Éjjel-nappal a világhálón – avagy biztonság a virtuális térben

Krasznay CsabaInformációbiztonsági tanácsadóHP Magyarország Kft.

Az alapkérdés

• A pénzintézetek folyamatosan, legtöbb esetben online működnek

• Nagy zsákmányt nem fegyverrel, hanem informatikával lehet a pénzintézetektől szerezni

• Egy pénzintézet rendszeréhez eleve ezres nagyságrendű dolgozó fér hozzá

• És mégis, miért nincsenek tömegesen sikeres informatikai támadások a bankok ellen?

Fenyegetések

A válasz

• A megoldás egyszerű, de mégis évek-évtizedek kellenek ahhoz, hogy sikerre vigyék

• Az információbiztonság ugyanis alapvetően filozófia, ami mentalitásváltást követel meg

• Meg kell oldani a (látszólag) megoldhatatlant: egyszerre lenni nyíltnak (kiszolgálni az üzletet) és zártnak (megvédeni az üzletet)

• Ehhez meg kell teremteni az 5E (elmélet, előírások, eszközök, emberek, ellenfelek) harmóniáját

Elmélet• Közhelyek:

• Ismerd meg az ellenséget, és ismerd meg önmagadat, így akár száz csatát is megvívhatsz vereség nélkül (Szun Ce)

• A biztonság nem termék, hanem folyamat (Schneier)

• Minden rendszer annyit ér, amennyit a leggyengébb láncszeme (ezt sokan mondták)

• Nem jó az M&M’s védelem (Mitnick)

• A közhelyeket a végtelenségig lehetne folytatni

• A lényeg: nincs biztonság elmélet nélkül!

Elmélet• Amikor információbiztonságról beszélünk:

• Az információ van a középpontban• Az információ bizalmasságát, sértetlenségét és

rendelkezésre állását védjük (CIA elv)• Nem feltétlenül törekszünk a teljes védelemre,

hanem kockázatarányosan védekezünk• Módszereink, védelmi intézkedéseink lehetnek

adminisztratívak, logikaiak és fizikaiak• Melyeket megelőző, felderítő és javító módon

használhatunk (PreDeCo elv)

• A harmónia megteremtése ezek megértésén és következetes alkalmazásán múlik!

Elmélet

• Egy pénzintézetnél kötelező a fenti elvek betartása

• A tapasztalat azonban azt mutatja, hogy sok szervezetnél (pl. az államigazgatásban) még mindig nem él ez a szemlélet

• Felejtsük el a „minél több tűzfal – annál nagyobb biztonság” ideológiáját!

• De ha nem megy saját belátásra, akkor majd jön a kényszerítő erő!

Előírások

• A Magyarországon működő szervezetek többsége azért szeretne információbiztonságot, mert valamilyen külső kényszer hatása alatt állnak

• A külső kényszer lehet:• Jogszabály,

• Felügyeleti szerv által kiadott szabály,

• Anyavállalati előírás

• Ezek általában szabványra támaszkodnak, így kimondható, hogy a világ jelenlegi elfogadott tudására épülnek

Előírások• A banki világban Magyarországon az alábbi

előírások léteznek:• 1996. évi CXII. Törvény a hitelintézetekről és a

pénzügyi vállalkozásokról 13/B. §

• 1/2007. számú módszertani útmutató a pénzügyi szervezetek informatikai rendszerének védelméről

• De egy bank lehet adatkezelő, kritikus információs infrastruktúra, banktitok gazdája, stb.

• Összevetve a közvetve vagy közvetlenül vonatkozó jogszabályokat, előbukkan néhány megkerülhetetlen szabvány

ElőírásokBanki informatika

Emberek

Alkalmazások Információk Infrastruktúra

Szabványok, ajánlások

Cobit ISO 27000

OWASP, CMM NIST SP ajánlások

Gyártóiajánlások

Common Criteria

Erőforrások

Technológia

Irányítás

Előírások

Szabályzat

Szabvány

Alapbeállítások

Eljárások

Útmutatók

Eszközök

• Ha egyértelműek és világosak az előírásaink, már „csak” meg kell valósítani a benne leírtakat

• Ehhez viszont rendszert kell tervezni

• Minél előbb gondolunk a biztonságra a tervezés során, annál olcsóbban lehet biztonságos rendszert létrehozni

• Egy mai átlagos IT fejlesztés összköltségének 10-15% megy a biztonságra!!!

Eszközök

Mű

köd

teté

s/F

enn

tart

ás

Implem

entálás

Fejleszté

s / Besze

rzés

Kezd

emén

yezés

Kivonás

RendszerfejlesztésiÉletciklus (SDLC)

Eszközök• Ne felejtsük el: az eszköz csak eszköz, nem

cél!• Az eszközöket a kockázatok csökkentésére

használjuk• Új eszköz = új kockázat!• Ne felejtsük, egy eszköz nem csak megelőz,

de észrevesz és javít is (PreDeCo elv)!• Az eszközök együttesen alkotják a rendszert

az előírásokkal és az azt betartó emberekkel• Gondos tervezés nélkül szétesik ez a kényes

egyensúly

Eszközök• Egy pénzintézetnél a határvédelmi eszközök

legalább annyira fontosak, mint• a naplózás,• a mentés,• a hibatűrés,• az IDS,• a jogosultságkezelés,• a kriptográfia• az erős autentikáció...

• Még egyszer: nem az eszköz a lényeg, hanem az, hogy milyen kockázatot csökkent!

Emberek• Emberek nélkül nincs rendszer• Egy banki (vagy akármilyen) szervezetben

informatikai szempontból három embertípus van:• Aki csinálja (informatikusok)• Aki felügyeli (menedzsment, területi vezetők)• Aki használja (minden felhasználó)

• A három embetípus sok különböző fenyegetést jelent a rendszerre nézve

• Az információbiztonsági felelősnek ezért mindenhez értenie kell!

• Igazi multidiszciplináris területről beszélünk

Emberek

Ellenfelek• Ha minden nyugodtnak látszik, kezdjünk el

gyanakodni!• Ahol pénz van, ott mindig megjelennek azok,

akik szeretnék ezt a pénzt valahogy megszerezni

• A biztonsági folyamat része az, hogy folyamatosan ellenőrizni kell a védelmi intézkedések hatékonyságát

• Ezekkel az auditokkal lehet az ellenfeleket távol tartani

• Egy szakember számára az egyik legfontosabb inspiráció az, hogy minél hamarabb felnőjön a támadóhoz

Összefoglalás

• Amikor egy rendszer 7/24 üzemmódban működik, készüljünk fel a legrosszabra!

• Ha ez a rendszer ráadásul az internetről is elérhető, szorozzuk meg kettővel a legrosszabbat!

• 100%-os biztonság nincs, ezt ne is várjuk el

• Ami reálisan elvárható, hogy nagy baj ne történjen

• Erre kell az információbiztonságnak készülnie

Köszönöm.

csaba.krasznay@hp.com