U njoj se, izmeu ostalog, definiraju rezervno napajanje, redovno odravanje i mjere zatite pri radu u terenskim uvjetima. Komunikacije i operativni rad Ova oblast definira preventivne mjere (kao to su zatita od virusa, kontrola sistemskih log datoteka, zatita veza sa udaljenim korisnicima) i procedure reagiranja na incidente. Kontrola pristupa Ova oblast utvruje mehanizme za zatitu organizacije od internih i eksternih uljeza. U njoj se definiraju nain rada sa zaporkama, sistem identifikacije korisnika i upis podataka o dogaajima u log datoteke. Razvoj sistema i odravanje Ova oblast definira mjere koje se poduzimaju na polju razvoja sistema i mjere u vezi sa odravanjem softvera, ukljuujui i postavljanje mrea i njihovo proirenje. Planovi za hitne situacije (Business Continuity Management - BCM) Ova oblast definira planove koje organizacija izrauje za rad u uslovima prirodnih ili ljudski izazvanih katastrofa. Teite je na mjerama za ponovno uspostavljanje poslovnog procesa u sluaju eventualnog prekida. Pridravanje postojeih pravila Ova oblast definira pravilnike i zakonske odredbe kojih se organizacija pridrava. Pored toga, u njoj se definira i stupanj suglasnosti sa internim pravilnicima o zatiti podataka. Kada je ISO 17799 uveden, 1995. godine, nije privukao ozbiljniju panju. Veliki broj organizacija je smatrao da on nije dovoljno detaljan, odnosno da se ne moe svrstati u ozbiljne standarde. Kritikama je ukazivano da je standard vie usmjeren ka savjetodavnoj funkciji, nego ka stjecanju odgovarajueg certifikata. Ovaj problem je u znatnoj mjeri otklonjen u kasnijim revizijama standarda. Verzija iz kolovoza 2000. godine je dobro prihvaena irom sveta. ak i ako neka organizacija ne eli da pribavi certifikat o potovanju ovog standarda, on moe biti dobra polazna osnova za izradu internih dokumenata, odnosno za "samoakreditaciju".

Strana 129

Sigurnost raunalnih mrea

Odreivanje stupnja tajnosti podataka

Odreivanje stupnja tajnosti podataka (engl. information classification) predstavlja kljuni aspekt zatite kompletne mree. U njega su istovremeno ukljueni i tehniki i ljudski faktor. Upotrijebljena tehnologija mora biti takva da podrava zahtjeve organizacije u pogledu zatite podataka, a spreavanje neovlatenog pristupa podacima zahtjeva postojanje adekvatnog kadra i odgovarajuih procedura. Ako pogledate sve podatke koji se koriste u Vaoj organizaciji, vjerojatno ete zakljuiti da se mogu podijeliti u tri osnovne grupe: javni, interni i povjerljivi. Vidi se da je oko 80 posto podataka u nekoj organizaciji namijenjeno internoj ili privatnoj upotrebi. Pored ostalih, u tu grupu se mogu svrstati memorandumi, radna dokumenta, financijski podaci i slogovi u bazama podataka.

Slika 6.10 Kategorije podataka Podaci javnog karaktera Javni karakter imaju prvenstveno oni podaci koji su dostupni iroj publici ili veem broju pojedinaca kojima su potrebni. Financijska izvijea neke privatne organizacije moe biti javnog karaktera, ali samo za one pojedince ili organizacije koje imaju potrebu za takvim podacima. Svaka organizacija mora razraditi pravila koji podaci mogu biti dostupni i za koje svrhe e biti objavljivani. Poeljno je da lanovi organizacije znaju tko je zaduen za donoenje takvih odluka. Postoje i takve organizacije koje za odreenu nadoknadu pribavljaju podatke o konkurentskim tvrtkama; one obino za to koriste socijalne napade. Dobro razraen pravilnik smanjuje opasnost od incidenata u vezi osjetljivih podataka. Ograniena distribucija Podaci sa ogranienom distribucijom nisu namijenjeni za objavljivanje u iroj javnosti. Ova kategorija podataka nije tajnog karaktera, ve samo privatnog. Ukoliko neka kompanija pokuava da dobije kredit, podaci koje ona daje banci imaju privatni karakter. Ukoliko ti. njeni podaci dospiju u ruke konkurenata, mogu se otkriti njeni planovi i njena financijska stabilnost. Takvi podaci mogu, ukoliko dospiju do potroaa, izazvati njihov strah i orijentaciju ka konkurentskoj firmi. Puna distribucija Marketinki materijal je primjer podataka koji se mogu objavljivati bez ikakvih ogranienja (puna distribucija). I godinji izvjetaji akcionara i drugi podaci namijenjeni najiroj javnosti predstavljaju primjer materijala koji se moe distribuirati bez ogranienja. Nadlenost u odluivanju predstavlja osnovni faktor koji treba utvrditi u vezi materijala sa punom distribucijom. Tko je nadlean za donoenje odluke o punoj distribuciji nekog materijala? Vee organizacije posjeduju zasebna korporativna odjeljenja koja su zaduena za takve vrste odluka. Ukoliko niste sigurni da li se neki materijal moe nesmetano distribuirati, Strana 130

Sigurnost raunalnih mrea raspitajte se u firmi. Nemojte poi od pretpostavke da znate odgovor: zbog toga i postoje zasebna pravila o odreivanju stupnja tajnosti podataka. Privatni podaci Privatni podaci su namijenjeni iskljuivo za internu upotrebu u okviru organizacije. Takvi podaci mogu nanijeti potencijalnu tetu kompaniji, odati njene poslovne tajne ili izazvati odreene probleme zaposlenima. Privatni podaci se esto nazivaju i radni dokumenti ili radni proizvodi. Njihovo objavljivanje se mora sprijeiti, zato to nepravilno objavljivanje moe dovesti do sudskih parnica. U narednim odjeljcima emo govoriti o razlici izmeu internih i povjerljivih podataka, interni podaci U grupu internih podataka spadaju podaci o zaposlenima, financijski dokumenti, poslovne knjige, liste potroaa i svi drugi podaci koji su neophodni za uspjeno poslovanje. Takvi podaci posjeduju veliku vrijednost i moraju se zatititi. Povjerljivi podaci Povjerljivi podaci (engl. restricted information) mogu nanijeti ozbiljne tete organizaciji ukoliko dospiju u ruke neovlatenih osoba. U takve podatke spadaju informacije o vlasnikim odnosima, poslovne tajne, strateki podaci i marketinki planovi. Ovi podaci se nikada ne smiju javno objavljivati treim osobama, osim ako to izuzetno dozvole najvii organi upravljanja. U veini sluajeva povjerljivi podaci se rasporeuju na osnovu potrebe (engl. need-to-know basis) - ukoliko Vam takvi podaci nisu neophodni za rad, neete ni imati pristup do njih. Uloge u sistemu zatite Efikasno upravljanje sistemom zatite zahtjeva jasno definiranje uloga i obaveza za sve osobe koje su ukljuene u taj proces. U sklopu priprema za sricanje Security+ sertifikata nauiete kako se rasporeuje dio tih uloga: Vlasnik (engl. owner) Vlasnik podataka je prvenstveno odgovoran za njihovu zatitu i upotrebu. U najveem broju sluajeva to je neko od viih organa upravljanja ili druga osoba zaduena za donoenje odluka u okviru organizacije. Vlasnik mora osigurati da svi korisnici potuju odgovarajue i vaee zakone i propise. Obino delegira dio obaveza ili sve svoje obaveze u vezi podataka na druge osobe u organizaciji. uvar (engl. custodian) podataka uvar podataka je zaduen za njihovo odravanje i zatitu. Kada je rije o raunarima, tu ulogu obino dobiva IT odjeljenje. Mreni administratori, operatori za kreiranje rezervnih kopija i sline osobe obavljaju uvarsku funkciju nad podacima. Pomou pravilnika u sistemu zatite, standarda i uputa moraju se jasno definirati odgovornosti u pogledu uvanja podataka, zajedno sa mehanizmima za obavljanje te funkcije. Korisnik (user) Korisnik je osoba koja upotrebljava podatke. On obino obavlja funkcije unosa podataka, njihovog izlaza i editiranja, kao i druge funkcije koje su dodijeljene toj ulozi. Postoje jo dvije dodatne uloge koje zasluuju posebnu panju, poto se moete nai u jednoj od njih. Profesionalac u oblasti zatite Profesionalac u oblasti zatite je zaduen za jedan ili vie aspekata itavog procesa zatite podataka. On se moe javiti u ulozi istranog organa, kao osoba koja implementira ili testira neki sistem ili kao osoba zaduena za razradu pravilnika. Istrani organi se angairaju ukoliko doe do naruavanja propisanog sistema sigurnosti. Ukoliko je rije o testiranju, profesionalac moe dobiti zadatak da ispita sistem zatite radi otkrivanja eventualnih slabosti. Ueem u razradi pravilnika profesionalac iz oblasti zatite pomae organima upravljanja u razvoju i implementaciji sigurnosnih propisa u okviru organizacije.

Strana 131

Sigurnost raunalnih mrea Revizor (auditor) Revizori su zadueni za kontrolu provoenja propisanih procedura, pravila, mehanizama i uputa u okviru organizacije. Takav posao obino zahtjeva pregled dokumentacije i log datoteka i obavljanje razgovora sa zaposlenima, uz brojne druge zadatke radi provjere potovanja propisa u okviru organizacije. Revizor nije policijski inspektor, ve samo konsultant. On pomae organizaciji u otkrivanju propusta u sistemu zatite. Svaka od navedenih uloga predstavlja poseban izazov i dovodi Vas u vezu sa podacima i procesima o kojima veina zaposlenih nema nikakvu predstavu. Veoma je bitno da takve uloge shvatite maksimalno ozbiljno; ne smijete otkrivati tajne neovlatenim osobama, do kojih doete tijekom obavljanja slinih poslova. Za Vas vae standardi koji su iznad zahtjeva koji vae za ostale zaposlene. Kontrola pristupa podacima Kontrola pristupa (engl. access control) definira tehnike kojima se osigurava da korisnici mree mogu pristupiti samo onim podacima za koje su ovlateni. Kontrola pristupa mora biti jasno definirana u pravilnicima i standardima u okviru organizacije. Postoji nekoliko naina da se to postigne. U ovom odjeljku emo ukratko objasniti sljedee modele: o o o o o Bell La-Padula Biba Clark-Wilson model toka podataka model koji spreava mijeanje

Beli La-Padula model Model Bell La-Padula je razvijen za vojsku radi reguliranja skladitenja i zatite povjerljivih podataka. Spreavanje neovlatenog pristupa povjerljivim podacima je bio osnovni cilj razvoja ovog modela. On je spreavao pristup korisnika podacima sa veim stupanj tajnosti u odnosu na stupanj dodijeljen samom korisniku. Pored toga, model je spreavao ispis podataka u okviru nieg stupnja tajnosti. Ukoliko, na primjer, posjedujete dozvolu za pristup podacima klasificiranim kao Secret, nee Vam biti dozvoljen pristup Top Secret podacima, niti imate pravo upisa u nivoima ispod nivoa Secret. Time se definira gornja i donja granica skladitenja podataka. itav proces je prikazan na slici 6.11. Jasno se uoava da nije mogue itanje nagore (read up), a ni upis na dole (write down). To znai da korisnik ne moe itati podatke koji imaju vii stupanj tajnosti u odnosu na onaj koji je njemu dodijeljen. Istovremeno, on nema prava upisa u nivoima koji su nii u odnosu na onaj koji je njemu dodijeljen. Zabranom upisa na dole spreava se sluajno naruavanje sistema zatite, do koga moe doi ukoliko korisnik snimi neki podatak sa oznakom Secret u slijedei nii nivo Confidental. Kada je rije o naem primjeru, moete itati podatke sa stupnjem tajnosti Confidental, ali nemate prava upisa u podatke sa tog nivoa, zato to Vam je dodeljen Secret stupanj. Istovremeno, Secret korisnik moe potencijalno izmijeniti druge dokumente koji imaju isti nivo tajnosti. Da biste shvatili kako navedeni sistem funkcionira, zamislite jedan financijski podatak neke korporativne firme. Financijski direktor vjerojatno posjeduje neke podatke o kompaniji koje je potrebno zatititi. Bell La-Padula model moe sprijeiti eventualno ubacivanje podataka sa stupnjem tajnosti koji je nii od onoga dodijeljenog financijskom direktoru (upis nanie), ime se spreavaju neovlateno ili sluajno otkrivanje osjetljivih podataka. Zaposleni sa niim nivoom nee moi da pristupe tim podacima, zato to nemaju prava itanja na nivou koji posjeduje financijski direktor. Model Biba Model Biba je razvijen na osnovama modela Bell La-Padula. Slian je svom prethodniku, ali je vie usmjeren ka integritetu podataka, oblasti koju model Bell La-Padula nije razmatrao. U ovom modelu ne postoji mogunost itanja nanie i upisa navie. Ukratko, ukoliko Vam je dodijeljen pristup Top Secret podacima, ne moete itati podatke sa stupnjem tajnosti Secret, Strana 132

Sigurnost raunalnih mrea niti vriti upis u dokumenta sa viim stupnjem tajnosti u odnosu na onaj koji Vam je dodijeljen. Time se tite podaci vieg stupnja tajnosti, zato to ne postoji mogunost njihovog mijeanja sa podacima nieg stupnja tajnosti. Na slici 6.12 prikazan je ovaj koncept neto detaljnije. Biba model je razvijen prvenstveno za korisnike u industriji, gdje je povjerljivost podataka obino manje znaajna od njihovog integriteta. Uzmimo primjer podataka koje je prikupio istraiva u toku nekog naunog projekta. Istraiva je odgovoran za prikupljanje rezultata dobivenih u projektima nieg nivoa i za njihovu integraciju u osobno istraivanje. Ukoliko u njegovo istraivanje dospiju loi podaci, itav istraivaki projekt e biti uniten. Takvi incidenti nisu mogui ukoliko se primjenjuje model Biba. Istraiva nee moi da mijenja podatke nieg nivoa: oni e samo biti isporueni viem nivou istraivanja. Zahvaljujui tome, sistem osigurava neizmijenjene podatke istraivau, odnosno spreava njihovu nenamjernu kontaminaciju. Clark-Wilson model Clark-Wilson model je razvijen nakon modela Biba. Njegov pristup je donekle drugaiji nego kod Biba i Bell La-Padula metoda. Podacima se u ovom modelu ne moe prii direktno; umjesto toga, njima se pristupa pomou aplikacija koje imaju odreena unaprijed definirana prava. Na taj nain se spreavaju neovlatena izmjena podataka i eventualne greke i prevare. Ukoliko korisnik ima potrebe za nekim podacima odreenog stupnja tajnosti, mora upotrijebiti odgovarajui program. Takav program, na primjer, moe dozvoliti samo itanje povjerljivih podataka. Ako eli da izmjeni podatke, korisnik mora upotrijebiti drugu aplikaciju. Time se stvaraju uvjeti za podjelu nadlenosti, poto korisnici imaju garantirano pravo pristupa samo za one alatke koje su im zaista potrebne. Sve transakcije ostaju zabiljeene u odgovarajuim nadzornim datotekama (engl. audit files) i mehanizmima koji izvjetavaju o eventualnim izmjenama podataka. Na slici 6.13 prikazan je ovaj proces. Pristup podacima je osiguran koritenjem programa koji ima odreena prava pristupa; to mogu biti jedan program koji kontrolira sve pristupe ili skupina programa sa odreenim pravima pristupa. Veliki broj programa za upravljanje softverom radi na ovom principu. Model toka podataka Pored smjera kretanja, model toka podataka (engl. information flow model) razmatra i karakteristike toka. Bell La-Padula i Biba modeli razmatraju kretanje podataka na osnovu unaprijed zadatih parametara, tako da se i za njih moe rei da pripadaju grupi modela toka podataka. Pravi model toka podataka, meutim, razmatra sve tokove, a ne samo one koji vode nagore ili na dole. On zahtjeva da svaka jedinica podataka ima zasebna svojstva, ukljuujui i operativne karakteristike. Ukoliko neko pokua da upie podatke nieg stupnja tajnosti u vii stupanj, model e provjeriti svojstva podataka i ocijeniti e da li je takva operacija dozvoljena. Model koji spreava mijeanje Model koji spreava mijeanje (engl. noninterference model) spreava mijeanje sigurnosnih funkcija vieg nivoa sa onima koje imaju nii nivo. U principu, ukoliko korisnik sa veim ovlatenjima mijenja podatke, korisnik sa niim ovlatenjima uope nee znati za to, niti e izmjene imati utjecaj na njega. Time se spreava da korisniku sa niim ovlatenjima budu poznate bilo kakve izmjene koje se vre na sistemu. Na slici 6.15 prikazan je ovaj koncept. Vidi se da korisnik sa niim ovlatenjima uope nije svjestan izmjena koje se vre na viim nivoima. Vratimo se jo jednom naem softverskom projektu sa kojim smo i do sada radili. Ako sistemski programer izvri neke izmjene u biblioteci koju koriste programeri sa niim ovlatenjima, izmjene se mogu izvriti bez znanja niih programera. Time se omoguava da programer vieg nivoa moe raditi sa prototipovima bez naruavanja rada programera nieg nivoa. Kada sistem programer zavri svoj kod, on e ga jednostavno objaviti, odnosno uiniti dostupnim programerima nieg nivoa. Tada e svi korisnici imati pristup najnovijoj verziji, koju mogu koristiti u svojim programima.

Strana 133

Sigurnost raunalnih mrea Kontrolna pitanja 1. Koji element fizike zatite osigurava kontrolu pristupa izvan zgrade? A. vanjska (perimeter) zatita B. kontrolne prostorije (mantrap) C. zatitne zone D. zakljuana vrata 2. Izabrani ste za lana sigurnosnog odbora. Jedan od Vaih prvih zadataka jeste popis svih vatrogasnih aparata, pri emu morate provjeriti da li su na odreene lokacije u zgradi postavljeni odgovarajui aparati. Koji tip vatrogasnih aparata je namijenjen za gaenje poara na elektrinim instalacijama? A. tip A B. tip B C. tipC D. tipD 3. Koja od navedenih mjera nee umanjiti nivo elektromagnetnih smetnji? A. fiziko oklapanje B. kontrola vlanosti zraka C. izbor odgovarajue fizike lokacije D. remont istroenih motora 4.Vi ste administrator u MTS kompaniji. Formirate tim koji e izvjetavati Vas osobno i upravo pokuavate da podijelite odgovornosti u sistemu zatite. Koji od navedenih metoda dijeli veliki prostor u manje oblasti koje se mogu pojedinano nadgledati? A. zona B. particioniranje C. vanjske osiguranje D. pod 5.Koji od navedenih elementa je ekvivalentan zidovima u kancelariji kada je rije o mreama? A. vanjske osiguranje (perimeter) B. paiticioniranje C. sigurnosne zone D. IDS sistemi 6. Nakon veeg broja manjih incidenata, u Vaoj kompaniji fizike mjere zatite su iznenada dospjele na sam vrh prioriteta. Potrebno je zabraniti neovlaten pristup serverima i radnim stanicama. Kako se naziva proces spreavanja pristupa raunarskim sistemima u nekoj zgradi? A. vanjsko osiguranje B. kontrola pristupa C. sigurnosne zone D. IDS sistemi 7. Koji od navedenih elemenata pripada grupi mjera vanjskog (perimeter) osiguranja? A. sigurnosna ograda B. video kamera Strana 134

Sigurnost raunalnih mrea C. lift D. zakljuana raunarska prostorija 8. Vi ste na elu sigurnosnog odbora u firmi ACME. Nakon preseljenja u novi objekt, pristupili ste instalaciji novog, zaokruenog sigurnosnog nadzornog sistema. Koji od navedenih elemenata najbolje opisuje detektor pokreta instaliran u uglu hodnika? A. vanjsko (perimeter) osiguranje B. particioniranje C. sigurnosne zone D. IDS sistem 9. Koja tehnologija koristi fizike karakteristike radi utvrivanja identiteta? A. biometrija B. video nadzor C. smart kartice D. CHAP identifikator 10. U sklopu obuke zaposlenih pokuavate da uvjerite korisnike u znaaj sigurnosnih mjera. Objanjavate im da postoje i takvi napadi koji nisu povezani sa primjenom naprednih tehnologija. Pojedini napadi koriste obine ljudske mane radi ostvarenja pristupa koji su inae zabranjeni. Kako se nazivaju takvi napadi? A. socijalni napadi B. IDS sistem C. vanjsko osiguranje D. biometrija 11. Koja karakteristika odgovara beinoj celurarnoj telefoniji? A. veza u granicama optike vidljivosti B. automatsko odreivanje pozicije C. prijenosni ureaji velike snage D. visok nivo zatite 12. Pokuavate da uvjerite organe upravljanja da prihvate GSM tehnologiju. Pored mogunosti ifriranja prijenosa, ova tehnologija nudi i mogunost internacionalne upotrebe. Kojoj tehnologij pripada GSM? A. vanjskem obezbeenju B. nadzornim sistemima C. sigurnosnim zonama D. celularnoj tehnologiji 13. Kako se naziva proces umanjenja ili otklanjanja osjetljivosti na vanjske smetnje? A. elektroniko oklapanje B. EMI C. TEMPEST D. smanjenje osjetljivosti 14. Radite u elektronikoj kompaniji koja je upravo razvila ureaj koji emitira manju koliinu radio smetnji (RFI) nego konkurentski Zbog izuzetnog znaaja ovog izuma, kao i zbog mogue dobiti na tritu, elite da pribavite odgovarajui certifikat za

Strana 135

Sigurnost raunalnih mrea ureaj. Kako se naziva certifikat koji se dodjeljuje ureajima sa minimalnim radio smetnjama? A. EMI B. RFI C. CC EAL4 D. TEMPEST 15. Koji pojam oznaava smanjenje osjetljivosti WAP take zbog radio smetnji (RFI)? A. RFI smanjenje osjetljivosti (desensitization) B. EMI pickup C. kontrola pristupa D. TEMPEST 16. Odluili ste se za izgradnju nove prostorije za servere zbog poveanja kapaciteta itavog sistema. Kao menader, elite da se uvjerite da su poduzete sve potrebne mjere zatite. Koji sistem za gaenje poara najvie odgovara nekoj zatvorenoj prostoriji (gaenje uklanjanjem kisika iz zahvaenog prostora)? A. sistemi zasnovani na gasu B. sistemi zasnovani na vodi C. stacionarni sistemi D. prskalice 17. Na koji aspekt poslovnog procesa se odnosi CBF? A. na kontrolu pristupa B. na kljune pristupne take C. na osnovne poslovne funkcije D. na BIA 18. Vi ste ef sistema zatite u firmi MTS. Dokumentiranje svih injenica koje imaju veze sa sigurnosnim sistemom i izrada prirunika koji e omoguiti funkcioniranje sistema i u Vaoj odsutnosti predstavljaju Vae trenutne preokupacije. Kako se naziva dokument u kome su navedeni naini realizacije odreenog zadataka, koji e biti referenciran u Vaem priruniku? A. prirunik B. standard C. uputa D. BIA 19. Koji stupanj tajnosti se koristi za podatke koji se objavljuju izvan organizacije u ogranienom obimu? A. privatni podaci B. neograniena distribucija C. restriktivna distribucija D. ograniena distribucija 20. Firma ACME Vas je angairala radi revizije sistema zatite. Organi upravljanja te firme smatraju da su njihove mjere zatite neodgovarajue. Koji sistem za kontrolu pristupa podacima spreava upis podataka u nie stupnjeve tajnosti i itanje podataka koji pripadaju viim stupnjevima? A. Bell La-Padula model B. Biba model Strana 136

Sigurnost raunalnih mrea C. Clark-Wilson model D. model koji spreava meanje (noninterference model) Odgovori 1. A. Vanjska zatita (perimeter security) predstavlja prvi nivo u vieslojnom sistemu zatite. Ona oteava ili odvraa neovlatene pristupe. 2. C. Vatrogasni aparati klase C namijenjeni su za gaenje poara na elektrinim instalacijama. 3. B. Elektrini ureaji koji generiraju magnetna polja, kao to su motori, izazivaju elektromagnetne smetnje (EMI). Kontrola vlanosti nema utkaj na EMI. 4. A. Sigurnosna zona je manji dio vee oblasti. Sigurnosne zone se mogu nadgledati pojedinano, ukoliko je to potrebno. Odgovori B, C i D su primjeri sigurnosnih zona. 5. B. Particioniranje je proces "razbijanja" mree na manje dijelove, koji se mogu pojedinano titili. Proces je analogan zidovima u nekoj poslovnoj zgradi. 6. B. Kontrola pristupa je osnovni nain za spreavanje pristupa fizikim sistemima. 7. A. Vanjsko osiguranje (perimeter) podrazumijeva kreiranje vanjskih granica oko fizikog prostora. Video sistemi nadzora ne pripadaju vanjskom osiguranju, mada se mogu upotrijebiti radi poboljanja fizikog sistema zatite. 8. C. Sigurnosna zona je jedan manji prostor u okviru itavog postrojenja. Omoguava detekciju "uljeza" u pojedinanim dijelovima zgrade. 9. A. Biometrija koristi osobne karakteristike, poput izgleda retine oka ili otisaka prstiju radi identifikacije. 10. A. Umjesto tehnologije, socijalni napadi se zasnivaju na uroenom povjerenju ljudi, pomou koga se osigurava pristup do zatienih sistema. 11. A. Beini celularni sistemi su prvenstveno namijenjeni za odravanje veze u granicama optike vidljivosti. Oni koriste mikrovalno frekventno podruje. 12. D. Globalni sistem mobilne komunikacije (GSM) predstavlja najnoviji standard za celularne komunikacije. On nudi mogunost ifro zatite prijenosa i mogunost internacionalne primjene. 13. A. Elektroniko oklapanje (slielding) spreava smetnje koje potiu od eksternih elektronskih signala. 14. D. TEMPEST je certifikat koji dobivaju elektronski ureaji sa minimalnim zraenjem radio smetnji (RFI). Ovaj certifikat se teko stjee, a znatno doprinosi poveanju cijene proizvoda. 15. A. Osjetljivost prijemnika se smanjuje u prisustvu jakih RF signala. U takvim uvjetima WAP prijemnik postaje praktino "gluh" za signale normalne jaine. 16. A. Gasni sistemi za gaenje funkcioniraju tako to uklanjaju zrak sa podruja zahvaenog poarom. Time se eliminira jedna od tri neophodne komponente za postojanje plamena: kisikom 17. C. Kljune poslovne funkcije su one koje se moraju to prije uspostaviti da bi poslovanje uope bilo mogue. 18. C. Upute (guidelines) standardiziraju procese. Ona su manje formalna u odnosu na prirunike i standarde. 19. D. Podatke sa ogranienom distribucijom moemo davati izabranim pojedincima i organizacijama, kao to su financijske institucije, vladine agencije i kreditori. 20. A. Bell La-Padula model titi povjerljivost podataka. On zabranjuje itanje podataka koji imaju vii stupanj tajnosti u odnosu na onaj koji je dodijeljen korisniku i upis meu podatke sa niim stupnjem tajnosti.

Strana 137

Sigurnost raunalnih mrea

7. Literatura
Security Study Guide Second Edition Autori: Mike Pastore Emmett Dulaney

Strana 138