POPC Wsparcie

Dzisiaj na rynku rozwiązań systemów bezpieczeństwa systemów teleinformatycznych ukształtowały się wyraźne standardy. Wykorzystanie konkretnych rozwiązań zależy przede wszystkim od świadomości osób zarządzających systemami w organizacji oraz od zasobów finansowych na zabezpieczenia. Wszystkie te standardy opierają się kilku kluczowych elementach:

1. W obszarze infrastruktury fizycznej i programowej:

• urządzeniach firewall, które pozwalają weryfikować ruch do 7 warstwy ISO OSI, tj. do warstwy aplikacji
• systemach antyspamowych i antywirusowych działających na serwerach poczty elektronicznej
• systemach ochrony antywirusowej stacji roboczych
• systemach kontroli treści stron internetowych
• wirtualizacji serwerów
• redundancji elementów fizycznych infrastruktury na różnym poziomie
• systemach umożliwiających analizę logów, np. systemy typu SIEM
• rozwiązaniach typu SANDBOX
   

2. W obszarze organizacyjnym:

• tworzeniu polityki bezpieczeństwa
• szkoleniach użytkowników z bezpiecznego korzystania z systemów informatycznych

Ograniczona liczba dostawców urządzeń, które mają pożądane funkcjonalności w zakresie bezpieczeństwa systemów, sprawia, że urządzenia działają podobnie. Różnica między nimi sprowadza się do wydajności i ergonomii administrowania.

Rozwój współczesnych aplikacji sprawia, że stosowane standardy bezpieczeństwa zaczynają być niewystarczające. Stoimy u progu rewolucji w dziedzinie bezpieczeństwa systemów informatycznych. Ta wielka zmiana w postrzeganiu bezpieczeństwa wynika z kilku przesłanek.

1. Powszechne szyfrowanie ruchu między użytkownikiem a serwerami aplikacyjnymi – zdecydowana większość aplikacji, które są potrzebne organizacjom do ich sprawnego funkcjonowania, wykorzystuje mechanizmy WEB szyfrujące dane (działają głównie na porcie 443 TCP). Dotyczy to zarówno aplikacji działających na infrastrukturze własnej organizacji, jak i aplikacji dostępnych w modelu SaaS. „Zwykły” firewall, których potrafi analizować komunikację sieciową do 7 warstwy ISO OSI, staje się „bezużyteczny”. Nie może „zajrzeć” do zaszyfrowanych przesyłanych pakietów, może jedynie przepuścić ruch do serwera docelowego na porcie 443 TCP. Jeżeli większość aplikacji działa w podobnym modelu, skuteczna ochrona systemów jest trudna, a wręcz niemożliwa. Administratorzy odpowiedzialni za bezpieczeństwo systemów mogą jedynie umożliwić komunikację użytkowników z serwerami po jednym porcie komunikacyjnym 443 TCP przy braku możliwości weryfikacji, które aplikacje mogą być dostępne dla użytkowników.
2. Coraz bardziej powszechne „wymuszanie” przez producentów oprogramowania wykorzystania aplikacji w modelu SaaS zamiast aplikacji on-premise, czyli aplikacji instalowanych bezpośrednio na własnej infrastrukturze organizacji – najwięksi dostawcy systemów coraz częściej oferują licencje. Dostęp do aplikacji oferowanych w chmurze dostawcy oprogramowania jest znacznie tańszy niż licencje typu on-premise tego samego oprogramowania. Prawdopodobnie w ciągu kilku lat udostępnianie w modelu SaaS stanie się powszechne też u mniejszych producentów. W ten sposób wiele elementów architektury związanej z bezpieczeństwem systemu informatycznego będzie zależeć wyłącznie od dostawcy usługi SaaS.
3. Wysokie koszty wdrożenia zaawansowanych systemów ochrony – rozwiązania, które obejmują elementy poza „standardowym” firewallem typu UTM oraz systemem antywirusowym, są bardzo kosztowne zarówno w fazie wdrożenia, jak i utrzymania. Tym samym rozwiązania, które uwzględniają zaawansowaną analizę logów systemowych, SANDBOX-ów czy redundancji elementów infrastruktury fizycznej, nie są powszechne. Mogą je wdrożyć wyłącznie duże jednostki z odpowiednimi zasobami finansowymi.

 

Większość producentów rozwiązań z zakresu bezpieczeństwa systemów informatycznych dostrzega aspekty wskazane powyżej. Jednak nie proponuje nowych standardów, ponieważ nowa rzeczywistość funkcjonowania aplikacji jest złożona. Każdy dostawca oferuje jakieś rozwiązanie pojedynczych aspektów, ale żadne z nich nie zapewnia kompleksowego i spójnego podejścia do problemu.

Obecnie pojawiają się 3 warianty nowej architektury:

1. Firma Cisco wykorzystuje analizę behawioralną ruchu szyfrowanego. Choć pierwsze informacje na ten temat pojawiły w 2017 r., to nadal trudno znaleźć informacje, w jakim kierunku rozwija się ta technologia.
2. Serwery PROXY pośredniczą w komunikacji między użytkownikiem a serwerami aplikacji, deszyfrują ruch, następnie analizują pakiety zgodnie z modelem ISO OSI, a na końcu ponownie szyfrują ruch. Jest to obecnie najbardziej powszechne rozwiązanie. Umożliwia implementację takich mechanizmów w obecnych urządzeniach, ale stwarza kilka zagrożeń: 

• Operacje związane z deszyfrowaniem i szyfrowaniem danych wymagają bardzo wydajnej platformy sprzętowej. Tylko najdroższe modele urządzeń spełniają te wymagania. 
• Część dostawców aplikacji, np. Google i Microsoft, weryfikuje ze względów bezpieczeństwa, czy w komunikacji między użytkownikiem a dostawcą usług nie nastąpiła podmiana certyfikatu. Dlatego zastosowanie serwera PROXY może uniemożliwić korzystanie z danej usługi.

3. Zastosowanie specjalnego klienta na stację roboczą użytkownika. Ruch sieciowy jest weryfikowany na komputerze użytkownika, zanim zostanie  zaszyfrowany. Dlatego ważne jest centralne zarządzanie całym środowiskiem, także z kompatybilnością wsteczną z systemami na komputerach.

Kiedy dzisiaj tworzymy nowe systemy informatyczne, opieramy się na wypracowanych rozwiązaniach w zakresie bezpieczeństwa systemów informatycznych. Uwzględniamy w jak największym stopniu wyzwania, które stoją przed aplikacjami. Szczególną uwagę poświęcamy umożliwieniu analizy zaszyfrowanego ruchu.

 

Autor: Wojciech Ciesielski