hakin9

CYKL SZKOLEŃ 

Z OBSZARU 

ZARZĄDZANIA 

BEZPIECZEŃSTWEM IT

2/2011 (69) 

DRODZY CZYTELNICY 

Idzie luty szykuj... minifiltry. Pokonując nie tak duże 

w tym roku zaspy śnieżne oraz nie zwalniając 

na oblodzonych zakrętach oddajemy w Wasze ręce 

kolejny numer naszego magazynu. Mamy nadzieję, 

że każdy z Was znajdzie w nim coś dla siebie. 

W tym wydaniu przygotowaliśmy między innymi artykuły 

o minifiltrach systemu Windows czy pierwszą 

część artykułu pod tajemniczym tytułem – Oszukać 

napastnika. Strzeżcie się zatem potencjalni intruzi! 

Ponadto mamy dla Was teksty o bazach danych 

– ich bezpieczeństwie oraz o zasadach korzystania 

z nich w świetle przepisów prawnych. Na deser 

w naszym mroźnym numerze polecamy wziąć 

udział w gorącym konkursie, w którym do wygrania 

jest pięć egzemplarzy oprogramowania antywirusowego 

Kaspersky Internet Security 2011. 

Zachęcamy zatem do lektury i życzymy szczęścia 

w konkursie! 

Redakcja 

6 Aktualności 

9 Konkurs Hakin9 i Kaspersky 

OBRONA 

SPIS TREŚCI 

10 Nadzorowanie dostępu do zawartości 

woluminów w systemie Windows za pomocą 

minifiltrów 

Piotr Gawron 

Czytelnicy zainteresowani modyfikowaniem swojego 

Windowsa na pewno znają wiele sposobów na osiąganie 

„odmiennego” zachowania systemu. W tym artykule 

chciałbym zająć się zmodyfikowaniem odczytu zawartości 

nośników danych. Zapewne zdarzają się sytuacje, 

kiedy nie chcemy, aby możliwy był dostęp do pewnych 

informacji na nim zawartych. Atrybut read i prawa 

dostępu? Może czasami ta kombinacja wystarczy, ale 

dlaczego do realizacji tego zadania nie zaprząc technologii 

używanej między innymi przez... programy antywirusowe? 

16 Oszukać napastnika – cz. 1. 

Poznaj podstawowe metody ukrywania 

informacji o swoim systemie 

Sebastian Fyda 

Każdy dostępny publicznie serwer świadczy zwykle jedną 

lub więcej usług. Każda z tych usług to pewien fragment 

oprogramowania, które jak każde oprogramowanie 

ma swoje błędy. Każda z usług ma też swoją charakterystyczną 

sygnaturę, która pozwala na określenie, 

jaki software i w jakiej wersji realizuje usługę. Dzięki 

publicznemu udostępnieniu tych informacji zwiększamy 

ryzyko skutecznego ataku na nasz serwer. Czasami 

samo ukrycie informacji wystarczy do zniechęcenia 

Miesięcznik hakin9 (12 numerów w roku) 

jest wydawany przez Software Press Sp. z o.o. SK 

Prezes wydawnictwa: Paweł Marciniak 

Dyrektor wydawniczy: Ewa Łozowicka 

Redaktor prowadzący: 

Adrian Gajewski adrian.gajewski@software.com.pl 

Skład i łamanie: 

Tomasz Kostro www.studiopoligraficzne.com 

Kierownik produkcji: 

Andrzej Kuca andrzej.kuca@software.com.pl 

Wyróżnieni betatesterzy: Łukasz Przyjemski 

Adres korespondencyjny: 

Software Press Sp. z o.o. SK, ul. Bokserska 1, 

02-682 Warszawa, Polska tel. +48 22 427 32 85, 

+48 22 427 36 46, fax +48 22 224 24 59 

www.hakin9.org/pl 

Dział reklamy: adv@software.com.pl 

Redakcja dokłada wszelkich starań, by publikowane w 

piśmie i na towarzyszących mu nośnikach informacje 

i programy były poprawne, jednakże nie bierze 

odpowiedzialności za efekty wykorzystania ich; nie 

gwarantuje także poprawnego działania programów 

shareware, freeware i public domain. 

Wszystkie znaki firmowe zawarte w piśmie są 

własności odpowiednich firm. 

Zostały użyte wyłącznie w celach informacyjnych. 

Osoby zainteresowane współpracą 

prosimy o kontakt z Redakcją. 

4 2/2011

HAKIN9 2/2011 

SPIS TREŚCI 

tzw. Script-kiddies, którzy z reguły poszukują serwerów 

z konkretną wersją oprogramowania i niezdradzających 

jakichkolwiek działań w kierunku hardeningu, jako 

celi swoich ataków. 

20 Bezpieczeństwo baz danych 

Michał Sajdak 

Bazy danych często stanowią jeden z głównych elementów 

systemów IT: przechowują oraz udostępniają 

informacje. Sama definicja bazy nie narzuca określonego 

sposobu organizacji danych, jednak obecnie najbardziej 

rozpoznawana na rynku jest baza relacyjna oraz 

związany z nią język SQL. Implementacji „SQL-owych 

baz danych” są zapewne setki, choć zaledwie kilka 

z nich cieszy się dużą popularnością. Takimi systemami 

są: Oracle Database, SQL Server, DB2, MySQL czy 

Postgresql. Przy okazji, warto wspomnieć, że istnieją 

również inne rozwiązania – oferujące alternatywne do 

wspomnianych powyżej sposoby organizacji informacji, 

jak choćby obiektowa baza danych (np. ZODB) czy baza 

danych XML (np. eXist). 

26 Zarządzanie bezpieczeństwem danych 

osobowych. Kwestie prawne e-commerce 

Marcin Engelmann 

Dane osobowe klientów sklepu internetowego – na co 

powinien zwrócić uwagę właściciel sklepu, żeby nie tylko 

działać w zgodzie z ustawą o ochronie danych osobowych, 

ale również budować zaufanie swoich klientów. 

Czym są dane osobowe, jak je zabezpieczyć, na 

co zwrócić uwagę? 

32 Bazy danych i zasady korzystania z nich 

w świetle przepisów prawa polskiego 

Dariusz Łydziński 

Bazy danych i korzystanie z nich stanowią przedmiot 

działalności wielu podmiotów gromadzących i przetwarzających 

dane, dlatego też często są poddawane 

zagrożeniom ze strony przestępców działających wewnątrz 

firmy oraz napastników zewnętrznych, którzy 

nie szukają już hakerskiej sławy, lecz są głównie zainteresowani 

korzyściami finansowymi. W każdej organizacji 

dane są drugim najcenniejszym zasobem, zaraz 

po pracownikach. Firmy są zobowiązane do ochrony 

własnego personelu i klientów poprzez dołożenie należytej 

staranności i zapewnienie maksymalnych możliwych 

zabezpieczeń. 

BEZPIECZNA FIRMA 

37 Narzędzia do automatycznego audytu 

bezpieczeństwa 

Maciej Karmoliński 

Wprowadzanie systemu automatycznego wykrywania 

i zarządzania podatnościami w złożonych sieciach, jest 

nowo przyjętym podejściem dużych i średnich przedsiębiorstw 

na rynku europejskim. Ocena stosowanych 

zabezpieczeń uległa znacznej poprawie dzięki kwartalnym, 

miesięcznym a nawet codziennym audytom, 

dzięki którym mamy możliwość szybszego reagowania 

na powstałe luki systemu, bądź zmianę istniejącego 

zagrożenia. Narzędzia służące automatycznemu 

wykrywaniu podatności, pozwalają na łatwą i precyzyjną 

kontrolę bezpieczeństwa informacji poufnych, 

która może być prowadzona przez jedną osobę dla całej 

firmy. 

KLUB TECHNICZNY 

41 Klub Techniczny 

TriGeo SIM oraz ATOS 

FELIETON 

45 Odzyskiwanie danych po polsku, czyli jak 

nie stracić danych odzyskując je 

Artur Skrouba 

www.hakin9.org 5

AKTUALNOŚCI 

Zatruwanie P2P 

Firmy zajmujące się walką z piractwem 

(takie jak chociażby Media- 

Defender) od lat zalewają sieci 

peer-to-peer fałszywymi danymi. 

Mimo że techniki tego typu różnią 

się od siebie, cel jest ten sam - zniechęcić 

ściągających pliki tak skutecznie, 

aby ci poszukali sobie legalnej 

alternatywy. 

Działania te rozpoczęły cichą wojnę 

pomiędzy “wymieniaczami plików”, 

a grupami antypirackimi. 

Ci pierwsi rozpoczęli blokować 

znane adresy IP, które serwują fałszywe 

pliki. Serwisy, takie jak The Pirate 

Bay, filtrowały zawartość, blokując 

konta użytkowników wrzucających 

niewłaściwe treści. 

Pomimo takich działań, sieci P2P 

w dalszym ciągu zalane są fałszywymi 

plikami. Z najnowszych analiz 

wynika, że prawie jedna trzecia treści 

dostępnych w sieci BitTorrent jest 

fałszywa. Najwyższe statystyki (30 

procent fałszywych plików) notują 

tak popularne portale, jak The Pirate 

Bay i Mininova - podają prowadzący 

badania naukowcy z Uniwersytetu 

Carlosa III z Madrytu. 

Amazon pomaga łamać 

hasła WPA 

Webhostingowa oferta Amazona 

może pomóc cyberprzestępcom 

w łamaniu haseł sieci bezprzewodowych 

- uważa niemiecki ekspert ds. 

bezpieczeństwa. 

Thomas Roth twierdzi, że chmura 

serwerów EC2 Amazona znacznie 

ułatwia pracę narzędziom do łamania 

haseł sieci bezprzewodowych. 

Stworzone przez Rotha oprogramowanie 

zainstalowane w chmurze 

komputerów Amazona jest w stanie 

przetestować w ciągu sekundy 400 

tysięcy haseł. 

Ekspert pragnie ujawnić wyniki 

swojej pracy nad łamanie standardu 

WPA-PSK podczas konferencji Black 

Hat, która odbędzie się w tym miesiącu. 

“Ludzie mówią mi, że nie da się złamać 

WPA, a jeśli jest to możliwe, kosztować 

to może sporo czasu i pieniędzy” 

- twierdzi Roth. “Z taką mocą obliczeniową 

jest to łatwe, nawet korzystając 

z metody brute force” - dodaje. 

Złamanie jednego hasła WPA-PSK za 

pomocą chmury Amazona trwa średnio 

około sześć minut. 

Polacy ostrzegali IBM-a 

Przeznaczony dla deweloperów serwis korporacji IBM padła ofiarą cyberprzestępców, 

którzy podmienili zawartość niektórych stron - poinformował 

amerykański koncern. 

IBM nazwał włamanie aktem wandalizmu. Korporacja odzyskała zawartość 

oryginalnych stron w ciągu kilku godzin, mimo tego kopia pracy cyberprzestępców 

została przekopiowana w inne miejsce. 

Nie utracono żadnych danych, nie doszło także do przejęcia danych osobowych 

oraz haseł - uspokaja IBM. 

Jak się okazuje, o słabych zabezpieczeniach serwisu korporację IBM informowała 

już siedem miesięcy temu firma Ariko Security z Oświęcimia. 

Tymczasowe obejście na lukę w CSS 

Microsoft opublikował przejściową łatę krytycznej luki w zabezpieczeniach 

Internet Explorera, która wystawiała komputery na ryzyko ataku poprzez 

zdalne wykonanie kodu. 

Gigant oprogramowania otrzymał do tej pory niewielką liczbę zgłoszeń 

dotyczących ataków z wykorzystaniem tej luki. 

“Błąd związany jest z niewłaściwym zwalnianiem pamięci podczas pracy 

funkcji CSS w Internet Explorerze” - poinformował Microsoft. “Specjalnie 

spreparowana strona internetowa może przejąć część pamięci aby wstrzyknąć 

tam zdalny kod” - informuje dalej. 

Nowa poprawka zabezpiecza przed rekurswnym ładowaniem styli CSS 

w Internet Explorerze. Firma z Redmond sugeruje, aby administratorzy IT, 

którzy podejrzewają atak, powinni się zastosować do zaleceń. Jest to na razie 

jedyny sposób ominięcia zagrożenia. 

SMS-y nie są już bezpieczne 

RSA przewiduje w tym roku wzrost intensywności ataków na telefony komórkowe 

- celem cyberprzestępców ma być przechwytywanie SMS-ów autoryzujących 

operacje bankowe. 

Tokeny tego typu maja uzupełniać autoryzację użytkownika, który oprócz 

podania loginu i hasła musi wprowadzić kod otrzymany od banku SMS-em. 

Często w ten sposób autoryzowane są operacje bankowe. 

Tego typu autoryzacja staje się coraz popularniejsza - Commonwealth 

Bank of Australia ujawnia, że z takiego mechanizmu korzysta 80 procent 

klientów tego banku (bank nie namawia zbytnio na takie rozwiązanie). 

“Przestępca może przeprowadzić telefoniczny atak typu ‘denial-of-service’, 

który unieruchomi komórkę ofiary” - tłumaczy RSA. “Wysyłany przez 

bank SMS może być przechwycony i przekazany bezpośrednio to telefonu 

cyberprzestępcy”. Raport RSA wyjaśnia, że póki co nie ma efektywnego 

sposobu ochrony przed tzw. “smishingiem”. 

Facebook wstrzymuje nową funkcjonalność 

Facebook “tymczasowo zawiesił” wprowadzenie kontrowersyjnej funkcjonalności 

swojego portalu, która miała udostępniać deweloperom aplikacji dane 

osobowe użytkowników korzystających z niewielkich dodatków do FB. 

Serwis społecznościowy wstrzymał wprowadzenie funkcjonalności trzy 

dni po oficjalnym anonsie. Decyzja spowodowana została gwałtownym protestem 

użytkowników oraz krytyką firm zajmujących się bezpieczeństwem. 

Aby uzyskać dostęp do aplikacji użytkownik musi udzielić na to zgodę. 

Jednakże spora grupa internautów bardzo często klika w różnego rodzaju 

przyciski, nie zwracając uwagi na znajdujący się obok opis. To właśnie dlatego 

nowa funkcjonalność zwraca uwagę takich firm, jak chociażby Sophos, 

który sądzi, że teraz łatwiej szerzyć się będą złośliwe aplikacje. 

6 

2/2011

Aktualności 

Stuxnet mógłby być bardziej efektywny 

Robak Stuxnet, który zaatakował kluczowe systemy związane z irańskim 

programem nuklearnym, niszcząc sprzęt oraz opóźniając prace, jest “pełen 

błędów” - uważa jeden z ekspertów ds. bezpieczeństwa. 

Konsultant Tom Parker zasugerował podczas swego wystąpienia na konferencji 

Black Hat DC, że kod robaka nie został raczej stworzony przez jeden 

elitarny zespół, jak wcześniej sądzono, lecz dwie niezależne grupy. 

Parker wykorzystał do analizy kodu robaka odpowiednie narzędzie, które 

wykazało znaczące różnice w jakości kodu. 

Stuxnet ukrył się w systemie nuklearnym w bardzo sprytny sposób, zapisując 

wcześniej telemetrię normalnych operacji, a następnie odtwarzał ją 

zespołowi monitorującemu podczas swej właściwej pracy. 

Takie działania nie przekonują eksperta Neila Lawsona, który uważa, że 

zastosowane metody maskowania są amatorskie. “Mam nadzieję, że robak 

nie został stworzony w USA, bo oznaczałoby to, że nasze elitarne cybersłużby 

reprezentują poziom bułgarskich nastolatków z lat 90-tych”. 

Przestępcy dbają o prawa autorskie 

Autorzy złośliwego oprogramowania stosują w swoich najpopularniejszych 

produktach zabezpieczenia antypirackie chroniące ich własną pracę - informuje 

Symantec. Zabezpieczenia takie posiadają bardziej skomplikowane 

zestawy narzędziowe. “Używają tej samej technologii DRM (Digital Rights 

Management), co legalne, poważne produkty” - tłumaczy Craig Scroggie, 

dyrektor zarządzający Symantec Pacific. “Tworzą swoje systemy DRM, 

kradną te już dostępne, albo łączą oba rozwiązania” - dodaje. 

Większość klientów kupujących hakerskie zestawy narzędziowe nie posiada 

wystarczająco dużo wiedzy, aby poradzić sobie z zabezpieczeniami 

DRM. A cena za tego typu produkty wzrosła dramatycznie - z 11 w 2006 roku 

do 5800 euro obecnie. “Wysoka cena uzależniona jest od skuteczności 

malware” - wyjaśnia Scroggie. 

Złamano zabezpieczenia aplikacji 

na Windows Phone 7 

FreeMarketplace to koncept aplikacji pozwalający na darmowe pobranie i zainstalowanie 

dowolnej aplikacji systemu operacyjnego Windows Phone 7. 

Chociaż aplikacje Marketplace są chronione przez DRM, FreeMarketplace 

usuwa te blokady, pozwalając na korzystanie z programów bez potrzeby 

dokonywania opłat. 

Już wkrótce po pojawieniu się platformy na rynku okazało się, że można 

łatwo pobrać pakiety instalacyjne - pliki XAP. Klient Zune pobiera pliki 

XML zawierające wszystkie lokalizacje pakietów, zaś zarówno pliki XML, jak 

i XAP są oferowane bez restrykcji. 

Niedawno na forum deweloperów XDA pojawił się post informujący w jaki 

sposób można pobrać i przerobić plik XAP, aby udało się go zainstalować. 

Pomimo skasowania przez admininistrację forum posta, okazał się 

on inspiracją dla pewnego dewelopera, 

który stworzył aplikację modyfikującą 

pliki XAP. Autor kodu 

nie dystrybuuje aplikacji, nie opisuje 

też w szczegółach jej działania. 

Jego intencją jest zademonstrowanie 

problemu, a nie promocja 

piractwa. 

Microsoft został poinformowany 

o pojawieniu się aplikacji. 

Bomba od The Pirate Bay? 

Zespół portalu The Pirate Bay przygotowuje 

nową usługę wymiany 

plików muzycznych. 

TPB zarejestrował kilka lat temu 

domenę themusicbay.org, która do 

tej pory nie była wykorzystywana. 

Obecnie przekierowuje ona ruch na 

stronę The Pirate Bay. 

Zastanawia natomiast pojawienie 

się nowego adresu - fear.themusicabay.org 

- pusta witryna zawiera w nagłównku 

tag title o treści “Coming 

soon”. 

“Przemysł muzyczny nie ma pojęcia 

co przygotowujemy i zaprezentujemy 

w ciągu najbliższych miesięcy. Od 

lat zawzięcie tłumaczą nam o piractwie, 

ale jeśli kiedykolwiek mieliby się 

czegoś wystraszyć, ten czas nadchodzi” 

- ujawnił rzecznik The Pirate Bay. 

“To będzie niespodzianka na 78 urodziny 

IFPI [International Federation of 

the Phonographic Industry]” - dodaje. 

Botnet dla smartfonów 

Georgia Weidman to sprytna dziewczyna 

- dzięki jej pracy mamy do czynienia 

z erą nowego typu malware 

dla komórek. 

Weidman planuje prezentację swojej 

pracy podczas najbliższej imprezy 

Schmoocon w Waszyngtonie - podczas 

wystąpienia wykorzysta ona 

trzy telefony z systemem Android. 

Cóż takiego stworzyła Weidman? 

Metodę stworzenia ze smartfonów 

węzłów botnetu. 

Do zainfekowania telefonu służy 

stworzony przez Weidman rootkit, 

który po zainstalowaniu odpowiada 

za wysyłanie spamu lub przeprowadzanie 

ataku DoS bez wiedzy właściciela 

telefonu. 

“Gdy zainfekowałam telefon w swoim 

laboratorium, smartfon był w stanie 

odbierać sms-y z instrukcjami, które 

po odebraniu ulegały skasowaniu. 

Dzięki temu użytkownik nie ma świadomości, 

że jego telefon jest częścią 

botnetu” - wyjaśnia. 


AKTUALNOŚCI 

Użytkownicy Twittera w niebezpieczeństwie 

Wykryto szkodnika rozprzestrzeniającego 

się na Twitterze. Robak wykorzystuje 

usługę Google pozwalającą 

na skracanie odsyłaczy (goo.gl) 

i nakłania niczego niepodejrzewających 

użytkowników do instalowania 

fałszywych programów antywirusowych 

na swoich komputerach. 

Robak przekierowuje użytkowników 

Twittera na stronę WWW oferującą 

fałszywe rozwiązanie antywirusowe 

o nazwie „Security Shield”. Cyberprzestępcy 

użyli specjalnych technik, 

aby ukryć prawdziwy kod strony 

przed bardziej wnikliwymi osobami. 

„Szkodliwe odsyłacze w wiadomościach 

na Twitterze przekierowują 

użytkowników na różne domeny, 

w obrębie których znajduje się strona 

o nazwie ‘m28sx.html’” - mówi Nicolas 

Brulez, ekspert z Kaspersky Lab. 

„Ta strona z kolei przerzuca użytkowników 

jeszcze dalej, pod adres w domenie 

zlokalizowanej na Ukrainie”. 

Jakby tego było mało, domena ta 

przekierowuje na inny adres IP, który 

był już wcześniej wykorzystywany 

przez cyberprzestępców do oferowania 

użytkownikom fałszywych 

programów antywirusowych. „Ten 

adres wykonuje ostatnie przekierowanie, 

które prowadzi wprost do strony 

zawierającej szkodliwy kod”, tłumaczy 

Nicolas Brulez. 

W efekcie atakowany użytkownik 

widzi sfałszowaną informację o tym, 

że na komputerze działają podejrzane 

aplikacje i otrzymuje propozycję 

uruchomienia skanowania antywirusowego. 

Jak zwykle w takich 

przypadkach, po uruchomieniu „skanowania” 

komputer jest infekowany 

prawdziwymi szkodliwymi programami, 

a użytkownik otrzymuje 

ofertę zakupu programu antywirusowego 

w atrakcyjnej cenie. Program 

ten oczywiście jest fałszywy, 

a jego instalacja prowadzi wyłącznie 

do dalszych infekcji. 

Więcej newsów znajduje się 

na stronie serwisu 

informacyjnego Hacking.pl 

http://hacking.pl. 

Estonia chce mieć cyberoddział 

Estonia chce rekrutować specjalistów do swojej tworzonej cyberarmii. 

Niewielkie nadbałtyckie państwo tworzy kadrę komputerowych specjallistów 

- ochotników, którzy mają bronić komputerowej infrastruktury kraju. 

Znany pod nazwą Cyber Defense League oddział ma składać sie ze specjalistów 

IT oraz inżynierów, którzy w czasie wojny będą dowodzeni przez 

przedstawicieli armii. 

Estonia ma dobry powód, by stworzyć tego typu oddział - jako pierwszy 

kraj w historii padła ofiarą zmasowanego cyberataku. Sprawcami ataku byli 

Rosjanie, którzy wyrazili swój sprzeciw w kwestii przenoszenia pomników 

pamięci żołnierzy poległych w czasie II Wojny Światowej. 

Nadchodzą czasy cyberwojen 

Głównodowodzący brytyjskich sił zbrojnych, generał Sir David Richards, 

pragnie stworzyć specjalną jednostkę, która ma chronić Zjednoczone Królestwo 

przed cyberatakami. 

Richards przewiduje swego rodzaju kulturową zmianę w działaniach wojennych 

- Internet ma odgrywać równie istotne znaczenie na polu walki, co 

wojska konwencjonalne. “Musimy nauczyć się bronić, przeszkadzać, atakować 

i manewrować w cyberprzestrzeni, tak jak robimy to na lądzie, morzu, 

czy w powietrzu” - tłumaczy Sir Richards. 

“Wojny przyszłości zawsze będą dotyczyć cyberprzestrzeni, aby stać się 

potem dominującym polem walki” - dodaje. 

Sony odpowiada na złamanie PS3 

Minął już ponad miesiąc od pojawienia się informacji o złamaniu przez grupę 

Fail0verflow klucza prywatnego dla konsoli PS3. 

Odkrycie to pozwala domowym deweloperom podpisywać swoje aplikacje 

i uruchamiać je na PlayStation 3. Przedstawiciele Sony przez tydzień 

nie komentowali odkrycia - możliwe, że nie zwrócili uwagi na raport, albo 

też uważali, że jest to luka, którą w łatwy sposób można wkrótce załatać. 

Japoński producetnt wysłał do magazynu Edge swoje oficjalne stanowisko: 

“Zostaliśmy poinformowani o fakcie złamania klucza i przyglądamy 

się tej kwestii. Dokonamy naprawy oprogramowania poprzez odpowiednie 

aktualizacje sieciowe, jednakże ze względu na to, że mamy do czynienia 

z kwestiami bezpieczeństwa, nie możemy podać dalszych szczegółów” 

- wyjaśnia przedstawiciel Sony. 

Jednakże grupa Fail0verflow twierdzi, że tym razem prosta aktualizacja 

oprogramowania nie będzie w stanie załatać dziury, podobnie jak miało to 

miejsce w przypadku kluczy USB typu PS Jailbreak. 

“Cała konsola została skompromitowana 

- nie ma już sposobu 

na naprawę. To bardzo 

poważna kwestia i ktoś w Sony 

będzie miał kłopoty” - tłumaczą 

przedstawiciele grupy. Według 

nich jedyna rada to wymiana 

sprzętu. 

Jeśli informacje podane przez 

Fail0verflow okażą się prawdziwe, 

po wydaniu przez Sony nowej 

wersji PS3 cena “starej” 

konsoli może wzrosnąć na różnego 

rodzaju aukcjach. 

8 

2/2011

KONKURS 

KONKURS 

Hakin9 i Kaspersky 

Do wygrania Kaspersky Internet Security 2011 

W najbliższym newsletterze Hakin9 

zamieścimy pytanie odnoszące się do 

jednego z tekstów z tego numeru. Wśród 

prawidłowych odpowiedzi rozlosujemy 

pięć programów antywirusowych 

Kaspersky Internet Security 2011. 

Na odpowiedzi nadesłane na adres 

konkurs@software.com.pl czekamy do 

8 lutego. Zwycięzców poinformujemy 

drogą mailową. 

Powodzenia! 


OBRONA 

Nadzorowanie dostępu do 

zawartości woluminów w systemie 

Windows za pomocą minifiltrów 

Piotr Gawron 

Czytelnicy zainteresowani modyfikowaniem swojego Windowsa 

na pewno znają wiele sposobów na osiąganie „odmiennego” 

zachowania systemu. W tym artykule chciałbym zająć się 

zmodyfikowaniem odczytu zawartości nośników danych. Zapewne 

zdarzają się sytuacje, kiedy nie chcemy, aby możliwy był dostęp 

do pewnych informacji na nich zawartych. Atrybut read i prawa 

dostępu? Może czasami ta kombinacja wystarczy, ale dlaczego do 

realizacji tego zadania nie zaprząc technologii używanej między 

innymi przez... programy antywirusowe? 

Dowiesz się: 

• jak działają sterowniki urządzeń trybu jądra 

• co to są filtry systemu plików Windows 

• jak modyfikować w locie zawartość woluminu 

Powinieneś wiedzieć: 

• podstawy wewnętrznej architektury systemu operacyjnego 

• różnice pomiędzy trybami jądra i użytkownika 

• podstawy programowania w C/C++ 

Dane przedstawiane na ekranie komputera są 

wynikiem przetwarzania wykonywanego przez 

komputer na podstawie załadowanych do niego 

programów. Ikona pliku z jego nazwą w oknie eksploratora 

Windows świadczy o tym, że całe oprogramowanie 

realizujące jej wyświetlenie na ekranie zostało 

zrealizowane w sposób dający właśnie taki wynik. 

Proces generacji wyniku graficznego zaczyna się 

każdorazowo na poziomie sprzętu i przechodzi przez 

wszystkie warstwy oprogramowania zwanego systemem 

operacyjnym, swoją drogę kończąc gdzieś w karcie 

graficznej i potem na ekranie monitora. Co można 

w takim razie osiągnąć, jeśli istnieje możliwość zmodyfikowania 

nieco tego procesu gdzieś na początkowym 

jego etapie? 

Sterowniki a bezpieczeństwo 

Powszechnie znanym faktem dotyczącym zabezpieczania 

urządzeń elektronicznych przed niepożądanymi 

zdarzeniami i zachowaniami użytkowników jest to, że 

w im niższej warstwie architektury ochrona ta jest zaimplementowana, 

tym prawie zawsze jest skuteczniejsza. 

W przypadku komputerów nie mamy zazwyczaj 

możliwości lub umiejętności modyfikacji sprzętu, który 

w przypadku produktów masowych nie jest projektowany 

z myślą o bezpieczeństwie (wyjątkiem niech będzie 

tutaj sprzętowy moduł TPM, Trusted Platform Module). 

Dla programisty, jedną z pierwszych warstw, na której 

można implementować zabezpieczenia, są sterowniki 

urządzeń trybu jądra systemu. O ile zagadnienie 

nie jest banalne, to na szczęście firma Microsoft ułatwiła 

nieco zadanie i w zakresie instalowalnych sterowników 

systemu plików (Installable File System Drivers, 

IFSD) udostępniła architekturę minifiltrów. Minifiltrom 

właśnie poświęcony jest ten tekst. 

Podniesiony w artykule temat dość mocno wiąże się 

z zagadnieniami zapewniania bezpieczeństwa informacji 

przechowywanych na stacjach klienckich w środowisku 

nadzorowanym. Początkowo był jedynie częścią 

opracowywanej architektury monitora bezpieczeństwa 

dla stacji klienckiej (komputera), jednak sam 

okazał się na tyle ciekawy i daje na tyle dużo możliwości, 

że doczekał się osobnej publikacji. 

Sterowniki systemu plików 

Ilustrując kolejne warstwy jądra Windows jako struk- 

10 

2/2011

Nadzorowanie dostępu do zawartości woluminów w systemie Windows za pomocą minifiltrów 

turę pionową (gdzie dół to sprzęt, a góra - interfejs 

użytkownika), sterowniki trybu jądra (kernel mode) od 

spodu „rozmawiają” z warstwą abstrakcji sprzętu (Hardware 

Abstraction Layer, HAL), skąd już tylko jeden 

krok w dół do elektroniki na płytkach drukowanych. 

Oznacza to, że w przeciwieństwie do „zwykłych” aplikacji 

działających w trybie użytkownika (user mode), 

oprogramowanie to ma bezpośredni i nieograniczony 

dostęp do zasobów systemowych. Wprowadzenie błędu 

do sterowników kończy się najczęściej nie informacją 

o niespodziewanym zakończeniu programu, lecz 

natychmiastowym restartem komputera. 

Istnieją cztery kategorie instalowalnych sterowników 

systemu plików Windows: 

1. Sterowniki systemu plików (File System Drivers) 

– kompletny sterownik, obsługujący wszystkie 

operacje umożliwiające interakcję systemu z zawartością 

dysku, 

2. Sterowniki sieciowego przekierowania (Network 

Redirector Drivers) – sterownik ukrywa brak bezpośredniego 

połączenia z zasobami (dysk, drukarka, 

skaner), oferując użytkownikowi funkcjonalność 

nierozróżnialną względem tej oferowanej 

przez odpowiadające zasoby lokalne, 

3. Filtry systemu plików (File System Filter Drivers) 

– opcjonalna nakładka na zainstalowany sterownik 

systemu plików. W zależności od implementacji, 

filtr może logować, obserwować, modyfikować 

lub zabraniać wybranych operacji dyskowych. Ponieważ 

filtry wpinane są bezpośrednio do stosu I/ 

O bez uczestnictwa elementu pośredniczącego, 

ich implementacja wymaga przygotowania kompletnego 

rozwiązania współpracującego z każdym 

typem żądań systemowych występującym w stosie 

sterowników systemu plików, 

4. Minifiltry systemu plików (File System Minifilter Drivers) 

– upraszcza osiągnięcie funkcjonalności filtrów 

poprzez wprowadzenie do stosu I/O operacji 

dyskowych generycznego Menedżera filtrów (Filter 

Manager) i umożliwienie ładowania do niego również 

generycznych minifiltrów. Poprzez zastoso- 

Listing 2. Skrypt run.cmd, start usługi, start klienta, usunięcie 

usługi 

Rem Uruchamiam zainstalowaną usługę 

sc start minispy 

Rem Uruchamiam aplikację kliencką i czekam na jej 

minispy.exe 

pause 

zakończenie 

Rem Zatrzymuję i usuwam usługę minispy 

sc stop minispy 

sc delete minispy 

wanie swoistego proxy, oszczędza żmudnej implementacji 

kompletnego sterownika, pozwalając jednocześnie 

skupić się na implementacji konkretnej 

funkcjonalności. 

Na rysunku 1 widać uproszczoną strukturę stosu 

systemu plików z załączonymi trzema minifiltrami. 

Atrybut wysokości definiuje wzajemne zależności 

pomiędzy kolejnymi minifiltrami. Jego wartość deklaruje 

się w pliku *.inf służącym do instalacji sterownika 

w systemie. Zdefiniowano ponad dwadzieścia 

przedziałów adresowych wysokości dla różnego rodzaju 

oprogramowania (antywirusowego, szyfrującego 

dane na dysku, przezroczystego kopiowania danych 

i inne). 

Należy pamiętać, że (mini-)filtry nie są stricte sterownikami 

urządzeń. Mają one za zadanie jedynie monitorować 

dyskowe operacje wejścia/wyjścia. Operacje 

te to w szczególności: 

• Tworzenie, otwieranie, zamykanie, wyliczanie plików 

i folderów, 

• Pobieranie i ustawianie właściwości plików, folderów 

i woluminów, 

• Czytanie i pisanie danych z i do pliku. 

Oprócz monitorowania, minifiltry mają bezpośredni 

dostęp do danych (zawartości plików) przesyłanych 

Listing 1. Skrypt postbuild.cmd, należy uruchomić po każdorazowej kompilacji 

Rem Usuwam stare binaria 

if exist del %PROJECT_ROOT%\filesys\miniFilter\minispy\bin\minispy.exe 

if exist del %PROJECT_ROOT%\filesys\miniFilter\minispy\bin\minispy.sys 

Rem Kopiuje nowe binaria do katalogu bin 

copy %PROJECT_ROOT%\filesys\miniFilter\minispy\filter\objchk_win7_x86\i386\minispy.sys %PROJECT_ROOT%\filesys\ 

miniFilter\minispy\bin\minispy.sys 

copy %PROJECT_ROOT%\filesys\miniFilter\minispy\user\objchk_win7_x86\i386\minispy.exe %PROJECT_ROOT%\filesys\ 

miniFilter\minispy\bin\minispy.exe 


OBRONA 

w żądaniach. Otwiera to całkiem spore możliwości 

implementacyjne. 

Narzędzie fltmc służy do zarządzania systemem mini-filtrów. 

Za jego pomocą podejrzeć można aktualnie 

zainstalowane w systemie mini-filtry. Rysunek 2 pokazuje 

mini-filtry zainstalowane na maszynie testowej. 

Są to między innymi: minispy (opisany dalej) i dwa mini-filtry 

programu antywirusowego AVG Anti-Virus Free 

Edition 2011 (AVGIDSFilter i Avgmfx86). Liczba wystąpień 

oznacza ilość woluminów, które dany minifiltr śledzi, 

natomiast Ramka oznacza instancję Menedżera 

filtrów, do którego minifiltr jest dołączony. Fltmc wymaga 

podniesionych uprawnień. 

Przygotowanie środowiska 

Pracę z minifiltrami rozpocząć należy od pobrania i instalacji 

pakietu Windows Driver Kit (WDK). Aby sprawdzić, 

czy wszystko działa poprawnie, należy uruchomić 

odpowiednią wersję dostarczonej w pakiecie konsoli 

(niech będzie to x86 Checked Build Environment 

dla systemu Windows 7), wpisać BCZ i wcisnąć [Enter]. 

Jeśli uruchomiona kompilacja zakończy się powodzeniem, 

komputer jest gotowy do pracy. W tym momencie 

otrzymujemy pełny zestaw narzędzi potrzebnych 

do napisania, skompilowania i uruchomienia własnego 

minifiltra. 

WDK dostarcza obfity zestaw przykładowych sterowników 

wraz z kodem źródłowym. W tym artykule zajmiemy 

się katalogiem [root]\7600.16385.1\src\filesys\ 

 

 

 

 

 

 

 

 

 

 

 

Rysunek 1. Uproszczony stos IFSD 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

miniFilter\, gdzie [root] to ścieżka instalacji WDK. Dla 

celów edukacyjnych warto zapoznać się z przykładem 

minispy. Opisane dalej oprogramowanie bazuje właśnie 

na tym kodzie. Minispy monitoruje i raportuje do 

programu poziomu użytkownika wszystkie operacje 

dyskowe, czyli jest elementem pasywnym. Modyfikacja 

będzie polegała na wprowadzeniu do przykładu kodu 

zmieniającego analizowane dane. 

Kod minispy należy zaimportować jako projekt do 

dowolnego IDE (najlepiej obsługującego podpowiadanie 

składni). IDE służyć ma jedynie do pisania kodu, 

ze względu na import zmiennych środowiskowych 

kompilacji najłatwiej dokonuje się w dostarczonej 

z WDK konsoli: należy przejść bezpośrednio do katalogu 

z projektem i tam uruchamiać makro BCZ. Jako 

IDE wykorzystano program Eclipse Helios Service Release 

1 z wtyczką CDT instalującą w Eclipse perspektywę 

C/C++. 

Pierwszy krok to utworzenie w Eclipse pustego projektu 

C++. Następnie należy podlinkować (nie importować) 

źródła minispy do projektu. W tym celu klikamy 

opcję Import... z menu kontekstowego utworzonego 

projektu. W otwartym oknie dialogowym wybieramy 

importowanie plików (File System), a dalej wskazujemy 

ścieżkę do katalogu, w którym znajduje się minispy 

([root]\7600.16385.1\src\filesys\miniFilter\minispy). 

W zaawansowanych opcjach wybieramy utworzenie 

linków zamiast skopiowania źródeł do przestrzeni 

pracy (workspace). Dzięki temu modyfikacje zapisywane 

będą w oryginalnym katalogu, co ułatwi kompilację. 

Aby IDE potrafiło podpowiadać składnię, należy 

jeszcze importować do projektu pliki nagłówkowe 

WDK. W tym celu otwieramy właściwości utworzonego 

projektu, rozwijamy węzeł C/C++ General, wybieramy 

Paths and Symbols, a na końcu wybieramy zakładkę 

Includes. Do opcji Assembly dodajemy ścieżkę [root]\ 

7600.16385.1\inc\, natomiast do GNU C i C++ dodajemy 

\api, \crt i \ddk poprzedzone [root]\7600.16385.1\ 

inc\. W tym momencie można już dość komfortowo 

pracować z kodem. Przed wprowadzeniem jakichkolwiek 

zmian zaleca się skopiowanie całego folderu minispy 

do innej lokalizacji, aby można było bez problemu 

wrócić do oryginalnej wersji. 

Plik .inf 

Plik instalacyjny .inf (minispy.inf) jest tekstowym plikiem 

wiążącym instalowany w systemie plik sterownika 

(minispy.sys) i plik programu użytkownika (minispy.exe) 

z tym systemem. 

Jedną z ważniejszych sekcji pliku instalatora jest ta 

określająca tryb uruchamiania minifiltra (StartType). 

Dla celów testowych należy stosować tryb SERVI- 

CE_DEMAND_START, wymuszenie dołączania wraz 

ze startem systemu może w razie błędów całkowicie 

unieruchomić system. 

12 

2/2011


Pozostałe sekcje są dość zrozumiałe, podczas modyfikacji 

pliku instalacyjnego należy sprawdzać dostępną 

na stronie MSDN dokumentację. 

Uruchamianie minispy 

W celu instalacji i uruchomienia minispy po kompilacji 

należy utworzyć katalog (np. bin/), w którym 

znajdą się następujące pliki: minispy.inf (dostarczony 

ze źródłami), minispy.sys (sterownik, w katalogu 

[root]\7600.16385.1\src\filesys\miniFilter\minispy\filter\ 

objchk_win7_x86\i386) i minispy.exe (program użytkownika, 

[...]\user\objchk_win7_x86\i386). Aby ułatwić 

sobie odświeżanie plików po każdorazowej kompilacji, 

można użyć prostego skryptu jak na listingu 1. 

Po przejściu do utworzonego katalogu bin wybieramy 

opcję Zainstaluj z menu kontekstowego pliku minispy.inf. 

Uruchomienie można zautomatyzować skryptem 

jak na listingu 2 (utworzonym w katalogu bin/). Po 

każdorazowym usunięciu usługi należy ją ponownie 

zainstalować. Konsola, w której wykonujemy opisane 

operacje, powinna być uruchomiona z podniesionymi 

uprawnieniami. 

Uwaga: w fazie rozwojowej nie zaleca się dołączania 

minifiltra do partycji systemowej. W razie błędów 

może to powodować duże problemy z systemem. 

Po uruchomieniu klienta (minispy.exe) i wejściu do 

interaktywnego menu możemy na przykład zamontować 

minispy do dowolnej partycji (polecenie /a d: załącza 

minispy do woluminu d:, zakładam jego istnienie, 

można użyć dowolnego innego). Wyjście minifiltra 

można przekierować do pliku (/f output.log). Otwórzmy 

teraz w eksploratorze partycję d, następnie kilka plików 

i folderów. Na koniec zaleca się odłączenie minifiltra 

(/d d:). Otwieramy utworzony plik output.log. Każda 

zarejestrowana operacja na partycji d została tam 

zaraportowana jako osobny wiersz. Należy zwrócić 

uwagę na kolumnę Major Operation. Występują tam 

wartości typu: IRP_MJ_CREATE, IRP_MJ_CLEANUP, 

IRP_MJ_CLOSE, IRP_MJ_DIRECTORY_CONTROL 

i wiele innych. Od tych informacji zaczniemy modyfikację 

naszego minifiltra. 

Rysunek 2. Obecne w systemie miniltry 

Listing 3. Tablica rozszerzeń blokowanych plików 

const UNICODE_STRING ExtensionsToScan[] = { 

RTL_CONSTANT_STRING(L"blocked"), { 0, 0, NULL}}; 

Listing 4. Funkcja sprawdzająca rozszerzenia 

BOOLEAN CheckExtension(__in PUNICODE_STRING 

} 

Extension) { 

const UNICODE_STRING *ext; 

if (Extension->Length == 0) 

return FALSE; 

// Sprawdzanie listy rozszerzeń 

ext = ExtensionsToScan; 

while (ext->Buffer != NULL) { 

} 

if (RtlCompareUnicodeString(Extension, ext, 

} 

ext++; 

return FALSE; 

TRUE) == 0) { 

// Plik posiada "nasze" rozszerzenie 

return TRUE; 

Listing 5. Uniemożliwianie czytania pliku 

FltCancelFileOpen(FltObjects->Instance, FltObjects- 

>FileObject); 

Data->IoStatus.Information = 0; 

Data->IoStatus.Status = STATUS_ACCESS_DENIED; 

Modyfikowanie minispy 

Wróćmy do projektu w Eclipse. Jak widać, projekt podzielony 

jest na trzy główne sekcje: filter, inc i user. 

Filter to oczywiście kod minifiltra, user to program trybu 

użytkownika, natomiast inc zawiera współdzieloną 

bibliotekę. Przyjęta architektura jest tylko przykładem, 

minifiltr nie musi komunikować się z żadnym elementem 

użytkownika. Zapoznanie się z kodem jest doskonałym 

sposobem na wdrożenie do tej technologii, bowiem 

użyty przykład zawiera implementację kompletnego 

szkieletu architektury minifiltrów. 

Inicjalizacja minifiltra dokonuje się w procedurze DriverEntry 

(minispy.c). Wywołana tam funkcja FltRegisterFilter 

rejestruje minifiltr do nasłuchiwania na listę 

wybranych rodzajów operacji dyskowych 

(podane wcześniej wartości 

Major Operation). Lista rejestracyjna 

dla minispy znajduje się w tablicy 

CONST FLT_OPERATION_REGI- 

STRATION Callbacks[] (Registration- 

Data.c). Pierwszą modyfikacją będzie 

pozostawienie na tej liście jedynie 

pozycji IRP_MJ_CREATE (resztę 


OBRONA 

należy wykomentować). Po kompilacji 

i uruchomieniu minispy okaże się, 

że logujemy już tylko zdarzenia typu 

IRP_MJ_CREATE. 

Jak widać w liście Callbacks[], prawie 

każdy typ operacji dyskowej posiada 

procedurę wstępną (SpyPre- 

OperationCallback) i kończącą (Spy- 

PostOperationCallback). Pierwsza 

wykonywana jest przy wykonywaniu 

zapytania do woluminu, druga przy 

zwracaniu wyników ale tylko jeśli 

operacja wstępna zwróciła wartość 

FLT_PREOP_SUCCESS_WITH_ 

CALLBACK. 

Dla celów demonstracyjnych zakłada 

się, że modyfikowanym kodem 

blokujemy dostęp tylko do plików 

z rozszerzeniem .blocked. W tym celu 

deklarujemy tablicę jak na listingu 

3 (możemy podać więcej rozszerzeń). 

Dodatkowo, potrzebujemy funkcji, 

która będzie sprawdzać, czy odczytywany 

plik posiada blokowane rozszerzenie 

(listing 4). Należy pamiętać 

o wcześniejszej deklaracji funkcji 

tak, aby była ona widoczna w pliku 

minispy.c. 

Poprzez odpowiednie dodanie 

w funkcji wstępnej filtrowania rozszerzeń 

zmodyfikowany minifiltr będzie 

raportował już tylko funkcję IRP_ 

MJ_CREATE na plikach posiadających 

jedno z zadeklarowanych w tablicy 

ExtensionsToScan rozszerzeń. 

Jest to równoznaczne z tym, że tylko 

w takich przypadkach wywoływana 

jest funkcja kończąca (SpyPostOperationCallback). 

Wykorzystajmy ten 

fakt do naszych celów. 

Dodatkowe trzy linie zaraz przed 

ostatnim return funkcji kończącej pozwalają 

osiągnąć nam całkowitą blokadę 

czytania pliku (listing 5). Analizę 

kodu pozostawiam dociekliwemu 

Czytelnikowi. 

Listing 6 prezentuje ciało zmodyfikowanej 

funkcji SpyPreOperation- 

Callback. 

Rysunek 3 pokazuje wynik próby 

otwarcia dokumentu w eksploratorze 

Windows. Taki sam wynik otrzymujemy 

w Total Commanderze (rysunek 

4). Zaprezentowany mecha- 

Listing 6. Zmodykowana funkcja SpyPreOperationCallback 

FLT_PREOP_CALLBACK_STATUS SpyPreOperationCallback( 

__inout PFLT_CALLBACK_DATA Data, __in PCFLT_RELATED_OBJECTS FltObjects, 

__deref_out_opt PVOID *CompletionContext) { 

PRECORD_LIST recordList; 

PFLT_FILE_NAME_INFORMATION nameInfo = NULL; 

PUNICODE_STRING nameToUse; 

NTSTATUS status; 

// Pobierz listę logów 

recordList = SpyNewRecord(); 

// Nie udało się 

if (recordList == NULL) 

return FLT_PREOP_SUCCESS_NO_CALLBACK; 

// Brak referencji do pliku 

if (FltObjects->FileObject == NULL) 


// Pobierz informacje o nazwie pliku 

status = FltGetFileNameInformation(Data, FLT_FILE_NAME_NORMALIZED 

| MiniSpyData.NameQueryMethod, &nameInfo); 

// Sprawdź nameInfo 

if (nameInfo == NULL) 


// Nie udało się pobrać nazwy 

if (NT_SUCCESS( status )) 

nameToUse = &nameInfo->Name; 

else 


// Przygotuj nazwę do formy z której łatwo pobrać rozszerzenie 

FltParseFileNameInformation(nameInfo); 

// Sprawdź rozszerzenie 

if (CheckExtension(&nameInfo->Extension) == FALSE) { 

FltReleaseFileNameInformation(nameInfo); 


} 

// Obsługiwany typ pliku, zapisz w logu 

SpySetRecordName(&(recordList->LogRecord), nameToUse); 

// Zwolnij strukturę z nazwą pliku 

FltReleaseFileNameInformation(nameInfo); 

// Ustaw wpis w logach 

SpyLogPreOperationData(Data, FltObjects, recordList); 

*CompletionContext = recordList; 

return FLT_PREOP_SUCCESS_WITH_CALLBACK; 

} 

14 

2/2011


nizm jest usytuowany na tyle nisko 

w systemie, że działa niezależnie od 

zastosowanego sposobu dostępu. 

Oczywiście próba dostępu do pliku 

jako Administrator również nie przynosi 

skutku. 

Debugowanie 

Ze względu na niskopoziomowy charakter 

prezentowanego oprogramowania 

również kwestia debugowania 

wygląda trochę inaczej niż zazwyczaj. 

WDK zapewnia zestaw debuggerów 

(katalog [root]\7600.16385.1\ 

Debuggers). Cytując dokument debugger.chm 

z podanego katalogu: 

„Kernel-mode debugging requires 

a target computer and a host computer. 

The target computer is used to 

run the kernel-mode application. The 

host computer is used to run the debugger 

[...]”. Dużo prostszą (ale i bardziej 

ograniczoną) techniką jest używanie 

w kodzie makr raportujących 

wiadomości do jądra i przechwytywanie 

ich na przykład programem 

DebugView (jako Administrator). Listing 

7 przedstawia kod umożliwiający 

to zadanie. Funkcja DbgPrint posiada 

taką samą składnię, jak popularny 

printf. 

Na rysunku 5 widać wiadomości 

z minifiltra przechwycone przez program 

DebugView. 

Problemy 

Stworzenie w pełni przewidywalnego minifiltra modyfikującego 

operacje na plikach jest dużo bardziej złożone 

niż wstęp zaprezentowany w artykule. Przykładowym 

problemem z przygotowaną implementacją jest 

to, że nie da się usunąć folderu, w którym znajduje się 

blokowany plik. Z jednej strony może być to pożądane 

zachowanie. Jeśli jednak tak nie jest, należy pochylić 

się nad dokumentacją do minifiltrów i zaimplementować 

odpowiednią modyfikację do każdego możliwego 

scenariusza operacji dyskowych w ramach tych 

nas interesujących. 

W Sieci 

Rysunek 3. "Nowy" minispy w eksploratorze 

Rysunek 4. "Nowy" minispy w Total Commander 

Rysunek 5. Wiadomości z miniltra w DebugView 

Listing 7. Wiadomości debugujące 

DbgPrint("Moja wiadomosc"); //Logowanie zwyklego ciagu znakow 

UINT wartosc = 4; 

DbgPrint("wartosc = %u", wartosc); //Logowanie wartosci zmiennej 

• IFSD http://msdn.microsoft.com/en-us/library/ff551834(VS.85).aspx 

• WDK http://www.microsoft.com/whdc/Devtools/wdk/default.mspx 

• Eclipse http://www.eclipse.org/downloads/packages/eclipse-ide-cc-developers/heliossr1 

• DebugView http://technet.microsoft.com/en-us/sysinternals/bb896647 

Co dalej? 

Mam nadzieję, że w tym miejscu Czytelnik ma już 

świadomość, że przedstawiona technologia umożliwia 

osiągnięcie dużo ciekawszych efektów, niż ukrywanie 

przed systemem zawartości wybranych plików. A co by 

było, gdyby tak w pierwszej kolejności te pliki po prostu... 

nie były widoczne? 

PIOTR GAWRON 

Kończy studia magisterskie na Wydziale Elektroniki i Technik 

Informacyjnych Politechniki Warszawskiej. Specjalizuje się 

w bezpieczeństwie systemów komputerowych. 

Kontakt: polishcode@gmail.com. 


OBRONA 

Oszukać napastnika – cz. 1. 

Podstawowe metody ukrywania 

informacji o systemie 

Sebastian Fyda 

Każdy dostępny publicznie serwer świadczy zwykle jedną lub więcej 

usług. Każda z tych usług to pewien fragment oprogramowania, które 

jak każde oprogramowanie ma swoje błędy. Każda z usług ma też swoją 

charakterystyczną sygnaturę, która pozwala na określenie, jaki software 

i w jakiej wersji realizuje usługę. Dzięki publicznemu udostępnieniu tych 

informacji zwiększamy ryzyko skutecznego ataku na nasz serwer. Czasami 

samo ukrycie informacji wystarczy do zniechęcenia tzw. Script-kiddies, 

którzy z reguły poszukują serwerów z konkretną wersją oprogramowania 

i niezdradzających jakichkolwiek działań w kierunku hardeningu, jako celi 

swoich ataków. 

Dowiesz się: 

• jak ukryć informacje o wersjach i parametrach usług działających 

na Twoim serwerze 


• podstawowa znajomość usług w systemach Linux 

Większość demonów usług dostarczanych 

wraz z Debianem, w domyślnej konfiguracji 

dość ochoczo dzieli się informacjami z potencjalnym 

napastnikiem. Warto nieco poprawić dostarczone 

z dystrybucją pliki konfiguracyjne, tak aby udostępniały 

one możliwie małą ilość informacji. 

Serwer WWW – Apache2 

Najpopularniejszą obecnie usługą jest serwer http, a dominującą 

pozycję ma tutaj software Fundacji Apache. 

Rzućmy okiem, co zwraca serwer w domyślnej konfiguracji, 

jeśli wywołamy nieistniejący url (Rysunek 1). 

Dodatkowo, jeśli zajrzymy w nagłówki 

odpowiedzi, znajdziemy dodatkowe 

informacje: 

Connection: Keep-Alive 

Content-Encoding: gzip 

Content-Length: 180 

Content-Type: text/html; charset=iso-8859-1 

Date: Mon, 24 Jan 2011 15:23:44 

GMT 

Keep-Alive: timeout=15, max=100 

Server: Apache/2.2.16 (Debian) PHP/5.3.3-7 with Suhosin-Patch 

mod_ssl/2.2.16 OpenSSL/0.9.8o 

Vary: Accept-Encoding 

Łatwo zauważyć, że serwer podzielił się nie tylko 

swoją nazwą i wersją, ale również wersją interpretera 

PHP zainstalowanego w systemie (o ile w konfiguracji 

PHP nie została ustawiona wartość expose_php 

= Off) oraz wersją biblioteki OpenSSL. Potencjalny 

napastnik wie teraz, że może szukać podatności 

dotyczących powyższego oprogramowania. 

Ukrycie tych informacji jest sprawą dość trywialną. 

Rysunek 1. Apache2 z włączonym Server Signature 

16 

2/2011

Oszukać napastnika – cz. 1. Podstawowe metody ukrywania informacji o systemie 

Zajrzyjmy do fragmentu pliku /etc/apache2/conf.d/ 

security (Listing 1). 

Jeżeli jednak zmienimy Server Tokens na Prod oraz 

ServerSignature na Off, to w oknie przeglądarki zobaczymy 

(Rysunek 2). A w nagłówkach: 

Connection: Keep-Alive 

Content-Encoding: gzip 

Content-Length: 180 

Content-Type: text/html; charset=iso-8859-1 

Date: Mon, 24 Jan 2011 16:15:44 GMT 

Keep-Alive: timeout=15, max=98 

Server: Apache 

Vary: Accept-Encoding 

Łatwo zauważyć, że ilość ujawnionych informacji została 

znacznie ograniczona. Dodatkowo, skoro już edytujemy 

plik /etc/apache2/conf.d/security warto dokonać 

jeszcze jednej zmiany. Odnajdujemy blok (Listing 2). 

I zmieniamy TraceEnabled na Off. Nie jest to de facto 

zdradzanie informacji, ale jest to w 99% przypadków 

funkcjonalność zbędna, a wręcz może być wykorzystana 

do ataków cross-site (polecam dokument: http: 

//www.cgisecurity.com/whitehat-mirror/WH-WhitePaper_XST_ebook.pdf). 

Kolejnym elementem w Apache, który możemy dodatkowo 

zabezpieczyć, to nagłówki ETag. Służą one 

do jednoznacznej identyfikacji zasobu będącego plikiem. 

Dzięki temu, jeśli przeglądarka zechce sprawdzić 

czy plik nie został zmieniony, prześle w nagłówku jego 

ETag. Jeśli plik na serwerze posiada ten sam ETag, to 

zostanie zwrócony kod HTTP/1.1 304: Not modified, 

zamiast normalnego kodu HTTP/1.1 200 OK. i treści 

pliku w ciele odpowiedzi. Domyślnie w Apache ETag 

przyjmuje następującą postać np. ETag: "10c24bc-4ab- 

457e1c1f" a kolejne bloki odpowiadają wartościom inode-size-timestamp. 

Informacja o numerze I-nodu nie 

pomoże w ataku na serwer Apache, ale może pomóc 

w ataku na inne usługi sieciowe – np. usługa NFS (ang. 

Network File System) używa numerów I-node do generowania 

uchwytów do plików. 

Istnieją dwa rozwiązania problemu: 

• Całkowita eliminacja ETag i zastąpienie go nagłówkami 

Expires lub Cache-Control 

• Konfiguracja ETag eliminująca numery węzłów I-node 

Pierwsza opcja wymaga użycia modułu mod_headers, 

który jest standardowo dołączany z serwerem Apache. 

Wówczas na końcu pliku /etc/apache2/conf.d/security 

możemy dodać następujące linie: 

Header unset Etag 

FileETag none 

W przypadku opcji drugiej, w tym samym pliku ustawiamy 

po prostu: 

FileETag MTime Size 

Na koniec restartujemy serwer Apache. 

Listing 1. 

# ServerTokens 

# This directive configures what you return as the Server HTTP response 

# Header. The default is 'Full' which sends information about the OS-Type 

# and compiled in modules. 

# Set to one of: Full | OS | Minimal | Minor | Major | Prod 

# where Full conveys the most information, and Prod the least. 

#ServerTokens Minimal 

#ServerTokens OS 

ServerTokens Full 

# Optionally add a line containing the server version and virtual host 

# name to server-generated pages (internal error documents, FTP directory 

# listings, mod_status and mod_info output etc., but not CGI generated 

# documents or custom error documents). 

# Set to "EMail" to also include a mailto: link to the ServerAdmin. 

# Set to one of: On | Off | EMail 

# 

#ServerSignature Off 

ServerSignature On 


OBRONA 

Serwer DNS – Bind9 

Bind jest z reguły pierwszym serwerem 

DNS, z jakim początkujący 

administrator ma do czynienia. Domyślnie 

skonfigurowany, może nie 

zwraca, aż tylu przydatnych informacji 

co Apache, ale nawet numer (Listing 

3). 

Informacja, która jest nam zwracana, 

to wersja serwera Bind. Informację 

tę możemy łatwo ukryć edytując 

plik /etc/bind/named.conf.options 

i dodając w sekcji options następującą 

linijkę: 

Rysunek 2. Apache2 po wyłączeniu Server Signature 

version "Windows 3.11 DNS Service"; 

W cudzysłowie możemy podać dowolny ciąg znaków 

zgodny z ISO-8859-1. Po takiej operacji i zrestartowaniu 

Binda, wykonując ponownie zapytanie dig, otrzymamy 

następujący wynik (Listing 4). 

Jak widać, ukrycie wersji powiodło się. Dobrym pomysłem 

jest podanie jakiegoś dosyć starego numeru wersji, 

gdyż dla początkujących napastników, może podziałać 

to jak lep na muchy, powodując tym samym, że będą 

oni wypróbowywali stare, dawno zabezpieczone exploity, 

nie wysilając się specjalnie szukaniem nowych. 

Serwer FTP – ProFTPd 

Usługa FTP trzyma się nad wyraz dobrze, jak na element 

systemu niegwarantujący żadnego bezpieczeństwa 

transmisji. Warto zastanowić się nad użyciem protokołu 

sftp zamiast ftp, co jak najbardziej serwer Pro- 

FTPd z pomocą modułu mod_sftp potrafi obsłużyć. Jak 

każda opisana tutaj usługa, domyślnie skonfigurowany 

sewer ProFTPd informuje o swojej wersji i rodzaju dystrybucji 

systemu, na której został zainstalowany: 

user@localhost:~$ telnet localhost 21 

Trying 127.0.0.1... 

Connected to localhost. 

Escape character is '^]'. 

220 ProFTPD 1.3.0 Server (Debian) [127.0.0.1] 

Drobna zmiana w /etc/proftpd/proftpd.conf. Zmieniamy 

linie, lub dodajemy, jeśli nie istnieją, aby uzyskać następującą 

postać: 

ServerName "SomeFunnyFTPServer" 

ServerIdent on "FTPD most bugged version ever" 

Teraz, jeśli ponownie odpytamy serwer FTP, przedstawi 

się on nam zupełnie inaczej. 

user@localhost:~$ telnet localhost 21 

Trying 127.0.0.1... 

Connected to localhost.localdomain. 

Escape character is '^]'. 

220 FTPD most bugged version ever 

To tyle na początek. 

Część druga 

1. NMap i NStat – dwa przydatne narzędzia 

2. Honeypots - wprowadzenie 

Listing 2. 

# Allow TRACE method 

# 

# Set to "extended" to also reflect the request body (only for testing and 

# diagnostic purposes). 

# 

# Set to one of: On | Off | extended 

# 

#TraceEnable Off 

TraceEnable On 

SEBASTIAN FYDA 

Autor jest Starszym Administratorem 

Systemów w rmie Janmedia Interactive 

z Wrocławia. 

Kontakt z autorem: 

sfyda@janmedia.com 

18 

2/2011

Oszukać napastnika – cz. 1. Podstawowe metody ukrywania informacji o systemie 

Listing 3. 

user@localhost:~$ dig @localhost version.bind txt chaos 

; DiG 9.7.2-P3 @localhost version.bind txt chaos 

; (1 server found) 

;; global options: +cmd 

;; Got answer: 

;; ->>HEADERHEADER

OBRONA 

Bezpieczeństwo 

baz danych 

Michał Sajdak 

Bazy danych często stanowią jeden z głównych elementów systemów IT: 

przechowują oraz udostępniają informacje. Sama definicja bazy nie narzuca 

określonego sposobu organizacji danych, jednak obecnie najbardziej 

rozpoznawana na rynku jest baza relacyjna oraz związany z nią język SQL. 

Implementacji „SQL-owych baz danych” są zapewne setki, choć zaledwie kilka 

z nich cieszy się dużą popularnością. Takimi systemami są: Oracle Database, SQL 

Server, DB2, MySQL czy Postgresql. Przy okazji, warto wspomnieć, że istnieją 

również inne rozwiązania – oferujące alternatywne do wspomnianych powyżej 

sposoby organizacji informacji, jak choćby obiektowa baza danych (np. ZODB) 

czy baza danych XML (np. eXist). 

Dowiesz się: 

• o przykładowych celach w jakich zabezpieczane są bazy danych 

• o podstawowych zasadach zabezpieczania baz danych 

• poznasz zewnętrzne źródła informacji, umożliwiające poszerzenie 

wiedzy z zakresu bezpieczeństwa baz danych 


• ogólna wiedza z dziedziny baz danych 

W 

poniższym tekście zajmiemy się tematyką 

ochrony baz danych – głównie w kontekście 

baz relacyjnych. Poruszymy takie zagadnienia, 

jak: 

• ekspozycja bazy na poziomie sieci, 

• poprawki bezpieczeństwa, 

• użytkownicy, z których wykorzystaniem działa baza 

danych, 

• uprawnienia do plików bazodanowych – na poziomie 

systemu plików, 

• ograniczenie funkcjonalności oferowanych przez 

bazę danych, 

• logowanie (księgowanie) dostępu do bazy danych, 

• ochrona kryptograficzna (szyfrowanie), 

• bezpieczeństwo po stronie aplikacji korzystających 

z bazy danych, 

• miejsce składowania danych w systemie plików, 

• kopie zapasowe. 

Zanim przejdziemy do szczegółów zastanowimy się 

wcześniej nad poniższym pytaniem. 

Dlaczego chronimy bazę danych? 

Odpowiedź na to pytanie może wydać się prosta: aby 

realizować odpowiednie cele biznesowe, tj. aby system, 

który wykorzystuje bazę danych, generował odpowiednie 

zyski dla organizacji. Zilustrujmy to na następującym 

przykładzie: 

Prywatna placówka medyczna posiada system 

umożliwiający rejestrację pacjentów on-line. W bazie 

danych przechowywane są również informacje o pacjencie 

oraz historia jego chorób. 

Zyskiem z posiadania takiej bazy może być: wygoda 

pacjenta, ograniczenie dokumentacji papierowej oraz 

szybsze dodarcie do określonych informacji (oszczędność 

czasu pracowników kliniki). Ten cel biznesowy 

może być zagrożony np. przez: 

• czasowy brak dostępności bazy (pacjenci nie mogą 

się rejestrować, lekarze nie mają wglądu w historię 

choroby), 

• utratę poufności bazy (dane dostają się w niepowołane 

ręce; istnieje ryzyko np. złamania zapisów 

Ustawy o Ochronie Danych Osobowych), 

20 

2/2011

Bezpieczeństwo baz danych 

• nieuprawnioną zmianę informacji w bazie (może to 

spowodować chaos w działaniu placówki medycznej, 

czy wręcz zagrozić bezpieczeństwu pacjentów). 

W omówionym powyżej przykładzie odpowiednie zabezpieczenie 

bazy danych tego typu może zminimalizować 

wymienione zagrożenia, a tym samym pozytywnie 

wpłynąć na zysk kliniki. Jako rodzaj informacji 

wymagającej ochrony wskazaliśmy dane osobowe 

/ dane medyczne. Jakie jeszcze inne dane mogą 

być traktowane jako wrażliwe i wymagające ochrony? 

Odpowiedź na to pytanie pozostawiamy Czytelnikowi, 

jednocześnie wskazując kilka możliwości: 

• Dane o charakterze finansowym (np. salda kont 

bankowych, informacje płacowe, numery kart kredytowych). 

• Hasła dostępowe do systemów (często użytkownicy 

posiadają takie same hasła dostępowe do wielu 

systemów – zatem uzyskanie informacji o hasłach 

z jednej bazy danych może prowadzić do uzyskania 

dostępu do wielu innych systemów). 

• Informacje stanowiące o przewadze konkurencyjnej 

firmy (np. dane klientów czy dostawców). 

• Jakiekolwiek inne dane firmowe o charakterze poufnym. 

Niejako podsumowując dotychczas opisane kwestie, 

spójrzmy ramowo na następujące zagadnienie dotyczące 

planowania prac, dotyczących bezpieczeństwa 

baz danych. 

Planowanie prac związanych z bezpieczeństwem 

bazy danych 

Planowanie to może wyglądać następująco: 

• Inwentaryzacja baz danych oraz przechowywanych 

w nich informacji (np. opisana w powyższym 

przykładzie baza przechowująca dane medyczne). 

• Określenie wartości skatalogowanych baz danych 

(istotne dane będziemy chcieli objąć szczególną 

ochroną). 

• Określenie czynników mogących zagrozić poprawnemu 

funkcjonowaniu bazy (np. zewnętrzny atak 

z poziomu Internetu, awaria sprzętowa serwera, 

atak z sieci LAN, itd.) wraz z prawdopodobieństwem 

wystąpienia (tzw. ryzykiem). 

• Określenie odporności naszej bazy na wszelakie 

zagrożenia określone powyżej (tym zagadnieniem 

w głównej mierze zajmiemy się w naszym artykule). 

• Rekonfiguracja bazy danych, jeśli jej odporność na 

wskazane wcześniej zagrożenia jest niska. 

Czytelnikowi może nasunąć się pytanie, ile czasu warto 

poświęcić na realizację całego opisanego powyżej 

procesu? Możemy odpowiedzieć – adekwatnie do 

wartości przechowywanych przez nas danych. Co to 

dokładnie oznacza, Czytelnik powinien sam, we własnym 

zakresie i analizując swój kontekst, ocenić. Zainteresowanych 

takimi szacowaniami odsyłamy do zagadnień 

związanych z analizą ryzyka, a tu przechodzimy 

już do konkretnych działań, które można wykonać 

przy weryfikacji bezpieczeństwa bazy danych. 

Weryfikacja bezpieczeństwa bazy danych 

Bezpieczeństwo bazy danych może być zagrożone 

w różny sposób. Poniżej omówimy kilka kategorii zagrożeń, 

na które – naszym zdaniem – warto zwrócić 

uwagę. Pamiętajmy, że kompromitacja zabezpieczeń 

należących do jednej grupy jest w stanie poważnie zagrozić 

bezpieczeństwu całej bazy danych – zatem weryfikacja 

bezpieczeństwa takiego systemu powinna 

być wykonywana całościowo. 

Każda z poniższych kategorii zawiera wypunktowane 

w formie pytań zalecenia, umożliwiające zaplanowanie 

we własnym zakresie audytu bezpieczeństwa 

czy testów penetracyjnych bazy danych. 

Ekspozycja na poziomie sieci 

Baza danych często udostępniana jest w sieci (czy to 

lokalnej, czy np. Internecie) – na bezpieczeństwo bazy 

danych można więc spojrzeć tak jak na bezpieczeństwo 

każdej innej usługi sieciowej (np. serwer webowy, 

serwer poczty, serwer DNS, itd.). 

Zalecenia 

Sugerujemy zweryfikowanie takich elementów: 

• Na jakich interfejsach sieciowych / portach nasłuchują 

usługi bazodanowe? – Niekiedy nie jest konieczne 

nasłuchiwanie bazy danych na wszystkich 

interfejsach sieciowych albo na interfejsie dostępnym 

do Internetu. 

• Czy istnieje możliwość ataku na usługę z poziomu 

sieci? – Mamy tu na głównie myśli podatności 

w obsłudze protokołu komunikacyjnego: w lokalizacji 

tego typu podatności przydatny może być 

tzw. skaner podatności; skuteczne ataki w tym 

miejscu często są związane z brakiem aktualizacji 

bezpieczeństwa bazy danych, o czym piszemy 

w dalszej części tekstu. 

• Czy w wykorzystywanej przez nas bazie znane są 

inne specyficzne elementy charakterystyczne dla 

komponentu nasłuchującego? – Np. ochrona za 

pomocą hasła komponentu nasłuchującego. 

Przykładowe dalsze informacje 

• Bezpieczeństwo komponentu Listener w Oracle 

(do wersji 9 Oracle, domyślnie komponent ten 

posiada puste hasło dostępowe umożliwiające 


OBRONA 

przejęcie kontroli nad listenerem): http://www.netsecurity.org/dl/articles/Integrigy 

_OracleDB_Listener_Security.pdf 

• Weryfikację nasłuchiwania na określonych interfejsach 

sieciowych można wykonać np. linuksowym 

poleceniem: # netstat-tulpn. W tym 

przypadku poniżej, usługa mysqld nasłuchuje 

jedynie na interface loopback (127.0.0.1): 

tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 28852/ 

mysqld. 

• Informacje o robaku Slammer (atakującego SQL 

Server): http://en.wikipedia.org/wiki/SQL_Slammer 

• Przykład alertu zgłaszanego przez oprogramowanie 

klasy IDS (intrusion detection system) – snort: 

[**] [1:2003:8] MS-SQL Worm propagation attempt [**] 

[Classification: Misc Attack] [Priority: 2] 

04/19-23:16:14.032636 202.x.x.x:3352 -> x.x.x.x:1434 

UDP TTL:116 TOS:0x0 ID:55339 IpLen:20 DgmLen:404 

Len: 376 

[Xref => http://vil.nai.com/vil/content/ 

v_99992.htm][Xref => http: 

//cgi.nessus.org/plugins/ 

dump.php3?id=11214][Xref => 

http://cve.mitre.org/cgi-bin/ 

cvename.cgi?name=2002-0649][Xref 

=> http://www.securityfocus.com/ 

bid/5311][Xref => http:// 

www.securityfocus.com/bid/5310]. 

Poprawki bezpieczeństwa 

Jak wspomnieliśmy wyżej, często udane ataki na bazę 

danych związane są z brakiem jej aktualizacji. W tym 

przypadku idea ataku może być następująca: 

• W oprogramowaniu bazy danych znajdowana jest 

krytyczne luka, umożliwiająca z poziomu sieci 

uzyskanie pełnej kontroli nad bazą danych. 

• W Internecie udostępniony jest exploit. 

• Producent bazy danych udostępnia aktualizację. 

Po jej wgraniu, ewentualne uruchomienie ww. 

exploitu nie zakończy się sukcesem, jednak gdy 

aktualizacja nie zostanie wykonana, wrogi kod 

może umożliwić przejęcie kontroli nad bazą. 

Zalecenia 

Rozważając kwestię aktualizacji bazy danych warto 

zadać sobie pytania: 

• Czy posiadamy wykupiony pakiet umożliwiający 

instalowanie tego typu poprawek? – W przypadku 

niektórych baz danych – np. Oracle – stanowić to 

może spory koszt). 

• Czy aktualizacje bazy danych są wykonywane? 

• Czy baza instalowana jest jako pakiet systemu 

operacyjnego czy niezależnie? 

• Czy weryfikowana jest integralność aktualizacji? 

– Czy wiemy skąd pochodzą aktualizacje? Jeśli 

udałoby się dostarczyć nam wrogą aktualizację 

– istnieje możliwość zdalnego przejęcia kontroli 

nad bazą. 

• Czy aktualizacje wykonywane są ręcznie czy automatycznie? 

– Niekiedy same aktualizacje mogą 

spowodować niepoprawne działanie całej bazy 

danych: manualne aktualizacje pozostawiają administratorowi 

możliwość szybkiej reakcji na ewentualne 

problemy. 

• Czy aktualizacje sprawdzane są wcześniej na serwerach 

testowych? 


• Informacje o wprowadzeniu poprawek do bazy danych 

Oracle, w tym łatających luki umożliwiające 

pełen, nieuwierzytelniony dostęp z poziomu 

sieci: http://www.oracle.com/technology/deploy/ 

security/pdf/2004alert68.pdf. 

Użytkownicy z wykorzystaniem, których działa baza 

danych 

Aby ograniczyć wpływ negatywnych skutków naruszenia 

bezpieczeństwa na cały system, warto rozważyć 

uprawnienia użytkownika systemu operacyjnego, 

z którego wykorzystaniem uruchamiana jest baza. 

Przykład: 

W Internecie dostępna jest aplikacja umożliwiająca 

dostęp do poczty elektronicznej w firmie. System 

działa w oparciu o bazę danych MySQL. Baza działa 

z uprawnieniami użytkownika systemu operacyjnego 

root (administrator), a aplikacja wykorzystuje użytkownika 

bazodanowego posiadającego uprawnienia administracyjne 

w bazie danych. Skuteczny atak z poziomu 

Internetu na aplikację prowadzi do: 

• możliwości odczytu e-maili dowolnego użytkownika, 

• możliwości odczytu innych danych znajdujących 

się w bazie danych na tym serwerze, 

• możliwości pełnego dostępu do systemu operacyjnego 

(uprawnienia administracyjne) oraz atakowanie 

dalszych systemów. 

Zalecenia 

• Czy użytkownik systemu operacyjnego, z którego 

wykorzystaniem uruchamiana jest usługa bazodanowa, 

posiada uprawniania administracyjne? 

– Należy unikać takiej sytuacji. 

• Czy powyższy użytkownik posiada dodatkowe 

uprawnienia niekoniecznie wymagane do działa- 

22 

2/2011


nia bazy danych? – Np. uprawniania od odczytu / 

zapisu plików, które nie są używane przez system 

bazodanowy. 

• Czy istnieje możliwość interaktywnego zalogowania 

się na użytkownika bazodanowego, np. z wykorzystaniem 

SSH? – Nie powinniśmy stwarzać takiej 

możliwości. 


• Unikanie uruchamiania usług SQL Server 

z uprawnieniami kont administracyjnych: http:// 

www.sqlservercentral.com/blogs/brian_kelley/ 

archive/2008/06/12/avoid-domain-admin-level-accounts-for-sql-server.aspx 

• Konfiguracja środowiska chroot w celu ograniczania 

ekspozycji systemu operacyjnego po 

ewentualnym ataku na usługę sieciową: http:// 

www.securitum.pl/baza-wiedzy/publikacje/chrootw-praktyce 

Użytkownicy bazodanowi 

Kolejnym istotnym elementem przy weryfikacji bezpieczeństwa 

bazy danych jest określenie uprawnień użytkowników 

definiowanych na poziomie bazy danych. 

Dobrą praktyką jest stosowanie tutaj zasady least privileges, 

to znaczy uprawnienia użytkowników bazodanowych 

powinny być najmniejszymi, które są wymagane 

do prawidłowego działania całości systemu. 

Zalecenia 

• Czy wybrani użytkownicy bazodanowi nie posiadają 

nadmiernych uprawnień? – Np. uprawnienia 

administracyjne na bazie dla użytkownika bazodanowego 

skonfigurowanego w aplikacji webowej. 

• Czy w systemie wykonane jest mapowanie użytkowników 

bazodanowych na użytkowników systemu operacyjnego 

(popularne szczególnie w systemach Windows). 

Jeśli tak, to czy mapowanie jest poprawne? 

• Jakie konta bazodanowe mają uprawnienia administracyjne? 

• Którzy użytkownicy posiadają dostęp anonimowy 

do bazy danych? – użytkownicy demo / guest / itp. 

• Czy możliwy jest dostęp do bazy za pomocą użytkowników 

/ haseł domyślnych? – Np. kombinacja 

DBSNMP/DBSNMP w bazie Oracle. 

• Czy użytkownicy bazodanowi posiadają wystarczająco 

złożone hasła dostępowe? 


• Zbiór informacji dotyczący tematyki haseł – baza 

Oracle http://www.red-database-security.com/ 

whitepaper/oracle_passwords.html 

• Oprogramowanie cain & abel umożliwiające m.in. 

łamanie hashów haseł dla wybranych baz SQL: 

http://www.oxid.it/cain.html 

Ograniczenie funkcjonalności oferowanych przez 

bazę danych 

Zgodnie z wspomnianą wcześniej zasadą least privileges 

zaleca się minimalizację instalowanych oraz 

uruchamianych usług i funkcjonalności bazodanowych. 

W wielu przypadkach takie domyślne funkcjonalności 

nie są wymagane do prawidłowego działania 

bazy. 

Zalecenia 

Zalecenia zależą od konkretnej implementacji bazy 

danych. Dodatkowymi funkcjonalnościami mogą być 

przykładowo: 

• Całe usługi: np. serwer http apache, w przypadku 

Oracle. 

• Konkretne procedury czy grupy procedur i funkcji 

bazodanowych, np. procedura xp_cmdshell w systemie 

SQL Server umożliwiająca wykonanie polecenia 

systemu operacyjnego, użytkownikowi bazodanowemu. 

• Domyślnie instalowane bazy o charakterze „demo”. 


• Dokumentacja hardeningowa dla SQL Server 

2005 (rozdział SQL Server Settings): https: 

//www.cisecurity.org /tools2 /sqlser ver/ CIS _ 

SQL2005_Benchmark_v1.2.0.pdf 

Logowanie (księgowanie) dostępu do bazy danych 

Aby zapewnić systemowi właściwość zwaną rozliczalnością, 

należy w odpowiedni sposób logować (księgować) 

operacje wykonywane na bazie danych. Tego typu 

logi mogą okazać się przydatne, gdy będziemy potrzebowali 

prześledzić ewentualną historię zdarzeń 

przy naruszeniu bezpieczeństwa bazy danych. W takim 

przypadku będziemy wiedzieć jaka operacja, kiedy 

oraz przez kogo została wykonana na bazie. 

Zalecenia 

• Czy próby uwierzytelnienia (udane, nieudane) są 

logowane? 

• Czy logowane są operacje (zapytania SQL) na bazie 

danych? 

• W jakim miejscu składowane są logi zawierające 

ww. informacje? Kto ma do nich dostęp? Jak zapewniona 

jest ich integralność? Czy są wykonywane 

kopie zapasowe logów? 


OBRONA 

• Czy logowanie następuje do bazy danych czy na 

poziomie systemu operacyjnego? 

• Czy księgowanie wykonywane jest jedynie lokalnie 

czy również na zdalny system? 

Szyfrowanie 

Jako „szyfrowanie” rozumiemy w tym przypadku mechanizmy 

zapewniające poufność, integralność (transmisji 

oraz samych przechowywanych danych) a także 

bezpieczne uwierzytelnienie użytkowników łączących 

się z bazą. Zastosowane mechanizmy kryptograficzne 

zależą od typu danych, które chronimy, a także specyfiki 

systemu IT, w którym dane te są przetwarzane. 

Mechanizmy te możemy rozważać co najmniej w kilku 

perspektywach. 

Zalecenia 

• Czy proces uwierzytelnienia do bazy jest odpowiednio 

zabezpieczony? – Czy dane uwierzytelniające 

– np. hasło przesyłane są w sieci w bezpieczny 

sposób? 

• Czy wszystkie dane przesyłane pomiędzy klientem 

bazodanowym a serwerem są zaszyfrowane? 

– Zapewnienie poufności i integralności transmisji. 

• Czy szyfrowany dostęp do bazy jest wymuszany 

na klientach bazodanowych? 

• Czy dane znajdujące się w bazie danych przechowywane 

są w formie zaszyfrowanej? – Zapewnienie 

poufności i integralności danych. 


• Wymuszanie szyfrowania (komunikacji klient-serwer) 

na bazie SQL Server: 

h t t p : / / msdn.microsof t .c o m / e n - us / l i br a r y/ 

ms189067.aspx, 

h t t p : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y/ 

ms191192.aspx. 

Bezpieczeństwo w warstwie aplikacji korzystających 

z bazy danych 

Tematyka związana z zagadnieniem bezpieczeństwa 

aplikacji jest bardzo szeroka. W tekście jedynie zaznaczamy 

jej pewne powiązanie z bezpieczeństwem 

baz danych. 

Jednym z częstych błędów bezpieczeństwa w aplikacjach 

wpływających na bezpieczeństwo bazy danych 

jest podatność SQL injection. Istota problemu 

polega na możliwości nieautoryzowanej zmiany zapytania 

SQL generowanego po stronie aplikacji. Takie 

działanie umożliwia często atakującemu na pełen dostęp 

do bazy danych – zarówno w trybie odczytu jak 

i zapisu. Niekiedy również ta droga prowadzi do otrzymania 

dostępu na poziomie systemu operacyjnego. 

Dla porządku, warto również w tym momencie wspomnieć 

o innych, często spotykanych problemach, mogących 

prowadzić do naruszenia bezpieczeństwa bazy 

danych: 

• Przechowywanie po stronie klienckiej informacji 

dostępowych do serwera bazodanowego. Problem 

występuje często w aplikacjach desktopowych korzystających 

z bazy danych– na lokalnych stacjach 

użytkowników (np. w rejestrze systemu Windows) 

przechowywane są login/hasło użytkownika 

mającego pełen dostęp do bazy danych. 

• Brak odpowiednich mechanizmów kryptograficznych 

służących do zabezpieczenia połączenia pomiędzy 

klientem a serwerem (więcej informacji 

w punkcie: „szyfrowanie” w niniejszym artykule). 

Zalecenia 

• Czy w aplikacji następuje odpowiednia walidacja 

danych otrzymywanych od użytkowników? 

• Czy aplikacja korzysta z jednego użytkownika 

bazodanowego w celu łączenia się do bazy danych? 

– W przypadku wystąpienia SQL injection 

taka konfiguracja umożliwia atakującemu dostęp 

do całej bazy – jest to szczególnie groźne, gdy taki 

użytkownik ma uprawnienia administracyjne na 

bazie. 

• Czy aplikacja korzysta z tzw. zapytań parametryzowanych 

w celu dostępu do danych? – Mechanizm 

ten odpowiednio wykorzystany potrafi niemal 

w 100% ochronić przed SQL injection. 

• Czy po stronie klienckiej przechowywane są dane 

dostępowe do serwera bazodanowego? 


• SQL injection wg OWASP: http://www.owasp.org/ 

index.php/SQL_Injection 

• Przykład bardziej zaawansowanych rozważań 

o SQL injection: http://www.securitum.pl/bazawiedzy/publikacje/sql-injection-nietypowy-wariantataku 

Miejsce składowania danych w systemie plików 

Ostatecznie baza danych przechowuje informacje na 

systemie plików (choć w określonych przypadkach 

dane te mogą być przechowywane np. jedynie w pamięci). 

Dostęp do tych plików uzyskujemy zazwyczaj nie 

bezpośrednio (dostęp do pliku) tylko przy pomocy zapytania 

SQL (łącząc się z tzw. RDBMS, który między 

innymi dba o uwierzytelnienie/autoryzację użytkowników 

łączących się z bazą). Użytkownicy (zazwyczaj 

lokalni) mający dostęp do plików przetwarzanych 

24 

2/2011


przez RDBMS mogą spróbować uzyskać do nich dostęp 

bezpośredni, omijając tym samym mechanizmy 

uwierzytelnienia i autoryzacji oferowane przez bazę. 

Kolejną kwestią związaną z umiejscowieniem plików 

bazodanowych jest nieprzerwany dostęp do całej 

bazy. Jeśli dostęp do danych w systemie plików (np. 

z powodu awarii dysku twardego) zostanie utracony, 

tracony jest również dostęp do konkretnych przetwarzanych 

w bazie danych. Warto zatem rozważyć wdrożenie 

odpowiednich mechanizmów zapewniających 

nieprzerwane działanie bazy w przypadku tego typu 

awarii. 

Na koniec poruszymy jeszcze jedną kwestię związaną 

z dostępnością całego systemu. Otóż niekiedy 

przetwarzane w bazie informacje składowane są na 

tej samej partycji, co pliki wchodzące w skład systemu 

operacyjnego, na którym uruchomiona jest baza 

danych. W przypadku zapełnienia takiej partycji często 

przestaje działać poprawnie cały system operacyjny. 

Warto może zatem wydzielić osobną partycję przechowującą 

pliki bazodanowe – niezależną od partycji 

systemowej. 

Zaznaczmy jeszcze, że tematyka wysokiej dostępności 

bazy jest bardzo szeroka – w niniejszym tekście 

jedynie ją wskazujemy w kontekście plików bazodanowych. 

Zalecenia 

• Czy pliki bazodanowe znajdują się na odpowiednim 

typie systemu plików? – Umożliwiającym 

nadanie odpowiednich uprawnień? np. NTFS, 

a nie FAT? 

• Czy pliki bazodanowe na poziomie systemu plików 

są dostępne (odczyt/zapis) tylko dla użytkownika 

z wykorzystaniem którego działa baza danych? 

• Czy awaria miejsca przeznaczonego na składowanie 

danych bazy powoduje niedostępność do bazy 

danych? – Czy mamy wdrożone mechanizm typu 

RAID? Czy wykorzystujemy redundantnie podłączoną 

macierz zewnętrzną? 

• Czy dane składujemy na partycji oddzielnej od 

systemowej? 

Kopie zapasowe 

Z uwagi na najczęściej dość wysoką wartość informacji 

przetwarzanych w bazach danych koniecznością 

jest wykonywanie okresowych kopii bezpieczeństwa 

bazy. Przy wykonywaniu backupów warto rozważyć 

kwestie łączące się z realizacją kopii zapasowych 

w ogóle, a także elementy specyficzne dla samej bazy 

danych. 

Zalecenia 

• Czy wykonywane są kopie zapasowe wszystkich 

instancji baz danych? 

• Czy wykonywana jest kopia zapasowa bazy systemowej? 

– Często brak takiej kopii może oznaczać 

problemy przy próbie przywrócenia danych z backupu. 

• Czy wykonywane są testy poprawności wykonywania 

kopii zapasowych? – Próba pełnego odtworzenia 

bazy z wykonanej wcześniej wykonanej kopii. 

• Na jakie nośniki wykonywane są kopie zapasowe? 

• Czy dane na zużytych nośnikach usuwa się w sposób 

trwały? 

• W jaki sposób chroni się nośniki zawierające backupy 

przed dostępem osób nieuprawionych? 

Podsumowanie 

W artykule przedstawiliśmy, naszym zdaniem, najistotniejsze 

elementy dotyczące bezpieczeństwa bazy danych. 

Pewne aspekty – np. bezpieczeństwo fizyczne, 

dostępność bazy, bezpieczeństwo sieci czy systemu 

operacyjnego, na którym przetwarzane są informacje 

– zostały wskazane jedynie hasłowo. Jednakże wskazując 

zalecania, staraliśmy się formułować je w na tyle 

ogólnej formie, aby każdy z czytelników mógł dostosować 

i rozszerzyć je pod własne, specyficzne potrzeby 

– każda bowiem baza danych wymaga dedykowanego 

spojrzenia na bezpieczeństwo przechowywanych 

w niej informacji. 

MICHAŁ SAJDAK 

Prowadzi testy penetracyjne oraz szkolenia z zakresu bezpieczeństwa. 

Posiadacz certykatu CISSP. 

Obecnie pracuje w rmie Securitum. 

Kontakt: michal.sajdak@securitum.pl 

Polecana Literatura 

• Implementing Database Security and Auditing: Includes Examples for Oracle, SQL Server, DB2 UDB, Sybase - Digital Press (May 2, 2005) 

• The Database Hacker's Handbook: Defending Database Servers - Wiley (July 14, 2005) 

• Dokumentacje hardeningnowe The Center for Internet Security - http://cisecurity.org/ 


OBRONA 

Zarządzanie bezpieczeństwem 

danych osobowych. 

Kwestie prawne e-commerce 

Marcin Engelmann 

Dane osobowe klientów sklepu internetowego – na co 

powinien zwrócić uwagę właściciel sklepu, żeby nie tylko 

działać w zgodzie z ustawą o ochronie danych osobowych, 

ale również budować zaufanie swoich klientów. Czym są 

dane osobowe, jak je zabezpieczyć, na co zwrócić uwagę? 

Dowiesz się: 

• jakie przepisy prawne wpływają na przetwarzanie danych w sklepie internetowym? 

• jakie wymagania musi spełniać oprogramowanie sklepu internetowego 

• w jaki sposób zabezpieczyć sklep internetowy przed atakami z zewnątrz 

• co należy zrobić z nośnikami danych, na których znajduje się baza SQL sklepu, 

a które nie są już potrzebne 


• podstawowa wiedza o prowadzeniu 

sklepu internetowego 

Czy właściciele sklepów internetowych są świadomi 

przepisów prawnych, które regulują kwestię 

ochrony danych osobowych ich klientów? 

Przedsiębiorcy prowadzący sklepy internetowe są, 

a przynajmniej powinni być, świadomi regulacji prawnych, 

którym podlegają prowadząc taką działalność. 

Jest to oczywiście kodeks cywilny oraz między innymi 

ustawa z 2 marca 2000 r. o ochronie niektórych praw 

konsumentów oraz odpowiedzialności za szkodę wyrządzoną 

przez produkt niebezpieczny, czy też ustawa 

z dnia 27 lipca 2002 r. o szczególnych warunkach 

sprzedaży konsumenckiej. Dotyczy ich również w pewnym 

stopniu ustawa z dnia 18 lipca 2002 r. o świadczeniu 

usług drogą elektroniczną. 

Istotną różnicą między prowadzeniem sprzedaży detalicznej 

w normalnym sklepie a sprzedażą przez Internet 

jest utrata przez klienta anonimowości. W pierwszym 

przypadku sprzedawca zwykle nie pozyskuje danych 

osobowych kupującego, jedynym dowodem zakupu 

jest paragon „na okaziciela”. Przy sprzedaży na 

odległość niezbędne jest uzyskanie przynajmniej danych 

adresowych potrzebnych do dostarczenia towaru, 

a często gromadzone są również dane pomocnicze takie 

jak adres e-mail, numer telefonu czy różnego rodzaju 

informacje o preferencjach zakupowych klienta. 

Z pewnym niepokojem można zauważyć, że kwestia 

ochrony danych osobowych klientów jest bardzo często 

traktowana przez właścicieli sklepów z dużą pobłażliwością. 

Wniosek taki można wyciągnąć między innymi 

na podstawie badania przeprowadzonego przez serwis 

Sklepy24.pl w ramach raportu „e-Handel Polska 

2009”. Ankiety zebrane z ponad 600 sklepów internetowych 

pokazują, że tylko co dziesiąty sklep zarejestrował 

zbiór danych osobowych u Generalnego Inspektora 

Danych Osobowych, a jedynie połowa właścicieli ma 

pewność, że centrum przetwarzania danych, w którym 

znajdują się serwery obsługujące sklep jest dobrze zabezpieczona 

przed włamaniami, pożarem czy problemami 

z zasilaniem. 

Co ciekawe, badanie Eurobarometru z 2008 r. wskazuje, 

że właścicielowi sklepu internetowego powinno 

szczególnie zależeć na wzbudzeniu zaufania i zapewnieniu 

rzeczywistego bezpieczeństwa danych osobowych 

swoich klientów. Polacy są na pierwszym miejscu 

w Unii Europejskiej jako deklarujący najwyższą świadomość 

praw związanych z danymi osobowymi (43% badanych). 

Ponad połowa ankietowanych (55%) deklarowała 

troskę o dane osobowe ujawniane w Internecie. 

W dalszej części artykułu omówię najważniejsze, 

z punktu widzenia przedsiębiorcy prowadzącego sklep 

internetowy, zagadnienia związane z ochroną danych 

osobowych klientów. Skupimy się przede wszystkim na 

zagadnieniach praktycznych, z naciskiem na kwestie 

techniczne (sklep internetowy to w znakomitej większo- 

26 

2/2011

Zarządzanie bezpieczeństwem danych osobowych. Kwestie prawne e-commerce 

Zbiór danych osobowych kojarzy się 

z koniecznością jego rejestracji w GIODO, czy 

dotyczy to każdego zbioru? 

Zbiór danych osobowych to zestaw danych dostępnych 

według określonych kryteriów, niezależnie od tego czy 

zestaw ten jest rozproszony lub podzielony funkcjonalnie. 

Typowym zbiorem danych osobowych będzie baza 

klientów, która jest wykorzystywana w celach marketingowych. 

Jeden zbiór danych może tworzyć nawet kilka 

baz danych. 

Z założenia każdy zbiór danych osobowych podlega 

obowiązkowi rejestracji w rejestrze prowadzonym 

przez Generalnego Inspektora Danych Osobowych 

(GIODO). Od tego obowiązku jest 14 wyjątków określonych 

w ustawie. 

W przypadku sklepu internetowego jedyny wyjątek, 

który można byłoby rozważać to zwolnienie z obowiązku 

rejestracji danych administratorów danych osobowych 

przetwarzanych wyłącznie w celu wystawienia 

faktury, rachunku lub prowadzenia sprawozdawczości 

finansowej. Ten przypadek może być jednak trudny do 

zastosowania, jeśli dane są wykorzystywane na przykład 

w celach marketingowych (wysyłka newslettera) 

czy w celu obsługi reklamacji. Wystarczy jednak, że dane 

o historii zakupów są wykorzystywane do przedstawienia 

spersonalizowanej oferty i nie ma już możliwości 

skorzystania ze zwolnienia z obowiązku rejestracji. 

Rejestracja zbioru danych w GIODO jest stosunkowo 

prosta, należy jednak pamiętać, że niepoprawne wyści 

przypadków system informatyczny z niewielką ilością 

dokumentów papierowych). Przyjąłem również założenie, 

że właściciel sklepu internetowego jest równocześnie 

administratorem danych osobowych klientów, 

choć w szczególnych przypadkach należałoby również 

rozpatrywać ten aspekt. 

Jakie przepisy prawne wpływają 

na przetwarzanie danych w sklepie 

internetowym? 

Najistotniejsze przepisy prawne regulujące kwestię 

przetwarzania danych osobowych to ustawa oraz rozporządzenie 

poświęcone wymaganiom stawianym systemom 

informatycznym: 

• Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych 

osobowych, 

• Rozporządzenie Ministra Spraw Wewnętrznych 

i Administracji z dnia 29 kwietnia 2004 r. w sprawie 

dokumentacji przetwarzania danych osobowych 

oraz warunków technicznych i organizacyjnych, jakim 

powinny odpowiadać urządzenia i systemy informatyczne 

służące do przetwarzania danych osobowych. 

W marcu 2011 r. wchodzi w życie nowelizacja ustawy 

o ochronie danych osobowych, nie ulegają jednak 

zmianie interesujące nas zagadnienia. 

W dalszej części artykułu zarówno ustawa jak i związane 

z nią rozporządzenia wykonawcze nazywane są 

wspólnie UODO. 

Czy dane osobowe to tylko imię i nazwisko 

oraz adres dostawy? 

Definicja danych osobowych zawarta w ustawie 

o ochronie danych osobowych mówi, że dane osobowe 

to wszelkie informacje dotyczące zidentyfikowanej 

lub możliwej do zidentyfikowania osoby fizycznej, 

a więc takiej osoby, której tożsamość można określić 

bezpośrednio lub pośrednio, w szczególności przez powołanie 

się na numer identyfikacyjny albo jeden lub kilka 

specyficznych czynników określających jej cechy fizyczne, 

fizjologiczne, umysłowe, ekonomiczne, kulturowe 

lub społeczne. Istotne jest dodatkowe założenie, że 

informacji nie uważa się za umożliwiającą określenia 

tożsamości osoby, jeżeli wymagałoby to nadmiernych 

kosztów lub działań. 

W efekcie bezspornie typowymi danymi osobowymi, 

które mogą pojawić się w sklepie internetowym będą 

na przykład: 

• imię i nazwisko, 

• adres zamieszkania, 

• przypisany numer (na przykład PESEL lub NIP), 

• adres e-mail, który zawiera imię i nazwisko lub jed- 

noznacznie pozwala określić tożsamość jego posiadacza, 

• informacje na temat stanu zdrowia czy nałogach. 

Danymi osobowymi nie są informacje ogólne – na 

przykład samodzielnej informacji „Jan, Wrocław” nie 

można uznać za daną osobową, ponieważ zidentyfikowanie 

osoby wymagałoby poniesienia istotnych kosztów 

lub podjęcia nadmiernych działań. 

Co ciekawe, pewne dane, które same w sobie nie są 

danymi osobowymi, w powiązaniu z typowymi danymi 

osobowymi stają się ich częścią. Klasyczny przypadek to 

lista zamówionych przez klienta towarów. Przykładowo: 

• informacja o tytule książki, liczbie sztuk i cenie nie 

jest daną osobową, 

• informacja o tytule książki, liczbie sztuk i cenie powiązana 

z imieniem i nazwiskiem klienta wraz z adresem 

dostawy staje się daną osobową. 

Reasumując, może się okazać, że duża część bazy 

danych sklepu internetowego stanowi zbiór danych 

osobowych w rozumieniu UODO. Zwłaszcza jeśli między 

poszczególnymi tabelami występują powiązania 

typowe dla relacyjnej bazy danych SQL. 


OBRONA 

pełnienie formularza rejestracji może nie tylko doprowadzić 

do odmowy zarejestrowania zbioru, ale może 

wzbudzić zainteresowanie inspektorów GIODO i sprowokować 

kontrolę firmie przedsiębiorcy prowadzącego 

sklep. 

Należy pamiętać, że zwolnienie z obowiązku rejestracji 

zbioru danych w GIODO nie zwalnia przedsiębiorcy 

z obowiązku przestrzegania innych przepisów UODO. 

Jakie wymagania musi spełniać 

oprogramowanie sklepu internetowego? 

Oprogramowanie sklepu internetowego, wraz z serwerem 

na którym działa, to – zgodnie z definicją z ustawy 

– system informatyczny. Wymagania stawiane systemowi 

informatycznemu nie zależą od rodzaju oprogramowania 

i dotyczą: 

• oprogramowania komercyjnego i darmowego (np. 

Open Source), 

• gotowych pakietów i programów stworzonych na 

lub dostosowanych do indywidualnych potrzeb sklepu, 

• platform hostujących sklepy internetowe. 

Zgodnie z wymaganiami UODO, każdy system informatyczny, 

który służy do przetwarzania danych osobowych, 

musi spełniać następujące wymagania: 

• zapewniać kontrolę dostępu do danych osobowych 

(na przykład wymagać podania identyfikatora użytkownika 

i hasła oraz wprowadzać poziomy uprawnień, 

jeśli można je wyodrębnić), 

• każdy użytkownik musi posiadać odrębny identyfikator 

(nie może mieć miejsca sytuacja, w której 

użytkownicy korzystają ze wspólnego loginu), 

• system musi być zabezpieczony przed działaniem 

oprogramowania, którego celem jest uzyskanie nieuprawnionego 

dostępu, 

• zmiana hasła następuje przynajmniej raz na 30 dni, 

• hasło składa się z co najmniej 8 znaków, zawiera 

małe i wielkie litery oraz cyfry lub znaki specjalne, 

• dostęp do systemu powinien być zabezpieczony 

przed zagrożeniami pochodzącymi z Internetu poprzez 

wdrożenie fizycznych lub logicznych zabezpieczeń 

chroniących przed nieuprawnionym dostępem 

(na przykład zapora ogniowa firewall) i zapewniają 

kontrolę przepływu informacji pomiędzy systemem 

informatycznym a Internetem oraz kontrolę 

działań inicjowanych z Internetu i systemu informatycznego, 

• system musi automatycznie odnotowywać datę 

wprowadzenia danych osobowych, osobę, która je 

wprowadziła, źródło danych, informację o udostępnieniu 

danych oraz informację czy osoba wyraziła 

sprzeciw wobec przetwarzania jej danych, 

• system musi umożliwiać wyświetlenie na ekranie 

oraz wydrukowanie raportu zawierającego w powszechnie 

zrozumiałej formie (czyli np. bez specyficznych 

dla tego programu skrótów i kodów) dane 

osobowe oraz informację o dacie ich wprowadzenia 

do systemu informatycznego, osobie, która je wprowadziła, 

źródle danych, informacji o udostępnieniu 

danych oraz o tym czy osoba wyraziła sprzeciw 

wobec przetwarzania jej danych. 

Przynajmniej część z powyższych zaleceń warto wprowadzić 

w życie dla każdego serwisu internetowego (w 

szczególności sklepu internetowego), ponieważ poprawią 

jego ogólną niezawodność i bezpieczeństwo. 

Czy cała komunikacja między klientem 

a sklepem internetowym powinna być 

szyfrowana? 

Ustawa o ochronie danych osobowych nie nakłada tak 

szerokiego obowiązku zapewnienia bezpiecznego, szyfrowanego 

połączenia HTTPS i certyfikatów SSL. Nie 

ma też praktycznego uzasadnienia, żeby w przypadku 

każdego sklepu wymagać szyfrowania całej komunikacji 

między komputerem klienta a serwerem. 

UODO mówi jednak, że należy bezwzględnie stosować 

bezpieczne połączenia HTTPS wobec danych 

wykorzystywanych do uwierzytelnienia, które są przesyłane 

przez Internet (będzie to na przykład operacja 

logowania się klienta do własnego konta lub obsługi 

sklepu do panelu administracyjnego). Dodatkowo właściciel 

sklepu ma obowiązek dochowania szczególnej 

staranności w zabezpieczeniu wszelkich danych osobowych. 

Warto więc zastosować szyfrowane połączenie 

HTTPS i certyfikat SSL przynajmniej w obrębie: 

• logowania się klienta do konta w sklepie internetowym 

(informacja o identyfikatorze użytkownika i haśle), 

• obsługi koszyka i składania zamówienia (informacje 

o zamówionych produktach, cena), 

• obsługi historii zamówień oraz informacji osobistych 

(zamówione produkty, adres dostawy), 

• całego panelu administracyjnego, który służy do 

zarządzania sklepem i jest wykorzystywany przez 

jego obsługę. 

Wykorzystanie certyfikatu SSL na serwerze pozwala 

na spełnienie tych wymagań. Dane przesyłane przez 

Internet nie tylko nie będą mogły zostać podsłuchane, 

ale połączenie HTTPS zapewni również, że nie zostaną 

one zmodyfikowane. Orientacyjny koszt certyfikatu 

SSL to 120zł rocznie, a więc jest niski w porównaniu 

do kosztów jednego skutecznego wyłudzenia nawet 

w małych sklepach. 

28 

2/2011


Jakie wymagania powinna spełniać firma 

hostingowa lub centrum przetwarzania 

danych, w którym znajdują się serwery 

obsługujące sklep internetowy? 

Wymagania dotyczące hostingu sklepu internetowego 

to ciekawe zagadnienie. Oprócz wspomnianych wcześniej 

wymagań stawianych przede wszystkim oprogramowaniu, 

administrator danych osobowych ma obowiązek 

zapewnienia bezpieczeństwa fizycznego i środowiskowego 

przetwarzanym danym osobowym. Sklepy internetowe 

są najczęściej utrzymywane na: 

• typowym współdzielonym hostingu (zwykle sklepy 

małe lub z krótkim stażem), 

• wirtualnych serwerach prywatnych VPS (sklepy 

średnie), 

• dedykowanych serwerach fizycznych (sklepy większe, 

z dłuższym stażem), 

• platformie oferującej sklepy internetowe w modelu 

Software as a Service (SaaS). 

W większości przypadków firma obsługująca sklep internetowy 

nie posiada własnego centrum przetwarzania 

danych (potocznie nazywanego serwerownią), 

w którym znajdują się serwery obsługujące sklep internetowy 

i obsługa sprzętowa jest powierzana firmie hostingowej. 

Centrum przetwarzania danych, w których znajdują 

się serwery powinno co najmniej zapewniać: 

• zabezpieczenie przed dostępem osób nieupoważnionych 

(fizyczne zabezpieczenia takie jak odpowiednie 

drzwi, zamki, kontrola dostępu, system 

alarmowy, całodobowy monitoring, agencja ochrony), 

• zabezpieczenie przed pożarem, zalaniem i innymi 

zagrożeniami środowiskowymi (odpowiednie czujniki, 

system gaszenia bezpieczny dla ludzi i sprzętu 

elektronicznego), 

• zabezpieczenie serwerów przed utratą danych 

spowodowaną awarią zasilania lub zakłóceniami 

w sieci zasilającej (czyli powinno być wyposażone 

w zasilacze awaryjne UPS oraz opcjonalnie generatory 

prądu). 

Jeśli sklep internetowy nie jest utrzymywany na serwerach 

dedykowanych, ale korzysta ze zwykłego konta 

hostingowego lub platformy udostępniającej sklepy 

w modelu SaaS, warto jednoznacznie określić za jakie 

elementy zabezpieczenia odpowiada firma świadcząca 

usługę, a za które właściciel sklepu. Typowym przykładem 

jest na przykład kwestia wykonywania kopii zapasowych 

– częstotliwość lub sposób dostępu oferowany 

przez firmę hostingową może nie być wystarczający 

dla zapewnienia bezpieczeństwa danych osobowych. 

W jaki sposób zabezpieczyć sklep 

internetowy przed atakami z zewnątrz? 

Ustawa o ochronie danych osobowych nakłada na administratora 

danych osobowych obowiązek zabezpieczenia 

systemu informatycznego, między innymi przed 

zagrożeniami pochodzącymi z Internetu. 

W celu zabezpieczenia sklepu internetowego przed 

atakami z zewnątrz warto między innymi: 

• korzystać z oprogramowania, które jest ciągle rozwijane 

i jego autorzy lub producent reaguje na powstawanie 

nowych ataków i odkrywanie błędów, 

• zadbać o aktualność oprogramowania, które jest 

zainstalowane zarówno na serwerach (system operacyjny, 

oprogramowanie systemowe, aplikacja 

sklep) obsługujących sklep, jak i na komputerach 

„biurowych” (chociażby przeglądarka internetowa), 

• stosować firewalle, które pozwolą na zablokowanie 

dostępu do serwera komputerom, które służą do 

przeprowadzania ataków, 

• wykorzystać „firewalle aplikacyjne” (ang. Web Application 

Firewall), które stanowią dodatkową warstwę 

ochrony, 

• zainstalować oprogramowanie antywirusowe na 

komputerach osób obsługujących sklep internetowy. 

Oczywiście właściciel typowego sklepu nie będzie 

w stanie zabezpieczyć go przed każdym rodzajem ataku. 

W celu zapewnienia kompleksowej ochrony musi 

współdziałać lub wręcz w całości polegać na firmie 

dostarczającej platformę hostingową, serwer lub łącze 

do serwera. Wiele sieciowych, siłowych ataków wymaga 

zastosowania zabezpieczeń na najniższych poziomach 

sieci (na przykład odcięcie ataku DDoS, ochrona 

przed atakami polegającymi na „zatruciu” DNSów). 

Warto również wykorzystać bezpieczne, szyfrowane 

połączenie HTTPS i certyfikaty SSL w celu uniemożliwienia 

podsłuchania lub modyfikacji komunikacji między 

sklepem internetowym a klientem lub obsługą sklepu. 

Zabezpiecza to przed poznaniem poufnych informacji 

przez osoby nieupoważnione lub ich zmianę. 

Na co zwrócić uwagę, jeśli do bazy 

klientów ma dostęp administrator serwera, 

zewnętrzna agencja interaktywna i osoba 

współpracująca z właścicielem sklepu na 

podstawie umowy o dzieło? 

Przede wszystkim każda osoba, niezależnie od rodzaju 

umowy, na podstawie której współpracuje z właścicielem 

sklepu internetowego, nawet jeśli jest pracownikiem 

innej firmy, powinna posiadać pisemne upoważnienie 

do przetwarzania danych osobowych klientów 

sklepu. Osoba taka powinna zobowiązać się do zachowania 

w tajemnicy danych osobowych, do których ma 


OBRONA 

dostęp oraz informacji na temat sposobów w jaki dane 

są zabezpieczone. Lista upoważnień powinna zostać 

zapisana w Ewidencji osób upoważnionych do przetwarzania 

danych, również prowadzonej przez właściciela 

sklepu. 

W przypadku, kiedy dostęp do danych osobowych 

uzyskuje inna firma (na przykład firma hostingowa, 

agencja interaktywna, programista prowadzący własną 

działalność gospodarczą, firma udostępniająca aplikację 

internetową do wysyłania mailingów), to koniecznie 

należy podpisać umowę powierzenia przetwarzania danych 

osobowych. 

Ustawa o ochronie danych osobowych stawia dwa 

wymagania umowie powierzenia przetwarzania danych 

osobowych. Umowa taka musi koniecznie: 

• zostać zawarta w formie pisemnej, 

• określać cel i zakres przetwarzania danych. 

W praktyce podpisanie umowy powierzenia przetwarzania 

danych osobowych zabezpiecza interesy właściciela 

sklepu. Taka umowa nakłada bowiem na współpracującą 

firmę obowiązek zabezpieczenia zbioru danych osobowych 

(oczywiście w zależności do tego jakie operacje 

na nim wykonuje) i odpowiada za poprawną realizację 

tych działań tak samo jak właściciel sklepu. 

Brak podpisanej umowy powierzenia przetwarzania 

danych osobowych mógłby sprowadzić na właściciela 

sklepu zarzut udostępnienia danych osobowych innemu 

podmiotowi bez posiadania jakiejkolwiek podstawy 

prawnej. 

Jakie są wymagania UODO dla kopii 

zapasowych? 

Przepisy UODO wymagają wykonywania kopii zapasowych 

przetwarzanych danych osobowych oraz programów 

i narzędzi programowych służących do ich przetwarzania. 

Nie precyzują jednak częstotliwości czy sposobu 

ich wykonywania – decyzje w tej sprawie pozostawione 

są w gestii administratora danych. Warto pamiętać, 

że macierz RAID nie zastępuje kopii bezpieczeństwa. 

Zestaw płyt DVD lub kaset do streamera wypełnionych 

ważnymi danymi nie stanowi jeszcze kopii bezpieczeństwa. 

Niezbędne jest opracowanie procedury 

pozwalającej na odzyskanie danych, przeszkolenie 

pracowników i wyznaczenie osób odpowiedzialnych za 

cały proces. Należy również zadbać, aby dostęp do nośników 

z danymi był możliwy w określonym, maksymalnym 

czasie. 

Kopie zapasowe muszą być przechowywane w miejscach 

zabezpieczających je przed nieuprawnionym 

przejęciem, modyfikacją, uszkodzeniem lub zniszczeniem. 

Bezwzględnie należy zapewnić przynajmniej tak 

samo dobre zabezpieczenia dla nośników danych, na 

których znajdują się kopie zapasowe jak dla działającego 

systemu informatycznego. Czyli nie powinna mieć miejsca 

sytuacja, w której serwery znajdują się w centrum 

przetwarzania danych spełniającego wymagania UODO, 

natomiast płyty DVD z kopiami zapasowymi przechowywane 

są w niezabezpieczonej szafie w biurze. 

Należy również pamiętać, że UODO wymaga, aby kopie 

zapasowe zostały usunięte niezwłocznie po ustaniu 

ich użyteczności. Ma to na celu zapewnienie, że dane 

osobowe, które nie są już do niczego potrzebne, nie będą 

przechowywane nadmiernie długo. 

Co należy zrobić z nośnikami danych, na 

których znajduje się baza SQL sklepu, a które 

nie są już potrzebne? 

W trakcie działania serwisu internetowego normalne 

jest, że pojawiają się nośniki danych, które zawierają 

dane (niekoniecznie osobowe), które nie są już do niczego 

potrzebne. Mogą to być stare kopie zapasowe albo 

stary serwer, który nie jest już wykorzystywany. 

Przepisy UODO w jasny sposób mówią co należy zrobić 

z nośnikami danych przeznaczonych do: likwidacji, 

przekazania podmiotowi nieuprawnionemu do przetwarzania 

danych (np. przekazanie komputera innej osobie 

czy firmie) lub naprawy. Należy pozbawić nośnik wcześniej 

zapisu danych osobowych, a w przypadku gdy nie 

jest to możliwe, należy nośnik uszkodzić w sposób uniemożliwiający 

jego odczytanie. W przypadku oddania do 

naprawy oczywiście nie należy uszkadzać nośnika, zamiast 

tego naprawa powinna odbywać się pod nadzorem 

osoby upoważnionej przez administratora danych. 

W przypadku usuwania informacji z dysków twardych 

należy skorzystać ze specjalnego programu, który wielokrotnie 

zapisze obszary dysku, na których znajdowały 

się pliki, co uniemożliwi (lub znacząco utrudni) ich odzyskanie 

nawet w profesjonalnej firmie zajmującej się odzyskiwaniem 

danych. Płyty CD lub DVD najłatwiej jest 

połamać lub skorzystać z biurowej niszczarki potrafiącej 

niszczyć również płyty. 

Warto zauważyć, że wymagania UODO warto stosować 

nie tylko do danych osobowych, ale do wszelkich 

dysków czy płyt DVD na których znajdują się dane 

związane z działaniem przedsiębiorstwa. 

Czy z punktu widzenia ochrony danych 

osobowych istotne jest państwo, w którym 

znajdują się serwery obsługujące sklep 

internetowy? 

Ustawa o ochronie danych osobowych rozróżnia przypadek 

przekazania danych osobowych do państwa 

trzeciego. „Państwo trzecie” to państwo nienależące 

do Europejskiego Obszaru Gospodarczego (kraje Unii 

Europejskiej oraz Norwegia i Islandia). Przekazanie danych 

osobowych do państwa trzeciego może nastąpić 

jeżeli państwo docelowe daje gwarancję ochrony danych 

osobowych na swoim terytorium przynajmniej ta- 

30 

2/2011


kiej, jaka obowiązuje w Polsce oraz w kilku innych przypadkach 

szczegółowo określonych w ustawie. 

Przekazanie danych należy traktować dość szeroko 

i obejmuje ono również przekazywanie danych na 

serwery właściciela sklepu zlokalizowane w państwie 

trzecim. 

Bez żadnych problemów można przetwarzać dane 

osobowe klientów sklepu na serwerach zlokalizowanych 

w dowolnym z państw Unii Europejskiej. Ze 

względów praktycznych wygodnie jest, jeśli nie ma 

bariery językowej między właścicielem sklepu a firmą 

świadczącą usługę hostingu, dzierżawy czy kolokacji 

serwera i nie ma problemu z różnicami w przepisach 

między różnymi państwami. 

Jakie mogą być konsekwencje dla 

przedsiębiorcy, który przetwarza dane 

osobowe niezgodnie z UODO? 

Jednym z zadań Generalnego Inspektora Ochrony Danych 

Osobowych jest kontrola zgodności przetwarzania 

danych z przepisani o ochronie danych osobowych. 

Realizując to zadanie inspektorzy GIODO mają prawo 

do przeprowadzania kontroli podmiotów, które przetwarzają 

dane osobowe. 

Warto wiedzieć, że inspektorzy GIODO pracują w zespołach, 

w skład których wchodzą zarówno prawnicy 

jak i informatycy. Oznacza to, że kontrolujący mają 

kompetencje i uprawnienia pozwalające na zbadanie 

systemów informatycznych i poprawności zabezpieczenia 

serwerów. 

Właściciel sklepu internetowego, który nie wypełnia 

obowiązków nałożonych na niego przez UODO, między 

innymi w zakresie rejestracji zbioru danych osobowych, 

legalności przetwarzania informacji oraz zabezpieczeń 

technicznych i organizacyjnych, może zostać 

pociągnięty do odpowiedzialności: 

• karnej - grzywna, ograniczenie lub pozbawienie 

wolności do lat 3, 

• administracyjnej - wymóg poprawienia błędów, 

a nawet usunięcia zgromadzonych danych, 

• dyscyplinarnej - dotyczy pracowników i może doprowadzić 

do zwolnienia dyscyplinarnego, 

• odszkodowawczej - odszkodowanie w przypadku 

naruszenia praw osoby lub wyrządzenia szkody 

majątkowej lub krzywdy. 

Z punktu widzenia biznesu najbardziej dotkliwe dla 

sklepu internetowego może być nakazanie usunięcia 

danych osobowych, które zostały zgromadzone niezgodnie 

z wymaganiami UODO. Paraliżująco na działanie 

sklepu może również wpłynąć nakazanie przez 

GIODO usunięcia uchybień lub też uzupełnienia, uaktualnienia 

danych lub zastosowania dodatkowych środków 

zabezpieczających zgromadzone dane osobowe. 

Czy połączenie e-sklepu z innymi portalami 

zagraża bezpieczeństwu danych osobowych 

użytkowników? 

Przede wszystkim należy ustalić czy w trakcie połączenia 

sklepu internetowego z innymi serwisami dojdzie do 

transferu danych osobowych klientów tego sklepu. 

Jeśli na stronie internetowej sklepu osadzany jest jedynie 

„widget” (na przykład serwisu Facebook) z innego 

serwisu internetowego, raczej nie spowoduje to zagrożenia 

dla bezpieczeństwa danych osobowych klientów 

sklepu. 

W przypadku, kiedy następuje przekazanie danych 

osobowych klienta do innego serwisu internetowego, 

dochodzi do udostępnienia danych w rozumieniu przepisów 

UODO i konieczne jest zastosowanie się do specyficznych 

wymagań. W szczególności oznacza to, że 

użytkownik przede wszystkim powinien zgodzić się 

na udostępnienie swoich danych. Oprócz tego powinien 

zostać poinformowany o fakcie udostępnienia, celu 

i zakresie przekazanych danych oraz o firmie, której 

dane zostały udostępnione. 

W szczególnych przypadkach, jeśli integrowany serwis 

ma specyficzne błędy, możliwe może być wykonanie 

skutecznego ataku na klienta sklepu internetowego 

nawet przez „widget”. Może to doprowadzić do wycieku 

danych osobowych konkretnej osoby, która jednocześnie 

korzysta z tego serwisu i sklepu internetowego. 

Podsumowanie 

Zapewnienie bezpieczeństwa przetwarzania danych 

osobowych klientów sklepu internetowego z pewnością 

wymaga wiedzy i poświęcenia pewnej ilości czasu, żeby 

poprawnie zorganizować cały proces. Nakłady te powinny 

jednak zwrócić się nie tylko w postaci spełnienia 

wymagań ustawy o ochronie danych osobowych, ale jako 

konkretna korzyść biznesowa - w postaci zdobycia 

większego zaufania klientów oraz poprawienia stabilności 

i bezpieczeństwa całej platformy do e-handlu, z której 

korzysta przedsiębiorca. Oznacza to wymierne zyski 

dzięki mniejszej liczbie awarii i przerw w działaniu sklepu 

czy uniknięcie zagrożeń i szkód związanych z włamaniami. 

MARCIN ENGELMANN 

Od 10 lat zajmuje się bezpieczeństwem informacji i systemów 

informatycznych oraz ochroną danych osobowych. Posiada 

doświadczenie w przeprowadzaniu audytów IT oraz wdrażaniu 

polityk bezpieczeństwa (ISO 27001), jest również Certykowanym 

Audytorem Systemów Informatycznych (CISA) międzynarodowej 

organizacji ISACA. Jest właścicielem i wiodącym 

audytorem rmy IMAGIN IT zajmującej się doradztwem 

w zakresie bezpieczeństwa informacji i systemów komputerowych 

oraz projektowaniem infrastruktury dla systemów wysokiej 

wydajności i niezawodności. 


OBRONA 

Bazy danych i zasady 

korzystania z nich w świetle 

przepisów prawa polskiego 

Dariusz Łydziński 

Bazy danych i korzystanie z nich stanowią przedmiot działalności 

wielu podmiotów gromadzących i przetwarzających dane, dlatego też 

często są poddawane zagrożeniom ze strony przestępców działających 

wewnątrz firmy oraz napastników zewnętrznych, którzy nie szukają 

już hakerskiej sławy, lecz są głównie zainteresowani korzyściami 

finansowymi. W każdej organizacji dane są drugim najcenniejszym 

zasobem, zaraz po pracownikach. Firmy są zobowiązane do 

ochrony własnego personelu i klientów poprzez dołożenie należytej 

staranności i zapewnienie maksymalnych możliwych zabezpieczeń. 

Dowiesz się: 

• o wymaganiach dotyczących baz danych, wynikających z regulacji 

prawnych 

• o zakresie stosowanych zabezpieczeń baz danych osobowych 

i przechowywanych w nich informacji 

• o zasadach korzystania z baz danych osobowych 


• znać podstawowe zasady ochrony danych osobowych, wynikające 

z aktów prawnych 

Ochrona baz danych w świetle przepisów prawa 

polskiego opiera się na przepisach prawa autorskiego 

(ustawa z 4 lutego 1994 r. o prawie autorskim) 

oraz regulacjach ustawy o ochronie baz danych. 

Ustawa o prawie autorskim znajduje zastosowanie do 

baz, których dobór, układ i zestawienie ma charakter 

twórczy. Pozbawia to możliwości objęcia ochroną zbiorów, 

w których elementy zostały ułożone alfabetycznie 

czy też chronologicznie. Z uwagi na to ograniczenie, 

uzupełnienie ochrony baz danych stanowią przepisy 

Ustawy z dnia 27 lipca 2001 r. o ochronie baz danych. 

Umożliwiają one ochronę baz danych, które nie spełniają 

przesłanek umożliwiających uznanie ich za przedmiot 

prawa autorskiego. 

Rodzaj podjętych przedsięwzięć oraz zakres stosowanych 

środków ochrony jest bardzo szeroki, dlatego 

też treści zawarte w artykule nie stanowią całościowej 

problematyki wchodzącej w jej zakres. Są jedynie 

zwróceniem szczególnej uwagi na jeden z elementów 

ochrony baz, którym są bazy danych osobowych. 

Bazy danych osobowych są podstawą działania działów 

marketingu i reklamy. Są one wykorzystywane do 

prowadzenia reklamy personalnej, badań zachowań 

klientów, wysyłania personalizowanych materiałów reklamowych 

i innych działań z zakresu Public Relation. 

Dlatego celem artykułu jest przedstawienie elementów 

ochrony baz danych osobowych oraz zasad korzystania 

z nich. 

WYMAGANIA DOTYCZĄCE OCHRONY 

BAZ DANYCH OSOBOWYCH W AKTACH 

PRAWNYCH 

Ustawa z dnia 27 lipca 2001 r. 

o ochronie baz danych. 

Podstawowe zasady ochrony baz danych w prawie polskim 

zawarto w ustawie z dnia 27 lipca 2001 r. o ochronie 

baz danych. Przedmiotem ochrony jest baza danych 

niespełniająca cech utworów. Ustawa dotyczy baz 

danych przechowywanych w dowolny sposób. 

32 

2/2011

Bazy danych i zasady korzystania z nich w świetle przepisów prawa polskiego. 

Należy zwrócić uwagę, na fakt, iż baza danych to 

„zbiór danych lub innych elementów zgromadzonych 

wedle określonej systematyki lub metody indywidualnie 

dostępnych w jakikolwiek sposób”. Jest to ważne, 

gdyż nie ma znaczenia sposób jej sporządzenia i utrwalenia. 

Ochronie podlegają nie tylko elektroniczne bazy 

danych, ale również fizyczne. 

Ustawa chroni interesy producenta bazy, którym może 

być osoba fizyczna, osoba prawna lub jednostka organizacyjna 

nie posiadająca osobowości prawnej, która 

ponosi nakłady inwestycyjne przy tworzeniu bazy. 

Producentem bazy powstałej w wyniku stosunku pracy 

jest pracodawca, producentem bazy powstałej o umowę 

o dzieło lub zlecenie jest zleceniodawca. Ochrona 

przysługuje bazom danych, których producent: 

• Jest obywatelem RP albo ma na jej terytorium swoją 

siedzibę lub 

• Jest obywatelem państwa członkowskiego Unii Europejskiej 

albo ma miejsce stałego pobytu na terytorium 

Wspólnoty Europejskiej lub 

• Jest osobą prawną założoną zgodnie z prawem 

państwa członkowskiego Unii europejskiej, posiadającą 

siedzibę i zakład główny wykonywania działalności 

na terytorium Wspólnoty Europejskiej. 

Ustawa określa także czas obowiązywania ochrony 

bazy danych na 15 lat od momentu jej utworzenia 

lub od momentu jej udostępnienia publicznie, 

o ile udostępnienie to nastąpiło w ciągu 15 lat od jej 

utworzenia. 

Ustawa pozwala na korzystanie z baz danych na zasadzie 

tzw. dozwolonego użytku. Zgodnie z art. 8 Ustawy 

możliwe jest korzystanie z istotnej, co do jakości lub 

ilości, części rozpowszechnionej bazy danych: 

• Do własnego użytku osobistego, ale tylko z zawartości 

nieelektronicznej bazy danych, 

• W charakterze ilustracji, w celach dydaktycznych 

lub badawczych, ze wskazaniem źródła, jeżeli takie 

korzystanie jest uzasadnione niekomercyjnym celem, 

dla którego wykorzystano bazę, 

• Do celów bezpieczeństwa wewnętrznego, postępowania 

sądowego lub administracyjnego. 

Ustawodawca docenił rolę tych, którzy zbierają informacje, 

gromadzą i przetwarzają lub udostępniają przetwarzanie 

dla określonych osób i celów. 

W przypadku bezprawnego korzystania z chronionej 

bazy danych zgodnie z art. 11 Ustawy producent 

ma prawo wezwać do zaprzestania z korzystania z bazy, 

zwrotu uzyskanych korzyści finansowych, lub żądać 

naprawienia wyrządzonej szkody na prawach ogólnych. 

Osoba korzystająca z bazy danych chronionej podlega 

karze grzywny. 

Ustawa z dnia 29 sierpnia 1997 r. 

o ochronie danych osobowych. 

Zasady przetwarzania danych osobowych w zbiorach 

danych a za takie możemy uznać bazy danych osobowych, 

określa ustawa z dnia 29 sierpnia 1997 r. 

o ochronie danych osobowych oraz wydane na jej podstawie 

akty wykonawcze – rozporządzenia Ministra 

Spraw Wewnętrznych i Administracji. 

Ustawa określa zasady postępowania przy przetwarzaniu 

danych osobowych oraz prawa osób, których dane 

są przetwarzane, niezależnie od sposobu przetwarzania 

danych. 

Ustawa narzuca na administratorów danych konkretne 

wymagania organizacyjne i techniczne, w tym dla 

baz danych osobowych. W zakresie zabezpieczeń baz 

danych i przechowywanych w nich informacji Ustawa 

definiuje następujące kwestie: 

• Określenie pojęcia danych osobowych (art. 6). 

• Określenie organów ochrony danych osobowych, 

w tym wyszczególnienie praw i obowiązków Generalnego 

Inspektora Ochrony Danych Osobowych (GIO- 

DO) i obowiązków podmiotów względem GIODO. 

• Określenie zasad przetwarzania danych osobowych 

(rozdział 3). 

• Wskazanie praw osoby, której dane są przetwarzane 


• Aspekty zabezpieczania danych osobowych (rozdział 

5). 

• Obowiązek rejestrowania zbiorów danych osobowych 


• Zasady przekazywania danych osobowych do państwa 

trzecich (rozdział 7). 

Zasady zabezpieczenia baz danych osobowych zarówno 

w sposób techniczny, jak i organizacyjny zawiera 

rozdział 5. 

Najogólniej wymagania dotyczące zabezpieczeń danych 

osobowych określa Art. 36 ust. 1 Ustawy, który 

mówi, że „Administrator danych jest obowiązany zastosować 

środki techniczne i organizacyjne zapewniające 

ochronę przetwarzanych danych osobowych odpowiednią 

do zagrożeń oraz kategorii danych objętych ochroną, 

a szczególności powinien zabezpieczyć dane przed 

ich udostępnieniem osobom nieupoważnionym, zabraniem 

przez osobę nieuprawnioną, przetwarzaniem 

z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem 

lub zniszczeniem”. 

Najważniejsze wymagania dotyczące ochrony baz 

danych osobowych, wynikające z ustawy to: 

• Określenie aspektów identyfikacji czy w administrowanej 

bazie danych znajdują się dane osobowe. 

• Określenie zakresu przetwarzania administrowanych 

danych, identyfikacji czy jest wymagana i do- 


OBRONA 

stępna zgoda osób, których dane dotyczą, weryfikacji 

kompletności danych i poprawności ich przetwarzania 

ze zgłoszonym celem i zakresem. 

• Określenie mechanizmów udostępniania danych 

i weryfikacji rejestracji udostępniania danych. Baza 

danych osobowych powinna umożliwiać wyświetlenie, 

wydrukowanie dla danej osoby raportu, 

w którym będą uwzględnione dane takie, jak: dane 

tej osoby, źródło pochodzenia danych, kto dopisał 

dane do bazy, data i czas utworzenia, informacje 

o modyfikacjach, informacje komu i kiedy i w jakim 

zakresie dane były udostępniane. 

• Określenie formatu przekazywania danych, zakresu 

i rejestrowania przekazywania danych. 

• Określenie poziomu bezpieczeństwa dla każdego 

ze zbiorów, nadawanie i zarządzanie upoważnieniami 

do przetwarzania danych osobowych oraz 

stosowania mechanizmów rozliczalności. 

• Sporządzenie dokumentacji dotyczącej sposobu 

przetwarzania i zabezpieczania danych osobowych. 

• Określenie zasad kontroli i dostępu do obszarów 

przetwarzania danych osobowych. 

• Określenie fizycznych zabezpieczeń instalacji informatycznych, 

baz danych i nośników zawierających 

dane osobowe. 

• Wyznaczenie osób, które będą odpowiedzialne za 

fizyczne bezpieczeństwo instalacji informatycznych, 

baz danych i nośników zawierających dane 

osobowe. 

• Określenie sposobu weryfikowania nadanych 

uprawnień dostępu do systemów. 

Art. 39a Ustawy określa, że podstawowe warunki organizacyjne 

jak i techniczne, jakie muszą spełniać urządzenia 

i systemy informatyczne służące do przetwarzania 

danych osobowych są wskazane w Rozporządzeniu 

MSWiA „w sprawie dokumentacji przetwarzania 

danych osobowych, oraz warunków technicznych 

i organizacyjnych, jakim powinny odpowiadać urządzenia 

i systemy informatyczne służące do przetwarzania 

danych osobowych”, które jest podstawowym dokumentem 

określającym wymagania techniczne dotyczące 

systemów informatycznych [2]. W załączniku 

do tego rozporządzenia, są wymienione środki bezpieczeństwa, 

jakie powinny być stosowane w systemie informatycznym 

przetwarzającym dane osobowe. Środki 

bezpieczeństwa zostały przypisane do trzech poziomów 

zabezpieczeń: 

• Podstawowy dla wszystkich systemów, 

• Podwyższony – dla systemów przetwarzających 

dane o szczególnej wartości wymienione w art. 27 

Ustawy (dane wrażliwe), 

• Wysoki – gdy przynajmniej jedno urządzenie systemu 

informatycznego, służącego do przetwarzania 

danych osobowych, połączone jest z siecią 

publiczną. 

Do najważniejszych wymagań sprecyzowanych w Rozporządzeniu 

możemy zaliczyć: 

• Konieczność stosowania mechanizmów kontroli dostępu, 

przy czym jeśli do systemu ma dostęp wielu 

użytkowników, to muszą mieć oni odrębne identyfikatory. 

• Zabezpieczenie przed „działaniem oprogramowania, 

którego celem jest uzyskanie nieuprawnionego 

dostępu do systemu informatycznego” oraz „utratą 

danych spowodowaną awarią zasilania lub zakłóceniami 

w sieci zasilającej”. 

• Identyfikator użytkownika, który utracił uprawnienia 

do przetwarzania danych, nie może być przydzielony 

innej osobie. 

• Wymagania dotyczące haseł: 

• powinny być zmieniane nie rzadziej niż 30 dni, 

• hasło powinno składać się co najmniej na poziomie 

podstawowym z 6 znaków, na poziomie 

podwyższonym i wysokim z 8 znaków i zawierać 

małe i duże litery oraz cyfry lub znaki specjalne, 

• Konieczność sporządzania kopii zapasowych danych 

i programów je przetwarzających. Ponadto kopie 

zapasowe należy przechowywać w miejscach 

zabezpieczających je przed nieuprawnionym przejęciem, 

modyfikacją, uszkodzeniem lub zniszczeniem 

oraz usuwać niezwłocznie po ustaniu ich użyteczności. 

• Jeżeli dane są przetwarzane na komputerze przenośnym 

to nakazane jest szyfrowanie danych. 

• Urządzenia, dyski lub inne nośniki elektroniczne zawierające 

dane osobowe przeznaczone do likwidacji, 

naprawy lub przekazania podmiotowi nieuprawnionemu 

do przetwarzania danych osobowych pozbawia 

się wcześniej zapisu w sposób uniemożliwiający 

ich odzyskanie. 

• Na poziomie wysokim należy stosować zabezpieczenia 

logiczne, które obejmują kontrolę przepływu 

informacji pomiędzy systemem informatycznym administratora 

danych a siecią publiczną oraz kontrolę 

działań z sieci publicznej i systemu informatycznego 

administratora danych. 

• Na poziomie wysokim należy zapewnić również 

ochronę kryptograficzną wobec danych wykorzystywanych 

do uwierzytelniania, które są przesyłane 

w sieci publicznej, 

Dużą rolę, w ramach bezpieczeństwa i zasad korzystania 

z baz danych osobowych odgrywa, oprócz 

wskazanych powyżej aspektów element rozliczal- 

34 

2/2011

Bazy danych i zasady korzystania z nich w świetle przepisów prawa polskiego. 

ności. Podkreślając globalny charakter przepisów 

o ochronie danych osobowych należy wspomnieć 

o § 7 Rozporządzenia Ministra Spraw Wewnętrznych 

i Administracji z dnia 29 kwietnia 2004 r. w sprawie 

dokumentacji przetwarzania danych osobowych 

oraz warunków technicznych i organizacyjnych, jakim 

powinny odpowiadać urządzenia i systemy informatyczne 

służące do przetwarzania danych osobowych, 

w którym zostały ujęte główne wytyczne w tym 

zakresie: 

I. Dla każdej osoby, której dane osobowe są przetwarzane 

w systemie informatycznym – z wyjątkiem 

systemów służących do przetwarzania danych osobowych 

ograniczonych wyłącznie do edycji tekstu 

w celu udostępnienia go na piśmie – system ten zapewnia 

odnotowanie: 

1) Daty pierwszego wprowadzenia danych do systemu, 

2) Identyfikatora użytkownika wprowadzającego 

dane osobowe do systemu, chyba że dostęp 

do systemu informatycznego i przetwarzanych 

danych w nim danych posiada wyłącznie jedna 

osoba, 

3) Źródła danych, w przypadku zbierania danych, 

nie od osoby, której one dotyczą, 

4) Informacji o odbiorcach, w rozumieniu art. 7 pkt 

6 Ustawy, którym dane osobowe zostały udostępnione, 

dacie i zakresie tego udostępnienia, 

chyba że system informatyczny używany jest 

do przetwarzania danych zawartych w zbiorach 

jawnych, 

5) Sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 

8 ustawy. 

II. . Odnotowanie informacji, o których mowa w ust. 

1 pkt 1 i 2, następuje automatycznie po zatwierdzeniu 

przez użytkownika operacji wprowadzania danych. 

III. Dla każdej osoby, której dane osobowe są przetwarzane 

w systemie informatycznym, system zapewnia 

sporządzenie i wydrukowanie raportu zawierającego 

w powszechnie zrozumiałej formie informacje, 

o których mowa w ust. 1. 

Biorąc pod uwagę punkty 1 i 2 ustępu pierwszego 

w powyższym paragrafie, od razu widać, że w systemie 

informatycznym konieczne jest istnienie indywidualnego 

autoryzowanego dostępu dla każdego użytkownika 

oraz rejestracja czasu zdarzeń wygenerowanych 

przez niego samego. Powiązanie tych dwóch 

faktów wraz z wymogiem odnotowywania identyfikatora 

użytkownika wprowadzającego dane i daty 

pierwszego wprowadzenia danych oraz automatyzacji 

tych procesów zgodnie z ustępem drugim tego 

paragrafu, daje nam w konsekwencji brak możliwości 

istnienia anonimowych działań użytkowników. 

Świadoma odpowiedzialność użytkowników, jak również 

i ich wiedza o takiej funkcjonalności systemu, 

powoduje zmniejszenie zjawiska udostępniania haseł 

i identyfikatorów, co ma dobry wpływ na bezpieczeństwo 

przetwarzanych danych w bazach danych osobowych. 

Natomiast punkty 3, 4 i 5 ustępu pierwszego w tym 

paragrafie poprawiają komfort osobom, których dane 

osobowe są przetwarzane. Przejrzystość w zakresie 

pochodzenia danych w bazie danych osobowych, 

a także informacji komu, kiedy i w jakim zakresie dane 

zostały udostępnione oraz możliwość zgłoszenia i odnotowania 

sprzeciwu dotyczącego przetwarzania danych 

osobowych stanowią o tym, że osoba której dane 

są przetwarzane czuje się bezpieczna i wzrasta jej 

poziom zaufania. Osoba, której dane osobowe są przetwarzane 

w takim systemie, mając wiedzę dotyczącą 

tych aspektów, będzie mogła kontrolować sposób i jakość 

ich przetwarzania. 

ZASADY KORZYSTANIA Z BAZ DANYCH 

OSOBOWYCH 

Zbiory zgromadzonych danych osobowych stanowią 

odrębną bazę danych w każdej organizacji zabezpieczonych 

przed dostępem osób nieuprawnionych, a także 

osób trzecich. Przekazywanie danych osobowych innym 

osobom oraz instytucjom, jest dozwolone za zgodą 

osoby, której dane dotyczą oraz gdy wymagają tego 

obowiązujące przepisy prawa. 

Korzystanie z baz danych osobowych związane jest 

z procesami udostępniania danych oraz powierzania 

baz danych do przetwarzania. 

Udostępnianie danych. 

Udostępnianie danych osobowych nastąpi zawsze wtedy, 

gdy administrator danych osobowych w sposób faktyczny 

przekaże bądź inaczej umożliwi zapoznanie się 

z danymi osobowymi innej osobie lub podmiotowi, który 

to podmiot pełnić będzie w stosunku do tych danych 

osobowych rolę administratora danych. 

Procesy związane z udostępnianiem danych z baz 

danych osobowych dzielą się na udostępnianie danych 

wewnątrz organizacji oraz udostępnianie na zewnątrz. 

Przy udostępnianiu danych wewnątrz organizacji 

należy zwrócić uwagę, że dane można udostępnić 

jedynie osobom posiadającym upoważnienie do 

przetwarzania danych osobowych, którym dane te są 

potrzebne do wykonywania ich obowiązków służbowych. 

Udostępniając dane na zewnątrz należy zwrócić 

uwagę, czy istnieje podstawa prawna udostępnienia 

danych osobowych. Dane powinno się udostępniać 

innym podmiotom na ich pisemny wniosek, z powołaniem 

się na przepis, zezwalający na otrzymywanie 

takich danych. 


OBRONA 

Powierzanie danych do przetwarzania. 

Powierzenie danych do przetwarzania wiąże się z procesami 

zlecania czynności związanych z przetwarzaniem 

danych osobowych innym podmiotom. Zlecenie 

jakiekolwiek czynności przetwarzania danych w imieniu 

danej organizacji musi odbywać się w drodze pisemnej 

umowy. Aby przekazanie danych było działaniem legalnym, 

konieczne jest, zatem, zawarcie stosowanej umowy 

powierzenia. 

Zasady zawierania umów powierzenia określa szczegółowo 

art. 31 Ustawy o ochronie danych osobowych. 

Zgodnie z tym przepisem w treści umowy, administrator 

danych powinien określić środki i cele przetwarzania 

danych przez zleceniobiorcę, który z kolei może wykorzystywać 

dane w sposób określony w zawartej umowie 

powierzenia. Podmiot, który pozyskuje w taki sposób 

dane nie uzyskuje, więc statusu administratora i nie 

może z nich dowolnie korzystać (zakaz wykorzystania 

danych osobowych dla własnych celów). Przed administratorem 

ponosi on odpowiedzialność za przestrzeganie 

umowy powierzenia. 

Podmiot, któremu powierza się dane osobowe do 

przetwarzania zobowiązuje się w umowie do przetwarzania 

danych jedynie w celu i zakresie, jak również do 

zabezpieczenia danych zgodnie z art. 36 -39 Ustawy 

o ochronie danych osobowych. 

Podmiot, któremu powierzono przetwarzanie danych 

osobowych nie jest zobowiązany do realizacji obowiązków 

określonych w ustawie o ochronie danych osobowych 

(m.in. nie musi zgłaszać do rejestracji zbioru danych 

osobowych), z wyjątkiem obowiązku zastosowania 

środków zabezpieczających, o których mowa w art. 

36-39 u.o.d.o. 

Administrator danych zobowiązany jest do wykonywania 

wszystkich obowiązków określonych w przepisach 

o ochronie danych osobowych, w tym m.in. musi 

zgłosić zbiór danych osobowych do rejestracji Generalnemu 

Inspektorowi Ochrony Danych Osobowych – ponosi 

odpowiedzialność administracyjną za naruszenie 

przepisów o ochronie danych osobowych. 

Obydwa podmioty są natomiast zobowiązane do 

przestrzegania przepisów rozporządzenia wykonawczego 

do ustawy o ochronie danych osobowych regulującego 

kwestie zabezpieczenia danych i w tym 

zakresie ponoszą pełną odpowiedzialność wynikającą 

z przepisów ustawy zarówno administracyjną jak 

i karną. 

Bazy danych osobowych obejmują dane, które podlegają 

ochronie i stanowią wartość dla firm. Kwestia 

dbałości o dobra firmy, w tym i o dane osobowe oraz 

skuteczne egzekwowanie ich ochrony, to w obecnych 

czasach element decydujący o pozycji firmy na rynku. 

Żadna z poważnych firm, mając na względzie dane 

i preferencje klientów nie jest skora do współdzielenia 

takich informacji z konkurencją. Patrząc na ten 

aspekt z drugiej strony należy pamiętać, że klient czując 

się „bezpiecznie”, łatwiej buduje zaufanie do firmy 

przetwarzającej jego dane i chętniej korzysta z jej 

usług. Sytuacja klienta i jakość ochrony jego danych 

w firmie, daje się zauważyć przede wszystkim we fluktuacji 

jej klientów. 

Ważnymi elementami, które wynikają z dobrych praktyk, 

a na które nacisk kładą akty prawne związane 

z ochroną baz danych osobowych są: 

• Bezpieczeństwo fizyczne danych osobowych przetwarzanych 

elektronicznie i tradycyjnie, 

• Bezpieczeństwo systemów informatycznych, służących 

do przetwarzania danych osobowych, 

• Bezpieczeństwo danych osobowych w oparciu 

o środki organizacyjne. 

Ustawa o ochronie danych osobowych stanowi w art. 

1, że każdy ma prawo do ochrony dotyczących go danych 

osobowych a przetwarzanie danych osobowych 

może mieć miejsce ze względu na: 

• Dobro publiczne, 

• Dobro osoby, której dane dotyczą, 

• Dobro osób trzecich w zakresie i trybie określonym 

ustawą. 

Oznacza to generalny zakaz przetwarzania danych 

osobowych bez uzasadnienia i wymóg ustawowego 

regulowania zakresu i trybu przetwarzania danych 

osobowych ze względu na dobro osób trzecich. 

DARIUSZ ŁYDZIŃSKI 

Dariusz Łydziński - studia podyplomowe w Wyższej Szkole Menedżerskiej w Warszawie - ochrona informacji niejawnych i administrowanie 

bezpieczeństwem informacji, oraz w Akademii Obrony Narodowej w Warszawie – bezpieczeństwo informacyjne. 

Pełnomocnik ds. Bezpieczeństwa i Jakości, Szef Działu Bezpieczeństwa, Ochrony Informacji i Audytu Unizeto Technologies 

SA. Zajmował i zajmuje stanowiska związane z bezpieczeństwem i ochroną danych. Ma doświadczenie w identykowaniu ryzyka 

i zagrożeń występujących w związku z wykorzystywaniem systemów teleinformatycznych. Doświadczenie zawodowe w zakresie 

zapewnienia bezpieczeństwa/ochrony wielooddziałowego przedsiębiorstwa, doświadczenie w opracowywaniu polityk 

i strategii zarządzania bezpieczeństwem. 

Kontakt: dlydzinski@unizeto.pl 

Unizeto Technologies SA - projektowanie i integracja systemów, tworzenie rozwiązań zapewniających bezpieczeństwo systemów 

i komunikacji elektronicznej oraz zaawansowane technologicznie usługi IT, usługi certykacyjne związane z podpisem 

elektronicznym. 

36 

2/2011

Narzędzia do automatycznego audytu bezpieczeństwa 

Narzędzia do 

automatycznego audytu 


Maciej Karmoliński 

Wprowadzanie systemu automatycznego wykrywania i zarządzania 

podatnościami w złożonych sieciach, jest nowo przyjętym podejściem 

dużych i średnich przedsiębiorstw na rynku europejskim. Ocena 

stosowanych zabezpieczeń uległa znacznej poprawie dzięki kwartalnym, 

miesięcznym a nawet codziennym audytom, dzięki którym mamy możliwość 

szybkiego reagowania na powstałe luki systemu, bądź zmianę istniejącego 

zagrożenia. 

Dowiesz się: 

• czym są i do czego służą narzędzia do wykrywania podatności 

w sieci, jakie są korzyści z ich stosowania, oraz czym różnią się 

od zabezpieczeń stosowanych dotychczas w firmach. 


• posiadać podstawową wiedzę w zakresie sieci i bezpieczeństwa 

sieciowego 

Dzisiejsza infrastruktura sieci zmienia się bardzo 

szybko. Na bieżąco dodawane są nowe serwery, usługi, 

połączenia i porty, a także laptopy, nośniki pamięci 

i urządzenia bezprzewodowe, które prowadzą do ciągłego 

i intensywnego rozwoju infrastruktury IT. Wraz 

z rosnącą liczbą nowych urządzeń, wzrasta ilość podatności. 

Nie zapominajmy również, że każdego dnia 

przybywa wiele nowych potencjalnych zagrożeń, dlatego 

baza wskazująca rodzaj podatności i sposoby 

ich naprawy, musi być bieżąco aktualizowana. Wiele 

przedsiębiorstw korzystających z tego typu urządzeń 

ma zapewnione wsparcie grupy specjalistów, którzy 

odpowiadają na każde pytanie 24/7. 

W dzisiejszych czasach stosowanie powszechnych 

środków ochrony, takich jak: firewall, programy antywirusowe 

i IPS/IDS, jest niewystarczająco skuteczne. 

Każdy potencjalny intruz próbujący dostać się do informacji 

danej firmy, zna podatności i z łatwością potrafi 

je obejść, a to dlatego, że w każdej kolejnej „nowszej 

wersji”, są tak naprawdę niewielkie zmiany. 

Biorąc pod uwagę ww. spostrzeżenia, proces automatyzacji 

ma na celu minimalizację nakładu pracy dla 

każdego testu oraz zwiększenie częstotliwości badań, 

na tyle aby ponoszone koszta stały się opłacalne. Podjęcie 

decyzji o zautomatyzowaniu funkcji biznesowych 

w pierwszej kolejności opiera się na bardziej efektywnym, 

skutecznym, a przede wszystkim tańszym sposobie 

utrzymania bezpieczeństwa. Wybierając skanowanie 

podatności systemu, jako usługę automatyczną, 

musimy wziąć pod uwagę trzy, bardzo ważne, czynniki: 

1. Zdolność przedstawiania rozwiązań, na podstawie 

dokładnej i pełnej oceny podatności. 

2. Analizę danych, oraz ocenę istotnych informacji. 

3. Śledzenie i raportowanie skuteczności działań łagodzących.Poniżej, 

przedstawię Państwu w jaki sposób 

te czynniki odnoszą się do obecnie wykonywanych 

testów bezpieczeństwa, a następnie omówię 

zmieniające się role podatności w procesie tworzenia 

automatycznego wykrywania podatności. 

Wyzwania narzędzi służących ocenie 

bezpieczeństwa sieci 

Ocena podatności sieci (ręczna lub automatyczna) jest 

powszechnie uznawana za klucz uzyskania pełni bezpieczeństwa 

sieci. Oszacowanie podatności na zagrożenia 

jest wykonywane w celu określenia rzeczywistego 

stanu bezpieczeństwa w środowisku sieciowym a także 



zbadania, czy intruz, który omija lub pokonuje pierścienie 

zabezpieczeń (antywirus, firewall i IPS / IDS), wykorzystuje 

do tego element mieszczący się w danej sieci, 

oraz czy mógłby wykorzystać ten element do wpływania 

na poufność, dostępność i integralność informacji. 

Prawie wszystkie zdarzenia utraty ważnych danych 

wynikających z zewnętrznych lub wewnętrznych ataków, 

zostały dokonane dzięki wykorzystaniu znanej, ale 

niezaktualizowanej na czas luki. Przez „znane „ mam na 

myśli, że została udokumentowana w literaturze bezpieczeństwa 

i jej rozwiązania są dostępne. W 2009 roku 

każde z 70 największych naruszeń bezpieczeństwa (w 

wyniku całkowitej straty 275 milionów rekordów) zostały 

zrealizowane poprzez manipulowanie rozpowszechnionymi 

podatnościami, pomimo zastosowania podstawowych 

narzędzi ochronnych i nadzoru wieloosobowego 

personelu. 

To jest bardzo duże wyzwanie. A aktualnie najlepsze 

wyniki w praktyce wskazują, że najlepszym sposobem 

odpowiedzi jest wykonywanie regularnej oceny podatności 

poprzez identyfikację znanych luk i błędów w systemach 

i zabezpieczeniach sieciowych, aby zlokalizować 

je przed potencjalnym intruzem. 

Ochrona aktywów przedsiębiorstwa 

Obecnie działy IT znajdują się w pozycji nie do pozazdroszczenie, 

jeżeli chodzi o zarządzanie coraz bardziej 

złożonymi środowiskami sieciowymi. Infrastruktury 

nowoczesnych przedsiębiorstw składają się z wielu 

typów urządzeń, systemów operacyjnych i aplikacji, 

które mają zróżnicowane wymagania bezpieczeństwa 

i dostępu. Dlatego musiały polegać we wszystkim na 

rozdrobnionych rozwiązaniach wielu producentów, 

od zapobiegania włamaniom, kontroli dostępu do zarządzania 

łatkami. Taka strategia wymaga wdrażania 

i obsługi macierzy niezależnych produktów oraz usług 

zabezpieczających. 

Nieuchronnie prowadzi to do wielowarstwowej komplikacji 

oceny podatności firmy, co jest zarówno czasochłonne, 

jak i kosztowne, oraz stanowi poważne obciążenie 

działu IT, szczególnie biorąc pod uwagę dzisiejsze 

środowisko, w którym zagrożenia ze strony złośliwych 

kodów rozwija się szybciej niż kiedykolwiek wcześniej. 

Rozwiązania VA / VM często wymagają zdolności 

sprawdzania, czy dane skany są kompletne, a następnie 

do sortowania „fałszywych trafień”. Przy tak znacznych 

inwestycjach, wymaganych do spełnienia przez organizację 

do każdorazowej oceny stanu sieci, zniechęca 

i wręcz uniemożliwia to prowadzenie częstych audytów, 

które są podstawą wykrywania nowopowstałych luk 

w zabezpieczeniach.. 

Zespoły ochrony przedsiębiorstwa 

Ocena bezpieczeństwa w firmie wymaga odpowiedniego 

zespołu, który posiada aktualną, szeroko poję- 

tą i szczegółową wiedzę techniczną z zakresu mnóstwa 

nowoczesnych technologii. Przeprowadzenie testów 

podatności wymaga specjalistycznej wiedzy i narzędzi, 

pamiętając, że są one kosztowne i długotrwałe. 

Nie ma również zbyt wielu zespołów na świecie posiadających 

Certtified Information Systems Security Professionals 

(CISSPs), a nie wszystkie z nich mają kwalifikacje 

do wykonywania audytu bezpieczeństwa sieci 

i oceny zagrożeń. 

Coraz większa liczba narzędzi audytowych stosowanych 

przez informatyków nie posiadających odpowiedniej 

wiedzy i przygotowania audytowego może 

doprowadzać do sporządzania niepełnych wniosków 

poaudytowych. Zwykle raporty te obejmują, aż 

do 20% wyników nieprawdziwych (fałszywych) i wielu 

innych „luk”, które są mało znaczące dla określonej 

infrastruktury, wymagają tylko dodatkowej pracy i pieniędzy 

aby potwierdzić ich stan rzeczywisty. To doświadczenie 

i ocena zgodności w środowisku sieciowym 

są konieczne. Ograniczona ilość pracowników 

jest potęgowana przez fakt, że bezpieczeństwo należy 

do niepokojąco dynamicznie rozwijających się dziedzin 

z branży IT. Wiedza i programy, które były ostatnio 

stosowane z powodzeniem podczas testowania 

sieci, mogą być teraz niewystarczające ze względu na 

nowo wykrywane podatności. 

Rysunek 1. 

Rysunek 2. 

38 

2/2011

Narzędzia do automatycznego audytu bezpieczeństwa 

Utrzymanie odpowiedniego poziomu kompetencji technicznych 

w badaniu podatności przedsiębiorstwa wymaga 

wielodyscyplinarnego zespołu, dobrze zorientowanego 

w niezliczonych kombinacjach sprzętu i oprogramowania 

wykorzystywanego w sieci. Tylko nieliczne organizacje 

mogą sobie na to pozwolić, aby poświęcić zasoby 

niezbędne do skutecznego wykonywania tych działań. 

Dla wszystkich organizacji utrzymanie wykwalifikowanego 

zespół bezpieczeństwa jest trudne i przede wszystkim 

niezwykle drogie. To często wyjaśnia, dlaczego w tak 

wielu firmach stosuje się konsultantów firm trzecich.. 

Rysunek 3. 

Przyszłość narzędzi służących ocenie 

bezpieczeństwa sieci 

W związku z ciągłym pojawianiem się setek nowych 

luk w zabezpieczeniach systemu operacyjnego i aplikacji 

każdego miesiąca, testowanie podatności stało 

się opcją niezbędną, wymagającą dużej powtarzalności. 

Dlatego najwłaściwszym rozwiązaniem jest zautomatyzowane 

narzędzie do skanowania podatności sieci, dające 

możliwość jego zarządzania przez osoby bez specjalnych 

kwalifikacji. Dzisiejszym sieciom biznesowym 

potrzeba dwóch rodzajów oceny usterki: analiza postawy 

migawki bieżących sieci i ocena wszelkich 

zmian w środowisku na żądanie. W niektórych 

środowiskach może wymagać tygodniowej 

(lub nawet codziennej) częstotliwości badań 

ze względu na wartość chronionych zasobów 

i rosnącą złożoność sieci oraz prędkość, 

z jaką nowe luki są wykorzystywane. 

Weźmy pod uwagę, że złożoność sieci i połączeń 

stale się zwiększa. Liczba luk odkrywanych 

na dobę i szybkość, z jaką wykorzystują 

możliwości uruchomienia szkodliwego kodu 

wzrosła. Przeprowadzenie oceny wrażliwości 

i bezpieczeństwa sieci rocznie, co dwa lata 

lub nawet co kwartał nie jest już wystarczającą 

strategią ograniczania ryzyka dla dzisiejszych 

dobrze chronionych sieci. 

Podobnie, problem z utrzymaniem poziomu 

zabezpieczeń do aktualnych luk jest obecnie 

wysoce specjalistycznym zadaniem, które 

może i powinno być przypisane do dedykowanego 

rozwiązania posiadającego funkcję 

aktualizacji automatycznej dla nowych zagrożeń 

i okresowego skanowania na podstawie 

wstępnie opracowanego harmonogramu. 

Kilka faktów na temat narzędzi 

do automatycznego audytu 


1. Urządzenie w pełni zautomatyzowane 

2. Wiele z nich posiada własny, samodzielny 

system instalacyjny 

3. Przykładowe funkcje urządzeń rozmieszczonych 

w sieci obejmują: 

Rysunek 4. 

• Pokazują zarządzanie informacjami 

• Przedstawiają skanowanie serwerów 

• Skanują do sieci bezprzewodowych 

(802.11a/b/g/n, GPRS, Bluetooth) 

• Odkrywają, mapy i punkty dostępu bezprzewodowego 

• Nie wymagają specjalnych uprawnień lub 

instalacji oprogramowania, co daje dokładny 

obraz z sieci 



Rysunek 5. Przykład wykrycia podatności o wysokim ryzyku 

• W teoretycznie maksymalnej wydajności, skanowanie 

całej sieci zajmuje mniej niż 30 minut 

• Kontrola obciążenia sieciowego umożliwia skanowanie 

bez zakłóceń użytkowników 

4. Wiele posiada Interface Zarządzania i opcji konfiguracyjnych, 

które pozwalają na: 

• Całkowite zarządzanie urządzeniem skanowania, 

prosty w użyciu interfejs www 

• Zarządzanie wieloma serwerami skanowania z jednej 

lokalizacji 

• Kontrola każdego skanowania konfiguracji serwera 

w rozproszonym systemie zarządzania 

• Możliwość tworzenia wielu użytkowników i przypisywania 

im kompetencji 

• Skanowanie określonych adresów IP, przeglądanie 

raportów skanów, planowanie nowych itp. 

• Podsumowanie stwierdzonych luk według numerów 

IP urządzeń sieciowych (Rys. 1) 

• Podsumowanie stwierdzonych luk według usług sieciowych 

(Rys. 2) 

• Generowanie raportów porównawczych (nowy z poprzednim), 

co pozwala śledzić zmiany w stanie zabezpieczeń 

sieci 

5. Każdy raport zawiera wykresy opisujące ryzyko 

i rekomendacje działań naprawczych, przykładowe 

fragmenty (Rys. 3, Rys. 4). 

Zabezpieczanie sieci jest inwestycją 

zwrotnych korzyści 

Korzyści wynikające z zastosowania automatycznego 

audytora podatności są przedstawione poniżej: 

• Bieżąca informacja na temat zagrożeń w sieci, pokazująca 

obszary najbardziej podatne na wyciąganie 

tajnych informacji, oraz w stanie wysokiego 

ryzyka 

• Dokładne dane dotyczące oceny podatności zwiększa 

zaufanie i reputację firmy 

• Analizy i badania zagrożenia sieci, zapewniają 

możliwość skupienia się na tych najbardziej krytycznych, 

zapobiegając atakom 

• Znaczące wyniki, w tym działania naprawcze 

umożliwiają bardziej skuteczne rozwiązywania 

problemów 

• Termin realizacji prowadzone przez konsultanta narażają 

przedsiębiorstwo w czasie między skanowaniami 

• Bieżące koszty niezbędne do utrzymania takiego 

samego poziomu bezpieczeństwa sieci są niższe ze 

względu na sposób zautomatyzowany i terminowy, 

w którym można przeprowadzić oceny i działania 

Podsumowując, przeprowadzanie automatycznej 

oceny zagrożenia w sposób bardziej systematyczny 

zmniejsza szansę wykorzystania niewykrytych podatności. 

Ręczne testy bezpieczeństwa są z natury przestarzałe, 

a w momencie dostarczania raportu, raport 

ten już jest nieaktualny. Automatyczny proces ciągłego 

audytowania, pojawiających się alertów i jakości wyników 

raportu wzmacnia poziom bezpieczeństwa informacji. 

Zwrot z inwestycji następuje bardzo szybko 

ze względu na ciągłe aktualizacje oraz nowe techniki 

oceny zagrożeń. Zapewnia to szybsze i skuteczne reagowania 

na incydent. 

MACIEJ KARMOLIŃSKI 

– WICEPREZES ZARZĄDU PROCERTIV SP. Z O.O. 

Kontakt do autora: m.karmolinski@procertiv.pl 

40 

2/2011

Systemy wspomagające zarządzanie polityką bezpieczeństwa 

Systemy wspomagające 

zarządzanie polityką 


„Gartner szacuje, że 70% przypadków naruszania polityki bezpieczeństwa 

prowadzących do powstawania strat w przedsiębiorstwie jest wynikiem 

działań własnych pracowników.... Bez wątpienia, przedsiębiorstwa 

muszą odnaleźć równowagę pomiędzy otwartym dostępem do danych, 

a przerośniętym systemem bezpieczeństwa mogącym szkodzić ich interesom.” 

John Pescatore, Gartner Inc. 

TriGeo SIM 

Polityka bezpieczeństwa IT w czasie rzeczywistym 

Jak się ma Twoja sieć? 

Bezpieczeństwo sieci korporacyjnej to wiele systemów 

i urządzeń (zapory, programy antywirusowe i antyspamowe, 

IDS, IPS, UTM). Każdy element infrastruktury 

prowadzi swój własny rejestr zdarzeń. Dziesiątki plików, 

setki wpisów na godzinę. To tu tak naprawdę spoczywa 

wiedza o szczelności systemu. Tu jest zapisane 

bezpieczeństwo sieci korporacyjnej. Wystarczy tylko 

czytać wszystkie pliki z rejestracją zdarzeń – stale i na 

bieżąco – i umiejętnie powiązać wpisy z różnych zasobów. 

Arcyciekawe zadanie dla administratorów sieciowych 

- żmudne, czasochłonne, na zaraz (bo przecież 

bezpieczeństwo nie znosi przestojów) i w zasadzie nierealne. 

Z pomocą przychodzą rozwiązania typu SIEM. 

Przecież w dzisiejszych czasach analiza zagrożeń i aktywne 

reagowanie na te zagrożenia w czasie rzeczywistym 

to nie luksus - to konieczność. 

Co tak na prawdę oznacza SIEM? 

System TriGeo, produkowany przez amerykańską firmę 

o tej samej nazwie, której platynowym dystrybutorem 

na Polskę jest Xnet Communications Polska Sp. 

z o.o., jest właśnie rozwiązaniem z obszaru SIEM czyli 

Security Information and Event Management (zarządzanie 

zdzarzeniami i informacjami bezpieczeństwa). 

Systemy typu SIEM charakteryzują się pewnym zakresem 

funkcjonalności dostarczanym przez różnych producentów 

w inny sposób. Podstawowym zagadnieniem 

produktów SIEM jest realizacja analizy w czasie rzeczywistym 

alertów bezpieczeństwa generowanych przez 

infrastrukturę informatyczną rozumianą jako urządzenia 

sieciowe, w tym stacje robocze i serwery oraz aplikacje. 

Aby dokonywać wiarygodnej analizy pod kątem 

bezpieczeństwa, która będzie przedstawiała rzeczywistą 

wartość techniczną i biznesową, system musi posiadać 

mechanizmy gromadzenia, składowania, przetwarzania, 

korelowania danych i wreszcie odpowiedniej ich 

prezentacji. Nie można też zapominać o stałym monitoringu 

elementów infrastruktury i systemie alarmowania 

i raportowania. 



Dlaczego TriGeo? 

TriGeo to odpowiedź na wewnętrzne zagrożenie, obniżanie 

poziomu bezpieczeństwa przez pracowników, 

próby nieautoryzowanego logowania, wykorzystanie 

niebezpiecznych lub niedozwolonych aplikacji, a także 

kombinacji niebezpiecznych działań. System, dzięki 

wbudowanym funkcjom analizującym i korelującym 

zdarzenia w czasie rzeczywistym, przekazuje informacje 

o ewentualnych zagrożeniach na bieżąco, a nawet 

wyprzedza i blokuje niebezpieczne działania. Pozwala 

stworzyć ramy analizy behawioralnej na poszczególnych 

końcówkach infrastruktury sieciowej. Do administratora 

sieci trafia zagregowany i przeanalizowany raport 

z logów z wszystkich urządzeń sieciowych, a nie olbrzymia 

ilość nieinterpretowanych plików. Daje to możliwość 

koncentracji na kluczowych elementach korporacyjnej 

polityki bezpieczeństwa sieci. 

Jak to działa? 

System TriGeo analizuje działanie elementów sieci na 

podstawie informacji z niej pozyskanych. Dzieje się to 

w ramach dwóch struktur. Pierwsza struktura oparta jest 

o architekturę agentową, przeznaczoną dla systemów 

operacyjnych Windows, Linux, MacOSX, Solaris. Integracja 

polega na instalacji serwisu agenta i konfiguracji 

sensorów czytających dane z odpowiednich logów systemu 

operacyjnego oraz zainstalowanych aplikacji. Druga 

struktura to system bezagentowy, przeznaczony przede 

wszystkim dla urządzeń sieciowych, na których nie ma 

możliwości zainstalowania serwisu agenta czyli switche, 

routery, firewalle sprzętowe. TriGeo jest w stanie osbłużyć 

infrastrukturę IT składającą się nawet z 5000 końcówek 

w ramach obu struktur. W architekturze agentowej 

dane z logów są przechwytywane przez sensory Tri- 

Geo jeszcze przed zapisaniem w pliku z logiem na dysku 

komputera, co zabezpiecza przed manipulacją i zapewnia 

działanie w czasie rzeczywistym. Zdecydowaną 

zaletą struktury agentowej jest komunikacja szyfrowana 

przez SSL, przyjazna dla przepustowości, niezawodna i 

gwarantująca kompletność danych. W przypadku architektury 

bezagentowej sensory TriGeo przechwytują logi 

nadesłane przez urządzenia sieciowe do syslogu Tri- 

Geo. Dane zebrane w ramach obu struktur, trafiające do 

serwera TriGeo, są agregowane i korelowane w pamięci 

RAM, co zapewnia realne działanie w czasie rzeczywistym, 

następnie dla celów archiwalnych zostają zapisa- 

42 

2/2011

Systemy wspomagające zarządzanie polityką bezpieczeństwa 

ne w bazie danych serwera TriGeo. Zebrane i gromadzone 

dane podlegają anlizie na podstawie predefiniowanych 

lub konfigurowanych na bieżąco reguł. System Tri- 

Geo jest dostarczany z ponad 200 predefiniowanymi regułami. 

Reguły podstawowe poszukują wystąpień określonych 

zdarzeń. Część z nich domyślnie jest włączona 

dzięki czemu TriGeo od razu po uruchomieniu może być 

gotowe do użytku. Ciekawym rozwiązaniem jest tutaj zestaw 

reguł określanych jako NATO5. Są to rozbudowane 

reguły stworzone na podstawie doświadczeń klientów, 

którzy chcieli podzielić się nimi z TriGeo i przez to zostały 

umieszczone w kolejnych unowocześnieniach systemu. 

Nazwa pochodzi od piątego artykułu NATO mówiącego 

że „napaść na jednego z członków NATO jest uznawana 

za napaść na wszystkich członków sojuszu”. Reguły 

NATO5 poza wyszukiwaniem wystąpień określonych 

zdarzeń, mają najczęściej skonfigurowane akcje pozwalające 

na podejmowanie przez system TriGeo automatycznej 

reakcji na wykryte zdarzenia. Może to oznaczać 

powiadomienie wybranych administratorów, ostrzeżenie 

użytkownika, wylogowanie, blokowanie adresu IP, odcinanie 

od sieci, zatrzymanie lub uruchamianie procesów 

czy odcinanie portów. Każdą z reguł można po prostu 

włączyć, dowolnie modyfikować i kopiować wykorzystując 

jako szablony dla nowych reguł. Administrator TriGeo 

ma również możliwość tworzenia zupełnie nowych reguł, 

spełniających jego wymagania. 

Kluczowe cechy 

TriGeo posiada bardzo rozbudowany i zaawansowany 

zestaw funkcjonalności. Mówimy tu przede wszystkim 

o analizie i korelacji logów, która jest typowym atrybutem 

systemów SIEM. W tym jednak przypadku system 

pozwala na tworzenie nieliniowych, wielowątkowych 

korelacji zdarzeń w czasie rzeczywistym na podstawie 

monitoringu wszystkich znanych protokołów transmisji 

danych. Dodatkowo dostarczono administratorom 

systemów mechanizmy aktywnego reagowania. Dzięki 

temu obsługa zdarzeń przy pomocy funkcji automatycznej 

notyfikacji może być wykorzystywana w zależności 

od definicji reguł. Autetem systemu jest dostęp 

do kilkudziesięciu predefiniowanych wzorców aktywnego 

reagowania. Bardzo istotną zaletą systemu TriGeo 

jest również możliwość definiowania i generowania wyspecjalizowanych 

raportów na pdstawie klasyfikacji incydentów, 

przeznaczonych dla osób z różnego szczebla 

w organizacji. Same incydenty, informacje i zdarzenia 

mogą zostać okreslone przez wagi i priorytety w zalezności 

od poziomu zagrożenia i wartości danych. System 

TriGeo to jednak przede wszystkich rozwiązanie, 

które ma wspierać działania administratorów korporacyjnych 

sieci, a co za tym idzie zastosowano w nim szereg 

narzędzi interakcji oraz usprawniających i ułatwijących 

pracę, głównie poprzez zestaw ponad 200 predefiniowanych 

reguł korelacji oraz system automatycznego 

alarmowania odpowiednich osób o zaistniałych zagrożeniach 

przy pomocy różnych kanałów komunikacyjnych: 

email, telefon komórkowy, pager lub PDA. 

Uznany produkt 

TriGeo jest cenionym rozwiązaniem na rynku. Ugruntowało 

swoją pozycję jako Lider 2007 Gartner Magic 

Quadrant dla SIEM, i corocznie zdobywa najcenniejsze 

nagrody, między innymi 2010 SC Magazine Reader 

Trust Award, 2007 Gartner Best Execution of a Midmarket 

IT Solution oraz SC Magazine Best Buy of 2010, 

2009, 2008, 2007, 2006 i 2005 for Event Management. 

Rozwiązanie ma wielu klientów na kluczowych rynkach 

takich jak, usługi finansowe, służba zdrowia, instytucje 

rządowe i media, ponieważ pozwala wypełnić 

firmom narzucone z góry regulacje prawne dotyczące 

standardów bezpieczeństwa. Każda firma, która przechowuje 

rozbudowane bazy danych o klientach podlega 

wielu regulacjom: PCI, GLBA , NCUA, FDIC, HIPAA, 

SOX... TriGeo jest systemem, który w sposób rzeczywisty, 

a nie tylko na papierze, rozwiązuje problem wywiązywania 

się z obowiązków prawnych jakie niosą ze sobą 

wymienione regulacje. 

Co tak na prawdę wyróżnia TriGeo? 

Raport Gartner Magic Quadrant 2010 określa system Tri- 

Geo jako łatwy we wdrożeniu i zapewniający bogaty zasób 

już zintegrowanych funkcji SIEM, predefiniowanych 

reguł korelacji i raportów w pełni zaspokajających potrzeby 

klientów. Raport Gartnera za zdecydowaną zaletę 

systemu uznaje agenta TriGeo dla Windows, który może 

być skonfigurowany pod kątem aktywnego powiadamiania. 

Rozwiazanie umożliwiające kontrolę portów USB 

oraz monitoring offline jest również chwalone – znacznie 

poszerza zakres ochrony i monitoringu. Poza elementami 

opisanymi przez raport GMQ na szczególną uwagę 

zasługuje bardzo szeroka i rozbudowana lista kompatybilnych 

urządzeń sieciowych, czyli tych elementów infrastruktury, 

na które nie można nanieść sieci agentów. 

Okazuje się, że obszar współpracujących z TriGeo urządzeń 

jest znacznie większy niż jednorodne rozwiązania 

jednego producenta, co sprawia, że rozwiązanie świetnie 

sprawdza się w środowiskach heterogenicznych. Zdecy- 



dowanie wyróżniającą cechą TriGeo jest funkcjonalność 

Drag&Drop, która bardzo usprawnia pracę i ułatwia zarządzanie 

intuicyjnym systemem. Jednak największą zaletą 

systemu, świadczącą o jego sile jest realizacja analizy 

w oparciu o przetwarzanie zdarzeń już na poziomie 

pamięć RAM, a nie w bazie danych, co sprawia że system 

potrafi dokonywać korelacji w czasie rzeczywistym. 

Więcej informacji o produkcie na www.trigeo.pl 

ATOS 

Bezpieczeństwo i rewizja działań IT z szyfrowaniem 

i rejestrowaniem sesji zdalnego dostępu 

System ATOS, stworzony przez firmę Xnet 

Communications, to odpowiedź na coraz 

większe zapotrzebowanie korporacji w obszarze 

outsourcingu IT. Jest to doskonałe 

uzupełnienie systemu TriGeo w obszarze zarządzania 

polityką bezpieczeństwa IT. Podczas 

gdy TriGeo jest swego rodzaju strażnikiem 

sieci, obserwuje środowisko, poszukuje 

anomalii, ATOS stanowi grupę reagowania 

– ochrania zasoby korporacyjne, uszczelnia 

bezpieczeństwo, maskuje hasła systemowe, 

dostarcza narzędzia do rozwiązania problemu, 

dokumentuje wykonane działania w postaci 

filmu i pozwala udowodnić, że reakcja 

była zgodna z polityką bezpieczeństwa. 

Wyobraźmy sobie sytuację w której mamy dostawcę 

usług IT i korporację, która takich usług poszukuje. Zostaje 

podpisana umowa SLA czyli wydanie zgody dostępu 

do wewnętrznej infrastruktury IT korporacji. Jednak 

podczas świadczenia usług okazuje się, że ich odbiorca 

nie ma absolutnie żadnej udokumentowanej informacji 

na temat tego co było robione, gdzie, przez 

kogo, kiedy i co najważniejsze jak. Dzięki systemowi 

ATOS znamy odpowiedzi na te pytania. Rozwiązanie 

działa jak brama rejestrująca wszelkie działania mające 

miejsce w wewnętrznej infrastrukturze IT zabezpieczając 

zdalne sesje dostępu, monitorując pracę i zapisując 

jej przebieg. Na szczególną uwagę zasługują zaawansowane 

funkcje maskowania haseł, zapisywania filmów 

z sesji i możliwość skryptowania zadań. 

W rezultacie otrzymujemy zaawansowany system kontroli 

outsourcingu IT. Wiemy kiedy został dokonany serwis, 

jak długo trwał, co zostało zrobione i na jakich maszynach. 

System ATOS to przede wszystkim gwarancja 

bezpieczeństwa. Możemy określić gdzie outsourcer może 

się dostać, mamy pełną kontrolę nad chwilowym dostępem 

i ukrywamy hasła systemowe udostępniając jedynie 

maski. System ATOS zezwala na wielodostęp, 

dzięki czemu wielu specjalistów może pracować nad 

jednym problemem co sprzyja zadaniowemu łączeniu 

sił. Jest to bardzo przydatna funkcjonalność szczególnie 

w przypadku konieczności integracji systemów podczas 

fuzji, przejęć czy reorganizacji zasobów. 

Jakie uzyskujemy korzyści? Przede wszystkim dokumentację 

– pełen zapis interakcji człowieka z maszyną. 

Dokumentacja pozwala tworzyć bibliotekę wiedzy – składować 

know-how, wyszukiwać i odtwarzać rozwiązania. 

Kolejną zaletą systemu ATOS jest możliwość tworzenia 

skryptów w języku LUA. Takie rozwiązanie pozwala na 

automatyzację zadań powtarzalnych, tworzenie makr do 

delegowania zadań oraz dystrybucję wiedzy w organizacji. 

Bogaty zestaw statystyk umożliwia analizę zaangażowania 

zasobów, występowania incydentów i ich charakteru. 

Koniec końców, posiadamy system, który optymalizuje 

koszty, daje argumenty do dyskusji o efektywności 

SLA, skraca czas rozwiązywania problemów i dostarcza 

dane do planowania inwestycji. 

Więcej informacji o produkcie na www.xdsnet.pl/atos/ 

44 

2/2011

Odzyskiwanie danych po polsku, czyli jak nie stracić danych odzyskując je 

Odzyskiwanie danych po 

polsku, czyli jak nie stracić 

danych odzyskując je 

Artur Skrouba 

Istnieją sytuacje, w których tracimy dane. Cenne dane. 

Tracimy je na ogół z własnej głupoty, z braku wiedzy lub 

z zaniedbania. Nasz twardy dysk przestał działać. 

W takich momentach musimy zgłosić się do specjalisty od 

odzyskiwania danych. 

Kto to jest: specjalista od odzyskiwania danych? 

Jaką szkołę trzeba skończyć bądź na jakim wydziale 

studiować, aby posiąść taką wiedzę? 

Otóż nie ma takiej szkoły (przynajmniej w Polsce) ani 

takiego kierunku. Więc kto może zostać takim specjalistą? 

I tu dotykamy sedna sprawy. 

Po utracie cennych danych bardzo często ulegamy 

panice. W konsekwencji każdy kto stwierdzi, że 

może nam pomóc jawi się nam jako biblijny Mojżesz, 

który może nas przeprowadzić przez wzburzone morze 

targających nami wątpliwościami: odzyskamy dane 

czy nie ? I niestety – w znakomitej większości przypadków 

tenże zbawca wylewa na nas nie kubeł zimnej 

wody, ale faktycznie całe Morze Czerwone. Diagnoza 

jest bezlitosna – danych odzyskać się nie da. 

Tak po prostu. 

Czy aby na pewno? Może ktoś inny da radę? Ale kto? 

Kolejny znajomy? A może ktoś, kto już odzyskał kiedyś 

dane. Ktoś polecony. Ok, zgadzamy się na wszystko 

– tym razem musimy już zapłacić. Rozmawiamy telefonicznie 

– Pan Henio (imię umowne) rzuca bardzo fachowymi 

terminami, których nie rozumiemy ni w ząb. 

Ale co tam, wiadomo fachowiec chyba zna się na rzeczy. 

Po oddaniu dysku spokojnie czekamy na telefon 

z dobrymi wiadomościami. Zaczynamy się niepokoić. 

W końcu wyrok – dane są nie do odzyskania . 

Odbieramy dysk – elektronika polutowana, plomby 

zdjęte, dysk otwarty. Bez cienia większych nadziei 

zwracamy się do profesjonalnej firmy zagranicznej 

(np. Seagate w Berlinie). Po kilku dniach dostajemy 

wyniki analizy – są porażające. Dobra informacja 

to taka, że w dysku uszkodzeniu uległ jeden układ 

scalony – teoretyczny koszt odzyskania danych to 200 

euro. Teoretyczny bo danych odzyskać się już nie da. 

Mojżesz a potem Henio „złota rączka” zniszczyli platery 

i nadpisali głupotami obszar serwisowy dysku. Koniec. 

Tym razem definitywny. 

Inny przykład. 

Kolejny przypadek. Utraciliśmy dane w wypadku (nomen 

omen) upadku twardego dysku. Zgłaszamy się do 

profesjonalnej firmy. Przynajmniej tak wygląda. Piękne 

i okazałe laboratorium. Podpisujemy dokumenty i spokojnie 

wracamy do codziennych zajęć. Po kilku dniach 

cisza. W końcu dostajemy telefon. Dostajemy informacje, 

że jest to wyjątkowo ciężki przypadek. Koszt odzyskania 

danych to prawie kwota pięciocyfrowa. Bardzo 

drogo. Chyba za drogo. Spróbujemy w innej firmie. 

Chcemy odebrać dysk. Okazuje się, że musimy 

zapłacić za wykonaną analizę i rezygnację. Są także 

koszty za zużyte części. Razem prawie tysiąc złotych. 

Trudno – płacimy. Chcemy odzyskać dysk. Idziemy do 

innej firmy – tam specjaliści rozkładają bezradnie ręce. 

Dysk jest tak zniszczony, że danych nie można odzyskać. 

Idziemy do innej firmy. I do kolejnej. Wszędzie 

to samo – dane są nie do odzyskania. Niektóre firmy, 

słysząc w jakiej firmie byliśmy na początku nawet nie 

chcą przyjmować dysku do analizy. Z góry wiedzą, że 

danych się już nie odzyska. Załamani wracamy do firmy, 

w której byliśmy na początku. Musimy odzyskać te 

dane. Zgadzamy się na kwotę, która z początku wydawała 

nam się za wysoka. Niestety – słyszymy, że dysk 

uległ znacznemu pogorszeniu w wyniku pracy innych 

osób i koszt odzyskania danych wzrasta do kilkunastu 

tysięcy złotych. 


FELIETON 

Dwa różne przypadki – pierwszy, opisujący bardzo 

częsty przypadek podejmowania próby odzyskania 

danych przez osoby nie mające jakiegokolwiek bądź 

wystarczającego o tym pojęcia. Wśród większości 

osób pokutują fałszywe legendy na temat zarobków 

osób zajmujących się tym w sposób zawodowy. I chyba, 

dlatego powstają, jak grzyby po deszczu firmy reklamujące 

się jako „profesjonalne” podmioty oferujące 

usługi odzyskiwania danych i to w każdym zakresie. 

A tak naprawdę nie mające pojęcia o większości standardowych 

terminów występujących w tej branży. 

Drugi przypadek – to funkcjonowanie firmy, która delikatnie 

mówiąc jest nieuczciwa (mówiąc wprost – trąci 

kryminałem). W praktyce taka firma wcześniej czy 

później źle skończy – rynek szybko zweryfikuje ją negatywnie 

(o ile nie zrobią tego wcześniej organy ścigania). 

Z drugiej strony na polskim rynku funkcjonuje kilka 

firm z tradycjami, mającymi odpowiedni warsztat, 

know how oraz mogącymi się poszczycić wieloma tysiącami 

przypadków skutecznego odzyskania danych. 

Są to na ogół firmy, mające udokumentowane osiągnięcia 

w postaci medali, dyplomów czy innych wyróżnień. 

Metody ich działań są przejrzyste i sprowadzają 

się do prostej zasady: są dane – jest zapłata. Dzięki 

swojej wiedzy mogą sobie na to pozwolić – mają 

umiarkowane ceny i dużą skuteczność. 

W naszym przypadku ważne jest to, aby nie wybrać 

złej firmy jako podmiotu mogącego zniszczyć nasze 

dane lub po prostu nas okraść. 

Poniżej przedstawiamy kilka podstawowych zasad, 

którymi powinniśmy się kierować przy wyborze firmy, 

mającej odzyskać nasze cenne dane: 

• zawsze czytajmy regulaminy, zamówienia bądź 

umowy przyjęcia zleceń – szczególnie pod kątem 

ukrytych dodatkowych opłat, 

• sprawdzajmy doświadczenie firmy poprzez wiek 

(data wpisu do KRS, wiek domeny), 

• próbujmy zasięgnąć opinii wśród znajomych, 

szczególnie wśród osób, pracujących w działach 

IT innych firm (opinie z for internetowych traktujmy 

z pewną ostrożnością ze względu na duży ruch 

osób piszących pod zamówienie i robiących dobry 

bądź zły PR – szczególnie dla konkurencji), 

• sprawdzajmy cenniki – ceny w stylu „od 300 pln” 

bez podania cen maksymalnych są dyskwalifikujące, 

• wybierajmy firmy, gdzie wstępna analiza jest bezwarunkowo 

bezpłatna – w innym przypadku firma, 

oferująca analizę bezpłatną warunkowo w praktyce 

może nic nie robić, tylko przyjmować nośniki 

i stosować zaporowe ceny za ich ewentualne odzyskanie 

– po czym żyć z samych opłat za rezygnację, 

• wybierajmy firmy posiadające wyróżnienia w postaci 

dyplomów, medali itp., 

• unikajmy firm, które podają skuteczność swoich 

usług na poziomie zbliżonym do 100% (np. 95%) 

- średni poziom światowych potentatów w tej branży 

wynosi max. niecałe 80%, 

• szukajmy firm, które wykonują wstępną analizę od 

ręki i bez żadnych opłat – umożliwia to podjęcie 

decyzji bez pozostawiania nośnika w nieznanym 

miejscu. 

• w mniejszych miejscowościach nie szukajmy filii 

dużych firm – jeżeli już, to kontaktujmy się bezpośrednio 

z laboratoriami, 

• domagajmy się rozmowy ze specjalistą – wybierajmy 

firmy, których specjalista wykaże zainteresowanie 

na temat tego co się stało, jakie były okoliczności 

awarii i jej objawy – po prostu chętnie 

będzie rozmawiał na ten temat i będzie w stanie 

przybliżyć możliwy powód awarii oraz określić termin 

i koszt odzyskania danych, 

• unikajmy firm, które są zbiurokratyzowane – tego 

typu firmy nastawione są z reguły na masową 

usługę (przez co nie zawsze dokładną), 

• unikajmy, jak ognia firm, które podają ten sam fizyczny 

adres laboratorium – na ogół oznacza to 

tzw. farmę firm, które ściśle kooperują ze sobą 

w celu np. podbijania ceny. 

Oczywiście przestrzeganie powyższych zaleceń nie 

w każdym przypadku nam zagwarantuje, że zawsze 

trafimy na kogoś rzetelnego i dysponującego stosowną 

wiedzą. Jednak te szanse zwiększą się do maksimum 

możliwości. 

ARTUR SKROUBA 

Kontakt z autorem przez Redakcję 

46 

2/2011

Zakończenie 

Słowo 

kończące 

Drodzy Czytelnicy, 

Dziękujemy za lekturę naszego magazynu. 

Jeśli macie sugestie odnośnie tematów, które chcielibyście, żeby ukazały się w kolejnych 

numerach, to prosimy o kontakt z Redakcją. 

Aktualne informacje o najbliższym numerze znajdziesz na naszej 

stronie www.hakin9.org/pl. 

Następny numer dostępny on-line 

ostatniego dnia lutego 2011

hakin9

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template ?