Analiza riscurilor in securitatea IT - Securitatea Informatica

Analiza riscurilor in securitatea IT

Creşterea numărului intreprinderilor şi institutiilor dîn ultimele decenii, are un impact puternic asupra sistemelor de calculatoare. Acestea în conditiile în care în ziua de azi aeropoarte, bănci, spitale, institutii guveramentale şi o serie de intreprinderi nu ar putea functiona fără să aibă în spate un sistem informatic bine clădit.

Se pune astfel problema securitătii sistemelor IT, care însă de multe ori este neglijată, ajungându-se astfel la situatii în care institutii mari să fie vulnerabile în fata atacurilor rău – voitoare. În mare parte, aceasta se datorează lipsei de experientă şi de instruire a administratorilor de retele şi a celor răspunzători cu buna functionare a sistemelor de calcul.

Internetul, cea mai largă şi mai răspândită retea de calculatoare este în acelaşi timp şi cea mai nesigură şi mai vulnerabilă în fata atacurilor şi operatiilor ilegale. În acelaşi timp, cea mai mare parte a aplicatiilor distribuite se sprijină pe Internet. La începuturile sale (pe vremea când Internetul era doar un proiect de studiu al comunicării prin retele ARPANET Advanced Research Projects Agency Network), toti utilizatorii erau considerati „de încredere”; de aceea nu se punea problema construirii unor sisteme defensive împotriva eventualelor subminări din interior. De atunci însă şi până azi, deşi nu a trecut atât de multă vreme, numărul de calculatoare conectate la Internet a crescut exponential şi astfel, ceea ce la început nu părea o amenintare, astăzi este un pericol şi o problemă pentru care tot mai greu se găsesc rezolvări, în conditiile în care tipurile de atacuri variază din ce în ce mai mult.

Ceea ce ieri nu era privit nici măcar ca o slăbiciune, astăzi este o situatie care pare să fi scăpat de sub control. Încercările de a remedia această situatie par a fi insuficiente. Nici Internet Protocol Version 6 (IPv6), nici versiunile existente de firewall nu pot face fată tuturor tipurilor de atacuri, în condtiile în care apar din ce în ce mai multe tipuri de deviceuri portabile, pluggable sau încorporate, care aduc cu ele noi tipuri de acces la retea şi impun luarea unor măsuri de securitate din ce în ce mai variate.

Problema securitătii traficului prin Internet a început să ia amploare în momentul în care viruşii au încput să facă ravagii prin milioane de calculatoare şi din ce în ce mai multe date confidentiale erau furate şi folosite în scopuri ilicite. Acestea au făcut ca mariile organizatii să se gândească la o modalitate de a lua măsuri. Această decizie a venit însă prea târziu pentru a se mai putea găsi solutia perfectă, în conditiile în care o asemenea solutie trebuia construită de la început, având drept fundatie un bun design arhitectural.

S-ar spune că un sistem informational este cu atât mai probabil să fie atacat, cu cât oferă motive mai întemeiate atacatorilor experti să încerce să treacă de bariera sa de securitate (cu cât datele stocate sunt mai importante). În ciuda acestei presupuneri, majoritatea autorilor de viruşi sunt amatori, al căror scop principal nu pare a fi cauzarea unor distrugeri uriaşe şi iremediabile. Ceea ce pare inexplicabil, este cât de mici sunt problemele pe care atatcatorii au ales să le facă până acum, în conditiile în care aveau posibilitatea să aducă prejudicii mult mai mari.

Însă nu putem presupune că hackerii se vor multumi mreu cu atât. Cu cât calculatoarele expuse detin informatii mai valoroase şi cu cât devin mai atrăgătoare în fata celor care speră să obtină avantaje de pe urma atacării lor, cu atât sunt mai vulnerabile în fata atacatorilor profesionişti şi a bandelor organizate de infractori. Posibilitătile de atac sunt multiple în ziua de azi: de la accesarea unor fişiere cu date confidentiale despre clientii unei bănci, modificarea sau ştergerea lor, până la infiltrarea lentă în sistemul informational al organizatiilor guvernamentale şi preluarea controlului fluxului de date.

Crearea şi întretinerea unui regim de securitate este una din cele mai dificile activităti în administrarea unui sistem IT. Şi mai grea este extinderea unui astfel de regim peste mai multe retele interconectate, în care rulează diverse softuri al căror control trebuie tinut. Practic, nu se poate realiza un sistem de securitate ideal şi complet eficient. Tot ce se poate face este stabilirea unui set de riscuri care să poată fi înlăturat şi mentinut în această stare. Din păcate, multi factori de risc importanti sunt dificil şi aproape imposibil de controlat.

Încă nu se ştie suficient de mult despre toate posibilitătile de atac sau despre gravitatea urmărilor lor. Cei care nu au experimentat nici o pierdere ca urmare a unui atac IT, nu iau destul de în serios riscurile unui sistem vulnerabil. De aceea, este nevoie de legi care să oblige organizatiile să ia anumite măsuri de preacutie.

Securitatea sistemelor informationale are cel putin patru dimensiuni independente. Cea mai cunoscută este cea tehnică: pachete antivirus, componente firewall, filtre de email, etc. Dar componenta umană joacă şi ea un rol foarte important. Cel mai sigur sistem din lume poate fi compromis dacă un singur utilizator divulgă o parolă sau permite accesul unei persoane neautorizate întro încăpere în care se află informatii secrete. Nivelul executiv al unei intreprinderi este şi el implicat în securitate, prin măsurile pe care le ia. Dimensiunea legală intervine în ultima vreme şi ea pentru a spori securitatea sistemelor IT.

Se spune că 50% din problemele de securitate se datorează designului defectuos al sistemelor informatice. Însă nu putem găsi defectele unui sistem studiind codul lui; este necesară o întelegere de nivel mai înalt a sistemului. De aceea, analiza riscurilor arhitecturale joacă un rol esential în clădirea unui sistem solid din punct de vedere al securitătii. tinerea în evidentă a tuturor riscurilor ce apar dea lungul timpului şi încercarea de a le înlătura este o bună măsură de securitate.

Este unanim recuoscut că securitatea înseamnă managementul riscurilor. Prin management al riscurilor se întelege un proces amplu şi continuu, ce cuprinde atât analiza riscurilor, cât şi o serie de activităti înlăntuite în procese, cum ar fi RMF (Risk Management Framework).

Analiza riscurilor se referă la activitatea de a identifica, de a clasifica şi de a ierarhiza riscurile întro anumită etapă din dezvoltarea unui sistem soft. Analiza riscurilor intervine de cele mai multe ori la nivelul de proiectare, de stabilire a unui design arhitectural al sistemelor soft. Managementul riscurilor se referă la desfăşurarea unor exercitii discrete de analiză a riscurilor, contorizând riscurile dea lungul procesului de dezvoltare şi încercând eliminarea sau diminuarea lor în mod strategic.

Majoritatea proceselor de analiză a riscurilor au evidentiat faptul că identificarea, ierarhizarea şi diminuarea riscurilor presupun un proces continuu şi nu sunt doar o parte dintro etapă a procesului de dezvoltare. Analiza riscurilor şi ierarhia de riscuri rezultată se transformă în cerinte asupra aplicatiei (în procesul de dezvoltare) şi în teste specifice în etapa de testare.

Pentru o bună analiză a riscurilor, de multe ori este necesară contributia unor profesionişti din afara echipei de dezvoltare. O analiză riguroasă a riscurilor se bazează pe o bună întelegere a impactului pe care aceasta îl are asupra functionalitătii, ceea ce presupune o bună întelegere a legilor şi a regulilor cărora trebuie să li se conforme sistemul.

Analiza riscurilor se compune din mai multe activităti împărtite în subetape:

  1. Cunoaşterea cât mai bine a obiectului analizat
    1. Citirea şi întelegerea specificatilor, documentatiei arhitecturii, şi a altor materiale de design
    2. Discutii şi brainsrorming în echipă pe tema obiectului analizat
    3. Determinarea granitelor sistemului şi a sectiunilor critice
    4. Efectuarea a cât mai multe teste asupra sistemului
    5. Studierea codului şi a artificilor soft (inclusiv utilizarea toolurilor de analiză a codului)
    6. Identificarea amenintărilor şi a surselor de atac (de exemplu: se iau în considerare şi utilizatorii interni?)
  2. Discutarea problemelor de securitate în jurul solutiei
    1. Dezbateri pe tema functionalitătii produsului şi determinarea punctelor de conflict şi ambiguitate
    2. Identificarea vulnerabilitătilor posibile, folosind tooluri specializate sau consultând liste cu cele mai comune tipuri de vulnerabilităti
    3. Discutarea posibilitătilor de rezolvare a problemelor întâlnite
    4. Întelegerea măsurilor de control existente şi a celor planificate
  3. Determinarea posibilitătii efectuării unor compromisuri
    1. Conceperea unor scenarii de atac din prisma vulnerabilitătilor
    2. Cântărirea posibilitătilor de control şi a amenintărilor, pentru a stabili o probabilitate a atacurilor
  4. Analiza impacturilor
    1. Determinarea impactului asupra functionalitătii şi a costurilor
    2. Considerarea impacturilor din punctul de vedere al securitătii
  5. Ierarhizarea riscurilor
  6. Dezvoltarea unei strategii de eliminare sau diminuare a riscurilor
  7. Recomandarea unor contramăsuri pentrua combate riscurile
  8. Construirea unui raport care să contină rezultatele analizei
    1. Descrierea cu atentie a riscurilor (atât majore cât şi minore) şi a impacturilor
    2. Oferirea unor informatii de bază cu privire la cazurile unde se vor aloca resurse minime înlăturării riscurilor

În practică, analiza riscurilor se face fie monitorizând o listă a evenimentelor posibile, fie consultând o listă de vulnerabilităti şi amenintări predefinite, în care se bifează cele care pot fi întâlnite în sistemul analizat.

Metodologiile de analiză a riscurilor existente se împart în două categorii: comerciale şi bazate pe standarde. Exemple de metodologii comerciale sunt:

  • STRIDE de la Microsoft
  • Security Risk Management Guide tot de la Microsoft
  • ACSM/SAR (Adaptive Countermeasure Selection Mechanism / Security Adequacy Review) – de la Sun
  • Procesul de analiză arhitecturală Cigital – conceput pentru RMF (Risk Management Framework)

Metodologiile bazate pe standarde sunt:

  • ASSET (Automated Security SelfEvaluation Tool) de la NIST (National Institute on Standards and Technology)
  • OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) de la SEI
  • COBIT (Control Objectives for Information and Related Technology) de la ISACA (Information Systems Audit and Control Association)

În concluzie, analiza riscurilor este un proces amplu şi continuu ce se desfăşoara dea lungul întregii vieti a unui produs. Pe lângă factorii de risc fizici, trebuie luati în considerare factorii umani, care sunt imprevizibili. Nu există sisteme perfect sigure, însă există sisteme foarte rigide şi stabile, puternice şi rezistente în fata multor tipuri de atacuri.

Twitter Digg Delicious Stumbleupon Technorati Facebook


Nici un comentariu inca... Fii primul care lasa un comentariu!

Lasa un raspuns

This site is protected by Comment SPAM Wiper. This site is protected by WP-CopyRightPro