Założenia projektowe
Dobrze zaprojektowany system bezpieczeństwa powinien przede wszystkim być dostosowany do środowiska, w którym przyjedzie mu pracować. Dlatego bardzo ważne jest dokładne poznanie architektury danej sieci wraz z uruchamianymi w niej aplikacjami oraz wykorzystującymi komputery użytkownikami. Ciągle należy też pamiętać, że najwięcej ataków na sieci komputerowe pochodzi z jej wnętrza, co oznacza, że nie możemy monitorować tylko styku między siecią zewnętrzną np. Internetem, a siecią wewnętrzną danej organizacji.
Poważny projekt bezpiecznej sieci komputerowej musi opierać się na zdefiniowanej polityce bezpieczeństwa. Czyli pewnych zdefiniowanych, udokumentowanych i zrozumiałych założeniach, które mają odzwierciedlać uprawnienia użytkowników systemu oraz zasady z jego korzystania. Podczas tworzenia takowej polityki zazwyczaj zakłada się, że to co nie jest zabronione jest dozwolone lub wszystko jest zabronione chyba, że coś jest dozwolone.
Polityka bezpieczeństwa:
powinna zawierać definicje użytkowników systemu i role jakie w nim spełniają
powinna posiadać definicje zasad korzystania z systemu komputerowego
to podstawa dla wprowadzanych później bardziej szczegółowych reguł bezpieczeństwa
klasyfikuje dane pod względem ich ważności
podaje wymagania w zakresie bezpieczeństwa dla użytkowników systemu
mówi jak należy postępować w przypadku naruszenia zasad bezpieczeństwa
określa jaka jest odpowiedzialność za swoje działanie osób niestosujących się do zasad tej polityki.
Ogólna charakterystyka sieci komputerowej uczelni
W uczelni dostęp do komputerów jest możliwy w salach laboratoryjnych, a także szeroko udostępnianych salach przeznaczonych dla swobodnego korzystania ze sprzętu komputerowego i Internetu. Oprócz tego użytkownicy mogą korzystać z bezprzewodowej sieci uczelnianej, gdy posiadają własne laptopy z kartą sieciową bezprzewodową. Istnieje także sieć komputerowa biblioteki, w której są udostępniane terminale przeznaczone tylko do korzystania ze specjalnego systemu związanego z wypożyczaniem książek. W skład sieci wchodzi też odrębna oddzielona od innych sieć dziekanatu, a także znajdująca się poza fizycznym położeniem kampusu uczelnianego sieć rektoratu. Nad całym tym systemem zarządzanie sprawują administratorzy, których maszyny znajdują się w przeznaczonej do tego celu uprzywilejowanej sieci administracyjnej. Główna sieć uczelni posiada też serwery przeznaczone do publicznego użytku jak i tylko wewnętrznego. Uczelnia posiada także filię pozamiejscową, która też posiada sieć komputerową.
Najważniejsze założenia polityki bezpieczeństwa sieci komputerowej uczelni wyższej
student – to człowiek posiadający indeks, legitymację studencką oraz posiadający pełne prawa do nauki na tej uczelni
…
domyślnie użytkownik nie ma żadnych praw
administratorzy mają pełne prawa do działań na całym systemie, posiadają także możliwość zdalnego logowania się do systemu na pełnych prawach administratora
pracownicy naukowi uczelni mają prawo do korzystania z Internetu na zasadach ogólnych, mogą też prosząc o to administratora korzystać z sieci VPN jako zdalni użytkownicy, mają dostęp do serwera FTP przechowującego pliki o tematyce naukowej (tylko do odczytu, tylko właściciel ma prawo do modyfikacji pliku), posiadają konto unixowe na serwerze o możliwości logowania się do systemu za pomocą ssh, konto email, miejsce na stronę web; na hostach mogą modyfikować jedynie folder o nazwie wykładowcy, reszta plików jest tylko do odczytu
studenci mogą korzystać z Internetu na zasadach ogólnych, posiadają dostęp jako anonimowi użytkownicy do jednego katalogu uczelnianego serwera FTP, posiadają skrzynkę email oraz mogą poprosić o konto unixowe, które zapewnia logowanie przez ssh, mogą poprosić o miejsce na stronę web; na pojedynczym hoście mogą modyfikować pliki w katalogu student, inne pliki tylko do odczytu
pozostali użytkownicy mogą korzystać z Internetu na zasadach ogólnych
korzystanie z Internetu na zasadach ogólnych definiuje się jako możliwość przeglądania stron WWW (w tym obsługa języka Java oraz kontrolek ActiveX), obsługi poczty email, serwerów FTP, komunikatorów internetowych
w sieci istnieją grupy użytkowników, które należy od siebie odizolować, takie jak: studenci, biblioteka, dziekanaty, administracja, rektorat, użytkownicy sieci bezprzewodowej, inni użytkownicy
...
Kolejną ważną sprawą w projektowaniu systemu bezpieczeństwa sieci jest poznanie dokładne jej schematu warstwy trzeciej modelu OSI oraz fizycznego rozmieszczenia urządzeń, oraz połączeń między nimi. Wiadomo przecież, że aby sieć mogła być bezpieczna wpierw musi zostać zabezpieczona fizycznie. Szczególną uwagę należy zwrócić na urządzenia sieciowe, które mogą stać się łatwym łupem dla złodziei jak i hakerów. Nie należy też bagatelizować sprawy przewodów, które za pomocą promieniowania ujawniającego mogą dostarczyć wiele informacji. Należy także zabezpieczyć główne przewody dystrybucyjne, które zniszczone lub przerwane są w stanie mocno zakłócić działanie sieci.
Urządzenia sieciowe powinny być umieszczone w zamykanych szafach i w pomieszczeniach gdzie dostęp mają tylko zaufani ludzie. Klucze do szaf powinni posiadać zaś tylko administratorzy systemu.
Gdy już warstwa fizyczna jest w odpowiednim stopniu sprawdzona można zacząć opracowywać plan wdrożenia pewnych urządzeń i programów mających na celu zwiększenie bezpieczeństwa całej sieci.
W tym wypadku będzie stosowany system bezpieczeństwa opierający się o kilka urządzeń. Wprowadzenie do ochrony tylko jednego urządzenia zamiast całego systemu jest na pewno ekonomiczniejszym rozwiązaniem i prostszym w implementacji, ale dla dużych firm lub instytucji nie gwarantuje ono odpowiedniego stopnia ochrony. Dlatego aby monitorować ruch na wielu poziomach i w miejscach szczególnie narażonych na atak dobrze jest wykorzystać system bezpieczeństwa oparty o kilka urządzeń. Aby sprzęt mógł współdziałać ze sobą możliwie jak najlepiej dobrą praktyką jest stosowanie rozwiązań jednego producenta. Ja zdecydowałem się na światowej klasy firmę zajmującą się profesjonalnym sprzętem na najwyższym poziomie – Cisco. W zakresie bezpieczeństwa sieciowego oferuje ona szeroką gamę swoich produktów w różnych rozwiązaniach. Cisco aby ułatwić i podpowiedzieć projektantom jak najlepiej wykorzystać swoje rozwiązania opracowała dwa programy szczególnie ważne pod kątem bezpieczeństwa, są to programy AVVID i SAFE.
AVVID (Architecture for Voice, Video and Integrated Data)
To zintegrowana architektura Cisco dla głosu, wideo i danych. To rozwiązanie otwarte, a więc różni producenci mają do niej dostęp i mogą tworzyć zgodne z nią rozwiązania. To podejście umożliwia integrację jednej sieci, a w niej wielu usług, które ma w przyszłości zastąpić np. sieć telefoniczną przez telefonię IP.
Dzięki temu pomysłowi urządzenia spełniające wymagania tej architektury są w stanie dobrze współpracować z rozwiązaniami programowymi wspierającymi AVVID, jak również produktami Cisco.
Technologia AVVID jest dobrze udokumentowana i zapewnia następujące korzyści:
wydajność sieci jest mierzona przy użyciu czterech współczynników (przepustowości, czasu reakcji aplikacji, wydajności urządzeń, wydajności protokołu)
skalowalność musi pozwolić na przyszły rozwój, sieć musi być projektowana tak, aby można ją było rozszerzyć w obszarach: topologii, adresowania, protokołów routingu
dostępność (zastosowanie nadmiarowych urządzeń i łącz, używanie elastycznych protokołów, projektowanie pojemności sieci wystarczająco dużej na wypadek awarii nadmiarowego połączenia)
Architektura ta obejmuje wiele topologii i technologii, które mają zapewnić jak najlepszą wydajność oraz stabilność w działaniu.
SAFE (Cisco’s Secure Blueprint for Enterprise Network)
To zalecane przez inżynierów Cisco rozwiązania polecane dla projektantów i wdrożeniowców bezpiecznych systemów komputerowych opartych na urządzeniach Cisco. Opierają się one także na architekturze AVVID.
SAFE stosuje następujące reguły działania:
bezpieczeństwo i łagodzenie ataku opierając się o reguły
wprowadzenie zabezpieczeń przez infrastrukturę sieci (wlicza się w to nie tylko właściwe umieszczenie urządzeń zabezpieczających, ale właściwe umieszczenie innych urządzeń sieciowych)
administrowanie zabezpieczeniami i monitorowanie sieci
uwierzytelnianie i autoryzacja administratorów do ważnych punktów w sieci
wykrywanie włamań w istotnych miejscach sieci
możliwość obsługi nowych aplikacji sieciowych.
SAFE skupia swoją kontrolę na najważniejszych obszarach sieci komputerowej dzięki:
bezpieczeństwu dostępu przez kontrolowanie wejść i wyjść z systemu
bezpieczeństwu połączenia przez VPN
bezpieczeństwu aplikacji poprzez ochronę serwerów oraz ważnych aplikacji
określaniu tożsamości, czyli uwierzytelniania i autoryzacji
administracja oraz monitorowanie bezpieczeństwa dzięki scentralizowanemu centrum zarządzania oraz wykrywaniu podejrzanych działań w sieci
komentarze
Copyright © 2008-2010 EPrace oraz autorzy prac.