Yritysturvallisuuden perusteet Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory teemupekka.virtanen@hut.fi 11. Luento Tietotekninen turvallisuus Tietotekninen turvallisuus osana yritysturvallisuutta Erityisesti turvaamiseen käytettävät menetelmät Yleiskäyttöiset järjestelmät 1
Toimitilaturvallisuuden keinoja Useita vyöhykkeitä Estetään ulkopuolisten tulo alueelle Aidat, seinät,... Tunnistetaan luvalliset tulijat Avaimet, kulunvalvonta,... Havaitaan tunkeutuminen Hälytyslaitteet Pysäytetään tunkeutuminen Vartiointi Turvallisuusvyöhykkeet 2
Passiivinen este Havaitseminen 3
Aktiivinen este Tietotekninen turvallisuus Fyysisen turvallisuuden vastine Luvattoman käytön estäminen Luvallisten käyttäjien tunnistaminen Käytön seuraaminen Luvattoman käytön havaitseminen Aktiiviset toimenpiteet 4
Avoin verkko Suljettu verkko 5
Etätyön ongelmat Turvallisen alueen laajennus 6
Etätyö Etätyön ongelmat 7
Yrityksen sisäiset erot Hierarkkiset alueet 8
Verkottuneet yritykset Passiivinen este Salakirjoitus Suunnittelu Ohjelmistojen turvallisuus 9
Perinteinen turvavyöhyke Sähköinen turvallisuusalue w eyoiuh 7 qyequ ye qwye diqw h d wqu uy uy i uwdyoio wi uey o iuey oiuey o iuyeoi ye iuqey oi q T entt ikysym ykset 1. M äärittel e 2. Kuinka 3. Salauj ärjestelmä 4. Toimii Tenttikysymykset 1. M ääritt ele 2. Kuin ka 3. Sala ujärjestelmä 4. To im i i 10
Salakirjoitus Salakirjoitus on tapa luoda turvallinen tila epäluotettavassa ympäristössä Salakirjoitus on muuri tiedon ja ulkomaailman välillä Salaisen avaimen menetelmä Tieto salataan ja puretaan samalla avaimella Tehokas Ongelmana avaimen välitys Toimii hyvin henkilökohtaisessa käytössä ja kahdenvälisessä viestinnässä Avainten määrä kasvaa nopeasti osapuolien määrän lisääntyessä (1/2(n 2 -n)) Algoritmeja DES, 3DES, AES (Rjindael) 11
Julkisen avaimen menetelmä Avaimet muodostavat parin, joista toisella salatun viestin voi purkaa toisella Jokaisella osapuolella on avainpari, joista toinen osa pidetään salassa ja toinen on julkinen Viesti salataan julkisella avaimella, jolloin vain salaisella avaimella saa sen auki Ongelmana julkisten avainten hakemistot Tehottomampi kuin salaisen avaimen menetelmä Hybridimenetelmä Hybridimenetelmässä pyritään yhdistämään salaisenja julkisen avaimen menetelmien hyvät puolet. Varsinainen tieto salataan salaisen avaimen menetelmällä käyttäen satunnaista avainta Käytetty avain salataan julkisen avaimen menetelmällä Itse salaus on tehokas Avaintenhallinta on tehokas Viesti voidaan osoittaa usealle vastaanottajalle lisäämällä salainen avain useilla julkisilla avaimilla salattuna viestiin 12
Sähköinen allekirjoitus Viestin eheys Kiistämättömyys Viestistä lasketaan vahva tarkistussumma Tarkistussumma salataan allekirjoittajan salaisella avaimella Vastaanottaja laskee saamastaan viestistä tarkistussumman ja avaa allekirjoituksen lähettäjän julkisella avaimella Jos luvut täsmäävät, on allekirjoitus oikea Ongelmana riippuvuus tekniikasta Sähköinen allekirjoitus 1. Lasketaan tiiviste 8. Verrataan laskettua ja avattua tiivistettä 2. Salataan tiiviste salaisella avaimella 6. Lasketaan tiiviste 7. Avataan tiiviste julkisella avaimella 3. Liitetään salattu tiiviste asiakirjaan 4. Lähetetään asiakirja ja salattu tiiviste 5. Vastaanottaja erottelee asiakirjan ja salatun tiivisteen 13
Avaintenhallinta Julkisen avaimen menetelmä vaatii avainten luotettavaa säilytystä Avaimet eivät ole salaisia, mutta niiden pitää olla oikein Täytyy olla olemassa hakemisto, josta julkinen avain voidaan luotettavasti hakea X.509, LDAP Luotettavuutta voidaan parantaa sertifikaateilla Luotettu osapuoli varmentaa avaimet omalla allekirjoituksellaan Ongelmana mm. avainten mitätöinti Toimikortti Yksinkertainen mukana pidettävä tietokone Sisältää yksinkertaisen käyttöjärjestelmän ja muistia Voidaan käyttää esimerkiksi sähköiseen allekirjoitukseen ja salaisen avaimen säilytykseen 14
Alueiden yhdistäminen VPN Virtual Private Network Kaksi verkkoa yhdistetään toisiinsa epäluotettavan yhteyden kautta Verkkojen välinen yhteys salataan niin, että ulkopuolinen ei pysty seuraamaan eikä muuttamaan liikennettä Verkkojen välinen VPN Salaaminen tapahtuu reitittimissä/palomuureissa Työasema-VPN Salaaminen tapahtuu työasemassa Verkot voidaan yhdistää täysin samaksi verkoksi tai rinnakkaisiksi verkoiksi 15
Pääsynvalvonta Palomuuri Pääsynvalvonta Palomuuri Turvallisuuspolitiikka kahden eri turvallisuusvyöhykkeen välillä Määritellyn politiikan toteutus Ääritapauksissa palomuuri voi olla suora johto tai metri ilmaa Kaikki sallittu / kaikki kielletty 16
Palomuurin tehtävät Palomuuri tunnistaa liikenteen Palomuuri sallii luvallisen liikenteen Palomuuri estää luvattoman liikenteen Pakettisuodatus Yksinkertaisessa palomuurissa säännöt perustuvat pakettien otsikkotietoihin Kohdeosoite, lähdeosoite ja portti Helppo toteuttaa ja määritellä Tehokas suurillakin liikennemäärillä Tutkii vain yksittäisiä paketteja, ei näe itse liikennettä 17
Sovelluspalomuuri Ymmärtää protokollia Kokoaa yksittäiset paketit kokonaisuudeksi ja tutkii liikenteen sisältöä Suodattimet protokollakohtaisia Joka protokollalle ohjelmoitava oma Säännöt protkollakohtaisia Esimerkiksi FTP-siirrossa ei saa olla kuvia Sähköpostiviestissä ei saa olla merkkijonoa SALAINEN Hidas Virustorjunta palomuurissa Palomuurissa toteutettuna esimerkki sovelluskohtaisesta palomuurista SMTP-yhteys ohjataan tarkistuksen kautta Liitetiedostot tutkitaan virusten varalta 18
Sisällön hallinta Liikennettä voidaan tutkia myös sisällön perusteella Puretaan HTTP, SMTP, NNTP ja FTP Sisältöä voidaan tutkia Etsitään tiettyjä sanoja Tutkitaan siirrettäviä kuvia Lisäksi voidaan havaita saman viestin toistuminen Viestit voidaan palauttaa lähettäjälle, estää, laittaa karanteeniin tai vain tilastoida Pääsynvalvonta Authentication Tunnistetaan yhteydenottaja ja yhdistetään hänet tiettyyn käyttäjätunnukseen Usein kone/järjestelmäkohtainen Yhden turvallisuusvyöhykkeen sisällä voi olla myös usean järjestelmän yhteinen Perustuu Johonkin mitä tietää salasana Johonkin mitä on sormenjälki Johonkin mitä omistaa kertakäyttöiset salasanat 19
Kertakirjautumisjärjestelmät Single Sign On (SSO) Kirjaudutaan kerran sisään ja voidaan käyttää kaikkia järjestelmiä Windows-domain Työasemassa oleva agentti Kirjaudutaan sisään agentille, joka välittää käyttäjätiedot kullkein järjestelmälle yhteyttä otettaessa Välityspalvelin Tyypillisesti selainkäytössä Tunnistaudutaan välityspalvelimelle, joka sallii käytön ja välittää vain sallitun liikenteen Valvonta Pest IDS 20
Tunkeutumisen havaitseminen Intrusion Detection System (IDS) Turvallisuus edellyttää suojauksen lisäksi myös valvontaa IDS-järjestelmillä seurataan poikkeavia tapahtumia ja hälytetään ylläpito Verkko-IDS Seuraa verkkoliikennettä Järjestelmä-IDS Seuraa toimintaa tietyssä järjestelmässä Erilaisia toimintatapoja Sormenjäljet, tilastollinen analyysi Sormenjälkipohjaiset järjestelmät Olemassaolvista hyökkäyksistä luodaan profiili Palomuuri tunnistaa hyökkäyksen sen sormenjäljestä Periaatteessa luotettava Vähän false-positiveja Vaatii jatkuvaa päivittämistä Ei löydä uusia hyökkäyksiä 21
Tilastolliset järjestelmät Luodaan profiili normaalista toiminnasta Poikkeus normaalista saattaa merkitä hyökkäystä Toimii stabiileissa ympäristöissä Ei huomaa hitaita hyökkäyksiä Protokollapohjaiset järjestelmät Tiedetään, mitä pitää liikkua Kaikki poikkeukset ovat hyökkäyksiä Toimii, jos vain vähän eri sovelluksia/protokollia 22
Järjestelmiin liittyvät ongelmat Järjestelmät eivät ole virheettömiä Viat antavat mahdollisuuden ohittää suojaukset Järjestemien määrittelyt eivät ole oikeita Oletussalasanat, tarpeettomat palvelut Protokollat eivät ole virheettömiä Kaikkia ei ole suunniteltu ottamaan huomioon vihamielinen käyttäjä Windows ja turvallisuus Windows on tehty helpoksi käyttää Paljon asioita voidaan tehdä automaattisesti Automatisointi antaa mahdollisuuden vihamielisen koodin suoritukseen Tiedosto voi sisältää makroja, jotka suoritetaan automaattisesti Sähköposti voi sisältää tiedostoja, jotka avataan automaattisesti Käyttäjähallinta puutteellinen Usein yksi käyttäjä, jolla on kaikki oikeudet 23
Ihmisten osaaminen Capability to learn Required level for secure work Man-in the middle 24
Zombie Jatkuva kehitys Uudet järjestelmät tulevat liian nopeasti Juuri kun yhtä on opittu käyttämään turvallisesti, tulee seuraava PC Internet Mobiili -? 25
Yhteenveto Tietotekninen turvallisuus vastaa samoista tehtävistä kuin fyysinen turvallisuus Samat tehtävät ja tavoitteet eri välineet Tietoteknisessä turvallisuudessa luodaan erilaisia turvallisuusalueita ja hallitaan pääsyä niille Palomuurit, pääsynvalvonta, salakirjoitus Tietoteknisessä turvallisuudessa havaitaan hyökkäykset ja reagoidaan niihin IDS 26