A nagy jogosultságokkal rendelkező felhasználók tevékenységének figyelésére a naplózás nem minden esetben jelent megoldást.
Régóta tudják az információbiztonsággal foglalkozó szakemberek, hogy a kívülről jövő fenyegetések ellen sokkal könnyebb védekezni, mint a belsőkkel szemben. Ha külső féltől akarjuk megóvni a bizalmas információkat, számtalan módszerrel akadályozhatjuk meg, hogy hozzáférjen a titkokhoz. De az informatikai üzemeltetési részleg munkatársainak, rendszergazdáknak, a fejlesztőknek épp az a feladatuk, hogy a szerverek, adatbázisok mélyére hatolva oldjanak meg problémákat és biztosítsák a folyamatos működést. Hogyan lehet megakadályozni, hogy a magas jogosultságok birtokában lévő munkatárs ne éljen vissza a hatalmával, és ne kövessen el tiltott cselekedeteket? A kézenfekvő válasz, hogy figyelni és rögzíteni kell a tevékenységét, így később bármikor ellenőrizhető, hogy betartotta-e a játékszabályokat. Erre szolgálnának a ma már gyakorlatilag minden szerverben, adatbázisban és nagyobb vállalati alkalmazásban megtalálható naplók (logok).
Ám a beépített naplózófunkciók sok esetben csak a be- és kilépés rögzítésére szolgálnak, a rendszeren belül végzett tevékenységet már nem figyelik. De ha figyelik is: ha az adminisztrátornak korlátlan jogosultsága van az adott rendszeren, akkor a naplózást is ki tudja kapcsolni arra az időre, amíg elvégez valamilyen tiltott tevékenységet. Sőt, ha igazán ügyes, nem is kapcsolja ki a naplózást, csak éppen úgy állítja be a szűréseket, hogy csak éppen az ő tevékenységének ne maradjon nyoma – mondja Illés Márton, a Balabit biztonsági szakértője.
Naplózás, korlátokkal
Más módszerek is kínálkoznak a visszaélések megakadályozására. A hatáskörök megosztásával a rendszergazdák jogosultságait is lehet korlátozni, ahol erre van elég ember, a rendszer minden funkcióját el fogja érni valaki. Korlátozhatók a jogosultságok időben is. Nem személyre szóló adminisztrátori jelszavakat kell kiadni, hanem, ha adott feladat elvégzéséhez magasabb szintű jogosultság kell, akkor a rendszergazda a jelszókezelő programtól kérhet egyszer használatos jelszót. A jelszavak kiadása, ellenőrzése persze megint csak naplózott, így könnyebben ellenőrizhető, hogy ki és mikor járt a rendszerben, és az illegális tevékenységet is nehezebb elrejteni, mintha a rendszergazda a teljes munkanapot a rendszerbe való ki- és bejárkálással töltötte volna.
Megpróbálkozhat a vállalat a naplózás „felbontásának” növelésével is: még részletesebb adatok még több szintű gyűjtésével. Ezzel az a gond, hogy a naplóállományok már így is naponta gigabájtokkal gyarapodnak, ellenőrzésük, elemzésük tehát sok gondot okoz a biztonságért felelős szakembereknek. Az sem segít a helyzeten, hogy a logok igazából a tranzakciós jellegű tevékenységek megfigyelésére alkalmasak, és sokszor hiányzik belőlük a kontextus. A szöveges naplóállományból éppenséggel kikereshető, hogy a rendszergazda melyik állomány melyik rekordját nyitotta meg, de arra nem ad választ, hogy abban milyen adatok voltak és az illető mit csinált velük.
Egyre több cég állít rendszerbe központi naplózó megoldásokat, amelyek a különböző rendszerekből származó logokat egy helyen gyűjtik és tárolják, lehetővé téve az események korrelációját és teljesebb elemzését. Ez is magasabb védelmi szintet kínál, ha azonban a rendszergazdának lehetősége van a forrásoldalon manipulálni a működést – ezzel pedig megakadályozni, hogy bizonyos tevékenységekről bejegyzés készüljön és eljusson a központi rendszerre –, akkor megint csak nem lesz teljes a kép.
|
Összefüggésben nézve |
|---|
|
Az elmúlt évek tapasztalatai azt mutatják, hogy a tudatos információbiztonsági törekvések egyre inkább a hazai it-élet szerves részévé válnak. Nem csak a jogi környezet gyakorol nyomást: az it-biztonsági kultúra meghonosodásával egyre több vállalat törekszik adatai hatékony védelmére, az it-biztonság fokozására – mondta el Fülöp Péter, az AlphaNet üzletág-igazgatója. „Bennünket ez arra ösztönöz, hogy az egyes it-biztonsági szakterületeket mélyebben megismerjük, és ne csak a válaszokat adjuk meg ügyfeleink számára, hanem a kérdéseket is mi tegyük fel elsőként. Tanácsadóként legfontosabb feladatunk, hogy tapasztalataink alapján elemezzük az egyes szakterületek összefüggéseit. Épp ezért nem tartjuk elegendő biztosítéknak például az azonosság- és naplókezelést. Korábbi biztonsági megoldásainkat a Balabit Shell Control Box-szal egészítjük ki: így a távoli hozzáférések során végrehajtott valós tevékenységet felügyelhetjük és a privilegizált hozzáférések kezelését is magasabb szinten tudjuk megvalósítani” – tette hozzá a szakember. |
Kívülről figyelni
Másik lehetőség, amikor nem a rendszeren belül rögzítjük az eseményeket, hanem attól szeparáltan ellenőrizzük a rendszergazdai tevékenységet, ahogy azt például a Balabit által készített Shell Control Box (SCB) csinálja. Egy ilyen eszköz nem az ellenőrizni kívánt szerveren fut kiegészítő funkcióként, hanem azt a pontot figyeli, ahol az adminisztrátor a távolból belép a rendszerre. Működése során az SCB ellenőrzi az ott átmenő hálózati forgalmat és rögzíti a szerver és a kliens (vagyis a rendszergazda) között zajló kommunikációt, menjen az bármilyen protokollon (ssh, telnet, egyéb) és bármelyik irányba.
Ez jóval teljesebb körű és könnyebben értelmezhető naplózást tesz lehetővé, mint a hagyományos logkészítő rendszerek, mondja Illés Márton. A megoldás nemcsak az eseményeket (belépést, fájlmegnyitást) rögzíti, hanem minden egyes billentyűparancsot, leütést, adatbevitelt vagy éppen a grafikus felületen történő kattintást. Mi több, az esetlegesen átmásolt állományok tartalma is tárolható és visszaállítható.
Az események értelmezése sem korlátozódik szöveges naplóállományok bogarászására. A rendszer egyfajta „videót” készít az eseményekről, amelyet külön kis programban vissza lehet nézni, bármelyik pillanatban megállítva, előre- vagy visszatekerve. Az elemzők tulajdonképpen azt látják, mintha a rendszergazda háta mögött állva figyelték volna a képernyőt a rögzítés időpontjában.
A jogosultságok szétválasztásának persze itt is nagy szerep jut a csalások megelőzésében. Az informatikai rendszereket működtető rendszergazdáknak semmilyen jogosultságuk nincs az SCB-ben: annak konfigurálását más szakemberek végzik, sőt, a keletkezett auditállományokat sem nézhetik meg, és nem módosíthatják. Az állományok titkosítottak, digitálisan aláírtak, és annak sincs akadálya, hogy két külön kulccsal titkosítsák – így még a visszanézéséhez is két ember együttműködésére van szükség. „Az összebeszéléseket, konspirációkat persze soha nem lehet teljesen kizárni, de minél több embert kell bevonni, annál kisebb az esély a sikerre”, teszi hozzá Illés Márton.
Schopp Attila
