A kormányzati intzémények Internetre való csatlakozásának megvalósításakor kezdettõl fogva figyelmet kell fordítani arra, hogy átfogó jellegû biztonsági intézkedések történjenek. A Kormányzat, a Parlament és ezeken belül a honvédelmi, igazgatási és rendvédelmi szervek exponált helyet foglalnak el a társadalom életében, tömegesen próbálják elérni õket, bejutni azokra a számítógépekre, amelyek becsatlakoznak az Internetre.
A behatolási szándékot sokféle dolog motiválja: bizalmas, esetleg titkos információk megszerzése, szabotázs a meglevõ adatok megsemmisítésével, megváltoztatásával vagy bizonyos szolgáltatások blokkolásával, esetleg a számítógépek kapacitását akarják kihasználni. Ezért ezeknek a szerveknek a számítógépeit meg kell védeni a behatolásoktól. A külsõ behatolások mellett figyelmet kell fordítani a belülrõl elõforduló bejutási kísérletekre is.
A kormányzat esetében nagyon érzékeny hálózatról van szó, ezért a különbözõ biztonsági szolgáltatásokat a maximum elv szerint kell megszervezni ("ami expliciten nem megengedett, az tilos"). Ez azt jelenti, hogy pontosan át kell gondolni, mit miért kell védeni és minden hozzáférési jogot gondosan meg kell alapozni, még mielõtt a biztonsági intézkedéseket megtennék. Sajnos a biztonság iránti igény mindig a szabadság bizonyos korlátozását és a kapcsolati adatok folyamatos naplózásását vonja maga után. Minden intézményt, amelyik kivonja magát a központi biztonsági elõírások alól, úgy kell tekinteni, mint nem biztonságos szervezetet, ami azt jelenti, hogy annak hálózatát idegen hálózatként kell kezelni.
A bekapcsolódó számítógépek nagy száma miatt azok biztonságáról egyedenként nem lehet gondoskodni, ezért a következõkben felvázolunk egy ajánlást a biztonsági koncepció megvalósítására, amelyben az Internetrõl történõ belépések és az egyes kormányzati intézmények egymás közötti kapcsolódása Firewall-on keresztül védett. A Firewall rendszer csak arra szolgál, hogy a külsõ és belsõ behatolások ellen védelmet nyújtson. Az olyan információk esetén, amelyek útjuk során az Internetre kikerülnek, de szeretnénk azokat a lehallgatástól vagy a manipulálástól megvédeni, olyan biztonsági módszereket alkalmazhatunk, mint pl. a Privacy Enhanced Mail (PEM) vagy a Pretty Good Privacy (PGP), amelyek többlépcsõs privát és nyilvános titkosítási kulcsokkal mûködnek.
Ennek az ajánlásnak a keretében csak azokat
a biztonsági szempontokat mutatjuk be, amelyek közvetlenül
az Internettel való összekapcsolással függnek
össze és a behatolást hárítják
el. A Firewall fizikai biztosítására szolgáló
biztonsági intézkedésekkel és módszerekkel,
valamint a számítógépes vírusok
elleni védelemmel itt nem fogalkozunk. Továbbá
arra sem térünk ki, hogyan lehet megakadályozni,
hogy a kormányzati intézményektõl
védett információk jussanak ki az Internetre,
mivel ez nem az elektronikus kommunikáció speciális
problémája, hanem a köztisztviselõ,
illetve közalkalmazott magatartásától,
munkafegyelmétõl függ.
5.1.1. A veszélyforrások
5.1.2. Az okozott kár
5.1.3. A védelem
A biztonság nem elsõsorban technikai kérdés, sokkal inkább rendszerszintû fogalom. Ezt a rendszert módszeresen, az alapoktól kezdve kell felépíteni. Minden építõkockának megvan a maga szerepe, amint az a következõkbõl kitûnik.
Kockázatelemzés (Risk analysis)
A külsõ konzulens/rendszerintegrátor cég szakemberei a központi kormányzati informatikai szakemberekkel együttmûködve felmérik, hogy a kormányzat számítógépes rendszerét mely területeken fenyegeti veszély, hogyan lehet az értékkel és a kockázattal arányos költségû védelmet kialakítani.
Biztonsági politika kialakítása ( Security & Access Policy)
Irányelvek, eljárási szabályok kialakítása, etikai elvárások, hozzáférési, jogosultsági, naplózási rendszerekkel szembeni követelmények meghatározása, ellenõrzési rendszer kidolgozása, felelõsségi körök rögzítése és így tovább.
Biztonsági rendszer megvalósítása
Rendszeres felülvizsgálatok, módosítások
Javasoljuk a biztonsági rendszer félévenkénti átvilágítását, a gyenge pontok, konfigurációs hibák feltárását a legfrissebb betörési technikák és az ú.n. "hacker tool"-ok ismeretében. A vizsgálati módszerek leírását, a talált hiányosságokat és kiküszöbölésük módját zárójelentésben kell összefoglalni.
Végcél a "dinamikus biztonság". Nincsenek örök idõkre szóló megoldások, a rendszert folyamatosan tökéletesíteni kell, hiszen az ellenfél is egyre újabb, fejlettebb módszerekkel és eszközökkel rendelkezik.
Megjegyezzük, hogy a biztonság módszertani
elemzésével az Informatikai Tárcaközi
Bizottság által kibocsátott 8.sz. ajánlás,
követelményeivel pedig a 12.sz. ajánlás
foglalkozik részletesebben. Javasoljuk ezek tanulmányozását.
A következõkben a biztonsági alapeszközök közül az egyik legfontosabbat, a Firewall (Tûzfal) rendszert ismertetjük részletesebben. Szeretnénk elõrebocsátani, hogy egy Firewall önmagában nem jelent kielégítõ megoldást. Gondoskodni kell a belsõ védelemrõl is, mivel a nem megfelelõen kiválasztott, vagy konfigurált Firewall is nyitva hagyhat biztonsági lyukakat.
5.2.1 A Firewall logikai felépítése
A központi Firewall (KF) biztosítja, hogy a kormányzati háló az Internetre való csatlakozáskor egy egységes egésznek látsszék, azaz megakadályozza a kívülrõl való behatolást valamennyi számítógépre. Azon felül egyrészt a nyilvánosan hozzáférhetõ információt szolgáltató szervereket védi (mint pl. a WWW vagy FTP), másrészt a központi gerinchálózatot óvja attól, hogy a behatolóknak sikerüljön valamelyik nyilvános szerverre bejutniok.
Az egyes kormányzati intézményeknek célszerû külön Firewall gépet telepíteni (IF), ennek segítségével biztosíthatják magukat a szomszédos hálózatról való illetéktelen behatolások ellen. Szerencsére a legtöbb helyen a védendõ információtól függõen elegendõ alacsonyabb (C2) védettségi szintû és ezáltal olcsóbb Firewall alkalmazása. A frekventált helyeken viszont mindenképpen magasabb (B1) védettségi szintû Firewall alkalmazása indokolt.
A biztonsági helyzetet sajnálatos módon rontja, hogy az egyes intézmények a központi Internet kijárat mellett még további (egyedi) kijáratokat is létesítenek illetve létesíthetnek, ami jelentõs kockázatot jelent. Abban az esetben, ha egy Firewall mögött több intézmény van, ezek mindannyian ugyanazt a kockázatot osztják meg, ezért közös biztonsági politikát kell kidolgozniuk és alkalmazniuk. Abban az esetben, ha ez nem elfogadható, akkor külön önálló Firewall-lal kell védeniük magukat.
Egy intézményen belüli adatforgalom esetén nincs szükség Firewall-ra, azonban a kényes adatokat is tartalmazó hálózatok esetén felhasználó hitelesítésre, jogosultság-ellenõrzésre és rejtjelzésre (titkosításra) is szükséges lehet.
Az elválasztott Firewall-okat biztonsági megfontolásokból csak központilag szabad mûködtetni. Ilyen módon a veszélyforrások mennyiségét jelentõsen csökkenteni lehet. A központi üzemeltetés mindenekelõtt kedvezõbb költségû, hiszen a jól képzett személyzet által tartott ügyeletet csak egy helyen kell megszervezni.
Az ajánlásban négy különbözõ Internet szervert különböztetünk meg aszerint, hogy milyen funkciót töltenek be:
Mind a nyilvános, mind pedig a belsõ szerver gépeket a központi Firewall, az intézményen belüli szerver gépeket pedig az illetékes IF védi.
5.2.2. Mûszaki megvalósítás
Firewall-t különféle eszközökbõl lehet felállítani. Ebben az elgondolásban egy router és proxy Firewall Gateway számítógép kombinációjából áll. A router feladata, hogy meghatározott számítógéprõl a megfelelõ Gateway-en keresztül adatcsomagokat és bizonyos szolgáltatásokat átengedjen. A proxy Gateway feladata, hogy csak bizonyos kiválasztott, biztonságos alkalmazásokat engedélyezzen; erre a célra van egy Gateway-re kidolgozott szoftver (proxy), amely az ellenõrzött alkalmazásokhoz való hozzáférést szabályozza és ellenõrzi.
A javaslat az, hogy a kívánt Firewall szerkezet egy ún. "szûrt alhálózaton" (screened subnet) keresztül valósuljon meg (ld. 10. ábra).
A nyilvános szerverek a Firewall egy külön szegmensén, az ún. demilitarizált zónán legyenek. Biztonsági megfontolásokból ezeknek a szervereknek nem lehet további kapcsolata a nyílt hálózat felé. Mivel ezek exponált helyen találhatók, ezért úgy kell védeni és ellenõrizni õket, mint a Firewall Gateway számítógépeket.
A javaslatnak az az elõnye, hogy az Internetrõl jövõ forgalom legnagyobb részét már a központi routerbõl és központi proxy Firewall Gatewaybõl álló rendszer megállítja, és az intézményeken belüli hálózatok védve vannak egymástól. A kimenõ hálózaton helyezkedik el a Remote Access (távoli elérésû) szerver, amelyik a hozzáférést a behívásnál szabályozza. A belsõ hálózaton találhatóak a belsõ szerverek és ezek elõtt van az Intézményi proxy Firewall Gateway számítógép.
Egy szervezetbõl a következõ módokon bonyolódhat le az IP csomagok küldése:
A routerek tehát a szolgáltatási szinten is (de pl. a hálózati menedzsment szinten nem) minden csomagot eldobnak, amelyekre nem illik rá a fent felsorolt esetek valamelyike. Így csak a Gateway-en meghatározott alkalmazások jutnak át. Mindenekelõtt a kimenõ és bejövõ forgalmat lehet naplózni.
Mindazonáltal semmiképpen nem ajánljuk, hogy a kormányzati intézmények a routereket biztonsági eszközöknek tekintsék. Az ezek által megvalósított alapszintû védelem hasznos és szükséges, de nem szabad elfelejteni, hogy ezek az eszközök számtalan dokumentálatlan hibát tartalmazhatnak, amit egy támadó kihasználhat.
5.2.3. Routerrel szembeni követelmények
A routereknek biztosítaniuk kell a teljes összhangot a Gateway számítógépekkel, hogy a kormányzati adatokhoz ne férjenek illektéktelenül hozzá. Egy lényeges javaslat erre, hogy az IP forgalom bizonyos kritérium alapján szûrhetõ legyen, ezáltal a nem kívánatos forgalom letiltható.
Egy IP csomagot általában az alábbi paraméterek szerint lehet azonosítani:
A használt protokoll és a port száma alapján a használt szolgáltatásra lehet visszakövetkeztetni.
Ahhoz, hogy a Firewall koncepciót meg lehessen valósítani, a központi routernek az alábbi szûréseket kell tudnia:
Mindenekelõtt képesnek kell lenni a routereknek arra, hogy a bejövõ és kimenõ csomagokat átszûrjék.
Ezekkel a filterekkel a következõ dolgokat lehet kideríteni:
Ami nem kifejezetten megengedett, az tiltott, azaz ennek megfelelõen a meg nem engedett IP csomagokat megsemmisítik. Ismételten felhívjuk a figyelmet arra, hogy semmilyen hálózati biztonsági elvet nem szabad kizárólag ezekre a szûrési funkciókra alapozni.
Az IP-címzésekkel kapcsolatos egyéb, de lényeges tudnivalóval a Domain név rendszer (DNS) címû fejezetben foglalkozunk.
5.2.4. Példák az alkalmazásokra
Egyes forgatókönyvek elmagyarázzák, melyik helyen milyen megoldások lépnek mûködésbe, ha bizonyos szolgáltatásokat igénybe vesznek vagy ha két kormányzati intézmény között adatcserére kerül sor.
5.2.5. Domain név rendszer (DNS Domain name system)
Ahhoz, hogy a belsõ név- és címkiosztásokat elrejtsék, különbözõ Domain név rendszer szervereket kell felállítani. Az egyiknek külsõ érdeklõdõk számára kell rendelkezésre állnia és a központi Firewall elõtt kell elhelyezkednie. Csak a nyilvános szerver és a központi Gateway címeit, valamint a domaint kell ismernie ahhoz, hogy a kapcsolatok egyszerûen a domain név alapján felálljanak. Egy további DNS szerver található a Firewall mögött, amely ismeri a belsõ aldomain-ek és belsõ számítógépek nevét és címét. Ez a szerver nem tud külsõ számítógéprõl jövõ kérdést fogadni, csak a belsõ használat rendelkezésére áll; de a belsõ géprõl jövõ, külsõ címekre vonatkozó kérdéseket a nyilvános DNS szerverre továbbítja. Minden kormányzati intézmény belsõ hálózata számára egy további DNS szervert üzemeltethet. Ez azokat a kérdéseket, amelyeket nem tud megválaszolni, a belsõ DNS-szerverhez továbbítja. A belsõ szerverek nyilvános szerverekre vonatkozó kérdései egy megfelelõ szûrõn keresztül az Internet routerre juthatnak el. A nyilvános szerver nem irányíthat kérdéseket belsõ szerver felé.
Éppen ezért minden kormányzati intézménynek azt javasoljuk, hogy a belsõ IP-cím kiosztására a nem regisztráció köteles IP-cím tartományokat alkalmazzon, amit a DNS és a Proxy rejt el a külvilágtól. Ezáltal a biztonsági eszközöket megkerülõ közvetlen IP-cím szerinti illegális hívás kezdeményezés sem jut el a belsõ (lokális) hálózatra, mert a protokollok ütközése miatt a kapcsolat nem tud felépülni. Ezzel a technikával nagymértékben javítható a kormányzati intézmények biztonsága. Alkalmazásának alapfeltétele, hogy a Firewall-Proxy együttesen túl egységes DNS adminisztráció valósuljon meg, amelyet csak központi adminisztrációval látunk kivitelezhetõnek. Az IP-címek migrációját viszont csak akkor lehet elkezdeni, ha már a DNS adminisztráció megvalósult. Ezért részletes áttérési (ütemezési) tervet célszerû elkészíteni, amelynek végrehajtását a biztonsági szempontból fokozottabban veszélyeztetett kormányzati intézményekkel javasoljuk kezdeni.
Gyakorlatilag csak ebben az esetben épül fel a valódi INTRANET topológia.
A nem regisztráció köteles IP-címek tartományai a következõk:
5.2.6. Alkalmazások a Gateway és szerver gépeken
A Firewall nem engedélyez közvetlen forgalmat a védett szerverhálózatokon elhelyezkedõ belsõ kliensek és a külvilág között, ezért a Gateway-re olyan szoftvert kell elhelyezni, amely ellenõrzi a szükséges átmeneteket, jóváhagy vagy megtilt, valamint naplóz. Az egyes alkalmazások számára a Gateway gépre egy úgynevezett proxy szervert, röviden proxy-t kell installálni, amely ezt a feladatot átveszi. Ezek a proxy programok public domain termékként egyrészt ingyenesen állnak rendelkezésre, (ami azért mindig bizonyos kockázatot jelent a felelõsség szempontjából) vagy vannak kereskedelemben kapható szoftverek, amelyek általában a Firewall rendszerekbe vannak integrálva, amiket a Gatewayre installálnak és a felhasználó Firewall stratégiáját megvalósítják.
A Gateway-ekre az alábbi alkalmazásokhoz kell proxikat installálni:
A Gateway, ill. szerver felállításakor az alábbi szabályokat kell figyelembe venni: ezeket minimálisan kell megkonfigurálni, mivel csak a feltétlenül szükséges szolgáltatásokat és eszközöket installálják rájuk. Ugyanígy minden alkalmazás konfigurálása a lehetõ legegyszerûbb kell, hogy legyen, hogy elkerüljük a konfigurálás módosításakor elõfordulható hibalehetõségeket. Installálás elõtt minden szoftvert pontosan ellenõrizni kell. Nem szabad source routingot használó alkalmazásokat megengedni. Az aktuális konfigurációról biztonsági másolatot kell készíteni, amelynek segítségével szükség esetén gyorsan elõ lehet állítani egy korábbi állapotot.
Szabályos Backup-ot mindenképpen be kell tervezni és automatikusan megvalósítani.
Gateway-t és szervert központilag kell üzembe helyezni és a hozzáférést az üzemeltetõ személyzetre kell korlátozni.
Minden installációt konzolról kell végezni, mert ha ez hálózaton keresztül történik, újabb behatolási pontok keletkeznek, ami növeli az illetéktelen hozzáférés lehetõségét. Amennyiben elkerülhetetlen a hálózaton keresztüli installálás, azt a legszigorúbb biztonsági óvintézkedések (egyszeri jelszó, kulcskártya, hívás-visszahívás eljárás stb.) mellett kell elvégezni.
Szabályozott eljárásokat kell kidolgozni, hogyan és milyen adatokat bocsássanak rendelkezésre a kormányzati intézmények, amelyeket a szerveren el kell helyezni. Ezek ellenõrzése is fontos (pl. egy WWW szerverre nem kerülhetnek shell-scriptek vagy programok).
A Gateway-en történõ valamennyi eseményt naplózni kell. A napló rendszeresen kiértékelendõ és a gyanús eseményre utaló bejegyzésekrõl azonnal tájékoztatni kell az erre kijelölt felelõs személyt.
A biztonsági rendszer vonatkozó elemeirõl és az érvényes biztonsági intézkedésekrõl a személyzet számára rendszeres oktatást kell szervezni.