Nejen domácnosti ale i firmy problematiku likvidace dat velice často podceňují. Velmi se pak podivují, když se stanou obětí nějakého útoku. Šetřením se navíc ukáže, že právě v PC nebo notebooku, který byl dán do bazaru nebo věnován jakési organizaci v rámci charitativní akce v době, kdy firma nahrazovala zastaralou výpočetní techniku novou, se nacházela citlivá data. Pokud nemáte proces likvidace dat spolehlivě ošetřen, tak vás ani sebelepší DLP řešení neochrání.

Fyzická likvidace

Firmy by měly přijmout zásadu, že v okamžiku, kdy jakýkoliv nosič informací definitivně opouští prostory jejich firmy, tak musí být fyzicky zlikvidován nebo musí být data na něm uložená bezpečným způsobem odstraněna. S likvidací optických medií a disket firmy obvykle nemívají problém a proces likvidace zapracovaly do svých interních instrukcí, neboť je v celku prostý. Takové médium stačí vhodit do skartovačky nebo zlomit. S HDD je to bohužel horší, ale i zde existují jednoduchá řešení. Pokud nechcete likvidaci provádět sami, tak na trhu je dost firem, které vaše média za úplatu rádi zlikvidují, mnohdy i ekologicky. Taková likvidace pak spočívá v rozebrání HDD na jednotlivé díly, sešrotování a roztavení. Pravda, některé z těchto firem se s nějakým rozebíráním nezdržují a na drcení HDD používají několika tunový skartovací stroj a vzniklou drť pak roztaví v peci a vydají o celém procesu likvidace, kterému může přihlížet i zákazník, certifikát.

Přepsání náhodnými daty

Pokud nechcete médium fyzicky zlikvidovat, narazíte zpravidla na problém, jak data bezpečně odstranit. Prosté smazání souborů totiž obvykle nestačí, neboť např. Windows soubory nemažou, ale pouze pozmění hlavičku souboru a v alokační tabulce a označí příslušné místo jako volné. Takto smazaná data není příliš velký problém obnovit, neboť na internetu je k dispozici spousta nástrojů, které to hravě zvládnou. Ty, co jsou zdarma, nejsou vždy úspěšné a všechny smazané soubory neobnoví, nicméně lze si připlatit a zakoupit profesionální řešení, které si s tímto problémem snadno poradí.

Demagnetizace

Kromě fyzické likvidace médií nebo bezpečného přepsání dat náhodnými daty je možné použít i demagnetizátor (degausser). Jedná se o nejrychlejší metodu, jak data z HDD spolehlivě odstranit. Je třeba si však uvědomit, že HDD se poté stává prakticky nepoužitelným, protože kromě dat dojde i ke zničení informací, které byly na disk zapsány v továrně při nízko-úrovňovém formátování (Low-Level Format zkr. LLF). Mimochodem, víte o tom, že se vyrábí i demagnetizátory, které se montují přímo do počítačové skříně?

Několikanásobné přepsání náhodnými daty

Jediný způsob, jak data bezpečně odstranit, je přepsat celý disk náhodnými daty. Podrobný návod na likvidaci obsahuje např. US Standard DoD 5220.22-M nebo NIST 800-88 Guidelines for Media Sanitization. Na internetu lze stejně jako v případě nástrojů na obnovu dat najít i nástroje na jejich bezpečnou likvidaci, např. Darik’s Boot and Nuke, KillDisk nebo Eraser. Pozor, pouhý jeden přepis trvá několik hodin a doporučovaný několikanásobný přepis např. Gutmannovou metodou, vyžadující přepis 35násobný, může v případě velkokapacitních disků trvat dokonce i několik dní. Tvrzení, že pouze několikanásobný přepis je dostatečnou zárukou, že data již nebude možné obnovit, spoustu firem odradilo a  na bezpečnou likvidaci dat zcela rezignovaly. Data na médiu nepřepsaly ani jednou a spokojily se s pouhým smazáním nebo zformátováním. Zde je jasně vidět, k čemu vedou přehnané požadavky na bezpečnost.

Je opravdu nutný několikanásobný přepis?

Pokud používáte nový HDD, tak již není nutné provádět několikanásobný přepis média, aby data byla spolehlivě odstraněna a nemohla již být obnovena. Je třeba si uvědomit, že doporučení provádět několikanásobný přepis vzniklo v době, kdy se používal krokový motorek, hustota záznamu byla nízká a okolo každého bitu se vyskytovala oblast, která reprezentovala předešlý zápis. Změřením analogového signálu přímo na plotně tak bylo možné zjistit původní data (rozuměj, zda se tam nacházela jednička nebo nula). Dokonce i NIST (The National Institute of Standards and Technology) prohlásil, že většinu současných HDD stačí přepsat pouze jednou a toto tvrzení bylo nezávisle potvrzeno i několika dalšími experty. Rozdíl mezi tím, jak byla data na HDD ukládána dříve a nyní je zachycen na tomto vtipném videu od firmy Hitachi.

Který způsob likvidace dat je nejlepší?

Pokud potřebujete bezpečně zlikvidovat data, máte několik možností, jak toho dosáhnout. Můžete fyzicky zlikvidovat dané médium, použít degausser nebo médium jednou přepsat náhodnými daty. Fyzická likvidace je jediná metoda, u které si můžete být jisti, že vaše data si již nikdo nepřečte. U ostatních metod musíte věřit, že produkt dělá to, co jeho výrobce deklaruje, protože není tak snadné ověřit, že data na médiu opravdu nejsou. Kdo je nedůvěřivý, tak si může data na médiu náhodnými daty přepsat sám. Ať už budete likvidovat data jakýmkoliv způsobem, dejte pozor, abyste neudělali kozla zahradníkem. Osoba likvidací dat pověřená by si mohla data před přepsáním zkopírovat nebo si HDD odnést domu, podle rčení: „Co je doma, to se počítá.“

Přesun výpočetní techniky v rámci firmy

V rámci firmy není nutné pevné disky likvidovat, ale data na HDD byste měli před předáním PC novému uživateli raději přepsat, nikdy nevíte, kdo daný PC dostane a kdo ho měl předtím. Pokud HDD obsahuje jen jednu partišnu a před přidělením PC novému uživateli se systém reinstaluje, což silně doporučujeme, je pravděpodobné, že dojde i k přepsání většiny dat. Pokud však vaše IT rozděluje HDD na 2 partišny, kdy se na jedné nachází systém a druhá je určena výhradně pro uživatelská data, je bezpečná likvidace dat zcela na místě.

Pozor, HDD nejsou jen v počítačích

Nezapomínejte, že počítače nejsou jediná zařízení, která obsahují data, ale že ta se nachází i v paměti smartphonů a na HDD některých velkokapacitních tiskáren a multifunkčních zařízeních (MultiFunction Device, zkr. MFD). Problém je mnohem závažnější, než se na první pohled zdá. Jde o to, že na HDD některých MFD mohou být uloženy i citlivé informace, které měl sice autorizovaný uživatel právo vytisknout, ale které se již neměly dostat nikomu jinému do rukou. Že tomu tak ale kolikrát není, je zachyceno na následujícím videu.

Poznámka: Ukazuje se, že problematice bezpečnosti tiskáren se stále nevěnuje dostatečná pozornost. Červi jako Blaster nebo Sasser jsou názorným příkladem toho, že mohou představovat vážné riziko i pro síťové tiskárny. Ostatně není se čemu divit, když uvážíme, že některé tiskárny běží na skutečném operačním systému (např. Xerox WorkCenter) a je celkem jedno, zda se jedná o Windows nebo Linux. Je zřejmé, že i samotné tiskárny je třeba zabezpečit a SW v tiskárnách (firmware, OS a vlastní aplikaci) aktualizovat. Obzvlášť, když počet odhalených zranitelností u síťových tiskáren rok od roku roste. Nejde jen o to, že útočník může získat přístup k důvěrným dokumentům, ale může z těchto tiskáren vést poměrně snadno díky přítomnosti plnohodnotného OS jakýkoliv útok. Několik možných útoků na tiskárny Xerox předvedl již před drahnou dobou např. Brendan O’Connor na Black Hat konferenci v Las Vegas.

No related posts.

Oba tyto případy jsme si již popsali. Na trhu je několik firem, které DLP řešení nabízejí. V principu se ale nejedná o nic převratného. Snaha zabránit uživatelům, kteří přijdou do styku s citlivými informacemi v jejich zneužití, je stará jako lidstvo samo a v historii se tento požadavek řešil různě.

Datové ploty

Nejinak tomu bylo i v oblasti počítačové bezpečnosti, kdy se první řešení objevila již někdy v 80. letech minulého století. Tato řešení, nazývaná datové ploty, umožňovala zkopírovat data jen na předem schválená média (diskety), kde byla navíc zašifrovaná, takže uživatel si je mimo firmu nemohl přečíst a v případě ztráty média se k datům též nikdo nedostal. Ve své době se však toto řešení nijak výrazně neuchytilo a v okamžiku, kdy se na trhu objevila velkokapacitní média a stále více firem se začalo připojovat do internetu, se od datových plotů upustilo úplně. Nejspíš proto, že data bylo možné zcizit mnohem pohodlnějším způsobem.

DLP

Nyní zažívá řešení, které by mělo úniku citlivých informací zabránit, jakousi renesanci. Je otázka, do jaké míry to souvisí s hospodářskou krizí a snahou zaměstnanců se odškodnit zcizením dat, ke kterým mají v rámci své pracovní činnosti legitimní přístup. (Této problematice jsme se věnovali v příspěvku Řízení informační bezpečnosti v době krize). Dále se musíme ptát, zda jsou to opravdu zaměstnavatelé, kteří chtějí tuto situaci nasazením nějakého produktu řešit anebo sami výrobci těchto produktů, kteří této situace chtějí využít a přicházejí na trh s datovými ploty ve verzi 2.0 s krycím názvem DLP. Ať už je to ale jakkoliv, lze v zásadě rozlišit dvě DLP řešení a to host based a network based. Tato řešení, která mohou být nasazena samostatně nebo spolupracovat, si dále stručně popíšeme.

Host based DLP

Host based DLP (hostitelská), jak již název sám napovídá, se instalují na koncových zařízeních ve vnitřní síti. Tím je možné sledovat, jak uživatel s citlivými informacemi zachází a detekovat tak každý pokus o zkopírování citlivých informací na USB flash disk, vypálení na optický disk, vytisknutí na tiskárně, přenos přes sériový či paralelní port nebo bluetooth. Toto DLP řešení obvykle detekuje i pokus o printscreen nebo zkopírování dat přes schránku a vložení do nového dokumentu a zašifrování tohoto souboru. Je asi zbytečné zdůrazňovat, že pokud má být ochrana pomocí tohoto DLP řešení účinná, musí být tento produkt nainstalován na každém zařízení.

Network based DLP

Network based DLP (síťová) se instaluje na vyhrazený server v perimetru, který analyzuje veškerý webový a e-mailový provoz a snaží se detekovat, zda ze společnosti touto cestou neunikají citlivá data. Toto řešení má nižší TCO, neboť ho není nutné instalovat na všechny koncové stanice, ale logicky není schopno pokrýt všechny cesty, kterými mohou informace unikat.

Úskalí implementace DLP

Bez ohledu na to, jaké DLP řešení a od jakého výrobce se nakonec rozhodnete nasadit, narazíte na jeden problém a tím je definice pravidel. Jedná se o vůbec nejnáročnější fázi implementace DLP řešení a dost často také nejhůře provedenou a značně podceňovanou. Pravidla totiž nelze nastavit stylem nastav a zapomeň. Někdo se tomu musí opravdu věnovat a pravidla přizpůsobovat aktuálním potřebám firmy, reagovat na měnící se podmínky a vyhodnocovat jejich účinnost.

Bez klasifikace informací to nejde
Jestliže má systém detekovat snahu o zcizení citlivých dat, musí někdo definovat, co jsou to vlastně ta citlivá data a jak reagovat v případě, že k pokusu o jejich zcizení dojde. Znamená to tedy v první řadě klasifikovat data a definovat klíčová slova, které má systém vyhledávat. Kromě toho tato pravidla a klíčová slova musí stanovit business, neboť nikdo jiný to za něj neudělá. Nemůže to udělat ani firma, která DLP řešení dodává, ani ICT, které ho bude spravovat a dokonce ani pracovník informační bezpečnosti, protože ten o businessu obvykle také nic neví. Tihle všichni mohou businessu jen pomoci.

Pravidla vytvářejte rozumně
Nezapomínejte také na to, že mnoho informací uniká jen z pouhé nedbalosti a nevědomosti, takže to, že se zaměstnanec snaží poslat citlivé informace na freemail, nemusí být nutně proto, že by je chtěl ukrást, ale proto, že mu jeho poštovní program jako první nabídnul adresu kolegy nikoliv na firemním mail serveru, ale na internetu a daný zaměstnanec si toho nevšiml. V takovém případě by se měl systém zaměstnance dotázat, zda tuto akci chce opravdu provést a zobrazit mu vysvětlení, proč by to dělat neměl. Toto pravidlo však může fungovat jen v případě, že si někdo s nastavením jednotlivých pravidel dá práci a varovné hlášky se objevují, jen když to má smysl. Pokud taková hláška vyskakuje na uživatele v podstatě pořád, uživatel ji už ani nečte a naopak ji zcela automaticky odklikává.

Otestujete si důkladně vybrané DLP řešení
Důrazně doporučujeme vámi zvolené řešení před vlastním nasazením důkladně otestovat v reálném prostředí, protože v minulosti měly některé produkty se zajištěním ochrany citlivých informací problémy. Data bylo možné vynést např. díky nástroji pro synchronizaci dat s mobilním telefonem nebo pouhým vytisknutím na tiskárně.

Závěr: Ani na DLP řešení se nelze plně spolehnout a znovu je třeba připomenout, že celý systém je tak bezpečný, jak silný je jeho nejslabší článek. Např. v okamžiku, kdy zaměstnanci nic nebrání v tom, aby si do sítě společnosti připojil svůj vlastní notebook, může si citlivá data na svůj notebook prakticky bez jakéhokoliv omezení zkopírovat, neboť dané DLP řešení je v tuto chvíli zcela mimo hru. Zde názorně vidíme, proč je bezpečnost třeba řešit komplexně a implementovat vhodná opatření na úrovni fyzické, logické i organizační bezpečnosti a usilovat o tzv. přístup security-in-depth nebo chcete-li multilayered security.

No related posts.

Dnes budeme hledat způsob, jak zabránit úniku dat z nedbalosti. K úniku informací může dojít i z nedbalosti zaměstnance, který únik informací způsobí svým nezodpovědným chováním. Pro úplnost ještě dodejme, že nedbalost může být vědomá i nevědomá. Rozdíl spočívá v tom, že zatímco v prvním případě zaměstnanec věděl, že by svým nezodpovědným chováním mohl způsobit únik informací, tak své chování nezměnil a v nepřiměřené míře spoléhal na to, že k úniku nedojde. Ve druhém případě zase zaměstnanec netušil, že by svým chováním mohl únik informací způsobit.

Je zřejmé, že v obou případech byla podceněna personální a administrativní bezpečnost. Buď byl vybrán pracovník, který má sklon se nezodpovědně chovat a bezpečnostní předpisy obcházet a ignorovat nebo nebyl dostatečně proškolen v tom, jak má s citlivými informacemi zacházet. Stejně tak je ale možné, že bezpečnostní standard jak zacházet s citlivými informacemi nemá daná společnost vypracovaný vůbec. V příspěvku o ILM zaznělo, že informace musí být chráněny během celého jejich životního cyklu a to v úložišti, během přenosu i při samotném používání či případné likvidaci. Pokusili jsem se zformulovat několik doporučení, které by měly v případě, že se jimi budou zaměstnanci řídit, riziko úniku informací výrazně snížit.

1. Šifrujte data

   V okamžiku, kdy zařízení ztratíte, bude vám ukradeno, rozbije se, dáte ho do bazaru, tak se k vašim datům nikdo nedostane. V případě, že byl zvolen dostatečně silný šifrovací algoritmus a byl správně naimplementován, má útočník mizivou šanci, že se k datům dostane.

2. Skartujte data

   Někteří bezpečnostní experti doporučují data místo bezpečného přepisu šifrovat. Tento názor se občas objevuje i v renomovaných periodikách. My ho však nesdílíme a to z jednoho prostého důvodu a to, že data na médiu zůstanou a nikdo neví, zda se třeba za rok neobjeví nějaká zranitelnost v algoritmu, který byl pro šifrování použit. Také výkon PC a jeho komponent v čase roste, což může usnadnit útok hrubou silou (brute force attack). Stejně tak se k datům může dostat i bývalý zaměstnanec, který zná heslo a může data dešifrovat. Likvidujte bezpečně i nosiče informací. Smazání nebo formátování nestačí. Jsme přesvědčeni, že nejspolehlivější formou likvidace dat je jejich přepis, případně fyzická likvidace daného média.

3. Zálohujte data

   Pokud budete mít data pouze na jednom místě, jste vystaveni riziku, že o svá data přijdete v důsledku havárie, ztráty nebo krádeže daného zařízení. Dejte si ale pozor, kam zálohujete. Zálohovat citlivá firemní data do úložiště kdesi na internetu, není zrovna nejlepší nápad. Obliba těchto služeb však mezi uživateli stoupá a mnohými magazíny jsou dokonce doporučovány. Např. jeden redaktor deníku E15 doporučil čtenářce v čísle 133, zálohovat firemní data na internet.

4. Neponechávejte zařízení a média bez dozoru

   Ke ztrátě nebo zcizení může dojít kdekoliv, na pracovišti, doma na cestě. Při přepravě mějte neustále zavazadlo obsahující notebook u sebe. Nenechávejte ho položený na sedadle ani ho nestavte na zem. Je jedno, kde jste, zda ve vlaku, autobusu nebo ve svém autě. Dost krádeží se odehrává na zastávkách a křižovatkách. Notebook můžete přepravovat v kufru, ale nenechávejte ho tam, když auto opustíte.

5. Uzamykejte obrazovku

   V případě, že se potřebujete od svého notebooku vzdálit a nechcete nebo nemůžete ho vzít sebou, uzamkněte alespoň obrazovku.

6. Uklízejte po sobě

   Nevyzvednuté papíry na tiskárně nebo ponechané v zasedací místnosti po skončení prezentace, workshopu nebo jiné akce mohou pro útočníka představovat velice zajímavé informace. Stejně tak nenechávejte tyto dokumenty na svém stole.  Jedná se o zásadu čistého stolu neboli „clean desk policy“. Takový hacker se pohrabe i v koši. Vznešeně se tomu říká „dumpster diving“ a je to naprosto běžná technika, jak se velice snadno a rychle dostat k zajímavým informacím.

7. Zabraňte odpozorování

   V okamžiku, kdy pracujete na veřejném místě, v parku, v kavárně, ve vlaku, kdokoliv se vám může dívat přes rameno. Sedněte si tak, aby to nebylo možné, např. abyste za sebou měli zeď.

8. Nediskutujte na veřejnosti

   Nikdy nevíte, kdo váš hovor může náhodou zaslechnout a pro koho pracuje. Pokud nemáte jistotu, že váš hovor nemůže někdo slyšet a jste si vědomi, že záležitost, o které se svým partnerem hovoříte, by mohla být pro konkurenci zajímavá, zvolte jiné téma hovoru.

9. Nesdílejte citlivá data

   Rozhodně ne prostřednictvím nezabezpečených freemailů, internetových úložišť, webových aplikací, instant messengerů, diskusních fór a sociálních sítí typu LinkedIn nebo Facebook.

Poznámka: Nezapomínejte, že nedbale se může chovat i správce systému, který nastavuje práva a konfiguruje systém, snadno se tak může stát, že svou nedbalostí způsobí, že data, která měla být přístupná jen vybraným uživatelům, jsou najednou přístupná všem. Proto věnujte dostatek času i pravidelné revizi nastavení přístupových oprávnění.

Závěr: Zaměstnavatelé stále častěji v rámci snižování nákladů vybavují své zaměstnance služebními notebooky a vzdáleným připojením. Jaksi si ale neuvědomují, že právě možnost pracovat odkudkoliv sebou přináší i jistá rizika, kterým je nutno čelit nejen technickými prostředky, ale především zvyšováním bezpečnostního povědomí zaměstnanců v této oblasti.

A co vy, kolik z výše uvedených zásad dodržujte a máte zapracováno ve vašich interních předpisech?

No related posts.

S UTM zařízeními se v poslední době roztrhl pytel. UTM neboli Unified Threat Management je řešení, které v sobě obvykle integruje několik zařízení, které byly dříve nasazovány jako samostatná řešení. Nejčastěji se jedná integraci zařízení jako je firewall, VPN, IDS/IPS, antivirus, antispyware, antispam a filtrování webového obsahu. Jedná se tedy o all-in-one řešení se všemi výhodami a nevýhodami, které jsou pro tato řešení typická. Jako hlavní výhoda se obecně uvádí nižší TCO.

Při výběru UTM zařízení bychom si měli především ujasnit, co od daného zařízení vlastně očekáváme. Při porovnávání více modelů od různých výrobců bychom si měli položit minimálně tyto otázky:

• Jaká je propustnost firewallu?
• Jaká je propustnost po aktivaci ostatních modulů?
• Kolik je k dispozici portů a jakých?
• Kolik je možno vytvořit VPN tunelů?
• Nabízí podporu IPsec/SSL VPN? (Někteří nabízí jen IPsec.)
• Obsahuje IDS/IPS?
• Obsahuje antivirus, antispyware (antimalware)?
• Blokuje nežádoucí e-maily (antispam, phishing)?
• Umožňuje webfiltering (URL filtering vs. content filtering)?
• Je možné nastavit časová omezení, šířku pásma (traffic shaping)?
• Umožňuje správu uživatelů (integrace s AD, LDAP/Radius)?
• Umožňuje vynutit politiky na základě identity uživatele nebo IP adresy?
• Nabízí nějakou použitelnou formu reportingu?
• Lze pomocí regulérních výrazů detekovat únik informací (DLP)?
• Jaká je provázanost a spolupráce mezi jednotlivými moduly?
• Je k dispozici jednotné a intuitivní uživatelské rozhraní?

Kromě výše uvedených otázek bychom si měli i zjistit, jak je to s licencemi těchto produktů. Licence je zpravidla pro neomezený počet uživatelů a platí se spíše za aktivaci jednotlivých modulů. Ne všechny moduly totiž musí každá společnost používat. Dalším parametrem, který bychom měli vzít do úvahy, je možnost nakonfigurovat dané zařízení v režimu load balancing nebo failover. Zde se jednotlivé firmy liší v tom, zda je nutné mít licence i na druhé zařízení zapojené v režimu failover nebo load balancing.

Poznámka: Někdy v polovině roku 2008 se objevil další pojem a to XTM nebo-li Extensible Threat Management, o kterém se hovoří jako o další generaci UTM. Osobně však považuji tento pojem za další buzzword, který zavedli pánové z IDC.

No related posts.

Nižších nákladů, efektivního využívání zdrojů a v neposlední řadě i vyšší bezpečnosti však nelze dosáhnout bez důkladné analýzy a návrhu cílového řešení. Neméně důležitý je i způsob, jakým je rozhodnutí o zavedení filtrování webu, které má většinou dopad na všechny zaměstnance, sděleno samotným zaměstnancům.

Proč nasadit filtrování webu?

Jako nejčastější důvod, pro zavedení filtrování webu, se obvykle uvádí, že se zvýší produktivita práce, neboť se výrazně sníží čas strávený zaměstnanci na internetu aktivitami, které nesouvisí s jejich pracovní náplní. Vzhledem k tomu, že zaměstnanci již nebudou moci navštěvovat stránky, na kterých se velice často nachází malware, mělo by dojít i ke snížení rizika zavlečení škodlivého kódu, úniku důvěrných informací a porušení zákona.

Proč nenasadit filtrování webu?

Je otázka, zda se zavedením filtrování webu skutečně zvýší produktivita práce. Dle společnosti Ernst & Young stráví běžný zaměstnanec na internetu soukromými aktivitami okolo 30 minut. Jiné průzkumy dokonce tvrdí, že se jedná až o 1/3 pracovní doby. Objevuje se i snaha vyčíslit finanční ztrátu, která zaměstnavateli tímto způsobem vzniká. Nejčastěji jako počet hodin strávených na internetu x hodinová sazba x počet zaměstnanců. Ovšem jsou zde i studie, které tvrdí, že krátkodobé surfování po internetu v pracovní době odbourává stress, zvyšuje efektivitu a podporuje kreativitu.

Nasazujeme filtrování webu

Pokud se společnost pro filtrování webu rozhodne, měla by tomuto jejímu rozhodnutí předcházet detailní analýza, při které by měl být vzat v úvahu především předmět podnikání dané společnosti a její business cíle. Je zřejmé, že v mnoha společnostech budou existovat různé skupiny uživatelů a s často se značně rozdílnými potřebami co se týká přístupu na internet a k jeho zdrojům. To znamená, že budou potřebovat v rámci plnění svých pracovních povinností navštěvovat různé webové stránky.

Filtrujeme odchozí a příchozí komunikaci

• Filtrování odchozí komunikace (outbound traffic) – de facto se jedná o ochranu před interními hrozbami, mezi něž patří např. únik dat. Cílem je získat kontrolu nad tím, kdo, co a kam může nahrát.
• Filtrování příchozí komunikace (inbound traffic) – de facto se jedná o ochranu před externími hrozbami, mezi něž patří např. stažení škodlivého kódu z internetu. Cílem je získat kontrolu nad tím, kdo, co a odkud může stahovat.

Filtrování webu podle URL (URL filtering)

V praxi velice často narazíme na problém, jak uspokojit rozdílné potřeby různých skupin uživatelů. Mezi nejjednodušší řešení patří filtrování webu na základě seznamu serverů. Jedná se o tzv. URL filtering, který může být založen na existenci tzv. blacklistů a whitelistů:

• blacklist – v tomto seznamu jsou uvedeny zakázané servery – tento přístup k filtrování webu můžeme označit jako liberální, neboť uživatel se dostane na všechny weby kromě webů uvedených na seznamu.
• whitelist – v tomto seznamu jsou uvedeny jen povolené servery – tento přístup k filtrování webu můžeme označit jako paranoidní přístup, neboť uživatel se dostane pouze na weby, které jsou uvedené na seznamu.

Filtrování webu založené na seznamu zakázaných/povolených webů má jednu zásadní nevýhodu a tou je nutnost ruční aktualizace těchto seznamů. Správa těchto seznamů je značně neefektivní, obzvlášť v okamžiku, když si uvědomíme, že denně se na internetu objevuje velké množství nových webů. Je zřejmé, že ručně udržovat takovýto seznam aktuální, je nereálné. Nabízí se tedy otázka, jak filtrování webu provádět jinak a lépe.

Filtrování webu podle obsahu (content filtering)

Řešením předchozího problému je filtrování webu založené nikoliv na URL, ale na hodnocení obsahu. V takovém případě nás počet nově vzniklých webů nemusí vůbec trápit, protože žádné seznamy aktualizovat nemusíme. Předmětem analýzy je totiž obsah daného webu a v okamžiku, kdy se na daném webu nachází nežádoucí obsah, je požadavek uživatele na přístup k tomuto webu zamítnut. Většina produktů, které tzv. content filtering nabízí, rozděluje weby na základě analýzy jejich obsahu do několika kategorií.

Co by měl umět produkt na filtrování webu

Na produkt na filtrování webu můžeme mít mnoho různých požadavků, nicméně kvalitní produkt by měl umožňovat:

• blokování webu – kompletně blokovat přístup k určitým webům ať už na základě URL nebo jejich obsahu je základní funkce těchto produktů;
• omezení obsahu – mělo by být možné blokovat např. zobrazení reklamy, obrázků a multimédií;
• správu politik – mělo by být možné určit, přístup na jaké weby nebo na jaký obsah a pro jaké uživatele nebo skupiny uživatelů bude zablokován nebo omezen, případně i kdy;
• hlášení – uživatel by měl být vhodnou formou upozorněn, např. přesměrováním na jinou stránku, z jakého důvodu byl přístup na web zamítnut;
• logování – kromě toho, že přístup na daný web byl zablokován, měl by produkt zapsat tuto skutečnost do logu;
• reportování – vzhledem k tomu, že je potřeba provádět optimalizaci nastavení a vyhodnocovat úspěšnost nasazení, měl by produkt generovat použitelné a srozumitelné reporty a to jak pro administrátory, tak i pro manažery.

Jak vytvářet pravidla na filtrování webu?

V zásadě můžeme rozlišit dvě skupiny uživatelů, ti co mají plný přístup do internetu a ti, jejichž přístup je nějakým způsobem omezen. Ve své podstatě je na tyto uživatele aplikováno pravidlo, které bere, resp. mělo by brát v úvahu:

• Kdo jsou daní uživatelé a co je náplní jejich pracovní činnosti – předpokládá se vytvoření odpovídajících skupin např. v Active Directory.
• S jakými daty potřebují pracovat – předpokládá se, že organizace má registr aktiv a je schopna vyspecifikovat typy dat a jejich klasifikační stupeň.
• Na jaké weby potřebují přistupovat – v podstatě se definují kategorie, na které daná skupina nebo uživatel smí nebo naopak nesmí přistupovat.
• Jakým způsobem k daným datům přistupují – data mohou být přenášena přes http nebo ftp protokol. Dále lze rozlišovat, zda se jedná o přenos přes e-mail, peer-to-peer síť, instant messaging apod.

Jak filtrování webu funguje?

Princip fungování většiny produktů, které filtrování webu provádí, je poměrně triviální. Nejprve se zkontroluje, zda je uživatelem požadované URL na seznamu. Pokud ne, ověřuje se, jaká obsahuje slova a nakonec se analyzuje i obsah samotného webu, přičemž některé pokročilé nástroje jsou schopny kromě textu analyzovat i obrázky. V případě textů se nevyhodnocuje jen četnost výskytu určitých slov, ale i slovní spojení. V případě obrázků se zase vyhodnocuje, zda se na něm nachází určitá barva např. „tělovka” a kolik procent obrázku tvoří. Veškeré výše uvedené kontroly probíhají proti databázi, která se pravidelně aktualizuje. Pokud produkt uživatelem požadovanou stránku ve své databázi nenalezne, provede nejprve její analýzu co do četnosti výskytu určitých slov, slovních spojení, obrázků a následně ji zařadí do jedné či více kategorií. Při opakované návštěvě nebo pokusu o přistoupení k dané stránce se již stránka znovu neanalyzuje, ale použije se informace uložená v databázi. Bylo by značně neefektivní již jednou navštívenou stránku znovu analyzovat. Vidíme, že o nějaké umělé inteligenci nemůže být zatím řeč. Navíc analýza uživatelem požadované stránky musí proběhnout velice rychle.

Lze se na filtrování webu spolehnout?

Jednoduše nelze, vhodné je proto dále sledovat nejen velikost a počet přenášených souborů, ale i jejich celkový objem. Tímto způsobem lze např. odhalit zaměstnance, kteří se snaží z organizace ukrást data zkopírováním na server umístěný kdesi na internetu. Dále se musí vyřešit otázka tzv. false positive (overblocking), kdy byla stránka vyhodnocena, že obsahuje zakázaný obsah a přitom tomu tak nebylo a naopak tzv. false negative (underblocking), kdy byl přístup na stránku povolen, ač být povolen neměl. Riziko overblockingu je u content filteringu výrazně vyšší než u URL filteringu. Prostě proto, že analyzovat a správně vyhodnotit obsah webu je mnohem náročnější, než vyhodnocení krátkého URL.

A jaké máte zkušenosti s filtrováním webu vy?

Related posts:

1. Filtrování webu: Jaké weby zakázat a proč?

Nejčastěji se v této souvislosti používá pojem Data Loss Prevention případně Data Loss Protection, který nejméně přesně vystihuje to, oč zde běží. Mnohem přesnější by totiž bylo hovořit o Data Leakage Prevention případně Data Leakage Protection. Naštěstí všechny tyto pojmy mají stejnou zkratku a to DLP.

K úniku dat může dojít v zásadě dvěma způsoby: nedbalostí zaměstnance (zařízení či médium obsahující data ztratil nebo mu bylo zcizeno) nebo úmyslem zaměstnance (data se rozhodl ukrást). V tomto příspěvku se zaměříme na únik dat způsobený zaměstnancem úmyslně.

Ve většině případů jsou data zcizena a zneužita vlastními zaměstnanci společnosti, kteří mají k datům v rámci plnění svých povinností naprosto legitimní přístup. Dokonce i společnosti, které řídí přístup k datům na principu need to know, citlivá data šifrují, auditují a vyhodnocují veškeré činnosti uživatele v systému, jsou tomuto riziku vystaveny. A toto riziko je ještě větší v době krize. Mimochodem tomuto tématu jsme se již věnovali v příspěvku Řízení informační bezpečnosti v době krize.

V zásadě lze identifikovat několik kanálů, které většinou žádná společnost nemá zcela pod kontrolou. Data nejčastěji unikají přes internet a přenosná paměťová média.

Internet

V okamžiku, kdy má zaměstnanec dané společnosti neomezený přístup do internetu, může využívat mnoha různých služeb, které jsou na internetu k dispozici a často zcela zdarma. Únik dat tak může probíhat přes:

• e-mail – mnoho společností nabízí zdarma e-mailové schránky s obrovskou kapacitou;
• internetová úložiště – uživatel do nich může velice rychle nakopírovat velké množství souborů;
• webové aplikace – přímo v browseru lze vytvářet dokumenty a spreadsheety a ukládat je na internet;
• diskusní fóra, sociální sítě, chat, instant messaging - zaměstnanec nemusí posílat přímo dokumenty, spreadsheety nebo databáze. Pro konkurenci může být i zajímavé vědět, na čem lidé v druhé společnosti pracují nebo jaké problémy řeší.

Tyto služby využívají protokol http a komunikují po portu 80, takže je velice problematické jejich použití běžnými prostředky detekovat, neboť komunikace je velice podobá běžnému surfování. Jediný rozdíl spočívá ve výrazně větším objemu přenášených dat od uživatele směrem do internetu. Jako vhodné řešení se jeví nasadit nástroj, který analyzuje datový tok, objem přenášených dat, provádí filtrování webu na základě URL, obsahu a umožňuje přístup k výše uvedeným webům zakázat.

Přenosná paměťová média

Oproti morálně zastaralým mediím, jakými jsou diskety, CD a DVD, disponují dnešní paměťová média obrovskou kapacitou a jejich cena stále klesá. USB porty, přes které se tato média nejčastěji připojují, většina společností neblokuje, takže není problém si připojit:

• flash disk
• přenosný harddisk

Kapacita těchto médií se pohybuje řádově v GB a nezřídka přesahuje i 1TB. Zkopírovat si na tato média celou DB tak není problém. USB porty se sice dají blokovat, ale problém je v tom, že ne každý operační systém to umí efektivně. Nicméně existují nejrůznější řešení třetích stran, která jsou schopni tento požadavek řešit. Ovšem v okamžiku, kdy se rozhodnete USB porty blokovat, budete muset řešit, jaký typ zařízení bude možné připojit, kdo bude moci o výjimku požádat, kdo ji bude schvalovat a na základě jakých kritérií. Nevěřím, že ve velkých společnostech je toto řešení možné úspěšně nasadit a provozovat. Jiným řešením je povolit připojení jen vybraných zařízení a zajistit, že veškeré informace na ně ukládané budou šifrovány a pro uživatele budou čitelné až po úspěšné autentizaci. V okamžiku, kdy bude zaměstnanci zrušen přístup do IS, tak už se k zašifrovaným datům nedostane, protože se nebude moci úspěšně autentizovat.

Notebooky

Cena notebooků stále klesá a tak není divu, že jejich prodej roste. Tato zařízení se stávají dostupná pro stále větší část populace. Zaměstnanec si tak může přinést vlastní notebook, připojit ho do interní sítě společnosti a data si na něj zkopírovat. Nutno podotknout, že většina společností nemá implementována žádná opatření, která by detekovala a byla schopna reagovat na neautorizované připojení takového zařízení do podnikové sítě. A pokud ano, tak stále má zaměstnanec možnost propojit si svůj vlastní notebook s firemním přes křížový kabel a data si zkopírovat touto cestou.

Tiskárny

Zaměstnanci ve většině společností si mohou vytisknout v podstatě cokoliv a nikdo to nekontroluje, tomu ostatně odpovídá i rostoucí spotřeba papíru, toneru, inkoustu a nákupu nových výkonných síťových tiskáren. Kdepak je ten paperless office o kterém se před lety tolik mluvilo? Řešením je monitorovat, co kdo tiskne a tisku vybraných dokumentů zabránit. V některých případech stačí ve vlastnostech dokumentu jen zakázat tisk.

Jiné způsoby

Uvědomte si, že i v okamžiku, kdy zavedete vhodná opatření, která úniku informací výše uvedeným způsobem zabrání, stále je zde možnost, že si zaměstnanec informace, které ho zajímají, může opsat nebo ofotit.

Poznámka: A nemyslete už na to, jaký je mezi těmi DLP pojmy rozdíl a soustřeďte se raději na implementaci vhodných opatření. Jestli vám to však pořád vrtá hlavou tak vězte, že původní význam slova loss je ztráta ve smyslu selhání HW nebo SW, které vede k poškození dat uložených na datových nosičích. Zatímco leakage je únik dat způsobený nedbalostí nebo úmyslem zaměstnance.

Related posts:

1. DLP: nedbalost