Yritysturvallisuuden perusteet Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory teemupekka.virtanen@hut.fi 11. Luento Tietotekninen turvallisuus Tietotekninen turvallisuus osana yritysturvallisuutta Erityisesti turvaamiseen käytettävät menetelmät Yleiskäyttöiset järjestelmät 1
Tietotekninen turvallisuus Fyysisen turvallisuuden vastine Luvattoman käytön estäminen Luvallisten käyttäjien tunnistaminen Käytön seuraaminen Luvattoman käytön havaitseminen Aktiiviset toimenpiteet Turvallisuusvyöhykkeet 2
Avoin verkko Suljettu verkko 3
Erilaiset turvatasot Useita alueita 4
Vyöhykkeen portti Palomuuri Turvallisuuspolitiikka kahden eri turvallisuusvyöhykkeen välillä Määritellyn politiikan toteutus Ääritapauksissa palomuuri voi olla suora johto tai metri ilmaa Kaikki sallittu / kaikki kielletty 5
Palomuurin tehtävät Palomuuri tunnistaa liikenteen Palomuuri sallii luvallisen liikenteen Palomuuri estää luvattoman liikenteen Pakettisuodatus Yksinkertaisessa palomuurissa säännöt perustuvat pakettien otsikkotietoihin Kohdeosoite, lähdeosoite ja portti Helppo toteuttaa ja määritellä Tehokas suurillakin liikennemäärillä Tutkii vain yksittäisiä paketteja, ei näe itse liikennettä 6
Sovelluspalomuuri Ymmärtää protokollia Kokoaa yksittäiset paketit kokonaisuudeksi ja tutkii liikenteen sisältöä Suodattimet protokollakohtaisia Joka protokollalle ohjelmoitava oma Säännöt protkollakohtaisia Esimerkiksi FTP-siirrossa ei saa olla kuvia Sähköpostiviestissä ei saa olla merkkijonoa SALAINEN Hidas Virustorjunta palomuurissa Palomuurissa toteutettuna esimerkki sovelluskohtaisesta palomuurista SMTP-yhteys ohjataan tarkistuksen kautta Liitetiedostot tutkitaan virusten varalta 7
Sisällön hallinta Liikennettä voidaan tutkia myös sisällön perusteella Puretaan HTTP, SMTP, NNTP ja FTP Sisältöä voidaan tutkia Etsitään tiettyjä sanoja Tutkitaan siirrettäviä kuvia Lisäksi voidaan havaita saman viestin toistuminen Viestit voidaan palauttaa lähettäjälle, estää, laittaa karanteeniin tai vain tilastoida Pääsynvalvonta Authentication Tunnistetaan yhteydenottaja ja yhdistetään hänet tiettyyn käyttäjätunnukseen Usein kone/järjestelmäkohtainen Yhden turvallisuusvyöhykkeen sisällä voi olla myös usean järjestelmän yhteinen Perustuu Johonkin mitä tietää salasana Johonkin mitä on sormenjälki Johonkin mitä omistaa kertakäyttöiset salasanat 8
Kertakirjautumisjärjestelmät Single Sign On (SSO) Kirjaudutaan kerran sisään ja voidaan käyttää kaikkia järjestelmiä Windows-domain Työasemassa oleva agentti Kirjaudutaan sisään agentille, joka välittää käyttäjätiedot kullkein järjestelmälle yhteyttä otettaessa Välityspalvelin Tyypillisesti selainkäytössä Tunnistaudutaan välityspalvelimelle, joka sallii käytön ja välittää vain sallitun liikenteen Salakirjoitus Salakirjoitus on tapa luoda turvallinen tila epäluotettavassa ympäristössä Salakirjoitus on muuri tiedon ja ulkomaailman välillä 9
Salaisen avaimen menetelmä Tieto salataan ja puretaan samalla avaimella Tehokas Ongelmana avaimen välitys Toimii hyvin henkilökohtaisessa käytössä ja kahdenvälisessä viestinnässä Avainten määrä kasvaa nopeasti osapuolien määrän lisääntyessä (1/2(n 2 -n)) Algoritmeja DES, 3DES, AES (Rjindael) Julkisen avaimen menetelmä Avaimet muodostavat parin, joista toisella salatun viestin voi purkaa toisella Jokaisella osapuolella on avainpari, joista toinen osa pidetään salassa ja toinen on julkinen Viesti salataan julkisella avaimella, jolloin vain salaisella avaimella saa sen auki Ongelmana julkisten avainten hakemistot Tehottomampi kuin salaisen avaimen menetelmä 10
Hybridimenetelmä Hybridimenetelmässä pyritään yhdistämään salaisenja julkisen avaimen menetelmien hyvät puolet. Varsinainen tieto salataan salaisen avaimen menetelmällä käyttäen satunnaista avainta Käytetty avain salataan julkisen avaimen menetelmällä Itse salaus on tehokas Avaintenhallinta on tehokas Viesti voidaan osoittaa usealle vastaanottajalle lisäämällä salainen avain useilla julkisilla avaimilla salattuna viestiin Sähköinen allekirjoitus Viestin eheys Kiistämättömyys Viestistä lasketaan vahva tarkistussumma Tarkistussumma salataan allekirjoittajan salaisella avaimella Vastaanottaja laskee saamastaan viestistä tarkistussumman ja avaa allekirjoituksen lähettäjän julkisella avaimella Jos luvut täsmäävät, on allekirjoitus oikea Ongelmana riippuvuus tekniikasta 11
Avaintenhallinta Julkisen avaimen menetelmä vaatii avainten luotettavaa säilytystä Avaimet eivät ole salaisia, mutta niiden pitää olla oikein Täytyy olla olemassa hakemisto, josta julkinen avain voidaan luotettavasti hakea X.509, LDAP Luotettavuutta voidaan parantaa sertifikaateilla Luotettu osapuoli varmentaa avaimet omalla allekirjoituksellaan Ongelmana mm. avainten mitätöinti Toimikortti Yksinkertainen mukana pidettävä tietokone Sisältää yksinkertaisen käyttöjärjestelmän ja muistia Voidaan käyttää esimerkiksi sähköiseen allekirjoitukseen ja salaisen avaimen säilytykseen 12
Alueiden yhdistäminen VPN Virtual Private Network Kaksi verkkoa yhdistetään toisiinsa epäluotettavan yhteyden kautta Verkkojen välinen yhteys salataan niin, että ulkopuolinen ei pysty seuraamaan eikä muuttamaan liikennettä Verkkojen välinen VPN Salaaminen tapahtuu reitittimissä/palomuureissa Työasema-VPN Salaaminen tapahtuu työasemassa Verkot voidaan yhdistää täysin samaksi verkoksi tai rinnakkaisiksi verkoiksi 13
Reiät suojauksessa 1 Reiät suojauksessa 2 14
Tunkeutumisen havaitseminen Intrusion Detection System (IDS) Turvallisuus edellyttää suojauksen lisäksi myös valvontaa IDS-järjestelmillä seurataan poikkeavia tapahtumia ja hälytetään ylläpito Verkko-IDS Seuraa verkkoliikennettä Järjestelmä-IDS Seuraa toimintaa tietyssä järjestelmässä Erilaisia toimintatapoja Sormenjäljet, tilastollinen analyysi Järjestelmiin liittyvät ongelmat Järjestelmät eivät ole virheettömiä Viat antavat mahdollisuuden ohittää suojaukset Järjestemien määrittelyt eivät ole oikeita Oletussalasanat, tarpeettomat palvelut Protokollat eivät ole virheettömiä Kaikkia ei ole suunniteltu ottamaan huomioon vihamielinen käyttäjä 15
Windows ja turvallisuus Windows on tehty helpoksi käyttää Paljon asioita voidaan tehdä automaattisesti Automatisointi antaa mahdollisuuden vihamielisen koodin suoritukseen Tiedosto voi sisältää makroja, jotka suoritetaan automaattisesti Sähköposti voi sisältää tiedostoja, jotka avataan automaattisesti Käyttäjähallinta puutteellinen Usein yksi käyttäjä, jolla on kaikki oikeudet Yhteenveto Tietoteknisessä turvallisuudessa luodaan erilaisia turvallisuusalueita ja hallitaan pääsyä niille Palomuurit, pääsynvalvonta, salakirjoitus Tietoteknisesä turvallisuudessa havaitaan hyökkäykset ja reagoidaan niihin IDS 16