Ha informatikai veszélyekről van szó, mindenkinek automatikusan a vírusok jutnak eszébe. A lehetséges veszélyek, támadási formák azonban ennél sokrétűbbek, így a védekezésnek is annak kell lennie.
Az Information Week globális felmérése szerint az interneten termékeket vagy szolgáltatásokat nyújtó cégek 59 százaléka jelentett be egy vagy több biztonsági eseményt, a támadások és vírusok 1,6 milliárd dolláros kárt okoztak.
Az MSBlaster, az SQL Slammer vagy a CodeRed támadásai által megfertőzött számítógépek százezreiről minden internethasználó hallott. Az idei esztendő (ez idáig) utolsó nevezetesebb vírusrohama szeptember 11-én fejeződött be, nem kevés bosszúságot okozva amatőr és professzionális felhasználóknak egyaránt.
Támadás innen és onnan
A támadás célja lehet adatszerzés, lehet hálózatunk időszakos vagy végleges lelassítása, leállítása, adataink részleges, teljes megsemmisítése, célzott vagy céltalan károkozás (a vírusok jelentős része ilyen). De használhatják rendszerünket – mögé bújva, így „anonimitást” szerezve – támadáskezdeményezésre is.
Az internetről jövő támadások jelentős része rendszerünk válaszainak megfigyelésével annak gyenge pontjait igyekszik kihasználni; másik része megpróbálja feltérképezni rendszerünket, és ennek alapján behatolni; a harmadik része vírusokat juttat védelmi vonalunk mögé; és természetesen kombinált támadások is vannak.
Semmiképpen sem elhanyagolható tényező, hogy a támadások jelentős része belülről – vagy belső segítséggel – történik. Nagyon sokszor használják ki az emberi jóindulatot, hiszékenységet. Egy klasszikus példa az úgynevezett „social engineeringre”, avagy „hogyan jussunk be a rendszerbe a telefon segítségével”:
„Magdika, a rendszergazda vagyok, megadná a jelszavát, ellenőriznem kell…” Az ilyen jellegű behatolás ellen megfelelő jogosultsági hierarchia kialakításával, átgondolt biztonsági politikával, illetve a munkatársak megfelelő továbbképzésével lehet védekezni.
Rendszerünk aktív elemei, a különféle szerverek (web-, adatbázis-, alkalmazás-), az útválasztók, a munkaállomások – operációs rendszerüktől függően – más-más támadásállósággal bírnak. Ismerünk olyan operációs rendszereket, alkalmazásokat, amelyek magukban is meglehetősen támadásállóak, és olyanokat is, amelyekkel sok „baj” van.
A hardver- és szoftvergyártók rendszeresen publikálják termékeik ismert hibáit (bár ezekre sok esetben a számítógépkalózok találnak rá először), amelyek egyegy támadás alapjai lehetnek (és lesznek is); az ezekhez tartozó javítócsomagokat is rendszeresen kibocsátják. Fontos, hogy rendszerünk ebből a szempontból is karbantartott legyen, hiszen legalább a már ismert hiányosságok kihasználásának esélyét tagadjuk meg a crackerektől.
Sajnos azonban ez ma még korántsem általános, nagyméretű, felügyelt rendszereken is elképesztő hibákat találnak néha a biztonsági felmérések során.
Ágyú és páncél
A javításokat sokszor megelőzik a támadások, ezért rendszerünket többféleképpen is védjük a világtól, a webes veszélyektől. Az egyik legelterjedtebb védekezési eszköz a tűzfal: ez csak az általunk megengedett forgalmat engedi át (többnyire); csak annyit „mutat” a rendszerünkből, amennyit hagyunk; azokat a funkciókat teszi elérhetővé, amelyeket engedünk; valamint jelzi a támadásokat.
Törekedni kell arra, hogy lehetőleg minél kevesebb „kapu” legyen rendszerünkön, és ezek se legyenek ellenőrizetlenek. Ilyen eset lehet, ha a drága tűzfallal, jól védett rendszerben van egy olyan PC, amely modemen keresztül, kapcsolt vonalon csatlakozik az internetre, vagy ha hasonló bejáratot biztosítunk külső munkatársnak. A tűzfalak jelentős része olyan operációs rendszereken fut, amelyek tulajdonságait a számítógépkalózok támadások indítására használhatják.
Vannak viszont olyan rendszerek is, melyeknek operációs rendszere nem ismert, továbbá nincs mozgó alkatrészük: ezek gyorsabbak, támadásállóbbak.
Ha vállalatunk egyidejűleg sok ügyféllel tart titkosított kapcsolatot, akkor meglehetősen nagy sávszélességet igényel a forgalom. Ebben az esetben viszont megnő az esélye annak, hogy valamilyen szolgáltatásmegtagadási támadás (Denial of Service, DoS) áldozatai leszünk.
A DoS olyan támadás, amelynek célja a rendszer lelassítása, összedöntése azáltal, hogy óriási mennyiségű fals kérelemmel bombázzák a megcélzott rendszert. Ilyen helyzetben a megtámadott kiszolgáló túlterhelődik, és a valós szolgáltatáskéréseket sem tudja teljesíteni; jobb esetben csak nagyon lelassul, rosszabb esetben teljesen le is áll, annak minden hátrányos következményével (bevételkiesés, imázsvesztés).
Ez ellen úgy védekezhetünk, ha rendszerünket bővíthetően, redundánsan építjük fel: míg egyik tűzfalunk támadás alatt van, egy terheléselosztó rendszer (load balancer) segítségével a másik tűzfalunkon tovább szolgáltathatunk, illetve internetezhetünk.
Vannak eszközök, melyek a DoS-támadásokat is hárítani tudják, miközben a rendszer üzemképes marad. Behatolásdetektáló rendszerünk (Intrusion Detection System, IDS) – mely a tűzfaltól független is lehet – jelzi, naplózza a támadást, az operátor intézkedhet.
A gyakorlat
Mindez eddig csupán elmélet; most nézzük meg, hogyan is működhet egy integrált védelmi rendszer a gyakorlatban.
Hálózatunkat több tűzfal védi, ezért valamelyik hibája, az ellene irányuló támadás nem okoz problémát. Terheléselosztó rendszerünk (FireProof) a forgalmat mindig a működőképes tűzfalak között osztja el, terhelhetőségüknek megfelelően. Sőt, a terheléselosztó biztonsági modulja a DoS-támadásokat is megfékezi, rendszerünk a támadás alatt is szolgáltathat tovább. A terheléselosztó ki lett egészítve egy IDS modullal is, amely a behatolási kísérletekről küld jelzéseket, végzi azok naplózását. Emellett segít a több elemből álló IDS-farmnak, mely így olcsó elemekből felépíthető és nagy teljesítményű.
Az ügyfélgépekkel a CertainT 100 SSL gyorsító tartja a titkosított kapcsolatot; ez a megoldás is redundáns, nagy teljesítményű. Sok száz ügyfél egyidejű, titkosított kiszolgálását teszi lehetővé, gyors válaszidővel.
Nem lassítja a rendszert a webszerverfarm sem: terheléselosztója a már ismert biztonsági előnyöket kínálja; az ügyfelekkel való titkosított kapcsolattartás teljesítményigényes feladatát pedig az SSL-gyorsítók átvették tőlük.
A vírusoktól sem kell tartanunk: vírusellenőrző átjáró vizsgálja át a leveleket. Természetesen ez a rendszer is állhat több egységből (lehet benne spamszűrő is), amelyek között a forgalom elosztását a CID (Content Inspection Director) végzi. Tovább gyorsítja a rendszert, hogy a CID speciális előszűrést végez: továbbengedi az úgynevezett megbízható állományokat (például a képeket), és mindenképpen a vírusvizsgáló rendszer felé továbbítja a „megbízhatatlan”, veszélyes forgalmat (.exe, .doc, .html állományok), némiképp tehermentesítve így a vírusirtót.
A jó rendszerben nemcsak a nyílt, hanem az SSL protokollal titkosított forgalmat is ellenőrzik: gondoskodnak arról, hogy a kibontott SSL-kapcsolatok először megjárják az IDS, illetve a vírusvédő rendszereket, és csak azután mehessenek tovább.
Egy ilyen rendszertől elvárható a tökéletes felügyelet lehetősége is: az adminisztrátor operátorának képernyőjén ott kell lennie a rendszer topológiájának, a lényeges rendszerelemekkel együtt. Értelemszerűen módot kell adnia arra, hogy a rendszerelemeket központilag teljes mélységben paraméterezni lehessen.
Epilógus
Mint látható, kétféle feladat van: nagyon bonyolult „táncrendeket” felismerő, óriási teljesítményigényű, ezért lassú pajzs emelése a támadó és a védett értékek közé; illetve a gyors, tömeges támadások kivédésére alkalmas, nagy áteresztőképességű rostély alkalmazása. Minden igényt kielégítő megoldást e rendszerek együttes alkalmazása adhat, főképp, ha a rendszerben már meglévő biztonsági elemeket gazdaságossági szempontok miatt fel akarjuk használni.
Szentpály Miklós
