Politici de securitate în rețea

Avantajele oferite de implementarea unor mecanisme de securitate „sănătoase” într-o rețea de calculatoare, fac ca informațiile care circulă în cadrul ei să nu poată fi accesate sau interceptate de persoane neautorizate (curioase sau, eventual, chiar rău intenționate) și, mai mult, vor împiedica falsificarea informațiilor transmise sau utilizarea clandestină a anumitor servicii destinate unor categorii specifice de utilizatori.

Din categoria celor care atentează la securitatea rețelelor, putem aminti acele persoane care: se amuză încercând să fure anumite informații (sunt cunoscute cazurile cu studenți care atentează la poșta electronică a celorlalți) colegilor, "hacker"-i care testează securitatea sistemelor sau urmăresc să obțină în mod clandestin anumite informații, angajați care pretind că au atribuții mai largi decât în realitate (accesând servicii care în mod normal le-ar fi interzise), sau foști angajați care urmăresc să distrugă informații ca o formă de răzbunare, oameni de afaceri care încearcă să descopere strategiile adversarilor, persoane care realizează fraude financiare (furtul numerelor de identificare a cărților de credit, transferuri bancare ilegale etc.), spioni militari sau industriali care încearcă să descopere secretele/strategiile adversarilor.

În condițiile în care pot exista interese atât de numeroase de "spargere" a unei rețele, este evident că proiectanții resurselor hard și soft ale acesteia trebuie să ia măsuri de protecție serioase împotriva unor tentative rău intenționate. Metodele de protecție care pot stopa unii utilizatori nedoriți (sau marea lor majoritate), se pot dovedi inutile sau cu un impact foarte redus asupra unor adversari redutabili - dedicați și cu posibilități materiale considerabile.

Problemele de asigurare a securității rețelelor pot fi grupate în următoarele domenii interdependente: confidențialitate, integritate, autenticitate și ne-repudiere. Din însăși definițiile acestor domenii se observă puternica interdependență dintre ele, fiecare fiind dependente de celelalte:

· confidențialitatea se referă la asigurarea accesului la informație doar pentru utilizatorii autorizați și împiedicarea accesului pentru persoanele neautorizate;

· integritatea se referă la asigurarea consistenței informațiilor (în cazul transmiterii unui mesaj prin rețea, integritatea se referă la protecția împotriva unor tentative de falsificare a mesajului);

· autentificarea asigură determinarea identității persoanei cu care se comunică (aspect foarte important în cazul schimbului de informații confidențiale sau al unor mesaje în care identitatea transmițătorului este esențială);

· non-repudierea se referă la asumarea responsabilității unor mesaje sau comenzi, la autenticitatea lor. Acest aspect este foarte important în cazul contractelor realizate între firme prin intermediul mesajelor electronice: de exemplu, un contract / comandă cu o valoare foarte mare nu trebuie să poată fi ulterior repudiat(ă) de una din părți (s-ar putea susține, în mod fraudulos, că înțelegerea inițială se referea la o sumă mult mai mică).

Aspectele de securitate enumerate anterior se regăsesc, într-o oarecare măsură, și în sistemele tradiționale de comunicații: de exemplu, poșta trebuie să asigure integritatea și confidențialitatea scrisorilor pe care le transportă. În cele mai multe situații, se cere un document original și nu o fotocopie. Acest lucru este evident în serviciile bancare. În mesajele electronice însă, distincția dintre un original și o copie nu este deloc evidentă.

Procedeele de autentificare sunt foarte răspândite și ele: recunoașterea fețelor, vocilor a scrisului sau a semnăturilor unor persoane pot fi încadrate în această categorie. Semnăturile și sigiliile sunt metode de autentificare folosite extrem de frecvent. Falsurile pot fi detectate de către experți în grafologie prin analiza scrisului și chiar a hârtiei folosite. Evident, aceste metode nu sunt disponibile electronic și trebuie găsite alte soluții valabile.

Dintr-un punct de vedere mai pragmatic, implementarea unor mecanisme de securitate în rețelele de calculatoare de arie largă, în particular – Internet-ul – privește rezolvarea următoarelor aspecte:

1. Rularea unui cod (program) dăunător, adesea de tip virus - acesta poate fi un program Java sau ActiveX, respectiv un script JavaScript, VBScript etc.. Asemenea programe sunt în general blocate de navigatoarele moderne dar au ajuns să se răspândească ca fișiere atașate mesajelor de e-mail. Cea mai mare parte a programelor de navigare permit utilizarea unor filtre specifice pe baza cărora să se decidă dacă un anumit program va fi rulat sau nu, și cu ce restricții de securitate (decizia se realizează în general pe baza "încrederii" indicate în mod explicit de utilizator).

2. Infectarea cu viruși specifici anumitor aplicații - se previne prin instalarea unor programe antivirus care detectează virușii, devirusează fișierele infectate și pot bloca accesul la fișierele care nu pot fi "dezinfectate". În acest sens, este importantă devirusarea fișierelor transferate de pe rețea sau atașate mesajelor de e-mail, mai ales dacă conțin cod sursă sau executabil, înainte de a le deschide sau executa.

3. Bombardarea cu mesaje – așa numitul spam – trimiterea de mesaje nedorite, de obicei cu un conținut comercial. Acest fenomen este neplăcut în cazul unui număr mare de mesaje publicitare nedorite și poate avea efecte mai grave în cazul invadării intenționate cu mesaje ("flood"), uzual cu un conținut nesemnificativ. Programele de e-mail pot încorpora facilități de blocare a mesajelor de tip "spam" prin descrierea de către utilizator a unor acțiuni specifice de aplicat asupra mesajelor, în funcție de anumite cuvinte cheie sau de adresele (listele de adrese) de proveniență.

4. Accesarea prin rețea a calculatorului unui anumit utilizator și "atacul" asupra acestuia. La nivelul protocoalelor de rețea, protejarea accesului la un calculator sau la o rețea de calculatoare se realizează prin mecanisme de tip firewall, prin comenzi specifice. Acestea pot fi utilizate și în sens invers, pentru a bloca accesul unui calculator sau a unei rețele de calculatoare la anumite facilități din Internet.

5. Interceptarea datelor în tranzit și eventual modificarea acestora – snooping. Datele se consideră interceptate atunci când altcineva decât destinatarul lor le primește.

6. În Internet, datele se transmit dintr-un router în altul fără a fi (uzual) protejate. Routerele pot fi programate pentru a intercepta, eventual chiar modifica datele în tranzit. Realizarea unei astfel de operații este destul de dificilă, necesitând cunoștințe speciale de programare în rețele și Internet, dar există numeroase programe (de tip “hacker”) care pot fi utilizate în aceste scopuri, ceea ce conduc la creșterea riscului de interceptare a datelor. Transmisia protejată a datelor trebuie să garanteze faptul că doar destinatarul primește și citește datele trimise și că acestea nu au fost modificate pe parcurs (datele primite sunt identice cu cele trimise). Modificarea datelor s-ar putea realiza în mod intenționat, de către o persoană care atentează la securitatea rețelei sau printr-o transmisie defectuoasă.

7. Expedierea de mesaje cu o identitate falsă, expeditorul impresionând pe altcineva (pretinde că mesajul a fost trimis de la o altă adresă de postă electronică) – spoofing. Această problemă se rezolvă prin implementarea unor mecanisme de autentificare a expeditorului.

Se poate remarca faptul că problemele ridicate sunt riscuri generice, specifice pentru utilizatorii care fac schimb de fișiere și respectiv pentru toți cei care sunt conectați la o rețea de calculatoare – locală sau de arie largă. Problemele de interceptare și autentificare, cele mai importante din punctul de vedere al utilizatorilor obișnuiți, sunt rezolvate prin aplicarea unor tehnici de codificare.

Pentru asigurarea securității rețelei este importantă implementarea unor mecanisme specifice pornind de la nivelul fizic (protecția fizică a liniilor de transmisie), continuând cu proceduri de blocare a accesului la nivelul rețelei (firewall), până la aplicarea unor tehnici de codificare a datelor (criptare), metodă specifică pentru protecția comunicării între procesele de tip aplicație care rulează pe diverse calculatoare din rețea.

Conceptul de securitate hardware se referă la posibilitățile de a preveni furtul, vandalismul și pierderea datelor. Se identifică patru mari concepte:

a) securizarea accesului în locații – posibilitatea de a restricționa și urmări accesul la rețea (posibilitățile de a îngrădi clădirile și de a securiza punctele de acces în cadrul unității)

b) securizarea infrastructurii – protejarea caburilor, echipamentelor de telecomunicații și dispozitivelor de rețea – gruparea pe cât posibil în locații puternic securizate a tuturor echipamentelor de comunicație, camere de supravegheat – cu conectare wireless pentru zone greu accesibile – firewall-uri la nivel hardware, posibilitatea de a monitoriza modificarea cablării și a echipamentelor intermediare de comunicație – exemplu: monitorizarea switch-urilor, routerelor etc.;

c) securizarea accesului la calculatoare – folosind lacăte pentru cabluri – mai ales pentru laptopuri – carcase ce se pot închide, eventual cutii securizate ce conțin unitățile centrale ale desktop-urilor, definirea de săli speciale pentru servere;

d) securizarea datelor – în special pentru prevenirea accesului la sursele de date – ca de exemplu Hard disk-urile externe vor trebui ținute în carcase prevăzute cu lacăte, precum și dispozitive de siguranță pentru stick-uri USB. O atenție foarte mare trebuie oferită soluțiilor de back-up folosite, suporturile acestor date trebuie să fie stocate și transportate în locații și în condiții foarte sigure (stricte).

Întrucât implementarea unei soluții de securitate foarte puternice este o procedură foarte dificilă, ce implică de multe ori costuri foarte mari, dar și personal calificat și foarte disciplinat, este indicat ca politicile de protecție să fie coordonate sau, cel puțin vizate (auditate) de către firme/persoane autorizate.

În mod uzual, prin securitate hardware, se înțelege mai mult conceptele prevăzute la punctele a, b şi c. Categoria d, este o categorie care în ultima perioadă începe să se dezvolte foarte mult, mai ales datorită cantității uriașe de date care se acumulează în timp. Tot în această categorie se includ și echipamentele specializate care pot înlocui anumite funcții care în mod uzual sunt executate de aplicații software, ca de exemplu firewall, antiviruși, IDS – Intrusion Detection System sau chiar IPS – Intrusion Prevention System. Aceste echipamente sunt totuși echipamente care costă foarte mult, acest factor făcându-le potrivite doar pentru o foarte mică parte din utilizatori.

Un alt punct de foarte mare interes la alegerea acestor soluții de securizare hardware, este faptul că trebuie să se găsească un compromis între nivelul de securizare dorit și implicațiile implementării acestor restricții. De exemplu: Într-o firmă se implementează o soluție de protecție hardware pentru securizarea accesului, soluție ce implică instalarea de camere de supraveghere și senzori de mișcare. Este posibil ca unii angajați să se simtă ofensați de această implementare.

Așadar se observă cât de serios trebuie luat în calcul modalitatea de securizare aleasă pentru a putea realiza o medie acceptată între principalele aspecte ale unei astfel de implementări: nivelul de securitate ce se dorește atins, nivelul de „disconfort” generat utilizatorilor, costul implementării, avantajele implementării (eventual diferite de nivelul de securitate – gen prin implementarea unei soluții de acces pe bază de cartelă, se scade procentul persoanelor care întârziau la serviciu).

O dezvoltare a ideii de securizare hardware o reprezintă așa-numitele elemente de monitorizare hardware a rețelelor. Aceste soluții sunt echipamente special concepute de a întreține rețele întregi de calculatoare și vin să înlocuiască echipamentele uzuale și, poate aspectul cel mai important, oferă puternice facilități de management la nivelul unei întregi rețele (exemplu: implementarea unor switch-uri cu management care pot comanda și gestiona și alte switch-uri, implementarea unor reguli făcându-se centralizat, propagarea lor la celelalte echipamente căzând în rolul echipamentului principal).

De multe ori aceste echipamente conțin un întreg ansamblu de soluții – firewall, antivirus, criptări, IDS (Intrusion Detection System), VPN (virtial private network), trafic snaping. Aceste soluții se bazează pe cipuri ASIC (Application-Specific Integrated Circuit) care sunt circuite integrate personalizate să efectueze o anumită sarcină (se elimină cazurile generale, implementându-se algoritmi speciali, specializați și optimizați). Versiuni similare sunt așa numitele SoC (System on a Cip) care conțin și alte blocuri funcționale (procesare pe 32 de biți, memorie ROM, RAM, EEPROM, Flash).

Menirea unei soluții de securitate software este de a înlocui și eventual de a îmbunătăți soluția de tip hardware (decizie luată în special din cauza prețului dispozitivelor hardware specializate). Astfel și soluțiile software se pot organiza într-un mod asemănător cu cel hardware, cu precizările următoare:

a) la securizarea accesului se pot folosi sistemele de monitorizare pe bază de coduri de acces (sau carduri), camere de supraveghere cu detecția mișcării.

b) la securizarea infrastructurii firewall-uri software, sisteme de monitorizare ale rețelei în vederea detectării de modificări la nivel de cablări, schimbări de configurare, declanșări de alarme, etc.;

c) la securizarea datelor – posibilități de backup automate, păstrate în diferite locații, programe de criptare, etc;

d) la securizarea calculatoarelor - IDS (Intrusion Detection Systems) – care pot monitoriza modificările din cadrul codului programelor și sesizează activitatea „neobișnuită” a rețelei, folosirea de aplicații de detectare a elementelor de tip malware (viruși, spyware, adware, grayware);

Din alt punct de vedere este foarte important de evidențiat faptul că aceste soluții de securitate se mai clasifică și în funcție de importanța lor, astfel, deosebim:

a) aplicații de tip firewall – pentru filtrarea datelor din cadrul unei rețele;

b) aplicații pentru detectarea codurilor dăunătoare: aplicații antivirus, aplicații anti-spamware, anti-adware, anti-grayware la nivel de rețea;

c) obligativitatea actualizării de patch-uri pentru sistemele de operare și aplicații instalate pentru a minimiza posibilitățile de infectare folosind breșele de securitate nou apărute.

Toate aceste aplicații sunt absolut necesare în orice rețea care este conectată la Internet. Pentru orice companie este forate important ca pe lângă setările de securitate pe calculatoarele utilizatorilor să aibă soluții de protecție și la nivelul rețelei. Întrucât soluțiile de securitate care se pot seta la nivel de desktop (sau laptop) sunt relativ limitate – în special prin prisma puterii de procesare și de disciplina și cunoștințele utilizatorilor – rămâne să se instaleze și configureze soluții dedicate de securitate la nivel de rețea, soluții de care să se folosească toți utilizatorii din cadrul ei.