IT Professional Security - ΤΕΥΧΟΣ 46
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
www.itsecuritypro.gr 08-10.2016 • Τεύχος <strong>46</strong> • Τιµή 5€<br />
Next Generation<br />
<strong>Security</strong><br />
• Killing Passwords: Strong<br />
Authentication beyond the Password Era<br />
• Μια νύχτα στο αεροδρόµιο, Μan-in-the-middle<br />
(M<strong>IT</strong>M) επίθεση στην πράξη<br />
• <strong>IT</strong> Compliance - Ανάλυση και υλοποίηση της<br />
Συµµόρφωσης Πληροφορικής στις εταιρείες
INTERCEPT<br />
Μία εντελώς νέα προσέγγιση στην προστασία τερματικών<br />
Το Sophos Intercept X είναι ένα σύστημα προστασίας τερματικών επόμενης<br />
γενιάς (NextGen Endpoint) που χρησιμοποιείται για την ανίχνευση και την<br />
αποτελεσματική αποτροπή των ransomware και άλλων zero-day exploits<br />
προσφέροντας παράλληλα αναλυτικές πληροφορίες για όλες τις απειλές.<br />
• Σταματήστε τα ransomware πρίν αυτά εξαπλωθούν και προκαλέσουν καταστροφή<br />
• Σταματήστε τις επιθέσεις zero-day μέσω τεχνολογιών signatureless & anti exploit<br />
• Κατανοήστε εύκολα μία απειλή ασφάλειας και αναλύστε την αιτία του πρόβλήματος<br />
• Αυτοματοποιήστε την αποκατάσταση και την αφαίρεση του επικίνδυνου λογισμικού<br />
Μάθετε περισσότερα και δοκιμάστε το δωρεάν<br />
www.sophos.com/intercept-x<br />
της από το Μεγαρέα, το γιο της Οινόης,<br />
που το δικό της όνοµα τη συνδέει<br />
µε τον οίνο, το κρασί.<br />
καθώς οι κλιµατολογικές συνθήκες<br />
και η µορφολογία του εδάφους είναι<br />
ιδανικές. Η περιοχή πήρε το όνοµά<br />
Σε µια απόσταση µόλις 60 χλµ. από<br />
την πολύβουη µητρόπολη των Αθηνών<br />
κρύβεται µια από τις πιο όµορφες<br />
γωνιές της Ελλάδας. Στις κυµατιστές<br />
πλαγιές των Γερανείων, ο χρόνος<br />
µοιάζει να έχει σταµατήσει στην αρχαιότητα.<br />
Εδώ τα αµπέλια καλλιεργούνταν<br />
ήδη από το 1.000 προ Χριστού,<br />
Value Added Distributor<br />
Affordable Cutting Edge
T<strong>46</strong>08-10.2016<br />
Editorial<br />
H απάτη με τα περισσότερα θύματα<br />
Πολύ πρόσφατα, επιχειρηματίας στον τομέα επίπλων και οικιακού<br />
εξοπλισμού, από το φιλικό μου περιβάλλον, μου εκμυστηρεύτηκε<br />
με ποιο τρόπο έπεσε θύμα απάτης από επίθεση<br />
κυβερνοεγκληματία, που κατάφερε να του αποσπάσει ένα πολύ<br />
μεγάλο χρηματικό ποσό, προσποιούμενος μέσω ηλεκτρονικής<br />
αλληλογραφίας ότι ήταν ένας από τους προμηθευτές του<br />
από το εξωτερικό.<br />
Η συγκεκριμένη περίπτωση είναι φυσικά μια από τις πολλές<br />
που συμβαίνουν τα τελευταία χρόνια και που παρουσιάζει πολύ<br />
μεγαλύτερη συχνότητα το τελευταίο διάστημα. Πρόκειται<br />
για τη λεγόμενη μέθοδο κυβερνοεπίθεσης Business Email<br />
Compromise (BEC) όπου ανήκει στην ευρύτερη έννοια του<br />
Social Engineering.<br />
Τα βήματα της εγκληματικής αυτής δράσης είναι συγκεκριμένα.<br />
Ο επιτιθέμενος αποστέλλει email με επισυναπτόμενα μολυσμένα<br />
αρχεία με κακόβουλο λογισμικό, που όταν κάποιος χρήστης<br />
μιας επιχείρησης τα ανοίξει, ανοίγει ταυτόχρονα και μια “κερκόπορτα”<br />
παρέχοντας απόλυτη πρόσβαση στην ηλεκτρονική αλληλογραφία<br />
του. Έτσι, ο επιτιθέμενος μπορεί να αποκτήσει μια<br />
πλήρη εικόνα της ηλεκτρονικής επικοινωνίας με επιχειρηματικούς<br />
συνεργάτες, προμηθευτές κ.λπ. Το επόμενο στάδιο είναι<br />
να δημιουργήσει εκατέρωθεν μια πλαστή ηλεκτρονική διεύθυνση<br />
email αντιγράφοντας την υπογραφή και όλα εκείνα τα στοιχεία<br />
που χρειάζονται για να ξεγελάσει τα δυο μέρη, προσποιούμενος<br />
την ταυτότητα του ενός στον άλλον. Έπειτα, στα πλαίσια<br />
των τυπικών οικονομικών συναλλαγών που έχουν τα δυο μέρη<br />
ο απατεώνας προσποιούμενος τον “προμηθευτή” με κάποια τυπική<br />
δικαιολογία γνωστοποιεί στον “πελάτη” έναν νέο τραπεζικό<br />
λογαριασμό για να καταθέσει χρήματα τα οποία καταλήγουν<br />
σε τραπεζικό λογαριασμό του κυβερνοεγκληματία. Τέτοιες περιπτώσεις<br />
όπως προαναφέραμε συμβαίνουν πολύ συχνά και<br />
καταδεικνύουν πρώτα από όλα την ανάγκη επαγρύπνησης και<br />
εκπαίδευσης των επιχειρηματιών αλλά και όλων των χρηστών<br />
του προσωπικού μιας επιχείρησης. Καμία τεχνολογία αυτή τη<br />
στιγμή δεν μπορεί να υποσχεθεί απόλυτη προστασία από τέτοιους<br />
είδους φαινόμενα όπου η μεγαλύτερη τρωτότητα είναι ο<br />
ανθρώπινος παράγοντας. Θα πρέπει λοιπόν, οι επιχειρήσεις με<br />
τη βοήθεια συμβούλων σε θέματα ασφάλειας να υιοθετήσουν<br />
ένα νέο μοντέλο λειτουργίας και διαχείρισης της ηλεκτρονικής<br />
αλληλογραφίας και γενικότερα της πληροφοριακής υποδομής<br />
και των δεδομένων τους, με επίκεντρο την προσοχή που πρέπει<br />
να επιδεικνύουν οι χρήστες, οι οποίοι θα πρέπει να συμμορφώνονται<br />
στις πολιτικές και τους κανόνες που θεσπίζονται.<br />
Βλάσης Αμανατίδης<br />
Εκδότης<br />
Κώστας Νόστης<br />
Σύμβουλος Έκδοσης<br />
Νίκη Πανδή<br />
Αρχισυντάκτης<br />
Βλάσης Αμανατίδης<br />
v.amanatidis@smartpress.gr<br />
Συνεργάτες<br />
Σήφης Ανδρουλιδάκης<br />
Μίνα Ζούλοβιτς<br />
Νότης Ηλιόπουλος<br />
Αριστοτέλης Λυμπερόπουλος<br />
Δημήτρης Παπίτσης<br />
Αλέξανδρος Σουλαχάκης<br />
Παναγιώτα Τσώνη<br />
Διεύθυνση Διαφήμισης<br />
Νίκος Σαράφογλου<br />
n.sarafoglou@smartpress.gr<br />
DTP<br />
Παναγιώτης Βγενόπουλος<br />
Λεωνίδας Πουλόπουλος<br />
Διεύθυνση Events<br />
Ανδρέας Καραντώνης<br />
Διεύθυνση Marketing<br />
Ειρήνη Νόστη<br />
Υπεύθυνος Ηλεκτρονικών Μέσων<br />
Φάνης Ζερβάκης<br />
Υπεύθυνη Social Media<br />
Αγγελική Νόστη<br />
Γραμματεία Εμπορικού<br />
Έλλη Μαστρομανώλη<br />
Φωτογράφος<br />
Δήμητρα Κατερέλου<br />
Λογιστήριο<br />
Ανδρέας Λουλάκης<br />
Consulting by<br />
SPEG<br />
τηλ.: 210 5238777,<br />
www.speg.gr, info@speg.gr<br />
Ιδιοκτήτης<br />
Smart Press<br />
Μάγερ 11, 10438, Αθήνα<br />
Τηλ.: 210 5201500, 210 5230000,<br />
Fax: 210 5241900<br />
Τμήμα συνδρομών<br />
support@securitymanager.gr<br />
www.smartpress.gr<br />
www.itsecuritypro.gr<br />
www.securitymanager.gr<br />
info@securitymanager.gr<br />
support@securitymanager.gr<br />
ΚΩΔΙΚΟΣ 01-8267<br />
security<br />
1
T<strong>46</strong>08-10.2016<br />
Contents<br />
28 32 34<br />
1 | editorial<br />
4 | News<br />
Cover issue<br />
8 | Next Generation Firewalls<br />
…Τα τείχη προστασίας ισχυροποιούνται<br />
Issue<br />
12 | Next generation απειλές<br />
θέλουν Next Generation λύσεις<br />
προστασίας<br />
14 | Ορατότητα και<br />
αυτοματοποιημένη απόκρουση<br />
των απειλών, οι απαιτήσεις για<br />
next generation προστασία<br />
16 | Η Sophos οδηγεί τις εξελίξεις<br />
στην προστασία επόμενης<br />
γενιάς<br />
20 | Next-generation security στην<br />
εποχή των αναπόφευκτων<br />
παραβιάσεων<br />
24 | Εταιρική Ασφάλεια Δικτύου.<br />
Τα ΠΡΕΠΕΙ και τα ΜΗ που οφείλει<br />
να ακολουθεί κάθε επιχείρηση<br />
26 | Η ασφάλεια πέρα από τα όρια<br />
του Sandbox<br />
28 | Killing Passwords:<br />
Strong Authentication beyond the<br />
Password Era<br />
31 | Η άνοδος και ο κίνδυνος του<br />
BYOD<br />
32 | Μια νύχτα στο αεροδρόμιο<br />
-Μan-in-the-middle (M<strong>IT</strong>M)<br />
επίθεση στην πράξη<br />
34 | <strong>IT</strong> Compliance -<br />
Ανάλυση και υλοποίηση της<br />
Συμμόρφωσης Πληροφορικής στις<br />
εταιρείες<br />
Business <strong>IT</strong><br />
Νέο ESET Secure<br />
Authentication µε εύκολη,<br />
single touch ειδοποίηση<br />
πιστοποίησης<br />
H ιστορική συνένωση µεταξύ Dell και EMC ολοκληρώθηκε<br />
Έρευνα<br />
της Cisco<br />
εµφανίζει ευρεία<br />
υιοθέτηση<br />
λύσεων Cloud<br />
Η προστασία των προσωπικών<br />
δεδοµένων των χρηστών υπό την<br />
προστασία του νέου Kaspersky<br />
Internet <strong>Security</strong> - multi<br />
Vigor 2952 Series<br />
Η νέα λύση της DrayTek<br />
για super-fast broadband<br />
“State of the Hybrid Cloud”: νέα έρευνα προτείνει επικέντρωση στην πληροφορία και όχι σε υποδοµές και διαχείριση<br />
2 security
DO MORE<br />
W<strong>IT</strong>H YOUR I.T.<br />
SECURED BY ESET
T<strong>46</strong>08-10.2016<br />
News<br />
Η ESET ανακάλυψε το πρώτο botnet σε Android που ελέγχεται μέσω Twitter<br />
Οι ερευνητές της ESET ανακάλυψαν ένα backdoor Trojan που<br />
επιτίθεται σε Android το οποίο ελέγχεται μέσω tweets. Ανιχνεύεται<br />
από την ESET ως Android/Twitoor, και είναι η πρώτη<br />
κακόβουλη εφαρμογή που χρησιμοποιεί το Twitter αντί<br />
του παραδοσιακού διακομιστή C&C (command-and-control).<br />
Αφού ξεκινήσει, το Trojan κρύβει την παρουσία του στο σύστημα<br />
και ελέγχει τον καθορισμένο λογαριασμό Twitter σε<br />
τακτά χρονικά διαστήματα για εντολές. Με βάση τις λαμβανόμενες<br />
εντολές, μπορεί είτε να κατεβάσει κακόβουλες εφαρμογές<br />
ή να αλλάξει το C&C λογαριασμό<br />
Twitter σε ένα άλλο. «Η χρήση του<br />
Twitter για τον έλεγχο ενός botnet είναι<br />
ένα καινοτόμο βήμα για την πλατφόρμα<br />
Android» επισημαίνει ο Lukáš<br />
Štefanko, ο ερευνητής malware της<br />
ESET που ανακάλυψε την κακόβουλη<br />
εφαρμογή. Το Twitter χρησιμοποιήθηκε<br />
για πρώτη φορά για τον έλεγχο<br />
botnets των Windows το 2009. «Σχετικά<br />
με το χώρο των Android, αυτό το<br />
μέσο απόκρυψης είχε παραμείνει ανεκμετάλλευτο μέχρι τώρα.<br />
Στο μέλλον, όμως statuses, μπορούμε να αναμένουμε ότι<br />
οι «κακοί» θα προσπαθήσουν να κάνουν χρήση των Facebook<br />
status ή να εκμεταλλευτούν το LinkedIn και άλλα κοινωνικά<br />
δίκτυα», προβλέπει ο Štefanko. Το Android / Twitoor είναι<br />
ενεργό από τον Ιούλιο του 2016. Δεν μπορεί να βρεθεί σε οποιοδήποτε<br />
επίσημο κατάστημα εφαρμογών Android -σύμφωνα<br />
με τον Štefanko- αλλά μάλλον εξαπλώνεται μέσω SMS ή μέσω<br />
κακόβουλων URL. Υποδύεται μια εφαρμογή porn player<br />
ή εφαρμογή MMS αλλά χωρίς τη<br />
λειτουργικότητα. Αντ’ αυτού, κατεβάζει<br />
διάφορες εκδόσεις κακόβουλου<br />
λογισμικού για mobile<br />
banking. Ωστόσο, αυτοί που διαχειρίζονται<br />
το botnet μπορούν να<br />
ξεκινήσουν τη διάδοση και άλλων<br />
κακόβουλων προγραμμάτων ανά<br />
πάσα στιγμή, συμπεριλαμβανομένου<br />
και ransomware, σύμφωνα<br />
με το Štefanko.<br />
Oι επιχειρήσεις αποτελούν σημαντικό στόχο ransomware επιθέσεων<br />
Σύμφωνα με την πρόσφατη έκθεση ISTR2016 Ransomware<br />
and Businesses της Symantec το ransomware αναδείχθηκε<br />
ως μία από τις πιο επικίνδυνες απειλές στον κυβερνοχώρο,<br />
τόσο για τις επιχειρήσεις και τους μεγάλους οργανισμούς,<br />
όσο και για τους καταναλωτές εν γένει, με τις παγκόσμιες<br />
απώλειες να φθάνουν πλέον τα εκατοντάδες εκατομμύρια<br />
δολάρια. Τους τελευταίους 12 μήνες το ransomware έχει<br />
φτάσει σε ένα νέο επίπεδο ωριμότητας και απειλής. Σημαντικές<br />
«συμμορίες» ransomware είναι σε θέση να διοχετεύσουν<br />
το κακόβουλο λογισμικό τους σε εκατομμύρια υπολογιστές.<br />
Οι χρήστες που έχουν χτυπηθεί από ransomware βρίσκουν<br />
τα πολύτιμα δεδομένα τους κλειδωμένα με ισχυρή και συχνά<br />
αδιαπέραστη κρυπτογράφηση. Οι αριθμοί παρουσιάζουν συνεχώς<br />
αυξητική τάση, με τον αριθμό των νέων οικογενειών<br />
ransomware που ανακαλύφθηκε το 2015 μόνο, να φτάνει τις<br />
100 και ο μέσος όρος λύτρων που ζητούν οι επιτιθέμενοι είναι<br />
τα 679 δολάρια ΗΠΑ! Μία επιτυχημένη επίθεση σε έναν<br />
οργανισμό, μπορεί ενδεχομένως να μολύνει χιλιάδες υπολογιστές,<br />
προκαλώντας μαζική λειτουργική ζημιά και σοβαρή<br />
βλάβη στα έσοδα αλλά και στη φήμη. Μόλις οι συμμορίες του<br />
κυβερνοεγκλήματος δουν ορισμένες επιχειρήσεις να υποκύπτουν<br />
σε αυτές τις επιθέσεις και να πληρώνουν τα λύτρα, όλο<br />
και περισσότεροι εισβολείς ακολουθούν στην προσπάθεια να<br />
αρπάξουν το μερίδιό τους από τα πιθανά κέρδη.<br />
4 security
T<strong>46</strong>08-10.2016<br />
News<br />
Sophos Partner Roadshow 2016 - Ανακαλύπτοντας την αξία των<br />
ενοποιημένων λύσεων προστασίας<br />
Στα πλαίσια του Roadshow “Discover Synchronization” που διοργάνωσε<br />
η Sophos σε αρκετές πόλεις της Ευρώπης, στελέχη<br />
της εταιρίας επισκέφτηκαν και την Αθήνα στις 6 Οκτωβρίου,<br />
όπου μαζί με την ομάδα της NSS, διοργάνωσαν μια ιδιαίτερα<br />
επιτυχημένη συνεδριακή εκδήλωση. Οι πολλοί επαγγελματίες<br />
<strong>IT</strong> -συνεργάτες της Sophos και της NSS- που συμμετείχαν, είχαν<br />
την ευκαιρία να παρακολουθήσουν μια σειρά παρουσιάσεων,<br />
από ειδικούς της Sophos, οι οποίοι ανέδειξαν σε πρώτη<br />
φάση τις προκλήσεις και τις τάσεις στο τομέα της ασφάλειας και<br />
φυσικά στη συνέχεια παρουσίασαν τις λύσεις next generation<br />
που έχει αναπτύξει η εταιρεία για την αποτελεσματικότερη<br />
αντιμετώπιση των σύγχρονων απειλών. Κεντρικός πυρήνας<br />
των παρουσιάσεων που έλαβαν χώρα, ήταν η έννοια της Συγχρονισμένης<br />
Ασφάλειας και πώς αυτή μετουσιώνεται σε πράξη<br />
μέσα από τις λύσεις προστασίας νέας γενιάς που διαθέτει η<br />
Sophos. Το συμπέρασμα που προέκυψε από τις παρουσιάσεις<br />
που πραγματοποιήθηκαν, είναι ότι η νέα καινοτομική στρατηγική<br />
προσέγγιση της Sophos, που ενοποιεί τις λύσεις ασφάλειας<br />
δικτύου και endpoint προστασίας, αναβαθμίζει σε πολύ μεγάλο<br />
βαθμό το επίπεδο θωράκισης των επιχειρήσεων, έναντι των<br />
σημερινών αλλά και μελλοντικών απειλών, δίνοντας όπως πάντα<br />
έμφαση στην απλότητα και ευελιξία λειτουργίας. Τα στελέχη<br />
της Sophos -μέσα από demo επιδείξεις- ανέδειξαν μεταξύ<br />
άλλων τις νέες δυνατότητες της πλατφόρμας Sophos Central,<br />
που αποτελεί τον πυλώνα της ολοκληρωμένης ασφάλειας με<br />
τον συγχρονισμό προϊόντων endpoint και δικτυακής ασφάλειας,<br />
προσφέροντας μια σειρά από σημαντικά πλεονεκτήματα<br />
για τους οργανισμούς, όπως προστασία από όλο το φάσμα των<br />
απειλών, κεντρική διαχείριση και έλεγχο με ενισχυμένη αποτελεσματικότητα<br />
και μέγιστη απόδοση. Με τη δυνατότητα διάθεση<br />
των νέων ολοκληρωμένων προτάσεων ασφάλειας, σημαντικά<br />
είναι τα οφέλη που προκύπτουν και για τους συνεργάτες της<br />
Sophos, όπως μας επισήμαναν οι υπεύθυνοι της εταιρίας, μιας<br />
και πλέον έχουν στα χέρια τους μια λύση που τους προσφέρει<br />
πολύ σημαντικά εμπορικά ανταγωνιστικά πλεονεκτήματα.<br />
Βράβευση της ENCODE από την IBM Ελλάδος<br />
H ENCODE διακρίθηκε για άλλη μία φορά από<br />
την ΙΒΜ Ελλάδος στα πλαίσια της εκδήλωσης<br />
που διοργάνωσε η εταιρεία για τους Εμπορικούς<br />
της Συνεργάτες. Με την εξειδίκευση της<br />
στον τομέα της ασφάλειας πληροφοριακών<br />
συστημάτων και των σύγχρονων απειλών<br />
από τον κυβερνοχώρο, η ENCODE διακρίθηκε<br />
για την επιτυχή προώθηση λύσεων προηγμένης<br />
προστασίας από ηλεκτρονική απάτη<br />
(AdvancedFraudProtection) ΙΒΜ Trusteer, οι οποίες παρέχονται<br />
με τη μορφή υπηρεσίας SaaS. Η εκδήλωση πραγματοποιήθηκε<br />
στον Ναυτικό Όμιλο Ελλάδος την Τρίτη 20 Σεπτεμβρίου<br />
και το βραβείο παρέλαβε ο κύριος Χάρης Ηλιόπουλος,<br />
Iδρυτής και Διευθύνων Σύμβουλος της ENCODE. Η βράβευση<br />
αυτή έρχεται σε συνέχεια της μακροχρόνιας και επιτυχημένης<br />
συνεργασίας των δύο εταιριών, αναγνωρίζοντας την πολύτιμη<br />
συνεισφορά της ENCODE στον τομέα της ασφάλειας<br />
πληροφοριακών συστημάτων.<br />
6 security
Τα βιομετρικά skimmers είναι<br />
εδώ: η Kaspersky Lab εξετάζει τις<br />
επερχόμενες μελλοντικές απειλές για τα ΑΤΜ<br />
Οι ειδικοί της Kaspersky Lab διερεύνησαν το πώς οι ψηφιακοί<br />
εγκληματίες μπορούν να εκμεταλλευτούν τις νέες τεχνολογίες<br />
ταυτοποίησης των ΑΤΜ που σχεδιάζουν οι τράπεζες. Ενώ<br />
πολλοί οικονομικοί οργανισμοί θεωρούν τις λύσεις με βάση τα<br />
βιομετρικά στοιχεία ως τις πιο πολλά υποσχόμενες προσθήκες<br />
στις υπάρχουσες μεθόδους ταυτοποίησης, ή ακόμα και μία<br />
επιλογή για την αντικατάσταση των τελευταίων, οι ψηφιακοί<br />
εγκληματίες βλέπουν τη χρήση βιομετρικών στοιχείων ως<br />
μία νέα ευκαιρία για την κλοπή ευαίσθητων πληροφοριών.<br />
Τα ΑΤΜ είναι εδώ και χρόνια στο στόχαστρο των απατεώνων<br />
που κυνηγούν τα δεδομένα πιστωτικών καρτών. Όλα<br />
ξεκίνησαν με τα πρωτόγονα “skimmers” - ιδιοκατασκευές<br />
που τοποθετούνταν σε ένα ΑΤΜ, οι οποίες είχαν τη δυνατότητα<br />
να υποκλέπτουν πληροφορίες από τη μαγνητική ταινία της<br />
κάρτας, καθώς και τον αντίστοιχο κωδικό ΡΙΝ με τη βοήθεια<br />
ενός ψεύτικου πληκτρολογίου ΑΤΜ ή μίας webcam. Με τον<br />
καιρό, ο σχεδιασμός αυτών των συσκευών βελτιώθηκε ώστε<br />
να τις κάνει λιγότερο ορατές. Με την εισαγωγή της τεχνολογίας<br />
“chip-and-pin” στις κάρτες πληρωμών, η οποία καθιστούσε την<br />
«κλωνοποίησή» τους πολύ δύσκολη αλλά όχι ακατόρθωτη,<br />
οι σχετικές συσκευές εξελίχθηκαν από “skimmers” σε<br />
“shimmers”: σε μεγάλο βαθμό ίδιες, αλλά με τη δυνατότητα<br />
να συλλέγουν πληροφορίες από το μικροτσίπ της κάρτας,<br />
παρέχοντας επαρκείς πληροφορίες για την πραγματοποίηση<br />
μίας διαδικτυακής επίθεσης. Ο τραπεζικός τομέας ανταπαντά<br />
με νέες λύσεις ταυτοποίησης, μερικές από τις οποίες βασίζονται<br />
στα βιομετρικά στοιχεία. Σύμφωνα με έρευνα της Kaspersky<br />
Lab για το «υπόγειο» ψηφιακό έγκλημα, υπάρχουν ήδη<br />
τουλάχιστον δώδεκα προμηθευτές οι οποίοι παρέχουν skimmers<br />
που έχουν τη δυνατότητα να υποκλέψουν τα δακτυλικά<br />
αποτυπώματα των θυμάτων, όπως επίσης τουλάχιστον τρεις<br />
προμηθευτές οι οποίοι ήδη αναπτύσσουν συσκευές που<br />
θα μπορούσαν παράνομα να αποκομίσουν δεδομένα από<br />
συστήματα αναγνώρισης παλάμης ή ίριδας.<br />
security<br />
7
T<strong>46</strong>08-10.2016<br />
Cover Issue<br />
Next Generation Firewalls<br />
…Τα τείχη προστασίας ισχυροποιούνται<br />
H έννοια του Next Generation στις λύσεις ασφάλειας και ειδικότερα σε ότι αφορά τα firewall,<br />
δεν είναι πλέον μια marketing ορολογία αλλά μια νέου τύπου προσέγγιση που υποστηρίζει<br />
ενσωμάτωση πολλών λειτουργιών, δυνατότητες αναβάθμισης, αξιοσημείωτη ευελιξία και<br />
απλότητα χρήσης.<br />
τις μέρες μας, οι σύγχρονες επιχειρήσεις<br />
Σ<br />
έχουν να επιλέξουν μεταξύ πληθώρα συστημάτων<br />
ασφαλείας και προστασίας της δικτυακής<br />
υποδομής και των δεδομένων τους. Παγκόσμιες<br />
έρευνες καταδεικνύουν μάλιστα, ότι<br />
οι οργανισμοί επενδύουν σημαντικά κεφάλαια σε λύσεις λογισμικού<br />
αλλά και υλικού, ώστε να αντιμετωπιστούν οι κακόβουλες<br />
δράσεις των σύγχρονων εγκληματιών του κυβερνοχώρου.<br />
Όμως, παρά τις σημαντικές επενδύσεις, ο στόχος της<br />
απόλυτης προστασίας δεν επιτυγχάνεται στο 100%.<br />
Πλανάται λοιπόν το ερώτημα, αν οι μέχρι τώρα παραδοσιακές<br />
λύσεις ασφάλειας είναι αποτελεσματικές απέναντι στις νέου<br />
τύπου προηγμένες απειλές και τις εξελιγμένες επιθέσεις. Αν<br />
δηλαδή τα παραδοσιακά firewalls, τα συμβατικά antivirus και<br />
τα συστήματα αποτροπής εισβολών (IPS) είναι ικανά πλέον να<br />
αντιμετωπίσουν την σύγχρονη πραγματικότητα ή πλέον έχουν<br />
καταστεί ευάλωτα στις νέες τακτικές των εισβολών;<br />
Φυσικά, μία προσεκτική ματιά αναδεικνύει την αναγκαιότη-<br />
8 security
Της Παναγιώτας Τσώνη<br />
τα της ύπαρξής τους και σε επιτακτικό μάλιστα βαθμό, αλλά<br />
ταυτόχρονα αποκαλύπτει και την ανάγκη ύπαρξης πιο δυναμικών<br />
λύσεων προστασίας, πιο αποτελεσματικών και κυρίως<br />
πιο ολοκληρωμένων στο τρόπο εφαρμογής και λειτουργίας<br />
τους. Βάσει αυτής της αναγκαιότητας δημιουργήθηκαν οι<br />
λύσεις ασφάλειας νέας γενιάς, στα πλαίσια της προσέγγισης<br />
του Next Generation <strong>Security</strong>. Υπό τον όρο Next Generation<br />
<strong>Security</strong> Solutions, μπορούμε να εντάξουμε αρκετές λύσεις<br />
και κατηγορίες προϊόντων. Όμως, η πιο διαδεδομένη εφαρμογή<br />
του συγκεκριμένου όρου αφορά στην κατηγορία των<br />
firewall που καλύπτουν ένα ευρύ φάσμα σημείων προστασίας<br />
και παρέχονται ως ολοκληρωμένες πλατφόρμες.<br />
Τί είναι τα Firewall νέας γενιάς;<br />
Ως firewall νέας γενιάς (next generation firewall - NGFW)<br />
ορίζονται hardware ή βασισμένα σε λογισμικά συστήματα,<br />
τα οποία είναι ικανά να ανιχνεύσουν και να αποτρέψουν τις<br />
εξελιγμένες σύγχρονες επιθέσεις, εφαρμόζοντας τις πολιτικές<br />
ασφαλείας της κάθε επιχείρησης σε επίπεδο εφαρμογών,<br />
πρωτοκόλλου και διασύνδεσης.<br />
Τα NGFWs ενσωματώνουν τρία βασικά χαρακτηριστικά: δυνατότητες<br />
firewall, λειτουργίες συστημάτων IPS (intrusion<br />
prevention system )και έλεγχο στο επίπεδο εφαρμογών. Η<br />
εξέλιξή τους αφορά κυρίως στις επιπλέον δυνατότητες στη<br />
λήψη πολύπλοκων αποφάσεων που αφορούν τη ροή δεδομένων<br />
των web εφαρμογών. Επιδεικνύοντας υψηλότερο<br />
επίπεδο κατανόησης και ανάλυσης σε πραγματικό χρόνο, τα<br />
NGFWs αυξάνουν την ικανότητά εντοπισμού και αποτροπής<br />
μιας οποιαδήποτε απειλής.<br />
Πιο αναλυτικά τα NGFWs συνδυάζουν τις δυνατότητες των<br />
παραδοσιακών firewalls, όπως είναι το φιλτράρισμα των πακέτων,<br />
τη μετάφραση των δικτυακών διευθύνσεων (ΝΑΤ -<br />
network address translation), το μπλοκάρισμα συγκεκριμένων<br />
URLs και VPNs, με πρακτικές παροχής υπηρεσιών εγγυημένης<br />
ποιότητας (QoS - Quality of Service). Επιπρόσθετα,<br />
προσφέρουν αποτροπή εισβολών, SSL και SSH ανίχνευση,<br />
εμβάθυνση στην ανίχνευση πακέτων και κακόβουλου λογισμικού,<br />
καθώς και αξιολόγηση των εφαρμογών. Ειδικότερα,<br />
οι λειτουργίες που αφορούν το επίπεδο εφαρμογών θεωρηθήκαν<br />
επιτακτικές μιας και αυξήθηκαν κατά κόρον οι επιθέσεις<br />
στα στρώματα 4-7 του μοντέλου OSI.<br />
Οι περιορισμοί των παραδοσιακών firewall;<br />
Τα παραδοσιακά firewall εφαρμόζουν περιορισμούς στο τρίτο<br />
και τέταρτο επίπεδο του μοντέλου OSI, επιτρέποντας ή όχι τη<br />
διέλευση των πακέτων βασιζόμενα στις IP διευθύνσεις προορισμού<br />
και πηγής, στα internet πρωτόκολλα που φέρει κάθε<br />
πακέτο (ICMP, ARP, RARP, BOOTP, DHCP) και σε ορισμένα<br />
χαρακτηριστικά δρομολόγησης. Παρόλο τους εκτενείς περιορισμούς,<br />
οι επιτιθέμενοι κατάφεραν να τους προσπελάσουν<br />
security<br />
9
T<strong>46</strong>08-10.2016<br />
Cover Issue<br />
και να εισέλθουν στις εταιρικές υποδομές, προκαλώντας σημαντική<br />
ζημία. Εκτός από τα παραδοσιακά firewalls κάθε επιχείρηση<br />
καθίσταται αναγκαίο να εγκαταστήσει επιπρόσθετα<br />
προγράμματα για να εξασφαλίσει την ολοκληρωμένη προστασίας<br />
της, όπως είναι συστήματα IPS, antivirus, antimalware,<br />
WAFs κ.ά. Αυτό οδηγεί στο επόμενο πρόβλημα, που είναι να<br />
βρεθεί ο τρόπος που όλα τα συστήματα θα συνεργάζονται μεταξύ<br />
τους, δίχως το ένα να αναστέλλει τη λειτουργία του άλλου<br />
και πως τελικά θα ρυθμίζονται βάσει της πολιτικής ασφάλειας<br />
της εταιρείας για να παράγουν το επιθυμητό αποτέλεσμα. Ειδικότερα,<br />
όταν το κάθε σύστημα ασφάλειας προέρχεται από<br />
διαφορετικό κατασκευαστή, τα προβλήματα συνεργασίας και<br />
ομαλής λειτουργίας πολλαπλασιάζονται καμιά φορά και σε μη<br />
παραγωγικό βαθμό.<br />
Τα NGFWs αντιμετωπίζουν με επιτυχία τέτοιου είδους ζητήματα,<br />
μιας και πρόκειται για συστήματα ενός κατασκευαστή,<br />
με μία κοινή βάση διαχείρισης η οποία περιλαμβάνει ποικίλες<br />
υπηρεσίες ασφάλειας.<br />
NGFWs vs UTMs<br />
Βάσει των μέχρι τώρα χαρακτηριστικών που αναλύσαμε για τα<br />
NGFWs ανακύπτει το ερώτημα αν τελικά πρόκειται για ακόμα<br />
μία πλατφόρμα UTM (ενοποιημένες πλατφόρμες δικτυακής<br />
ασφάλειας). Οι δύο τεχνολογίες παρουσιάζουν ομοιότητες,<br />
όπως ότι προσφέρουν όλες τις απαιτούμενες λύσεις για θέματα<br />
ασφάλειας μίας εταιρικής δομής και όλα υπό την σκέπη<br />
του ίδιου κατασκευαστή.<br />
Παρόλα αυτά, οι UTM πλατφόρμες καλύπτουν επιχειρήσεις<br />
μικρού και μεσαίου βεληνεκούς, σε αντίθεση με τα NGFWs<br />
που αναλαμβάνουν την προστασία μεγάλων επιχειρήσεων και<br />
οργανισμών και προσφέρουν δυνατότητες ευκολότερης επέκτασης.<br />
Επίσης, τα NGFWs υποστηρίζουν πιο ευέλικτη αντιμετώπιση<br />
των απειλών, σε ορισμένο βαθμό παρέχουν ασφάλεια<br />
φορητών συσκευών, αποτρέπουν την απώλεια δεδομένων<br />
και είναι ανοιχτής αρχιτεκτονικής, επιτρέποντας στους κατόχους<br />
τους να χειρίζονται ικανοποιητικότερα τις εφαρμογές<br />
που χρησιμοποιούν και να ρυθμίζουν τους κανόνες προστασίας<br />
που επιθυμούν.<br />
Ποια βασικά χαρακτηριστικά πρέπει να έχει το<br />
ιδανικό NGFW<br />
Ένα ιδανικό NGFW προϊόν, πρέπει να διαθέτει τρία βασικά<br />
χαρακτηριστικά: να είναι περιεκτικό -δηλαδή να παρουσιάζει<br />
πληρότητα λειτουργιών- να είναι ευέλικτο και εύκολο στη<br />
χρήση.<br />
Με τον όρο περιεκτικό εννοούμε να ενσωματώνει λειτουργίες<br />
IPS, antivirus/malware, έλεγχο σε επίπεδο εφαρμογών,<br />
ενδελεχή ανίχνευση και αξιολόγηση των πακέτων, τις κλασικές<br />
δυνατότητες των firewalls, κρυπτογράφηση, συμπίεση,<br />
QoS κ.ά. Φυσικά μία τόσο ολοκληρωμένη πρόταση μπορεί<br />
να μειονεκτεί σε ένα βαθμό στην αγορά μιας και οι επιχειρήσεις<br />
ορισμένες φορές δυσκολεύονται να εμπιστευτούν ένα<br />
και μόνο προϊόν προστασίας για όλη τους την πληροφοριακή<br />
υποδομή.<br />
Ως ευέλικτη, θεωρείται μία πλατφόρμα που δύναται να αναβαθμίζεται<br />
με το πέρας του χρόνου και ανάλογα με τις εταιρικές<br />
ανάγκες όπως αυτές προκύπτουν ή διαφοροποιούνται<br />
σε καθημερινή βάση. Τέλος, εύκολο στη χρήση θεωρείται<br />
10 security
Next Generation Firewalls<br />
ένα NGFW που προσφέρει ένα λογισμικό διαχείρισης και ένα<br />
απλό περιβάλλον διαδραστικής επικοινωνίας με το χρήστη, με<br />
το οποίο θα μπορεί να ενεργοποιεί χαρακτηριστικά, να θέτει<br />
κανόνες, να παρακολουθεί το δίκτυο, να αναλύει τα συμβάντα<br />
και να ειδοποιείται για τυχόν παραβιάσεις.<br />
Με μία σύντομη ματιά στην αγορά διαπιστώνεται ότι όλα τα<br />
firewalls χαρακτηρίζονται πλέον ως «νέας γενιάς». Η πρώτη<br />
φορά που χρησιμοποιήθηκε ο όρος, αναφερόταν σε firewalls<br />
που συνδύαζαν τις τυπικές λειτουργίες ενός firewall και ενός<br />
firewall εφαρμογών, με τεχνολογίες ανίχνευσης και αποτροπής<br />
εισβολών. Πλέον τα περισσότερα firewalls στην αγορά<br />
διαθέτουν αυτά τα χαρακτηριστικά και ο χαρακτηρισμός «νέας<br />
γενιάς» δεν ανταποκρίνεται στο ζητούμενο. Για την επιλογή<br />
ενός πραγματικού NGFW οι αγοραστές πρέπει να αναζητήσουν<br />
χαρακτηριστικά όπως: δυνατότητα κεντρικής διαχείρισης<br />
με κατανεμημένη άσκηση ελέγχου, δυνατότητα αναβάθμισης<br />
καθώς και ενσωμάτωση με δίκτυα που χαρακτηρίζονται ως<br />
TRC (threat/risk/compliance).<br />
Πιο αναλυτικά, η κεντρική διαχείριση με κατανεμημένη άσκηση<br />
ελέγχου είναι μία φυσική εξέλιξη των συστημάτων firewall,<br />
εφόσον πλέον υποστηρίζονται ποικίλα συστήματα που εξυπηρετούν<br />
μικρο-υπηρεσίες. Αναφερόμαστε σε συστήματα<br />
όπως είναι VMs, τα application containers ή οι ενσωματωμένοι<br />
agents που μπορούν να αποτελέσουν σημεία άσκησης<br />
και εφαρμογής τεχνικών ασφαλείας, εφόσον τους διατεθούν<br />
επεξεργαστικοί και δικτυακοί πόροι. Με αυτό τον τρόπο, επιτρέπεται<br />
η εφαρμογή των πολιτικών ασφαλείας ακόμα και<br />
στις περιπτώσεις που δεν εφαρμόζονται σε ένα στατικό σημείο<br />
ελέγχου στο δίκτυο, αλλά σε μετακινούμενα συστήματα<br />
και φορτία εργασίας.<br />
Η δυνατότητα αναβάθμισης αναφέρεται κυρίως στην αναγκαιότητα<br />
να μπορεί η επιχείρηση να αγοράσει τώρα τις δυνατότητες<br />
που χρειάζεται σε θέματα προστασίας και να έχει τη<br />
δυνατότητα για τα επόμενα τρία χρόνια να υλοποιεί αναβαθμίσεις,<br />
διαφοροποιήσεις ή ακόμα και να αγοράζει επιπρόσθετες<br />
υπηρεσίες για να καλυφθούν οι νέες βαθμίδες λειτουργίας<br />
που θα προκύψουν.<br />
Σημείο που πρέπει να σταθεί κάθε επιχείρηση είναι το cloudbased<br />
firewalling που θα χρησιμοποιηθεί ως η πρώτη γραμμή<br />
φιλτραρίσματος της ροής των πακέτων. Φυσικά, δεν υπονοείται<br />
ότι θα πάψει να υφίσταται το ενδοεταιρικό firewall αλλά<br />
ότι θα περιοριστεί το φορτίο του. Οι cloud δομές προστασίας<br />
οφείλουν να ενισχυθούν επίσης και για την πιο αποτελεσματική<br />
αντιμετώπιση των διαρκώς νέων απειλών. Ένα πραγματικά<br />
εξελιγμένο firewall πρέπει να στηρίζεται σε ένα παγκόσμιο<br />
δίκτυο TRC ώστε να αναγνωρίζονται οι απειλές σχεδόν άμεσα<br />
με την εμφάνισή τους.<br />
Τα NGFWs στην αγορά<br />
Τα NGFWs διατίθενται με τρεις τρόπους στην αγορά: ο πιο συνήθης<br />
τρόπος είναι ως αυτόνομες συσκευές, μερικά προσφέρονται<br />
ως virtual προϊόντα, δηλαδή ως λογισμικό και τέλος<br />
υπάρχουν ως υπηρεσίες μέσω cloud παρόχων. Τα περισσότερα<br />
NGFWs είναι αρθρωτά, ώστε κάθε επιχείρηση να μπορεί<br />
να επιλέξει ποια χαρακτηριστικά θα αγοράσει και ποιες δυνατότητες<br />
θα ενεργοποιήσει ανάλογα με τις ανάγκες της και το<br />
διατιθέμενο κεφάλαιο.<br />
Σε κάθε περίπτωση απαιτείται προσεκτική αξιολόγηση των<br />
αναγκών της επιχείρησης, τωρινών και μελλοντικών και κατόπιν<br />
ανάλογη επιλογή προϊόντος.<br />
Το μέλλον των NGFWs<br />
Τεχνολογικά οι εξελίξεις στο συγκεκριμένο τομέα τρέχουν<br />
γρήγορα. Οι κατασκευαστές ισχυρίζονται ότι βρίσκονται υπό<br />
ανάπτυξη χαρακτηριστικά που θα ενσωματώσουν στα προϊόντα<br />
τους και θα ενδυναμώσουν περαιτέρω την δικτυακή<br />
ασφάλεια των επιχειρήσεων, καθώς και θα ελαφρύνουν τον<br />
εργασιακό φόρτο των <strong>IT</strong> τμημάτων. Επίσης, υπόσχονται προϊόντα<br />
τόσο ευέλικτα ώστε να μπορούν να ενσωματωθούν σε<br />
επιχειρήσεις οποιουδήποτε βεληνεκούς και δικτυακής ροής.<br />
Όλα αυτά οι εταιρίες φιλοδοξούν να παρέχονται σε ένα πλήρως<br />
κατανοητό και εύκολο στην χρήση πακέτο για τους αγοραστές,<br />
χωρίς να γίνεται οποιαδήποτε έκπτωση σε θέματα<br />
απόδοσης και αξιοπιστίας.<br />
Τέλος, όλα τα προαναφερόμενα χαρακτηριστικά γίνεται προσπάθεια<br />
να συνδυάζονται με την «έξυπνη» αντιμετώπιση πάσης<br />
φύσεως απειλών με τρόπο αυτοματοποιημένο, συνεχή<br />
και εξαιρετικά προσαρμοστικό, όπως δηλαδή είναι και οι νέες<br />
απειλές που διαρκώς ανακύπτουν. <strong>IT</strong><strong>Security</strong><br />
security<br />
11
T<strong>46</strong>08-10.2016<br />
Issue<br />
Next generation απειλές θέλουν Next<br />
Generation λύσεις προστασίας<br />
Όταν έγραφα μηνιαία στήλη το 1996 σε γνωστό περιοδικό πληροφορικής, μεταξύ σοβαρού και<br />
αστείου αναρωτήθηκα αν θα έρθει η μέρα θα απειλούμαστε από την απλή επίσκεψή μας σε κάποια<br />
ιστοσελίδα. Δεν νομίζω να με πήρε κανείς σοβαρά αλλά δεν άργησε να έρθει η επόμενη γενιά<br />
απειλών.<br />
ο Νοέμβριο του 1998 πρωτοεμφανίζεται το<br />
T<br />
πρώτο html virus, αλλά το 1999 παίρνουν<br />
πολύ μεγαλύτερες διαστάσεις τα worms που<br />
στοχεύουν χρήστες Microsoft Office, ειδικά<br />
Microsoft Word και Outlook/Outlook Express.<br />
Η αυξημένη χρήση των προϊόντων αυτών και η διάδοση του<br />
internet, έκανε πλέον τις απειλές να πολλαπλασιάζονται με τρελούς<br />
ρυθμούς (1996 - 10000 1998 - 20000, 2000 - 50000 ετησίως)<br />
με αποτέλεσμα το 2008 να έχουμε πάνω από 1,000,000<br />
ιούς (βλέπετε www.cknow.com/cms/vtutor/number-ofviruses.html).<br />
Η πραγματικότητα είναι, ότι οι βασικοί ιοί που κυκλοφορούν<br />
(in the wild) είναι ελάχιστοι. Αυτό όμως δεν σημαίνει ότι οι κίνδυνοι<br />
είναι λιγότεροι. Τα κίνητρα των τότε κυβερνο-εγκληματιών<br />
ήταν πιο αγαθά. Η νέα γενιά είναι σαφώς πιο επικίνδυνη,<br />
αφού πλέον οι απειλές είναι στοχευμένες και αποσκοπούν<br />
στο οικονομικό όφελος, στην κλοπή και πώληση ευαίσθητων<br />
προσωπικών δεδομένων.<br />
Η ασφάλεια των Endpoint έχει αλλάξει δραματικά τα τελευταία<br />
20 και πλέον χρόνια, αντικατοπτρίζοντας τις εξελίξεις στην ευρύτερη<br />
αγορά ασφάλειας. Από τα βασικά antivirus της δεκαετίας<br />
του ‘90s, μέχρι τις καινοτομίες στο black και whitelisting,<br />
intrusion detection, web και email filtering και τα σημερινά<br />
εξεζητημένα προϊόντα προστασίας από στοχευμένες απειλές<br />
έχουμε προχωρήσει πολύ. Το μεγάλο ερώτημα ανάμεσα σε<br />
CISOs είναι: «Πως μπορώ να εκσυγχρονίσω την υποδομή<br />
μου για να έχω την δυνατότητα να αντιμετωπίσω όχι μόνο<br />
τις σημερινές αλλά και τις αυριανές απειλές;»<br />
Η Trend Micro ζήτησε από την Info-Tech Research Group<br />
να ετοιμάσει ένα αποκλειστικό white paper με τίτλο: Securing<br />
Endpoints Against the Next Generation of Attacks, που<br />
είναι διαθέσιμο στο https://resources.trendmicro.com/<br />
Infotech-Endpoint-WP-2015.html.<br />
Η έκθεση αυτή, περιέχει μια λεπτομερή ανάλυση όλων όσων<br />
χρειάζεται να γνωρίζει ένα σύγχρονο στέλεχος στο τομέα πληροφορικής<br />
για τις σημερινές απειλές, τι πρέπει να απαιτεί από<br />
12 security
Αλεξία Χριστοφή<br />
Managing Director, CYSOFT<br />
μια λύση endpoint security και τι να περιμένει αύριο, ώστε να<br />
κάνει την κατάλληλη επένδυση.<br />
Το Trend Micro Endpoint <strong>Security</strong> (με βασικό προϊόν το<br />
OfficeScan) περιέχει αυτή την στιγμή ένα εξαίρετο συνδυασμό<br />
χαρακτηριστικών που υπερέχουν έναντι άλλων λύσεων<br />
«Next-Gen» για Endpoint, όπως:<br />
• Έχει διακριθεί σε ανεξάρτητες δοκιμές για 0-day &<br />
performance με AV-Test και NSS Labs<br />
• Tεχνολογίες Behavioral analysis για να αναλύει και να προστατεύει<br />
από άγνωστες απειλές<br />
• Ασπίδα προστασίας για τα τρωτά σημεία του δικτύου<br />
(Vulnerability Shielding), εικονικό Patching και παρακολουθεί<br />
για συμπεριφορές Lateral movement («πλευρικές»<br />
κινήσεις που συνήθως έχουν σχέση με την παρακολούθηση,<br />
απόσπαση δεδομένων πρόσβασης και διείσδυσης σε<br />
συστήματα)<br />
• Application Control για τον έλεγχο εφαρμογών<br />
• Sandboxing για την ασφαλή εκτέλεση ύποπτων εφαρμογών<br />
• Anti-Malware για τον νενομισμένο έλεγχο<br />
• Web reputation & browser exploit protection - ένα βήμα πέρα<br />
από την προστασία Endpoint<br />
• Encryption & Data Loss Prevention - μέρος της σουϊτας<br />
Trend Micro SmartProtection for Endpoints<br />
• Investigation & Forensics (EDR) - δυνατότητα του DLP<br />
• Mobile & Mac platforms - Προστασία κινητών συσκευών<br />
και πλατφόρμας Mac στην ίδια σουίτα<br />
• Κλιμακωτά αναπτυσσόμενη εγκατάσταση μέσω Cloud, Κεντρική<br />
Διαχείριση και Ορατότητα - μέσω του Trend Micro<br />
Control Manager<br />
Trend Micro Smart Protection για Endpoints +<br />
Deep Discovery = Connected Threat Defence<br />
Ο συνδυασμός του Trend Micro για Endpoints με το Trend<br />
Micro Deep Discovery (APT detection/prevention) στον οποίο<br />
αναφερθήκαμε εκτενώς στα δύο προηγούμενα τεύχη του <strong>IT</strong><br />
<strong>Security</strong> <strong>Professional</strong> δίνουν την ευκαιρία σε οργανισμούς,<br />
που χρησιμοποιούν τις λύσεις αυτές να ισχυροποιήσουν την<br />
προστασία τους περαιτέρω.<br />
Παρακάτω θα δούμε ένα παράδειγμα ενός οργανισμού που<br />
δεν διαθέτει κάποια ανάλογη λύση. Τι θα μπορούσε να συμβεί<br />
δηλαδή χωρίς την Connected Threat Defense approach.<br />
Η επίθεση ξεκινά με την παραλαβή ενός μηνύματος ηλεκτρονικής<br />
αλληλογραφίας με συνημμένο αρχείο, που περιέχει απειλή<br />
zero day (που κλέβει δεδομένα) στο inbox χρήστη. Μπορεί να<br />
αναχαιτιστεί στο στάδιο Prevent: με signature-based έλεγχο;<br />
behavior monitoring; vulnerability shielding; app whitelisting;<br />
ή το εργαλείο απομόνωσης;<br />
Οι απειλές zero-day είναι σχεδιασμένες να προσπερνούν όλες<br />
τις παραδοσιακές τεχνικές προστασίας που κάνει το στάδιο<br />
Detect πολύ σημαντικό. Η χρήση του sandboxing και του 360-<br />
degree network analysis, μπορεί να εντοπίσει τέτοιες εξεζητημένες<br />
απειλές.<br />
Σε αυτό το σημείο, είναι σημαντικό να αναλυθεί και να<br />
αξιολογηθεί η απειλή μέσω του endpoint sensor για να<br />
εντοπίσουμε μέχρι πού έχει φθάσει. Σε περίπτωση που δεν<br />
ολοκληρωθεί το στάδιο Analyze μπορεί να ξεφύγει η απειλή<br />
και να παραμονεύει κάπου στο δίκτυο. Το επόμενο βήμα είναι<br />
να συσχετίσουμε τα ευρήματά μας, με κάποια μεγάλη βάση<br />
πληροφοριών για να κτίσουμε γνώση που μπορούμε να<br />
εφαρμόσουμε και να μοιραστούμε ώστε να βελτιώσουμε την<br />
προστασία μας περαιτέρω.<br />
Το στάδιο Respond, χρησιμοποιεί πληροφορίες του προηγούμενου<br />
σταδίου για την δημιουργία λύσης (signature) σε<br />
πραγματικό χρόνο και την άμεση ενημέρωση/εφαρμογή σε<br />
endpoints και gateway security. Στην αντίθετη περίπτωση, δεν<br />
θα μπλοκαριστούν αυτόματα την επόμενη φορά που θα εκδηλωθούν<br />
και οι κίνδυνοι να πολλαπλασιάζονται. Αυτό το στάδιο,<br />
θα πρέπει επίσης να περιλαμβάνει και το damage clean-up για<br />
τον αυτόματο καθαρισμό των υπολογιστών αυξάνοντας την<br />
παραγωγικότητα των χρηστών.<br />
Το Trend Micro Smart Protection Suites, είναι μέρος της λύσης<br />
Complete User Protection, που σε συνδυασμό με το Trend<br />
Micro Custom Defense, προστατεύει, εντοπίζει αναλύει και<br />
δρα αποτελεσματικά σε πραγματικό χρόνο προστατεύοντας<br />
τα endpoints από τα malware, ακόμα και από τα πιο προηγμένα.<br />
Η κεντρική διαχείριση εξασφαλίζει την ομοιόμορφη<br />
εφαρμογή είτε τοπικά, στο cloud ή σε συνδυασμό ανάλογα με<br />
τις ανάγκες μας.<br />
Για περισσότερες λεπτομέρειες μπορείτε να παρακολουθήσετε<br />
ένα από τα προγραμματισμένα μας WEBEX ή επίδειξη των συστημάτων<br />
στα εργαστήριά μας.<br />
security<br />
13
T<strong>46</strong>08-10.2016<br />
Issue<br />
Ορατότητα και αυτοματοποιημένη<br />
απόκρουση των απειλών, οι απαιτήσεις<br />
για next generation προστασία<br />
Οι σύγχρονες κυβερνο-επιθέσεις δεν είναι μεμονωμένα συμβάντα malware και DoS. Συνήθως<br />
ξεκινούν με πρόσβαση σε ένα τμήμα της εταιρικής υποδομής και στη συνέχεια επεκτείνονται<br />
μέχρι να φτάσουν στον επιθυμητό στόχο. Οι Attackers έχουν το πλεονέκτημα ότι τους αρκεί να<br />
εκμεταλλευτούν μία ευπάθεια του συστήματος ώστε να κάνουν την αρχική τους είσοδο, ενώ<br />
αντίθετα οι εταιρίες θα πρέπει να προστατεύουν κάθε σύστημά τους, από κάθε αδυναμία του.<br />
ι εταιρείες πλέον θα πρέπει να επαναπροσδιορίσουν<br />
την αρχιτεκτονική ασφάλειάς τους λό-<br />
O<br />
γω της αποτυχίας του υφιστάμενου μοντέλου<br />
«Perimeter-based» να ανταποκριθεί<br />
στις προκλήσεις του Next Generation<br />
<strong>Security</strong> κυρίως λόγω cloud υπηρεσιών και mobile χρηστών.<br />
Οι επιχειρήσεις καλούνται να επιλέξουν μεταξύ μίας ποικιλίας<br />
εργαλείων και τεχνολογικών λύσεων, ωστόσο η απλή εγκατάσταση<br />
τους χωρίς καθορισμό της διασύνδεσης με τις υφιστάμενες<br />
λειτουργίες της επιχείρησης δε θα φέρει την επιθυμητή<br />
θωράκιση του δικτύου. Ένα βασικό χαρακτηριστικό της<br />
αρχιτεκτονικής Next Generation <strong>Security</strong> είναι ότι πρέπει να<br />
προσφέρει μηχανισμούς self-defending αυξάνοντας τις<br />
πιθανότητες της επιχείρησης να επιβιώσει μίας επίθεσης με<br />
περιορισμένες απώλειες.<br />
Ο αριθμός των επιθέσεων στον κυβερνοχώρο βρίσκεται σε<br />
υψηλά όλων των εποχών, χωρίς σημάδια επιβράδυνσης! Ο<br />
χρόνος που χρειάζονται οι ΙΤ admin να ανιχνεύσουν ένα συμβάν<br />
αυξάνεται συνεχώς καθώς πνίγονται σε μια μεγάλη ποσότητα<br />
log data. Η λύση σε αυτή τη σημαντική πρόκληση του<br />
Next Generation <strong>Security</strong> είναι το visibility, που θα παρέχει<br />
πλήρη ορατότητα σε κάθε δραστηριότητα του δικτύου.<br />
Μόνο όταν μπορούμε να δούμε καθαρά όλες τις δραστηριότητες<br />
του δικτύου, τις συνδεδεμένες συσκευές και τους χρήστες<br />
σε πραγματικό χρόνο, μπορούμε να αντιμετωπίζουμε<br />
πιθανές απειλές. Η αναγκαιότητα του visibility απεικονίζεται<br />
πλήρως στα στατιστικά, που δείχνουν ότι παρόλο που το 97%<br />
των εταιριών συλλέγουν logs, μόνο το 44% κάνει review σε<br />
αυτά και μόνο το 14% νιώθει ότι είναι αποτελεσματικό στο να<br />
ανακαλύπτει security events.<br />
Για προστασία έναντι προηγμένων απειλών οι λύσεις ασφάλειας<br />
πρέπει να είναι ευέλικτες και πλήρως ενσωματωμένες<br />
στη λειτουργία της επιχείρησης. Πρέπει να προσφέρουν<br />
εκτεταμένη εικόνα των απειλών και να αποκρούουν μεγάλο<br />
μέρος των επιθέσεων αυτοματοποιημένα ελαχιστοποι-<br />
14 security
Γιάννης Δασκαλόπουλος<br />
<strong>Security</strong> Solutions Supervisor - Digital SIMA<br />
ώντας τις επιπτώσεις τους.<br />
Έτσι απαιτείται:<br />
• Προηγμένη Αναγνώριση άγνωστων απειλών που να<br />
λειτουργεί σε συνεργασία με τις λύσεις ασφάλειας αναγνωρίζοντας<br />
ανωμαλίες οι οποίες είναι δείκτες πιθανού<br />
compromise.<br />
• Ικανότητες Απόκρισης ώστε να αναγνωρίζεται ενδεχόμενη<br />
επίθεση και να απομονώνεται άμεσα.<br />
• Ενημέρωση σε πραγματικό χρόνο τόσο από το σύννεφο,<br />
όσο και από δικτυακές πηγές και εργαλεία.<br />
• Υποστήριξη Ασφάλειας στα on-premice, απομακρυσμένα<br />
& mobile endpoints. Πρέπει να υπάρχουν μηχανισμοί<br />
ασφάλειας για όλους τους πόρους του δικτύου.<br />
• Έλεγχος κρυπτογραφημένης κίνησης SSL. Το Gateway<br />
πρέπει να αποκρυπτογραφεί την κίνηση, να την ελέγχει και<br />
να την κρυπτογραφεί και πάλι πριν την προωθήσει στα end<br />
point.<br />
• Anti-bot. Το Gateway θα πρέπει να αναγνωρίζει και να απομονώνει<br />
μολυσμένα hosts.<br />
• Behaviour monitoring υπηρεσίες για καλύτερη αντιμετώπιση<br />
των πολυμορφικών ιών. Το παραδοσιακό Antivirus<br />
δεν είναι πλέον αρκετό.<br />
Η Watchguard στο πλαίσιο προσαρμογής και αναβάθμισης<br />
των λύσεων της, πέρα από τις παραδοσιακά κορυφαίες UTM<br />
υπηρεσίες, προσφέρει το τελευταίο διάστημα μία σειρά εργαλείων<br />
για να καλύψει τη Next Generation <strong>Security</strong> με<br />
το βέλτιστο δυνατό τρόπο, τόσο από της πλευρά του Gateway,<br />
όσο και από το End Point.<br />
(100/100/0) από την NSS Lab εξασφαλίζει ότι είναι η κορυφαία<br />
λύση για αντιμετώπιση advance threats, zero-day επιθέσεων<br />
και των sophisticated ransomware.<br />
Network Discovery - Με τη υπηρεσία Network Discovery<br />
παρέχεται σάρωση του δικτύου που δημιουργεί μια οπτική<br />
απεικόνιση σε χάρτη της κάθε συνδεδεμένης συσκευής, προσφέροντας<br />
συνολική ορατότητα για όλες τις συνδέσεις. Έτσι διασφαλίζεται<br />
ότι μόνο οι εξουσιοδοτημένες συσκευές συνδέονται<br />
στο εταιρικό δίκτυο. Παράλληλα γίνεται ανίχνευση όλων<br />
των ανοικτών θυρών και πρωτοκόλλων.<br />
Mobile <strong>Security</strong> - Η υπηρεσία Mobile <strong>Security</strong> της<br />
WatchGuard παρέχει ένα πρόσθετο επίπεδο στο visibility του<br />
δικτύου, επιτρέποντας στους διαχειριστές να εντοπίζουν και<br />
να ελέγχουν τις κινητές συσκευές που προσπαθούν να συνδεθούν<br />
μέσω Wi-Fi ή VPN. Εμποδίζει την πρόσβαση σε rooted ή<br />
jailbroken συσκευές, καθώς επίσης μπλοκάρει τους χρήστες<br />
που δοκιμάζουν να κάνουν λήψη εφαρμογών από μη εγκεκριμένες<br />
πηγές. Tο Mobile <strong>Security</strong> βοηθάει στην εφαρμογή<br />
των BYOD πολιτικών της εταιρίας και παρέχει επιπρόσθετα τη<br />
δυνατότητα malware scans των Android devices, όταν έχει<br />
εγκατασταθεί το app FireClient.<br />
Botnet Detection - Με την ενσωμάτωση της υπηρεσίας<br />
ανίχνευσης Botnet, οι εταιρείες αποκτούν ορατότητα σχετικά<br />
με τους μολυσμένους υπολογιστές τους αλλά και για συνδέσεις<br />
που γίνονται προς δίκτυα που είναι χαρακτηρισμένα ως<br />
Botnet.<br />
Dimension - To WatchGuard Dimension είναι μια λύση ασφάλειας<br />
cloud-ready που παρέχει πλήρη ορατότητα σε όλες τις<br />
δραστηριότητες του δικτύου. Οι απαραίτητες πληροφορίες<br />
εξάγονται γρήγορα με λεπτομερείς αναφορές και παράλληλα<br />
μπορεί να εντοπίσει αμέσως απειλές για την ασφάλεια του δικτύου<br />
σας, πριν γίνουν προβλήματα. Το Dimension προσφέρει<br />
περισσότερα από 100 ολοκληρωμένες αναφορές ασφαλείας<br />
και εκθέσεις. Οι διαχειριστές μπορούν να δουν ποιοι είναι αυτοί<br />
που καταναλώνουν το περισσότερο bandwidth, να εντοπίσουν<br />
ασυνήθιστα μοτίβα κίνησης καθώς και να ενημερωθούν για<br />
το ποιες ιστοσελίδες επισκέπτονται πιο συχνά οι χρήστες του<br />
δικτύου. Οι εκθέσεις μπορούν να προσαρμοστούν στις ανάγκες<br />
όλων των ειδικοτήτων για παροχή πλήρους εποπτείας<br />
του δικτύου. <strong>IT</strong><strong>Security</strong><br />
Τα νέα εργαλεία που προσφέρει είναι:<br />
APT Blocker - Έχοντας λάβει την μέγιστη βαθμολογία<br />
security<br />
15
T<strong>46</strong>08-10.2016<br />
Issue<br />
Η Sophos οδηγεί τις εξελίξεις στην<br />
προστασία επόμενης γενιάς<br />
Αν πρόκειται να μιλήσουμε για μία εταιρεία που πρωτοστατεί στον τομέα της ασφάλειας επόμενης<br />
γενιάς (NextGen <strong>Security</strong>), τότε αυτή η εταιρεία δεν είναι άλλη από τη Sophos, η οποία έχει<br />
κυριολεκτικά δείξει τον δρόμο οδηγώντας τις εξελίξεις σε αυτό που σήμερα ονομάζουμε<br />
Συγχρονισμένη Ασφάλεια (Synchronized <strong>Security</strong>) όπου όλα τα υποσυστήματα ασφαλείας<br />
επικοινωνούν μεταξύ τους σαν να είναι ένα ενιαίο σύστημα. Η συγχρονισμένη ασφάλεια<br />
αποτελείται από τεχνολογίες όπως το Sophos XG Firewall και το <strong>Security</strong> Heartbeat, το NextGen<br />
Endpoint, το Sophos SafeGuard NextGen Encryption και πολλών άλλων που προστίθενται<br />
συνέχεια στην εξίσωση.<br />
ια δεκαετίες ολόκληρες, η βιομηχανία των συστημάτων<br />
ασφάλειας πληροφοριακών συστη-<br />
Γ<br />
μάτων αντιμετώπιζε την ασφάλεια δικτύων και<br />
τερματικών συσκευών σαν δύο εντελώς διαφορετικές<br />
οντότητες. Θα μπορούσε κάποιος<br />
να περιγράψει την κατάσταση ως εξής: σαν να τοποθετείται<br />
ένας φύλακας ασφαλείας έξω από ένα κτίριο και ένας άλλος<br />
στο εσωτερικό του κτιρίου, αλλά να μην τους επιτρέπεται να<br />
μιλήσουν ο ένας στον άλλο!<br />
Με τη συγχρονισμένη ασφάλεια ωστόσο, το τείχος προστασίας<br />
(firewall) συνδέεται και επικοινωνεί με τις τερματικές<br />
συσκευές (Endpoint <strong>Security</strong>) διαμοιράζοντας<br />
την κατάσταση (status) και ανταλλάσσοντας πληροφορίες.<br />
Αυτό αποτελεί ουσιαστικά τεχνητή νοημοσύνη ενάντια<br />
στις απειλές, έτσι ώστε η ανίχνευση και η απομόνωση των<br />
μολυσμένων συσκευών να πραγματοποιείται ταχύτερα και<br />
αποτελεσματικότερα. Αυτή η επικοινωνία, που αναβαθμίζει<br />
σε πολύ υψηλότερο επίπεδο την άμυνα των οργανισμών και<br />
επιχειρήσεων ονομάζεται <strong>Security</strong> Heartbeat, μία μοναδική<br />
καινοτόμο τεχνολογία της Sophos.<br />
16 security
Γιώργος Καπανίρης<br />
Διευθυντής Στρατηγικής Ανάπτυξης, NSS<br />
Το <strong>Security</strong> Heartbeat “εκπέμπει” σε πραγματικό χρόνο και<br />
ανά τακτά χρονικά διαστήματα, πληροφορίες που σχετίζονται<br />
με ύποπτη συμπεριφορά ή κακόβουλη δραστηριότητα<br />
μεταξύ των τερματικών (endpoints) και του τείχους προστασίας<br />
(firewall). Δίνοντας την δυνατότητα σε αυτά τα παραδοσιακά<br />
ανεξάρτητα μεταξύ τους συστήματα τη δυνατότητα να<br />
διαμοιράζονται απευθείας στοιχεία τεχνητής νοημοσύνης, το<br />
<strong>Security</strong> Heartbeat μπορεί να λάβει δράση και να προχωρήσει<br />
σε περιορισμό και έλεγχο ενός malware που είναι εύκολο να<br />
εξελιχθεί σε “επιδημία” και να εξαπλωθεί σε πολλούς υπολογιστές<br />
του δικτύου ή να ελέγξει αποτελεσματικά κάποια παραβίαση<br />
δεδομένων που έχει λάβει χώρα σε κάποιο σύστημα<br />
μεμονωμένα.<br />
Το Sophos XG Firewall χρησιμοποιεί δεδομένα που παρέχονται<br />
από την προστασία τερματικών της Sophos (Sophos<br />
Endpoint Protection) για να απομονώσει και να περιορίσει<br />
την πρόσβαση στην μολυσμένη συσκευή, και παράλληλα η<br />
προστασία τερματικών συσκευών μπορεί να αντιμετωπίσει<br />
την επίθεση και να βοηθήσει στην αποκατάσταση. Όλα τα παραπάνω<br />
πραγματοποιούνται χρησιμοποιώντας ένα ιδιαίτερα<br />
κομψό και απλό περιβάλλον χρήσης και διαχείρισης με προκαθορισμένα<br />
πρότυπα και ενοποιημένο μοντέλο πολιτικών<br />
μέσω μίας ενιαίας οθόνης που προσφέρει εκπληκτική ορατότητα<br />
σε επίπεδο χρήστη.<br />
Ένα ακόμα σύστημα που αναδεικνύει τη μοναδική θέση ισχύος<br />
που έχει η εταιρεία Sophos στον τομέα της Συγχρονισμένης<br />
Ασφάλειας, είναι το Sophos Central που προσφέρει ακόμα<br />
περισσότερες επιλογές, δυνατότητες και ευκολίες στην διαχείριση<br />
της ασφάλειας και να επιταχύνει την καινοτομία και τη<br />
συνεργασία μεταξύ πολλών διαφορετικών προϊόντων ασφάλειας.<br />
Την ώρα που η βιομηχανία ολοένα και περισσότερο κατευθύνεται<br />
σε όλο και πιο πολύπλοκα προϊόντα, η Sophos παραμένει<br />
σταθερή στην άποψη της ότι η ασφάλεια θα πρέπει να<br />
είναι απλή, ισχυρή, και με πολλαπλά καινοτόμα χαρακτηριστικά.<br />
Γι’ αυτό ακριβώς το λόγο, το Sophos Central αποτελεί ένα<br />
ενιαίο, εξαιρετικά ισχυρό και εύκολο στη χρήση διαχειριστικό<br />
εργαλείο στο Cloud για όλα τα παρακάτω υποσυστήματα:<br />
• ασφάλεια τερματικών (endpoint security)<br />
• ασφάλεια φυσικών και εικονικών διακομιστών (server<br />
security)<br />
• ασφάλεια και έλεγχο φορητών συσκευών (mobile security<br />
& control)<br />
• διακομιστή περιήγησης ιστοσελίδων (cloud web gateway)<br />
• διακομιστή διαχείρισης ηλ. αλληλογραφίας (cloud email<br />
gateway)<br />
• διασύνδεση με τείχη προστασίας (firewalls)<br />
• ασύρματη δικτύωση (cloud wireless security)<br />
• κρυπτογράφηση τερματικών (cloud hard disk encryption)<br />
Η Sophos έχει ρίξει ιδιαίτερα μεγάλο βάρος στην κρυπτογράφηση,<br />
κάτι που απέδειξε με την κυκλοφορία του SafeGuard<br />
Encryption 8.0 το οποίο συμπεριλαμβάνει λειτουργικότητα<br />
κρυπτογράφησης επόμενης γενιάς (NextGen Encryption)<br />
αποτρέποντας ουσιαστικά τη δυνατότητα τα πέσουν τα ευαίσθητά<br />
σας δεδομένα σε λάθος χέρια. Όλα τα δεδομένα κατά<br />
τη δημιουργία τους κρυπτογραφούνται και παραμένουν κρυπτογραφημένα<br />
ανά πάσα στιγμή, όταν μεταφέρονται σε έναν<br />
κοινόχρηστο φάκελο, USB stick, ή στο σύννεφο. Η κρυπτογράφηση<br />
επόμενης γενιάς υποστηρίζει πλήρως τη λειτουργικότητα<br />
συγχρονισμένης ασφάλειας (Synchronized <strong>Security</strong>),<br />
αφού μοιράζεται στοιχεία και ανταλλάσει σημαντικές πληροφορίες<br />
με τα άλλα υποσυστήματα ασφάλειας. Αν ένα τερματικό<br />
εντοπίσει μια απειλή, τα κλειδιά κρυπτογράφησης μπορούν<br />
να ανακληθούν αυτόματα, έτσι ώστε τα δεδομένα να παραμείνουν<br />
απόλυτα ασφαλή ακόμα και αν οι hackers καταφέρουν<br />
να αποκτήσουν πρόσβαση στο δίκτυό σας.<br />
Κάτι επίσης πολύ σημαντικό που πραγματικά αφορά προστασία<br />
επόμενης γενιάς είναι το Sophos Sandstorm, μία εξαιρετική<br />
λύση sandbox που λειτουργεί αψεγάδιαστα σε συνδυα-<br />
security<br />
17
T<strong>46</strong>08-10.2016<br />
Issue<br />
σμό με τις λύσεις περιμετρικής ασφάλειας της Sophos, Secure<br />
Web Gateway, Secure Email Gateway και UTM, προσφέροντας<br />
προστασία απέναντι σε άγνωστες, ιδιαίτερα προηγμένες<br />
και evasive απειλές. Το Sophos Sandstorm καταρχήν ερευνά<br />
τα ύποπτα αρχεία μέσω των συμβατικών ελέγχων ασφαλείας,<br />
με ελέγχους βάσει υπογραφών anti-malware (signatures) ή<br />
ψάχνοντας για κακόβουλα URLs. Αν το αρχείο δεν ανιχνευτεί<br />
ως απειλή, πρώτα αποστέλλεται η υπογραφή του αρχείου<br />
(file hash) για να καθοριστεί αν έχει προηγουμένως αναλυθεί<br />
/ αντιμετωπιστεί. Αν το αρχείο είναι άγνωστης προέλευσης<br />
όμως, τότε ένα αντίγραφο του ύποπτου αρχείου αποστέλλεται<br />
στο Sandstorm. Το αρχείο σε αυτή την περίπτωση εκτελείται<br />
σε ένα περιορισμένο εικονικό περιβάλλον για να παρατηρηθεί<br />
λεπτομερώς η συμπεριφορά του. Με αυτό το τρόπο, η<br />
Sophos μπορεί να περιορίσει τα ransomware και άλλα zero<br />
day malware, που ταλαιπωρούν τους οργανισμούς και τις<br />
επιχειρήσεις και μόνο με τέτοιες τεχνικές μπορούν να αντιμετωπιστούν.<br />
Το μεγαλύτερο άλμα στον τομέα της ασφάλειας που έχει κάνει<br />
όμως η Sophos στην βιομηχανία συστημάτων ασφάλειας,<br />
είναι το Sophos Intercept X. Με αυτό, η Sophos εγκαινίασε<br />
μία νέα εποχή για την προστασία τερματικών (endpoint<br />
protection) από τις σημερινές προηγμένες απειλές. Το Intercept<br />
X είναι μία νέα τεχνολογία signature-less, anti-hacker, antiransomware<br />
και anti-exploit της Sophos που περιλαμβάνει<br />
root-cause analytics, προηγμένη σάρωση antivirus και καθαρισμό<br />
malware, η διαχείριση της οποίας είναι μία ιδιαίτερα<br />
απλή διαδικασία αφού πραγματοποιείται και αυτή μέσω της<br />
κονσόλας διαχείρισης του Sophos Central, στο οποίο αναφερθήκαμε<br />
νωρίτερα.<br />
Το εντελώς νέο Sophos Intercept X προσφέρει ιδιαίτερα ισχυρή<br />
προστασία των τερματικών με λειτουργικό σύστημα Windows<br />
απέναντι στην μάστιγα της εποχής, τα ransomware αφού είναι<br />
ικανό να τα σταματήσει εν τη γενέσει τους, από όπου και<br />
αν προέρχονται όπως π.χ. usb sticks και όσο σύγχρονα και να<br />
είναι, ενώ μπορεί να επαναφέρει τυχόν κατεστραμμένα αρχεία<br />
σε μία πρωτύτερα γνωστή και ασφαλής κατάσταση τους.<br />
Επίσης μπορεί και σταματάει τις απειλές zero-day χωρίς την<br />
ανάγκη παραδοσιακής σάρωσης των αρχείων, χάρη στην προηγμένη<br />
τεχνολογία anti-exploit που ενσωματώνει και χωρίς<br />
την ανάγκη ενημέρωσης των υπογραφών (signatures), κάτι<br />
που κάνουν τα παραδοσιακά antivirus. Επίσης, μπορεί να<br />
προσφέρει αυτόματα ειδικές αναφορές, για την πηγή προέλευσης<br />
των επιθέσεων (root cause analysis), την επισήμανση<br />
τυχόν πρόσθετων σημείων μόλυνσης, ενώ παρέχει και<br />
οδηγίες για την ενίσχυση της ασφάλειας της επιχείρησης ή<br />
του οργανισμού.<br />
Το Sophos Intercept Χ είναι διαθέσιμο ως ανεξάρτητο υποσύστημα<br />
προστασίας σε συνεργασία με κάποιο παραδοσιακό<br />
antivirus οποιουδήποτε κατασκευαστή που βασίζεται σε υπογραφές<br />
ώς επιπλέον προστασία που είναι πλέον αναγκαία ή ως<br />
μέρος της διαχειριζόμενης από το Sophos Central προϊοντικής<br />
γκάμας της εταιρείας με την ονομασία Endpoint Ultimate,<br />
με το τελευταίο να συνδυάζει το σύστημα Sophos Endpoint<br />
Advanced και Intercept X σε μία δυναμική, ολοκληρωμένη λύση<br />
προστασίας τερματικών συσκευών επόμενης γενιάς που<br />
αντίστοιχη δεν υπάρχει στην αγορά.<br />
18 security
T<strong>46</strong>08-10.2016<br />
Issue<br />
Next-generation security<br />
στην εποχή των αναπόφευκτων<br />
παραβιάσεων<br />
Διανύουμε μια εποχή, όπου οι παραβιάσεις δεδομένων είναι αναπόφευκτες. Οι ειδικοί<br />
ασφάλειας πληροφοριών χρησιμοποιούν τις ικανότητές τους και όλη την τεχνολογία που<br />
διατίθεται προκειμένου να αποτρέψουν τις παραβιάσεις, να μετριάσουν τους κινδύνους και να<br />
ανταποκριθούν κατάλληλα όταν αυτές συμβούν.<br />
ι παραβιάσεις συμβαίνουν και θα συνεχίσουν<br />
O<br />
να συμβαίνουν ακόμη και στους οργανισμούς<br />
με ισχυρά μέτρα ασφάλειας πληροφοριών,<br />
επιχειρησιακής συνέχειας και ανάκαμψης από<br />
καταστροφή. Αυτό δε σημαίνει ότι τα τρέχοντα<br />
μέτρα ασφάλειας είναι αναποτελεσματικά.<br />
Οι άνθρωποι καθημερινά χάνουν υπολογιστές, κινητά τηλέφωνα<br />
και άλλες συσκευές, οι οποίες περιέχουν μία εξαιρετικά<br />
μεγάλη ποσότητα εμπιστευτικών πληροφοριών. Επίσης,<br />
οι έμπιστοι άνθρωποι μπορούν να αλλάξουν συμπεριφορά<br />
κάτω από διάφορες συνθήκες και υπάρχει μια λεπτή γραμμή<br />
μεταξύ της ανάγκης για πρόσβαση σε δεδομένα, της ευκολίας<br />
του να επιτευχθεί αυτό και της ανάγκης για προστασία αυτών<br />
των δεδομένων. Η διασφάλιση της πληροφορίας γενικότερα<br />
καθιστά την πρόσβαση σε αυτή και την επεξεργασία της, δυσκολότερη.<br />
Η αλήθεια είναι ότι, ακόμη και αν ένας οργανισμός έχει υποστεί<br />
ήδη μια παραβίαση ασφάλειας, αυτό δε σημαίνει ότι είναι<br />
ασφαλής από μια άλλη. Οι οργανισμοί πλέον δεν μπορούν να<br />
αντέξουν οικονομικά τις κυρώσεις που θα υποστούν σε περίπτωση<br />
που αγνοήσουν τις σημαντικές απειλές που θέτουν οι<br />
εγκληματίες του κυβερνοχώρου, για τα ευαίσθητα δεδομένα<br />
των επιχειρήσεων και τη φήμη των πελατών. Επομένως, πρέπει<br />
να επενδύσουν σε ισχυρές τεχνολογίες και εργαλεία προκειμένου<br />
να αναλάβουν δράση έναντι όλων αυτών των παραβιάσεων<br />
και των απειλών που βρίσκονται σε έξαρση.<br />
Η εποχή στην οποία βρισκόμαστε, χαρακτηρίζεται από μια<br />
πληθώρα τεχνολογικών όρων που παίρνουν τα ηνία προκειμένου<br />
να επιτύχουν αυτό το στόχο. Ο όρος “next-generation<br />
security”, γεννήθηκε ως άμεσο αποτέλεσμα των νέων τύπων<br />
τεχνολογιών που απαιτούν υψηλότερα επίπεδα ευελιξίας της<br />
ασφάλειας. Οι τεχνολογίες “next-generation security” είναι<br />
20 security
Δήμητρα Ζέρβα<br />
Information <strong>Security</strong> Consultant<br />
Networking Solutions Division, Space Hellas<br />
πολλά περισσότερα από ένα απλό firewall. Είναι έξυπνες συσκευές<br />
οι οποίες έχουν επίγνωση των συσκευών, των εφαρμογών<br />
και των χρηστών. Τα προϊόντα ασφάλειας έχουν εξελιχθεί<br />
πέρα από την τυποποιημένη πλατφόρμα firewall σε κάτι<br />
που είναι σε θέση να υποστηρίζει πολλά διαφορετικά είδη<br />
υπηρεσιών. Σε πολλές περιπτώσεις, οι υπηρεσίες αυτές δουλεύουν<br />
όλες μαζί παρέχοντας μια ενιαία πλατφόρμα. Οι τεχνολογίες<br />
“next-generation” θα περιστρέφονται πάντα γύρω από<br />
την ασφάλεια, την ευελιξία και την ικανότητα να εξελίσσονται<br />
γρήγορα, ανταποκρινόμενες στις ανάγκες μιας αναπτυσσόμενης<br />
επιχείρησης.<br />
Στο επίκεντρο όλων αυτών των νέων τεχνολογιών βρίσκονται<br />
τα security analytics. Τα security analytics αναφέρονται σε λύσεις<br />
τεχνολογίας πληροφοριών (<strong>IT</strong>), οι οποίες συλλέγουν και<br />
αναλύουν τα γεγονότα ασφάλειας, ώστε να φέρουν επίγνωση<br />
της κατάστασης και να επιτρέψουν την περαιτέρω ανάλυση<br />
των γεγονότων που αποτελούν το μεγαλύτερο κίνδυνο. Οι<br />
λύσεις σε αυτόν τον τομέα περιλαμβάνουν, εκτός από λύσεις<br />
security information and event management (SIEM), και λύσεις<br />
user behavior analytics (UBA) οι οποίες επικεντρώνονται<br />
στο χρήστη και τη συμπεριφορά του.<br />
Insider threats & User Behavior Analytics<br />
Οι εσωτερικές απειλές βρίσκονται στην κορυφή των ευπαθειών<br />
που προκαλούν τη μεγαλύτερη ανησυχία στους οργανισμούς.<br />
Εκτείνονται από νυν και πρώην υπαλλήλους σε εργολάβους<br />
και συνεργάτες με εξουσιοδοτημένη πρόσβαση σε δίκτυα<br />
και κρίσιμα συστήματα δεδομένων. Οι εσωτερικές απειλές<br />
είναι μία από τις περιπτώσεις που οδήγησαν στις νέες προσεγγίσεις<br />
για την ανάλυση της συμπεριφοράς των χρηστών<br />
(UBA), η οποία δίνει τη δυνατότητα στους αναλυτές ασφάλειας<br />
να παρακολουθούν τη δραστηριότητα των χρηστών.<br />
Τα analytics της συμπεριφοράς των χρηστών επικεντρώνονται<br />
στην παρακολούθηση, τη συλλογή και την αξιολόγηση των δεδομένων<br />
του χρήστη και των δραστηριοτήτων του, με τη χρήση<br />
συστημάτων παρακολούθησης. Οι τεχνολογίες UBA αναλύουν<br />
ιστορικά logs δεδομένων -συμπεριλαμβανομένων των<br />
logs δικτύου και ελέγχου ταυτότητας (αυθεντικοποίησης), που<br />
συλλέγονται και αποθηκεύονται σε συστήματα διαχείρισης<br />
logs και SIEM- για να προσδιορίσουν τα πρότυπα της κίνησης<br />
που προκλήθηκαν από τις συμπεριφορές των χρηστών, τόσο<br />
τις φυσιολογικές, όσο και τις κακόβουλες. Ενώ τα συστήματα<br />
UBA δε λαμβάνουν δράση βάσει των ευρημάτων τους, έχουν<br />
ως κύριο σκοπό να παρέχουν στις ομάδες ασφάλειας ενημέρωση<br />
για τις δραστηριότητες των χρηστών.<br />
Τα συστήματα UBA συλλέγουν διάφορα είδη δεδομένων, όπως<br />
ρόλους χρηστών, δικαιώματα πρόσβασης, δραστηριότητα των<br />
χρηστών, ημερομηνία και ώρα της δραστηριότητας και γεωγραφική<br />
τοποθεσία, καθώς επίσης και τις προειδοποιήσεις<br />
ασφάλειας. Τα δεδομένα αυτά μπορούν να συλλέγονται από<br />
την προγενέστερη και την τρέχουσα δραστηριότητα και η ανάλυσή<br />
τους λαμβάνει υπόψη παράγοντες, όπως οι πόροι που<br />
χρησιμοποιήθηκαν, η διάρκεια των συνεδριών (sessions), η<br />
συνδεσιμότητα και η δραστηριότητα όμοιων ομάδων, προκειμένου<br />
να γίνει σύγκριση της ανώμαλης συμπεριφοράς.<br />
Οι οργανισμοί πλέον χρειάζεται να γνωρίζουν όχι μόνο ποιος<br />
συνδέθηκε στο δίκτυο, αλλά και τι έκανε όσο ήταν συνδεδεμένος.<br />
Τα συστήματα UBA δεν αναφέρουν όλες τις ανώμαλες συμπεριφορές<br />
ως επικίνδυνες. Στην πραγματικότητα, αξιολογούν<br />
το πιθανό αντίκτυπο των συμπεριφορών. Εάν η συμπεριφορά<br />
αφορά λιγότερο ευαίσθητους πόρους, λαμβάνει χαμηλή βαθμολογία<br />
αντικτύπου. Εάν αφορά κάτι περισσότερο ευαίσθητο,<br />
όπως προσωπικές πληροφορίες (Personally Identifiable<br />
Information), θα λάβει υψηλότερη βαθμολογία αντικτύπου.<br />
Με αυτό τον τρόπο οι ομάδες ασφάλειας μπορούν να δώσουν<br />
προτεραιότητα στο τι πρέπει να παρακολουθήσουν, καθώς το<br />
σύστημα UBA έχει τη δυνατότητα αυτόματα να περιορίζει ή να<br />
αυξάνει τη δυσκολία της αυθεντικοποίησης του χρήστη που<br />
έχει παρουσιάσει ανώμαλη συμπεριφορά.<br />
Τα εργαλεία UBA μπορούν να συμβάλουν<br />
στην αντιμετώπιση των επιθέσεων έναντι της<br />
ασφάλειας<br />
Τα εργαλεία UBA χρησιμοποιούν έναν ειδικό τύπο security<br />
analytics ο οποίος εστιάζει στη συμπεριφορά των συστημάτων<br />
και των ανθρώπων που τα χρησιμοποιούν. Εκτελούν δύο<br />
βασικές λειτουργίες. Αρχικά, καθορίζουν μια βασική γραμμή<br />
των «κανονικών (normal)» δραστηριοτήτων, οι οποίες είναι<br />
ειδικά προσαρμοσμένες για τον οργανισμό και τους χρήστες<br />
security<br />
21
T<strong>46</strong>08-10.2016<br />
Issue<br />
του. Δεύτερον, τα εργαλεία UBA διακρίνουν γρήγορα τις αποκλίσεις<br />
από τον κανόνα, οι οποίες απαιτούν περαιτέρω διερεύνηση.<br />
Επομένως, κύριος σκοπός αυτών των εργαλείων είναι<br />
να αναδείξουν τις περιπτώσεις στις οποίες κάποια μη φυσιολογική<br />
συμπεριφορά βρίσκεται σε εξέλιξη.<br />
Ποια είναι όμως η διαφορά μεταξύ των security analytics και<br />
αυτών των εργαλείων;<br />
Αυτές οι τεχνολογίες που βασίζονται στην ταυτότητα του χρήστη<br />
εστιάζουν πρώτα στο άτομο, παρακολουθώντας τις αλληλεπιδράσεις<br />
και χτίζοντας βασικά προφίλ για να τα συγκρίνουν<br />
με το ιστορικό των συμπεριφορών και με αυτό των όμοιων<br />
ομάδων. Οι περισσότερες από αυτές τις πλατφόρμες είναι<br />
σχεδιασμένες για να παρακολουθούν κάθε χρήστη και όχι<br />
μόνο όσους θεωρούνται υψηλού κινδύνου. Η μεγάλη διαφορά<br />
μεταξύ των UBA και άλλων τύπων security analytics είναι<br />
ότι τα εργαλεία UBA εστιάζουν στους χρήστες (παρά στα γεγονότα<br />
ή στις προειδοποιήσεις). Με άλλα λόγια, τα εργαλεία<br />
UBA απαντούν στο ερώτημα, "Συμπεριφέρεται αυτός ο χρήστης<br />
ασυνήθιστα;".<br />
Είτε πρόκειται για κλοπή ευαίσθητων δεδομένων και δεδομένων<br />
πνευματικής ιδιοκτησίας, είτε για τυχαία απώλεια δεδομένων<br />
που προκαλείται από καλοπροαίρετους εργαζόμενους<br />
που έχουν υποστεί κοινωνική μηχανική (social engineering),<br />
η παρακολούθηση της επικίνδυνης συμπεριφοράς των χρηστών<br />
εξακολουθεί να αποτελεί την κορυφαία ανησυχία για<br />
τους επαγγελματίες της ασφάλειας.<br />
Πως συνδέονται τα analytics της<br />
συμπεριφοράς των χρηστών με την εκπαίδευση<br />
ευαισθητοποίησης των χρηστών σε θέματα<br />
ασφάλειας;<br />
Το ανθρώπινο λάθος είναι μια από τις μεγαλύτερες αιτίες παραβιάσεων<br />
ασφάλειας δεδομένων. Η προσεκτική παρακολούθηση<br />
και ανάλυση της ανθρώπινης συμπεριφοράς μπορεί να<br />
προσδιορίσει περιοχές όπου, μια συγκεκριμένη προειδοποίηση<br />
ή ένας έλεγχος ασφάλειας θα μπορούσε να έχει εφαρμοστεί<br />
για να αποτρέψει μια παραβίαση ασφάλειας δεδομένων,<br />
που θα ήταν δυνατό να προκληθεί από το λάθος ενός χρήστη.<br />
Τα analytics της συμπεριφοράς των χρηστών επικεντρώνονται<br />
στην παρακολούθηση της συμπεριφοράς και των προτύπων<br />
για τον εντοπισμό εσωτερικών απειλών, είτε είναι ακούσια, είτε<br />
εκούσια. Ένα εργαλείο UBA θα αναπτύξει γενικά μια βασική<br />
γραμμή της συμπεριφοράς των εργαζομένων και από εκεί θα<br />
εντοπίσει ανωμαλίες για περαιτέρω έρευνα.<br />
Η εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας εστιάζει<br />
(ή θα έπρεπε τουλάχιστον να εστιάζει), στις ανθρώπινες συμπεριφορές<br />
και στην ανθρώπινη ψυχολογία που κινεί τέτοιες<br />
συμπεριφορές (εσωτερικά σε κάθε εργαζόμενο). Η ασφάλεια<br />
και το απόρρητο των δεδομένων σε έναν οργανισμό, εξαρτάται<br />
από μια αλλαγή στην εταιρική κουλτούρα προς ένα περιβάλλον<br />
το οποίο δίνει αξία στην προστασία της ιδιωτικής ζωής<br />
και στην ασφάλεια των δεδομένων. Πρέπει να δοθεί ιδιαίτερη<br />
έμφαση στην αλλαγή των ανθρώπων και των συμπεριφορών<br />
προς την πεποίθηση ότι, η προστασία των δεδομένων του οργανισμού<br />
είναι ευθύνη όλων των εργαζομένων.<br />
Η Space Hellas διαθέτει κορυφαία τεχνογνωσία στην τεχνολογία<br />
ασφάλειας πληροφοριών με εξειδικευμένο και πιστοποιημένο<br />
προσωπικό που σχεδιάζει και υλοποιεί εξελιγμένες<br />
λύσεις, οι οποίες προσαρμόζονται στις ανάγκες του πελάτη.<br />
Παρέχει προηγμένα professional services και συνεργάζεται<br />
με τους κορυφαίους κατασκευαστικούς οίκους προϊόντων<br />
ασφάλειας. Συνδυάζει τεχνολογικά προϊόντα και managed<br />
services, δίνοντας τη δική της λύση “next-generation security”<br />
προσφέροντας <strong>Security</strong> Intelligence και Analytics, με την προστιθέμενη<br />
αξία του Compliance.<br />
22 security
Εκδόσεις για την<br />
Ασφάλεια<br />
ΑΣΦΑΛΕΙΑ ΠΛΗΡΟΦΟΡΙΚΗΣ<br />
(<strong>IT</strong> SECUR<strong>IT</strong>Y)<br />
30€<br />
20€<br />
ΕΓΚΥΚΛΟΠΑΙΔΙΚΟ ΕΓΧΕΙΡΙΔΙΟ<br />
ΤΟΥ SECUR<strong>IT</strong>Y MANAGER<br />
ΒΙΟΜΗΧΑΝΙΚΗ ΚΑΤΑΣΚΟΠΙΑ -<br />
ΥΠΟΚΛΟΠΗ ΠΛΗΡΟΦΟΡΙΩΝ και<br />
ΤΗΛΕΠΙΚΟΙΝΩΝΙΩΝ και ΑΝΤΙΜΕΤΡΑ<br />
14€<br />
Πληροφορίες: support@securitymanager.gr<br />
Τηλ.: 210 5225479<br />
SMART PRESS A.E.<br />
Μάγερ 11, 10438, Αθήνα<br />
Τ. 210.5201500, 210.5231555<br />
F. 210.5241900<br />
www.smartpress.gr<br />
smart@smartpress.gr
T<strong>46</strong>08-10.2016<br />
Issue<br />
Εταιρική Ασφάλεια Δικτύου.<br />
Τα ΠΡΕΠΕΙ και τα ΜΗ που οφείλει να<br />
ακολουθεί κάθε επιχείρηση.<br />
Μια αποτελεσματική λύση διαδικτυακής ασφαλείας είναι σήμερα απαραίτητη περισσότερο<br />
από κάθε άλλη φορά για υφιστάμενες και νεοφυείς επιχειρήσεις κάθε μεγέθους. Με την<br />
πρόσβαση στο διαδίκτυο πλέον δεδομένη, οι επιχειρήσεις ενσωματώνουν στην καθημερινότητα<br />
τους, εργαλεία αύξησης της παραγωγικότητάς τους και άλλες υπηρεσίες που πολλές φορές<br />
προσφέρονται απευθείας από το «σύννεφο» (business cloud).<br />
Ωστόσο, όλες αυτές οι υπηρεσίες συνοδεύονται<br />
και από ένα σχετικό ρίσκο που οι επι-<br />
Ω<br />
χειρήσεις οφείλουν να αναγνωρίζουν και να<br />
προχωρούν στις κατάλληλες επενδύσεις για<br />
την προστασία του εταιρικού τους δικτύου και<br />
των δεδομένων τους. Πώς επιτυγχάνεται όμως ένα αξιόπιστο<br />
επίπεδο ασφαλείας;<br />
τα ΠΡΕΠΕΙ…<br />
Εκπαιδεύστε τους υπαλλήλους<br />
Οι περισσότερες απειλές για την ασφάλεια ενός εταιρικού δικτύου<br />
έχουν τη ρίζα τους στην απροσεξία κάποιου χρήστη. Είναι<br />
πολύ σημαντικό να εκπαιδεύονται οι υπάλληλοι μιας εταιρείας<br />
σε ό,τι σχετίζεται με την ασφάλεια του δικτύου και να<br />
γνωρίζουν πως να αντιδράσουν σε ένα συναγερμό περιστατικού<br />
ασφαλείας. Επίσης πρέπει να είναι επιφυλακτικοί και προσεκτικοί<br />
σε ό,τι σκοπεύουν να «ανοίξουν» από το διαδίκτυο, τις<br />
πληροφορίες που πρόκειται να μοιραστούν (π.χ. μέσω email<br />
ή κοινωνικών δικτύων) αλλά και τι συσκευές αποθήκευσης<br />
(USB, σκληροί δίσκοι) που συνδέουν σε εξοπλισμό που αποτελεί<br />
μέρος του εταιρικού δικτύου.<br />
Ρυθμίστε τις κινητές συσκευές<br />
Γνωρίζοντας ότι σχεδόν όλοι οι εργαζόμενοι είναι κάτοχοι μιας<br />
πληθώρας από gadgets και smartphones, είναι πραγματικά<br />
υψίστης σημασίας ο έλεγχος αυτών των συσκευών. Μέσω της<br />
σύνδεσης που πολλές φορές διαθέτουν στα ασύρματα δίκτυα<br />
της εταιρείας, ένα μεγάλο μέρος των σημαντικών και ευαίσθητων<br />
εταιρικών δεδομένων είναι προσβάσιμο μέσω αυτών των<br />
συσκευών. Η παρακολούθηση και ρύθμιση τέτοιου τύπου συσκευών<br />
είναι ζήτημα υψηλής προτεραιότητας.<br />
Σώστε τα δεδομένα σας<br />
Σε ό,τι αφορά στο backup, η καλύτερη πρόταση είναι ο κανόνας<br />
3-2-1. Αυτό σημαίνει ότι μια επιχείρηση μικρού ή μεσαίου<br />
μεγέθους θα πρέπει να διατηρεί τρία αντίγραφα από κάθε ευαίσθητο<br />
δεδομένο, σε δύο διαφορετικά format και τοποθεσίες<br />
ενώ, τουλάχιστον, ένα από αυτά τα αντίγραφα θα πρέπει να<br />
είναι εκτός δικτύου. Ακολουθώντας αυτόν τον κανόνα ελαχιστοποιείται<br />
το ενδεχόμενο απώλειας εταιρικής πληροφορίας<br />
24 security
Angelo Gentili<br />
Business Development Manager PartnerNET<br />
www.partnernet.gr<br />
και μειώνεται ο χρόνος επαναφοράς σε ομαλούς λειτουργικούς<br />
ρυθμούς.<br />
Κρυπτογραφήστε τα δεδομένα σας<br />
Η απλή λήψη αντιγράφων ασφαλείας των δεδομένων σας δεν<br />
είναι πλέον αρκετή. Πρέπει να διασφαλίσετε ότι ακόμα και αν<br />
κάποιος μη εξουσιοδοτημένος χρήστης αποκτήσει πρόσβαση<br />
σε αυτά, δε θα μπορεί να τα «διαβάσει». Είναι λοιπόν συνετό<br />
να ενσωματώσετε στις εταιρικές σας διαδικασίες (συμπεριλαμβανομένων<br />
των αντιγράφων ασφαλείας) και την κρυπτογράφηση.<br />
Έτσι τα δεδομένα σας θα μπορούν να αξιοποιηθούν<br />
μόνο από τους εργαζόμενους, τους πελάτες και τους συνεργάτες<br />
σας.<br />
Χρησιμοποιήστε λύσεις για την ασφάλεια του<br />
δικτύου σας<br />
Σήμερα έχετε να επιλέξετε ανάμεσα σε πολλές λύσεις ασφαλείας<br />
εταιρικών δικτύων. Προτεραιότητά σας πρέπει να είναι ο<br />
εντοπισμός μιας λύσης που όχι μόνο θα ανταποκρίνεται ιδανικά<br />
στις ανάγκες της επιχείρησής σας, αλλά και θα κάνει πραγματικά<br />
αυτά τα οποία υπόσχεται.<br />
…τα ΜΗ…<br />
Μην κάνετε κλικ σε άγνωστους συνδέσμους<br />
Η πιο συνηθισμένη μέθοδος με την οποία καταφέρνουν οι επιτήδειοι<br />
να εξαπατήσουν τους χρήστες και να τους οδηγήσουν<br />
στο να κάνουν «κλικ» σε κακόβουλα links, είναι η τεχνική του<br />
«ψαρέματος» (phishing) μέσω email. Οι υπάλληλοι θα πρέπει<br />
να είναι ενημερωμένοι στο να ερευνήσουν περί τίνος πρόκειται,<br />
πριν αποφασίσουν να ανοίξουν ένα σύνδεσμο. Αυτό συμπεριλαμβάνει<br />
τον έλεγχο της αυθεντικότητας του συνδέσμου<br />
και την επαλήθευση πρωτοκόλλου ώστε να αποφεύγονται οι<br />
σύνδεσμοι που θα βλάψουν το δίκτυό σας.<br />
Mην επιτρέπετε την εγκατάσταση εφαρμογών<br />
που δεν είστε σίγουροι ότι πρέπει να<br />
εμπιστευτείτε<br />
Το διαδίκτυο είναι γεμάτο με ενδιαφέρουσες εφαρμογές που<br />
φαινομενικά στοχεύουν στο να κάνουν τη ζωή σας πιο εύκολη.<br />
Ωστόσο, είναι σημαντικό οι εφαρμογές αυτές που τελικά<br />
θα εγκαταστήσετε να προέρχονται από αξιόπιστες πηγές λήψης<br />
και να έχουν αναπτυχθεί από ικανούς προγραμματιστές<br />
που δίνουν έμφαση και στον παράγοντα ασφάλεια. θα πρέπει<br />
να απαιτήσετε από τους χρήστες να σας ενημερώνουν για<br />
όποια νέα εφαρμογή επιθυμούν να χρησιμοποιήσουν ενώ δε<br />
θα πρέπει να μπορούν να εγκαταστήσουν τίποτε οι ίδιοι στους<br />
εταιρικούς Η/Υ, κινητά και tablets.<br />
Μη χρησιμοποιείτε απλούς κωδικούς<br />
Οι κανόνες δημιουργίας κωδικών πρόσβασης είναι απλοί:<br />
χρησιμοποιήστε διαφορετικούς χαρακτήρες, χρησιμοποιείστε<br />
αριθμούς και σύμβολα, κεφαλαία και πεζά γράμματα και<br />
ποτέ μην χρησιμοποιείτε απλές λέξεις. Εάν τυχόν αγνοήσετε<br />
αυτούς τους κανόνες υπάρχει πιθανότητα να επιτρέψετε την<br />
επιτυχή έκβαση μιας brute force attack που θα καταλήξει σε<br />
μια καταστροφική, μη εξουσιοδοτημένη πρόσβαση στα συστήματα<br />
και τα δεδομένα σας.<br />
Μη θεωρείτε πως είναι αδύνατο να παραβιαστεί<br />
το δίκτυό σας<br />
Πολλές φορές οι επιχειρήσεις έχουν την ψευδαίσθηση ότι κανείς<br />
δεν θα μπει στη διαδικασία να παραβιάσει τα δίκτυά τους<br />
καθώς τα δεδομένα τους δεν είναι τόσο μεγάλης σημασίας<br />
για τους κακόβουλους χρήστες. Αυτή η λανθασμένη υπόθεση<br />
οδηγεί σε απροσεξίες και αμέλεια σε ό,τι αφορά την ασφάλεια<br />
δικτύου καθώς οποιοδήποτε δεδομένο μπορεί να χρησιμοποιηθεί<br />
σε ένα μεγαλύτερο πλαίσιο πραγμάτων. Το πρώτο<br />
βήμα προς την κατεύθυνση της απώλειας δεδομένων είναι η<br />
υποτίμησή τους.<br />
Η PartnerNET γνωρίζοντας καλά τις ανάγκες των εταιρειών<br />
προτείνει την ανταγωνιστικότερη λύση endpoint security της<br />
αγοράς: το SEQR<strong>IT</strong>E Endpoint <strong>Security</strong> (SEPS).<br />
Είναι σχεδιασμένο να καλύπτει τις απαιτήσεις ασφάλειας δικτύου<br />
για μικρομεσαίες και μεγάλες επιχειρήσεις, επιτυγχάνοντας<br />
αύξηση παραγωγικότητας, χαμηλότερα λειτουργικά<br />
κόστη, μείωση κινδύνων από κακόβουλο λογισμικό, βελτιωμένο<br />
έλεγχο συστημάτων κ.ά.<br />
Με motto “Enterprise <strong>Security</strong> Simplified”, η SEQR<strong>IT</strong>E απλοποιεί<br />
τις διαδικασίες, προτείνει λύσεις χωρίς «βαριά» συστήματα<br />
που επιβαρύνουν το υπόλοιπο δίκτυο… και σε τιμή που<br />
ξαφνιάζει ευχάριστα!<br />
Για περισσότερες πληροφορίες επισκεφθείτε το site<br />
της PartnerNET: http://eshop.partnernet.gr/<strong>Security</strong><br />
<strong>IT</strong><strong>Security</strong><br />
security<br />
25
T<strong>46</strong>08-10.2016<br />
Issue<br />
Η ασφάλεια πέρα από τα όρια<br />
του Sandbox<br />
Μόλις πριν από λίγα χρόνια, η τεχνολογία sandboxing ωρίμασε πραγματικά. Η ικανότητα<br />
προσομοίωσης ενός περιβάλλοντος, ενεργοποίησης ενός αρχείου χωρίς κίνδυνο μόλυνσης και η<br />
ανάλυση της συμπεριφοράς του, έγινε ένα πραγματικά εύχρηστο εργαλείο έρευνας.<br />
πό τότε, τα sandboxes έχουν γίνει σχετικά δημοφιλή<br />
(όχι στον ίδιο βαθμό με τα προγράμμα-<br />
A<br />
τα καταπολέμησης των ιών ή τα firewalls) και<br />
χρησιμοποιούνται σε μεγαλύτερες εταιρείες.<br />
Ακόμη κι αν είχατε αγοράσει ένα sandbox<br />
πριν από μερικά χρόνια, σίγουρα, έχετε πλέον αυξημένες ανάγκες<br />
για ανάλυση των κακόβουλων λογισμικών, πέρα από τις<br />
παραδοσιακές τεχνολογίες sandbox που απλά απομονώνουν<br />
τα ύποπτα αρχεία, τα αναλύουν σε μια τοπική εικονική μηχανή,<br />
και στη συνέχεια τα θέτουν σε καραντίνα.<br />
Ήρθε ο καιρός να περάσουμε στο επόμενο βήμα και να μην<br />
χρησιμοποιήσουμε το sandbox ως ξεχωριστή δυνατότητα και<br />
μόνο. Μόνο έτσι θα μπορέσουμε και περάσουμε την ασφάλεια<br />
πέρα από τα όρια του Sandbox ώστε να τα αξιοποιήσουμε στο<br />
έπακρο. Χρειάζεστε ένα πιο ισχυρό εργαλείο ανάλυσης κακόβουλου<br />
λογισμικού που να συνεργάζεται απρόσκοπτα με την<br />
υποδομή σας και να μπορεί να ανιχνεύει συνεχώς ακόμα και<br />
τις πιο προηγμένες απειλές, που αναγνωρίζουν το περιβάλλον<br />
και μπορούν να αποφύγουν τον εντοπισμό τους.<br />
Τρεις είναι οι τρόποι αγοράς και αξιοποίησης της τεχνολογίας<br />
sandbox από τις επιχειρήσεις:<br />
1. Μια stand-alone λύση που έχει σχεδιαστεί για να τροφοδοτείται<br />
με αρχεία για ανάλυση, χωρίς να εξαρτάται από άλλα<br />
προϊόντα ασφαλείας. Αν και η λύση αυτή παρέχει μεγαλύτερη<br />
ευελιξία, αυξάνει σημαντικά το κόστος του εξοπλισμού<br />
26 security
Νίκος Μουρτζίνος<br />
<strong>Security</strong> Product Sales Specialist<br />
της Cisco, για Ελλάδα, Κύπρo, Μάλτα<br />
και την πολυπλοκότητα στη διαχείριση και την ανάλυση, ειδικά<br />
για επιχειρήσεις με γραφεία σε διαφορετικές περιοχές.<br />
2. Λύση Sandbox ενσωματωμένη στα Next Generation<br />
firewall, τα Next Generation IPS ή τα UTMs (Unified Threat<br />
Management). Αυτές οι λύσεις, αν και συνήθως οικονομικές<br />
και εύκολες στην εγκατάσταση, είναι λιγότερο αποτελεσματικές<br />
στην ανίχνευση ενός ευρέος φάσματος ύποπτων<br />
αρχείων, συμπεριλαμβανομένων των αρχείων web και<br />
email. Επίσης, θέτουν περιορισμούς στο bandwidth εξαιτίας<br />
των οποίων μειώνεται η απόδοση του δικτύου και ταυτόχρονα<br />
εγείρονται ζητήματα προστασίας του απορρήτου όταν<br />
η μόνη επιλογή είναι μια λύση βασισμένη στο cloud.<br />
3. Λύση Sandbox ενσωματωμένη στα Content <strong>Security</strong><br />
Gateways όπως Web <strong>Security</strong> Gateways και Email <strong>Security</strong><br />
Gateways. Η προσέγγιση αυτή είναι εξίσου οικονομική αλλά<br />
εστιάζει μόνο σε κανάλια web και email, ενώ μειώνει τις επιδόσεις<br />
και εγείρει ζητήματα προστασίας του απορρήτου.<br />
Υπάρχει όμως κι ένας τέταρτος τρόπος που αξιοποιεί ό,τι καλύτερο<br />
έχουν να προσφέρουν αυτές οι προσεγγίσεις και θα<br />
σας βοηθήσει να καταπολεμήσετε τους εισβολείς, που γίνονται<br />
καλύτεροι μέρα με τη μέρα, όταν μάλιστα έχουν πρόσβαση<br />
σε ενισχυμένη χρηματοδότηση: το Cisco AMP Threat Grid.<br />
Μέσω του AMP Threat Grid, η Cisco προσφέρει προηγμένες<br />
λύσεις ανάλυσης και πληροφόρησης κακόβουλου λογισμικού,<br />
που εξασφαλίζουν καλύτερη απόδοση της επένδυσης,<br />
καλύτερη ενσωμάτωση και έλεγχο σε ό, τι συμβαίνει στο περιβάλλον<br />
σας. Το Center for Internet <strong>Security</strong> των ΗΠΑ, περιέγραψε<br />
πρόσφατα τον τρόπο που χρησιμοποιεί τη λύση της<br />
Cisco, για να αναλύει δείγματα κακόβουλου λογισμικού από<br />
περισσότερες από 19.000 πολιτειακές, τοπικές και περιφερειακές<br />
κυβερνήσεις.<br />
Το AMP Threat Grid προσφέρεται ως μία τοπική, αυτόνομη<br />
λύση ανάλυσης κακόβουλου λογισμικού και ως λύση SaaS<br />
βασισμένη στο cloud που παρέχει ένα REST API για την αυτοματοποίηση<br />
των δειγμάτων από ένα ευρύ φάσμα τεχνολογιών<br />
στις οποίες έχετε ήδη επενδύσει, όπως μεταξύ άλλων:<br />
• Firewalls και συσκευές Unified Threat Management (UTM)<br />
από τις πιο δημοφιλείς εταιρείες στις οποίες συγκαταλέγεται<br />
φυσικά η Cisco και τα ASA Firepower Next Generation<br />
Firewalls<br />
• Proxy servers<br />
• <strong>Security</strong> Information and Event Management - SIEM λογισμικά<br />
• Εργαλεία Governance Risk and Compliance - GRC και πολλά<br />
άλλα<br />
Το AMP Threat Grid έχει επίσης ενσωματωθεί στις λύσεις<br />
Email και ασφάλειας Web της Cisco, παρέχοντας μεγαλύτερο<br />
έλεγχο σε περισσότερα σημεία.<br />
Καθεμία από αυτές τις λύσεις μειώνει το κόστος και την πολυπλοκότητα,<br />
ενώ προσφέρει τη δυνατότητα αυτόματης ανάλυσης<br />
ενός ευρέος φάσματος ύποπτων αρχείων, συμπεριλαμβανομένων<br />
των εκτελέσιμων αρχείων, βιβλιοθηκών (DLLs),<br />
Java, PDF, εγγράφων του MS Office, XML, Flash και των διευθύνσεων<br />
URL. Τα περισσότερα αιτήματα αναλύονται κατά<br />
μέσο όρο μέσα σε 7,5 λεπτά.<br />
Το AMP Threat Grid όχι μόνο αναλύει ένα ευρύ φάσμα αντικειμένων<br />
αλλά προσφέρει και δυνατότητες μεγάλης ανάλυσης σε<br />
συνδυασμό με ισχυρό περιεχόμενο.<br />
Με πάνω από 560 δείκτες συμπεριφοράς και μια βάση δεδομένων<br />
κακόβουλου λογισμικού από όλο τον κόσμο, το AMP<br />
Threat Grid παρέχει μεγαλύτερη ακρίβεια και πιο πλούσια σε<br />
περιεχόμενο ανάλυση κακόβουλου λογισμικού.<br />
Κάθε δείγμα λαμβάνει ένα βαθμό απειλής με βάση τη σοβαρότητα<br />
και το επίπεδο εμπιστοσύνης. Ο βαθμός αυτός διευκολύνει<br />
τους αναλυτές ασφαλείας στο να δώσουν προτεραιότητα<br />
σε ενέργειες και να λάβουν καλύτερες αποφάσεις. Η απειλή<br />
αξιολογείται με βάση ένα εύρος 0-100, με το 100 να χαρακτηρίζει<br />
το λογισμικό ως κακόβουλο και τα υπόλοιπα νούμερα να<br />
κυμαίνονται από ύποπτο έως μη επιβλαβές λογισμικό, διότι η<br />
ερώτηση περί της ύπαρξης κακόβουλου λογισμικού ή όχι δεν<br />
μπορεί να απαντηθεί με ένα απλό ναι ή ένα όχι.<br />
Ένα ακόμη σημαντικό στοιχείο είναι ότι το ακόμα και τα πιο<br />
εξελιγμένα environment-aware κακόβουλα λογισμικά δεν<br />
μπορούν να αντιληφθούν την παρουσία του AMP Threat Grid<br />
καθώς χρησιμοποιεί τεχνολογία outside-looking-in και επομένως<br />
δεν μπορούν να διαφύγουν. Πρόκειται για ένα θεμελιώδη<br />
τρόπο να σταθούμε στο ύψος των περιστάσεων όταν<br />
δεχόμαστε απειλές από καλοπληρωμένους εισβολείς που<br />
μαθαίνουν γρήγορα.<br />
Όμως το Sandbox δεν είναι πανάκεια και για αυτό το Cisco<br />
AMP Threat Grid διαθέτει εξελιγμένη δυνατότητα συνεχούς<br />
ανάλυσης των δειγμάτων και αναδρομικής ασφάλειας. Προηγουμένως<br />
άγνωστα αρχεία που αργότερα επιδεικνύουν κακόβουλη<br />
συμπεριφορά τίθενται σε καραντίνα με την δυνατότητα<br />
της συνεχούς ανάλυσης και η αναδρομική ασφάλεια συμβάλει<br />
στον προσδιορισμό τους εύρους της παραβίασης και των βαθύτερων<br />
αιτίων της και σας βοηθά να αναλάβετε δράση.<br />
Η Cisco αναλύει εκατομμύρια δείγματα από κακόβουλα λογισμικά<br />
και terabytes δεδομένων κάθε μέρα ώστε να διασφαλίζει<br />
την πιο εξελιγμένη ευφυΐα του AMP. <strong>IT</strong><strong>Security</strong><br />
security<br />
27
T<strong>46</strong>08-10.2016<br />
Issue<br />
Killing Passwords: Strong<br />
Authentication beyond the<br />
Password Era<br />
Με το ύψος των ηλεκτρονικών συναλλαγών να υπερβαίνει το ένα τρισεκατομμύριο δολάρια<br />
ετησίως και την εμφάνιση του Διαδικτύου των Πραγμάτων (Internet of Things), η ανάγκη για<br />
αξιόπιστους και φιλικούς προς τον χρήστη μηχανισμούς αυθεντικοποίησης είναι πιο επιτακτική<br />
από ποτέ.<br />
ήμερα, η πιστοποίηση της ταυτότητας των<br />
Σ<br />
χρηστών βασίζεται κατά κύριο λόγο στη χρήση<br />
κωδικών πρόσβασης (passwords), μια τεχνολογία<br />
που αναπτύχθηκε τη δεκαετία του ’60.<br />
Χάρη στην απλότητα και την ευκολία χρήσης<br />
τους, τα passwords συνεχίζουν να παραμένουν η πιο δημοφιλής<br />
μέθοδος αυθεντικοποίησης, με το 98% των διαδικτυακών<br />
υπηρεσιών να τη χρησιμοποιούν, αποκλειστικά, για<br />
τον έλεγχο ταυτότητας. Πέρα, όμως, από εξαιρετικά δημοφιλής,<br />
η μέθοδος αυτή είναι ιδιαίτερα ανασφαλής, αφού οι χρήστες<br />
τείνουν να επιλέγουν ακατάλληλους κωδικούς πρόσβασης,<br />
ευμνημόνευτους και συνεπώς, προβλέψιμους. Επιπλέον,<br />
οι απαιτήσεις ασφάλειας κρίσιμων υπηρεσιών, όπως αυτών<br />
της ηλεκτρονικής τραπεζικής (e-banking), υπερβαίνουν κατά<br />
πολύ εκείνες που ικανοποιούνται από τη χρήση απλών συνθηματικών,<br />
τα οποία μπορούν εύκολα να κλαπούν ή να παρακαμφθούν.<br />
Τέλος, σύμφωνα με μελέτες, το 70% των χρηστών<br />
ξεχνούν τον κωδικό τους μία φορά το μήνα, ενώ δοκιμάζουν,<br />
κατά μέσο όρο, 2,4 κωδικούς πριν πληκτρολογήσουν το σωστό<br />
για να συνδεθούν στην υπηρεσία επιλογής τους.<br />
Τα ανωτέρω προβλήματα δημιούργησαν την ανάγκη για<br />
νέους μηχανισμούς αυθεντικοποίησης, υψηλοτέρων<br />
προδιαγραφών, που θα αξιοποιούν τις δυνατότητες των<br />
υφιστάμενων τεχνολογιών και θα επιτυγχάνουν ισορροπία<br />
28 security
Χρήστος Ξενάκης<br />
Αναπληρωτής Καθηγητής<br />
Τμήμα Ψηφιακών Συστημάτων, Πανεπιστήμιο Πειραιά<br />
Ελένη Βερώνη<br />
Research Associate<br />
Τμήμα Ψηφιακών Συστημάτων, Πανεπιστήμιο Πειραιά<br />
μεταξύ ασφάλειας και ευχρηστίας. Προς αυτή την κατεύθυνση,<br />
πολλά πανεπιστήμια και εταιρείες εργάζονται από κοινού<br />
για την ανεύρεση εναλλακτικών μεθόδων αυθεντικοποίησης<br />
που θα αντικαταστήσουν τους κωδικούς πρόσβασης. Μια λύση<br />
αποτελεί η αλλαγή της λογικής πάνω στην οποία βασίζεται<br />
ο έλεγχος ταυτότητας ενός χρήστη, με την αντικατάσταση των<br />
συνθηματικών που γνωρίζει ο χρήστης, από τα φυσικά χαρακτηριστικά<br />
του, όπως το δακτυλικό αποτύπωμα, την ίριδα του<br />
ματιού, την αναγνώριση προσώπου, κ.ά. Για την υιοθέτηση<br />
των βιομετρικών, όπως ονομάζονται, χαρακτηριστικών, συνετέλεσε<br />
καθοριστικά η εξέλιξη και εξάπλωση των έξυπνων<br />
κινητών (smartphones), τα οποία διαθέτουν κατάλληλους αισθητήρες<br />
για την καταγραφή αυτών, όπως το δακτυλικό αποτύπωμα<br />
που χρησιμοποιείται πλέον σε εφαρμογές ηλεκτρονικής<br />
τραπεζικής.<br />
Εξέλιξη της βιομετρικής αυθεντικοποίησης, αποτελεί o έλεγχος<br />
ταυτότητας με βάση τα βιομετρικά χαρακτηριστικά<br />
συμπεριφοράς (behavioral biometrics). Ο τρόπος που<br />
περπατάμε, κινούμαστε στην πόλη, μιλάμε ή πληκτρολογούμε<br />
μας χαρακτηρίζει μοναδικά σε ικανοποιητικό βαθμό και, συνεπώς,<br />
δύναται να χρησιμοποιηθεί αποδοτικά στο πλαίσιο αυθεντικοποίησης.<br />
Χαρακτηριστικό παράδειγμα βιομετρικής αυθεντικοποίησης<br />
συμπεριφοράς αποτελεί το Project Abacus<br />
της Google που στοχεύει να εξαλείψει τα passwords από τις<br />
συσκευές Android και να τα αντικαταστήσει με τον τρόπο που<br />
οι χρήστες αλληλεπιδρούν με τα κινητά τους. To Abacus δημιούργησε<br />
μια μέθοδο αυθεντικοποίησης όπου μέσα από μια<br />
ποικιλία δεικτών μέτρησης συνθέτει μια βαθμολογία εμπιστοσύνης<br />
(trust score) για το ξεκλείδωμα του κινητού και τη διαβαθμισμένη<br />
πρόσβαση σε εφαρμογές, ανάλογα με την κρισιμότητά<br />
τους και το επίπεδο ασφάλειας που απαιτούν. Το συγκεκριμένο<br />
project είναι σήμερα σε πειραματικό στάδιο.<br />
Παράλληλα με το Abacus, ένα Ευρωπαϊκό ερευνητικό πρόγραμμα<br />
βρίσκεται σε εξέλιξη με σημαντική Ελληνική παρουσία,<br />
στο οποίο συντονιστής είναι το Πανεπιστήμιο Πειραιώς<br />
και συγκεκριμένα ο υπογράφων (Αναπλ. Καθηγητής κ. Χρήστος<br />
Ξενάκης, Τμήμα Ψηφιακών Συστημάτων). Τίτλος του<br />
έργου είναι «ReCRED: From Real-world Identities to<br />
Privacy-preserving and Attribute-based CREDentials<br />
for Device-centric Access Control», το οποίο χρηματοδοτείται<br />
από το Πρόγραμμα Πλαίσιο Horizon 2020 της Ευρωπαϊκής<br />
Ένωσης. Στο έργο συμμετέχουν συνολικά 12 φορείς,<br />
πανεπιστήμια και εταιρείες όπως η Telefonica, Verizon,<br />
Cyprus University of Technology, CN<strong>IT</strong>, Universidad Carlos<br />
III de Madrid - IMDEA, UPCOM, EXUS, WEDIA, certSIGN, The<br />
Productizers, και Baker & McKenzie, από 8 Ευρωπαϊκές χώρες.<br />
Οι στόχοι του ReCRED έχουν αρκετές ομοιότητες με αυτούς<br />
του Abacus, αλλά διαφοροποιούνται ως προς τον τρόπο<br />
που συλλέγονται, συνδυάζονται και διατηρούνται τα βιομετρικά<br />
χαρακτηριστικά των χρηστών. Πιο συγκεκριμένα, το<br />
Abacus βασίζεται αποκλειστικά στις πλατφόρμες της Google,<br />
η οποία έχει τον πλήρη και αποκλειστικό έλεγχο όλων των<br />
δεδομένων αναγνώρισης και ταυτοποίησης των χρηστών.<br />
Αντίθετα, το ReCRED σχεδιάζει και υλοποιεί μια ανοιχτή<br />
πλατφόρμα διαχείρισης και πιστοποίησης χρηστών,<br />
η οποία συλλέγει μόνο το αποτέλεσμα της βαθμολογίας<br />
αυθεντικοποίησης και όχι τα «πρωτογενή» δεδομένα<br />
βιομετρικής συμπεριφοράς.<br />
Βασικές καινοτομίες και πλεονεκτήματα του ReCRED είναι<br />
ότι:<br />
α) αποτελεί σχεδιαστική επιλογή η προστασία της ιδιωτικότητας<br />
του χρήστη με βάση το Ευρωπαϊκό πλαίσιο,<br />
β) δημιουργείται μια ανοιχτή αρχιτεκτονική, η οποία θα μπορεί<br />
να αναπτυχθεί και να χρησιμοποιηθεί από κάθε πάροχο<br />
υπηρεσιών, δικτύου, κ.ά. και τέλος,<br />
γ) δίνει τη δυνατότητα σε οργανισμούς που έχουν συνδρομητές<br />
(π.χ. online portals, τράπεζες, κτλ.) να παρέχουν νέες<br />
υπηρεσίες που σχετίζονται με την αναγνώριση, διαχείριση<br />
και ταυτοποίηση χρηστών.<br />
Το ReCRED μεταφέρει όλη την επιβάρυνση μιας διαδικασίας<br />
αυθεντικοποίησης από τον χρήστη στην κινητή συσκευή του,<br />
χρησιμοποιώντας στο έπακρο τις δυνατότητες που προσφέρουν<br />
τα σύγχρονα τηλέφωνα. Έτσι, τα έξυπνα τηλέφωνα εξελίσσονται<br />
σε φορείς αυθεντικοποίησης, όπου διαχειρίζονται<br />
και αποθηκεύουν, με ασφάλεια, όλους τους λογαριασμούς<br />
security<br />
29
T<strong>46</strong>08-10.2016<br />
Issue<br />
του χρήστη καθώς και την πρόσβαση σε αυτούς, ακολουθώντας<br />
σύγχρονα τεχνολογικά πρότυπα που χρησιμοποιούν την<br />
ασύμμετρη κρυπτογράφηση (π.χ. FIDO Alliance). Ο χρήστης<br />
πιστοποιείται στο κινητό του, τοπικά, χρησιμοποιώντας το δακτυλικό<br />
του αποτύπωμα, την εικόνα του προσώπου του,<br />
τον τρόπο βαδίσματος, την κίνησή του στην πόλη, τον<br />
τρόπο που πληκτρολογεί στο κινητό του κ.ά., και το κινητό<br />
μαζί με την πλατφόρμα ReCRED αναλαμβάνει να παρέχει<br />
στον χρήστη την πρόσβαση στις υπηρεσίες που επιθυμεί (π.χ.<br />
τραπεζικές εφαρμογές, κοινωνικά δίκτυα, κ.ά.). Σε περίπτωση<br />
απώλειας ή κλοπής του κινητού τηλεφώνου, όλα τα ευαίσθητα<br />
και προσωπικά δεδομένα του χρήστη βρίσκονται είτε<br />
κρυπτογραφημένα στη συσκευή είτε σε ένα σημείο αυτής, το<br />
οποίο δεν είναι προσπελάσιμο από τρίτους (ακόμα και όταν την<br />
έχουν στην κατοχή τους), χρησιμοποιώντας μια νέα τεχνολογία<br />
σε επίπεδο υλικού και λογισμικού που ονομάζεται Trusted<br />
Execution Environment.<br />
Εκτός από την εξέλιξη των έξυπνων κινητών τηλεφώνων σε<br />
φορείς ταυτοποίησης και παροχής πρόσβασης, τα οποία «ανοίγουν»<br />
για λογαριασμό του χρήστη όλες τις πόρτες στις οποίες<br />
έχει τη δυνατότητα να εισέλθει στον ηλεκτρονικό κόσμο, το<br />
ReCRED παρέχει δύο επιπλέον καινοτομίες:<br />
α) την ολοκληρωμένη διαχείριση ηλεκτρονικών λογαριασμών<br />
και ταυτοτήτων ενός χρήστη, και<br />
β) την έκδοση ανώνυμων πιστοποιητικών που διασφαλίζουν<br />
συγκεκριμένες ιδιότητες του χρήστη, εξασφαλίζοντας παράλληλα<br />
την ανωνυμία του.<br />
Σε ό,τι αφορά στην πρώτη, είναι γνωστό ότι η πλειοψηφία των<br />
χρηστών του Διαδικτύου σήμερα διαθέτει πολλές εγγραφές σε<br />
πλειάδα online εφαρμογών όπως λογαριασμούς email (π.χ.<br />
Gmail, Yahoo, κτλ.), κοινωνικά δίκτυα (π.χ. Facebook, Twitter,<br />
LinkedIn, κτλ.), τραπεζικές εφαρμογές, εταιρικές εφαρμογές<br />
κ.ά. Το ReCRED δίνει τη δυνατότητα παροχής πρόσβασης σε<br />
όλες αυτές τις εφαρμογές και διαχείρισης των λογαριασμών<br />
τους από ένα μοναδικό σημείο, ανεξάρτητα από τον τρόπο<br />
αναγνώρισης και πιστοποίησης που χρησιμοποιεί η κάθε μία,<br />
κάνοντας χρήση ακόμα και του αριθμού του κινητού τηλεφώνου<br />
του χρήστη. Έτσι, παρέχεται ευχρηστία και ευελιξία στους<br />
χρήστες των υπηρεσιών, χωρίς, όμως, να παραβιάζεται ή να<br />
υποβαθμίζεται κατ’ ελάχιστον το επίπεδο ασφάλειας και προστασίας<br />
των ευαίσθητων δεδομένων που απαιτούνται. Ταυτόχρονα,<br />
δίνεται η δυνατότητα σε χρήστες που το επιθυμούν να<br />
συνδέσουν την ηλεκτρονική τους με την φυσική τους ταυτότητα,<br />
προκειμένου να εκτελέσουν αγοραπωλησίες μέσα από<br />
ηλεκτρονικές πλατφόρμες όπως το eBay.<br />
Τα ανώνυμα πιστοποιητικά από την άλλη πλευρά, δύναται να<br />
δηλώσουν με επαληθεύσιμο τρόπο κάθε ιδιότητα που επιθυμεί<br />
ένας χρήστης (π.χ. φύλο, ενήλικας, φοιτητής, συνταξιούχος,<br />
κ.ά.), χωρίς την αποκάλυψη κανενός άλλου προσωπικού<br />
ή ευαίσθητου στοιχείου της ταυτότητάς του. Εκδίδονται από<br />
έμπιστες αρχές που έχουν στην κατοχή τους τέτοια στοιχεία<br />
(π.χ. δημόσιες υπηρεσίες, τηλεπικοινωνιακούς παρόχους,<br />
τραπεζικά ιδρύματα, πλατφόρμα ReCRED, κ.ά.) και υποβάλλονται<br />
κρυπτογραφημένα από τους χρήστες μέσω των κινητών<br />
τηλεφώνων σε online υπηρεσίες, και όχι μόνο, που απαιτούν<br />
συγκεκριμένες ιδιότητες όπως την έκδοση εκπτωτικών εισιτηρίων,<br />
την παροχή κοινωνικών επιδομάτων κλπ. Με τον τρόπο<br />
αυτό εξασφαλίζεται, αποδεδειγμένα, η απόλυτη ανωνυμία<br />
και προστασία των προσωπικών - ευαίσθητων δεδομένων για<br />
τους χρήστες, αλλά ταυτόχρονα, και η τήρηση των κανόνων<br />
με αδιαμφισβήτητο τρόπο.<br />
Το ερευνητικό έργο ReCRED αναμένεται να ολοκληρωθεί τον<br />
Απρίλιο του 2018, αλλά από το καλοκαίρι του 2017 θα ξεκινήσουν<br />
μεγάλης κλίμακας πιλοτικές δοκιμές. Για περισσότερες<br />
πληροφορίες επισκεφτείτε τον ιστότοπο www.recred.eu<br />
ή αποστείλατε μήνυμα στο xenakis@unipi.gr.<br />
30 security
T<strong>46</strong>08-10.2016<br />
Issue<br />
Η άνοδος και ο<br />
κίνδυνος του BYOD<br />
Η τάση του“Bring Your Own Device” (BYOD) δεν είναι<br />
πλέον ένα καινούριο δεδομένο. Αποτελεί τη λογική πολλών<br />
εταιρειών. Η δυνατότητα να μπορεί κάποιος να δουλέψει<br />
μέσω της προσωπικής του συσκευής στο χώρο εργασίας,<br />
έχει ως αποτέλεσμα την αυξημένη παραγωγικότητα και<br />
ευελιξία, αλλά ταυτόχρονα αυξάνει τους κινδύνους για τα<br />
δεδομένα της εταιρείας.<br />
A<br />
ντί να ανταποκριθούν σε αυτούς τους κινδύνους με όλο και μεγαλύτερους<br />
περιορισμούς και πολιτικές, οι <strong>IT</strong> managers θα πρέπει<br />
να εξετάσουν την αναγνώριση των κινδύνων αυτών και να<br />
προσεγγίσουν το BYOD με τις σωστές λύσεις.<br />
• Συμπεριλάβετε το endpoint backup στο συνολικό σχέδιο δημιουργίας<br />
αντιγράφων ασφαλείας, υιοθετώντας μια εφεδρική λύση που προστατεύει<br />
τα δεδομένα των endpoints, συμπεριλαμβανομένων των smartphones και<br />
tablets.<br />
• Εισάγετε μία στρατηγική πρόληψης απώλειας δεδομένων (DLP=Data<br />
Loss Prevention), συμπεριλαμβάνοντας την κρυπτογράφηση και τη δυνατότητα<br />
απομακρυσμένης απαλοιφής δεδομένων.<br />
• Αναπτύξτε ένα backup και μία πολιτική απομακρυσμένης απαλοιφής<br />
δεδομένων για να διασφαλιστεί η προστασία τους, διατηρώντας παράλληλα<br />
την προστασία της ιδιωτικής ζωής των χρηστών.<br />
Έχοντας γνώση των κινδύνων και χρησιμοποιώντας τις σωστές λύσεις,<br />
εξασφαλίζετε την παραγωγικότητα και εξαλείφετε την πιθανότητα απώλειας<br />
δεδομένων ή παραβίασης τους, λειτουργώντας παράλληλα με μία πολιτική<br />
BYOD που συμβαδίζει με τον ρυθμό αλλαγής της τεχνολογίας.<br />
To inSync της Druva παρέχει μία ενιαία κονσόλα διαχείρισης διαθεσιμότητας<br />
των δεδομένων σε endpoints και cloud εφαρμογές, δίνοντας τη δυνατότητα<br />
στις επιχειρήσεις να ελαχιστοποιήσουν τους κινδύνους ενώ παράλληλα<br />
δεν επηρεάζεται η παραγωγικότητα των υπαλλήλων.<br />
Για περισσότερες πληροφορίες παρακαλώ όπως επισκεφθείτε το link<br />
www.orthology.gr/Product/inSync/Druva<br />
security<br />
31
T<strong>46</strong>08-10.2016<br />
Issue<br />
Μια νύχτα στο αεροδρόμιο!<br />
Μan-in-the-middle (M<strong>IT</strong>M) επίθεση στην<br />
πράξη<br />
Μετά από μια εξαήμερη περιπλάνηση στη βρετανική εξοχή με τραίνο, για λογαριασμό ενός<br />
Hackathon event που διοργάνωνε το Υπουργείο Μεταφορών της Ηνωμένου Βασιλείου, πέρασα<br />
την τελευταία μου μέρα περπατώντας στους κρύους δρόμους του Λονδίνου, κατευθυνόμενος<br />
στον τελικό μου προορισμό, το αεροδρόμιο Heathrow, για να επιστρέψω στη χώρα μου.<br />
ταν έφθασα σε ένα από τα πιο πολυσύχναστα<br />
αεροδρόμια στην Ευρώπη, το μυαλό μου<br />
Ό<br />
ήταν σε σύγχυση για διάφορες ιδέες που βρίσκονταν<br />
σε εμβρυακό στάδιο, αλλά έπρεπε<br />
να γίνουν πράξη τις επόμενες μέρες. Ήταν η<br />
στιγμή που παρατήρησα στον πίνακα ανακοινώσεων του αεροδρομίου<br />
ότι η πτήση μου επρόκειτο να καθυστερήσει τέσσερις<br />
ώρες, λόγω ομίχλης στον αεροδιάδρομο. Η πρώτη σκέψη<br />
που μου ήρθε στο μυαλό ήταν: «Τι θα μπορούσα να κάνω εδώ<br />
για τέσσερις ώρες;». Κατευθύνθηκα, λοιπόν, προς την αίθουσα<br />
αναμονής, μαζί με δεκάδες άλλους επιβάτες, καθώς σχεδόν<br />
όλα τα καταστήματα και τα εστιατόρια στην αίθουσα αναχωρήσεων<br />
είχαν κλείσει. Ήταν 10.30 το βράδυ.<br />
Για να περάσω το χρόνο μου, εγώ, όπως και πολλοί άλλοι,<br />
προτιμήσαμε να σερφάρουμε στο internet. Ρώτησα ένα συνεπιβάτη<br />
που καθόταν απέναντι από μένα, «βυθισμένος» στην<br />
οθόνη του laptop του, αν το δωρεάν Wi-Fi ήταν γρήγορο. Εκείνος<br />
απάντησε με βαριά βρετανική προφορά: «Να το θέσω έτσι:<br />
δε θα πρέπει να βασίζεσαι σε αυτό, αν ήθελες να κάνεις σοβαρή<br />
δουλειά». Παρ’ όλα αυτά, ποιος θα πλήρωνε για Premium<br />
internet, όταν υπάρχει το δωρεάν; σκέφτηκα.<br />
Έτσι ξαφνικά, μου ήρθε μια ιδέα! Θα μπορούσα να παρατηρήσω,<br />
μέσα από ένα μικρό πείραμα, πόσοι ταξιδιώτες θα ήταν<br />
διατεθειμένοι να πληρώσουν premium Wi-Fi και πόσο ασφα-<br />
32 security
Φώτης Σωφρόνης<br />
Senior Cyber <strong>Security</strong> Consultant at EY<br />
λές θα ήταν αυτό σε ένα δημόσιο χώρο, όπως αυτός του αεροδρομίου.<br />
Ο πιο σύντομος δρόμος για να κάνω αυτό το<br />
πείραμα ήταν με τη μέθοδο M<strong>IT</strong>M (man-in-the-middleattack).<br />
Ανταλλαγή ευαίσθητων πληροφοριών, αριθμοί πιστωτικών<br />
καρτών, εμπιστευτικά έγγραφα ενδεχομένως. Όλα<br />
φαίνονται τόσο ενδιαφέροντα.<br />
Ο συγκεκριμένος τύπος επίθεσης, M<strong>IT</strong>M, έχει σκοπό ο «επιτιθέμενος»<br />
να μεσολαβήσει κρυφά στην επικοινωνία<br />
μεταξύ των δύο μερών (παροχής internet και χρήστη). Η<br />
επικοινωνία μεταβάλλεται και δίνεται η δυνατότητα στον επιτιθέμενο<br />
να υποκλέψει την πληροφορία. Βασιζόμενος στις αρχές<br />
τις μεθόδου αυτής, σκοπός μου ήταν να μεσολαβήσω στην<br />
επικοινωνία όσων επιθυμούσαν να συνδεθούν στο Wi-Fi του<br />
αεροδρομίου και, κυρίως, αυτών που θα χρησιμοποιούσαν<br />
την premium επιλογή internet.<br />
Χρησιμοποίησα το κινητό μου ως ανεξάρτητο hot spot σύνδεσης<br />
και μετονόμασα το SSID σε αυτό του αεροδρομίου, ώστε<br />
το ανυποψίαστο θύμα να πιστεύει ότι συνδέεται άμεσα μέσω<br />
μίας ιδιωτικής και ασφαλούς σύνδεσης, όταν στην πραγματικότητα<br />
ολόκληρη η συνομιλία ελέγχεται από τον εισβολέα.<br />
Πρωτίστως, φρόντισα να χρησιμοποιήσω ένα freeware tool<br />
για να κλωνοποιήσω την ιστοσελίδα του αεροδρομίου και το<br />
welcome page "Πρόσβαση στο Internet". Αλλάζοντας μερικές<br />
από τις προσφορές στην οθόνη υποδοχής της σελίδας, όπως,<br />
παραδείγματος χάριν, μείωση της τιμής του Premium internet<br />
από 8 λίρες σε 4, αυξάνοντας τον ελεύθερο χρόνο στο internet<br />
από 2 ώρες έως 4 ώρες, ώστε να προσελκύσω περισσότερα<br />
θύματα, αποτέλεσαν το τέλειο δόλωμα για τους ταλαιπωρημένους<br />
ταξιδιώτες του αεροδρομίου που ήθελαν μια αξιοπρεπή<br />
σύνδεση στο internet. Τέλος, έπρεπε να τροποποιήσω και να<br />
φτιάξω μια φόρμα ολοκλήρωσης πληρωμής, επιτρέποντας<br />
στα πιθανά θύματα να επεξεργάζονται εύκολα τις πιστωτικές<br />
τους κάρτες για να αγοράζουν premium internet.<br />
Χρησιμοποιώντας απλά το τηλέφωνό μου ως hot-spot και<br />
χρεώνοντας στο λογαριασμό μου roaming data, οι ανυποψίαστοι<br />
άρχισαν ήδη να συνδέονται.<br />
Μετά από μία ώρα σχεδόν, είχα την πρώτη μου επίσκεψη πρόθυμου<br />
ταξιδιώτη να πληρώσει για premium δίκτυο Wi-Fi, και,<br />
τόσο απλά, είχα σε την πρώτη υποκλοπή πιστωτικής κάρτας<br />
μαζί με κάποιες χρήσιμες προσωπικές πληροφορίες του θύματος.<br />
Αυτό το ψεύτικο, ιδιωτικό hot-spot που εξέπεμπε<br />
για τουλάχιστον 2 ώρες συγκέντρωσε περίπου 18<br />
πιστωτικές κάρτες από ανυποψίαστους ταξιδιώτες. Και<br />
αυτό ήταν. Έριξα τη σύνδεση και διέγραψα οποιαδήποτε στοιχεία<br />
ενοχοποιούσαν τον υπολογιστή μου.<br />
Η απειλή είναι υπαρκτή<br />
Είναι τρομακτικό το πόσο εύκολα, στη σύγχρονη εποχή των<br />
γρήγορων ταχυτήτων του διαδικτύου και του Internet of<br />
Things, θα μπορούσε κάποιος να υποκλέψει τον αριθμό πιστωτικής<br />
κάρτας σε απλό κείμενο, έτοιμο για οποιαδήποτε<br />
πληρωμή στο διαδίκτυο ή ακόμα και να το πουλήσει στο<br />
deep web. Ένας αυτοαποκαλούμενος χάκερ, που συνδέεται<br />
με τους Anonymous έγραφε σε ένα τυχαίο site του darknet:<br />
«Είναι απλούστερη και ταχύτερη η διαδικασία να αγοράσει κάποιος<br />
αριθμούς πιστωτικών καρτών από κακοποιούς, οι οποίοι<br />
υποκλέπτουν υπολογιστές, έχουν συστήσει ψεύτικα ηλεκτρονικά<br />
καταστήματα που πωλούν ανύπαρκτα προϊόντα σε τιμές ευκαιρίας,<br />
να "σαρώσει" αριθμούς από ΑΤΜ, από το να "κλέψει" ένα<br />
ανυποψίαστο θύμα σε ένα εστιατόριο.»<br />
Φανταστείτε τώρα, πως ένας «επιτιθέμενος» θα μπορούσε<br />
με στωικότητα, αφιερώνοντας χρόνο, να παρακολουθεί κάθε<br />
σας δραστηριότητα στο internet, υποκλέπτοντας τα πακέτα της<br />
σύνδεσης σας, ώστε να μελετήσει το profile σας. Βρίσκοντας<br />
στοιχεία για εσάς από το Web (social media sites, web-mails),<br />
κωδικούς για να έχει πρόσβαση σε sites που έχετε account, θα<br />
μπορούσε κάλλιστα να «αντιγράψει» την ηλεκτρονική<br />
σας ταυτότητα. Κάτι τέτοιο θα μπορούσε να συνεπάγε-<br />
security<br />
33
T<strong>46</strong>08-10.2016<br />
Issue<br />
ται ανεπανόρθωτη καταστροφή των ηλεκτρονικών σας<br />
αρχείων στο cloud, στην εταιρεία στην οποία εργάζεστε -σε<br />
περίπτωση υποκλοπής τους εταιρικού σας account- καθώς,<br />
επίσης, και την «ηλεκτρονικής σας φήμη», δηλαδή το αποκαλούμενο<br />
social media crisis για έναν απλό χρήστη.<br />
Μία μεγαλύτερης κλίμακα επίθεση συντελέστηκε πέρυσι τον<br />
Ιανουάριο στην Κίνα, όταν χάκερ ξεκίνησαν ένα μαζικό κύμα<br />
man-in-the-middle (M<strong>IT</strong>M) επίθεσης, στοχεύοντας στους χρήστες<br />
του Microsoft Outlook, ικανό να κλέβει e-mail, επαφές και<br />
τους κωδικούς πρόσβασης στη χώρα. «Οι χρήστες έβλεπαν μόνο<br />
μια αυτόματη προειδοποίηση pop-up όταν προσπαθούσαν να<br />
ανακτήσουν αυτόματα μηνύματα. Οι χρήστες δεν ήταν σε θέση<br />
να αξιοποιήσουν το μήνυμα, επιλέγοντας το κουμπί 'Συνέχεια'<br />
και αγνοώντας το προειδοποιητικό μήνυμα» εξήγησε Σύμβουλος<br />
εταιρείας που ασχολείται με το Cyber <strong>Security</strong>.<br />
Τι πρέπει να προσέχουμε<br />
Είναι σημαντικό να θυμόμαστε πόσο εύκολα μπορεί κάποιος<br />
να δημιουργήσει ένα πλαστό hot-spot και να αποκτήσει πρόσβαση<br />
σε ευαίσθητες πληροφορίες. Πρέπει να ληφθούν μέτρα,<br />
ώστε να αποφεύγετε η χρήση Wi-Fi στο τηλέφωνο, στο tablet<br />
ή στον υπολογιστή σας για να ελέγξετε το email σας, το υπόλοιπο<br />
του τραπεζικού λογαριασμού σας, ή οποιαδήποτε άλλη<br />
ιστοσελίδα που περιέχει ή απαιτεί τα προσωπικά σας δεδομένα.<br />
Στις περισσότερες περιπτώσεις, η χρήση ενός οποιουδήποτε<br />
εγκεκριμένου λογισμικού ασφάλειας στο Διαδίκτυο, θα<br />
μπορούσε να σας σώσει από πολλά προβλήματα, όμως αυτή<br />
η περίπτωση είναι λίγο διαφορετική.<br />
Πώς όμως ένας τελικός χρήστης μπορεί να το αποτρέψει<br />
αυτό;<br />
• Θα μπορούσε πολύ απλά να δει το πιστοποιητικό που προβλέπεται<br />
από το πρόγραμμα περιήγησης στο διαδίκτυο πριν<br />
από τη δημιουργία σύνδεσης και κάνοντας κλικ στο «όχι»<br />
αντί για το «ναι», θα είχε αποτρέψει ένα τέτοιο ενδεχόμενο.<br />
• Πάρτε το χρόνο σας για να διαβάσετε και να κατανοήσετε όλα<br />
τα μηνύματα ασφαλείας που λαμβάνετε. Μην πατάτε μόνο<br />
τυχαία κλικ στο «ναι» λόγω ευκολίας.<br />
• Προσπαθήστε να χρησιμοποιείτε πάντα την κρυπτογραφημένη<br />
έκδοση των ιστοσελίδων (δηλαδή, βεβαιωθείτε ότι η<br />
διεύθυνση URL αρχίζει με HTTPS). Ένας τρόπος για να γίνει<br />
αυτό είναι να εγκαταστήσετε ένα plugin πρόγραμμα περιήγησης<br />
όπως το "HTTPS Everywhere", το οποίο αναζητά HTTPS<br />
συνδέσεις σε οποιαδήποτε ιστοσελίδα που επισκέπτεστε και<br />
προσπαθεί να την επιβάλει σε όλους τους χρόνους και Open<br />
sessions κατά την περιήγησή σας στο διαδίκτυο.<br />
Πώς μια εταιρεία μπορεί να αποτρέψει αυτό;<br />
• Εκπαιδεύστε τον τελικό χρήστη, ώστε να γνωρίζει την προειδοποίηση<br />
ασφάλειας και πώς να αντιδράσει σε πιθανή<br />
επίθεση.<br />
• Χρησιμοποιήστε One Time Passwords, όπως RSA Tokens,<br />
για να αποτραπεί η επαναχρησιμοποίηση τους.<br />
• Χρησιμοποιήστε ένα VPN, δημιουργώντας μια κρυπτογραφημένη<br />
σύνδεση μεταξύ του υπολογιστή σας και ενός τρίτου,<br />
εμποδίζοντας την παρακολούθηση και την υποκλοπή<br />
των πληροφοριών.<br />
Κύριος σκοπός αυτού του εγχειρήματος είναι περισσότερο να<br />
εκπαιδεύσει και να γνωστοποιήσει στους χρήστες αυτού<br />
του τύπου επιθέσεις (man-in-the-middle ή evil twin),<br />
η οποία είναι σχετικά εύκολή και δελεαστική από κακόβουλους<br />
χρήστες σε ένα public Wi-Fi περιβάλλον. Θα μπορούσε,<br />
επίσης, εύκολα κάτι τέτοιο να συμβεί και σε ένα δίκτυο Wi-Fi<br />
στο σπίτι, αν αυτό το δίκτυο δεν έχει ρυθμιστεί σωστά και επιτρέπει<br />
σε ένα χάκερ να συνδεθεί στο οικιακό σας δίκτυο. Ένας<br />
μέσος εκπαιδευμένος χρήστης θα εφαρμόσει ορθές πρακτικές<br />
ασφάλειας και εταιρικά προϊόντα που προστατεύουν τα πολύτιμα<br />
δεδομένα του.<br />
Προς τέρψη της περιέργειας των ενδιαφερομένων, τα ευαίσθητα<br />
δεδομένα των ανυποψίαστων ταξιδιωτών απλώς σας καθησυχάζω<br />
ότι διαγράφηκαν. Μου ήταν αδύνατο να «εκμεταλλευτώ»<br />
έναν ταλαιπωρημένο ταξιδιώτη που ήδη περίμενε στο τέσσερις<br />
ώρες για την πτήση του. <strong>IT</strong><strong>Security</strong><br />
34 security
T<strong>46</strong>08-10.2016<br />
Issue<br />
<strong>IT</strong> Compliance - Ανάλυση και<br />
υλοποίηση της Συμμόρφωσης<br />
Πληροφορικής στις εταιρείες<br />
Ο κύριος σκοπός της εταιρικής συμμόρφωσης (corporate compliance) είναι να επιβεβαιώσει<br />
ότι η εταιρεία αποφεύγει τις παραβιάσεις της νομοθεσίας (αστικής, ποινικής), των κανονιστικών<br />
διατάξεων ρυθμιστικών αρχών, των συμβατικών υποχρεώσεων, καθώς και των απαιτήσεων<br />
ίναι γεγονός ότι στην πληροφορική, και με δεδομένη<br />
την τεχνολογική πολυπλοκότητα και<br />
E<br />
τους διάφορους νόμους και διατάξεις, απαιτούνται<br />
συγκεκριμένα μέτρα συμμόρφωσης.<br />
Αυτά τα μέτρα εταιρικής συμμόρφωσης θα<br />
προστατεύσουν την εταιρεία σας από τα πρόστιμα που θα επιβληθούν<br />
από τις παραβιάσεις νόμων και διατάξεων πληροφορικής<br />
(όπως του νόμου περί προστασίας προσωπικών δεδομένων,<br />
κ.λπ.), και από τα προβλήματα δυσφήμησης, πτώσης<br />
εργασιών, δυσκολίας πρόσληψης στελεχών, κ.λπ.<br />
Τι είναι εταιρική συμμόρφωση και που χρειάζεται<br />
Σε γενικές γραμμές, ‘συμμόρφωση’ σημαίνει συμφωνία με<br />
κανόνες, όπως προδιαγραφές, πολιτικές, διαδικασίες, ηθική,<br />
πρότυπα ή νομικές διατάξεις. Στο πλαίσιο επιχειρήσεων<br />
και οργανισμών, ‘εταιρική συμμόρφωση’ περιλαμβάνει την<br />
τήρηση των νομικών και επιχειρησιακών διατάξεων σχετικά<br />
με τη νόμιμη, ηθική και υπεύθυνη συμπεριφορά από την ηγεσία,<br />
τη διοίκηση, τα εποπτικά όργανα, και τους εργαζόμενους<br />
της εταιρείας.<br />
Τα μέτρα εταιρικής συμμόρφωσης προστατεύουν την εταιρία<br />
σας από τις νομικές και κανονιστικές παραβάσεις με τον πιο<br />
δυνατό τρόπο. Ο κύριος σκοπός της εταιρικής συμμόρφωσης<br />
(corporate compliance) είναι να επιβεβαιώσει ότι η εταιρεία<br />
αποφεύγει τις παραβιάσεις της νομοθεσίας (αστικής, ποινικής),<br />
των κανονιστικών διατάξεων ρυθμιστικών αρχών, των συμβατικών<br />
υποχρεώσεων, καθώς και των απαιτήσεων ποιότητας,<br />
υγιεινής της εργασίας, ασφάλειας, κ.λπ.<br />
Τα μέτρα εταιρικής συμμόρφωσης που αναφέρονται στα θέματα<br />
πληροφορικής περιγράφονται σε 3 φάσεις στη συνέχεια:<br />
36 security
Του Ιωάννη Κυριαζόγλου *<br />
Φάση Α: Ανάλυση και Σχεδιασμός<br />
Δραστηριοτήτων Συμμόρφωσης<br />
Δράση 1: Ανάλυση εταιρικής συμμόρφωσης<br />
1. Πραγματοποιείστε μια ανάλυση του τοπίου κανονιστικής<br />
συμμόρφωσης της εταιρείας σας και κατανοήστε τους νόμους<br />
και κανονισμούς που αφορούν την πλήρη λειτουργία<br />
της επιχείρησής σας σε όλες τις χώρες που αυτή δραστηριοποιείται.<br />
2. Δώστε ιδιαίτερη προσοχή στους νόμους και τους κανονισμούς<br />
που σχετίζονται με την επιχειρηματική δραστηριότητα<br />
σας στις ΗΠΑ και την Ευρώπη:<br />
2.1. Νόμοι των ΗΠΑ: GLBA, FCRA, HIPAA, Sarbanes-<br />
Oxley, κανόνας ασφαλείας 17-α 4 του χρηματιστηρίου<br />
της Νέας Υόρκης<br />
2.2. Κανόνες Διεθνούς Τράπεζας (BIS / ΒΑΣΙΛΕΙΑ 2/3)<br />
2.3. Πρότυπο ασφαλείας δεδομένων πιστωτικών καρτών<br />
(PCI-DSS Πρότυπο)<br />
2.4. Διεθνείς κανονισμοί για τα πνευματικά δικαιώματα και<br />
τα διπλώματα ευρεσιτεχνίας<br />
2.5. Νομοθεσία της Ευρωπαϊκής Ένωσης (Οδηγία 2006/<strong>46</strong>/<br />
EC5 της Ευρωπαϊκής Ένωσης)<br />
2.6. Οδηγίες και κανόνες συμμόρφωσης του Ελληνικού<br />
κράτους σε θέματα εταιρικής διακυβέρνησης (Νόμος<br />
3016/20023, Νόμος 3693/20084, Νόμος 3884/2010, Νόμος<br />
3873/2010, Νόμος 2190/19206), φορολογικά, ασφαλιστικά,<br />
λογιστικής απεικόνισης και αναφορών, τελωνειακά,<br />
εργασιακά, αστικού και ποινικού κώδικα, κ.λπ.<br />
2.7. Κανονισμοί της Τράπεζα της Ελλάδας, κ.λπ.<br />
3. Συλλέξτε όλα τα στοιχεία που σας αφορούν.<br />
Δράση 2: Ανάλυση συμμόρφωσης της πληροφορικής<br />
1. Εκτός από τα παραπάνω, θα πρέπει επίσης να κάνετε το ίδιο<br />
(διεξαγωγή της ανάλυσης) για τις οδηγίες, τους νόμους και<br />
τους κανονισμούς που διέπουν και επηρεάζουν το περιβάλλον<br />
πληροφορικής και επικοινωνιών (<strong>IT</strong>C) στις τοπικές και<br />
διεθνείς αγορές που δραστηριοποιείται η εταιρεία σας.<br />
2. Δώστε ιδιαίτερη έμφαση, για παράδειγμα, στο τι διέπει τις<br />
υπηρεσίες ηλεκτρονικού εμπορίου (e-commerce), τις ψηφιακές<br />
συσκευές, τις υπηρεσίες κοινωνικής δικτύωσης, τα<br />
συστήματα και υπηρεσίες πληροφορικής σας, και ότι γενικά<br />
έχει σχέση με το τι προσφέρετε που έχει σχέση με την<br />
πληροφορική και τις επικοινωνίες (όπως πληροφορίες,<br />
δεδομένα, προϊόντα και υπηρεσίες) στην τοπική και διεθνή<br />
αγορά. Πρέπει να προσέξετε για παράδειγμα:<br />
2.1. Το νόμο περί προστασίας προσωπικών δεδομένων (ν.<br />
2472/97 και ν. 2774/99, 3471/2006) 2.2. Τις οδηγίες<br />
της Τράπεζας της Ελλάδος (ΠΡΑΞΗ ΔΙΟΙΚΗΤΗ ΑΡΙΘ.<br />
2563/19.7.2005, 1. Ενημερωτικά στοιχεία για τον έλεγχο<br />
των συστημάτων πληροφορικής και 2. Ενημερωτικά<br />
στοιχεία για τη λειτουργία των συστημάτων πληροφορικής)<br />
2.3. Τις οδηγίες της Αρχής Διασφάλισης του Απορρήτου<br />
των Επικοινωνιών<br />
2.4. Το άρθρο 66 του νόμου 2121/93<br />
2.5. Το άρθρο 370 του Ποινικού Κώδικα, κ.λπ.<br />
2.6. Τις οδηγίες του Ευρωπαίου Επόπτης Προστασίας Δεδομένων<br />
2.7. Την Οδηγία 95/<strong>46</strong>/ΕΚ του Ευρωπαϊκού Κοινοβουλίου<br />
και του Συμβουλίου της 24ης Οκτωβρίου 1995 για την<br />
προστασία των φυσικών προσώπων έναντι της επεξεργασίας<br />
δεδομένων προσωπικού χαρακτήρα και για<br />
την ελεύθερη κυκλοφορία των δεδομένων αυτών<br />
(Κανονισμός (ΕΚ) αριθ. 1882/2003), κ.λπ.<br />
2.8. Την οδηγία του Ευρωπαϊκού Κοινοβουλίου και του<br />
Συμβουλίου περί αποκομιδής προϊόντων ηλεκτρονικού<br />
εξοπλισμού (της 27ης Ιανουαρίου 2003) σχετικά<br />
με τα απόβλητα ειδών ηλεκτρικού και ηλεκτρονικού<br />
εξοπλισμού και τα προϊόντα και επιμέρους εξαρτήματα<br />
αυτών μετά τη χρήση ή την απαξίωση τους (δεν πρέπει<br />
να πετιούνται στα σκουπίδια με τα άλλα οικιακά απορρίμματα,<br />
αλλά να επιστρέφονται στο σημείο πώλησης<br />
ή σε κατάλληλο σημείο ανακύκλωσης ηλεκτρικού και<br />
ηλεκτρονικού εξοπλισμού). Περισσότερες λεπτομέρειες<br />
περιέχονται στα εξής:<br />
2.8.1. ΟΔΗΓΊΑ 2011/65/ΕΕ ΤΟΥ ΕΥΡΩΠΑΪΚΟΫ ΚΟΙΝΟ-<br />
ΒΟΥΛΊΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΊΟΥ της 8ης Ιουνίου<br />
2011 για τον περιορισμό της χρήσης ορισμένων<br />
επικίνδυνων ουσιών σε ηλεκτρικό και ηλεκτρονικό<br />
εξοπλισμό (http://eur-lex.europa.<br />
eu/legal-content/EL/TXT/HTML/?uri=CELE<br />
X:32011L0065&from=EN).<br />
2.8.2. ΟΔΗΓΊΑ 2012/19/ΕΕ ΤΟΥ ΕΥΡΩΠΑΪΚΟΫ ΚΟΙΝΟ-<br />
ΒΟΥΛΊΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΊΟΥ της 4ης Ιουλίου<br />
2012 σχετικά με τα απόβλητα ηλεκτρικού και<br />
ηλεκτρονικού εξοπλισμού (ΑΗΗΕ) (http://eurlex.europa.eu/legal-content/EL/TXT/HTML/<br />
?uri=CELEX:32012L0019&from=EN).<br />
* Ο Ιωάννης Κυριαζόγλου είναι σύμβουλος επιχειρήσεων<br />
και συγγραφέας των βιβλίων: ‘Ασφάλεια Πληροφορικής’<br />
(https://www.scribd.com/doc/294713875/<strong>IT</strong>-<br />
<strong>Security</strong>-Book-Greek-Version), ‘<strong>IT</strong> Strategic & Operational<br />
Controls’ και ‘Business Management Controls: A Guide’<br />
(http://www.itgovernance.co.uk).<br />
security<br />
37
T<strong>46</strong>08-10.2016<br />
Issue<br />
Δράση 7: Έγκριση του Διοικητικού Συμβουλίου. Υποβάλλετε<br />
την έκθεση σας στο διοικητικό συμβούλιο της εταιρείας<br />
σας με την ανάλυση των στοιχείων που περιλαμβάνει και έναν<br />
προϋπολογισμό για τη διαδικασία συμμόρφωσης, για να λάβετε<br />
την έγκριση και τα κονδύλια που απαιτούνται για την περαιτέρω<br />
ανάπτυξη και τη λειτουργία ενός προγράμματος συμμόρφωσης<br />
για την εταιρεία και την πληροφορική.<br />
Δράση 8: Υπεύθυνος Κανονιστικής Συμμόρφωσης. Σχεδιάστε<br />
και θεσπίστε τα καθήκοντα, τις αρμοδιότητες και το ρόλο<br />
του Υπευθύνου Κανονιστικής Συμμόρφωσης (Compliance<br />
Officer) και διορίστε ένα πρόσωπο για την εκτέλεση όλων των<br />
καθηκόντων της συμμόρφωσης. Επιπλέον, αναθέστε σε ένα<br />
άτομο να είναι υπεύθυνο, εάν χρειάζεται, για κάθε ρυθμιστική<br />
ή νομική απαίτηση συμμόρφωσης.<br />
3. Συλλέξτε όλα τα στοιχεία που σας αφορούν.<br />
Δράση 3: Εσωτερικοί κανόνες. Συλλέξτε όλους τους εσωτερικούς<br />
κανόνες, πολιτικές, κανονισμούς και πρότυπα συμμόρφωσης<br />
που αφορούν την επιχείρησή σας και για όλες τις λειτουργίες<br />
της, συμπεριλαμβανομένης και της πληροφορικής.<br />
Δράση 4: Σχεδιασμός εγχειριδίου συμμόρφωσης<br />
1. Σχεδιάστε τις διαδικασίες για την δημιουργία και λειτουργία<br />
ενός εγχειρίδιου συμμόρφωσης (Compliance manual) για<br />
να διατηρήσετε όλους τους εξωτερικούς και εσωτερικούς<br />
κανόνες, οδηγίες, κανονισμούς και πρότυπα συμμόρφωσης<br />
που αφορούν την επιχείρησή σας και όλες τις λειτουργίες<br />
της, συμπεριλαμβανομένης και της πληροφορικής (από τις<br />
προηγούμενες δράσεις).<br />
2. Σχεδιάστε μια βάση δεδομένων ή αποκτήστε ένα μηχανογραφημένο<br />
σύστημα για την αποθήκευση και τη διατήρηση<br />
όλων αυτών των κανόνων συμμόρφωσης.<br />
Δράση 5: Πόροι. Ορίστε τα συστατικά στοιχεία που απαιτούνται<br />
από την εταιρεία σας από την άποψη των οικονομικών πόρων,<br />
ανθρώπων, δομών διαχείρισης, πολιτικών, συστημάτων,<br />
διαδικασιών, τεκμηρίωσης, εγκαταστάσεων, τεχνικών, μεθόδων<br />
και εργαλείων που πρέπει να αξιοποιηθούν αποτελεσματικά<br />
για την εκτέλεση και εφαρμογή του συνόλου των επιχειρησιακών<br />
και πληροφορικών μέτρων συμμόρφωσης.<br />
Δράση 6: Ευαισθητοποίηση. Αναλύστε τις πτυχές της επικοινωνίας,<br />
της κατάρτισης και της ετοιμότητα της εταιρείας σας<br />
όσον αφορά τη συμμόρφωση.<br />
Δράση 9: Πολιτικές Συμμόρφωσης Πληροφορικής. Καθιερώστε<br />
τις πολιτικές που σχετίζονται με τη συμμόρφωση της<br />
πληροφορικής (<strong>IT</strong> compliance), για την προστασία των δεδομένων,<br />
το απόρρητο των δεδομένων, κ.λπ. Ένα ενδεικτικό σύνολο<br />
πολιτικών είναι:<br />
1. Πολιτική Προστασίας Προσωπικών Δεδομένων,<br />
2. Πολιτική Κανονιστικής Συμμόρφωσης,<br />
3. Πολιτική Διαβάθμισης Πληροφοριών,<br />
4. Οδηγίες για την ασφάλεια και διαφύλαξη εμπιστευτικών<br />
πληροφοριών,<br />
5. Κανόνες Ασφάλειας Πληροφοριακών Συστημάτων και<br />
6. Πολιτική Απόσυρσης Πληροφοριακών Αγαθών.<br />
Δράση 10: Σύστημα Συμμόρφωσης<br />
1. Δημιουργήστε και καθιερώστε ένα σύστημα συμμόρφωσης<br />
που περιλαμβάνει το εγχειρίδιο συμμόρφωσης (Compliance<br />
manual), που έχετε σχεδιάσει στην Δράση 4, και όλους τους<br />
εξωτερικούς και εσωτερικούς κανόνες, οδηγίες, κανονισμούς<br />
και πρότυπα συμμόρφωσης που αφορούν την επιχείρησή<br />
σας και όλες τις λειτουργίες της, συμπεριλαμβανομένης<br />
και της πληροφορικής (από τις προηγούμενες δράσεις).<br />
2. Κρατήστε αυτό το σύστημα ενήμερο ανά πάσα στιγμή.<br />
3. Προσθέστε στοιχεία στην βάση δεδομένων), που έχετε σχεδιάσει<br />
στην Δράση 4, ή φορτώστε τα απαραίτητα στοιχεία<br />
στο μηχανογραφημένο σύστημα (που έχετε σχεδιάσει στην<br />
Δράση 4) για την αποθήκευση και τη διατήρηση όλων αυτών<br />
των κανόνων συμμόρφωσης.<br />
4. Το σύστημα αυτό διατηρείται κανονικά και διαχειρίζεται<br />
από τον υπεύθυνο συμμόρφωσης, και θα περιλαμβάνει,<br />
για παράδειγμα:<br />
(1) Αντίγραφα όλων των εθνικών νόμων, νομικά και βιο-<br />
38 security
<strong>IT</strong> Compliance - Ανάλυση και υλοποίηση της Συμμόρφωσης Πληροφορικής στις εταιρείες<br />
μηχανικά κανονισμούς και αποφάσεις σχετικά με τη συμμόρφωση,<br />
(2) Αντίγραφα όλων των σχετικών εταιρικών πολιτικών και<br />
διαδικασιών συμμόρφωσης, όπως: τον Κώδικα Δεοντολογίας,<br />
τις οδηγίες συμμόρφωσης προς τους εργαζομένους,<br />
τις δηλώσεις σύγκρουσης ενδιαφέροντος, τις δηλώσεις κανονιστικής<br />
συμμόρφωσης, το πρόγραμμα συμμόρφωσης,<br />
την τεκμηρίωση της διαδικασίας συμμόρφωσης της οργάνωσης<br />
που καταδεικνύει την ακεραιότητα και την αποτελεσματικότητά<br />
της, κ.λπ.,<br />
(3) Τις επικοινωνίες, όπως αλληλογραφία, μηνύματα φαξ,<br />
μηνύματα ηλεκτρονικού ταχυδρομείου, τα πρακτικά του<br />
διοικητικού συμβουλίου σχετικά με θέματα συμμόρφωσης,<br />
κ.λπ.,<br />
(4) Τις ενέργειες συμμόρφωσης που σχετίζονται με την εκπαίδευση,<br />
την κατάρτιση, τα περιστατικά και τις ενέργειες<br />
επίλυσης,<br />
(5) Τα τιμολόγια και αξιώσεις των εργαζομένων από το πρόγραμμα<br />
υγειονομικής περίθαλψης, αν δεν συντηρείται από<br />
το σύστημα αρχείων των επιχειρήσεων,<br />
(6) Τα δεδομένα ελέγχου για την υποστήριξη και την επεξήγηση<br />
των εκθέσεων του κόστους, των λοιπών χρηματοπιστωτικών<br />
δραστηριοτήτων, καθώς και την παρακολούθηση<br />
της συμμόρφωσης, τόσο της εσωτερικής όσο και της<br />
εξωτερικής, και<br />
(7) Τις δράσεις παρακολούθησης των εκθέσεων συμμόρφωσης.<br />
Φάση Β: Δράσεις Εφαρμογής Συμμόρφωσης<br />
Δράση 1: Οργάνωση διεύθυνσης κανονιστικής συμμόρφωσης<br />
1. Οργανώστε και στελεχώστε την διεύθυνση κανονιστικής<br />
συμμόρφωσης και περιγράψτε τις εργασίες.<br />
2. Στις κύριες αρμοδιότητες της Διευθύνσεως περιλαμβάνονται:<br />
2.1. Ο προγραμματισμός και η διαχείριση της κανονιστικής<br />
συμμορφώσεως και η παρακολούθηση εφαρμογής<br />
του κανονιστικού πλαισίου.<br />
2.2. Η εκπροσώπηση της εταιρείας ενώπιον των εποπτικών<br />
και λοιπών Αρχών και η επικοινωνία με αυτές.<br />
2.3. Η πρόληψη και καταστολή νομιμοποιήσεως εσόδων<br />
από παράνομες δραστηριότητες.<br />
2.4. Η διαφύλαξη του απορρήτου.<br />
2.5. Η πρόληψη και καταστολή της απάτης.<br />
3. Η Διεύθυνση Κανονιστικής Συμμορφώσεως είναι διοικητικά<br />
ανεξάρτητη και έχει τη δυνατότητα απρόσκοπτης προσβάσεως<br />
σε όλα τα στοιχεία και τις πληροφορίες που είναι<br />
απαραίτητα για την εκπλήρωση της αποστολής της.<br />
4. Εκπονεί ετήσιο Πρόγραμμα Κανονιστικής Συμμορφώσεως,<br />
σύμφωνα με το ισχύον ρυθμιστικό πλαίσιο, καθώς και το<br />
πλαίσιο πολιτικής και διαδικασιών Κανονιστικής Συμμορφώσεως<br />
της εταιρείας, ενώ συντάσσει ετήσιο προϋπολογισμό,<br />
ο οποίος εγκρίνεται από τη Γενική Διεύθυνση, στο<br />
πλαίσιο της οικονομικής ανεξαρτησίας της.<br />
5. Συνεργάζεται, μεταξύ άλλων, με τις Διευθύνσεις Εσωτερικού<br />
Ελέγχου, Νομικών Υπηρεσιών, Κινδύνων Αγοράς και<br />
Λειτουργικών Κινδύνων, για την από κοινού αντιμετώπιση<br />
θεμάτων τηρήσεως του κανονιστικού πλαισίου, καθώς και<br />
με τις κατά περίπτωση καθ’ ύλην αρμόδιες Διευθύνσεις<br />
της εταιρείας’.<br />
Δράση 2α: Υλοποίηση διαδικασιών εταιρικής συμμόρφωσης<br />
1. Υλοποιήστε τις εταιρικές δράσεις συμμόρφωσης (βλέπε<br />
δράση 4 και δράση 10: Σύστημα Συμμόρφωσης, στην προηγούμενη<br />
ενότητα).<br />
2. Υλοποιήστε τις δράσεις εταιρικής συμμόρφωσης, όπως: Τον<br />
Κώδικα Ηθικής Συμπεριφοράς, που εφαρμόζεται από όλο<br />
το προσωπικό και τα στελέχη της επιχείρησης και της πληροφορικής<br />
και που στηρίζεται σε κοινά αποδεκτές αρχές<br />
και κώδικες δεοντολογίας, όπως είναι ενδεικτικά η επιμέλεια,<br />
η αποτελεσματικότητα, η υπευθυνότητα, η ευπρέπεια<br />
στις σχέσεις με το κοινό, η μη αίτηση ή αποδοχή ασυνήθους<br />
αξίας ωφελημάτων ή δώρων και η τήρηση επαγγελματικού<br />
απορρήτου.<br />
3. Εκτελέστε την εκπαίδευση για όλα τα θέματα συμμόρφωσης<br />
σε όλο το προσωπικό της εταιρείας σας.<br />
Δράση 2β: Υλοποίηση διαδικασιών συμμόρφωσης πληροφορικής<br />
1. Αναθέστε τα καθήκοντα του υπεύθυνου επεξεργασίας σε<br />
ένα εγκεκριμένο στέλεχος της εταιρείας. Ο υπεύθυνος επεξεργασίας<br />
οφείλει να τηρεί τις διατάξεις του Ν. 2472/1997<br />
(και 3471/2006 για τις ηλεκτρονικές επικοινωνίες) και ειδικότερα:<br />
1.1. Να συλλέγει τα προσωπικά δεδομένα κατά τρόπο θεμιτό<br />
και νόμιμο.<br />
1.2. Να επεξεργάζεται τα απαραίτητα μόνο προσωπικά δεδομένα<br />
για τους σκοπούς που έχει γνωστοποιήσει.<br />
1.3. Να φροντίζει τα δεδομένα να είναι ακριβή και ενημερωμένα.<br />
1.4. Να διατηρεί τα δεδομένα μόνο για τη χρονική διάρκεια<br />
που απαιτείται για την πραγματοποίηση των σκοπών<br />
της συλλογής τους και της επεξεργασίας τους.<br />
security<br />
39
T<strong>46</strong>08-10.2016<br />
Issue<br />
2. Βεβαιωθείτε ότι οι έλεγχοι κρυπτογράφησης εφαρμόζονται<br />
σωστά για την προστασία των προσωπικών και άλλων ευαίσθητων<br />
δεδομένων σύμφωνα με τις απαιτήσεις.<br />
3. Εφαρμόστε μια διαδικασία για όλους τους χρήστες που θα<br />
πρέπει να υπογράψουν μια δήλωση ότι δεσμεύονται να<br />
χρησιμοποιήσουν μόνο λογισμικό που παρέχει η εταιρεία<br />
και ότι θα συμμορφωθούν πλήρως με όλους τους σχετικούς<br />
νόμους και κανονισμούς.<br />
1.5. Να επιλέγει για τη διεξαγωγή της επεξεργασίας πρόσωπα<br />
με αντίστοιχα επαγγελματικά προσόντα που<br />
παρέχουν επαρκείς εγγυήσεις από πλευράς τεχνικών<br />
γνώσεων και προσωπικής ακεραιότητας για την τήρηση<br />
του απορρήτου.<br />
1.6. Να λαμβάνει τα κατάλληλα οργανωτικά και τεχνικά<br />
μέτρα για την ασφάλεια των δεδομένων και την προστασία<br />
τους από τυχαία ή αθέμιτη καταστροφή, τυχαία<br />
απώλεια, αλλοίωση, απαγορευμένη διάδοση ή πρόσβαση<br />
και κάθε άλλη μορφή αθέμιτης επεξεργασίας.<br />
1.7. Αν η επεξεργασία διεξάγεται για λογαριασμό του υπεύθυνου<br />
από πρόσωπο μη εξαρτώμενο από αυτόν, να<br />
πραγματοποιεί τη σχετική ανάθεση εγγράφως.<br />
1.8. Να σέβεται τα δικαιώματα ενημέρωσης, πρόσβασης<br />
και αντίρρησης των υποκειμένων.<br />
1.9. Να είναι συνεπής στις υποχρεώσεις του απέναντι στην<br />
Αρχή (γνωστοποίηση, λήψη άδειας).<br />
1.10. Να ενημερώνεται για τις Αποφάσεις, Οδηγίες, Συστάσεις<br />
της Αρχής που τον αφορούν.<br />
2. Εφαρμόστε τις πολιτικές και διαδικασίες προστασίας προσωπικών<br />
δεδομένων της εταιρείας σας.<br />
3. Διατηρήστε αρχείο με όλα τα απαιτούμενα έγγραφα και<br />
ολοκληρώστε την εγγραφή της εταιρείας σας με την εθνική<br />
αρχή προστασίας των δεδομένων σας.<br />
4. Επικοινωνήστε τα καθήκοντα του υπεύθυνου επεξεργασίας<br />
δεδομένων σε όλο το προσωπικό για να διασφαλίσετε ότι τα<br />
συστήματα πληροφορικής σας συμμορφώνεται πλήρως με<br />
την εθνική Προστασίας Δεδομένων και άλλους νόμους.<br />
Δράση 3: Προστασία Προσωπικών Δεδομένων<br />
1. Εφαρμόστε μέτρα για την εξασφάλιση ότι τα προσωπικά δεδομένα<br />
δεν αφήνουν τα σύνορα της χώρας σας (δείτε τους<br />
σχετικούς ευρωπαϊκούς νόμους σε αυτό το τεύχος).<br />
Δράση 4: Συντήρηση Ψηφιακών Δεδομένων<br />
1. Θεσπίστε ελέγχους για την προστασία όλων των εταιρικών<br />
αρχείων, συμπεριλαμβανομένων των ψηφιακών μέσων,<br />
βίντεο, μικροφίλμ, εκθέσεων από υπολογιστή (computergenerated<br />
reports), μηνύματα ηλεκτρονικού ταχυδρομείου,<br />
μηνύματα φαξ, έγγραφα, αρχεία, κ.λπ., σε πλήρη συμμόρφωση<br />
με τους σχετικούς νόμους και κανονισμούς (φορολογικών,<br />
τελωνειακών, συντάξεων, κ.λπ.).<br />
2. Καταστρέψτε όλα τα οργανωτικά αρχεία, μόνο όταν επίσημα<br />
όρια λήγουν και βάσει των γραπτών εγκρίσεων της εταιρείας<br />
και με τη χρήση ενός πρωτόκολλου καταστροφής. Ειδικά<br />
για την ασφαλή καταστροφή των προσωπικών δεδομένων<br />
μετά το πέρας της περιόδου που απαιτείται για την πραγματοποίηση<br />
του σκοπού της επεξεργασίας δώστε προσοχή<br />
στην οδηγία της σχετικής αρχής.<br />
Δράση 5: Αναφορά δεδομένων σε αρχές<br />
1. Εφαρμόστε ένα ολοκληρωμένο σύστημα υποβολής εκθέσεων<br />
συμμόρφωσης, για τη διαβίβαση των εκθέσεων<br />
προς τις αρχές όπως καθορίζονται στο εγχειρίδιο της συμμόρφωσης.<br />
2. Εάν ελέγχεστε από την Τράπεζα της Ελλάδος, πρέπει να<br />
υποβάλλετε τις εκθέσεις με όλα τα στοιχεία περιστατικών<br />
της ασφάλειας και με το σχέδιο ελέγχου και το χρονοδιάγραμμα<br />
ελέγχου, σύμφωνα με τους σχετικούς νόμους και<br />
απαιτήσεις (π.χ. Τράπεζα της οδηγίες Ελλάδα).<br />
Δράση 6: Προστασία Πνευματικών Δικαιωμάτων<br />
1. Εφαρμόστε, εάν απαιτείται, το μηχανογραφικό σύστημα<br />
για την υποστήριξη της διαδικασίας συμμόρφωσης της<br />
εταιρείας.<br />
2. Βεβαιωθείτε ότι όλα τα διπλώματα ευρεσιτεχνίας της επιχείρησής<br />
σας και τα πνευματικά δικαιώματα έχει καταγραφεί<br />
από τις αρμόδιες αρχές. Αυτό πρέπει επίσης να περιλαμβάνει<br />
και διπλώματα ευρεσιτεχνίας που μπορεί να έχετε αναπτύξει<br />
στην πληροφορική (υλικού και λογισμικού).<br />
3. Επιβεβαιωθείτε ότι έχετε νόμιμες άδειες για όλο το λογισμικό<br />
σας (ακόμη και για ότι προσφέρεται δωρεάν) και κρατεί-<br />
40 security
<strong>IT</strong> Compliance - Ανάλυση και υλοποίηση της Συμμόρφωσης Πληροφορικής στις εταιρείες<br />
στε όλα τα στοιχεία στο μητρώο των περιουσιακών στοιχείων<br />
της πληροφορικής σας. Επίσης, βεβαιωθείτε ότι όλοι οι<br />
εργαζόμενοι έχουν υπογράψει μια δήλωση που να πιστοποιεί<br />
ότι έχουν δεσμευτεί να χρησιμοποιούν μόνο νόμιμο<br />
λογισμικό όπως έχει εγκριθεί από την εταιρεία.<br />
Δράση 7: Επιβολή Συμμόρφωσης<br />
1. Συνδέστε τη συμμόρφωση με την απόδοση της διοίκησης<br />
και των εργαζομένων μέσω του συστήματος αμοιβών και<br />
παροχών.<br />
2. Ενισχύστε τα πρότυπα συμμόρφωσης μέσω καλής δημοσιότητας<br />
των πειθαρχικών μέτρων ή και κατευθυντήριων<br />
οδηγιών συμμόρφωσης.<br />
Φάση Γ: Αξιολόγηση Συμμόρφωσης<br />
Δράση 1: Παρακολούθηση της εκτέλεσης Εταιρικής Συμμόρφωσης<br />
1. Παρακολουθείστε την εκτέλεση όλων των πολιτικών και<br />
διαδικασιών Εταιρικής Συμμόρφωσης από τα προκαθορισμένα<br />
όργανα και επιτροπές της εταιρείας σας.<br />
2. Επιβεβαιώστε ότι η εταιρεία έχει εφαρμόσει και επικοινωνήσει<br />
της εφαρμογή της Εταιρικής Διακυβέρνησης με την<br />
σχετική ανακοίνωση της Δήλωσης της.<br />
3. Ιδιαίτερη προσοχή πρέπει να δοθεί στην παρακολούθηση,<br />
την αναθεώρηση και την επίλυση όλων των συναφών θεμάτων<br />
και προβλημάτων ασφάλειας πληροφορικής.<br />
4. Επίσης, βεβαιωθείτε ότι όλα τα μέλη του διοικητικού συμβουλίου<br />
και όλοι οι διευθυντές της εταιρείας, καθώς και<br />
οι εργαζόμενοι, έχουν υπογεγραμμένη δήλωση τους φακέλους<br />
του προσωπικού σχετικά με τη δέσμευσή τους να<br />
τηρούν όλους τους νόμους και τους κανονισμούς (εξωτερικούς<br />
και εσωτερικούς) και να χρησιμοποιούν μόνο εγκεκριμένα<br />
από την εταιρεία εξοπλισμό και λογισμικό.<br />
Δράση 2: Αξιολόγηση της Εταιρικής Συμμόρφωσης<br />
1. Ζητήστε την διεξαγωγή του ελέγχου εφαρμογής των πολιτικών<br />
και διαδικασιών Εταιρικής Συμμόρφωσης από τον<br />
εσωτερικό έλεγχο, και για όλες τις εταιρικές λειτουργίες.<br />
2. Ειδικά για τη συμμόρφωση της πληροφορικής, προσέξτε<br />
τα ακόλουθα.<br />
2.1. Για τα θέματα προστασίας προσωπικών δεδομένων<br />
ο εσωτερικός έλεγχος πρέπει να αξιολογήσει εάν η<br />
εταιρεία παίρνει τα κατάλληλα μέτρα όπως ορίζονται<br />
από τον σχετικό νόμο (ν. 2472/97 και ν. 2774/99,<br />
3471/2006), όπως για παράδειγμα:<br />
• Άρθρο 8. Διασύνδεση αρχείων<br />
• Άρθρο 9. Διασυνοριακή ροή δεδομένων προσωπι-<br />
κού χαρακτήρα<br />
• Άρθρο 10. Απόρρητο και ασφάλεια της<br />
επεξεργασίας<br />
• Άρθρο 11. Δικαίωμα ενημέρωσης<br />
• Άρθρο 12. Δικαίωμα πρόσβασης<br />
• Άρθρο 13. Δικαίωμα αντίρρησης<br />
• Άρθρο 14. Δικαίωμα προσωρινής δικαστικής προστασίας.<br />
2.2. Για την Οργάνωση και Διοίκηση Πληροφορικής, ο εσωτερικός<br />
έλεγχος πρέπει να αξιολογήσει εάν το πλαίσιο<br />
Διακυβέρνησης της Πληροφορικής, περιλαμβάνει την<br />
αποτελεσματικότητα της οργάνωσης της μονάδας της<br />
Πληροφορικής και τις σχέσεις της με τους Εξωτερικούς<br />
της Συνεργάτες.<br />
2.3. Για την Ανάπτυξη και Προμήθεια Συστημάτων, ο εσωτερικός<br />
έλεγχος πρέπει να αξιολογήσει εάν οι διαδικασίες<br />
ασφαλούς ανάπτυξης και προμήθειας Πληροφοριακών<br />
Συστημάτων είναι επαρκείς.<br />
2.4. Για την Λειτουργία και Υποστήριξη Συστημάτων, ο εσωτερικός<br />
έλεγχος πρέπει να αξιολογήσει εάν οι διαδικασίες<br />
λειτουργίας των συστημάτων πληροφορικής,<br />
περιλαμβάνουν τη φυσική και λογική τους ασφάλεια,<br />
καθώς και στη διασφάλιση της συνέχειας των εργασιών<br />
της πληροφορικής.<br />
2.5. Για τον Έλεγχο Συστημάτων Πληροφορικής, ο εσωτερικός<br />
έλεγχος πρέπει να αξιολογήσει εάν οι εργασίες<br />
του καλύπτουν την επαρκή και αποτελεσματική λειτουργία<br />
της Μονάδας Εσωτερικής Επιθεώρησης αναφορικά<br />
με τα Πληροφοριακά Συστήματα.<br />
Δράση 3: Βελτίωση της Εταιρικής Συμμόρφωσης<br />
1. Ελέγξτε όλες τις πολιτικές και τις διαδικασίες Εταιρικής<br />
Συμμόρφωσης από τους εξωτερικούς ελεγκτές, χρησιμοποιώντας<br />
και εμπειρογνώμονες για συγκεκριμένα θέματα<br />
(π.χ. ηλεκτρονικό έγκλημα, προστασία προσωπικών δεδομένων,<br />
κ.λπ.).<br />
2. Αναπτύξτε και εφαρμόστε διορθωτικά μέτρα για τις διαπιστωμένες<br />
παραβάσεις με βάση τις αναφορές και των 2<br />
ελεγκτών.<br />
3. Ενισχύστε την εταιρική συμμόρφωση με ένα νέο πρόγραμμα<br />
επικοινωνίας και προώθησης της Πολιτικής Κανονιστικής<br />
Συμμόρφωσης που καθορίζει τους κανόνες που διασφαλίζουν<br />
την συμμόρφωσης της εταιρείας σας με εθνικές,<br />
Ευρωπαϊκές και άλλες διεθνείς κατευθύνσεις (regulations)<br />
διατάξεις, συμβάσεις, νομικές υποχρεώσεις και κανονιστικά<br />
πλαίσια, και που περιλαμβάνουν και τα σχετικά με θέματα<br />
ασφάλειας πληροφορικής. <strong>IT</strong><strong>Security</strong><br />
security<br />
41
Change language