CT30A3500 Tietoturvan Perusteet : Verkon turva

Transkriptio

1 CT30A3500 Tietoturvan Perusteet : Verkon turva Pekka Jäppinen 28. marraskuuta 2007 Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta 2007

2 Verkko Verkko koostuu useista erilaisista koneista jotka kommunikoivat eri protokollien avulla Erilaisia siirtoteitä (langaton, kuparikaapeli, valokaapeli...) Erilaisia verkkotyyppejä (Ethernet, token ring, FDDI Erilaisia protokollia:alemmilla kerroksilla (TCP/IP, IPX...) ja ylemmillä kerroksilla (FTP,HTTP...) Erilaisia käyttöjärjestelmiä (Windows, Unix, VMS, MACOS...) Erilaisia laitteita: (reitittimiä, siltoja, palvelimia, työasemia...) Kuinka taata yhteentoimivuus turvallisesti? Eri ympäristöt tarvitsevat erilaiset ratkaisut Kaikki ohjelmat eivät toimi erilaisissa ympäristöissä Yleiset verkkoihin kohdistuvat uhat Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

3 Salakuuntelu Toisena esiintyminen Viestien toisto Datan muuntaminen Väärinreititys Ilkeämieliset ohjelmat Kieltäminen Denial of Service Uhkien kohteet Sisäinen verkko Internet-palvelin Datansiirto Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

4 Siirtotiet Langaton yhteys Radioaallot (sateliitti yhteydet, wlan, bluetooth...) Signaali etenee vapaasti -> salakuuntelu helppoa kantaman alueella Infrapuna, laser Ääni Langalliset yhteydet Kaapelin katkaisu, katkaisee palvelun Koaksaalikaapeli, kierrettyparikaapeli Induktanssin avulla voidaan kuunnella Valokuitu Ei induktanssi riskiä, sillä kantaa valoenergiaa sähkön sijaan Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

5 Internet TCP/IP protokollaan pohjautuva kommunikointi Pakettikytkentäinen 1. Data hajotetaan paketteihin 2. Paketit lähetetään verkkoon ja kulkevat ennalta määräämätöntä reittiä reitittimeltä toiselle ja lopulta päätyvät kohteeseen. 3. Kohde kasaa paketit yhteen Kuka tahansa reitin varrella voi lukea paketin sisällön. Verkkoliikennettä on helppo seurata Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

6 Password Sning, salasanojen haistelu Etsitään paketteja, jotka pitävät sisällään salasanoja Löytyy paljon valmiita ohjelmia Pakettien väärentäminen Otiskko tietojen oikeellisuutta ei tarkisteta Voidaan lähettää paketti johon itse määritellään lähde ja kohde osoite IP spoong:väärennetään lähdeosoite, jotta saadaan paketti suojatulle alueelle Reititys hyökkäys Ilmoitetaan reitittimelle, että oman koneen kautta on lyhyin reitti kohde koneelle. Saadaan tietylle kohteelle menevät paketit omalle koneelle tarkasteltaviksi. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

7 Nimipalvelu uhat (Domain Name Service (DNS) threats) Hajautettu tietokanta joka pitää sisällään koneiden nimet ( ja niitä vastaavat IP-osoitteet ( ) Ennen paketin lähettämistä kysytään nimeä vastaava IP-osoite DNS palvelimelta Nimelle IP-osoitetta kysyttäessä oletetaan että vastaus on oikea. Nimipalvelimeen ollaan voitu murtatutua ja hyökkääjä voi ilmoittaa mitä tahansa oma.pankki. voikin ohjautua ilkeän hakkerin koneeseen, jossa on salasanan ja tunnuksen keräävä oikean kohteen näköinen sivu Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

8 Väärennetty viesti voidaan lähettää ikäänkuin se tulisi nimipalvelimelta Muutetut nimipalvelu taulut leviävät helposti ympäriinsä Nimipalvelu on hierarkinen. Ei tarvitse murtaa yrityksen A nimipalvelinta, jos murtaa yhtä tasoa ylemmän olevan palvelimen Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

9 Palvelun Esto hyökkäys (Denial of Service) (DoS) Estetään palvelun toiminta varaamalla tai tukkimalla jokin tarpeellinen resurssi verkkokaistan tukkiminen Järjestelmä resurssien kuluttaminen puskurien täyttäminen, yhteys taulujen tukkiminen jne. Ohjelmisto resurssit Muisti, prosessori jne. Hyökkäyksissä kohde kone hukutetaan (ooding) suurella määrällä viestejä jolloin verkko tai palvelimen toiminta häiriintyy SYN ood ensimmäinen kuuluisa Lähetettiin 50 kappaletta synkronisointi pyyntö viestejä palvelimelle sekunnissa. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

10 Reaalimaailmassa Toisen nimissä kaiken mahdollisen ilmaisjakelun tilaaminen -> tärkeä posti katoaa roskapostin sekaan Postimiehen kantokyky saattaa olla koetuksella Sähköpostihyökkäys (mail bombing) Lähetetään niin paljon sähköpostia, että palvelin joko täyttyy tai kaatuu Suuri määrä viestejä voi myös olla muun kuin hyökkäyksen tulos Ensimmäiset puhelinäänestykset tukkivat puhelinkeskukset ja kaatoivat palvelimet Doping käryt Lahden MM-kisoissa aiheuttivat uutispalvelimille niin kovan liikenteen, että yhteydet menivät tukkoon. Voidaan estää ettei liian tiheään tulevia paketteja välitetä eteenpäin palvelimilta Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

11 Lähde osoite pohjainen ltteröinti Liikenteen ltteröinnillä voidaan myös suojautua Läpi kulkevien pakettien tarkistaminen hidastaa liikennettä Hyökkäystä ei ole pakko toteuttaa suoraan palvelua vastaan Hyökätään jotain verkon solmukohtaa vastaan. Estetään yhteydet esim. Suomesta ulospäin. Onhan palvelun tarjoaja varautunu palvelunesto hyökkäyksiin? Jotkut hyökkäykset käyttävät muita tietoturva-aukkoja tavallisen oodauksen lisäksi Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

12 Hajautettu DoS (DDoS) Käytetään DoS hyökkäykseen useita koneita lähteenä Tilataan kaverille pizza kylän jokaisesta kotiin toimittavasta pizzeriasta Koska ei ole yhtä yksittäistä lähdettä on pakettien blokkaaminen vaikeaa Heijastushyökkäys (reection attack) Esim. Lähetetään väärennetty viesti kohde koneen nimissä, joukolle tavallisia koneita, jotka vastatessaan viestiin tukkivat kohdekoneen. Yhdeltä koneelta viestien lähettely vaatii paljon kaistaa Hyökkäystä voidaan vahvistaa zombie koneilla Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

13 Toteuttaminen vaatii murtautumiseen useaan järjestelmään (esimerkiksi troijalaisten avulla). Zombie koneet tekevät yhtä aikaa heijastushyökkäyksen. Mitään hyvää tapaa suojautua ei ole Verkkoliikenteen seuranta auttaa Tilannetta voi helpottaa estämällä että omia laitteita ei päästä käyttämään hyökkäyksen tekemiseen Jokainen yksittäinen kone internetissä pitäisi suojata kunnolla. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

14 Yksittäisen koneen verkkoyhteyden suojaus Johdon irroittaminen Tehokkain tapa suojata Jos yhteyden tarve ei ole riskien arvoinen Mikäli yhteyttä internetin palveluihin ei tarjota on vaarana, että työntekijät luovat sen itse turvattomasti Yhteystyyppi 1. rajoitettu yhteys Yhteys rajoitettu vain pieneen osaan palveluja 2. Välitetty yhteys Yhteys ulos vain päätteillä Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

15 Ulkopuolelta ei yhteyttä sisäiseen verkkoon 3. Dial-up yhteys Yhteys muodostetaan erikseen esim. modeemilla Pysyvä tai vaihtuva IP-osoite yhteyskoneella 4. Suora yhteys Täysi internet toiminnallisuus käytössä kokoajan Yhteyden tarjoajan tietoturva Millaista tukea tarjotaan Vaikuttaa omien palveluiden turvallisuuteen Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

16 Fyysinen verkon suojaus Ei ulkopuolisia laitteita Verkkoon liitetyt laitteet tunnistettava Ei fyysistä pääsyä johtoihin ulkopuolelta Langattomat yhteydet vaativat vahvaa autentikointia Palvelimet, kytkimet, reitittimet ja muut verkkolaitteet suojassa lukkojen takana Laitteille pääsy rajatulla joukolla Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

17 Tietomurtohälytin (IDS, Intrusion detection system) Ohjelma joka varoittaa havaitessaan murron tai murtoyrityksen NIDS (network IDS) Valvovat verkon liikennettä etsien epäilyttävää toimintaa HIDS (Host IDS) Valvoo yksittäisen koneen tapahtumia ja varoittaa epäilyttävästä toiminnasta IDS:n ominaisuuksia Tarkkuus Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

18 Tunnistaa kaikki hyökkäykset Ei hälyytä turhaan Oikea aikaisuus Varoittaa jo käynnissä olevasta hyökkäyksestä, eikä vasta onnistuneesta Diagnoosin teko Mistä hyökkäys tulee Kuinka hyökätään Antaa ohjeita kuinka toimia Kaksi tapaa toteuttaa tällä hetkellä 1. Misuse detection (Väärinkäytön tunnistaminen) Tunnistetaan hyökkäykset niiden sormenjäljistä Vaatii tietokannan, jota aktiivisesti päivitetään (vrt. virustorjunta) Pysyykö perässä koko ajan uudentyylisten hyökkäysmenetelmien tullessa Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

19 2. Epänormaalin toiminnan tunnistus Tehdään statistical mallinnus verkon toiminnasta, jonka mukaan IDS päättelee mikä on epänormaalia toimintaa Mitä jos hyökkäys on päällä opetuksen aikana? Hyökkäystila on normaali! Miten määritellään uhkaava epänormaali toiminta. Paljon vääriä hälyytyksiä (virustorjunnassa siirrytty pois tästä mallista) Miten eri hyökkäykset jaotellaan? Voidaan toteuttaa joko Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

20 Palomuurit Laite tai ohjelma Määrittelee sisääntulijat... ja ulosmenijät Suojaa joko verkkoa tai yksittäistä konetta. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

21 Yleinen toiminta Älykäs portinvartija joka valvoo liikennettä Verkkopalomuuri Kone, joka suojaa sisäisen verkon ulkoisen verkon uhilta Kontrolloi liikennettä kahden verkon välillä tarkasti valitussa pisteessä Piilottaa sisäverkon rakenteen Henkilökohtainen palomuuri Suojaa yksittäistä konetta verkosta tulevilta uhilta Ei kuitenkaan Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

22 takaa datan eheyttä tai luottamuksellisuutta varmista datan lähdettä suojaa sisäisiltä uhilta Suojaa ainoastaan hyökkäysyrityksiltä ulkoapäin Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

23 Palomuurit - Pakettisuodatin Store and forward Paketti saadaan yhteen rajapintaan Paketin otsikkotieto tarkistetaan ja verrataan suodatus konguraatioon Tietojen pohjalta päätetään jatketaanko pakettia eteenpäin vai hylätäänkö se Suodatuskriteerit Liikenteen suunta (rajapinta johon paketti saapuu, sisään vai ulos) Protokollan tyyppi (IP,TCP,UDP,ICMP...) Lähtö ja kohde IP-osoite Lähde ja kohde TCP/UDP portti Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

24 Portti määrittelee paketin lopullisen kohteen koneessa (mikä ohjelma vastaanottaa) Palveluilla omat porttinsa (telnet 23, http 80) (portit määritelty rfc:ssä) Portit alle 1024 on luottamuksellisille palveluille (Palveluilla enemmän oikeuksia) (jaettelua ei windows maailmassa) Asiakasprosessit yleensä porteissa > 1024 (Oikeudet käyttäjän mukaan) Asiakasprosesseja on vaikea yksilöidysti suodattaa Palvelinportit ovat vakioita ja liikenne niihin on helppo suodattaa TCP tilainformaatio Kongurointi esimerkki: estetään kaikki telnet-yhteydet, jotka eivät tule osoitteesta Toimi Protokolla Lähde Kohde Hylkää tcp kaikki sisäverkko portti 23 Hyväksy tcp sisäverkko portti 23 Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

25 Missä järjestyksessä säännöt suoritetaan Kielletään kaikki, jonka jälkeen sallitaan halutut Kielletään vain tietyt yhteydet, muut sallitaan Väärä järjestys johtaa väärään toimintaan Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

26 Suodattamisen ongelmia Vaikea konguroida Kuinka tietää mitä suodatetaan ja mitä ei? Palomuurin suojauksia pystytään kiertämään asentamalla palveluita sallittuihin portteihin Esimerkiksi tiedostonjako palvelin verkkopalvelimen paikalla Pakettiltteri ei pysty tutkimaan paketin sisältöä. Multimedialiikenne, appletit, ladattavat ohjelmat Läpi pääsevät paketit tekevät mitä haluavat Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

27 Vrt. vartija, jonka pitää poistaa vaaralliset kirjeet pelkästään kirjekuoren perusteella Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

28 Modernit pakettisuodattimet GUI kongurointiin (graanen käyttöliittymä) Heuristiikkaa sääntöjen tulkinnassa Usean tason pakettilogit Pakettilaskurit Ilmoitukset tietyntyyppisistä paketeista Sisäänrakennettua älykkyyttä esim. ftp ongelmaan Ei tarvitse kaikkea tehdä itse Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

29 UDP tilatarkkailu Autentikointituki Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

30 Välipalvelin (Proxy) palomuurit Välitettäviä paketteja katsotaan sovellustasolla Muodostaa 2 erillistä yhteyttä: lähteestä palvelimelle ja palvelimelta kohteeseen vrt. kaksi vartijaa... toinen muurin ulkona toinen sisällä. Ulkopuolen vartija ei tiedä mitään muurin sisäpuolesta, sisäpuolen vartija ei tiedä mitään ulkomaailmasta esim. käyttäjän ohjelma pyytää proxyltä verkkosivun(sisävartija). proxy (ulkovartija) hakee sivun ja toimittaa sen sitten käyttjälle(sisävartijan kautta). Vaativat esikonguroinnin Käyttäjän täytyy määritellä ohjelmalle proxyn sijainti Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

31 Asiakas ohjelman täytyy muokkautua proxylle sopivaksi Hidastavat toimintaa Pakettilttereitäkin vaikeampia konguroida Sovellus proxy tarvitaan jokaiselle sovellukselle erikseen Läpinäkyvä määrittelyjen jälkeen Piilottaa sisäisen verkon rakenteen Ulospäin näkyy vain välityspalvelin (proxy) Sovellus spesinen proxy Rajoittuu vain tiettyihin sovelluksiin (esim. http) Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

32 Voi rajoittaa sovelluksen toimintaa Geneerinen proxy Yksinkertainen pakettilinkki Konguraatio tiedon pohjalta muodostaa lopullisen yhteyden kohde koneeseen Osana muuta palomuurikokonaisuutta Mahdollistaa palvelun käytön, mutta ei spesistä palvelupaikkaa NAT Piiri proxy (circuit proxy) Asiakasohjelman tulee tietää proxyn olemassaolosta Käytössä lähes näkymätön asiakkeelle ja palvelimelle Luo päästä-päähän virtuaalipiirin Molempien osapuolten tulee tukea Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

33 SOCKS Vaatii SOCKS modioidun soketti-kirjaston Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

34 Palomuurin suunnittelu Tulee tukea tietoturva politiikkaa Mikä ei ole erikseen kielletty on sallittu vs. mikä ei ole erikseen sallittu on kielletty 1. Käytä yksinkertaisia selkeästi määriteltyjä komponentteja Palomuurissa useita osia joiden kaikkien toimintaa pitää pystyä tarkasti määrittelemään erikseen Modulaarinen lähtökohta 2. Käytä luotettavia tunnettuja työkaluja Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

35 Varo ihmelääkkeitä (snake oil), mikään palomuuri ei turvaa verkkoa täydellisesti 3. Käytä useaa suojaustapaa Verkko jaettu osiin Suojaukseen käytetty eri valmistajien tuotteita 4. Tarkkaile vikatiloja Crash, reboot, muu virhetila Palomuuri ei virhetilassa saa päästää mitään paketteja läpi 5. Päivitä palomuuria Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

36 Hyökkäykset palomuuria vastaan 1. Kierto Ei tulla sisäverkkoon palomuurin kautta Käyttäjät usein jättävät omille koneilleen keinon päästä kotoa sisään töitä tehdäkseen. Verkossa on monia laitteita. Niissä voi olla omat sisääntulo keinonsa 2. Palomuurin huijaus Naamioidaan paketti niin että palomuuri luulee sitä hyödylliseksi ja ystävälliseksi Toisen protokollan sisälle wrapattu toisen protokollan paketti 3. Valloitus Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

37 Murtaudutaan itse palomuuri koneeseen Voidaan valita itse minkä sääntöjen mukaan paketteja päästetään eteenpäin 4. Kaataminen Kaadettu palomuuri ei toimi, jolloin joko kaikki paketit tai ei mitkään paketit kulkee sen läpi. Käyttäjät etsivät muita teitä ulos. vrt. linnan piiritys. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

38 Palomuurin testaus Noudattaako yleistä turvapolitiikkaa Toimiiko halutulla tavalla ( eli onko konguroitu oikein) Pääsynvalvonta reitittimiin ja palomuureihin Kellä oikeudet muokata tietoja Palvelujen kongurointi Joskus otettava palomuuri huomioon Ulkopuolinen testaus Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

39 Valitse luotettava konsultti, joka myös osaa asiansa Määrittele testauksen rajat Määritä ajankohta jolloin testaus tehdään Hyvä olla joku omasta organisaatiosta mukana testauksen aikana Sovi järjestelyt todisteiden tuhoamisesta Konsultille ei tule jäädä tietoa verkon ja palvelujen sijainnista testauksen jälkeen Muista seurata palomuurin liikennettä ja tarkistaa ajoittain palomuurin toiminta Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

40 Tunkeutumisen esto järjestelmä (Intrusion prevention system,ips) Suojajärjestelmä joka tunnistaessaan murtoyrityksen, yrittää myös estää sen toiminnan esim: Tavanomaisesta poikkeava liikenne estetään. IPS järjestelmät ovat kohtuu uusia ja vahvasti vielä kehitys työn alla. HIPS (Host IPS) Yksittäisen koneen suojaaminen Seuraa tapahtumia koneella ja yrittää estää haitallisen toiminnan vrt. virustorjunta ohjelma Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

41 NIPS (Network IPS) NIDS pohjainen tunkeutumisen tunnistus ja palomuuri tyyppinen esto Ongelmat pitkälti samoja kuin IDS järjestelmiä Väärät tunnistukset aiheuttavat ongelmia verkkoyhetyksissä IPS on aktiivinen kun IDS on passiivinen Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

42 Suojattujen yhteyksien standardit TLS (transport layer security (pohjautuu SSL (Secure Socket Layer) standardiin) Internet istuntojen suojausprotokolla ( Toimii TCP/IP:n päällä ja sovellusten alla, suojaa sovellusten välisen liikenteen. Käyttää omaa porttia Esim Web-palvelin käyttää normaalisti porttia 80, ssl-moodissa porttia 443 Mahdollistaa joustavan symmetrisen salaus-,tiiviste- ja autentikointi menetelmän valinnan Voidaan käyttää vaihtuvan pituisia avaimia Julkiset avaimet varmistetaan luotetun tahon myöntämällä sertikaatilla Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

43 Turvallisuus perustuu sertikaatin lukemiseen IPSEC Joukko yleiskäyttöisiä protokollia, joilla suojataan TCP/IP liikennettä Suojaus tapahtuu koneiden välillä ei ohjelmien (vrt. SSL) Koneiden välinen viestiliikenne salataan Autentikointi tapahtuu autentikointiotsikolla, joka pitää sisällään IP paketista lasketun tarkistussumman Käytössä IPv6:ssa Voidaan käyttää myös IPv4:ssä Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

44 VPN (Virtual Private Network) Suojattu yhteys yleisen verkon sisällä. Muodostaa oman virtuaalisisäverkon. Ei tarvita kahden kohteen välille omaa verkkojohtoa 1. Access VPN Suojattu yhteys asiakkaan koneelta yrityksen verkon palveluihin Liikkuva työntekijä voi liittyä mistä vain yrityksen verkkoon 2. Intra ja extranet VPN Verkkojen yhdistäminen VPN teknologialla yleisen verkon yli yhdeksi loogiseksi sisäverkoksi Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

45 Useita erilaisia kryptograa protokollia käytetään muodostamiseen Yhteys usein läpi palomuurin Vahva autentikointi tärkeä Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

46 Verkkopalvelujen turvaaminen 1. Haluttujen palvelujen selvittäminen 2. Palvelujen merkityksen määrittäminen 3. Palveluihin kohdistuvien uhkakuvien määrittäminen 4. Kontrollimekanismien etsiminen turvallisuus uhkia vastaan 5. Kontrollimekanismien arviointi 6. Kontrollimekanismien asentaminen 7. Kontrollimekanismien säännöllinen toimivuuden tarkistaminen Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

47 Liiketoimintaan littyvät palvelut Joidenkin liiketoimintapalveluiden turvallisuus on parhaimmillaankin vain osittain kontrolloitavissa Verkkokauppaan on asiakkaitten päästävä sisälle. Internet pohjaisella palvelulla on enemmän turvallisuusriskejä kuin perinteisellä Luottokortin numeron siirto ja tallettaminen Älä tarjoa palvelua verkossa ennenkuin olet varmistunut sen turvallisuudesta Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

48 Sisäiset palvelut Arvo vaikeampi määrittää Mikä arvo on ftp:n käyttömahdollisuudella? entä sähköpostin? Jos palveluita ei tarjota käyttäjä teke itse aukon, jotta palvelu toimii? Moniin palveluihin erilaisia ratkaisuja, joista toiset turvallisempia ssh vs telnet Palvelujen rajaaminen tiettyihin koneisiin Palvelujen poistaminen esim ngerd Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

49 Verkon suunnittelu ja suojaus Sisäisen verkon rakenne kannattaa suunnitella ennen kuin sen liittää yleiseen verkkoon Avoin verkko vs. suljettu verkko Helpompi suojata yksi piste kuin monta pistettä Sisäistä verkon liikennettä ei päästä kuuntelemaan ulkopuolelta Gateway Portti ulkomaailmaan Kontrolloi liikennettä Palomuurin paikka Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

50 Suoja-alue suojaus (perimeter defense) Vrt. linnan vallihauta Sisäiseen ja ulkoiseen verkkoon jako Palomuurit välillä Suoja-alueen määrittely Alueen sisällä laitteet jotka pitävät sisällään tärkeää tietoa Verkkopalvelin tulee olla ulkopuolella Minne kuuluvat luotetut yhteydet muihin yrityksiin? Suoja-alueella voi olla useampia pienempiä suoja-alueita Suojaa verkon eri osia Tarjoaa jotain suojaa sisäisiä uhkia vastaan Pienentää murron aiheuttamaa tuhoaluetta Demilitarisoitu vyöhyke Kahden palomuurin välinen alue Linnan sisä- ja ulkomuuri. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

51 Yleiset palvelut voidaan tarjota suojattuna, muttei riskeerata sisäverkon turvallisuutta. Riskikohteet suoja-alueen ulkopuolelle, jotta niiden murtuminen ei aiheuta uhkaa sisäiselle verkolle Reitit sisäiseen verkkoon Varmistettava, että ainoastaan tunnettuja ja hyväksyttyjä reittejä käytetään verkon sisääntuloon Ei omia modeemeja työntekijöiden koneissa Minne IDS järjestelmä? ennen ulkoista palomuuria Nähdään kaikki tulevat hyökkäykset Ulkoisen palomuurin takana Variotuksia ainoastaan palomuurin läpi tulevista mahdollisista tunkeutumisyrityksistä. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

52 Houkutuslintu (Honeypot) Erillinen suojaamaton/minimi suojauksilla oleva kone suojatun verkon ulkopuolella Pitää sisällään kuitenkin hyvät toiminnan seuraus ohjelmistot (IDS) Houkuttelee itseensä haittaohjelmat ja hakkerit Huomataan hyökkäys yritys ennenkuin se tehdään oikeasti kriittiseen järjestelmään. Antaa aikaa suojautua oikeat kohteet paremmin hyökkääjää vastaan Helpottaa myös hyökkääjien kiinni saamisessa. Järjestelmää ei tarvi sulkea pois verkosta, kun hyökkäys havaitaan. Voidaan hyödyntää myäs uusien hyökkäys tyyppien selvittämiseen Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

53 Sähköposti Sähköposti kulkee verkossa ilman suojausta vrt. postikortti Suojattu yhteys sähköposti palvelimeen suojaa vain liikenteen palvelimen ja sähköposti ohjelman välillä. Ei lähteviä viestejä palvelimelta eteenpäin. vrt. postikortin kuljettaminen postitoimistoon panssariautossa Sähköpostin salaaminen esimerkiksi PGP ohjelmalla Viestin sisältö on salattu, mutta otsikko tiedot, kuten vastaanottajat ja subject kenttä näkyvät silti Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53

54 vrt. kirjekuori jossa päällä lukee viestin välitystietojen lisäksi vielä viestin otsikko. Verkon ja verkkopalvelujen turvallinen käyttö vaatii perusymmärtämyksen näiden toiminnasta. Pekka Jäppinen, Lappeenranta University of Technology: 28. marraskuuta /53