Upload
min
View
59
Download
0
Embed Size (px)
DESCRIPTION
A távoli munkavégzés biztonsági kérdései. Miről lesz szó?. A távelérés szükségessége A távoli munkavégzés biztonsága A kommunikáció biztonsága A válalati hálózat biztonsága Távelérés az elérni kívánt cél szerint Levelezés Teljeskörű használat Alkalmazások futtatása, távfelügyelet - PowerPoint PPT Presentation
Citation preview
A távoli munkavégzés biztonsági kérdései
2
Miről lesz szó?A távelérés szükségességeA távoli munkavégzés biztonsága– A kommunikáció biztonsága– A válalati hálózat biztonsága
Távelérés az elérni kívánt cél szerint– Levelezés– Teljeskörű használat– Alkalmazások futtatása, távfelügyelet
A távmunka rendszerekkel szembeni elvárásokPéldák a megoldásra
3
Technológia fejlődése, terjedése – Vezeték nélkül bárhonnan (hotspot-ok, stb.).– Hálózati kapcsolattal rendelkező háztartások
száma.
Speciális dolgozók (távmunkások), utazó felhasználók, ügyfelek, partnerek, beszállítók.
A vállalat saját felhasználói egyre több és több opciót szeretnének elérni távolról is a munkahelyi hálózatból.
A ZyXEL legutóbbi felmérésének eredménye: a távolról dolgozó felhasználók 87 %-a az otthoni számítógépét is használja a munkavégzés során. [1]
Növekvő igény 1.
4
VPN kliens
Network Access Server
Hitelesítő Server(RADIUS)
DHCP Server
Címtár
Dial-up kliens
Levelek elérése
Mobil eszközök
WirelessNetwork
Fiókirodák VPN kapcsolódás
Vállalati hálózat
Növekvő igény 2. [2]
5
A mobil munkavégzés sokszor nagyon hatékony, de komoly biztonsági kockázatot is jelenthet.
A távoli elérés sosem biztonságos
Mikor, kinek, mennyit, hogyan?
Elérés biztonság dilemma
6
A kommunikáció biztonsága– Virtual Private Network (VPN)
majd minden cégnél működik VPN-szerver, sok esetben felesleges, sőt akár kockázatos is lehet,esetenként kivitelezhetetlen (pl. OS nem tudja).
– Secure Shell (SSH) segédprogram Biztonságosan megvalósítható Microsoft és Unix/Linux rendszerek esetén egyaránt, de a kliens alkalmazások konfigurálása meghaladja egy átlagos felhasználó ismereteit.
A vállalati hálózat védelmeBiztonságos-e a távoli gép?Alapesetben nem hat semmilyen tartományi eszköz (csoportházirend, központi vírusirtó, frissítéseket ellenőrző és a naprakészségéről gondoskodó alkalmazások, stb.).Jelszavak problémája (Single Sign On)
A távoli munkavégzés biztonsága
7
Levelezés, csoportmunka: az igények döntő többsége, a vállalatok túlnyomó része meri is és biztosítja is.– Szükséges minimum– Nem szükséges VPN, sőt veszélyes is lehet,
bizonyos szakértelmet kívánhat meg a távoli felhasználótól.
– Számos, webes felületen elérhető levelező-alkalmazás:
Outlook Webaccess, Outlook, Pop3, IMAP, Outlook Mobile Access – be lehet állítani, hogy titkosítatlanul ne közlekedjen soha a jelszó.
Távelérés az elérni kívánt cél szerint 1.
8
Az erőforrások teljes körű (jogosultságoknak megfelelő) használata: nem túl gyakori, de időnként szükséges (pl. fájl megosztások elérése - megnyitás, szerkesztés, stb.). – FTP:
A legnépszerűbb, legelterjedtebb. Nehéz v. nem lehet megoldani az információ, a jelszavak titkosítását.Tiltsuk? A felhasználó attól még próbálkozhat és a jelszó akkor is átmegy a hálózaton (Elender feltörése)
– SSL-en keresztül a SharePoint segítségével közösségi csoportmunka, a webhelyek tartalmának és a felhasználók tevékenységének egyszerű felügyelete.
Távelérés az elérni kívánt cél szerint 2.
9
Hitelesítő Szerver
DNSSzerver
WebSzerver
DomainController
FileSzerver VPN Karantén hálózat
VPN Hálózat
Karantén policy
Távelérés az elérni kívánt cél szerint 3. [2] – VPN:
ha nincs lehetőség SharePoint használatára, VPN alagút (karantén alagút), csak bizonyos szolgáltatást lehet használni.
10
Alkalmazások futtatása, távfelügyelet:– RDP (Remote Desktop Protocol): a távoli asztal, az admin
távvezérelheti a hálózatot (szervereket, kliens gépeket). Ha többre van szükség, mint a webes alkalmazások elérése, de nincs szükség teljes hálózati elérésre. 128 bites az alapértelmezett titkosítás.
– Remote Desktop Web Connection: egy ActiveX vezérlő segítségével böngészőből lehet használni az RDP kapcsolatot.
Alacsony sávszélesség-igény – akár modemen is. Régi hardverek számára is ideális. Nemcsak Windows platformra alkalmazható. Az RDP over SSL-t nem támogatja. Az ActiveX vezérlők használata fokozott körültekintést kíván meg a klienstől, mert bizonyos weblapok olyan aktív tartalommal is rendelkezhetnek, amely veszélyezteti a számítógép biztonságát, ennek biztonságos kezelése további szakértelmet igényel.
Távelérés az elérni kívánt cél szerint (4)
11
– RDP over SSL technológia: ha nagyobb biztonságra van szükség, mint amennyit az RDP biztosít.
TLS (Transport Level Security) hitelesítés és titkosítás.
– W2K3 üzemeltetés HTTPS-sel: a 8098-as porton https-sel elérhető a távfelügyelt szerver néhány beállítása
pl. admin jelszó változtatása, szerver neve, a Webszerver szinte összes fontos beállítása, megtekinthetők és megváltoztathatók egy IP kapcsolat tulajdonságai, hozzá lehet férni a helyi felhasználói adatbázishoz, meg lehet nézni, törölni, letölteni a naplófájlokat, ha van SMTP kiszolgáló, riasztással e-mail küldését beállítani, szükség esetén le lehet állítani vagy újraindítani a szervert, stb.).
Távelérés az elérni kívánt cél szerint (5)
12
A bejelentkezés egyszerűen, lehetőleg „egy gombnyomásra” történjen,megfelelő sebesség a kliens oldalon,a kommunikáció olcsó legyen, és helyfüggetlen,a bejelentkezőt egyértelműen tudja azonosítani, a kommunikáció megfelelő algoritmussal titkosított legyen.
A távmunka rendszerekkel szembeni elvárások
13
E-parlament területén szigorú szabályok mellett előre konfigurált notebook– Csak bizonyos helyekről és célokra használható. – X.509 digitális tanúsítvány, intelligens (smart) kártya
(bejelentkezés, levelezés hitelesítés, titkosítás, elektronikus aláírás).
– Költséges. [3]
BeCrypt: USB flash memóriákra épülő biztonságos rendszer [4]– A notebook bekapcsolása után az OS egy USB flash
memóriáról töltődik be. Ha a merevlemez tartalmaz is kártékony kódot, az nem tud tovább fertőzni.
Cisco: „Önvédő hálózat” koncepciója (lényegében megegyezik a karantén VPN elveivel). [5]Microsoft: karantén VPN technológiája
Megoldási lehetőségek (1)
14
VPN egyszerűen a Microsoft Connection Manager Administration Kit (CMAK) segítségével [6]– Előredefiniált VPN kliens beállítások és
(opcionálisan) kiegészítő eszközök (pl. proxy beállítások) csomagolhatók össze egy .exe fájlba.
– Előnye, hogy a kliens kötelezően azokkal a beállításokkal fog majd belépni a hálózatba, amit a csomagban számára előre előírtunk.
– Megadható, hogy hitelesítés, titkosítás szükséges-e és milyen a bejelentkezéshez, milyen kapcsolaton keresztül jelentkezhet be, mi történjen a kapcsolat felépítése után és a leváláskor, milyen telefonszámon kérhet segítséget probléma esetén, stb.
– Az .exe és proxybeállítás megadása esetén .txt fájlokat kell a felhasználóhoz eljuttatni, akár egy USB kulcs átadásával, a még nagyobb biztonság érdekében önkicsomagoló formában titkosítva.
Megoldási lehetőségek (2)
15
[1] Biztonságportál: Aggodalmak a távoli munkavégzés miatt, http://www.biztonsagportal.hu/article3088.html , 2007.10.03.
[2] Gál Tamás: Távoli elérés és munkavégzés, http://www.microsoft.com/hun/webcast/default.aspx?id=ddc36344-a968-4386-95b3-f990b46cb346, 2006.12.21.
[3] Kertészné Gérecz Eszter: AZ E-PARLAMENT http://www.neumann-centenarium.hu/kongresszus/prog16.html?v%5Bid%5D=63, 2007.10.03.
[4] Kristóf Csaba: Operációs rendszer USB-memórián http://computerworld.hu/operacios-rendszer-usb-memorian.html, 2007.04.18.
[5] Cisco Systems: PREVENTING WORM AND VIRUS OUTBREAKS WITH CISCO SELF-DEFENDING NETWORKS, http://www.cisco.com/application/pdf/en/us/guest/netsol/ns481/c654/cdccont_0900aecd801dff73.pdf, 2007.10.05.
[6] Microsoft TechNet: Microsoft Windows Server 2003 TechCenter, http://www.microsoft.com/technet/prodtechnol/windowsserver2003/hu/library/ServerHelp/5cd571d6-7fdc-483d-8899-0a337acc9cf9.mspx?mfr=true, 2007.06.01.
Felhasznált irodalom
Köszönöm a figyelmet!