Download in .ppt format
Download
Report
Transcript Download in .ppt format
Kockázatkezelés
Krasznay Csaba
Emlékeztetőül
A védelem tárgya mindig az információ.
Az információnak három biztonsági tulajdonsága van:
Bizalmasság
Sértetlenség
Rendelkezésre állás
Az információ ezen három alaptulajdonságával
állítható össze egy rendszer biztonsági szabályzata,
ami egy állítás arról, hogy mit szabad és mit nem
szabad.
Biztonsági mechanizmusok
A biztonsági mechanizmus az az eljárás, eszköz vagy
művelet, amik a biztonsági szabályzatot érvényre
juttatják.
A félév során elsősorban ezekről a mechanizmusokról
fogunk beszélni, de sose szabad elfelejteni, hogy ezek
mindig csak eszközök, a cél a szabályzatokon keresztül
mindig az információk védelme!!!
Ökölszabályok
Alapszabály, hogy a védekezésre nem szabad többet
költeni, mint amekkora kárt az információ valamilyen
kompromittálódása okoz! (-> ágyúval nem lövünk
verébre)
A védelem legyen teljeskörű, az egész rendszerre
terjedjen ki!
Legyen zárt, tehát vegyen figyelembe minden
fenyegetést, legyen folytonos, tehát kövesse a
változásokat és folyamatosan valósuljon meg!
Készüljünk fel a kompromisszumok vállalására!
A védelem legyen egyenszilárdságú!
Biztonsági mechanizmusok
A biztonsági mechanizmusoknak is három típusát
ismerjük:
Preventív: a szabálysértések megelőzésére irányuló
cselekmények.
Detektív: a szabálysértések felderítésére irányuló
cselekmények.
Korrektív: a szabálysértések bekövetkezése utáni
elhárításra irányuló cselekmények.
Összefoglalóan ezt PreDeCo elvnek hívjuk.
Az információbiztonság három
alapkérdése:
Mit kell megvédeni? (Válasz: az információt)
Mi ellen kell védeni? (Válasz: Azon támadások ellen,
amik a CIA tulajdonságokat, és ezen keresztül a
szabályzatok betartását veszélyeztetik)
Milyen módon kívánjuk megvédeni? (Válasz: azokkal
a védelmi mechanizmusokkal, amik a PreDeCo elvet
teljesítik)
+1 Hogyan
győződhetünk meg róla, hogy a védelem
működik?
Információbiztonság,
mint folyamat
1.
2.
3.
4.
5.
Információvagyon felmérése, értékelése
Fenyegetések számba vétele, kockázatok
meghatározása
Kockázatok kezelése (5-féle módszer)
Védelmi intézkedések nyomon követése
Ugrás 1-re
Megvalósítás módja
Vagyonleltár: a vagyontárgy azonosítása, értékelése
Sebezhetőségvizsgálat
a lehetséges, releváns fenyegető tényezők számba vétele
a sikeres támadáshoz szükséges támadható felületek
(sebezhetőségek) azonosítása
Kockázatértékelés: a sikeres támadás valószínűségének, és az
azon keresztül a vagyontárgyban okozott kár mértékének
becslése
Védelmi intézkedés tervezése és bevezetése
Védelmi intézkedés működtetése, ellenőrzése
Kockázatok újraértékelése
A kockázatkezelés végrehajtásának
módja
Kockázatkezelési módszertan dokumentálása
(kvalitatív, v. kvantitatív, elfogadható és nem elfogadható kockázatok)
Releváns fenyegető tényezők azonosítása
A létező sebezhetőségek feltárása
A létező és üzemelő védelmi intézkedések hatékonyságának vizsgálata
A sikeres támadás előfordulási gyakoriságának becslése
(nagy körültekintést és szakértelmet igényel, használható módszerek: HAZOP, FMEA, FTA,
ETA, HRA)
A kockázat mértékének meghatározása minden egyes vagyontárgyra
(kvalitatív: kitettségi mátrix)
Kockázat kezelésének módja (öt lehetőség)
Lehetséges védelmi intézkedések kidolgozása
amelyek a kockázatot a még elfogadható szintre csökkentik (preventív, detektív, korrektív)
Alkalmazás
Vagyonleltár
Adat
Technológia
A cég információs vagyonának leltára
Tartalma
Környezeti
infrastruktúra
Adatok (név, leírás, gazda, kárérték)
Humán
Folyamatok (név, leírás, tevékenységek, gazda,
erőforrások
kritikus időszakok, kárérték)
Adathordozók (név, leírás, jellemzők, gazda, kárérték)
+ alkalmazás, technológia, infrastruktúra, személyzet
A további lépések alapja, mert
a sebezhetőségvizsgálat a vagyonelemek „üzemi
környezetének” fenyegetéseit méri fel
a kockázatelemzés meghatározza a kárértékek és a
sebezhetőségek alapján a kockázati szintet
az „üzemi környezet” besorolása a vagyonelemek
kockázati szintje alapján történik ...
A vagyonleltár elkészítésének módja
Interjúk során lehet pontos képet alkotni a vállalat
adatvagyonáról.
Az interjú menete:
Az osztály/terület tevékenységi körének
megismerése
A terület dolgozói által végzett munkafolyamatok
feltérképezése (tevékenységek, adatok,
adathordozók, IT rendszerek azonosítása)
Azonosított vagyonelemek értékelése
(együttgondolkodás az elszenvedhető károkról)
A vagyonleltár elkészítésének módja
A leggyakoribb kérdések:
Milyen következményekkel járhat, ha az adat rossz
kezekbe kerül?
Mennyibe kerül az adatok épségének helyreállítása?
Milyen kárt okoz a nem felismert sérülés?
Milyen következményei lehetnek, ha az üzleti
folyamat nem megy (egy óráig, egy napig, egy hétig,
…)?
A kár mértékének meghatározásakor, több lehetőség
közül mindig a legrosszabbat kell figyelembe venni!
Sebezhetőségvizsgálat
Célja: a rendszer gyenge pontjainak azonosítása.
Input: vagyonelemek listája („működési környezet”)
Output: „kockázati tényezők” listája
vagyonelemenként (fenyegetés + sérülékenység)
Továbblépés: bekövetkezési gyakoriság becslése,
kitettség számítása.
Kockázat: az egész projekt kritikus pontja
ha túl felületes, a kockázatelemzés értelmét veszti;
ha aprólékosabb, mint amit a szervezet elbír
belebukhat a projekt.
Definíciók
Fenyegetés (Threat): Olyan esemény, melynek
bekövetkezése nem kívánt hatással jár egy
vagyontárgyra nézve (pl. vírusfertőzés).
Sérülékenység/sebezhetőség (Vulnerability): Olyan
feltétel, melynek teljesülésével egy fenyegetés
gyakrabban vagy nagyobb hatással következhet be (pl.
operációs rendszer sérülékenység, amin keresztül egy
féreg fertőzni tud).
Példa fenyegetésekre
Környezeti: Természeti katasztrófák, elemi csapások,
tűz, stb.
Fizikai: betörés, stb.
Informatikai: hardver/szoftver hibák, stb.
Szervezeti: szerepkörök szétválasztásának
elmulasztása, feladatok rotálásának elmulasztása, stb.
Humán: kémkedés, social engineering, stb.
Védelmi potenciál
Sok esetben, az informatikában előszeretettel, nem a
legnagyobb értéket támadják meg, hanem amit a
legkisebb erőfeszítéssel lehet támadni! Ezért fontos a
védelmi potenciál fogalma, mely annál nagyobb
minél erősebb a védelem;
minél összetettebb a sikeres támadáshoz szükséges
eszközpark és szakértelem;
minél kisebb a támadásra fordítható idő;
minél kisebb a támadási cél értéke.
CRAMM támadási modell
A fenyegetések
kihasználják
a sebezhetőségeket
, ami kárt okoz a
a biztonsági esemény
, melyek
következménye
a vagyontárgyban.
, aminek
a tulajdonosra .
hatása
van
A Central Computer and Telecommunation Agency (Egyesült Királyság) által kidolgozott
kockázatelemzési és kezelési módszertan – CCTA Risk Analysis and Management Method)
Következtetés
A CRAMM támadási modell azt szimbolizálja, hogy
alapvetően három dolog kell a biztonsági esemény
bekövetkezéséhez (a támadáshoz):
fenyegetés,
sebezhetőség, amin keresztül a fenyegetés kifejti a
hatását (amin keresztül a támadás megindítható), ez
lehet magában a védelemben is,
cél, amiben/amivel kárt lehet okozni.
A sebezhetőségvizsgálat módszerei
Ad hoc:
találomra összegyűjt néhány sérülékenységet.
Checklist:
egy fenyegetés/sérülékenység/védelmi intézkedés
adatbázisból kiindulva a működési környezet minden elemére
ellenőrzi, hogy mely kockázati tényezők állhatnak fenn.
Állapotfelmérés:
területenként áttekinti a szervezet működését, feltérképezi a
folyamatokba épített kontrollokat, a környezeti és technológiai
védelmi intézkedéseket, valamint leellenőrzi azok működését.
Technológiai vizsgálatok
külső, belső sebezhetőségvizsgálat (vulnerability
scanner)
konfigurációelemzés
határvédelmi rendszer által kikényszerített
biztonságpolitika elemzése
hálózati forgalom analízis
egyedi fejlesztésű alkalmazások vizsgálata
Infrastruktúra, környezeti biztonság
Vizsgálat módja: bejárás
Néhány terület: élőerős védelem, mechanikai védelem,
elektronikus védelem (portaszolgálat, kulcskezelés,
beléptető rendszer, riasztó rendszer, képrögzítés,
tűzvédelem, légkondicionálás, áramellátás, villám-,
érintés-, túlfeszültség védelem, kábelezés biztonsága,
építészeti megoldások, üres íróasztal politika betartása,
…)
Működési folyamatok vizsgálata
Vizsgálat módja: interjú az érintettekkel
Néhány terület: rendszerek beszerzése, üzembe
helyezése, karbantartás, rendszerfejlesztés,
változáskezelés, jogosultságkezelés, mentési rend,
naplózás, hibakezelés, feladat és felelősségi körök,
képzettség, gyakorlat, tudatosság, fluktuáció, üzleti
folyamatok zártsága, …
Értékelés módja
Eltérés mértéke az „iparági helyes gyakorlat”-tól
Források: Best practise gyűjtemények
ISO 27002
CobiT
ITIL
Néhány hasznos eszköz
Beállítások legyűjtése
cfg2html
openeyet-scc
Vulnerability scanner
Nmap
Nessus
Internet Security Scanner
eEye Retina Scanner
Nikto, WebScarab
Core Impact (auto.pen.test)
McAfee Vulnerability
Manager
Hálózati forgalom analízis
tcpdump
Ethereal
ettercap
Hardening level, patch level
mbsa (Microsoft Baseline
Security Analiser)
Microsoft Exchange Server Best
Practices Analyzer
jass (Jumpstart Architecture
and Security Scripts)
Bastille-linux, Security
Enhanced Linux, GR Security
Sebezhetőségvizsgálat – összefoglalás
Honnan indultunk?
vagyonleltár, (utalás) a működési környezet
elemei(re)
Mit végeztünk?
megvizsgáltuk a működési környezet elemeit
információbiztonsági szempontból (3 megközelítési
mód)
Mi a végeredmény?
Releváns, valós, a működési környezet konkrét
elemeihez kötött fenyegető tényezők (fenyegetés +
sebezhetőség)
Kockázatelemzés
Célja: döntéstámogatás költséghatékony védelmi
intézkedések bevezetéséhez.
Input: vagyonleltár (a cég modellje) + ezek
sebezhetőségei.
Output: a vagyonelemek rendezett listája kockázati
kitettség szerinti sorrendben.
Továbblépés: a legnagyobb kockázatú néhány(!)
vagyonelem kitettségének csökkentése védelmi
intézkedések tervezésével és bevezetésével.
Kockázat
A kockázat az a fogalom, ami kifejezi egy
vagyontárgyra vonatkozó lehetséges negatív
hatásokat.
Más megfogalmazás szerint egy esemény
valószínűségének és következményének kombinációja.
Formálisan: R=∑ptdt, minden tT, ahol R a kockázat, T
a veszélyforrások halmaza, pt egy adott veszélyforrás
bekövetkezési valószínűsége, dt a keletkező kár.
Common Criteria kockázati modell
értékelik
Tulajdonosok
csökkenteni akarják
alkalmaznak
Védelmi intézkedések
csökkentsék
Kockázat
Támadó
melyek növelik
felé nézve
okoz
Fenyegetések
visszaél és/vagy megrongál
felé nézve
Vagyontárgyak
Kvantitatív kockázatbecslés
A kvantitatív módszer az Amerikai Szabványügyi
Hivatal által kiadott publikációban (FIPDPUB65)
meghatározott képlettel számolható:
(Asset Value x Exposure Factor = Single Loss
Expectancy) x Annualized Rate of Occurrence =
Annualized Loss Expectancy
Vagyontárgy
értéke (Asset Value): a becsült
forintosított érték.
Kitettségi
mutató
(Exposure
Factor):
A
vagyontárgyban
keletkezett
kár
vagy
hatás
nagyságának mértéke.
Kvantitatív kockázatbecslés
Egyszeri várható veszteség (Single Loss Expectancy):
Egy kockázat egyszeri bekövetkezésekor várható
veszteség mértéke.
Éves bekövetkezés mutató (Annualized Rate of
Occurence):
A
kockázat
bekövetkezésének
valószínűsége éves szinten.
Várható éves kár (Annualized Loss Expectancy): egy
kockázat által okozható veszteség éves szinten.
Az
SLE értékének és a sikeres támadás
bekövetkezésének évre számolt valószínűségéből
határozható meg a vagyontárggyal kapcsolatosan egy
fenyegetésre jellemző várható éves kár .
Kvantitatív kockázatbecslés
Mennyi az ALE értéke annak, hogy leég a
telephelyünk?
Legyen a telephely értéke (Asset Value) 100 millió
forint, a kitettségi mutató (Exposure Factor) 50%, az
éves bekövetkezési mutató (Annualized Rate of
Occurrence) pedig 1/25 (25 évente egyszer)!
(100m HUF x 0,5) x 1/25 = 2m HUF
A tűzre jellemző várható éves kár tehát 2m forint.
Ez azt jelenti, hogy ennél többet nem érdemes évente
tűzvédelemre elkölteni, hiszen nem érdemes a várható
kárnál többet költeni védekezésre.
Kvalitatív kockázatbecslés
Az Ausztrál Szabványügyi Hivatal által kiadott
AS4360 számú – a kockázatkezelésről szóló –
dokumentumban foglalt kvalitatív módszer szerint:
A kockázat mértéke szintén az elszenvedhető kár
mértékével és a bekövetkezés gyakoriságával arányos.
Mind a vagyontárgy értéke, mind a bekövetkezés
gyakorisága, mind pedig a kockázat mértéke egy-egy
kvalitatív skála segítségével adható meg.
A három érték közötti összefüggést egy táblázat, az ún.
kitettségi, vagy kockázati mátrix adja meg.
Módszerek
Hazard and Operability Studies (HAZOP): Több, mint 30 éves
brit ajánlás, mely elsősorban az iparban használatos, feladata a
lehetséges veszélyek és működési problémák felderítése.
Failure Mode and Effects Analysis (FMEA): 1949-ben vezette be
az USA hadserege, azóta használatos pl. az űrkutatásban és az
autógyártásban. Egy rendszer fő hibaforrásainak azonosítására
használható.
Health Risk Assessment (HRA): Az egészségügyi kockázatok
felmérésére használható módszertan.
Event-tree Analysis (ETA): Bináris logikán alapuló módszer,
melyben egy esemény vagy megtörténik, vagy nem. Egy nem
kívánt esemény következményeinek felmérésnél használható.
Fault Tree Analysis (FTA)
A modellben a logikai fa gyökere egy nem kívánt
esemény bekövetkezése (fenyegetés).
Ebbe a gyökérbe (csúcseseménybe) vezet minden
olyan elemi esemény, ami a csúcsesemény
bekövetkezéséhez vezethet.
Az elemi események bekövetkezési valószínűségéről
rendelkezünk valamilyen információval.
Az események közötti kapcsolatot logikai kapukkal
szimbolizáljuk (pl. ÉS, VAGY, NEM).
Fault Tree Analysis (FTA)
Vírussal fertőződök meg a számítógép
1-((1-1/100000)*(1-1/1000)*(1-1/20))=0,051
1/100000
1/100
Nincs
bekapcsolva a
heurisztikus
keresés
1/20
1/1000
1/1000
Célzott
támadás
a cég
ellen
1/10
Nincs
beállítva a
tűzfal
1/100
0-Day
támadás az
oprendszer
ellen
1/10
Nincs
bekapcsolva
a vírusirtó
1/2
Fertőzött email érkezik
Bekövetkezési gyakoriság
Kvalitatív módszer esetén példa kár gyakoriság táblázatra:
5 Sikeres támadás hetente előfordulhat, akár többször
is
4 Sikeres támadás havonta egyszer előfordulhat
3 Sikeres támadás évente egyszer előfordulhat
2 Sikeres támadás ötévente egyszer fordulhat elő
1 Sikeres támadás csak rendkívüli vagy vis major
esetben fordulhat elő
Kárkövetkezmény
5
4
3
2
Az üzletmenet teljes leállása, a cég csődje, haláleset
Az üzletmenet ideiglenes fennakadása
Fennakadás bizonyos munkafolyamatokban
Jelentős kár, mely nem jár a munkafolyamat
megszakadásával
1 Elhanyagolható kár
Példa kitettségi skálára
Példa kockázati szint táblázatra:
Kr
Óriási kockázat, azonnali, haladéktalan beavatkozást igényel,
középtávon is megnyugtató megoldást kell találni a kockázat
kezelésére.
Ma
Nagy kockázat, ideiglenes védelmi intézkedés szükséges,
amíg a rövidtávú védelmi intézkedés el nem készül.
Mé
Jelentős kockázat, rövidtávú intézkedés szükséges, és
folyamatos monitorozás, annak érdekében, hogy a nagy kockázat
irányába történő elmozdulás a lehető legrövidebb idő alatt
azonosítható legyen
Al
Kicsi kockázat, azonnali és rövidtávú védelmi intézkedést
nem kíván, de folyamatos monitorozása szükséges, annak
érdekében, hogy a nagyobb kockázatok irányába történő
elmozdulás felismerhető legyen
Kockázati mátrix
A kockázati mátrix az információs vagyontárgytól
független módon kapcsolatot létesít a kárérték, a kár
gyakoriság és kockázati szint között.
E táblázat előnye, hogy mód van különbséget tenni a
nagy valószínűségű, de kis kárt okozó illetve a kis
valószínűségű, de nagy kárt okozó fenyegetések
között, míg kvantitatív módszer használata esetén ez a
matematikai művelet miatt a végeredményből nem
megállapítható.
Kockázati mátrix – példa
Kárkövetkezmény
Gyakoriság
Al – Alacsony
Mé – Mérsékelt
Ma – Magas
Kr – Kritikus
1
2
3
4
5
5
Mé
Ma
Kr
Kr
Kr
4
Mé
Mé
Ma
Kr
Kr
3
Al
Mé
Ma
Kr
Kr
2
Al
Al
Mé
Ma
Kr
1
Al
Al
Mé
Ma
Kr
Bekövetkezés gyakoriságának
meghatározása
Célja: a kockázatok számításához két input kell: az
érték (az adatvagyon felméréséből) és a bekövetkezési
gyakoriság
Feladat: a konkrét sebezhetőség-objektum párokhoz
bekövetkezési gyakoriságot rendelni (objektumonként
eltérő lehet!!!)
Módja: Expert judgement (von Bauch-féle
approximáció )
Módszer
Alapadatok
statisztikai adatok
személyes tapasztalatok
józan ész
Értékelés
működő védelmi intézkedések, kontrollok
figyelembevételével
a védelmi intézkedések hatékonyságának
értékelésével
Nem kell abszolút pontosság, csak a relatív értékek
következetessége számít
Hasznos szempontok
Hozzáférők száma
Szükséges szaktudás mértéke
Speciális szakismeret szükségessége
Fizikai jelenlét szükségessége
Speciális eszköz szükségessége
Kivitelezés költsége
Automatizálhatóság
Lelepleződés valószínűsége (észlelhetőség)
Rendelkezésre álló/szükséges idő
Okozható kár mértéke
…
Ökölszabályok
Műszaki hiba, természeti katasztrófa
statisztikai adatok (pl.: bűnügyi, biztosítási)
kialakítás specialitásai
Emberi tevékenység
gondatlan, vétlen károkozás
hozzáférők száma
szándékos károkozás
szükséges szaktudás
okozható kár mértéke
Internetes támadások
Ált. a legmagasabb gyakoriságosztály
Zónázás!!!
Végeredmény
A sérülékenységekhez CIA kategóriát kell rendelni
Az információs vagyonelemek mely biztonsági
kritériumait veszélyezteti
Az objektum-sérülékenység párokhoz gyakoriság
értéket kell rendelni
Adott sérülékenységre eltérő lehet objektumonként
Kitettség számítása
Feladat: a kár- és gyakoriságértékek alapján minden
vagyonelemre meg kell határozni a kitettséget
Módja:
minden egyes vagyonelemre (célszerűen
adathordozóra) összegyűjteni a vonatkozó
sérülékenységeket
kiszámítani az összevont bekövetkezési
gyakoriságot
a kitettségi mátrix segítségével meghatározni a
kockázatot
Módszer: FTA (Fault Tree Analysis)
FTA kiértékelése
Módszer:
Maximum képzés a kárértékekre CIA kategóriánként
Végeredmény
Az adott vagyonelemet veszélyeztető tényezők
bekövetkezésének összevont gyakorisága a
bizalmasság
sértetlenség
rendelkezésre állás
sérülésére vetítve.
Továbblépés: kockázati szint meghatározása a kitettségi mátrix
alapján
A szűkített modell
Információ
Sértetlenség kár
tartalmaz
Adattároló
kezeli
használ
Folyamat
használ
Alkalmazás
Szervezeti egység
telepített
megtalálható
Szerver
üzemelteti
érték ´ gyakoriság = kockázat
Sebezhetőség vizsgálat
megtalálható
Adathordozó
Rendelkezés kár
Vagyonleltár,
kárérték meghatározás
Bizalmasság kár
Sebezhetőségvizsgálat
Alkalmazás
Sebezhetőségvizsgálat
Bizalmasság kár
Sértetlenség kár
Információ
Adathordozó
tartalmaz
megtalálható
használ
kezeli
Adattároló
Technológia
Rendelkezés kár
használ
Alkalmazás
Szervezeti egység
telepített
megtalálható
Környezet
üzemelteti
Szerver
Humán
Sebezhetőségek
Sebezhetőségek
Sebezhetőségek
Gyak
Sebezhetőségek
Bekövetkezési
gyakoriság
meghatározása
Gyak
Sebezhetőségek
Folyamat
Gyak
Sebezhetőségek
Kitettségértékek származtatása
Gyak
Sebezhetőségek
3. fault tree analízis
B/S/R
B/S/R
Szerver
Alkalmazás
Gyak.
Adattároló
Szervezeti egység
Gyak.
Bizalmasság kár
Információ Gyak.
Rendelkezés kár
Folyamat Gyak.
B/S/R
B/S/R
Gyak.
Gyak.
Bizalmasság kár
Sértetlenség kár
Rendelkezés kár
Adathordozó
Gyak.
4. kockázatok meghatározása
B/S/R
Gyak.
= kockázat
backdoor, trójai faló
jogosultsági rendszer megkerülése
rosszul tervezett jogosultsági/biztonsági rendszer miatt
visszaélés
nem felel meg a jogszabályi feltételeknek
támadó szoftver használata, speciális kártékony kódok
általános kártékony kódok, vírus- és féregtámadás
konfigurációs hiányosság kihasználása
tervezési problémák kihasználása (lehallgatás,
csomagbeillesztés, alkalmazás inkompatibilitás, stb.)
lopás
roncsolás, rongálás
közveszéllyel fenyegetés
közveszély okozás
social engineering, túlzott bizalommal visszaélés
zsarolás
szándékos károkozás (csalás)
véletlen károkozás, képzetlenség, fáradtság
harmadik személy hozzáférése (kihelyezés)
Alkalmazás
Támadás IT erőforrásokon keresztül
(FTA példa)
Adat
Technológia
Környezeti
infrastruktúra
Humán
erőforrások
FTA példa adott vagyonelemre
Végeredmény
vagyonelem-kitettség párok
sorba rendezhető – priorizál
az okok visszakereshetők – intézkedések lehet tervezni
Számít, hogy mik voltak a konkrét gyakoriságértékek
(definíciói)?
Eredmény értékelése
Milyen eredményeket kaptunk?
Egy csomó minden amire számítottunk
Néhány dolog, amire nem gondoltunk, de végig
gondolva indokoltnak tűnik
Várható volt, kezelni kell…
Ezek miatt volt az egész cécó…
Néhány váratlan eredmény, ami nem tűnik
indokoltnak
Lehet, hogy nem volt jó a modell…
Döntési pontok (ISO 27001):
Módszertan (pl.: kárértékskála, gyakoriságskála,
kitettségi mátrix)
Még elfogadható kockázat szintjének kijelölése
Magasabb kockázatok kezelése
Javaslatok kidolgozása
Megvalósítás kiválasztás
Maradvány kockázat dokumentált felvállalása
Kockázatkezelési módszerek
A kockázat figyelmen kívül hagyása
Az előfordulás valószínűségének csökkentése
Kockázat következményeinek csökkentése
Kockázat áthárítása harmadik félre
Kockázat felvállalása
Megvalósítás
Legnagyobb kockázatot jelentő vagyonelemek
kiválasztása
Kockázatkezelés módjának kiválasztása
Célzott védelmi intézkedések tervezése
Védelmi intézkedések kiválasztása és
bevezetése
Védelmi intézkedések
A védelmi intézkedések három tulajdonsággal
rendelkezhetnek, emlékezzünk a PreDeCo elvre!
És három típusát különböztetjük meg:
Fizikai: a klasszikus biztonságtechnika (később
részletesen tárgyaljuk)
Logikai: az informatikai biztonság (ezt pedig
különösen részletesen fogjuk tárgyalni)
Adminisztratív: az írásos utasítások összessége,
több szinten.
Adminisztratív védelmi intézkedések
Szabályzat
Szabvány
Alapbeállítások
Eljárások
Útmutatók
Adminisztratív védelmi intézkedések
Szabályzat (Policy): Tartalmazza a vezetőség
jóváhagyását, a célokat, a mértékeket és a
felelősségeket. Magasszintű leírás az
információvédelmi filozófiáról. Technológia- és
megoldásfüggetlen leírás.
Szabványok (Standards): Kötelező tevékenységek,
szabályok vagy szabályozások a szabályzatok
támogatására. Univerzálisan használatos szabályokat
fektet le.
Alapbeállítások (Baselines): A biztonsági megoldások
megvalósításának kötelező leírásai. Biztosítja az
egyenszilárdságú védelmet a szervezetben.
Adminisztratív védelmi intézkedések
Eljárások (Procedures): Kimondják, hogy hogyan kell
lépésről végrehajtani a működési környezetben a
szabályzatokat, szabványokat és alapbeállításokat.
Útmutatók (Guidelines): Olyan általános leírások,
melyek a szabályzatok azon céljainak
megvalósításához adnak keretrendszert, melyeket az
eljárások nem fednek le. Nem kötelező, hanem
szabadon választható ajánlásokat tartalmaz.
Adminisztratív védelmi intézkedések
Politika: Az információ tulajdonosának gondoskodnia kell az
információk sértetlenségéről.
Szabvány: Az információ tulajdonosának vírusirtó szoftvert kell
alkalmaznia az információ sértetlenségének biztosítása
érdekében.
Alapbeállítás: Minden számítógépen fel kell telepíteni az X
víruskereső szoftvert, aminek folyamatosan frissíteni kell az
adatbázisát.
Eljárás: Kattints az install.exe fájlra, kattints a Next gombra… A
Beállítások menüben kattints rá a Napi frissítés gombra.
Útmutató: Az alkalmazottaknak évente olyan tanfolyamokon
szükséges részt venniük, melyeken megismerik a vírusok okozta
veszélyeket, és azok kivédésének technikáit.
Hasznos linkek
http://vulncat.fortifysoftware.com/
MeH ITB 8. sz. ajánlása http://www.itb.hu/ajanlasok/a8
http://www.bsi.bund.de/english/gshb/manual/download/threatcatalogue.pdf
http://www.bsi.bund.de/english/gshb/manual/download/safegua
rd-catalogue.pdf
Szabó Géza: Bevezetés a hibafaanalízisbe.
http://www.kka.bme.hu/~szabo-g/lib/hibafa/hibafa.htm
Biztostű.hu.
http://www.biztostu.hu/mod/resource/view.php?id=121
Összefoglalás
Információ
Vagyontárgy
Fenyegetés
Sérülékenység
Kockázat
Védelmi intézkedések
Sorszám
Fenyegetés
megnevezése
Bekövetkezés
valószínűsége
Bizalmassági
kár
Sértetlenségi
kár
Rendelkez
ésre állási
kár
Kockázat
1.
Vírusfertőzés
(backdoort
nyitó trójai)
3 (Évente 1x)
5 (Csőd)
2 (Jelentős
kár)
3
(Fennakadás)
Kritikus
A témához tartozó kérdések
Az első előadás után azonosított védendő információk
milyen vagyontárgyakon keresztül érhetők el?
Azonosítson ezekhez a vagyontárgyakhoz min. 1, max.
3 fenyegetést, és minden fenyegetéshez min. 1, max. 3
sérülékenységet!
Határozza meg a fenyegetéshez tartozó kockázati
szintet!
Milyen védelmi intézkedéssel csökkentené a
kockázatot (fizikai, logikai, adminisztratív és
preventív, detektív, korrektív)?
A kérdésekre indoklással legalább kétoldalas választ
várunk!
Köszönöm szépen!
[email protected]
Az előadás letölthető:
www.krasznay.hu/presentation/elte_02.pdf