IT Professional Security - ΤΕΥΧΟΣ 39

Ιανουάριος - Φεβρουάριος 2015 • Τεύχος 39 • Τιμή 5€ 

Identity & Access 

Management 

• Διαχείριση Ασφαλιστικών Δικλείδων στα πλαίσια 

της Εταιρικής Διακυβέρνησης 

• Οι τάσεις για το 2015 - Οι επιχειρήσεις στο στόχαστρο 

SMARTPRESS, MAΓΕΡ 11, 104 38 ΑΘΗΝΑ 

ΠΛHPΩMENO 

TEΛOΣ 

Tαχ. Γραφείο 

KEMΠ.KΡ. 

Aριθµός Άδειας 

116 

PRESS POST 

ENTYΠO KΛEIΣTO AP. A∆EIAΣ 22/2008 KEMΠ.A.ΚΡ. 

P R 

(X+7) 

E S S 

T 

P O S

1/4/2015 

Divani Caravel 

Hotel 

ΣΥΝΕ∆ΡΙΟ 

| www.infocomsecurity.gr | 

102 | security

Πώς θα αξιολογήσουμε τους κινδύνους; 

Πώς μπορούμε να γίνουμε περισσότερο 

Proactive; 

Όλες οι απαντήσεις στο 5ο Συνέδριο Infocom Security, που θα διεξαχθεί την 1η 

Απριλίου 2015 στο Divani Caravel Hotel και αποτελεί το ετήσιο ραντεβού της αγοράς 

IT Security, αλλά και το μεγαλύτερο event του χώρου! 

! 

! 

Ενότητα 1η 

The New Rules of Cyber Security 

Η ψηφιακή ασφάλεια, αποτελεί σήμερα όσο ποτέ 

άλλοτε, μια σημαντικότατη πρόκληση για κάθε οργανισμό 

και επιχείρηση.Στην 1η ενότητα του 5ου 

Infocom Security, ειδικοί στο τομέα της ψηφιακής 

ασφάλειας αναδεικνύουν τους “νέους κανόνες του 

παιχνιδιού”, χαρτογραφώντας τις τάσεις των απειλών 

και το τοπίο των υποδομών του ΙΤ σήμερα. 


How to Be Proactive; 

Το κλειδί για την προστασία των κρίσιμων δεδομένων 

των επιχειρήσεων και την αποφυγή των περιστατικών 

που θέτουν σε κίνδυνο την εύρυθμη λειτουργία τους 

είναι η δημιουργία συνθηκών που θα προλαμβάνουν 

τους κινδύνους. Τα κομμάτια του πάζλ που συνθέτουν 

μια proactive προσέγγιση στην ψηφιακή ασφάλεια θα 

αποκαλυφθούν στη συγκεκριμένη ενότητα. 

! 

! 


Building a Smart Protection 

Strategy 

Στην 3η ενότητα του 5ου Infocom Security, οι σύνεδροι 

θα έχουν την ευκαιρία να ενημερωθούν για το 

πώς υλοποιούνται αποτελεσματικά μέτρα προστασίας, 

ολοκληρωμένες λύσεις και υπηρεσίες, ορθές 

πρακτικές και σύγχρονα μοντέλα που είναι απαραίτητα 

σήμερα για την εφαρμογή μιας εταιρικής πολιτικής 

προστασίας των υποδομών και των πληροφοριών. 


The Hacking Games 

Στόχος της 4ης ενότητας που θα κλείσει τη διοργάνωση 

του Infocom Security 2015, είναι να ενημερωθούμε 

για το προφίλ των hackers σήμερα, τα κίνητρα 

τους, τη μεθοδολογία, τις τεχνικές και τα εργαλεία 

που χρησιμοποιούν, αναζητώντας παράλληλα τους 

δικούς μας αδύναμους κρίκους, έτσι ώστε να είμαστε 

σε θέση να αναπτύξουμε τα κατάλληλα μέτρα 

προστασίας. 

Εγγραφές: www.infocomsecurity.gr 

ΜΕΓΑΣ ΧΟΡΗΓΟΣ PLATINUM SPONSOR ΧΡΥΣΟΙ ΧΟΡΗΓΟΙ 

ΧΟΡΗΓΟΙ 

Affordable Cutting Edge 

ΥΠΟΣΤΗΡΙΚΤΕΣ 

ΜΕ ΤΗΝ ΥΠΟΣΤΗΡΙΞΗ 

security | 1

e ditorial 

Από την φορητότητα… στις συσκευές που φοριούνται! 

Προβλέψεις ερευνητών αναφέρουν ότι πολύ σύντομα, τα ε- 

πόμενα 2 με 3 χρόνια δηλαδή, η κίνηση στο διαδύκτιο μέσω 

φορητών συσκευών θα ξεπεράσει σημαντικά την αντίστοιχη 

κίνηση μέσω desktop pc, κάτι που αναδεικνύει σαφώς την 

καθολική κυριαρχία του mobility σε όλα τα επίπεδα. Όμως, 

μια ακόμα αναδυόμενη τεχνολογική τάση με κοινά χαρακτηριστικά 

με το mobility, αρχίζει να γίνεται ιδιαίτερα ελκυστική 

και δημοφιλής παγκοσμίως. Πρόκειται για τα λεγόμενα 

wearables, ή αλλιώς συσκευές που φοριούνται είτε 

στον καρπό και στον αγκώνα, είτε στο κεφάλι, είτε και σε 

άλλα σημεία του σώματός μας. Οι συσκευές αυτές αποτελούν 

τεχνολογικά αξεσουάρ όπως τα ρολόγια και τα γυαλιά 

και έχουν δυνατότητα σύνδεσης με smartphones και άλλες 

υπολογιστικές συσκευές, ενώ μπορούν να συλλαμβάνουν εικόνες 

και video, καθώς και να αποθηκεύουν, να λαμβάνουν 

και να αποστέλλουν δεδομένα και πληροφορίες, που αφορούν 

πολλές εφαρμογές της καθημερινότητας. 

Τι γίνεται όμως με την ασφάλεια αυτών των δεδομένων; Μήπως 

ανοίγεται μια ακόμα κερκόπορτα στους ψηφιακούς ε- 

γκληματίες για την υφαρπαγή πληροφοριών; Είναι σίγουρο, 

ότι τα wearables θα μας απασχολήσουν στο μέλλον όχι μόνο 

ως μια τεχνολογική καινοτομία, αλλά και ως μια νέα πρόκληση 

για την ασφάλεια, μιας και σε αυτές τις συσκευές μπορεί 

να βρίσκονται προσωπικά, επαγγελματικά και οικονομικά δεδομένα, 

ενώ κάποιες από αυτές μπορούν να συνδεθούν με 

ευρύτερα δίκτυα. Τα wearables χρησιμοποιούν τεχνικές, λογισμικά 

και ασύρματα πρότυπα επικοινωνίας που σε αυτή τη 

φάση τουλάχιστον δεν εμποδίζουν ιδιαίτερα τους hackers να 

δοκιμαστούν σε ένα νέο πεδίο δράσης. Επίσης, αναμένεται 

η χρήση των wearables και για ηλεκτρονικές πληρωμές αλλά 

και για πρόσβαση σε εταιρικά δίκτυα κάτι που θα μπορούσε 

να συνεπάγεται μια αύξηση του κακόβουλου λογισμικού στις 

ίδιες τις συσκευές ή στα smartphones που χρησιμοποιούνται 

για τη διαχείρισή τους και να απαιτείται η θέσπιση νέων πολιτικών 

στα πλαίσια των MDM ή BYOD. Σε κάθε περίπτωση, 

το ζήτημα της ιδιωτικότητας είναι το βασικό από την πλευρά 

της ασφάλειας σε σχέση με τα wearables, μιας και αυτές 

οι συσκευές παραμένουν ουσιαστικά ευάλωτες σε πολλούς 

κινδύνους. Τα επόμενα χρόνια, αναμένεται λοιπόν να προκληθούν 

πολλές συζητήσεις σχετικά με το πώς αυτές οι συσκευές 

θα γίνουν περισσότερο ασφαλείς και πιστοποιημένες 

μέσα από τεχνολογίες κρυπτογράφησης και όχι μόνο. 

Βλάσης Αμανατίδης 

Εκδότης 

Κώστας Νόστης 

Σύμβουλος Έκδοσης 

Νίκη Πανδή 

Αρχισυντάκτης 

Βλάσης Αμανατίδης 

va.editor@smartpress.gr 

Συνεργάτες 

Σήφης Ανδρουλιδάκης 

Μίνα Ζούλοβιτς 

Νότης Ηλιόπουλος 

Αριστοτέλης Λυμπερόπουλος 

Δημήτρης Παπίτσης 

Αλέξανδρος Σουλαχάκης 

Παναγιώτα Τσώνη 

Διεύθυνση Διαφήμισης 

Νίκος Σαράφογλου 

ns.sales@smartpress.gr 

DTP 

Δημήτρης Τσούτσας 

Διεύθυνση Events 

Δημήτρης Μάσσας 

Διεύθυνση Marketing 

Ειρήνη Νόστη 

Υπεύθυνος Ηλεκτρονικών Μέσων 

Φάνης Ζερβάκης 

Υπεύθυνη Social Media 

Δήμητρα Κατερέλου 

Γραμματεία Εμπορικού 

Έλλη Μαστρομανώλη 

Φωτογράφος 

Αλέξανδρος Γρυμάνης 

Λογιστήριο 

Ανδρέας Λουλάκης 

Consulting by 

SPEG 

τηλ.: 2105238777, 

www.speg.gr, info@speg.gr 

Ιδιοκτήτης 

Smart Press 

Μάγερ 11, 10438, Αθήνα 

Τηλ.: 210 5201500, 210 5230000, 

Fax: 210 5241900 

Τμήμα συνδρομών 

support@securitymanager.gr 

www.smartpress.gr 

www.itsecuritypro.gr 

www.securitymanager.gr 

info@securitymanager.gr 

support@securitymanager.gr 

ΚΩΔΙΚΟΣ 01-8267 

2 | security

DO MORE 

WITH YOUR I.T. 

SECURED BY ESET

c ontents 

12 16 26 

2|editorial 

6|news 

interview 

12|Δραματική αύξηση χρήσης 

καινοτόμων τεχνικών από 

την πλευρά των εισβολέων 

Συνέντευξη με τον Ivan 

Straniero - Territory Manager 

for Italy and SE Europe, Arbor 

Networks 

16|Identity Management 

με βάση τη συμπεριφορά 

των χρηστών 

Συνέντευξη με τον Cyrille 

Badeau - Director - Southern 

Europe, Cisco Security 

cover issue 

18|Identity & Access Management 

issue 

22| Διαχείριση Ασφαλιστικών 

Δικλείδων στα πλαίσια της 

Εταιρικής Διακυβέρνησης 

25| Η σημαντικότητα του 

Identity Management και 

Strong Authentication 

26| Οι τάσεις για το 2015 

31|Risk Based Authentication: 

H επόμενη γενιά της 

τεχνολογίας ισχυρής 

αυθεντικοποίησης 

32|Enterprise Information 

Security - Μια Ολιστική 

προσέγγιση 

34|Πέρα από τις δοκιμές 

παρείσδυσης …και τις 

πιστοποιήσεις στην 

ασφάλεια 

report 

39|OCEDO Global Roadshow 

41|Ενοποίηση και απλοποίηση 

της διαχείρισης ασφάλειας 

προσφέρει η Dell 

reference 

42|Cyberoam Layer 8 

Technology 

business IT 

2|Cyber Security that matters 

4 | security

McAfee Security-as-a-Service 

McAfee Endpoint Protection for SMB 

Οι λύσεις McAfee Security-as-a-Service προσφέρουν ολοκληρωμένη προστασία σε endpoint, email, web και δίκτυα, μέσω cloud, 

εξοικονομώντας στο IT τμήμα, χρόνο, πόρους και κόστος. Ως μέρος του ευρύτερου πλαισίου λύσεων Security Connected της McAfee, που 

Μέγιστη προστασία για μικρομεσαίες επιχειρήσεις 

προσφέρουν αποτελεσματική ασφάλεια και ενοποιημένη διαχείριση, οι McAfee Security SaaS αναβαθμίζουν τη δυναμική του cloud και βοηθάνε 

τους οργανισμούς να προστατεύουν τις επιχειρηματικές τους λειτουργίες πολύ πιο γρήγορα. 

Η λύση McAfee Endpoint Protection for SMB προσφέρει εξαιρετικά επίπεδα ασφάλειας σε endpoints και είναι ειδικά σχεδιασμένη για 

Οι ολοκληρωμένες να καλύπτει τις ανάγκες σουίτες McAfee των μικρομεσαίων SaaS προστατεύουν επιχειρήσεων. από Συνδυάζει ιούς, spyware, τις βραβευμένες απειλές στο τεχνολογίες web και άλλες της επιθέσεις McAfee σε PC, laptops και file servers, 

ενώ για ταυτόχρονα προστασία “απελευθερώνουν” από απειλές, με εξαιρετικά το προσωπικό υψηλό επίπεδο του τμήματος ασφάλειας ΙΤ από στο διαδίκτυο, την ενασχόληση την ηλεκτρονική με πολύπλοκες αλληλογραφία διεργασίες, αναβαθμίσεις και τη 

διαχείριση 

και τα δεδομένα. 

ασφάλειας. 

Αποτελεί μια ολοκληρωμένη πρόταση ασφάλειας, για τη συνολική εσωτερική υποδομή IT και επιπλέον προσφέρει 

προστασία και βέλτιστη διαχείριση των φορητών συσκευών, έτσι ώστε διασφαλίζεται η ελεγχόμενη πρόσβαση στο εταιρικό δίκτυο. 

McAfee Security for Business 

H σουίτα McAfee Security for Business αποτελεί μια 

Αναγνωρισμένη ολοκληρωμένη από την Gartner λύση ως ηγέτης που προσφέρει στο endpoint όλα security τα οφέλη 

και την προστασία των SaaS δεδομένων λύσεων σε προστασίας φορητές συσκευές, για endpoint, η McAfee email και 

προσφέρει μια web ιδανική καθώς λύση και προστασίας τη διαχείριση που είναι τρωτότητας. έξυπνη, απλή Αξιοποιώντας 

τα οφέλη της συγκεκριμένης σουίτας ελαχιστο- 

και ασφαλής. 

ποιούμε τα λειτουργικά κόστη και ταυτόχρονα μεγιστοποιούμε το ε- 

πίπεδο ασφάλειας στο cloud. 

Έξυπνη απόδοση 

McAfee SaaS Endpoint & Email 

Protection Suite 

Η ασφάλεια που προσφέρει η λύση McAfee Endpoint 

Protection for SMB ενισχύει τη λειτουργικότητα της επιχείρησης 

αντί 

Η 

να 

σουίτα 

την επιβραδύνει. 

προσφέρει 

Διακρίνεται 

ολοκληρωμένη 

ως μια λύση 

endpoint 

που «τρέχει» 

ασφάλεια 

και αναβαθμισμένη προστασία για email, web και 

τις σαρώσεις ασφάλειας μόνο όταν η εκάστοτε συσκευή δεν 

βρίσκεται σε χρήση, έτσι ώστε η εργασία των χρηστών να μην 

επηρεάζεται. 

δίκτυα. Επίσης, παρέχει επιπρόσθετη ασφάλεια σε 

email μέσω cloud, εξασφαλίζοντας ότι τα εισερχόμενα 

και εξερχόμενα email θα φιλτράρονται για spam, επιθέσεις phising 

Απλότητα 

και ιούς προτού 

Αφιερώστε 

εισέλθουν 

λιγότερο 

στο 

χρόνο 

δίκτυο. 

στη διαχείριση της ασφάλειας 

και περισσότερο χρόνο στις βασικές επιχειρηματικές 

δραστηριότητες McAfee σας. SaaS Η λύση Endpoint McAfee Endpoint Protection Suite for 

SMB Η προσφέρει σουίτα McAfee ασφάλεια SaaS με μεγάλη Endpoint ευελιξία, Protection επιτρέποντας προσφέρει 

θεμελιώδη είτε στο cloud προστασία είτε στους για τοπικούς endpoints, server, μπλοκάρο- 

με απλό 

τη 

διαχείριση 

και γρήγορο ντας ιούς, τρόπο. spyware, απειλές στο διαδίκτυο και επιθέσεις 

hacker με μια μόνο λύση που διαχειρίζεται εύκολα 

μέσω Προστασία 

του online McAfee SecurityCenter. 

Εγγυημένη 

Προσφέρει άμεση και επικαιροποιημένη ανά λεπτό προστασία 

ενάντια 

McAfee 

σε απειλές 

SaaS 

για desktops, 

Web & 

laptops, 

Email 

servers, 

Protection 

email και web 

traffic, βασισμένη στο McAfee Global Threat Intelligence 

Suite 

H σουίτα McAfee SaaS Web & Email Protection αντικαθιστά 

Ευέλικτη διαχείριση 

το αυξανόμενο κόστος της προστασίας στο 

Με βάση την cloud-based διαχείριση που προσφέρει η λύση 

web και email, με μια απλή και προβλέψιμη συνδρομή. 

Οι υπηρεσίες 

ePolicy Orchestrator, επιτρέπεται η ελαστική κλιμάκωση 

ώστε η λύση 

ασφάλειας 

να ανταποκρίνεται 

της McAfee 

στις δυναμικές 

που είναι 

ανάγκες, 

βασισμένες σε 

cloud, αξιοποιούν εξασφαλίζοντας και συνδιάζουν παράλληλα ανθρώπους ότι βασίζεται με στα υψηλή νεοτέρα τεχνογνωσία μέτρα 

και τις καλύτερες ασφαλείας. τεχνολογίες προστατεύοντας τις επιχειρηματικές 

λειτουργίες από τις απειλές του διαδικτύου. 

McAfee SaaS Email Encryption 

Η λύση McAfee SaaS Email Encryption είναι μια 

Η λύση McAfee cloud-based Endpoint Protection λύση for που SMB βοηθάει είναι διαθέσιμη στον εντοπισμό και 

σε δυο εκδόσεις: την McAfee κρυπτογράφηση Endpoint Protection πολύτιμων Essential πληροφοριών for SMB επιτρέποντας 

Protection τη διατήρηση Advanced της for δυναμικής SMB, προσφέροντας της επιχείρησης 

και McAfee Endpoint 

σημαντικά πλεονεκτήματα. σε υψηλό επίπεδο και τη συμμόρφωση με τα κανονιστικά 

πλαίσια ιδιωτικότητας. 

Προστασία McAfee των SaaS endpoints Email Archiving από παντού 

Ανώτερη Η προστασία λύση McAfee για Windows SaaS Email ή Mac Archiving endpoints, καθώς απλοποιεί και την 

φορητών αναζήτηση συσκευών, ενάντια των email σε απειλές και διευκολύνει του συστήματος, τη διαχείριση των 

δεδομένων, 

των 

των 

αρχείων 

email, του 

με 

web 

μια 

και 

οικονομικά 

δικτυακών 

αποδοτική 

απειλών. 

πρόταση 

που δεν απαιτεί επιπρόσθετο hardware ή software 

Γρήγορη και εύκολη ανάπτυξη 

Η ανάπτυξη 

McAfee 

της ασφάλειας 

SaaS 

γίνεται 

Email 

γρήγορα 

Protection 

και εύκολα 

& 

Continuity 

σύμφωνα με τις εκάστοτε ανάγκες στο cloud ή όπου αλλού 

απαιτεί η εγκατάσταση. 

H λύση McAfee SaaS Email Protection and Continuity 

μπλοκάρει σε ποσοστό άνω του 99% spam, ιούς και 

Ενοποίηση της ασφάλειας σε μια λύση 

άλλα malware στο cloud, προτού αυτά φθάσουν 

Προσφέρει απόλυτη προστασία σε μια all-in-one λύση antivirus, 

στο δίκτυο. ασφάλειας Επίσης, δεδομένων δημιουργεί και πολιτικές web καθώς διασφάλισης και προστασίας των και εξερχομένων 

email διαχείρισης και της φορητών πρόσβασης συσκευών. στο ηλεκτρονικό ταχυδρομείο με εύκολο 

τρόπο χωρίς την ανάγκη επιπλέον λογισμικού. 

Απλοποιημένη Διαχείριση 

McAfee SaaS Web Protection 

Η κεντρική διαχείριση ασφάλειας γίνεται εύκολα και γρήγορα 

από οπουδήποτε Η υπηρεσία και σε McAfee οποιαδήποτε SaaS στιγμή Web καθορίζοντας Protection μεγιστοποιεί 

δημιουργώντας την προστασία αναφορές έναντι συμβατότητας των απειλών, και αξιοποιώντας 

πολικές, 

προσθέτοντας επαγγελματίες ή αφαιρώντας στην συσκευές ασφάλεια με ένα της απλό McAfee πάτημα και διαχείριση 

Security-as-a-Service. Προσφέρει προ- 

κουμπιού. 

στασία έναντι των malware και κακόβουλων αρχείων καθώς και των 

ρίσκων που Πληροφορίες αντιμετωπίζει η σε επιχείρηση πραγματικό ενώ επιτρέπει χρόνο τον αποτελεσματικότερο 

Χάρη και στο οικονομικότερο McAfee Global Threat έλεγχο Intelligence των απειλών η λύση παρέχει απελευθερώνοντας 

την 

τις 

επιχείρησή 

πλέον επικαιροποιημένες 

προκειμένου 

πληροφορίες 

να επωφεληθεί 

ενάντια 

τα 

στις 

μέγιστα από 

αναδυόμενες απειλές. 

το Web 2.0. 

Για περισσότερες πληροφορίες παρακαλώ επικοινωνήστε με την ITWAY Hellas (εξουσιοδοτημένος διανομέας): 

Τηλέφωνο: 210-6801013 - E-mail: mcafee@itway.gr

n ews 

Ηλεκτρονικό εμπόριο μέσω κινητών συσκευών: Φίλος ή Εχθρός; 

Η RSA, το Τμήμα Ασφαλείας της EMC, και η εταιρεία ερευνών 

J. Gold Associates, με τη συμβολή της εταιρίας TeleSign, 

διεξήγαγαν την μελέτη: «Ηλεκτρονικό εμπόριο μέσω mobile 

συσκευών: Φίλος ή εχθρός;», η οποία αξιολογεί τις νέες τάσεις 

αλλά και τον οικονομικό αντίκτυπο του ηλεκτρονικού 

εμπορίου μέσω mobile συσκευών. Στην έρευνα αυτή συμμετείχαν 

250 μεσαίες αλλά και μεγάλες επιχειρήσεις και οργανισμοί 

της Βόρειας Αμερικής, οι οποίες είχαν κατά μέσο όρο 

έσοδα ύψους 2.54 δισεκατομμυρίων δολαρίων. Η έρευνα αυτή 

φέρνει στο φως τις ευρύτερες επιπτώσεις των υποθέσεων 

που σχετίζονται με απάτες μέσω κινητών τηλεφώνων, με το 

μέσο όρο των ερωτηθέντων να έχουν υποστεί απώλειες της 

τάξεως των 92.3 εκατομμυρίων δολαρίων ανά έτος. 

Τα κύρια ευρήματα της μελέτης: 

• Το 1/3 των οργανισμών δήλωσε ότι το εύρος των εσόδων 

που αποκομίζουν από το Διαδίκτυο ανέρχεται στο ύψος 

του 26-50% του συνολικού τους τζίρου. 

• Το 25% των ερωτηθέντων δηλώνει ότι το 11-25% των ε- 

σόδων τους προέρχεται από εφαρμογές για mobile συσκευές. 

• Το 50% αναμένει τα έσοδα που προέρχονται από τις συγκεκριμένες 

συσκευές να αυξηθούν κατά 11-50% τα επόμενα 

3 χρόνια. 

• Το 30% των οργανισμών προβλέπει αύξηση 51-100% των 

εσόδων που προέρχονται από mοbile συσκευές. 

Τα στοιχεία της έρευνας υποδηλώνουν ότι το διαδίκτυο και 

το mοbile κανάλι αποτελούν μια βασική πηγή εσόδων. Τα 

συγκεκριμένα, μεγάλα ποσοστά καθιστούν απαραίτητη για 

τις εταιρίες την εύρεση λύσεων για την προστασία των εσόδων 

τους από ενδεχόμενες απάτες. Ο μεγάλος αριθμός α- 

πωλειών, υποδεικνύει την ύπαρξη ενός ιδιαιτέρως σοβαρού 

προβλήματος το οποίο δεν αντιμετωπίζεται κατάλληλα από 

τα υπάρχοντα συστήματα και τις σχετικές διαδικασίες. Επιπλέον, 

καθώς η πλειονότητα των εταιριών προσδοκά στην 

συνεχή αύξηση αυτών των εσόδων, προκύπτει μια επιτακτική 

ανάγκη για διασφάλιση των συναλλαγών. 

Η μελέτη δείχνει επίσης ότι η πλειοψηφία των εταιριών διατηρεί 

μια λανθασμένη αντίληψη σχετικά με το θέμα της ασφάλειας: 

2/3 των ερωτηθέντων πιστεύουν ότι είναι κατάλληλα 

εξοπλισμένοι για να εντοπίσουν γρήγορα και να αντιμετωπίσουν 

οποιαδήποτε διαδικτυακή επίθεση που μπορεί να επηρεάσει 

τις ιστοσελίδες τους. Ωστόσο, το 59% όσων ρωτήθηκαν, 

δήλωσαν πως έχουν χάσει έως και 25% των εσόδων 

της εταιρίας λόγω δραστηριοτήτων εξαπάτησης. 

Οι δραστηριότητες μέσω mobile συσκευών αναπτύσσονται 

με γεωμετρική πρόοδο, αυξάνοντας τον κίνδυνο της απάτης. 

Για τον λόγο αυτό, οι εταιρίες πρέπει να ενισχύσουν τα πρωτόκολλα 

ασφαλείας τους καθώς και τις διαδικασίες login και 

authentication. Σχεδόν το 20% των εταιρειών που συμμετείχαν 

στην έρευνα δήλωσαν ότι η απάτη μέσω mobile συσκευών, 

κυμαίνονταν μεταξύ 25 έως 49% του συνόλου, ποσοστό 

που έχει οδηγήσει τους οργανισμούς σε μια μέση απώλεια 92 

δισεκατομμυρίων δολαρίων ετησίως. Επιχειρήσεις με έσοδα 

άνω του ενός δισεκατομμυρίου δολαρίων, υπέστησαν απώλειες 

εσόδων μεταξύ 15 και 240 εκατομμυρίων δολαρίων λόγω 

υποθέσεων που σχετίζονται με απάτες στο διαδίκτυο και 

το mobile κανάλι ενώ οι μικρομεσαίες επιχειρήσεις με έσοδα 

από 100 έως 999 εκατομμύρια δολάρια είχαν απώλειες από 

3 έως 13 εκατομμύρια δολάρια. Τα αποτελέσματα δείχνουν 

ότι οι εταιρείες θα κινηθούν προς τα πλέον προηγμένα μέσα 

πιστοποίησης ταυτότητας. Σήμερα τα πιο γνωστά συστήματα 

είναι εκείνα που απαιτούν ένα απλό όνομα χρήστη και τον 

κωδικό πρόσβασης. Το 47% του δείγματος ανέφερε ότι στα 

επόμενα 2-3 χρόνια, σχεδιάζει να εφαρμόσει προηγμένους 

μηχανισμούς ασφαλείας, όπως συστήματα που βασίζονται 

σε χρήση βιομετρικών στοιχείων και άλλα. 

6 | security

Sophos Security. 

Cloud Simplicity. 

Επιτέλους, συστήματα με Windows, Mac 

αλλά και φορητές συσκευές Android και iOS 

όλα μαζί σε ένα κοινό περιβάλλον διαχείρισης 

ασφάλειας στο σύννεφο, ειδικά για επιχειρήσεις 

Value Added Distributor 

Affordable Cutting Edge 

https://www.nss.gr

n ews 

Η μεγάλη ληστεία: Η ψηφιακή συμμορία Carbanak απέσπασε $1 δισ. 

από 100 χρηματοοικονομικούς οργανισμούς σε όλο τον κόσμο 

Η Kaspersky Lab, η INTERPOL, η Europol και αρχές από διάφορες 

χώρες ανά τον κόσμο συνεργάστηκαν για να αποκαλύψουν 

μια πρωτοφανή ψηφιακή ληστεία. Συγκεκριμένα, έως 

$1 δισ. κλάπηκαν από χρηματοοικονομικούς οργανισμούς απ’ 

όλον τον κόσμο, μέσα σε περίοδο δύο ετών. Οι ειδικοί που 

ασχολήθηκαν με την έρευνα, αναφέρουν ότι την ευθύνη για 

τη ληστεία έχει μια διεθνής συμμορία ψηφιακών εγκληματιών 

από τη Ρωσία, την Ουκρανία, άλλες χώρες της Ευρώπης και 

την Κίνα. Η εγκληματική συμμορία Carbanak, η οποία είναι 

υπεύθυνη για την ψηφιακή ληστεία, χρησιμοποίησε τεχνικές 

απευθείας από το οπλοστάσιο των στοχευμένων επιθέσεων. 

Η συγκεκριμένη εξέλιξη σηματοδοτεί την απαρχή μιας νέας 

φάσης στην εξέλιξη της ψηφιακής εγκληματικής δραστηριότητας, 

στην οποία οι κακόβουλοι χρήστες κλέβουν χρήματα 

απευθείας από τις τράπεζες, αποφεύγοντας να βάλουν τους 

τελικούς χρήστες στο στόχαστρο. Εκτιμάται ότι τα μεγαλύτερα 

ποσά αποσπάστηκαν με το «χακάρισμα» τραπεζικών συστημάτων 

και την κλοπή $10 εκατομμυρίων σε κάθε «επιδρομή» 

της συμμορίας. Κατά μέσο όρο, κάθε ληστεία πραγματοποιούταν 

σε 2 έως 4 μήνες, από τη στιγμή της προσβολής 

του πρώτου υπολογιστή στο εταιρικό δίκτυο μιας τράπεζας 

έως την τελική κλοπή των χρημάτων. Οι ψηφιακοί εγκληματίες 

αποκτούσαν πρόσβαση σε υπολογιστές εργαζομένων 

μέσω τεχνικών spear-phishing, «μολύνοντας» τα θύματα με 

το malware Carbanak. Έπειτα ήταν σε θέση να διεισδύσουν 

στο εταιρικό δίκτυο, να εντοπίσουν τους υπολογιστές των διαχειριστών 

και να προχωρήσουν σε παρακολούθηση μέσω 

video. Αυτό τους επέτρεπε να βλέπουν και να καταγράφουν 

ό,τι συνέβαινε στις οθόνες του προσωπικού που ασχολούταν 

με τα συστήματα μεταφοράς χρημάτων. Με αυτό τον τρόπο, 

οι απατεώνες μπορούσαν να μάθουν μέχρι και την τελευταία 

λεπτομέρεια για τη δουλειά των εργαζομένων και να μιμηθούν 

τις δραστηριότητες του προσωπικού, ώστε να μεταφέρουν και 

να ρευστοποιήσουν χρηματικά ποσά. 

Όταν ερχόταν η ώρα να ρευστοποιήσουν τα ποσά που απέσπασαν 

από τις δραστηριότητες τους, οι απατεώνες χρησιμοποιούσαν 

online τραπεζικά συστήματα ή διεθνή συστήματα 

ηλεκτρονικών πληρωμών, για να μεταφέρουν τα χρήματα 

από τους τραπεζικούς λογαριασμούς στους δικούς τους. Σε 

αυτή την περίπτωση, τα κλεμμένα χρήματα καταθέτονταν σε 

τράπεζες στην Κίνα και την Αμερική. Οι ειδικοί δεν αποκλείουν 

την πιθανότητα κι άλλες τράπεζες, σε άλλες χώρες να 

χρησιμοποιούνταν ως «παραλήπτες». 

Σε άλλες περιπτώσεις, οι ψηφιακοί εγκληματίες διείσδυαν α- 

πευθείας στην «καρδιά» των λογιστικών συστημάτων, «μολύνοντας» 

τα λογιστικά υπόλοιπα των λογαριασμών πριν αποσπάσουν 

τα έξτρα χρήματα, μέσω συναλλαγών απάτης. Για 

παράδειγμα, αν ένας λογαριασμός είχε 1.000 δολάρια, οι ε- 

γκληματίες άλλαζαν την αξία του σε 10.000 δολάρια και έπειτα 

μετέφερα τα 9.000 σε δικούς τους λογαριασμούς. Ο κάτοχος 

του λογαριασμού δεν υποπτευόταν ότι υπήρχε κάποιο πρόβλημα, 

γιατί το κεφάλαιο των 1.000 δολαρίων ήταν ακόμη εκεί. 

Επιπλέον, οι εγκληματίες αποκτούσαν τον έλεγχο των ATM 

των τραπεζών και μέσω εντολών τα ρύθμιζαν, ώστε να δίνουν 

μετρητά σε προκαθορισμένα χρονικά διαστήματα. Όταν η 

πληρωμή ολοκληρωνόταν, ένα από τα «πρωτοπαλίκαρα» 

της συμμορίας περίμενε δίπλα στο μηχάνημα για να πάρει 

τα λεφτά που προέρχονταν από την «εθελοντική» πληρωμή. 

8 | security

Είναι τα έξυπνα σπίτια ευφυή από άποψη ασφάλειας 

στον κυβερνοχώρο; 

Ο Ευρωπαϊκός Οργανισμός για την Ασφάλεια Δικτύων και 

Πληροφοριών (ENISA) δημοσίευσε την έκθεση με τίτλο Τοπίο 

απειλών και οδηγός ορθής πρακτικής για τo έξυπνο σπίτι 

και τα μέσα σύγκλισης, συμβάλλοντας έτσι στην προσπάθεια 

επίτευξης των στόχων που διατυπώνονται στη στρατηγική α- 

σφάλειας στον κυβερνοχώρο για την ΕΕ. 

Στόχος της μελέτης είναι να εντοπίσει αφενός τους κινδύνους 

και τις προκλήσεις της ασφάλειας και αφετέρου τα α- 

ντίμετρα που απαιτούνται για τις αναδυόμενες τεχνολογίες 

στα έξυπνα σπίτια, παρέχοντας συγκεκριμένη και εστιασμένη 

προσέγγιση, με μια επισκόπηση της τρέχουσας κατάστασης 

της ασφάλειας στον κυβερνοχώρο σε αυτόν τον αναδυόμενο 

τομέα. Στο πλαίσιο του πεδίου εφαρμογής της μελέτης 

έχουν εντοπιστεί παράγοντες απειλής που αποκαλύπτουν 

αρκετές πηγές τρωτότητας. Οι εγκληματίες του κυβερνοχώρου 

κατατάσσονται ως η μεγαλύτερη και εχθρικότερη κατηγορία 

απειλών, ενώ η ενδεχόμενη κατάχρηση των έξυπνων 

σπιτιών θα πρέπει να θεωρηθεί ιδιαίτερα πιθανή δεδομένου 

του αυξανόμενου αριθμού έξυπνων συσκευών και σπιτιών, 

αλλά και ιδιαίτερα των μέσων σύγκλισης. Ο εκτελεστικός 

διευθυντής Udo Helmbrecht δήλωσε: «Το έξυπνο σπίτι είναι 

ένα σημείο έντονης επαφής ανάμεσα στη δικτυωμένη τεχνολογία 

των πληροφοριών και στον φυσικό χώρο, συνεπώς συνδυάζει κινδύνους 

ασφάλειας τόσο από το εικονικό όσο και από το φυσικό 

περιβάλλον. Ο εντοπισμός των απειλών στον κυβερνοχώρο είναι 

κρίσιμος για την προστασία του έξυπνου σπιτιού και ως εκ τούτου 

αποτελεί βασικό στοιχείο για τη διασφάλιση της επιτυχούς 

ανάπτυξής του». 

security | 9

n ews 

Η ESET διαθέτει τη νέα γενιά λύσεων ασφάλειας για επιχειρήσεις 

Διαθέσιμη σε όλον τον κόσμο είναι η νέα, ολοκληρωτικά ε- 

πανασχεδιασμένη σειρά λύσεων IT ασφάλειας για επιχειρήσεις 

της ESET ® , σύμφωνα με ανακοίνωση της εταιρίας. 

Μετά από μήνες διεξοδικών ερευνών των εταιρικών χρηστών 

παγκοσμίως, η ESET ανέλυσε τα ευρήματα και τα χρησιμοποίησε 

για την ανάπτυξη αυτών των νέων προϊόντων ασφάλειας. 

Ακολουθώντας διαδικασίες εντατικού σχεδιασμού, 

κατασκευής, ανάπτυξης και δοκιμών, η ESET είναι σε θέση 

να διαθέτει πλέον την ολοκαίνουρια σειρά λύσεων για επιχειρήσεις 

σε οργανισμούς κάθε μεγέθους σε όλο τον κόσμο. 

Οι λύσεις IT ασφάλειας της ESET για επιχειρήσεις προσφέρουν 

μέγιστη προληπτική προστασία με χαμηλή επιβάρυνση 

των εταιρικών ΙΤ υποδομών, ενώ παράλληλα διαθέτουν πλούσια 

χαρακτηριστικά, όπως τις λειτουργίες Botnet Protection, 

Exploit Blocker, Anti-Phishing και Anti-Theft. «Το να σχεδιάζουμε 

προϊόντα ασφαλείας, που είναι παγκοσμίως αναγνωρισμένα 

για την ποιότητά τους, δεν είναι κάτι καινούριο για εμάς, αφού 

είναι κάτι που κάνουμε εδώ και περισσότερα από είκοσι χρόνια» 

δήλωσε ο Richard Marko, CEO της ESET. «Ωστόσο, καθώς η 

ψηφιακή επανάσταση έχει αλλάξει ριζικά το επιχειρησιακό τοπίο, 

θέλαμε να γυρίσουμε στα αρχικά στάδια και να κατανοήσουμε 

πραγματικά τι χρειάζονται οι πελάτες μας προκειμένου να μπορούν 

να αναπτύξουν τις επιχειρήσεις τους σήμερα αλλά και στο 

άμεσο μέλλον. Το μυστικό είναι η εξισορρόπηση της ευχρηστίας με 

τις επιδόσεις και την ευελιξία. Τα αποτελέσματα μιλούν από μόνα 

τους – πιστεύω ότι έχουμε σίγουρα κερδίσει το πρώτο βραβείο». 

Στον πυρήνα των προϊόντων IT ασφάλειας της ESET για 

επιχειρήσεις βρίσκεται το νέο εργαλείο ESET Remote 

Administrator. Αυτή η κονσόλα απομακρυσμένης διαχείρισης, 

που μπορεί να εγκατασταθεί τόσο σε πλατφόρμα 

Windows όσο και σε πλατφόρμα Linux, έχει επανασχεδιαστεί 

για να αυξήσει την ευχρηστία, να βελτιώσει την ασφάλεια 

και να μειώσει το συνολικό κόστος υλοποίησης και διαχείρισης. 

Περιλαμβάνει ένα ενσωματωμένο σύστημα διαχείρισης 

εργασιών για την ελαχιστοποίηση των διακοπών, ενώ ταυτόχρονα 

επιτρέπει την αυτόματη λειτουργία ενεργειών βάσει 

δυναμικής ομαδοποίησης τερματικών. 

Το νέο περιβάλλον εργασίας των λύσεων ασφάλειας της 

ESET για επιχειρήσεις απλοποιεί τις λειτουργίες παρακολούθησης, 

ρύθμισης και ελέγχου των εργασιών του δικτύου, διασφαλίζοντας 

την έγκαιρη ενημέρωση τη επιχείρησης και την 

προστασία της από ανεπιθύμητες και κακόβουλες ενέργειες. 

«Καθώς οι επιχειρήσεις συνεχίζουν να εξελίσσουν τη διασυνδεσιμότητά 

τους, μετατρέπονται σε ελκυστικότερο στόχο κακόβουλων 

επιθέσεων και προηγμένων, επίμονων απειλών» σημειώνει 

ο Ignacio Sbampato, Chief Sales and Marketing Officer της 

ESET. «Οι κατασκευαστές λογισμικού ασφάλειας θα πρέπει να 

προσφέρουν στους πελάτες τους καλύτερες λύσεις που δεν επιβαρύνουν 

τους πόρους μίας επιχείρησης κατά την αντιμετώπιση των 

απειλών. Για αυτό το λόγο προσφέρουμε στην αγορά απαράμιλλη 

αξία με τα να μας προϊόντα και υπηρεσίες. Έχουμε επενδύσει σημαντικά 

στη δημιουργία μίας πραγματικά εξαιρετικής σειράς λύσεων 

ασφάλειας για επιχειρήσεις. Στόχος μας είναι να ξεπεράσουμε 

τις προσδοκίες των πελατών μας, προσφέροντας τους αξεπέραστη 

ασφάλεια, που είναι απίστευτα αποτελεσματική και λειτουργική 

σε ότι αφορά την εγκατάσταση, τις ρυθμίσεις και τη λειτουργία». 

10 | security

Σε πλήρη εξέλιξη το έργο των δακτυλικών 

αποτυπωμάτων από την Space Hellas 

Η SPACE HELLAS ανέλαβε κατόπιν διαγωνισμού που διενήργησε 

η Κοινωνία της Πληροφορίας για λογαριασμό του 

Υπουργείου Δημόσιας Τάξης & Προστασίας του Πολίτη και 

υλοποιεί το έργο «Ηλεκτρονικές Υπηρεσίες Ταυτοποίησης 

& Αναγνώρισης Πολιτών (e-ΤΑΠ)». Ο χρόνος υλοποίησης 

του Έργου ορίζεται σε δεκαεννέα (19) μήνες και το συμβατικό 

τίμημα σε 6.848.506 χωρίς ΦΠΑ. Το έργο περιλαμβάνει την 

προμήθεια και εγκατάσταση ολοκληρωμένου Συστήματος 

Ηλεκτρονικών Υπηρεσιών Ταυτοποίησης και Αναγνώρισης 

(e-ΤΑΠ), Πανελλαδικής Εμβέλειας, που θα εγκατασταθεί σε 

όλα τα σημεία εισόδου/εξόδου-διαβατηριακού ελέγχου της 

χώρας, στη Διεύθυνση Εγκληματολογικών Ερευνών, στις Περιφερειακές 

Εγκληματολογικές Υπηρεσίες, στις Διευθύνσεις 

Αλλοδαπών και στις κατά τόπους Αστυνομικές Διευθύνσεις. 

Το έργο έχει δύο κύριους στόχους, πρώτον την αυτοματοποίηση 

και επιτάχυνση των διαδικασιών Δακτυλοσκοπικής 

εξακρίβωσης ταυτότητας–ταυτοποίησης ατόμου και την Ε- 

ξερεύνηση και Δακτυλοσκοπική έρευνα εγκληματιών, πάντα 

σε συμμόρφωση με τους Ευρωπαϊκούς Κανόνες και λειτουργίες 

για την καταπολέμηση του εγκλήματος και δεύτερον τη 

βελτιστοποίηση των υφιστάμενων υπηρεσιών, σε ότι αφορά 

την εξυπηρέτηση του πολίτη από το Υπουργείο και τις άλλες 

κρατικές υπηρεσίες. Περιλαμβάνει επίσης, την ανάπτυξη νέων 

υπηρεσιών και τη βελτιστοποίηση των υφιστάμενων υπηρεσιών, 

που αφορούν όλες τις εγκληματολογικές εφαρμογές στο 

πλαίσιο της δραστηριότητας του Υπουργείου με τους συνεργαζόμενους 

εθνικούς και διεθνείς οργανισμούς, και τέλος 

την ανάπτυξη νέων υπηρεσιών ηλεκτρονικής διακυβέρνησης. 

Automated event log management solution 

Listen to your data - Log data analysis 

and IT monitoring made easy 

GFI EventsManager provides real-time and 

complete eventlog data management integrated 

with IT infrastructure and operations 

monitoring, offering a unique approach to 

incident detection and remediation. 

www.gfi.com/eventsmanager 

Orhology Ltd 

294, Kifissias Avenue & 1, Tzouna St. 

14563 Kifissia 

(T) +30 210 6080091 

(F) +30 210 6080092 

(W) www.orthology.gr 

security | 11

i nterview 

Δραματική αύξηση χρήσης 

καινοτόμων τεχνικών 

από την πλευρά των εισβολέων 

Συνέντευξη με τον Ivan Straniero 

Territory Manager for Italy and SE Europe, Arbor Networks 

Με αφορμή την έκδοση της 10ης Ετήσιας 

Παγκόσμιας Έκθεσης Ασφαλείας 

Υποδομών της Arbor Networks ο 

Ivan Straniero (Territory Manager for 

Italy and SE Europe) μας παραχώρησε 

συνέντευξη αναλύοντας τα ποσοτικά και 

ποιοτικά χαρακτηριστικά των επιθέσεων 

DDoS, ξεδιαλύνοντας παράλληλα 

τους μύθους σχετικά με τους τρόπους 

αντιμετώπισής τους. 

Σε ποιους παράγοντες κατά τη γνώμη σας οφείλεται η 

πολύ μεγάλη αύξηση των επιθέσεων DDoS την προηγούμενη 

χρονιά, όπως καταγράφεται και από την 10η Ετήσια 

Παγκόσμια Έκθεση Ασφαλείας Υποδομών της Arbor 

Networks; 

Υπάρχουν αρκετοί λόγοι που οδήγησαν στην αύξηση της συχνότητας 

των επιθέσεων DDoS. Στη σημερινή εποχή υπάρχει 

μια μεγάλη γκάμα εργαλείων τα οποία επιτρέπουν στον 

καθένα να εξαπολύσει μια επίθεση απλοποιώντας ιδιαίτερα 

τη διαδικασία. Με μια απλή αναζήτηση στο Ίντερνετ μπορεί 

κάποιος να κατεβάσει κυριολεκτικά εκατοντάδες εργαλεία 

που κάνουν τη διαδικασία σχετικά απλή. Δεν χρειάζεται πλέον 

να έχει κάποιος εξειδικευμένες γνώσεις για να ξεκινήσει 

μια επίθεση DDoS. Επιπλέον, υπάρχουν κακόβουλοι οργανισμοί 

που διαθέτουν υπηρεσίες για επιθέσεις DDoS και έ- 

ναντι ενός μικρού τιμήματος μπορούν να εξαπολύσουν μια 

επίθεση για κάθε ενδιαφερόμενο. Οι συγκεκριμένοι οργανισμοί 

λειτουργούν όπως και οι νόμιμες διαδικτυακές επιχειρήσεις 

προσφέροντας επιλογές τιμολόγησης για επιθέσεις 

με διαφορετικά μεγέθη και διαφορετική διάρκεια, ενώ ορισμένες 

από αυτές προσφέρουν ακόμα και συμβάσεις παροχής 

υπηρεσιών. 

12 | security

Το μέγεθος των επιθέσεων DDoS αυξήθηκε σημαντικά κατά 

τη διάρκεια της προηγούμενης χρονιάς. Το 2014, οι πιο ικανοί 

εισβολείς ξεκίνησαν να εκμεταλλεύονται τις δυνατότητες 

reflection/amplification στοιχείων υποδομής όπως domain 

name servers (DNS) και network time protocol (NTP), προκειμένου 

να εξαπολύσουν ιδιαίτερα υψηλού όγκου επιθέσεις. 

To κύριο χαρακτηριστικό των επιθέσεων DDoS κατά τη διάρκεια 

του πρώτου εξαμήνου του 2014 ήταν ο όγκος. Για πρώτη 

φορά, το παγκόσμιο σύστημα πληροφοριών ATLAS ανέφερε 

περισσότερες από 100 επιθέσεις άνω των 100 GB/sec. Σημειώστε 

επίσης ότι οι επιθέσεις που κινήθηκαν στην κλίμακα των 

20 GB/sec ήταν διπλάσιες σε σχέση με το 2013. 

Οι επιθέσεις με τη χρήση τεχνικής NTP reflection κυριάρχησαν 

κατά την ίδια περίοδο. Όπως όμως συμβαίνει συχνά, οι 

εισβολείς άλλαξαν τη μεθοδολογία και τις τεχνικές που χρησιμοποιούσαν. 

Αυτό το στοιχείο εξηγεί γιατί οι επιθέσεις DDoS 

παραμένουν ένας αποτελεσματικός τύπος επίθεσης για πάρα 

πολλά χρόνια. 

Κατά το τρίτο τρίμηνο του 2014 οι εισβολείς άλλαξαν τακτική 

και άρχισαν να αξιοποιούν το Simple Service Discovery 

Protocol (SSDP) για να ενισχύσουν το μέγεθος των επιθέσεων. 

Το στοιχείο που παρουσιάζει ενδιαφέρον είναι ότι κατά 

τη διάρκεια του δευτέρου τριμήνου του 2014 δεν υπήρξε ουσιαστικά 

καμία επίθεση που να εκμεταλλεύεται το SSDP port 

(port 1900). Αντιθέτως, κατά τη διάρκεια του τρίτου τριμήνου 

του 2014, το ATLAS κατέγραψε σχεδόν 30.000 επιθέσεις τέτοιου 

τύπου. 

Ποια είναι τα ποιοτικά χαρακτηριστικά των επιθέσεων 

DDoS σήμερα; Τι μεθοδολογίες χρησιμοποιούνται στις ε- 

πιθέσεις, που στοχεύουν κυρίως και ποια τα κίνητρά τους; 

Όταν εμφανίστηκαν οι επιθέσεις DDoS στις αρχές του 2000, 

είχαν τη μορφή μιας επίθεσης βασικού τύπου που προσπαθούσε 

να κατακλύσει συνδέσεις στο Internet με κίνηση. Σήμερα ό- 

μως περιλαμβάνουν μια σειρά επιθέσεων οι οποίες στοχεύουν 

όχι μόνο στο bandwidth της σύνδεσης, αλλά σε πολλαπλές 

συσκευές οι οποίες απαρτίζουν τις υποδομές ασφαλείας μιας 

επιχείρησης όπως τα Firewall/IPS, καθώς και μια σειρά από ε- 

φαρμογές στις οποίες βασίζεται η επιχείρηση όπως οι HTTP, 

HTTPS, VoIP, DNS και SMTP. 

Οι επιθέσεις DDoS ποικίλουν, ενώ υπάρχουν χιλιάδες διαφορετικοί 

τρόποι με τους οποίους μπορούν να πραγματοποιηθούν. 

Μιλώντας γενικότερα όμως, μια επίθεση DDoS θα εμπίπτει 

σε μια από τις παρακάτω γενικές κατηγορίες: 

Ογκομετρικές Επιθέσεις: Οι συγκεκριμένες επιθέσεις προσπαθούν 

να καταναλώσουν το bandwidth είτε εντός του δικτύου 

στόχου/υπηρεσίας είτε μεταξύ του δικτύου στόχου/υπηρεσίας 

και του Διαδικτύου. Στόχος τους είναι να προκαλέσουν 

απλά συμφόρηση στο στόχο. 

Επιθέσεις TCP State-Exhaustion: Αυτού του τύπου οι επιθέσεις 

προσπαθούν να καταναλώσουν τα connection state tables 

τα οποία βρίσκονται σε υποδομές όπως στους load-balancers, 

στα firewalls και στους διακομιστές εφαρμογών (application 

servers). Αυτές οι επιθέσεις μπορούν να θέσουν εκτός λειτουργίας 

ακόμα και συσκευές υψηλής χωρητικότητας (capacity) οι 

οποίες μπορούν να διαχειριστούν εκατομμύρια συνδέσεων. 

Επιθέσεις στο επίπεδο της εφαρμογής: Οι συγκεκριμένες επιθέσεις 

έχουν ως στόχο κάποια από τα στοιχεία της εφαρμογής 

ή υπηρεσίας στο Layer-7. Αποτελούν τον πιο καταστροφικό 

τύπο επιθέσεων καθώς μπορούν να αποβούν άκρως αποτελεσματικές 

χρησιμοποιώντας ακόμα και μια μόνο επιτιθέμενη 

συσκευή η οποία δημιουργεί κίνηση σε χαμηλούς ρυθμούς 

(αυτό το στοιχείο κάνει την προληπτική ανίχνευση και αντιμετώπιση 

αυτού του τύπου των επιθέσεων πολύ δύσκολη). Οι 

επιθέσεις αυτές έχουν επικρατήσει τα τελευταία 3 - 4 χρόνια 

και αποτελούν μια από τις πιο κοινές μορφές επίθεσης DDoS 

που αντιμετωπίζουμε σήμερα. 

Σε αυτές τις τρείς κατηγορίες, οι φορείς που επιλέγονται για να 

εξαπολυθεί η επίθεση εξελίσσονται διαρκώς. Έχει παρατηρηθεί 

μια δραματική αύξηση χρήσης καινοτόμων τεχνικών από την 

πλευρά των εισβολέων. Στις μέρες μας, η πιο δημοφιλής τάση 

αφορά τις επιθέσεις που συμβαίνουν ταυτόχρονα από πολλαπλούς 

φορείς. Αυτές συνδυάζουν στοιχεία από ογκομετρικές 

επιθέσεις, επιθέσεις TCP state-exhaustion και επιθέσεις στο 

επίπεδο της εφαρμογής σε μια ενιαία, διαρκή επίθεση. Αυτές 

οι επιθέσεις είναι δημοφιλείς σήμερα γιατί είναι δύσκολο να 

αντιμετωπιστούν ενώ είναι και άκρως αποτελεσματικές. 

Θα μπορούσατε να μας περιγράψετε το προφίλ των εισβολέων 

σήμερα; Λειτουργούν μόνοι τους ή σε ομάδες; Πως 

ανταλλάσουν πληροφορίες και τι εργαλεία χρησιμοποιούν; 

Όπως αναφέρθηκε και προηγουμένως, ακόμα και αρχάριοι 

μπορούν να ξεκινήσουν μια επίθεση DDoS, χρησιμοποιώντας 

άμεσα διαθέσιμα εργαλεία. Τα εργαλεία αυτά αξιοποιούνται 

επίσης από ιδιαίτερα ικανούς εισβολείς προκειμένου να εξαπολύσουν 

μια συντονισμένη επίθεση από πολλαπλούς φορείς, 

χρησιμοποιώντας διαφορετικές τεχνικές και στόχους κατά τη 

διάρκεια μιας ενιαίας επίθεσης. Επιπλέον, οι επιθέσεις DDoS 

που υλοποιούνται για λόγους αντιπερισπασμού κατά τη διάρκεια 

στοχευμένων κακόβουλων ενεργειών έχουν αυξηθεί, αφού 

security | 13

i nterview 

Δραματική αύξηση χρήσης καινοτόμων τεχνικών από την πλευρά των εισβολέων 

χρησιμοποιούνται για να αποσπάσουν την προσοχή των ο- 

μάδων ασφαλείας, ενώ οι εισβολείς εισχωρούν στο δίκτυο 

από άλλο σημείο. 

Η επικοινωνία μπορεί να εμπλέκεται σε όλα τα επίπεδα. Οι 

συζητήσεις που κάνουν οι gamers σε chat rooms για να παραγκωνίσουν 

άλλους gamers είναι ένα χαρακτηριστικό παράδειγμα 

χαμηλού επιπέδου. Παράδειγμα υψηλού επιπέδου 

αποτελεί η ανταλλαγή πληροφοριών ανάμεσα σε cyber 

criminals σχετικά με πιθανούς στόχους, τεχνικές και τακτικές 

επίθεσης. Η επικοινωνία και η ανταλλαγή πληροφοριών είναι 

κάποιοι από τους λόγους για τους οποίους οι επιθέσεις 

είναι τόσο επιτυχημένες. Είναι ένα στοιχείο που πρέπει να 

σημειωθεί από τη μεριά των επιχειρήσεων. Ο διαμοιρασμός 

πληροφοριών είναι ένα πολύ σημαντικό κομμάτι της ασφάλειας 

των δικτύων. Υπάρχουν κλάδοι οι οποίοι ακολουθούν 

καλύτερη τακτική από άλλους, με τους κυβερνητικούς και 

τους χρηματοπιστωτικούς οργανισμούς να βρίσκονται στην 

κορυφή της πυραμίδας αφού δείχνουν μεγαλύτερη προθυμία 

να μοιραστούν πληροφορίες. Η περισσότερο συχνή και 

με μεγαλύτερη συνέπεια ανταλλαγή πληροφοριών βοηθά σημαντικά 

όλες τις επιχειρήσεις. 

Πως θα μπορούσαν λοιπόν σήμερα οι οργανισμοί να προστατεύσουν 

τα δίκτυά τους από τις εξελιγμένες επιθέσεις 

DDoS; Μας καλύπτουν τα παραδοσιακά μέτρα ή απαιτείται 

κάτι καινούργιο για την άμυνα των δικτύων ενός οργανισμού; 

Είναι μόνο θέμα τεχνολογίας ή παίζει σημαντικό 

ρόλο και ο ανθρώπινος παράγοντας και με ποιο τρόπο; 

Υπάρχουν αρκετοί «μύθοι» σχετικά με την αντιμετώπιση 

των επιθέσεων DDoS οι οποίοι βοηθούν τους εισβολείς. Ο 

πρώτος «μύθος» είναι ότι με τη χρήση της ήδη υπάρχουσας 

υποδομής άμυνας μπορούν οι επιχειρήσεις να προστατευθούν 

από επιθέσεις DDoS. Αυτή είναι μια λανθασμένη 

και επικίνδυνη εκτίμηση διότι μπορεί οι συσκευές IPS, τα 

firewall καθώς και άλλα προϊόντα ασφαλείας να αποτελούν 

μέρη μιας πολυεπίπεδης στρατηγικής άμυνας, έχουν όμως 

σχεδιαστεί για να αντιμετωπίζουν προβλήματα ασφαλείας τα 

οποία είναι τελείως διαφορετικά από εκείνα που επιλύουν 

τα προϊόντα που αναγνωρίζουν και αντιμετωπίζουν επιθέσεις 

DDoS. Οι συσκευές IPS για παράδειγμα αποτρέπουν 

τις προσπάθειες διάρρηξης οι οποίες έχουν σαν αποτέλεσμα 

την κλοπή δεδομένων. Εν τω μεταξύ, τα firewalls λειτουργούν 

με τέτοιο τρόπο έτσι ώστε να εμποδίζουν την μη 

εξουσιοδοτημένη πρόσβαση σε δεδομένα. Παρόλο που 

τα συγκεκριμένα προϊόντα ασφαλείας αντιμετωπίζουν αποτελεσματικά 

τα θέματα της «ακεραιότητας και εμπιστευτικότητας 

των δικτύων», αποτυγχάνουν να αντιμετωπίσουν 

ένα βασικό πρόβλημα το οποίο συνδέεται με τις επιθέσεις 

DDoS, αυτό της «διαθεσιμότητας των δικτύων». Επιπλέον, 

οι συσκευές IPS και τα firewalls αποτελούν «τοίχους προστασίας» 

και ευθύγραμμες λύσεις που σημαίνει ότι είναι ευάλωτες 

σε επιθέσεις DDoS ενώ συχνά γίνονται και οι ίδιες 

στόχοι επιθέσεων. 

Ο δεύτερος «μύθος» σχετικά με την άμυνα από επιθέσεις 

DDoS αφορά την αντίληψη ότι εφόσον μια επιχείρηση είναι 

εγγεγραμμένη σε μια cloud-based υπηρεσία αντιμετώπισης 

επιθέσεων DDoS, είναι προστατευμένη από αυτές τις επιθέσεις. 

Αυτό όμως είναι η μισή αλήθεια. Η επιχείρηση θα προστατευθεί 

όντως από τις ογκομετρικές επιθέσεις. Ωστόσο δε 

θα είναι προστατευμένη από τις επιθέσεις που συμβαίνουν σε 

επίπεδο εφαρμογής και οι οποίες εμφανίζονται παντού στις 

μέρες μας. Για την ακρίβεια, το 90% των συμμετεχόντων στην 

πρόσφατη Παγκόσμια Έρευνα για την Ασφάλεια Υποδομών 

της Arbor, ανέφεραν επιθέσεις του συγκεκριμένου τύπου. Οι 

συγκεκριμένες επιθέσεις μπορούν να αντιμετωπιστούν στις 

εγκαταστάσεις τις επιχείρησης από purpose built συστήματα 

αντιμετώπισης επιθέσεων DDoS. Όπως αναφέρθηκε και 

παραπάνω, οι υπάρχουσες συσκευές όπως τα firewalls και 

IPS δεν είναι σχεδιασμένες για επιθέσεις DDoS και συχνά 

γίνονται οι ίδιες στόχος. 

Ο καλύτερος τρόπoς άμυνας είναι η υιοθέτηση πολυεπίπεδων 

λύσεων οι οποίες συνδυάζουν προστασία βασισμένη 

στο cloud για της ογκομετρικές επιθέσεις με προστασία on 

premises για επιθέσεις που συμβαίνουν στο επίπεδο της ε- 

φαρμογής. iTSecurity 

14 | security

EXCLUSIVE DISTRIBUTOR 

Το δίκτυό σας 

είναι σαν τa ψάριa 

Μόλις βγει στον ανοικτό ωκεανό, γίνεται άμεσα 

δελεαστικό για τους επίδοξους cyberattackers 

Ασφαλίστε το δίκτυό σας με τη Cyberoam Next-Generation network security technology 

• Layer 8 Identity-based Security 

• Stateful Inspection Firewall 

• Advanced Threat Protection (IPS/AV/AS) 

• VPN (IPSec and SSL) 

• Application Controls 

• Web Application Firewall 

• On-Appliance Reporting 

• Granular Bandwidth Controls & QOS 

• Load Balancer 

• 3G/4G Backup 

Try & Buy 

Τ: 210 2116501 

sales@partnernet.gr 

www.partnernet.gr

i nterview 

Identity Management με βάση τη 

συμπεριφορά των χρηστών 

Συνέντευξη με τον Cyrille Badeau 

Director - Southern Europe, Cisco Security 

Συνομιλώντας με τον Cyrille Badeau - 

Διευθυντή του Τομέα Ασφάλειας της 

CISCO για την Νότια Ευρώπη -στα 

πλαίσια επίσκεψής του στην Αθήναείχαμε 

την ευκαιρία να μας αναπτύξει 

την προσέγγισή του για τις νεότερες 

εξελίξεις στο κυβερνοέγκλημα και τις 

βέλτιστες πρακτικές ασφάλειας που 

πρέπει να ακολουθούν οι οργανισμοί. 

Η Cisco, εξέδωσε πρόσφατα την ετήσια έκθεση του 2015 

για την ασφάλεια. Πως λοιπόν εξελίσσεται η «μάχη» μεταξύ 

επιτιθέμενων και αμυνόμενων με βάση τα ευρήματα 

της έκθεσης; Ποια είναι τα χαρακτηριστικά των σύγχρονων 

απειλών; 

Η πιο πρόσφατη ετήσια έκθεση της Cisco για την ασφάλεια, 

παρουσιάζει ιδιαίτερο ενδιαφέρον σε σχέση με άλλες χρονιές, 

αποτυπώνοντας κάποιες σημαντικές εξελίξεις. Καταρχήν 

σήμερα, βρισκόμαστε αντιμέτωποι με πολλά και διαφορετικά 

είδη απειλής, ενώ οι επιτιθέμενοι αποκτούν συνεχώς 

περισσότερα κίνητρα σε σχέση με προηγούμενα χρόνια. 

Στις μέρες μας, το έγκλημα στον κυβερνοχώρο αποκτά χαρακτηριστικά 

μιας απόλυτα «επαγγελματικής επιχείρησης», 

που αποσκοπεί φυσικά στην υφαρπαγή χρημάτων και όχι 

μόνο. Πολλοί κυβερνοεγκληματίες λειτουργούν σε ομάδες, 

οι οποίες λαμβάνουν χαρακτηριστικά δομημένης οργάνωσης. 

Οι οργανώσεις αυτές, εξαπολύουν πλέον επιθέσεις σε 

πάρα πολλούς στόχους ταυτόχρονα και κάποιες από αυτές 

τις επιθέσεις «παραδίδουν» οικονομικά στοιχεία τα οποία 

αξιοποιούνται με σκοπό το παράνομο κέρδος. Ένα ακόμα 

ενδιαφέρον στοιχείο που προκύπτει από την έκθεση, είναι 

η εξέλιξη του ακτιβισμού ως κίνητρο για hacking, όπου σε 

ορισμένες περιπτώσεις, όπως η επίθεση των Anonymous 

απέναντι στους τζιχανιστές, αρχίζουμε να αποδεχόμαστε 

το κίνητρο αυτό και μάλιστα να το βλέπουμε με συμπάθεια. 

Το πραγματικά νέο στοιχείο όμως, που προκύπτει από την 

τελευταία έκθεση για την ασφάλεια, είναι η ραγδαία εξέλιξη 

της κυβερνοκατασκοπείας παγκοσμίως. Η ομάδα μας στην 

Cisco συμμετέχει ενεργά σε πολλά έργα που αφορούν υ- 

ποθέσεις διερεύνησης κυβερνοκατασκοπείας τα τελευταία 

χρόνια και έχει διαπιστώσει μια αυξανόμενη ροπή προς τη 

συγκεκριμένη δράση, όχι μόνο μεταξύ κρατών, αλλά και ορ- 

16 | security

γανισμών που θεωρούνται κρίσιμης σημασίας όπως στρατιωτικές 

βιομηχανίες και τηλεπικοινωνιακοί πάροχοι, αλλά και άλλων 

εταιρειών άλλων δραστηριοτήτων με νούμερο ένα αυτή 

την περίοδο τις φαρμακοβιομηχανίες. Η Cisco λοιπόν, έχει τον 

τρόπο να βοηθήσει τις επιχειρήσεις να αμυνθούν απέναντι σε 

φαινόμενα εταιρικής κυβερνοκατασκοπείας και αυτό είναι ένα 

θέμα που αναδείξαμε στη συνάντησή μας με τα στελέχη τμημάτων 

IT από ελληνικούς οργανισμούς στην Αθήνα. 

Πως λοιπόν οι επαγγελματίες της ασφάλειας των πληροφοριών 

στους οργανισμούς και τις επιχειρήσεις μπορούν να 

αντιμετωπίσουν επιτυχώς τις προκλήσεις της εποχής μέσα 

σε αυτό το περιβάλλον; 

Καταρχήν πρέπει να επισημάνουμε ότι η ιδέα και η υλοποίηση 

της περιμετρικής ασφάλειας για την αποτροπή μιας επίθεσης 

είναι πάντα χρήσιμη, αλλά όχι απόλυτα επαρκής πλέον. Για 

αυτό και η Cisco έχει αναπτύξει την προσέγγιση front-centric 

που επικεντρώνεται στην πλήρη ορατότητα της απειλής, πριν 

αυτή εξελιχτεί, κατά τη διάρκειά της, αλλά και μετά από αυτήν. 

Η προσέγγιση αυτή μετουσιώνεται μέσα από τα προϊόντα της 

Cisco, τα οποία αντιμετωπίζουν την εκάστοτε απειλή σε όλο 

το εύρος και ειδικά πριν αυτή πραγματοποιηθεί προκειμένου 

να γνωρίζουμε τη δυναμική που έχει. Η προσέγγιση αυτή, που 

αφορά την πλήρη ορατότητα της εν δυνάμει απειλής, μας επιτρέπει 

να προετοιμαστούμε καλύτερα και να προσαρμόσουμε 

ανάλογα το επίπεδο άμυνας και τις δράσεις που θα αναπτύξουμε. 

Η κεντρική ιδέα λοιπόν, είναι να είμαστε σε θέση να 

λειτουργήσουμε αποτελεσματικά πριν, κατά τη διάρκεια και 

μετά την εκδήλωση μιας επίθεσης και για να επιτευχθεί αυτό 

αναπτύσσουμε τις δυνατότητες αυτές μέσα από μια σειρά λύσεων 

που προσφέρει η Cisco. Μια από τις χαρακτηριστικές 

τεχνολογίες που έχει ενσωματωθεί στις περισσότερες λύσεις 

της Cisco, ονομάζεται AMP Advanced Malware Protection, η 

οποία λειτουργεί στην ουσία σαν δυνατότητα forensic, επιτρέποντας 

την ελεγχόμενη εκδήλωση μιας επίθεσης από κακόβουλο 

λογισμικό προκειμένου να αποκτήσουμε μια πλήρη εικόνα 

της εκάστοτε απειλής έτσι ώστε να την αντιμετωπίσουμε 

αποτελεσματικά. 

Ας μιλήσουμε λίγο για το identity management. Πως η Cisco 

μπορεί να βοηθήσει τους οργανισμούς σε αυτό τον τομέα; 

Η ιδέα που υλοποιούμε για το identity management είναι πολύ 

διαφορετική από τα προηγούμενα χρόνια. H διαχείριση ταυτότητας 

και ο έλεγχος πρόσβασης τα προηγούμενα χρόνια βασίζονταν 

αποκλειστικά στους χρήστες και τις IP διευθύνσεις. 

Πλέον όμως η νέα προσέγγιση σε αυτό τον τομέα βασίζεται 

εν μέρει στο χρήστη αλλά κυρίως στη συμπεριφορά που αυτός 

αναπτύσσει συνεχώς. Αυτή η προσέγγιση, επιτρέπει για 

παράδειγμα να αναγνωρίσουμε οποιαδήποτε στιγμή, ποια είναι 

η εκάστοτε φορητή συσκευή που προσπαθεί να συνδεθεί 

στο δίκτυο, ποιο είναι το επίπεδο προστασίας της, αν είναι μια 

συσκευή της εταιρείας ή προσωπικής χρήσης, από πού προσπαθεί 

να συνδεθεί, πότε και πολλές άλλες πληροφορίες οι 

οποίες θα ληφθούν υπόψη για την αποδοχή ή όχι της πρόσβασης. 

Αναπτύσσοντας αυτή την προσέγγιση σχετικά με την συμπεριφοριστική 

ανάλυση του εκάστοτε χρήστη επιτυγχάνεται 

καταρχήν καλύτερη διαχείριση της έκθεσης στους κινδύνους, 

μιας και η συμπεριφορά των χρηστών μπορεί να αλλάξει πολύ 

γρήγορα και για αυτό και πρέπει να είμαστε σε θέση να προσαρμοζόμαστε 

ταχύτατα στις όποιες αλλαγές, ενώ από άλλη 

πλευρά διευκολύνεται ο έλεγχος των νέων εφαρμογών που συνεχώς 

κάνουν την εμφάνισή τους. Συνοπτικά, ό,τι καινούργιο 

στοιχείο προστίθεται σε σχέση με τον εκάστοτε χρήστη, θα 

ελέγχεται και δεν θα επιτρέπεται αυτός να έχει πρόσβαση στο 

εταιρικό δίκτυο προτού αξιολογηθεί το επίπεδο ασφάλειας. 

Κατά την επίσκεψή σας στην Αθήνα είχατε μια συνάντηση 

με στελέχη τμημάτων IT στην Ελλάδα όπου λόγω της 

οικονομικής κρίσης οι επενδύσεις σε νέες υποδομές είναι 

μειωμένες. Πως o Τομέας Ασφάλειας της Cisco μπορεί 

να βοηθήσει τις επιχειρήσεις να αντιμετωπίσουν αυτή την 

πρόκληση; 

Η παγκόσμια στρατηγική ασφάλειας της Cisco έχει σχεδιαστεί 

με τέτοιο τρόπο έτσι ώστε, όχι μόνο να απαντάει στις προκλήσεις 

που δημιουργεί η οικονομική κρίση αλλά παράλληλα να 

προσαρμόζεται άμεσα στο νέο τρόπο σκέψης και φιλοσοφίας 

των οργανισμών σε ότι έχει σχέση με τις υποδομές ΙΤ. Αυτό 

που κάνουμε λοιπόν στον τομέα ασφάλειας της Cisco είναι να 

εργαζόμαστε προς την κατεύθυνση ενσωμάτωσης δυνατοτήτων 

και λειτουργιών ασφάλειας στις ήδη υπάρχουσες λύσεις 

που σχετίζονται με τις υποδομές δικτύων, data center και συστημάτων 

επικοινωνιών της Cisco. Αυτό πρακτικά σημαίνει, ότι 

οι πελάτες μας, μπορούν να επωφεληθούν από τις δυνατότητες 

των εργαλείων ασφάλειας που αναπτύσσουμε χωρίς να χρειάζεται 

να εγκαταστήσουν νέο hardware. Καταφέρνουμε λοιπόν 

να παρέχουμε λύσεις και εργαλεία ασφάλειας που ενσωματώνονται 

στις υπόλοιπες υποδομές IT του οργανισμού από την 

CISCO και διακρίνονται για την απλότητα και λειτουργικότητα 

που προσφέρουν. Με αυτό τον τρόπο βοηθάμε τις επιχειρήσεις 

στην Ελλάδα όχι μόνο να μειώσουν συνολικά το κόστος 

για την ασφάλεια αλλά και να διαθέτουν την απαιτούμενη υποστήριξη 

του δικτύου και των υποδομών. iTSecurity 

security | 17

c over issue 

Του Νότη Ηλιόπουλου 

Msc Infosec, ISO 27001 LA, CISA, CISM 

piliopou@me.com 

Identity & Access Management 

Μερικά χρόνια πριν, το 2009, είχαμε προσεγγίσει το ίδιο θέμα, ακολουθώντας την τότε 

τάση σύμφωνα με την οποία μιλούσαμε για identity & access management (IAM) αλλά 

δίχως να υπάρχουν και τόσες υλοποιήσεις και μάλιστα επιτυχημένες. 

Σήμερα, βρισκόμαστε σε μια πιο ώριμη εποχή και ταυτόχρονα 

σε μια εποχή στην οποία οι σπάταλες δεν ενδείκνυνται. Η 

αναγκαιότητα είναι ακόμα μεγαλύτερη εάν συλλογιστούμε τις 

απαιτήσεις για ανοικτά εταιρικά δίκτυα και συνεχή ανταλλαγή 

δεδομένων μεταξύ εταιριών/οργανισμών που συνεργάζονται 

σε παγκόσμιο επίπεδο. 

Στο χώρο του IAM υπάρχουν αλλαγές όσον αφορά στο τεχνικό 

μέρος. Μόνο οι προμηθευτές που προσφέρουν ολοκληρωμένες 

λύσεις οι οποίες έχουν τη δυνατότητα ολοκλήρωσης με 

τα περισσότερα λειτουργικά συστήματα και εφαρμογές, αλλά 

και επικοινωνίας με τις περισσότερες τεχνολογίες διαχείρισης 

χρηστών βρίσκονται στο επίκεντρο. Αυτοματοποίηση στη α- 

νακάλυψη και επιβολή των ρόλων, διεπαφές επικοινωνίας με 

συστήματα και εφαρμογές είναι τα σημεία που κάνουν κάποιες 

τεχνολογικές λύσεις να ξεχωρίζουν από κάποιες άλλες. 

Κάτι ακόμα που φαίνεται να έχει αλλάξει είναι και ο ορισμός 

αυτού που μέχρι τώρα ονομάζαμε διαχείριση ψηφιακών 

πιστοποιητικών και πρόσβασης (Identity & Access 

Management). Εδώ και μερικά χρόνια έχει αντικατασταθεί 

από τον ορισμό Διακυβέρνηση και Διαχείριση Ψηφιακών 

Πιστοποιητικών Πρόσβασης (Identity Governance & 

Administration). 

18 | security

Τα συστήματα Διακυβέρνησης και διαχείρισης ψηφιακών πιστοποιητικών 

πρόσβασης, διαχειρίζονται την όλη διαδικασία 

που αφορά στο κύκλο ζωής των ψηφιακών πιστοποιητικών 

πρόσβασης και της πρόσβαση σε πολλαπλά συστήματα. 

Η βασική λειτουργικότητα των εν λόγω συστημάτων περιλαμβάνει 

αυτοματοποιημένη δημιουργία λογαριασμών πρόσβασης 

χρηστών μεταξύ ετερογενών συστημάτων, την ικανοποίηση 

των αιτημάτων πρόσβασης (συμπεριλαμβανομένης 

και της υπηρεσίας self-service), διαχείριση των κωδικών 

πρόσβασης, τη διακυβέρνησης όσον αφορά την πρόσβαση 

των χρηστών μέσω αυτοματοποιημένων ροών εργασίας και 

πολιτικών, καθώς και τις διαδικασίες πιστοποίησης πρόσβασης. 

Στις πρόσθετες δυνατότητες συχνά περιλαμβάνονται η 

δυνατότητα αξιολόγησης του κινδύνου σε σχέση με τα δικαιώματα 

πρόσβασης ενός χρήστη, ο διαχωρισμός των καθηκόντων 

(segregation of duties), η επιβολή και διαχείριση ρόλων 

πρόσβασης. 

Η επιχειρηματική αξία 

Η έννοια της ψηφιακής ταυτότητας μπορεί να επεκταθεί πέρα 

από τους χρήστες του εκάστοτε Οργανισμού και να περιλαμβάνει 

προμηθευτές, πελάτες, οποιαδήποτε τεχνολογία η 

οποία εμπεριέχει την έννοια της ψηφιακής οντότητας, ακόμα 

και ηλεκτρονικές κάρτες φυσικής πρόσβασης. 

Η βελτίωση του τρόπου διαχείρισης της πρόσβασης στους 

επιχειρηματικούς πόρους, και η διαχείριση του κύκλου ζωής 

μιας ψηφιακής ταυτότητας μπορεί να προσφέρει σημαντικά 

οφέλη, όπως: 

Μείωση του συνολικού κόστος ιδιοκτησίας των εν λόγω 

λύσεων, μέσω της μεγιστοποίησης της αποτελεσματικότητας 

της διαδικασίες πιστοποίησης ταυτότητας. 

Βελτίωση του επιπέδου ασφάλειας μέσω της μείωσης των 

κινδύνων από εσωτερικές και εξωτερικές επιθέσεις. 

Μεγαλύτερη πρόσβαση σε πληροφορίες από συνεργάτες, 

εταιρικούς χρήστες και πελάτες, συμμετέχοντας έτσι στην 

αύξηση της παραγωγικότητας. 

Μεγαλύτερο επίπεδο κανονιστικής συμμόρφωσης μέσω 

της εφαρμογής ενιαίας πολιτικής ελέγχου πρόσβασης. 

Μεγαλύτερη επιχειρηματική ευελιξία στο πλαίσιο, συγχωνεύσεων 

και εξαγορών. 

Η Τεχνολογία 

Η υλοποίηση μιας υποδομής με συστήματα διακυβέρνησης 

και διαχείρισης ψηφιακών πιστοποιητικών πρόσβασης, ανεξάρτητα 

από τη τεχνολογική υποδομή η οποία θα επιλεγεί, 

είναι σημαντικό να καλύπτει τις παρακάτω κύριες απαιτήσεις 

υλοποίησης. 

Μείωση του κόστους λειτουργίας & διαχείρισης όσον αφορά στη 

διαχείριση των ψηφιακών ταυτοτήτων, διαθέτοντας τα ακόλουθα: 

Αυτοματοποιημένο τρόπο δημιουργίας, τροποποίησης & 

διαγραφής λογαριασμών πρόσβασης χρηστών. 

Κεντρική διαχείριση προσβάσεων χρηστών σε διαφορετικά 

και ετερογενή συστήματα, καθώς και δυνατότητα διασύνδεσης 

με τις περισσότερες εμπορικά διαθέσιμες εφαρμογές 

και λειτουργικά συστήματα. 

Χρήση τεχνολογίας workflow με σκοπό την αυτοματοποίηση 

της διεργασίας παροχής, τροποποίησης και ακύρωσης 

πρόσβασης χρηστών, που αφορά στο σύνολο των 

προσβάσεων που απαιτούνται στα πλαίσια του εργασιακού 

ρόλου του χρήστη. 

Λειτουργία του μηχανισμού παροχής, τροποποίησης και 

ακύρωσης πρόσβασης χρηστών βάσει προκαθορισμένων 

ρόλων πρόσβασης. 

Ολοκλήρωση με το σύστημα ηλεκτρονικού ταχυδρομείου 

προκειμένου να ειδοποιεί για εκκρεμότητες ή να προωθεί 

τις εγκρίσεις των προσβάσεων. 

Διαχείριση ρόλων πρόσβασης. Ολοκληρωμένο σύστημα 

διαχείρισης ρόλων το οποίο αρχικά βοηθά στη ανακάλυψη 

των κοινών προφίλ πρόσβασης και στη συνέχεια στη 

δημιουργία και διαχείριση των ρόλων πρόσβασης. Η συγκεκριμένη 

δυνατότητα πρέπει να διαθέτει και αυτοματοποιημένες 

ροές διεργασιών για διαδικασίες όπως ο έλεγχος 

των προσβάσεων που συμπεριλαμβάνονται σε κάθε 

ρόλο καθώς και η έγκριση αυτών. Επίσης, πρέπει να παρέχει 

τη δυνατότητα καταγραφής των τροποποιήσεων στις 

οποίες υπόκειται ο κάθε ρόλος. To υποσύστημα διαχείρισης 

των ρόλων επικοινωνεί αμφίδρομα με το υποσύστημα 

διαχείρισης χρηστών για να αντλεί την απαραίτητη πληροφορία, 

αλλά και να επιβάλει τους ρόλους. 

Εναρμόνιση με νομικές & θεσμικές απαιτήσεις, παρέχοντας τα 

ακόλουθα: 

Μηχανισμό παρακολούθησης & καταγραφής της διεργασίας 

διαχείρισης των χρηστών, η οποία διενεργείτε με βάση 

την εκάστοτε υφιστάμενη οργανωτική δομή. 

Μηχανισμό καταγραφής και ελέγχου των δραστηριοτήτων 

που φορούν στη διαχείριση των χρηστών, τις διαδικασίες 

έγκρισης και την απόδοση των δικαιωμάτων πρόσβασης 

σε κάθε σύστημα. 

Παρέχει και βοηθάει στο να διατηρηθεί ένα υψηλό επίπεδο 

επιχειρησιακής αποτελεσματικότητας και ασφάλειας. 

security | 19

c over issue 

Identity & Access Management 

τη δυνατότητα για τα παρακάτω: 

Συμμόρφωση με τις επιταγές της εκάστοτε Πολιτικής Α- 

σφάλειας που σημαίνει δυνατότητα υλοποίησης και επιβολής 

της Πολιτικής Ασφάλειας του Οργανισμού. 

Ελεγχόμενη πρόσβαση σε συστήματα και εφαρμογές με 

δυνατότητες καταγραφής και ελέγχου των προσβάσεων 

κάθε χρήστη. 

Κεντρική διαχείριση της διεργασίας διαχείρισης προσβάσεων, αλλά 

και της απόδοσης των προσβάσεων: 

Τόσο η διαχείριση όσο και η απόδοση των προσβάσεων 

των χρηστών, διενεργείται από κεντρικό σημείο και μέσω 

εφαρμογής διαχείρισης. Το ηλεκτρονικό ταχυδρομείο λειτουργεί 

βοηθητικά. 

Η διαχείριση γίνεται με τον ίδιο τρόπο και από την ίδια ε- 

φαρμογή διαχείρισης για όλα τα συστήματα / εφαρμογές. 

Υπάρχει δυνατότητα για αποτύπωση των προσβάσεων σε 

συστήματα / εφαρμογές για τα οποία δεν υπάρχει τεχνική 

δυνατότητα διασύνδεσης τους με το σύστημα identity 

management (virtual systems representation). 

Αυτοματοποίηση της ροής των διεργασιών που άφορους στη διαχείριση 

πρόσβασης (workflow processes), η οποία έχει τα παρακάτω 

χαρακτηριστικά: 

Οι διεργασίες έγκρισης για κάθε χρήστη, αλλά και όλες οι 

μετέπειτα τροποποιήσεις αυτών, πρέπει να διεκπεραιώνονται 

μέσω ενός αυτοματοποιημένου συστήματος ροής εργασιών, 

το οποίο θα καταγράφει όλες τις εγκρίσεις και 

μεταβολές. 

Το σύστημα αυτοματοποίησης της ροής των διεργασιών 

πρέπει να αποτυπώνει την οργανωτική δομή του κάθε Οργανισμού 

και τις ισχύουσες διαδικασίες πρόσβασης και 

έγκρισης αυτών. 

Δυνατότητα υλοποίησης υποδομής για federated identity, 

δηλαδή υλοποιείται υποδομή η οποία επιτρέπει στους 

χρήστες ενός Οργανισμού να χρησιμοποιούν το ίδιο ό- 

νομα χρήστη & κωδικό πρόσβασης ή άλλο αναγνωριστικό 

για να αποκτήσουν πρόσβαση σε συστήματα ή / και υπηρεσίες 

ενός ή και περισσότερων διαφορετικών Οργανισμών. 

Το συγκεκριμένο μοντέλο λειτουργεί μόνο μεταξύ 

συνεργαζόμενων Οργανισμών οι οποίοι εγγυούνται και 

αποδέχονται ο ένας για τους χρήστες του άλλου. 

Συμμόρφωση με πρότυπα ασφάλειας πληροφοριών, παρέχοντας 

Τρόπος αποτελεσματικής υλοποίησης 

Η αποτελεσματική υλοποίηση μιας υποδομής Διακυβέρνησης 

και διαχείρισης ψηφιακών πιστοποιητικών πρόσβασης, εξαρτάται 

από παράγοντες οι οποίοι δεν αφορούν στη τεχνολογία. 

Πρώτο σημείο στο οποίο χρειάζεται έμφαση είναι η συμμετοχή 

στην υλοποίηση του κατάλληλου προσωπικού. Η παρουσία 

των παρακάτω κρίνεται απαραίτητη: 

Το τμήμα Διαχείρισης προσωπικού που διαχειρίζεται το 

προσωπικό και τις μετακινήσεις αυτού στις οργανωτικές 

μονάδες της εταιρίας. 

Αντιπρόσωποι του τμήματος help desk του Οργανισμού 

εάν υπάρχει ή αν δεν υπάρχει, αντιπρόσωποι των μηχανικών 

που εμπλέκονται στη διαδικασία διεκπεραίωσης των 

προσβάσεων. 

Ανώτερα διοικητικά στελέχη που εγκρίνουν προσβάσεις 

και ρόλους για τους συνεργάτες τους. 

Μηχανικοί και διαχειριστές εφαρμογών οι οποίοι υλοποιούν 

τις προσβάσεις των χρηστών. 

Επόμενο σημαντικό σημείο, ίσως το σημαντικότερο όλων, είναι 

η διαμόρφωση των ρόλων πρόσβασης βάση των οποίων θα 

αποδίδονται οι προσβάσεις στους χρήστες. Ο ρόλος πρόσβασης 

αποτελείται από συγκεκριμένα προνόμια πρόσβασης 

σε κάθε πληροφοριακό πόρο ο οποίος είναι απαραίτητος για 

τη διεκπεραίωση της εργασίας των τελικών χρηστών. Η σωστή 

διαμόρφωση των ρόλων πρόσβασης είναι ο κρισιμότερος 

παράγοντας επιτυχίας μιας υποδομής identity management. 

Η συγκεκριμένη διεργασία είναι καλό να ξεκινά πρώτη κατά 

την υλοποίησης ενός έργου identity management ή ιδανικά 

να προϋπάρχει της υλοποίησης της υποδομής identity 

management. 

Ένα επίσης σημείο στο οποίο χρειάζεται προσοχή είναι η α- 

ποτύπωση των διαδικασιών διαχείρισης των απαιτήσεων 

πρόσβασης των χρηστών. Ποιος αιτείται τη πρόσβαση, ποιος 

την εγκρίνει και ποια η ροή που πρέπει να ακολουθηθεί. Σαν 

πρώτο βήμα βοηθά η αποτύπωση της υφιστάμενης διαδικασίας 

πρόσβασης, έτσι ώστε να αυτοματοποιηθεί και στη πορεία 

20 | security

να γίνουν οι αλλαγές οι οποίες θα την κάνουν περισσότερο 

άμεση και γρήγορη αφού θα συμμετέχουν σε αυτή μόνο όσοι 

χρειάζονται. Το συνηθισμένο λάθος είναι προσθήκη περισσότερων 

βημάτων έγκρισης, με αποτέλεσμα η διαδικασία παρόλο 

αυτοματοποιημένη να αποτελείται από πολλά βήματα και να 

απαιτεί την εμπλοκή πολλών εργασιακών ρόλων. Το κόστος 

υλοποίησης μεγαλώνει καθώς πολλές από τις τροποποιήσεις 

που ζητούνται απαιτούν τη συγγραφή προγραμματιστικού κώδικα 

για να υλοποιηθούν. 

Οι συνηθισμένοι ανασταλτικοί παράγοντες υλοποίησης μιας 

υποδομής identity management είναι οι ακόλουθοι: 

Υψηλό κόστος λογισμικού και υπηρεσιών υλοποίησης 

Δεν υπάρχουν καθορισμένοι εργασιακοί ρόλοι και κατ’ ε- 

πέκταση ρόλοι πρόσβασης 

Αρκετά μεγάλο ποσοστό του χρόνου υλοποίησης χρησιμοποιείται 

για την επανασχεδίαση και έγκριση των διαδικασιών 

διαχείρισης πρόσβασης και για το καθορισμό των 

ρόλων πρόσβασης 

Δεν υπάρχει η κατάλληλη υποστήριξη από τη Διοίκηση 

Γενικότερα και σύμφωνα με την Gartner, τα έργα υλοποίησης 

υποδομών Διακυβέρνησης και διαχείρισης ψηφιακών πιστοποιητικών 

πρόσβασης, παρουσιάζουν από τα μεγαλύτερα 

ποσοστά ανεπιτυχούς υλοποίησης. 

Μεθοδολογία Διαχείρισης Έργου 

Μια αποτελεσματική μέθοδος για την υλοποίηση έργων Διακυβέρνησης 

και διαχείρισης ψηφιακών πιστοποιητικών πρόσβασης, 

είναι η εξής 

Προσδιορισμός λειτουργικών απαιτήσεων 

Ορισμών ρόλων χρηστών 

Ορισμός ροών παροχής, τροποποίησης και διακοπής 

προσβάσεων 

Απαιτήσεις ελέγχου και πληροφόρησης (reporting) 

Αρχιτεκτονικός σχεδιασμός 

Ορισμός και τεκμηρίωση του αρχιτεκτονικού σχεδιασμού 

Εγκατάσταση & διαμόρφωση λύσης 

Εγκατάσταση και αρχική διαμόρφωση λογισμικού 

Διασυνδέσεις με εταιρικά συστήματα και εφαρμογές, Ρόλοι 

& Πολιτικές πρόσβασης 

Διαμόρφωση αυτοματοποιημένων ροών 

Αναφοράς και ελέγχου διαμόρφωσης 

Λειτουργικές δοκιμές 

Μεταφορά Τεχνογνωσίας 

Εργασίες διαχείρισης 

Αναφορά στη διαδικασία διαμόρφωσης 

Αναφορά στη διαδικασίας ανάκτησης 

Λύση Ανάπτυξη 

Τελικές λειτουργικές δοκιμές (σενάρια δοκιμών) 

Τεκμηρίωση αποτελεσμάτων δοκιμών 

Ολοκλήρου έργου 

Ενημέρωση του τελικού αρχιτεκτονικού σχεδιασμού 

Τεκμηρίωση λύσης 

Loging off 

Η υλοποίηση υποδομών διακυβέρνησης και διαχείρισης ψηφιακών 

πιστοποιητικών πρόσβασης δεν μπορεί να θεωρηθεί 

πολυτέλεια για Οργανισμούς οι οποίοι έχουν σημαντικό αριθμό 

χρηστών και ταυτόχρονα διαχειρίζονται κρίσιμα δεδομένα. 

Τέτοιου είδους Οργανισμοί οφείλουν να εναρμονίζονται με 

κανονιστικές ρυθμίσεις και η χρήση υποδομών Διακυβέρνησης 


βοηθάει σε αυτό. Εάν στα παραπάνω προσθέσουμε και το α- 

νοικτό σύγχρονο περιβάλλον όπου η περίμετρος δεν οριοθετείτε 

αυστηρά πλέον αλλά βρίσκεται εκεί που βρίσκετε ο κάθε 

συνεργάτης ή ο κάθε απομεμακρυσμένος χρήστης του Οργανισμού, 

τότε το ερώτημα δεν είναι εάν η υποδομή IGA είναι 

απαραίτητη αλλά εάν είναι έτοιμος ο Οργανισμός να βοηθηθεί 

από μια τέτοια λύση. Εάν δηλαδή έχει γίνει η κατάλληλη προεργασία 

ή εάν είναι διατεθειμένος ο Οργανισμός να λειτουργήσει 

στα πλαίσια κανόνων συγκεκριμένων πρόσβασης. Μέχρι 

το 2018, περισσότερο από το 50% των οργανισμών θα έχουν 

αυτοματοποιήσει τη διεργασία έγκρισης των προσβάσεων 

των χρηστών τους, ενώ στο 40% αυτών, οι λύσεις Διακυβέρνησης 


θα παρέχουν προ-διαμορφωμένες αυτοματοποιημένες διεργασίες 

πρόσβασης, προκειμένου να διευκολύνεται η χρήση 

των συστημάτων Διακυβέρνησης και διαχείρισης ψηφιακών πιστοποιητικών 

πρόσβασης σε μικρές και μεσαίες επιχειρήσεις. 

Σήμερα η διείσδυση εκεί είναι κάτι λιγότερο από 10%. iTSecurity 

security | 21

i ssue 

Διαχείριση Ασφαλιστικών 

Δικλείδων στα πλαίσια 

της Εταιρικής Διακυβέρνησης 

Η εταιρική διακυβέρνηση (GRC)σχετίζεται με ένα σύστημα νόμων, ρυθμίσεων και 

πρακτικών, προάγοντας και διασφαλίζοντας την εγκυρότητα της επιχείρησης. Προκειμένου 

λοιπόν κάθε επιχείρηση να συμβάλει στη παγκόσμια ανάπτυξη και οικονομία, οφείλει να 

υπακούει σε κάποιους ενιαίους κανόνες και οδηγίες. 

Τόνια Μαρκογιαννοπούλου 

Accountant, MSc 

Σταμάτης Πασσάς 

IT GRC Specialist, MSc, MBA 

M 

ε τις συνεχείς αλλαγές στους ρόλους των 

οικονομικών διευθυντών και προέδρων, ο 

ρόλος των εξωτερικών οντοτήτων όπως είναι 

οι Ελεγκτές, Δημόσιες αρχές, Αναλυτές, 

Πιστωτές, είναι ιδιαίτερα σημαντικός μιας 

και συνεχώς απαιτείται διαβεβαίωση από τέτοιους 

ειδικούς. Στη διαβεβαίωση αυτή και στη δική τους 

πληροφόρηση, βασίζονται προκειμένου να ληφθούν αποφάσεις 

για επενδύσεις, για τη πιστοληπτική ικανότητα, επιτόκια 

ομολόγων και για τη συνολική σταθερότητα της επιχείρησης. 

Η πληροφόρηση αυτή διαδραματίζει σημαντικό ρόλο 

καθώς επηρεάζει τους εργαζομένους, τους πιστωτές, τους 

μετόχους και βασικά όλα τα ενδιαφερόμενα μέρη ως προς 

την πληροφόρηση αυτή. Είναι λογικό λοιπόν να προβλέπεται 

μια δαπάνη εκ μέρους των επιχειρήσεων, προκειμένου η 

πληροφόρηση η οποία αντλείται από τα πληροφοριακά συστήματα, 

να είναι έγκυρη και αξιόπιστη. Συνεπώς, πρέπει να 

υπακούει σε νόμους και κανονισμούς όπως : Sarbanes-Oxley 

Act, COSO II, Basel και άλλα. Ο στόχος της Εταιρικής Διακυβέρνησης 

είναι τρισδιάστατος: 

• Διαφάνεια πληροφοριών (Διαφανής λογιστική, γνωστοποίηση, 

εσωτερική και εξωτερική ανάλυση, αλλαγές αναφορών). 

• Εσωτερικός έλεγχος των διαδικασιών (συμμόρφωση με 

κανονισμούς και νομοθεσίες). 

• Αποτελεσματικότητα των εσωτερικών ελέγχων (περιοδικά 

κλεισίματα, αλλαγές). 

Προκειμένου να επιτευχθούν οι στόχοι αυτοί στα πλαίσια 

του GRC, υπάρχει το Management of Internal Controls 

(MIC) το οποίο καταγράφει διαδικασίες, κινδύνους, και α- 

σφαλιστικές δικλείδες (στη θέση των προϊόντων τρίτων). 

Το ΜΙC (Management of Internal Controls) υποστηρίζει ό- 

λες και τις κεντρικές αλλά και αποκεντρωμένες διαδικασίες. 

Οι κεντρικές λειτουργίες μπορούν να αντιγραφούν ή και να 

υιοθετηθούν έτσι ώστε να ταιριάζουν στις απαιτήσεις κάθε 

οργανισμού. Δεδομένου κιόλας ότι οι διοικήσεις χρειάζονται 

να γνωρίζουν ανά πάσα ώρα και στιγμή την κατάσταση 

των δικλείδων ασφαλείας, το MIC παρέχει τη δυνατότητα 

άντλησης εκτενών αναφορών ενώ διακρίνεται στις ακόλουθες 

κατηγορίες: 

22 | security

Configurable controls (Συντονιστικοί/ 

Παραμετροποιήσιμοι έλεγχοι) 

Είναι εφικτό να συντονιστούν επιπρόσθετοι έλεγχοι, ιδιαίτερα 

σε επίπεδο πληροφοριακών συστημάτων από τα οποία 

εξάγονται οι οικονομικές καταστάσεις. Για παράδειγμα, υπάρχει 

η δυνατότητα να απομονωθούν εγγραφές, των οποίων 

τα ποσά υπερβαίνουν ένα συγκεκριμένο ποσό. Επίσης ανά 

πάσα ώρα και στιγμή τα οικονομικά στοιχεία μπορούν να 

παρακολουθηθούν. Γενικά τίθενται κρίσιμα όρια, τα οποία 

κάθε φορά που υπερβαίνονται δύναται να διερευνηθεί η αιτία 

του προβλήματος. Σε επίπεδο προηγμένων λογισμικών 

προγραμμάτων (π.χ SAP) oι χρήστες όταν ρυθμίζουν τις 

παραμέτρους του συστήματος, μπορούν να δημιουργήσουν 

και να προσδιορίσουν συντονιστικούς ελέγχους για τις ακόλουθες 

ενέργειες και στοιχεία: 

• Ανοχές ελέγχου (ορισμός περιθωρίων αποκλίσεων από 

τον έλεγχο). 

• Απαιτούμενα πεδία ή πεδία που συμπληρώνονται από το 

σύστημα. 

• Προκαθορισμένα βασικά αρχεία δεδομένων τα οποία εμφανίζονται 

ως προεπιλεγμένες τιμές. 

• Κωδικοί αιτιολόγησης. 

• Εμφάνιση σφαλμάτων ανά χρήστη και προειδοποιητικά 

μηνύματα. 

• Αυτόματες, ενσωματωμένες εγγραφές ανάλογα με προκαθορισμένα 

κλειδιά καταχώρησης/εγγραφής. 

• Ροή εργασιών. 

• Διαχείριση κινδύνου (SEM). 

• Πίνακας Διαχείρισης Ελέγχου (Management Cockpit, SEM). 

• Inherent system controls (εσωτερικές δικλείδες ασφαλείας). 

• Configurable controls (επίκτητοι-συντονιστικοί έλεγχοι). 

• Security controls (έλεγχοι ασφαλείας). 

• Report controls (έλεγχοι αναφοράς). 

Internal (or inherent controls) 

Οι εσωτερικοί έλεγχοι χρησιμοποιούνται για τη διάρθρωση 

των δραστηριοτήτων παρακολούθησης. Αυτό περιλαμβάνει 

τα ακόλουθα στάδια και αποτελέσματα: 

• Παρακολούθηση της χρήσης των συναλλαγών. 

• Παρακολούθηση της ασφάλειας και της πρόσβασης. 

• Αρχείο εγγραφών μεταφοράς δεδομένων. 

• Υποστηρικτικό πακέτο καταγραφής εγγραφών. 

Security controls (δικλείδες ασφαλείας) 

Οι έλεγχοι ασφαλείας χρησιμοποιούνται για να ρυθμίζουν 

την πρόσβαση των χρηστών και τις άδειες/εξουσιοδοτήσεις 

για τα προγράμματα, τις συναλλαγές, τους πίνακες δεδομένων, 

και τα πεδία. Οι έλεγχοι ασφαλείας μπορούν ακόμη να 

χρησιμοποιηθούν για τον εντοπισμό και την αποτροπή μη 

εξουσιοδοτημένης πρόσβασης ή πιθανών επιθέσεων. 

Report Controls (έλεγχοι αναφοράς) 

Η λύση διαχείρισης συμμόρφωσης που παρέχουν τα λογισμικά 

προγράμματα όσον αφορά το πρότυπο Sarbanes-Oxley 

αντιπροσωπεύει ένα εργαλείο που ενημερώνει τη Διοίκηση/ 

Διεύθυνση για πιθανά ηθικά ζητήματα. Το Whistle-blowing 

είναι μια διαδικτυακή εφαρμογή που επιτρέπει στους υπαλλήλους 

να γνωστοποιούν τις ανησυχίες τους σχετικά με η- 

θικά ζητήματα σε ένα ανώνυμο τρόπο. Σε επίπεδο πληροφοριακών 

συστημάτων, παραδείγματα ελέγχων αναφοράς 

είναι τα ακόλουθα: 

• Άμεση παρακολούθηση των δραστηριοτήτων κλεισίματος, 

βασικές/πρότυπες εκθέσεις (σε διάταξη δέντρου) φιλικές 

προς το χρήστη. 

• Θεματικοί οδηγοί βοήθειας, δυνατότητα λειτουργίας αναφορών 

XBRL, ελεγκτικές λειτουργίες (ιστορία ,αλλαγή αρχείου 

εγγραφών, ροή εγγραφής. 

security | 23

i ssue 

Διαχείριση Ασφαλιστικών Δικλείδων στα πλαίσια της Εταιρικής Διακυβέρνησης 

Τα θετικά αποτελέσματα της διακυβέρνησης 

Αφενός με την εφαρμογή ρυθμίσεων και δικλείδων ασφαλείας, 

αφετέρου με σωστή διαχείριση και εν γένει διακυβέρνηση, 

η εκάστοτε επιχείρηση μπορεί να μετατρέψει τους κινδύνους 

σε θετικά αποτελέσματα. Ως τέτοιες περιπτώσεις 

σε βιβλιογραφικές αναφορές και σε έρευνες αναφέρονται 

οι παρακάτω: 

Ενίσχυση της στρατηγικής κινδύνου 

• Ευθυγράμμιση με τους στόχους και τη στρατηγική της ε- 

πιχείρησης. 

• Καλύτερη ενόραση των κινδύνων που έχουν μεγαλύτερη 

σημασία για την οργάνωση με αποτέλεσμα την βελτιστοποίηση 

στην λήψη των αποφάσεων. 

Ενσωμάτωση της διαχείρισης του κινδύνου στη λειτουργία της 

επιχείρησης 

• Πλήρης και συνεχής διαχείριση κινδύνων και παρακολούθηση 

αυτών. 

• Κεντρική διαχείριση των οικονομικών, λειτουργικών κινδύνων 

και κινδύνων συμμόρφωσης και τους ελέγχους σε ό- 

λο τον οργανισμό. 

Βελτίωση των ελέγχων και των διαδικασιών 

• Καλύτερη ευθυγράμμιση στην κάλυψη του κινδύνου, συμπεριλαμβανομένου 

του προσδιορισμού πιο διεισδυτικών 

ελέγχων (pervasive controls/reviews). 

• Μείωση χρόνου και προσπάθειας που συνδέονται με την 

εκτέλεση των ελέγχων και δοκιμών (testings). 

• Αυξημένος έλεγχος και αποδοτική διαδικασία (effective 

procedure), απόρροια της αυτοματοποίησης και της συνεχούς 

παρακολούθησης. 

Βελτιστοποίηση της λειτουργίας διαχείρισης κινδύνων 

• Ενοποίηση δραστηριοτήτων και συντονισμός μεταξύ των 

οργανωτικών μονάδων της επιχείρησης, όπως π.χ. της πληροφορικής 

και της συμμόρφωσης. 

Οι προαναφερόμενες ενέργειες έχουν ως αποτέλεσμα οφέλη, 

που αφορούν την αξία, τα κόστη/έξοδα ενός οργανισμού 

και εν τέλει το ρίσκο που καλείται εκείνος ο οργανισμός να 

διαχειριστεί. Εν ολίγοις, μπορεί μια επιχείρηση να επιτύχει 

μειωμένο κόστος ελέγχου λόγω ενός αξιόπιστου και αυτοματοποιημένου 

σε διαχείριση περιβάλλοντος πρόσβασης. Ως 

παράδειγμα μπορεί να αναφερθεί η ειδοποίηση που παρέχεται 

σε πραγματικό χρόνο των πιθανών θεμάτων πρόσβασης 

(vulnerabilities), μια απλοποιημένη διαδικασία έγκρισης 

προσβάσεων/εξουσιοδοτήσεων, η ταυτοποίηση των μη φυσιολογικών 

(abnormal activities) ενεργειών απόκτησης πρόσβασης, 

υποδεικνύοντας με αυτό τον τρόπο δόλιες δραστηριότητες 

μέσω ειδοποιήσεων. Η τελευταία περίπτωση μπορεί 

κάλλιστα να επηρεάσει την αξία μιας επιχείρησης δημιουργώντας 

αρνητικά παρεπόμενα σε ενδεχόμενη καταστρατήγηση 

των υφιστάμενων κανόνων. 

Τέλος, αξίζει να αναφερθεί η βελτίωση της αποτελεσματικότητας 

που συνδέεται με την προετοιμασία και ανάλυση των 

εκθέσεων «Segregation of Duties» και η μείωση του αριθμού 

των manual controls που απαιτούνται για να σχεδιαστεί και 

να λειτουργεί ο περιορισμός της πρόσβασης (διαδικασία ε- 

ξουσιοδοτήσεων). 

Ως εκ τούτου, δε χρειάζεται να περιμένει ο κλάδος ή η ε- 

πιχείρηση να βρεθεί στα πρόθυρα της κατάρρευσης για να 

προχωρήσει σε κρίσιμες αλλαγές. «Διαβάστε νωρίς το φλιτζάνι 

και έχετε το νου σας στα σημάδια του κινδύνου». Σε άρθρο 

τους οι Charles Farkas και Suzy Wetlaufer (Οι μέθοδοι με 

τις οποίες ηγούνται οι γενικοί διευθυντές) – μας ενημερώνουν 

με τον πιο εμφατικό τρόπο ότι «τα συστήματα ελέγχου 

μπορεί να δένουν τα χέρια κάποιων, αλλά εξασφαλίζουν τη 

σαφήνεια και την προβλεψιμότητα, που είναι δυο πανίσχυρες 

ανταγωνιστικές δυνάμεις». Μήπως είναι καιρός για τις επιχειρήσεις 

να ενεργοποιηθούν, να προσαρμοστούν και να προβλέψουν 

τον επερχόμενο κίνδυνο (ένεκα του 3A’s: Activate 

– Adapt – Anticipate). Είναι πασιφανές ότι σίγουρα όχι η πιο 

δυνατή επιχείρηση όχι η γρήγορη αλλά αυτή που θα προσαρμοστεί 

και θα υιοθετήσει τα σωστά πρότυπα θα εξελιχθεί 

και θα πάει μπροστά. Τα συμπεράσματα δικά σας… iTSecurity 

24 | security

i ssue 

Η σημαντικότητα του Identity 

Management και Strong Authentication 

Χαράλαμπος Ιωαννίδης 

Network Infrastructure Solutions Manager 

H 

αυξανόμενη χρήση νέων τεχνολογιών στον 

επιχειρηματικό κόσμο, σε συνάρτηση με τις 

ιδιαιτερότητες του ψηφιακού περιβάλλοντος, 

έχουν καταστήσει τη Διαχείριση Ταυτότητας 

μια μεγάλη αναγκαιότητα και ταυτόχρονα ένα 

πολύπλοκο ζήτημα για κάθε σύγχρονο οργανισμό. 

Η Διαχείριση Ταυτότητας (Identity Management), α- 

ποτελείται από ένα ολοκληρωμένο σύστημα διαδικασιών και 

τεχνολογιών οι οποίες βοηθούν τις επιχειρήσεις να ελέγχουν 

την πρόσβαση των χρηστών τους σε λειτουργικά συστήματα, 

δίκτυα και εφαρμογές, όπως επίσης να προστατεύουν την ε- 

μπιστευτικότητα πληροφοριών από μη εξουσιοδοτημένους 

χρήστες. Η έλλειψη αποτελεσματικής διαχείρισης ταυτότητας 

και πρόσβασης δημιουργεί σοβαρούς κινδύνους για τoν 

οργανισμό, όχι απλά λόγω των κανονιστικών πλαισίων συμμόρφωσης, 

αλλά κυρίως για την ασφάλεια πληροφοριακών 

συστημάτων και δεδομένων, αφού αυξάνεται ο κίνδυνος από 

εσωτερικές και εξωτερικές απειλές. Το σύστημα Διαχείρισης 

Ταυτότητας, εκτός από το να στοχεύει στην απλοποίηση των 

διαδικασιών και να βοηθά τους χρήστες να έχουν πρόσβαση 

στους σωστούς πόρους, την κατάλληλη στιγμή, για τους ορθoύς 

λόγους, πρέπει ταυτόχρονα να στοχεύει και στην ενίσχυση 

της ασφάλειας. Το σημερινό απαιτητικό επιχειρηματικό 

περιβάλλον χαρακτηρίζεται ακόμα από την επέκταση των 

ηλεκτρονικών υποδομών των οργανισμών πέρα από τα στενά 

φυσικά πλαίσια του ίδιου του οργανισμού αφού καλούνται να 

παρέχουν περισσότερη ευελιξία σε ότι αφορά την πρόσβαση 

των χρηστών τους σε ηλεκτρονικούς πόρους και δεδομένα, 

είτε αυτοί είναι εργαζόμενοι, πελάτες ή συνεργάτες. Συγκεκριμένα, 

οι σημερινές επιχειρησιακές ανάγκες απαιτούν ό- 

πως οι χρήστες έχουν τη δυνατότητα πρόσβασης όχι μόνο 

μέσα από τις εταιρικές διαδικτυακές εφαρμογές και συστήματα, 

αλλά και από φορητές συσκευές και υπολογιστές που 

βρίσκονται εκτός του οργανισμού. Το γεγονός αυτό αυξάνει 

περισσότερο τους κινδύνους που αφορούν στην ασφάλεια 

των δεδομένων και ως εκ τούτου την αναγκαιότητα για την 

εφαρμογή κατάλληλων μέτρων για αποτελεσματικό έλεγχο 

τόσο της ταυτοποίησης (Authentication), όσο και των δικαιωμάτων 

πρόσβασης του κάθε χρήστη ανάλογα με το ρόλο 

και τα καθήκοντά του. Το Authentication είναι η διαδικασία 

διαπίστωσης της αυθεντικότητας της ταυτότητας του χρήστη 

και αποτελεί ένα από τα σημαντικότερα συστατικά της υποδομής 

της ασφάλειας ενός οργανισμού. Στην ουσία, για να επιτευχθεί 

επαρκής ασφάλεια και έλεγχος της πρόσβασης των 

χρηστών στους πόρους και τα δεδομένα που έχουν «δικαίωμα» 

πρόσβασης, θα πρέπει τα μέτρα για το Authentication 

των χρηστών να λειτουργούν σε συνάρτηση με τα μέτρα για 

το identification (εξακρίβωση) και το authorization (εξουσιοδότηση). 

Πρακτικά, τα μέτρα Authentication ελέγχουν ότι ο 

χρήστης είναι πράγματι αυτός που λέει ότι είναι (διαπίστωση 

της αυθεντικότητας της ταυτότητας), τα μέτρα identification 

επιβεβαιώνουν κατά πόσον ο χρήστης υπάρχει και τέλος τα 

μέτρα authorization ελέγχουν σε ποιους πόρους και δεδομένα 

έχει δικαίωμα πρόσβασης ο χρήστης. Υπάρχουν τρία 

είδη authentication τα οποία βασίζονται στα ακόλουθα: Κάτι 

που ο χρήστης γνωρίζει (π.χ. Password, pin, κ.λπ.), κάτι που 

ο χρήστης έχει στην κατοχή του (smartcard, iButton), και 

κάτι πιο προσωπικό του (π.χ. αποτύπωμά του). Ο συνδυασμός 

δύο ή και των τριών αυτών μεθόδων ονομάζεται Multifactor 

Authentication ή Strong Authentication. Ο βαθμός 

του Authentication που δύναται να εφαρμόσει μια εταιρεία 

καθορίζεται από την κρισιμότητα του κινδύνου και το κόστος 

(οικονομικό ή άλλο) που ενδέχεται να υποστεί ο οργανισμός 

σαν αποτέλεσμα μη εξουσιοδοτημένης πρόσβασης. 

H Odyssey Consultants, παρέχει ολοκληρωμένες λύσεις συστημάτων 

Διαχείρισης Ταυτότητας και Πρόσβασης. Οι λύσεις 

αυτές προσαρμόζονται ανάλογα με τις ανάγκες ενός οργανισμού 

και έχουν σαν αποτέλεσμα τη διασφάλιση ευαίσθητων 

εφαρμογών και δεδομένων που φιλοξενούνται σε εσωτερικές 

εταιρικές υποδομές. Παράλληλα υποβοηθούν την επιτυχή και 

ταχεία συμμόρφωση με τα κανονιστικά πλαίσια. Τέλος συμβάλλουν 

στη μείωση του λειτουργικού κόστους ενός οργανισμού, 

αφού η εφαρμογή τέτοιων μέτρων υποβοηθούν στην 

απρόσκοπτη πρόσβαση των χρηστών στους πόρους και δεδομένα 

που χρειάζονται, ενώ αποφεύγονται χρονοβόρες διαδικασίες 

εξουσιοδότησης και ελέγχου πρόσβασης. iTSecurity 

security | 25

i ssue 

Οι τάσεις για το 2015 

Οι επιχειρήσεις στο στόχαστρο 

Η έκθεση του ESET LATAM Research Lab με τίτλο «Οι τάσεις του 2015 – Οι επιχειρήσεις 

στο στόχαστρο» σας καλεί να ενημερωθείτε για κάποια από τα πιο σημαντικά ζητήματα 

που απασχόλησαν την ασφάλεια στο IT το 2014. Παράλληλα, η έκθεση παρουσιάζει τις 

προκλήσεις και τις απειλές που αναμένονται για το 2015. 

* Το άρθρο βασίζεται στην έκθεση του ESET LATAM Research Lab με τίτλο “Trends for 2015 – Targeting the Corporate World” 

H 

συγκεκριμένη έκθεση καλύπτει όλα τα διαφορετικά 

ήδη των απειλών και των συμβάντων 

που έχουμε αντιμετωπίσει κατά τη διάρκεια 

του προηγούμενου έτους ταξινομημένα σε 

κατηγορίες, προκειμένου να δώσει απαντήσεις 

στα ακόλουθα ερωτήματα: τι αναμένουμε 

να αντιμετωπίσουμε το 2015 σε ότι αφορά την ασφάλεια 

του IT; Mε ποιο τρόπο οι εταιρείες και οι απλοί χρήστες θα 

μπορέσουν να προστατευθούν για να ανταπεξέλθουν στις 

επερχόμενες απειλές; 

Κατά τη διάρκεια του 2014, έχουμε δει πολλές αναφορές 

γύρω από επιθέσεις που αφορούσαν σε APTs (Advanced 

Persistent Threats – Προηγμένες Επίμονες Απειλές). Ό- 

μως, τι ακριβώς είναι μια APT; Ποιες είναι οι επιπτώσεις της 

σε μια εταιρεία; Και για ποιο λόγο αναμένουμε να αντιμετωπίσουμε 

τέτοιου είδους απειλές και μέσα στο 2015; Αυτές 

είναι μερικές από τις ερωτήσεις στις οποίες απαντάμε στο 

παρόν κείμενο, καθώς πραγματοποιούμε μια ανασκόπηση 

των συμβάντων των προηγούμενων ετών και ετοιμαζόμαστε 

για το επόμενο. 

Η εξέλιξη των APTs 

Δεν υπάρχει καμία αμφιβολία για το γεγονός ότι τα τελευταία 

χρόνια έχουμε γίνει μάρτυρες αλλαγών στον τρόπο που 

οι κυβερνοεγκληματίες πραγματοποιούν τις επιθέσεις τους. 

Ακόμα κι αν οι λεγόμενες «παραδοσιακές απειλές» συνεχίζουν 

να αποτελούν έναν σημαντικό κίνδυνο για τις εταιρείες, 

αυτό που διαπιστώσαμε είναι μια σαφής τάση προς μια 

συγκεκριμένη κατηγορία απειλών που είδαμε καθ’ όλη τη διάρκεια 

του 2014: απειλές, δηλαδή, που έχουν σχεδιαστεί 

ειδικά για να επιτεθούν σε συγκεκριμένα θύματα. 

Το είδος αυτό των απειλών είναι γνωστό ως Προηγμένες Ε- 

πίμονες Απειλές (APT – Advanced Persistent Threats). Σύμφωνα 

με το Αμερικανικό Ινστιτούτο Επιστημών και Τεχνολογίας 

(National Institute of Science and Technology – NIST), 

μία APT «είναι μια απειλή που διαθέτει εξελιγμένα επίπεδα τεχνογνωσίας, 

καθώς και σημαντικούς πόρους, οι οποίοι της επιτρέπουν 

να δημιουργεί τις κατάλληλες προϋποθέσεις προκειμένου να 

επιτυγχάνει τους αντικειμενικούς της στόχους, χρησιμοποιώντας 

πολλαπλές επιθέσεις από διάφορες κατευθύνσεις (π.χ. ψηφιακές, 

26 | security

φυσικές και διάφορα τεχνάσματα).Μια Προηγμένη Επίμονη Απειλή: 

(i) επιδιώκει να επιτύχει τους σκοπούς της κατά τη διάρκεια 

μιας παρατεταμένης χρονικής περιόδου, (ii) προσαρμόζεται σε 

κάθε προσπάθεια αντίστασης, (iii) είναι αποφασισμένη να διατηρήσει 

το επίπεδο αλληλεπίδρασης που απαιτείται προκειμένου να 

εκτελέσει τους στόχους της». 

Όπως φαίνεται στο Γράφημα 1, ο αριθμός των αναλύσεων 

και μελετών γύρω από τις APTs έχει αυξηθεί τα τελευταία 

πέντε χρόνια και μάλιστα εμφανίζεται να έχει διπλασιαστεί το 

2013, αλλά και κατά τους δέκα πρώτους μήνες του 2014. Παρόλα 

αυτά, η αύξηση του όγκου των συγκεκριμένων απειλών, 

δεν σημαίνει ότι έχουν χρησιμοποιηθεί σε πιο ευρεία κλίμακα. 

Στην πραγματικότητα, έχουν γίνει πιο διακριτικές, αφού 

ο αντικειμενικός στόχος των επιτιθέμενων είναι αποκτήσουν 

κρυφά πρόσβαση στα δεδομένα και να λάβουν παράνομα 

τον έλεγχο του συστήματος. 

Γράφημα 1. Η αύξηση των APTs που αναλύονται κάθε χρόνο είναι μεγάλη. 

Ο Κίνδυνος από τις APTs 

Οι απειλές τύπου APT μπορούν να διαρκέσουν ένα πολύ 

μεγάλο χρονικό διάστημα, ενώ είναι σε θέση να μεταλλάσσονται, 

προκειμένου να μολύνουν το μεγαλύτερο δυνατό α- 

ριθμό συστημάτων μέσα στο ίδιο δίκτυο. 

Όπως μπορούμε να δούμε στο Γράφημα 2, ακόμα και κατά 

τη διάρκεια του 2014, οι απειλές όπως η BlackEnergy, χρησιμοποιήθηκαν 

για επιθέσεις τύπου Distributed Denial of 

Service, για αποστολή spam, για τραπεζικές απάτες, ακόμα 

και για στοχευμένες απειλές. 

Γράφημα 2. Οι πλέον γνωστές APT εκστρατείες. 

Αλλαγές στις στρατηγικές των κυβερνοαπειλών 

Όταν αναφερόμαστε σε κυβερνοαπειλές, συνήθως εννοούμε 

ενέργειες κατά τις οποίες επηρεάζεται η τεχνολογική υποδομή 

των εταιρειών, προκειμένου να εκμεταλλευτούν τα τρωτά 

σημεία και να υποκλαπούν ευαίσθητα δεδομένα, τα οποία θα 

μπορούσαν να αξιοποιηθούν προς όφελος των επιτιθέμενων. 

Η διαφορά σε σχέση με τις απειλές τύπου APT έγκειται στο 

γεγονός ότι, αν και ο αντικειμενικός σκοπός είναι συνήθως 

παρόμοιος με αυτόν των παραδοσιακών απειλών, έχουμε διαπιστώσει 

ότι η δράση των APT διαρκεί περισσότερο, είναι 

περισσότερο στοχευμένες και πιο δύσκολες στον εντοπισμό, 

ενώ αυτό που κάνουν είναι να προσπαθούν να συλλέξουν 

όσο το δυνατόν μεγαλύτερες ποσότητες δεδομένων για να 

βλάψουν τα συστήματα μακροπρόθεσμα. Επί προσθέτως, οι 

απειλές αυτές είναι σε θέση να παρακολουθούν κάθε τι που 

συμβαίνει μέσα στα συστήματα των θυμάτων τους. 

Οι APTs δημιουργούν κερκόπορτες για 

κυβερνοκατασκοπία 

Αφού αναφερθήκαμε στις διαφορές μεταξύ των APTs και 

τις πιο παραδοσιακές απειλές, θα πρέπει να πούμε ότι είναι, 

πολύ συνηθισμένο να ανακαλύπτει κανείς όλο περισσότερες 

μολυσμένες εταιρείες και συστήματα με τέτοιου είδους 

απειλές. Επί προσθέτως, είναι σημαντικό να μην ξεχνάμε ό- 

τι αυτό που επιδιώκουν οι επιτιθέμενοι είναι να υποκλέψουν 

συγκεκριμένα δεδομένα ή να προκαλέσουν συγκεκριμένες 

ζημίες. Επομένως, μέσα στο 2015, θα πρέπει να αναμένουμε 

περισσότερες εταιρείες να αναφέρουν ότι έχουν πέσει 

θύματα όλο και πιο πολύπλοκων και εξελιγμένων απειλών 

APT, οι οποίες θα εκμεταλλεύονται τα διαρκώς αυξανόμενα 

κενά ασφαλείας, προκαλώντας υποκλοπές ακόμα μεγαλύτερης 

ποσότητας δεδομένων. 

Λαμβάνοντας υπόψη μας τη φύση αυτών των απειλών, θα 

πρέπει να θυμόμαστε ότι οι περισσότερες από τις περιπτώσεις 

που θα αναφερθούν το 2015, πιθανόν θα έχουν διαπραχθεί 

μέσα στο 2014.Τέλος, αν και έχουμε ήδη δει εταιρείες 

να έχουν επηρεαστεί από APT, περιμένουμε ότι από το 2015 

και μετά, οι απειλές αυτές θα κυριαρχήσουν, όπως άλλωστε 

έχει ήδη συμβεί σε ανάλογες περιπτώσεις απειλών, οι οποίες 

αρχικά ήταν πιο συνηθισμένες σε συγκεκριμένες γεωγραφικές 

περιοχές και με το πέρασμα του χρόνου εξαπλώθηκαν 

σε παγκόσμιο επίπεδο. 

Κακόβουλο λογισμικό στα σημεία πώλησης 

Το κακόβουλο λογισμικό στα Σημεία Πώλησης (Point-of-Sale 

security | 27

i ssue 


ή PoS Malware, όπως συνήθως ονομάζεται), αναφέρεται σε 

μια διαφορετική οικογένεια κακόβουλων προγραμμάτων, τα 

οποία μολύνουν τα τερματικά στα σημεία πώλησης προκειμένου 

να υποκλέψουν τα στοιχεία πιστωτικών ή χρεωστικών 

καρτών, τη στιγμή που ο πελάτης πραγματοποιεί μια 

αγορά. Για να επιτύχουν τους σκοπούς τους, οι κυβερνοεγκληματίες 

δεν χρειάζεται απλά να μολύνουν τα μηχανήματα 

που χρησιμοποιούνται για τη ανάγνωση των μαγνητικών ταινιών 

που βρίσκονται στις κάρτες, αλλά θα πρέπει να παρακάμψουν 

και όλα τα συστήματα προστασίας που διαθέτουν 

τα συστήματα πωλήσεων (POS). 

Οι πιστωτικές κάρτες διαθέτουν μια μαγνητική ταινία, στην 

οποία αποθηκεύονται κάποιες σημαντικές πληροφορίες. Τα 

απαραίτητα δεδομένα που απαιτούνται για να πραγματοποιηθεί 

μια αγορά, όπως ο αριθμός της πιστωτικής κάρτας, το 

όνομα του κατόχου της, η ημερομηνία λήξης της και ο κωδικός 

ασφαλείας αποθηκεύονται σε τρία τμήματα τα οποία 

αποτελούν τη μαγνητική ταινία. Τη στιγμή που σαρώνουμε 

την κάρτα μέσα στον αναγνώστη, όλες αυτές οι πληροφορίες 

φορτώνονται στο σύστημα POS προκειμένου να επικυρωθεί 

η αγορά. 

Είναι πολύ σημαντικό να αντιληφθούμε πόσο σημαντικές είναι 

οι συγκεκριμένες απειλές. Στην περίπτωση της Target, 

υποκλάπηκαν τα δεδομένα 40 εκατομμυρίων πιστωτικών και 

χρεωστικών καρτών, οδηγώντας τον CEO της τράπεζας σε 

παραίτηση. Μια από τις πιο γνωστές περιπτώσεις, ήταν αυτή 

της UPS, όπου καταγράφηκαν περίπου 105.000 συναλλαγές 

με πιστωτικές και χρεωστικές κάρτες. 

Συμβουλές προστασίας των σημείων πώλησης 

Εάν θέλουν να προστατέψουν τα σημεία πώλησής τους από 

παρόμοια περιστατικά, οι εταιρείες θα πρέπει να λάβουν υ- 

πόψη τους κάποια συγκεκριμένα πράγματα. 

Χρήση ισχυρού κωδικού - Είναι σημαντικό να τονίσουμε, 

ότι σε γενικές γραμμές, πολλά από τα τερματικά που μολύνθηκαν, 

χρησιμοποιούσαν τους προεπιλεγμένους κωδικούς 

ή απλές παραλλαγές του ονόματος του κατασκευαστή. 

Για παράδειγμα, οι τρεις πιο συνηθισμένοι κωδικοί ήταν 

“aloha1234”, “micros” και “pos12345”. Μπορεί κανείς να θυμάται 

εύκολα έναν κωδικό εάν αντί για μια απλή λέξη χρησιμοποιήσει 

μια ολόκληρη φράση. Από την άλλη, το σπάσιμό 

της απαιτεί πάρα πολύ χρόνο εξαιτίας του μεγάλου της μήκους. 

Ποτέ δεν θα πρέπει να χρησιμοποιούνται οι προεπιλεγμένοι 

κωδικοί σε λογισμικό σημείου πώλησης. 

Ελαχιστοποίηση των προσπαθειών σύνδεσης - Μια απλή 

και συνηθισμένη στρατηγική ασφάλειας, είναι να μπλοκάρεται 

η διαδικασία σύνδεσης μετά από την 3η ή την 5η λανθασμένη 

προσπάθεια. Αυτό μειώνει σημαντικά τις επιθέσεις 

τύπου Brute Force, επειδή ο επιτιθέμενος δεν θα μπορεί να 

δοκιμάσει πολλούς διαφορετικούς συνδυασμούς, προκειμένου 

να σπάσει τον κωδικό. 

Περιορισμός πρόσβασης - Περιορίστε την πρόσβαση όποτε 

μπορείτε. Για παράδειγμα, εάν δεν χρειάζεται να συνδέεστε 

στο μηχάνημα από μακριά, δεν θα πρέπει να ενεργοποιήσετε 

το RDP. Εάν τώρα χρειάζεστε αυτή τη δυνατότητα, 

βεβαιωθείτε ότι είναι ασφαλές. 

Επιθεωρείστε τη διαδικασία αναβάθμισης - Ένα από τα μέτρα 

προστασίας που μπορείτε να πάρετε για τα τερματικά 

πώλησης είναι να βρείτε ένα λογισμικό ασφαλείας, το οποίο 

επιτρέπει να ρυθμίσετε να τρέχουν μόνο εκείνες οι διεργασίες 

και οι εφαρμογές που έχουν χαρακτηριστεί ως ασφαλείς. 

Σε αρκετές περιπτώσεις, οι απειλές εγκαταστάθηκαν κατά τη 

διάρκεια της αναβάθμισης του λογισμικού. Αν τώρα, λάβουμε 

υπόψη μας τον αριθμό των μηχανημάτων που αναβαθμίζονται, 

τα μολυσμένα αρχεία, μπορεί να παραμείνουν από 

μερικές εβδομάδες μέχρι αρκετούς μήνες. 

Διαρροή δεδομένων - Πως μπορούμε να την 

αποφύγουμε 

Στην προηγούμενή έκθεση που αφορούσε τις τάσεις του 2014 

εστιάσαμε στην ανάγκη χρήσης ενός εργαλείου πιστοποίησης 

δύο παραγόντων το γνωστό two-factor authentication, 

προκειμένου να βελτιωθεί η προστασία κατά τη διάρκεια της 

εισόδου του χρήστη. Σύμφωνα με δεδομένα που αποκάλυψε 

η Risk Based Security, κατά το πρώτο μισό του 2014, το 

70% των παραβιάσεων ασφαλείας οφείλονταν σε διαρροή 

κωδικού. Το γεγονός αυτό καταδεικνύει για ακόμα μια φορά 

την σημασία της χρήσης συστημάτων πιστοποίησης δύο 

παραγόντων από τις εταιρείες, μια πρόκληση που θα πρέπει 

να αντιμετωπίσουν κατά τη διάρκεια του 2015. 

Ανάμεσα στις υπηρεσίες και τους δικτυακούς τόπους που 

υιοθέτησαν πιστοποίηση δύο παραγόντων για να προστατέψουν 

τους χρήστες τους, βρίσκονται εταιρείες όπως οι 

Google, Facebook, Twitter και Github. Η ενσωμάτωση ε- 

νός δεύτερου συστήματος πιστοποίησης, όπως για παράδειγμα 

ένα OTP (One-Time-Password – Κωδικός Μιας 

Χρήσης) αυξάνει την ασφάλεια κατά τη διάρκεια της εισόδου 

του χρήση, ενώ επί προσθέτως, διασφαλίζει τα δεδομένα 

σε περίπτωση που ο κωδικός του χρήση υποκλαπεί, είτε 

εξαιτίας μόλυνσης από κακόβουλο λογισμικό στο σύστημά 

28 | security

συσκευές, σε εταιρικούς server, laptop ή άλλα endpoint ελαχιστοποιεί 

την πιθανότητα υποκλοπής εταιρικών δεδομένων 

εξαιτίας κάποιας επίθεσης κακόβουλου λογισμικού, την απώλεια 

εξοπλισμού ή την μη εξουσιοδοτημένη παρείσφρηση. 

Επί προσθέτως, μια σωστά εγκατεστημένη λύση πιστοποίησης 

δύο παραγόντων, αυξάνει την ασφάλεια των συστημάτων 

της εταιρείας κατά τη διάρκεια της εισόδου των χρηστών στο 

δίκτυο. Σύμφωνα με τα δεδομένα της αναφοράς 2014 Risk 

Based Security, το 57% των παραβιάσεων κατά τη διάρκεια 

του πρώτου μισού του 2014 περιλάμβαναν ονόματα χρήστη, 

διευθύνσεις email και κωδικούς χρήστη. 

του, είτε λόγω κάποιου προβλήματος ασφαλείας στο δίκτυο 

της εταιρείας. 

Γιατί θα πρέπει οι εταιρείες να υιοθετήσουν πιστοποίηση 

two-factor authentication; 

Η ενσωμάτωση πιστοποίησης δύο παραγόντων για σύνδεση 

στο εταιρικό VPN, CRM ή σε άλλες δικτυακές υπηρεσίες, δεν 

προστατεύει απλά τους υπαλλήλους, αλλά επιπλέον αποτελεί 

μια υπηρεσία προστιθέμενης αξίας, η οποία μπορεί να προσφερθεί 

σε πελάτες και παρόχους που αλληλεπιδρούν με την 

εταιρεία. Προκειμένου να μπορέσουν να αντιμετωπίσουν ό- 

λες τις προκλήσεις του 2015 σχετικά με απώλειες δεδομένων 

και άλλες επιθέσεις που μπορούν να επηρεάσουν την ομαλή 

δραστηριότητα των εταιρειών, η υιοθέτηση ενός συστήματος 

πιστοποίησης δύο παραγόντων, θα αποτελέσει μια σημαντική 

ασπίδα προστασίας. Η προστασία των δεδομένων αποτελεί 

μια σημαντική απαίτηση για τις εταιρείες, όπως επίσης 

και μια εγγύηση για τη συνέχιση των δραστηριοτήτων τους. 

Με βάση τα συμβάντα ασφαλείας που διαπιστώσαμε κατά τη 

διάρκεια του 2014 και τις μεθοδολογίες που χρησιμοποιήθηκαν 

για να παραβιαστούν οι εταιρικές άμυνες, μπορούμε να 

αναμένουμε ότι μέσα στο τρέχον έτος, τα τμήματα ΙΤ θα 

αντιμετωπίσουν περισσότερο πολύπλοκες και ανθεκτικές 

επιθέσεις. Η συνεχής εξέλιξη της πολυπλοκότητας των επιθέσεων 

είναι μια συνεχής πρόκληση για την ασφάλεια των 

εταιρικών δεδομένων, μια και οι εταιρείες δεν θα πρέπει μόνο 

να δώσουν τη δέουσα προσοχή στα κενά ασφαλείας τα 

οποία δέχονται επίθεση, αλλά επιπλέον θα πρέπει να κατανοήσουν 

για πιο λόγο γίνονται στόχος επιθέσεων. 

Η ενσωμάτωση κρυπτογράφησης δεδομένων σε φορητές 

Οι προκλήσεις του 2015 σε σχέση με τα κενά 

ασφαλείας 

Το 2014 ήταν μια κρίσιμη χρονιά σε ότι αφορά τα κενά α- 

σφαλείας σε επίπεδο λογισμικού, όχι μόνο λόγω της επίδρασής 

τους στα μολυσμένα συστήματα, αλλά επίσης εξαιτίας 

του μεγάλου αριθμού τους. Αρκεί μόνο να αναφέρουμε τις 

χαρακτηριστικές περιπτώσεις των Heartbleed, Shellshock 

και Poodle, οι οποίες έλαβαν τεράστια δημοσιότητα λόγω 

των επιπτώσεών τους σε παγκόσμιο επίπεδο, αλλά και λόγω 

των μέτρων που έλαβαν εταιρείες και ομάδες ασφαλείας. Η 

πιθανή επίπτωση ενός κρίσιμου κενού ασφαλείας είναι εξαιρετικά 

σημαντική, κυρίως επειδή επηρεάζει άμεσα τα δύο 

τρίτα των Internet server, όπως συνέβη στην περίπτωση του 

Heartbleed. Το κενό ασφαλείας του OpenSSL επηρέασε 

χιλιάδες server σε παγκόσμιο επίπεδο, εξαιτίας του γεγονότος 

ότι επέτρεπε στον επιτιθέμενο να αποκτήσει πρόσβαση 

σε μια περιοχή της μνήμης στην οποία αποθηκεύονταν 

τα πιστοποιητικά ή τα κλειδιά που χρησιμοποιούνταν 

για την κρυπτογράφηση δεδομένων. Κατά τη διάρκεια του 

2015, τα κενά ασφαλείας θα παίξουν έναν σημαντικό ρόλο 

στην ασφάλεια των εταιρειών. Όσες εταιρείες αποφασίσουν 

να δράσουν προληπτικά θα βρεθούν ένα βήμα μπροστά α- 

πό πιθανές επιθέσεις, ενώ επιπλέον θα έχουν στην κατοχή 

τους τις πιο πρόσφατες τεχνικές για να προστατέψουν τα 

συστήματα και τα δεδομένα τους. Τα βασικά όπλα ενάντια 

σε τέτοιες επιθέσεις είναι ο καθορισμός των σωστών πολιτικών 

προστασίας, η εφαρμογή λύσεων ασφαλείας, οι ο- 

ποίες επιτρέπουν τον εντοπισμό προσπαθειών επίθεσης, 

και τέλος η υιοθέτηση πολλαπλών μέτρων προστασίας. 

IoT - Internet of Things ...ή Internet of Threats; 

Η φράση Internet of Things (IoT) ακούγεται εδώ και αρκετά 

χρόνια και αναφέρεται στο δίκτυο συσκευών, οι οποίες δι- 

security | 29

i ssue 


αθέτουν την απαραίτητη τεχνολογία για να επικοινωνήσουν 

και να αλληλεπιδράσουν μέσω Internet με άλλες συσκευές, ή 

με ανθρώπους. Σήμερα, μπορούμε να βρούμε παραδείγματα 

τέτοιων συσκευών σε αυτοκίνητα, συστήματα φωτισμού, 

ψυγεία, οικιακά συστήματα ασφαλείας, τηλεοράσεις και τηλέφωνα. 

Αν και αυτές είναι οι πιο συνηθισμένες συσκευές, η 

λίστα είναι πολύ μεγαλύτερη και μπορεί ακόμα να περιλαμβάνει 

και εταιρικό περιβάλλον, εάν για παράδειγμα λάβουμε 

υπόψη μας τα συστήματα SCASA ή οποιοδήποτε άλλο βιομηχανικό 

σύστημα ελέγχου. Πολλές οικιακές συσκευές έ- 

χουν εξελιχθεί σε τέτοιο βαθμό ώστε οι πιο πρόσφατες γενιές 

να επιτρέπουν τη σύνδεση στο Internet προκειμένου να 

καταναλώσουν περιεχόμενο ή να μοιραστούν πληροφορίες 

που θα μπορούσαν να χαρακτηριστούν ως ευαίσθητες. Κατά 

τη διάρκεια του 2014 έχουμε ήδη διαπιστώσει κάποιες περιπτώσεις 

απειλών. Για παράδειγμα, έχουμε γίνει μάρτυρες της 

ύπαρξης διάφορων κενών ασφαλείας σε Smart TV που θα 

μπορούσαν να επιτρέψουν τη διεξαγωγή μαζικών επιθέσεων. 

Η ιδέα του να βρισκόμαστε σε ένα αυξανόμενα αυτόνομο 

περιβάλλον το οποίο κάνει τη ζωή μας πιο εύκολη, μπορεί 

να φαίνεται δελεαστικό για κάποιους ανθρώπους. Από την 

άλλη, η ανάγκη των κατασκευαστών να αντιμετωπίσουν τα 

προβλήματα ασφαλείας είναι πραγματική. Επομένως, οι βασικοί 

παράγοντες που θα έπρεπε να ληφθούν υπόψη το 2015 

είναι ανάμεσα σε άλλους οι παρακάτω: 

Συνδεσιμότητα - Το βασικό χαρακτηριστικό των συσκευών 

αυτών είναι να επιτρέπει την αλληλεπίδραση με το Internet. 

Επομένως, είναι πολύ σημαντικό να προστατευθεί ο τρόπος 

που συνδέονται και μοιράζονται δεδομένα. 

Εύκολη αναβάθμιση - Εξαιτίας του ότι πρόκειται για μια α- 

ναδυόμενη και αναπτυσσόμενη τεχνολογία, είναι κάτι περισσότερο 

από δεδομένο ότι θα ανακαλύπτονται συνεχώς 

κενά ασφαλείας, τα οποία θα πρέπει να επιλύονται όταν η 

συσκευή βρεθεί στα χέρια νέου ιδιοκτήτη. Κατά συνέπεια, έ- 

να πολύ σημαντικό ζήτημα που θα πρέπει να αντιμετωπιστεί 

είναι η ταχύτητα και η ευκολία εγκατάστασης αναβαθμίσεων, 

εάν οι κατασκευαστές θέλουν να κερδίσουν τον αγώνα 

ενάντια στις επιθέσεις. 

Πιστοποίηση - Εφόσον αυτές οι συσκευές θα έχουν μόνιμη 

σύνδεση με το Internet, θα είναι πολύ σημαντικό να διασφαλιστεί 

ότι οι άνθρωποι που αλληλεπιδρούν με τα δεδομένα 

είναι όντως αυτοί που ισχυρίζονται, προκειμένου να αποφευχθεί 

η απώλεια ευαίσθητων δεδομένων. 

Έμπιστες εφαρμογές - Τα ειδικά χαρακτηριστικά και οι εκφάνσεις 

της τεχνολογίας αυτής προσφέρουν πολλές δυνατότητες 

στην αυτοματοποίηση κάποιων καθημερινών ενεργειών. 

Για να μπορούμε να χρησιμοποιούμε τις συσκευές 

αυτές με εμπιστοσύνη, θα πρέπει να διασφαλιστεί το ότι δεν 

θα γίνουν αντικείμενο επίθεσης από κακόβουλες εφαρμογές. 

Κρυπτογράφηση δεδομένων - Δεδομένου ότι αυτές οι συσκευές 

διαχειρίζονται εμπιστευτικές πληροφορίες, θα πρέπει 

να το κάνουν με ασφάλεια και προστασία. Επομένως, η κρυπτογράφηση 

των δεδομένων αυτών αποτελεί μια καλή επιλογή, 

ούτως ώστε κάποιος τρίτος να μην είναι σε θέση να έχει 

πρόσβαση προκειμένου να τις αλλάξει ή να τις υποκλέψει. 

Συμπεράσματα 

Μέσα σε αυτό το πλαίσιο των πολύτιμων δεδομένων, η πρόκληση 

των εταιρειών για το 2015 έγκειται στον τρόπο με τον 

οποίο θα προστατέψουν τα δεδομένα τους, την δραστηριότητά 

τους και ειδικά στον τρόπο με τον οποίο θα καταφέρουν 

να πείσουν τους υπαλλήλους τους να επενδύσουν στα 

προγράμματα ασφαλείας. 

Σε έναν κόσμο στον οποίο συνδεόμαστε και διασυνδεόμαστε 

με όλο μεγαλύτερο ρυθμό, έναν κόσμο όπου η online 

ζωή μας αντανακλά στην πραγματική, έναν κόσμο όπου η 

πολιτική Bring-Your-Own-Device γίνεται συνεχώς πιο αποδεκτή 

σε όλο περισσότερα σημεία, οι χρήστες θα πρέπει να 

ζουν με ένα προφίλ που αντιπροσωπεύει την εργασία τους 

και ένα την ζωή έξω από αυτήν. Αυτό το διπλό προφίλ, σημαίνει 

ότι οι χρήστες θα χρησιμοποιούν διαφορετικές online 

υπηρεσίες, όπως email, κοινωνικά δίκτυα, cloud αποθηκευτικούς 

χώρους, κ.ό.κ. ενώ την ίδια στιγμή πολλοί από αυτούς 

στο πλαίσιο της εργασίας τους θα έχουν πρόσβαση σε α- 

πόρρητα δεδομένα. 

Κάποιες φορές, οι χρήστες αυτοί θα είναι ταυτόχρονα υπεύθυνοι 

για την προστασία των δεδομένων σε εταιρείες, κυβερνητικούς 

ή άλλους οργανισμούς. iTSecurity 

30 | security

i ssue 

Του Δημήτρη Πατσού 

CTO 

Risk Based Authentication: H επόμενη 

γενιά της τεχνολογίας ισχυρής αυθεντικοποίησης 

H 

αυθεντικοποίηση με βάση το ρίσκο 

(risk-based authentication ή adaptive 

authentication – RBA) ορίζεται σαν το σύνολο 

των παραμέτρων και των μεταβλητών 

ρίσκου στη διάρκεια της διαδικασίας αυθεντικοποίησης. 

Οι παράμετροι που συνθέτουν ένα προφίλ ρίσκου στη διαδικασία 

αυθεντικοποίησης χωρίζονται, συνήθως, σε δυο μεγάλες 

κατηγορίες: 

1. Παράμετροι ρίσκου στην πλευρά του χρήστη, που συμπεριλαμβάνουν 

διεύθυνση ΙΡ του χρήστη, αναγνωριστικά 

της συσκευής του (π.χ. MAC address, τύπος επεξεργαστή, 

κ.τ.λ.), browser, ημερομηνία και ώρα, κ.ά. 

2. Παράμετροι ρίσκου στην εφαρμογή στην οποία ζητείται 

πρόσβαση, που συμπεριλαμβάνουν το βαθμό κρισιμότητας 

του εν λόγω συστήματος, το επίπεδο πρόσβασης, την πηγή 

προέλευσης του αιτήματος αυθεντικοποίησης, τους τυχόν 

χρονικούς περιορισμούς πρόσβασης, καθώς και άλλες ιδιαίτερες 

παραμέτρους που συνθέτουν ένα κρίσιμο ή σημαντικό 

γεγονός αυθεντικοποίησης (π.χ. πρόσβαση σε διαβαθμισμένες 

πληροφορίες). 

Τα συστήματα RBA σχεδιάζονται με στόχο να ανιχνεύουν 

-και ταυτόχρονα να ελαχιστοποιούν- το υψηλό ρίσκο που υ- 

πάρχει στη διαδικασία αυθεντικοποίησης σαν σύνθεση των 

παραπάνω παραμέτρων. 

Σενάρια Ρίσκου κατά τη διαδικασία αυθεντικοποίησης 

Για παράδειγμα, ένας χρήστης ο οποίος -συνήθως- συνδέεται 

στο e-banking μιας τράπεζας από τον υπολογιστή του 

σπιτιού του, ορισμένες φορές το μήνα και πάντοτε σε συγκεκριμένες 

ώρες της ημέρας (π.χ. γύρω στις 8-10 το βράδυ), 

εμφανίζεται να αιτείται πρόσβαση από μια εντελώς ασυνήθιστη 

γεωγραφική περιοχή, από μια συσκευή που ποτέ δεν έχει 

χρησιμοποιήσει στο παρελθόν, σε μια εντελώς ασυνήθιστη 

ώρα (π.χ. στις 3 το πρωί). 

Η συμπεριφορά αυτή εκλαμβάνεται ως υψηλού ρίσκου από 

το σύστημα RBA, μιας και διαφέρει αρκετά από την «τυπική» 

συμπεριφορά του συγκεκριμένου χρήστη. 

Έτσι, το σύστημα RBA μπορεί να ζητήσει μια πρόσθετη πληροφορία 

αυθεντικοποίησης (π.χ. εισαγωγή ενός πρόσθετου 

κωδικού μιας χρήσης), προκειμένου να εξακριβώσει αν ο 

συγκεκριμένος χρήστης είναι εκείνος που ισχυρίζεται (π.χ. 

βρίσκεται σε ένα ταξίδι και αιτείται πρόσβαση από τον υπολογιστή 

ενός ξενοδοχείου), ή αν εκείνη τη στιγμή είναι σε ε- 

ξέλιξη μια απόπειρα παραβίασης του λογαριασμού του από 

κάποιον άλλον. Η χρήση των συστημάτων RBA μπορεί να 

επεκταθεί και πέρα από την αυθεντικοποίηση κατά την αίτηση 

πρόσβασης (login), ώστε να αποτρέψει τη διενέργεια 

μη-εξουσιοδοτημένων συναλλαγών (transaction). 

Για παράδειγμα, αν ένας χρήστης πραγματοποιεί συναλλαγές 

ενός συγκεκριμένου ποσού κάθε φορά που χρησιμοποιεί 

το e-banking μιας Τράπεζας (π.χ. πληρωμές λογαριασμών) 

και κάποια στιγμή αποπειραθεί να εκτελέσει μια συναλλαγή 

άλλου τύπου (π.χ. μεταφορά μεγάλου χρηματικού ποσού σε 

κάποιον τρίτο), τότε το σύστημα RBA μπορεί να επιτρέψει, 

χωρίς πρόσθετες πληροφορίες, την πληρωμή του λογαριασμού 

αλλά να ζητήσει έναν πρόσθετο κωδικό ασφάλειας κατά 

τη διαδικασία μεταφοράς του μεγάλου χρηματικού ποσού. 

Έτσι, ενώ παρέχει πρόσθετη ασφάλεια σε μια συναλλαγή υ- 

ψηλού ρίσκου, ταυτόχρονα δεν «ενοχλεί» το χρήστη στις 

τυπικές του συναλλαγές, μιας και αυτές χαρακτηρίζονται ως 

χαμηλού ρίσκου συναλλαγές, δεδομένης της τυπικής συμπεριφοράς 

του συγκεκριμένου χρήστη. 

Η αγορά των συστημάτων RBA 

Η αγορά των RBA συστημάτων βρίσκεται σε αλματώδη ανάπτυξη, 

μιας και -σύμφωνα με τo Gartner Group- περισσότερες 

από το 30% των εταιρειών που επιτρέπουν την απομακρυσμένη 

πρόσβαση με παραδοσιακές μεθόδους (π.χ. χρήση 

username/password) θα μεταβούν σε συστήματα RBA 

μέχρι το τέλος του 2016, ενώ ολοένα και περισσότεροι κατασκευαστές 

προσφέρουν ιδιαίτερα ευέλικτα και ευφυή συστήματα 

που βασίζονται στη συγκεκριμένη τεχνολογία. iTSecurity 

security | 31

i ssue 

Παναγιώτης Καλαντζής 

InfoSec Consultant, Networking Solutions 

Enterprise Information Security 

Μια Ολιστική προσέγγιση 

Π 

αρότι οι συντριπτική πλειοψηφία των οργανισμών 

επενδύουν δυσθεώρητα ποσά για την 

διασφάλιση των δικτύων υπολογιστών και 

των ψηφιακών δεδομένων που έχουν στην 

κατοχή τους, κάθε χρόνο συμβαίνουν σοβαρές 

παραβιάσεις ασφάλειας, οι οποίες γίνονται 

πρώτο θέμα στα δελτία ειδήσεων. Πρόσφατα παραδείγματα 

παραβίασης είναι τα περιστατικά ασφάλειας στην 

SONY Pictures που οδήγησε σε απώλεια ηλεκτρονικής αλληλογραφίας 

υπαλλήλων και υλικού υπό πνευματική ιδιοκτησία, 

καθώς και στην Morgan Stanley που οδήγησε σε απώλεια 

στοιχείων 350.000 πελατών τις τράπεζας, δίνουν μια ανάγλυφη 

εικόνα. Αυτές είναι μόνο μερικές από τις πρόσφατες παραβιάσεις, 

οι οποίες θα συνεχίσουν να συμβαίνουν μέχρις 

ότου αλλάξει η προσέγγισή μας σχετικά με την ασφάλεια. 

Η φύση των απειλών έχει αλλάξει 

Οι απειλές για έναν οργανισμό δεν είναι πια τοπικές. Ο τρόπος 

που διασυνδέονται οι οργανισμοί μέσω της ανταλλαγής 

πληροφοριών, η προσβασιμότητα που απολαμβάνουμε μέσω 

της κινητής τεχνολογίας και η ευκολία με την οποία οι άνθρωποι, 

τα προϊόντα και οι πληροφορίες μετακινούνται κατά 

μήκος των συνόρων, δημιουργούν νέες απειλές. Περιστατικά 

σε μακρινές χώρες μπορούν να επηρεάσουν έναν οργανισμό. 

Ταραχές σε μία κοινότητα, περιοχή ή χώρα, μπορούν 

να δημιουργήσουν διακοπή υπηρεσιών για χιλιάδες επιχειρήσεις, 

η οποία με τη σειρά της, επηρεάζει τις επιχειρήσεις 

/ πελάτες που αυτές εξυπηρετούν. 

Η σημερινή εποχή της πληροφορίας, ειδικά η εποχή του cloud 

computing και των κοινωνικών δικτύων, έφερε στην επιφάνεια νέες 

απειλές. Συχνά τα φώτα της δημοσιότητας καταλαμβάνουν ειδήσεις 

που αφορούν περιστατικά ασφάλειας, τα οποία εν τέλει έ- 

χουν ως αποτέλεσμα σοβαρό πλήγμα στην δημόσια εικόνα γνωστών 

οργανισμών. Ακόμα και σε προσωπικό επίπεδο, γινόμαστε 

στόχος επιθέσεων που αποβλέπουν σε προσωπικά δεδομένα. 

Η κατακερματισμένη προσέγγιση της 

Ασφάλειας Πληροφοριών δεν είναι αποδοτική 

Δυστυχώς, η κατακερματισμένη προσέγγιση της ασφάλειας 

πληροφοριών που εστιάζει μόνο σε μια περιοχή, χωρίς να 

ληφθούν υπόψη πιθανές συνέργειες και επιπτώσεις σε άλλες 

περιοχές, και που στο παρελθόν ήταν σε θέση να προστατεύσει 

τον οργανισμό, δεν είναι πια επαρκής. 

Οι λειτουργίες του οργανισμού – βασίζονται – και συγκλίνουν 

με τις πληροφορίες. Οι οργανισμοί που εξακολουθούν να τις 

θεωρούν ανεξάρτητες αντιμετωπίζουν αυξανόμενες απειλές 

και κινδύνους. Αντίθετα, η εξάρτηση του οργανισμού από τις 

πληροφορίες για να λάβουν περίπλοκες, κρίσιμες επιχειρηματικές 

αποφάσεις, δημιουργεί πίεση για την ασφάλειά τους. Το 

πρόβλημα προκύπτει όταν οι οργανισμοί αντιδρούν σε ορισμένες 

απειλές, επικεντρώνοντας την προσοχή σε εκείνες τις 

περιοχές και άμυνες, αφήνοντας άλλες περιοχές χωρίς άμυνα. 

Η ολιστική προσέγγιση στην Ασφάλεια 

Πληροφοριών 

Προσεγγίζοντας την ασφάλεια και τη διαχείριση κινδύνου 

ολιστικά, δηλαδή λαμβάνοντας υπόψη το σύνολο των πτυχών 

της λειτουργίας ενός οργανισμού - δεδομένου ότι σχετίζονται 

μεταξύ τους – είναι μια τάση που προβλέπουμε ό- 

τι θα συνεχιστεί, δεδομένου ότι οδηγεί σε αποδοτικότερο 

μετριασμό των κινδύνων που αντιμετωπίζει ο οργανισμός. 

Προσεγγίζοντας την ασφάλεια του οργανισμού ολιστικά, με 

πολλά μέρη που επηρεάζουν άλλα μέρη, ο οργανισμός έχει 

την δυνατότητα πρόβλεψης των θεμάτων και δυσλειτουργιών 

που πιθανόν να αντιμετωπίσει λόγω της έστω προσωρινής, 

δυσλειτουργίας ενός κρίσιμου συστήματος, και πώς αυτή θα 

επηρεάσει τα αλληλοεξαρτώμενα με αυτό, συστήματα. 

Ακρογωνιαίος λίθος στην προτεινόμενη προσέγγιση αποτελεί, 

εκτός του προφανούς στόχου για την ασφάλεια των 

πληροφοριών του οργανισμού, η συμμόρφωση με το κανονιστικό 

πλαίσιο που πιθανά ο οργανισμός είναι υποχρεωμένος 

να διατηρεί, οι λειτουργίες του οργανισμού και τέλος, η 

επιχειρησιακοί στόχοι. 

Αναλυτικότερα, η ασφάλεια πληροφοριών έχει ως στόχο 

την αντιμετώπιση των ρίσκων που ο οργανισμός αντιμετωπίζει 

μέσω της διαρκούς παρακολούθησης των εσωτερικών 

και εξωτερικών απειλών. Ταυτόχρονα, η συμμόρφωση με 

το κανονιστικό πλαίσιο που διέπει τη λειτουργία του ορ- 

32 | security

Εικόνα 1. Πλαίσιο Ολιστικής Ασφάλειας. 

γανισμού, καθορίζει τους κινδύνους που πρέπει να αντιμετωπιστούν 

διαφορετικά μπορεί να οδηγήσουν σε σοβαρές 

επιπτώσεις (πρόστιμα, φυλάκιση, αφαίρεση άδειας λειτουργίας), 

αυξάνοντας ταυτόχρονα τις δυνατότητες απόδοσης 

ευθυνών. Τέλος, η ολιστική προσέγγιση της ασφάλειας, έχει 

τη δυνατότητα να βελτιώσει τις εσωτερικές λειτουργίες του 

οργανισμού (ταχύτερη επίλυση προβλημάτων, διαχείριση 

αλλαγών, ελαχιστοποίηση λαθών), ενώ έχει αποτέλεσμα την 

επίτευξη επιχειρησιακών στόχων (μείωση λειτουργικού κόστους, 

αποδοτικότερα SLAs, ελαχιστοποίηση τεχνολογικών 

προβλημάτων και περιστατικών, βελτίωση της συνολικής α- 

ποδοτικότητας του οργανισμού). 

Η ασφάλεια των πληροφοριών, όμως, δεν αφορά μόνο τεχνολογίες 

και προϊόντα. Η προτεινόμενη προσέγγιση, αφορά 

τους παρακάτω παράγοντες, ώστε να επιτυγχάνονται οι 

προαναφερθέντες στόχοι: 

• Άνθρωποι – το κατάλληλο προσωπικό του οργανισμού 

πρέπει να εκτελεί τις κατάλληλες εργασίες. 

• Πολιτικές και διαδικασίες – οι κατάλληλες πολιτικές και διαδικασίες 

έχουν θεσπιστεί για την διαχείριση της ασφάλειας 

και επιχειρησιακής συνέχειας του οργανισμού. 

• Διεργασίες – τα κατάλληλα μοντέλα διεργασιών ασφάλειας/επιχειρησιακής 

συνέχειας είναι σε θέση να εξασφαλίζουν 

την ανταλλαγή πληροφοριών μεταξύ του οργανισμού 

και των εξωτερικών συνεργατών ή πελατών. 

• Προϊόντα – τα κατάλληλα προϊόντα / τεχνολογίες έχουν 

υλοποιηθεί για την μείωση των σχετικών ρίσκων. 

• Βελτίωση – οι κατάλληλες μέθοδοι επαλήθευσης, μετρικές 

και δείκτες απόδοσης έχουν θεσπιστεί για την αποδοτική 

μέτρηση της αποδοτικότητας των μηχανισμών ελέγχου. 

Τέλος, η ολοκληρωμένη διαχείριση των παραπάνω παραγόντων 

με σκοπό την επίτευξη των καθορισμένων στόχων, 

γίνεται μέσα από έναν επαναλαμβανόμενο κύκλο δραστηριοτήτων 

(Εικόνα 1): 

• Θέσπισης Στρατηγικής • Στοχοθεσίας • Σχεδιασμού 

• Υλοποίησης • Λειτουργίας • Παρακολούθησης • Βελτιστοποίησης. 

Σύνοψη 

Στο παρόν άρθρο, έγινε μια συνοπτική αναφορά στην ολιστική 

προσέγγιση της ασφάλειας πληροφοριών, μια προσέγγιση που 

θεωρούμε ότι έχει ως αποτέλεσμα το βέλτιστο βαθμό προστασίας 

του οργανισμού, έναντι πιθανών περιστατικών ασφάλειας. 

Παρά το γεγονός ότι οι απαιτήσεις σε θέματα κυβερνοασφάλειας 

διαφέρουν ανάλογα με τη φύση και το μέγεθος του οργανισμού, 

το κανονιστικό πλαίσιο και τους περιβαλλοντικούς 

παράγοντες στους οποίους λειτουργεί, η παρατιθέμενη προσέγγιση 

θεωρούμε ότι είναι εφαρμόσιμη στο σύνολο των οργανισμών, 

ενισχύοντας σημαντικά το επίπεδο ανθεκτικότητας 

του οργανισμού έναντι επιθέσεων και τον περιορισμό των ε- 

πιπτώσεων σε περίπτωση περιστατικών παραβίασης. 

Στο πλαίσιο αυτό, η Space Hellas, με πολυετή εμπειρία στο 

χώρο της ασφάλειας των πληροφοριών είναι σε θέση να παρέχει, 

τόσο συμβουλευτικές υπηρεσίες, όσο και συγκεκριμένες 

λύσεις που θωρακίζουν στο μέγιστο δυνατό βαθμό τους 

«πόρους» της σύγχρονης επιχείρησης. Ακόμα περισσότερο, 

μέσα από το πλήρως εξοπλισμένο Security Operation 

Center (SOC) που διαθέτει, αλλά και με το εξειδικευμένο 

προσωπικό της, παρακολουθεί 24x7 προληπτικά και δίνει ά- 

μεση λύση σε περιστατικά, πριν ακόμα αυτά γίνουν επιβλαβή 

για έναν οργανισμό. iTSecurity 

Ολιστική Ασφάλεια και Space Hellas. 

security | 33

i ssue 

Ari Davies 

Senior Manager, Cyber Risk Services 

Πέρα από τις δοκιμές 

παρείσδυσης 

..και τις πιστοποιήσεις στην ασφάλεια 

Πλέον τα λειτουργικά συστήματα και οι εφαρμογές σχεδιάζονται έτσι ώστε να είναι όλο 

και πιο ασφαλή. Με τον τρόπο αυτό η περιφρούρηση της ασφάλειας απομακρύνεται 

σταδιακά από το μηχανογραφικό κέντρο, καθώς δεν προσφέρει ιδιαίτερο όφελος να 

συνεχίζουμε να εστιάζουμε στα θέματα ασφαλείας αποκλειστικά από τη σκοπιά των 

τεχνικών μέτρων. 

α λειτουργικά συστήματα και οι εφαρμογές, σχεδιάζονται σήμερα έτσι ώστε να είναι όλο και πιο ασφαλή. Με 

T 

τον τρόπο αυτό η περιφρούρηση της ασφάλειας απομακρύνεται σταδιακά από το μηχανογραφικό κέντρο, 

καθώς δεν προσφέρει ιδιαίτερο όφελος να συνεχίζουμε να εστιάζουμε στα θέματα ασφαλείας αποκλειστικά 

από τη σκοπιά των τεχνικών μέτρων. 

Ως εκ τούτου, είναι σημαντικό να διαχωρίσουμε τις έννοιες Ασφάλεια Πληροφοριακών Συστημάτων (IT 

Security) και Ασφάλεια Πληροφοριών (Information Security). Αδιαμφισβήτητα, το πραγματικό πεδίο ενδιαφέροντος 

είναι η Ασφάλεια Πληροφοριών, καθώς η πληροφορία είναι αυτή που εμπεριέχει ουσιαστική αξία. 

Για να επιτύχουμε λοιπόν πραγματική Ασφάλεια Πληροφοριών, πρέπει να χρησιμοποιήσουμε μια τρισδιάστατη προσέγγιση, 

η οποία περιλαμβάνει όχι μόνο την τεχνολογική υποδομή, αλλά επίσης τον ανθρώπινο παράγοντα και το φυσικό περιβάλλον. 

Οι καλά σχεδιασμένες επιθέσεις στοχεύουν ακόμα και έξω από το παραδοσιακό πλαίσιο του κυβερνοχώρου προκειμένου 

34 | security

να εντοπίσουν αδυναμίες που θα οδηγήσουν σε εταιρικές 

πληροφορίες. Οι αδυναμίες αυτές συχνά δεν εντοπίζονται 

κατά τη διάρκεια των συνηθισμένων ελέγχων και δοκιμών 

ασφαλείας. Για το λόγο αυτό, στη Deloitte σχεδιάσαμε την 

προσέγγιση «Covert Operations» ως έναν καινοτόμο συνδυασμό 

της μεθόδου επιθετικών δοκιμών παρείσδυσης «red 

teaming» και των αιφνιδιαστικών αξιολογήσεων ωριμότητας 

των δικλείδων ασφαλείας. 

Σκοπός της υπηρεσίας αυτής είναι να βοηθήσουμε στην α- 

ξιολόγηση του βαθμού ετοιμότητας και της ευαισθητοποίησης 

των οργανισμών απέναντι στις κυβερνοεπιθέσεις, μέσα 

από την πραγματοποίηση στοχευμένων επιθέσεων βασισμένων 

σε προσυμφωνημένα σενάρια. Η προσέγγιση «Covert 

Operations» παρέχει τη δυνατότητα στους οργανισμούς να 

εντοπίσουν νέες ευπάθειες και ταυτόχρονα να αξιολογήσουν 

την ικανότητά τους να αντιμετωπίσουν πραγματικά περιστατικά 

επιθέσεων. Επιπλέον, μέσα από τη διαδικασία αυτή είναι δυνατό 

να βελτιωθεί η ευαισθητοποίηση τόσο της Διοίκησης όσο 

και των εργαζομένων απέναντι στις απειλές που προέρχονται 

από τον κυβερνοχώρο, καθώς τους δίνεται η δυνατότητα να 

δουν στην πράξη πώς εκδηλώνονται οι κίνδυνοι που μέχρι ε- 

κείνη τη στιγμή αντιμετωπίζονταν σε θεωρητικό μόνο επίπεδο. 

Οι τρελοί και οι καινοτόμοι! 

Η δουλειά των Επικεφαλείς Ασφαλείας των Πληροφοριών 

και των Εσωτερικών Ελεγκτών είναι να ενημερώνονται συνεχώς 

για τις εξελίξεις στον τομέα της ασφάλειας και να προωθούν 

τους στόχους της ασφάλειας στους οργανισμούς. 

Προκειμένου να είναι κάποιος επιτυχημένος σε αυτό το ε- 

πάγγελμα πρέπει να είναι καινοτόμος και η καινοτομία συνεπάγεται 

ότι πρέπει να βρισκόμαστε πάντα μπροστά από 

τις εξελίξεις. 

Θα ήθελα πάρα πολύ να προσποιηθώ ότι η ιδέα πίσω από 

το «Covert Operations» ήταν δική μου, αλλά αυτό θα ήταν 

ψέμα. Όταν γύρω στο 2006 ξεκίνησα, φυσικά με τη βοήθεια 

πολλών άλλων, να σχηματίζω την ιδέα που σήμερα έχει μετεξελιχθεί 

σε αυτό που ονομάζουμε «Covert Operations», 

πάρα πολλοί -αλλά όχι όλοι- με θεωρούσαν τρελό. Αυτό σήμαινε 

είτε ότι ήμουν πραγματικά τρελός, είτε ότι η πρωτοβουλία 

αυτή ήταν καινοτόμα και είχα καταφέρει να έχω κάτι στα 

χέρια μου που με τοποθετούσε μπροστά από τις εξελίξεις. 

«Υπάρχει μόνο μια διαφορά ανάμεσα σε εμένα και έναν τρελό. 

Ο τρελός νομίζει ότι είναι λογικός. Εγώ ξέρω ότι είμαι τρελός» – 

Σαλβαδόρ Νταλί. 

Ιστορικό 

Στις αρχές της δεκαετίας του 2000 η μέθοδος της «κοινωνικής 

μηχανικής» (social engineering) βρισκόταν σε πολύ αρχικό 

στάδιο. Ωστόσο, εκείνο το διάστημα είχα την ευκαιρία 

να εργάζομαι για έναν οργανισμό που διοικούνταν από νέους 

ανθρώπους, οι οποίοι ήταν διατεθειμένοι να ρισκάρουν. 

Συνεπώς, οι δοκιμές ασφάλειας με τη μέθοδο της «κοινωνικής 

μηχανικής» ήταν μια υπηρεσία που μας διαφοροποιούσε 

σημαντικά από τον ανταγωνισμό και φυσικά αποτελούσε ένα 

σημαντικό όπλο στη φαρέτρα της ομάδας πωλήσεων. Πολλοί 

από τους «κοινωνικούς μηχανικούς» ξεκίνησαν την καριέρα 

τους από αυτή την εταιρεία στο Ηνωμένο Βασίλειο, ενώ στη 

συνέχεια εργάστηκαν σε πολλές άλλες χώρες ανά τον κόσμο. 

Κατά τη διάρκεια του 2010 και του 2011 το «phishing» είχε 

αρχίσει να έρχεται στο προσκήνιο. Οι οργανισμοί άρχισαν 

να ζητούν επίμονα τη διεξαγωγή δοκιμών ασφαλείας με τη 

μέθοδο του «phishing», γεγονός που για εμένα αποτελούσε 

τον προάγγελο για τη δημιουργία ακόμα πιο ρεαλιστικών 

μεθόδων αξιολόγησης της ασφάλειας στον κυβερνοχώρο. 

Οι δοκιμές ασφάλειας με τη μέθοδο του «phishing» μέσα σε 

λίγα χρόνια εξελίχθηκαν σταδιακά από μια άγνωστη έννοια 

σε μια καινοτόμα ιδέα, για να φτάσουν σήμερα να θεωρούνται 

καθιερωμένες στο εξωτερικό. Η μέθοδος του «phishing» 

αποτελεί σήμερα ένα από τα βασικά αλλά και πιο διασκεδαστικά 

συστατικά των «Covert Operations». 

Τι είναι λοιπόν η υπηρεσία «Covert Operations»; 

Με την πάροδο του χρόνου και την αύξηση των αντισυμβατικών 

τεχνικών επίθεσης, αναδείχθηκε η σημασία που έχει ο 

συνυπολογισμός όλων των παραγόντων που προαπαιτούνται 

για την ασφάλεια, καθώς και η σταδιακή απαγκίστρωση από 

την ιδέα ότι η ασφάλεια πληροφοριών επιτυγχάνεται μόνο 

με την χρήση όλο και περισσότερων τεχνικών προστατευτικών 

μέσων. Η προσθήκη ενός ακόμα τείχους προστασίας 

(firewall) δεν αποτελεί πανάκεια. Η φυσική ασφάλεια και ο 

ανθρώπινος παράγοντας αναδείχθηκαν σε εξίσου βασικά 

συστατικά προκειμένου να επιτευχθεί μια ολιστική και τρισδιάστατη 

θεώρηση της ασφάλειας πληροφοριών. 

Η βασική ιδέα πίσω από την υπηρεσία «Covert Operations» 

βασίζεται σε δυο άξονες: 

• Από τη μια, αποτελεί μια προσπάθεια να συνδυαστούν ό- 

λες οι πτυχές της ασφάλειας (φυσική ασφάλεια, ανθρώπινος 

παράγοντας και κυβερνοχώρος), με βασικό στόχο την 

παροχή στον εκάστοτε οργανισμό μιας ρεαλιστικής εκτίμησης 

σχετικά με τα επίπεδα της ασφάλειάς του. 

• Από την άλλη, αποτελεί μια αποτελεσματική μέθοδο αξιολόγησης 

όχι μόνο του επιπέδου ασφαλείας των υφισταμένων 

δικλείδων ασφαλείας του εκάστοτε οργανισμού αλλά 

και του τρόπου με τον οποίο οι διάφορες ομάδες και 

τα τμήματά του θα ανταποκριθούν και θα αντιδράσουν σε 

«ελεγχόμενα περιστατικά παραβίασης της ασφάλειας» που 

θα λάβουν χώρα με τη μορφή αιφνιδιαστικών ελέγχων. 

Ένα τυπικό έργο «Covert Operations» ξεκινά με ένα απλό 

ερώτημα: «Ποια είναι τα ζωτικά για τη λειτουργία του οργανι- 

security | 35

i ssue 

Πέρα από τις δοκιμές παρείσδυσης …και τις πιστοποιήσεις στην ασφάλεια 

σμού δεδομένα, τα οποία αν παραβιαστούν θα θέσουν άμεσα 

σε κίνδυνο την λειτουργία του;». Αφότου αποκτήσουμε μια 

σαφή εικόνα των απειλών, των παραγόντων κινδύνου και του 

επιπέδου ωριμότητας του οργανισμού, σχεδιάζουμε μια σειρά 

σεναρίων με απειλές βασιζόμενοι στις ανάγκες του οργανισμού 

όσον αφορά στη φυσική του υπόσταση, στην παρουσία 

του στον κυβερνοχώρο αλλά και στον ανθρώπινο παράγοντα. 

Ασφάλεια κυβερνοχώρου (Cyber Security) 

Οι περισσότεροι από τους επαγγελματίες ασφάλειας πληροφοριών 

αισθάνονται πιο άνετα όταν αναφέρονται σε αυτό 

τον τομέα, καθώς συνήθως αποτελεί τον τομέα εξειδίκευσής 

τους. Η ασφάλεια του κυβερνοχώρου περιλαμβάνει τον 

ψηφιακό κόσμο, το διαδίκτυο καθώς και εσωτερικά εταιρικά 

δίκτυα ή άλλα δίκτυα υπολογιστικών συστημάτων. Αποτελεί 

τον τομέα στον οποίο επικεντρώνονται οι περισσότερες συζητήσεις 

σχετικά με την ασφάλεια πληροφοριών. 

Γνωρίζουμε ότι οι σοβαρότερες κυβερνοεπιθέσεις των τελευταίων 

χρόνων δεν πραγματοποιήθηκαν μέσω επίθεσης και 

εκμετάλλευσης αδυναμιών στην εξωτερική ψηφιακή περίμετρο. 

Οι επιτιθέμενοι είτε παραβίασαν τη φυσική περίμετρο, 

είτε εγκατέστησαν μια φυσική συσκευή παρακολούθησης ή 

– τις περισσότερες φορές – έστειλαν κακόβουλο λογισμικό 

μέσω στοχευμένων επιθέσεων παραπλάνησης (spearphishing 

attacks). 

Ωστόσο, μόλις οι επιτιθέμενοι παραβιάσουν την περίμετρο 

και βρεθούν στο εσωτερικό του οργανισμού που έχουν στοχεύσει, 

τι υπάρχει για να τους σταματήσει, να τους αποτρέψει, 

να τους καθυστερήσει και ιδανικά να τους εντοπίσει; 

Φυσική Ασφάλεια 

Η Φυσική Ασφάλεια περιλαμβάνει τα δικά της εργαλεία «hacking», όπως 

αντιγραφείς καρτών πρόσβασης, κάμερες και εργαλεία ξεκλειδώματος. 

Στους περισσότερους οργανισμούς, η φυσική ασφάλεια διαχωρίζεται 

οργανωτικά από την ασφάλεια πληροφοριών. Παρατηρείται 

συνήθως ότι υπάρχει ξεχωριστή ομάδα που διαχειρίζεται 

τη φυσική ασφάλεια, η οποία έχει ελάχιστη ή καθόλου 

σχέση με την ομάδα ασφάλειας πληροφοριών. Αυτό 

σημαίνει ότι πολλές φορές υπάρχουν σημαντικές αποκλίσεις 

και καθυστερήσεις στην επικοινωνία μεταξύ των δυο ομάδων, 

με αποτέλεσμα η φυσική ασφάλεια να αποτελεί συχνά ένα 

«τυφλό σημείο» για την ασφάλεια πληροφοριών. 

Σε κάθε περίπτωση, θα έπρεπε να ανησυχούμε; Φυσικά! Η 

πληροφορία έχει υπόσταση και στον υλικό κόσμο και - ό- 

πως ξέρουμε - οι επιτιθέμενοι θα ακολουθήσουν πάντοτε το 

δρόμο με τη λιγότερη δυνατή αντίσταση. 

Ανθρώπινος Παράγοντας 

Ο ρόλος του ανθρώπινου παράγοντα και η συνεισφορά του 

στην ασφάλεια πληροφοριών γίνεται πιο ξεκάθαρος όταν 

προσεγγιστεί από την οπτική του επιτιθέμενου και συγκεκριμένα 

μέσω της έννοιας της «κοινωνικής μηχανικής». Η εκμετάλλευση 

των συναισθημάτων και των έμφυτων ανθρώπινων 

συμπεριφορών προκειμένου να αποκομιστεί ίδιον όφελος 

έχουν αναχθεί σήμερα σε τέχνη. 

Όπως εύστοχα αναφέρει ένας καθηγητής μου: «Γιατί να 

μπεις στη διαδικασία να επιτεθείς σε ένα υπερπολύπλοκο 

δίκτυο υπολογιστών, όταν το μόνο που χρειάζεσαι είναι να 

κεράσεις μερικές μπύρες έναν διαχειριστή συστημάτων στην 

τοπική παμπ; Και αν αυτό δε δουλέψει, μπορείς πάντα να τον 

εκβιάσεις. Με τον έναν ή τον άλλο τρόπο, θα βγάλεις τις πληροφορίες 

που θες από το κεφάλι τους». 

Αξίζει να σημειωθεί ότι είναι πολύ πιο εύκολο για έναν επιτιθέμενο 

να επιχειρήσει μια επίθεση «κοινωνικής μηχανικής» 

απομακρυσμένα, έχοντας ασφαλή απόσταση, παρά να έρθει 

σε κατά πρόσωπο συνάντηση με το υποψήφιο «θύμα». Ως 

εκ τούτου, έχει σημειωθεί σημαντική αύξηση τέτοιου τύπου 

επιθέσεων είτε μέσω τηλεφώνου αυτοτροφοδοτούν τη βιωσιμότητά 

τους. Αυτό πιθανότατα οφείλεται στις ισχύουσες 

36 | security

διατάξεις για την προστασία των προσωπικών δεδομένων, 

καθώς και στους προβληματισμούς τόσο των οργανισμών, 

όσο και των πωλητών σε θέματα πιθανής διατάραξης της ο- 

μαλής επιχειρησιακής λειτουργίας. 

Οι νέες τάσεις 

Συνεπώς ποια είναι η τάση που επικρατεί σήμερα στον κλάδο; 

Τον τελευταίο χρόνο έχω παρατηρήσει μια δραστική 

αύξηση στην αναζήτηση υποψηφίων «Red Team Leaders» 

από υπεύθυνους προσλήψεων μεγάλων πολυεθνικών εταιρειών 

στους τομείς των Χρηματοοικονομικών Υπηρεσιών, 

της Ενέργειας, των Υπηρεσιών Κοινής Ωφελείας, καθώς και 

της Τεχνολογίας, Μέσων Μαζικής Ενημέρωσης και Τηλεπικοινωνιών. 

Αυτό είναι λογικό, αφού οι συγκεκριμένοι οργανισμοί ανησυχούν 

ιδιαίτερα δεδομένου ότι βρίσκονται στο επίκεντρο 

των επιθέσεων, με αποτέλεσμα να διαμορφώνουν σταδιακά 

μια ωριμότητα όσον αφορά στον τρόπο με τον οποίο αντιμετωπίζουν 

τα θέματα ασφαλείας και ως εκ τούτου να έχουν 

πολλές πιθανότητες να καταφέρουν να βρεθούν μπροστά 

από τις εξελίξεις. 

Σήμερα στο Ηνωμένο Βασίλειο υπάρχει μια επίσημη πιστοποίηση 

με τίτλο «Simulated Attack Manager/Specialist», η 

οποία παρέχεται από τον οργανισμό CREST, έναν αναγνωρισμένο 

φορέα πιστοποίησης στο Ηνωμένο Βασίλειο με ι- 

σχυρούς δεσμούς τόσο στον ιδιωτικό όσο και στον δημόσιο 

τομέα και ιδιαίτερα στην κοινότητα των επαγγελματιών 

των υπηρεσιών ασφαλείας. Οι πιστοποιήσεις είναι συνήθως 

ένας πολύ καλός δείκτης των τάσεων που επικρατούν στον 

κλάδο και καταδεικνύουν ότι βρισκόμαστε πολύ κοντά στο 

να αγγίξουμε το σημείο της «κρίσιμης μάζας» που αναφέρθηκε 

προηγουμένως. 

Μια ακόμα κατηγορία υπηρεσιών που βρίσκεται μπροστά 

από τις εξελίξεις και για την οποία παρατηρούμε αυξημένα 

επίπεδα ζήτησης και κατά συνέπεια ωριμότητας από 

τις εταιρείες του κλάδου, είναι αυτή των υπηρεσιών παροχής 

πληροφοριών σχετικά με τις απειλές ασφαλείας (threat 

intelligence). Υπάρχει πλέον πληθώρα εταιρειών που παρέχουν 

πληροφορίες «threat intelligence» και ο όρος Open 

Source Intelligence (OSINT) γίνεται σταδιακά ιδιαίτερα δημοφιλής. 

Οι υπηρεσίες «threat intelligence» αποτελούν, από 

μια επιχειρησιακή σκοπιά, ένα τμήμα των υπηρεσιών «Covert 

Operations» αφού καμία λειτουργία δε μπορεί να πραγματοποιηθεί 

με επιτυχία αν υπάρχει έλλειψη πραγματικών και 

έγκυρων πληροφοριών. 

Συμπεράσματα 

Τόσο η επίτευξη της συμμόρφωσης με τα όσα καθορίζονται 

από τα πρότυπα και τα πλαίσια σχετικά με την ασφάλεια 

των πληροφοριών και τη διακυβέρνηση των πληροφοριακών 

συστημάτων, όσο και ο έλεγχος των δικλείδων 

ασφαλείας βάσει των αξιολογήσεων κινδύνων, δε συνεπάγονται 

ότι είμαστε προετοιμασμένοι για μια στοχευμένη 

κυβερνοεπίθεση. 

Το πεδίο του κυβερνοχώρου είναι τόσο δυναμικό που μας 

υποχρεώνει να χρησιμοποιήσουμε πρακτικότερες μεθόδους 

ώστε να καλύψουμε τα κενά που αφήνουν οι υπάρχουσες 

δικλείδες ασφαλείας. Με αυτό τον τρόπο θα έχουμε την ευκαιρία 

να παρατηρήσουμε τις ενέργειες που ένας εισβολέας 

θα μπορούσε να πραγματοποιήσει στο περιβάλλον μας. Οι 

ρεαλιστικές δοκιμές ασφαλείας όχι μόνο αποκαλύπτουν τις 

ασφαλιστικές δικλείδες που μπορούν να παρακαμφθούν, αλλά 

επιπλέον μας επιτρέπουν να καταλάβουμε τον τρόπο με 

τον οποίο οι ομάδες διαχείρισης συστημάτων, παρακολούθησης 

των προστατευτικών μηχανισμών και αντιμετώπισης 

περιστατικών θα αντιδράσουν σε ένα πραγματικό γεγονός 

παραβίασης της ασφάλειας. 

Η κατανόηση του περιβάλλοντός μας πέραν των απαιτήσεων 

των προτύπων διακυβέρνησης της ασφάλειας, μας δίνει 

τη δυνατότητα να βελτιώσουμε τον τρόπο με τον οποίο α- 

ντιμετωπίζουμε την ασφάλεια και να πραγματοποιήσουμε μια 

ρεαλιστική αξιολόγηση του οργανισμού μας βάσει των πραγματικών 

απαιτήσεων του εσωτερικού ελέγχου. 

Είναι αλήθεια ότι απλά και μόνο στο άκουσμα των υπηρεσιών 

«Covert Operations» μπορεί να αισθανόμαστε μια σύγχυση 

που προκύπτει από την περιπλοκότητα του όρου. Ω- 

στόσο, η κατανόηση του κυβερνοχώρου και του τρόπου με 

τον οποίο αυτός εξελίσσεται, αποτελεί βασική προϋπόθεση 

ώστε να μπορέσουμε να καταλάβουμε τη σημασία που έχει 

για την ασφάλεια του εκάστοτε οργανισμού η διαφοροποίηση 

από τα καθιερωμένα και η υιοθέτηση νέων μεθόδων ε- 

λέγχου της ασφάλειας. 

Ως επαγγελματίες της ασφάλειας, για να το πετύχουμε αυτό 

θα πρέπει να εργαστούμε σκληρά, να είμαστε συγκεντρωμένοι 

στον στόχο, να αποδείξουμε την «τρέλα» μας και να 

είμαστε ένα βήμα μπροστά από τις εξελίξεις, έτοιμοι να συμπαρασύρουμε 

τους συναδέλφους μας, τον κλάδο μας και 

γιατί όχι, τους ανταγωνιστές μας προς αυτή την κατεύθυνση. 

iTSecurity 

security | 37

eport 

OCEDO Global Roadshow 

Η επόμενης γενιάς λύση Software Defined 

Networking 

Στις 12 Φεβρουαρίου η εταιρεία OCEDO σε συνεργασία με την εταιρεία NSS γιόρτασε την 

είσοδό της στην Ελληνική αγορά με μία επίσημη παρουσίαση των λύσεών της, σε ειδική 

εκδήλωση με την ονομασία OCEDO Roadshow 2015, που πραγματοποιήθηκε στην Αθήνα 

στο ξενοδοχείο Royal Olympic Hotel στις 12 Φεβρουαρίου. Η Αθήνα αποτελεί έναν από 

τους πολλούς προορισμούς σε όλο τοn κόσμο που θα γίνει η εν λόγω παρουσίαση. 

H 

OCEDO είναι μία νέα εταιρεία που δραστηριοποιείται 

στις επιχειρησιακές λύσεις 

δικτύωσης, η οποία κατασκευάζει λύσεις για 

την ολοένα αναπτυσσόμενη αγορά SDN 

(Software Defined Networking) και τράβηξε 

την προσοχή της βιομηχανίας χάρη στις ιδιαίτερα ισχυρές 

στον τομέα της ασφάλειας αλλά και ιδιαίτερα απλές στην ε- 

γκατάσταση και ανάπτυξη λύσεις δικτύωσης που προτείνει. 

Η εταιρεία OCEDO δημιουργήθηκε από τους ιδρυτές της 

Astaro, της γνωστής εταιρείας δικτυακής ασφάλειας, που την 

περασμένη δεκαετία ανέπτυξε συστήματα ασφάλειας δικτύων 

για χιλιάδες οργανισμούς σε παγκόσμιο επίπεδο και εξαγοράστηκε 

από την Sophos το 2011. 

Το Software Defined Networking (SDN) είναι μια ορολογία 

που χρησιμοποιείται για να περιγράψει ένα σύστημα στο 

οποίο χρησιμοποιείται ένα ειδικό λογισμικό για να διαμορφώσει 

και να διαχειριστεί δυναμικά όλο το δικτυακό εξοπλισμό 

μίας επιχείρησης ή ενός οργανισμού που μεταβάλλεται 

δυναμικά ανάλογα με τις απαιτήσεις και τις ανάγκες που υ- 

πάρχουν και προκύπτουν. 

Πρόσφατα, η εταιρεία με όλα τα ιδρυτικά στελέχη της και με 

εκπροσώπους εταιρειών στην χώρα μας, γιόρτασε την είσοδό 

της στην Ελληνική αγορά, σε ειδική εκδήλωση με την ο- 

νομασία OCEDO Roadshow 2015, που πραγματοποιήθηκε 

στο Royal Olympic Hotel στις 12 Φεβρουαρίου σε συνεργασία 

με την εταιρεία NSS που είναι ο διανομέας της OCEDO 

στη Νοτιοανατολική Ευρώπη. 

Κατά τη διάρκεια της εκδήλωσης, η εταιρεία OCEDO γνώρισε 

σημαντικές Ελληνικές εταιρείες του κλάδου της πληροφορικής 

και εξήγησε τους λόγους που οι λύσεις SDN υπερτερούν 

έναντι των συμβατικών λύσεων δικτύωσης. Επίσης 

έδειξε πως οι εταιρείες ενοποίησης συστημάτων πληροφορικής 

(System Integrators) και οι πάροχοι διαχειριζόμενων 

υπηρεσιών (Managed Service Providers) μπορούν εύκολα 

και με ταχύτητα να δημιουργήσουν τα δικά τους ιδιωτικά δίκτυα 

στο σύννεφο ή στο δικό τους περιβάλλον τοπικά, εξασφαλίζοντας 

ότι η λύση ταιριάζει στις απαιτήσεις ιδιωτικότητας 

των τελικών πελατών. Αυτό τους δίνει τη δυνατότητα 

να δημιουργούν ολόκληρα δίκτυα εξ’ αποστάσεως από το 

σύννεφο, να ανιχνεύουν την δικτυακή δραστηριότητα εις 

βάθος και να προωθούν αλλαγές μαζικά στην διαμόρφωση 

του δικτύου σε πραγματικό χρόνο. 

Η σχεδίαση του συστήματος της OCEDO βοηθάει τους διαχειριστές 

να εφαρμόζουν δυναμικούς κανόνες πρόσβασης 

στο επιχειρησιακό δίκτυο εξατομικευμένους επάνω στους 

χρήστες (User-Based Security & Management) και όχι μόνο 

τις συσκευές όπως γίνεται συνήθως. Επίσης, επιτρέπει 

στους ίδιους τους χρήστες να ενσωματώνουν τις συσκευές 

τους στο σύστημα (User Provisioning) ανεξαρτήτως από το 

αν είναι εταιρικές ή προσωπικές (BYOD / Bring Your Own 

Device). Επίσης, η OCEDO διασυνδέει με ασφάλεια τοποθεσίες 

όπως γραφεία, κέντρα δεδομένων, καταστήματα και 

γραφεία μέσω SDN-αυτοματοποιημένων IPSec VPNs και τοίχους 

προστασίας επόμενης γενιάς (firewall). 

Αλλά αυτό που καθιστά τη λύση της OCEDO μοναδική 

είναι η προσέγγιση επάνω στο SDN, όπως επισημαίνει ο 

Andrew Lerner, Διευθυντής Έρευνας της Gartner: «Το 

Software-Defined Networking (SDN) είναι μία νέα, ριζοσπαστική 

προσέγγιση στη σχεδίαση, κατασκευή και λειτουργία δικτύων 

που φέρνει ένα βαθμό ευελιξίας, παρόμοιο με αυτό που η αφαι- 

38 | security

ρετικότητα, εικονικοποίηση και η ενορχήστρωση έφερε στην υποδομή 

των διακομιστών». 

«Το SDN είναι έτοιμο να κινηθεί πλέον έξω από τα κέντρα δεδομένων 

και να προσφέρει πραγματική καινοτομία στα διανεμημένα 

ή κατανεμημένα επιχειρησιακά δίκτυα και η Ocedo εστιάζει στο 

να καταστήσει την δικτύωση δραστικά απλούστερη για τους σημερινούς 

ευέλικτους και ολοένα αναπτυσσόμενους οργανισμούς» 

συμπληρώνει ο Jan Hichert, CEO της OCEDO. 

Ο Jan Hichert, CEO της OCEDO στη διάρκεια της παρουσίασής του. 

Πράγματι, η μεγαλύτερη πρόκληση για τα σημερινά επιχειρησιακά 

δίκτυα είναι η ολοένα αυξημένη πολυπλοκότητα 

λόγω της φορητότητας, του σύννεφου (cloud computing), 

του λεγόμενου Internet of Things, του παλαιού δικτυακού 

εξοπλισμού, καθώς και εξαιτίας των ολοένα αυξανόμενων 

ανησυχιών για την προστασία της ιδιωτικής ζωής. 

Οι παραδοσιακές προσεγγίσεις στη διαχείριση δικτύων α- 

παιτούν μεγάλες δεξιότητες και πολύ χρόνο. Η OCEDO ω- 

στόσο έχει τη λύση αφού πρόσφατα ανακοίνωσε το νέο της 

αυτοματοποιημένο σύστημα δικτύωσης. Το σύστημα της 

OCEDO αποτελείται από ένα σύστημα ελέγχου στο σύννεφο 

(Cloud Connect Controller), συστήματα Gateways με 

φυσικές ή εικονικές συσκευές για VMWare, Hyper-V, XEN, 

KVM και Amazon EC2, διαμεταγωγείς (switches) και σημεία 

ασύρματης πρόσβασης (access points) και μπορεί να θέσει 

σε λειτουργία επιχειρησιακά δίκτυα κυριολεκτικά μέσα σε ο- 

ρισμένα λεπτά. Με τις αυτοματοποιημένες δυνατότητες διαμόρφωσης 

και ρύθμισης, τη συγκεντρωτική δικτυακή ορατότητα 

και την αντιμετώπιση προβλημάτων, όλα διαχειριζόμενα 

από μία κεντρική κονσόλα στο σύννεφο, οι διαχειριστές δικτύων 

μπορούν αποτελεσματικά να ελέγχουν ακόμα περισσότερο 

κατανεμημένα δίκτυα με πολύ χαμηλότερο κόστος. 

«Η OCEDO απλοποιεί τόσο την εγκατάσταση όσο και την διαχείριση 

των δικτύων, προσφέροντας ένα ιδιαίτερα απλό στην χρήση 

cloud controller μαζί με ένα οικονομικό οικοσύστημα hardware 

και απευθύνεται σε όλες τις επιχειρήσεις ανεξαρτήτου μεγέθους» 

λέει ο Γιώργος Καπανίρης, Διευθυντής Στρατηγικής Ανάπτυξης 

της εταιρείας NSS. 

To οικοσύστημα της OCEDO 

Τα σημαντικότερα στοιχεία του οικοσυστήματος της 

OCEDO είναι τα εξής: 

OCEDO Connect. Είναι ο ελεγκτής στο cloud, ο οποίος 

επιτρέπει στους διαχειριστές δικτύων εύκολα και αποτελεσματικά 

να σχεδιάζουν, να αναπτύσσουν και να διαχειρίζονται 

επιχειρησιακά δίκτυα. Μέσω μίας κεντρικής κονσόλας 

στο Web, οι διαχειριστές έχουν πλήρη εικόνα για την δικτυακή 

δραστηριότητα επιτρέποντας μία δυναμική προσέγγιση 

στην δικτυακή ασφάλεια και τη διαχείριση υποδομών. 

Οι διαχειριστές μπορούν να χρησιμοποιήσουν το OCEDO 

Connect στο εξελιγμένο κέντρο δεδομένων της OCEDO, 

εντός των συστημάτων Amazon Web Services ή σε κάποια 

ιδιωτική υποδομή αν αυτό είναι αναγκαίο λόγω κανονιστικών 

περιορισμών. 

OCEDO Gateway. Τα μοντέλα G50, G100 και VM Gateway 

μπορούν να συνδέσουν μεταξύ τους τοπικά δίκτυα έως και 

1000 χρηστών και κέντρα δεδομένων σε δίκτυα ευρείας περιοχής 

(Wide Area Networks), εξασφαλίζοντας την δικτυακή 

κίνηση σύφωνα με τους χρήστες και τις εφαρμογές 

(L7 Firewall) και να διαχειρίζονται την συνδεσιμότητα του 

Internet με πολλαπλές συνδέσεις (Uplink Balancing). Το 

σύστημα Ocedo AutoVPN κρυπτογραφεί και δρομολογεί 

αυτόματα την κυκλοφορία επιτρέποντας την απρόσκοπτη 

σύνδεση απομακρυσμένων τοπικών δικτύων μεταξύ τους, ή 

προς συστήματα που βρίσκονται στο ιδιωτικό ή το δημόσιο 

σύννεφο (Private / Public Cloud) με ένα απλούστατο setup 

ενός κλικ. Τα συστήματα OCEDO Physical Gateways είναι 

λύσεις hardware για συνδεσιμότητα επιχειρήσεων μεσαίου 

μεγέθους, αποτελώντας ένα ενιαίο σύστημα σχετικά με το 

δίκτυο και την ασφάλεια. Προαιρετικά διατίθεται και με ενσωματωμένο 

ασύρματο access point ή σύστημα 3G. Τα Ocedo 

VM Gateways μπορούν να διασυνδέσουν τοπικά δίκτυα με 

απομακρυσμένες εικονικές υποδομές. Εννοείται ότι σε περίπτωση 

μετακίνησης διακομιστών (servers) από μία φυσική 

θέση που βρίσκονται σήμερα, στο σύννεφο οι χρήστες δε 

θα αντιληφθούν απολύτως τίποτα. 

OCEDO Wireless. Τα μοντέλα access point AP3, AP5 και 

AP5r παρέχουν επιχειρησιακής κλάσης ασύρματη δικτύωση 

σε εργαζομένους, επισκέπτες καθώς και άλλες συσκευές 

που αποτελούν το λεγόμενο Internet of Things. Χάρη στις 

security | 39

eport 

OCEDO Global Roadshow 

σύγχρονες τεχνολογίες φορητότητας (smart roaming) α- 

πλοποιείται και εκσυγχρονίζεται η συνδεσιμότητα μεταξύ των 

διάφορων σημείων πρόσβασης (access points) και των τοποθεσιών, 

ενώ ο έλεγχος δικτυακής πρόσβασης που βασίζεται 

στους χρήστες προστατεύει τα περιβάλλοντα BYOD. Στην 

συγκεκριμένη περίπτωση καλό είναι να αναφέρουμε ότι χρήστες 

μπορούν να ταυτοποιήσουν οι ίδιοι τις συσκευές τους 

για άμεση πρόσβαση στο δίκτυο. Οι Πολιτικές πρόσβασης 

που βασίζονται στους χρήστες, δίνουν τη δυνατότητα στο 

διαχειριστή να μπορεί να διαχειριστεί με επιτυχία όλες τις 

συσκευές που πολλαπλασιάζονται αλλά αυτόματα ανατίθενται 

στους ιδιοκτήτες τους. Η εταιρεία προσφέρει μοντέλα 

Access Points για εσωτερική ή εξωτερική χρήση και φυσικά 

και για βιομηχανικά περιβάλλοντα. 

OCEDO Switching. Αποτελείται από διαμεταγωγείς 

(switches) SDN πλήρως διαχειρίσιμους στο σύννεφο, που 

επιτρέπουν συνδεσιμότητα plug-and-play, υποστηρίζουν PoE 

και έχουν διαφορετικό αριθμό από πόρτες και λειτουργικότητα 

για κάθε επιθυμητή συνδεσιμότητα. Τα βασικά χαρακτηριστικά 

τους περιλαμβάνουν cloud stacking, αυτόματη 

διαμόρφωση δικτυακών ζωνών (network zoning), ασφάλιση 

θυρών, προτεραιότητα κίνησης και μάλιστα με μηδενικό 

θόρυβο, αφού δεν διαθέτουν μετακινούμενα στοιχεία όπως 

ανεμιστήρες. 

Σήμερα, τα επιχειρησιακά δίκτυα που έχουν δημιουργηθεί 

χρησιμοποιώντας τεχνολογίες SDN προβάλουν ως οφέλη 

την αυξημένη ευελιξία, κλιμάκωση και ταχύτητα καθώς και το 

χαμηλό κόστος κτήσης και λειτουργίας. Και αυτό είναι που 

καθιστά την OCEDO μοναδική, ότι εστιάζει ξεκάθαρα στο 

να φέρει όλα τα παραπάνω οφέλη του SDN σε κατανεμημένα 

επιχειρησιακά δίκτυα ειδικά στις μεσαίες επιχειρήσεις. 

OCEDO & NSS 

Τα συστήματα της OCEDO διανέμονται από την εταιρεία 

NSS. Η NSS είναι ένας διεθνής διανομέας Value Added 

Distributor (VAD), εξειδικευμένος σε λύσεις αιχμής στον τομέα 

της πληροφορικής, που καλύπτουν τους τεχνολογικούς 

τομείς της ασφάλειας των πληροφοριών, της δικτύωσης, των 

ενοποιημένων επικοινωνιών, της αποθήκευσης δεδομένων, 

της εικονικοποίησης (virtualization), καθώς και σε συστήματα 

υποδομής υπολογιστικών κέντρων δεδομένων (datacenters). 

Μέσω της υψηλής τεχνολογίας και της βαθιάς γνώσης 

της αγοράς, η NSS με πολύ μεγάλη προσοχή έχει συνάψει 

στρατηγικές συνεργασίες με κατασκευάστριες εταιρείες 

που ηγούνται στο χώρο τους όπως SOPHOS, LOGPOINT, 

SEP, WD, COMMUNIGATE SYSTEMS, PEPLINK, ARRAY 

NETWORKS, JACARTA κ.ά. Μέσα από την ανάπτυξη συνεργασιών 

με επιλεγμένες επιχειρήσεις πληροφορικής, η NSS 

έχει δημιουργήσει ένα διευρυμένο δίκτυο εξουσιοδοτημένων 

μεταπωλητών στην Ελλάδα, στην Κύπρο, στη Μάλτα και στις 

Βαλκανικές χώρες. Τα προϊόντα της NSS ήδη αξιοποιούν 

πλήθος μικρών, μεσαίων και μεγάλων επιχειρήσεων και Οργανισμών 

του Δημόσιου και του Ιδιωτικού τομέα, σε όλες τις 

παραπάνω χώρες. iTSecurity 

Το OCEDO Roadshow 2015 αποτέλεσε μια πολύ καλή ευκαιρία για στελέχη της OCEDO και της NSS να αναδείξουν τη στρατηγική τους συνεργασία στη Νοτιοανατολική 

Ευρώπη. 

40 | security

eport 

Ενοποίηση και απλοποίηση 

της διαχείρισης ασφάλειας 

προσφέρει η Dell 

Το όραμα και τη στρατηγική της Dell Software, εστιάζοντας κυρίως στον τομέα της 

ασφάλειας, παρουσίασε σε ειδική εκδήλωση κατά την επίσκεψή του στην Ελλάδα 

ο Ramsés Gallego, Security Strategist & Evangelist της Dell Software και Διεθνής 

Αντιπρόεδρος του ISACA. 

H 

Dell, είναι μια εταιρεία που παραδοσιακά η 

δραστηριότητά της ήταν ταυτισμένη με λύσεις 

hardware, που απευθύνονται σε επαγγελματικό 

περιβάλλον, αλλά φυσικά και στο καταναλωτικό 

κοινό με ιδιαίτερη επιτυχία. 

Παρατηρώντας τα τελευταία χρόνια όμως την πορεία της Dell, 

διακρίνουμε την ιδιαίτερη δυναμική που έχει αναπτύξει πλέον 

και στον τομέα του λογισμικού, ως αποτέλεσμα σημαντικών 

εξαγορών εταιρειών software, καθώς και παράλληλης εσωτερικής 

ανάπτυξης και εξέλιξης. 

Όπως ανέφερε στην παρουσίασή του ο Ramsés Gallego, η 

συγκεκριμένη στρατηγική της Dell βασίστηκε στην ανάγκη για 

επανασχεδιασμό του IT, λαμβάνοντας υπόψη τις σύγχρονες 

τάσεις όπως το Cloud, τα Big Data, το Mobility, που από την 

μια πλευρά δημιουργούν μεγάλες δυνατότητες αλλά παράλληλα 

μπορεί να επιφέρουν και νέους κινδύνους. Έτσι, η ανάγκη 

για προστασία των δεδομένων και διαχείριση των κινδύνων, 

μέσα από νέα τεχνολογικά εργαλεία, καθίσταται κομβικής σημασίας 

μέσα στα πλαίσια των αλλαγών που επιφέρουν οι συγκεκριμένες 

τάσεις στο οικοσύστημα της πληροφορικής των 

επιχειρήσεων. Βασικός πυρήνας της στρατηγικής της Dell, ό- 

πως μας την ανέπτυξε ο εκπρόσωπος της εταιρείας, είναι η 

ενοποίηση και απλοποίηση των λειτουργιών διαχείρισης της 

ασφάλειας με άξονα τη δημιουργία λύσεων για την προστασία 

των δεδομένων σε Data Center και υποδομές cloud καθώς 

και τη διαχείριση πληροφοριών και του mobility μέσα από μια 

αποτελεσματικά ολιστική προσέγγιση. 

Όλες αυτές οι νέες τάσεις έχουν ως κοινό τόπο και είναι άρρηκτα 

συνδεδεμένες με την απαίτηση για προστασία των δεδομένων 

μέσα από συγκεκριμένα εργαλεία που προσφέρει η 

Dell για: Email security - Endpoint security & management 

- Identity & access management - Network security & 

secure remote access - Application & email protection - 

Backup & recovery - Disaster recovery & replication - Virtual 

protection. 

Όπως χαρακτηριστικά επισήμανε ο ομιλητής, η Dell Software 

έχει το πλεονέκτημα να αντιμετωπίζει αποτελεσματικά τα θέματα 

της διαχείρισης της ασφάλειας, του cloud και του mobility, 

με βάση την πολύχρονη εμπειρία της στις εταιρικές υποδομές 

πληροφορικής, αλλά και μέσα από μια «φρέσκια προσέγγιση» 

που της επιτρέπει να προσφέρει ταυτόχρονα απόλυτη 

ορατότητα και έλεγχο στις υποδομές IT, υψηλή απόδοση και 

αυτοματοποίηση στην ενσωμάτωση λύσεων καθώς και τη βέλτιστη 

διαχείριση κόστους. iTSecurity 

security | 41

eference 

Angelo Gentili 

Business Development Manager 

Cyberoam Layer 8 Technology 

Ασφάλεια χτισμένη γύρω από την ταυτότητα 

του χρήστη 

Οι τρέχουσες εταιρικές πολιτικές γύρω από την ασφάλεια δικτύων συχνά παραμελούν το 

πιο κρίσιμο και αδύναμο στοιχείο για την ασφάλεια: το ανθρώπινο στοιχείο. Η συνολική 

ασφάλεια μιας εταιρείας είναι τόσο ισχυρή όσο ο πιο αδύναμος κρίκος της: ο χρήστης. 

Λ 

όγω της ανάγκης για μεγαλύτερο έλεγχο και 

βαθύτερη ορατότητα στη διαδικτυακή δραστηριότητα 

του κάθε χρήστη ενός οργανισμού, 

η Cyberoam εφηύρε την τεχνολογία 

Layer 8 (πατέντα της Cyberoam) την ο- 

ποία ενσωμάτωσε στα UTM της (UTM, Next Generation 

Firewalls). Με αυτό τον τρόπο καλύπτει την ανάγκη για ένα 

πιο ισχυρό σύστημα ασφάλειας του δικτύου το οποίο μπορεί 

να συμπεριλαμβάνει και την ταυτότητα του κάθε χρήστη 

ή μιας ομάδας χρηστών, ως παράμετρο των κριτηρίων του 

κάθε κανόνα του firewall. Το Layer 8 της Cyberoam που διαχειρίζεται 

την ταυτότητα του χρήστη, χρησιμοποιεί τις δικτυακές 

συσκευές ασφάλειας για να προσθέσει το 8ο layer 

ή το «ανθρώπινο layer» σε κάθε πακέτο δεδομένων που μεταφέρεται 

και να το διαχειριστεί αναλόγως. Αυτό επιτρέπει 

στους διαχειριστές να θεσπίσουν εξατομικευμένες πολιτικές 

ασφαλείας, ποιότητας και προτεραιότητας κατά την πρόσβαση 

στο εσωτερικό δίκτυο και στο διαδίκτυο με βάση το 

username. Επίσης δίνει τη δυνατότητα για εξατομικευμένες ε- 

νεργές αναφορές (drill-down reports) πάνω στη διαδικτυακή 

δραστηριότητα του εκάστοτε χρήστη βάσει του username. 

Οφέλη 

• Αναγνώριση των θυμάτων επιθέσεων μέσω του username 

του θύματος. 

• Οι διαχειριστές έχουν την δυνατότητα για άμεση ορατότητα 

στις πηγές των επιθέσεων. 

• Μέγιστος εξατομικευμένος έλεγχος του τι κάνει ο κάθε 

χρήστης του δικτύου. 

• Επιτρέπει να δημιουργηθούν πολιτικές με βάση τον κάθε 

άνθρωπο ξεχωριστά ανεξαρτήτως συσκευής. 

• Αναφορές ανά χρήστη που προβάλουν αναλυτικά την χρήση, 

τα προβλήματα, τις εισβολές. 

Πλήρης και ολοκληρωμένη ασφάλεια του δικτύου κάνοντας 

χρήση μίας και μόνο Cyberoam συσκευής ασφαλείας 

(UTM, NGFW). Το 8ο layer ή το «ανθρώπινο layer» είναι 

ενσωματωμένο σε όλες τις διακριτές υπομονάδες του. Δίνει 

τη μέγιστη ευκολία στο διαχειριστή να κάνει όλες τις παραμετροποιήσεις 

και την διαχείριση των πολιτικών ασφαλείας 

στο σύνολό τους, συνοψίζοντάς τες πάνω σε μια και μόνο 

γραφική σελίδα διαχείρισης του firewall. Το Layer 8 συνδυάζεται 

με όλα τα χαρακτηριστικά ασφαλείας δημιουργώντας 

μια μοναδική, ενοποιημένη συσκευή ασφαλείας και επιτρέπει 

στον διαχειριστή να αλλάζει δυναμικά τις πολιτικές ασφάλειας, 

ενώ παράλληλα το σύστημα καταγράφει αναλυτικά όλες 

τις κινήσεις ανά χρήστη: συνδέσεις, αποσυνδέσεις, αλλαγές 

επιπέδων ιεραρχίας και πρόσβασης, κ.λπ. 

Ταχύτητα στην ασφάλεια. Λόγω της έλλειψης διαβαθμισμένου 

ελέγχου εφαρμογών με βάση την ταυτότητα του χρήστη, 

οι ομάδες ΙΤ συχνά σπαταλούν πολύτιμο χρόνο για να 

βρουν την πηγή των επιθέσεων κατά τη διάρκεια ενός περιστατικού 

ασφάλειας. Με το layer 8 δίνεται η δυνατότητα 

στους διαχειριστές να έχουν άμεση ορατότητα στις πηγές 

των επιθέσεων και να αναγνωρίσουν τα θύματα/θύτες των 

επιθέσεων μέσω του username που είναι θύμα/θύτης, το ο- 

ποίο επιτρέπει την προληπτική/δυναμική αποκατάσταση των 

42 | security

περιστατικών ασφαλείας. 

Ασφάλεια σε Wi-Fi περιβάλλον. Το Layer 8 διασφαλίζει την 

ασφάλεια στον οργανισμό και σε δυναμικό περιβάλλον Wi- 

Fi, όπου δεν εντοπίζονται εύκολα οι χρήστες, μόνο με την 

IP διεύθυνσή τους. Προσφέρει ισχυρή ταυτότητα χρήστη, ε- 

λέγχει την πρόσβαση στο διαδίκτυο, δίνει αναφορές με βάση 

την ταυτότητα και προσφέρει ξεχωριστή πρόσβαση στο 

δίκτυο σε επισκέπτες και εργαζόμενους. 

Αύξηση παραγωγικότητας. Η Cyberoam έχει δημιουργήσει 

ένα σύστημα με το οποίο φιλτράρει το περιεχόμενο και τις 

εφαρμογές, το οποίο διαχειρίζεται αναλυτικά το σερφάρισμα 

στο διαδίκτυο ρυθμίζοντας πολιτικές για χρήστες και ομάδες, 

δίνοντας τη δυνατότητα στον διαχειριστή να ορίσει περιορισμούς 

πρόσβασης βασισμένους σε προκαθορισμένες 

ιστοσελίδες κατηγοριοποιημένες σε 82+ ομάδες αλλά και 

συνδυαστικά βάσει της συνολικής διάρκειας χρόνου σερφαρίσματος 

ανά χρήστη και ανά σελίδα (π.χ. επιτρέπεται 1 ώρα 

Facebook ανά χρήστη, ανά ημέρα, ανεξαρτήτως ωραρίου) 

Bandwidth control QOS. Η διαχείριση του bandwidth α- 

νά χρήστη, ανά ώρα και ανά ρόλο αποτρέπει τους χρήστες 

από το να καταναλώνουν τεράστιες ποσότητες bandwidth 

για μη παραγωγικό surfing και downloads. Οι άμεσοι έλεγχοι 

άμεσων μηνυμάτων (ΙΜ) επιτρέπουν στους διαχειριστές να 

ρυθμίζουν ποιός μπορεί να συνομιλήσει με ποιόν χρησιμοποιώντας 

text chat, webcam, file transfer. 

Ενσωματωμένη καταγραφή και αναφορά. Το Cyberoam 

iView εμπεριέχεται σε όλα τα appliances και μέσω του Layer 

8 identity-based συστήματος αναφοράς, εντοπίζει την ακριβή 

δραστηριότητα για κάθε χρήστη στο δίκτυο. Το ταμπλό 

του δείχνει όλες τις επιθέσεις του δικτύου σε μία μόνο οθόνη 

με αναλυτικές δυναμικές αναφορές πολλαπλών επιπέδων 

(1200+ αναφορές) για την διερεύνηση της συμπεριφοράς 

των χρηστών και των επιθέσεων πίσω από αυτές. 

Multilink Μanagement Loadbalancer, πολλαπλές γραμμές 

Internet. Όλα τα συστήματα της Cyberoam υποστηρίζουν 

τη σύνδεση δυνητικά απεριόριστων γραμμών Internet (4096 

WANs), τις οποίες μπορεί να διαχειριστεί μέσω του ενσωματωμένου 

Loadbalancer και παράλληλα με πολλαπλές διαφορετικές 

πολιτικές δρομολόγησης ανά χρήστη, ομάδα 

χρηστών, εφαρμογές, πρωτόκολλου, ώρα της ημέρας. Ακόμα, 

και από backup 3G/4G γραμμές που δέχεται μέσω του 

USB Host που έχει ενσωματωμένο. 

CCNSP Training από PartnerNET - 

Παγκοσμίως αναγνωρισμένη εκπαίδευση 

πάνω στην ασφάλεια δικτύων 

Με απόλυτη επιτυχία ολοκληρώθηκε η διήμερη εκπαίδευση 

CCNSP(Cyberoam Certified Network & Security 

Professional) που διοργανώθηκε στις 13 & 14 Φεβρουαρίου 

στην Αθήνα από την PartnerNET. Η εταιρεία στα πλαίσια της 

διαρκούς εκπαίδευσης και ενίσχυσης του δικτύου συνεργατών 

της, οργάνωσε σε συνεργασία με τη Cyberoam την 4η 

κατά σειρά εκπαίδευση πάνω στην ασφάλεια δικτύων σε κεντρικό 

ξενοδοχείο της Αθήνας. Μέσα σε 2 ημέρες οι συμμετέχοντες 

απέκτησαν πρακτικές γνώσεις πάνω στο identitybased 

network security και εργάστηκαν με πραγματικά παραδείγματα 

διαμόρφωσης των συσκευών, οι οποίες χρησιμοποιούν 

τα πιο κοινά χαρακτηριστικά που εφαρμόζονται σε 

επιχειρήσεις όλων των μεγεθών. Τα παγκοσμίως βραβευμένα 

UTMs της Cyberoam προσφέρουν layer 8 security και περιλαμβάνουν: 

Firewall, VPN, Bandwidth Management, Load 

Balancing, Reporting, Gateway Antivirus, Gateway Antispam, 

Web - Application Filtering, IPS και άλλα. 

Η εκπαίδευση πραγματοποιήθηκε στην ελληνική γλώσσα από 

τον πιστοποιημένο Cyberoam εκπαιδευτή Κωνσταντίνο Κωνσταντόπουλο, 

μέλος της τεχνικής ομάδας της PartnerNET. 

Παρών ήταν και ο Angelo Gentili, Business Development 

Manager της PartnerNET, ο οποίος μίλησε για την παρουσία 

της Cyberoam στην Ελλάδα και παρουσίασε τα σενάρια χρήσης 

των προϊόντων. Στο τέλος της δεύτερης ημέρας πραγματοποιήθηκαν 

online εξετάσεις για την απόκτηση πιστοποίησης 

όπου για πρώτη φορά στην Ελλάδα υπήρξε 100% 

επιτυχία. Οι συμμετέχοντες εκτός από την έγγραφη πιστοποίηση 

και την τιμητική πλακέτα από τη Cyberoam, έλαβαν 

και μια σειρά προνομίων που περιλαμβάνουν τη δωρεάν α- 

ποκλειστική πρόσβαση στη βάση γνώσεων της Cyberoam 

σχεδιασμένη για πιστοποιημένους επαγγελματίες και ένα 

virtual appliance. Οι συμμετέχοντες στις Cyberoam εκπαιδεύσεις 

μπορούν να στοχεύσουν σε 3 τεχνικές πιστοποιήσεις: 

CCNSP, CCNSE και CCT. Η εταιρεία ανακοίνωσε ότι 

θα πραγματοποιήσει εκπαίδευση CCNSE, το δεύτερο επίπεδο 

πιστοποίησης, στα τέλη Απριλίου. iTSecurity 

security | 43

IT Professional Security - ΤΕΥΧΟΣ 39

Create successful ePaper yourself

Delete template?

Save as template?