IT Professional Security - ΤΕΥΧΟΣ 30
07.03.2017 • Views
Share Embed Flag

IT Professional Security - ΤΕΥΧΟΣ 30

Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.

Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.

SHOW MORE
SHOW LESS
ePAPER READ
DOWNLOAD ePAPER
  • No tags were found...
smartpress

Create successful ePaper yourself

Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.

START NOW

Μάρτιος - Απρίλιος 2013 • Τεύχος <strong>30</strong> • Τιμή 5€<br />

Ασφάλεια στον κυβερνοχώρο<br />

Το περιβάλλον & οι εξελίξεις<br />

• Mobile Device Management<br />

• Αναδυόμενες τεχνολογίες στο Storage<br />

• Ethical Hacking και εργαλεία ελέγχων ασφαλείας<br />

• Οδηγός διασφάλισης VoIP Τηλεφωνικών Κέντρων<br />

PRESS LINE MAΓΕΡ 11, 104 38 ΑΘΗΝΑ<br />

ΠΛHPΩMENO<br />

TEΛOΣ<br />

Tαχ. Γραφείο<br />

KEMΠ.KΡ.<br />

Aριθμός Άδειας<br />

116<br />

PRESS POST<br />

ENTYΠO KΛEIΣTO AP. A∆EIAΣ 22/2008 KEMΠ.A.ΚΡ.<br />

P R<br />

(X+7)<br />

E S S<br />

T<br />

P O S<br />

Report

E D<strong>IT</strong>ORIAL<br />

Η Ασφάλεια Πληροφοριών, πυλώνας ανάπτυξης<br />

της αγοράς του ΙΤ<br />

Με νωπές ακόμα τις εντυπώσεις από το “Infocom <strong>Security</strong><br />

2013” το οποίο συνδιοργάνωσε με πολύ μεγάλη<br />

επιτυχία για 3 η συνεχόμενη χρονιά το “<strong>IT</strong> <strong>Security</strong> <strong>Professional</strong>”<br />

στις 10 Απριλίου γεννήθηκαν αρκετές σκέψεις<br />

αναφορικά με την κατάσταση της αγοράς στην Πληροφορική<br />

σε αυτό το τόσο ρευστό και δύσκολο περιβάλλον.<br />

Το συνέδριο, για τα τεκταινόμενα του οποίου μπορείτε να<br />

διαβάζετε στο σχετικό ρεπορτάζ, αποτέλεσε μια πολύ καλή<br />

αφορμή για όσους παρευρέθηκαν να ενημερωθούνε<br />

σε μεγαλύτερο βαθμό για τις τάσεις στην αγορά της<br />

Ασφάλεια Πληροφοριών, τις εξελίξεις στην τεχνολογία,<br />

την στρατηγική και τους στόχους των παρόχων λύσεων και<br />

υπηρεσιών. Αποτέλεσε επίσης μια πολύ καλή ευκαιρία για<br />

όλους εμάς να αφουγκραστούμε τις απαιτήσεις και προτεραιότητες<br />

των ήδη υφιστάμενων αλλά και δυνητικών πελατών,<br />

λύσεων και υπηρεσιών που σχετίζονται με την<br />

ασφάλεια και όχι μόνο, που ως επί το πλείστον ήταν επιχειρήσεις<br />

και οργανισμοί του ιδιωτικού και δημόσιου τομέα,<br />

που εκπροσωπήθηκαν όπως είναι λογικό από στελέχη<br />

των τμημάτων ΙΤ.<br />

Ένα από τα βασικά συμπεράσματα, το σχετίζεται αλώστε<br />

και με το σλόγκαν της φετινής διοργάνωσης, είναι ότι οι<br />

τάσεις στο <strong>IT</strong> που αποτυπώνονται μέσα από τις έννοιες του<br />

cloud, virtualization, mobility, BYOD, Social Media, Big Data,<br />

αρχίζουν πλέον να υιοθετούνται ολοένα και περισσότερο<br />

και από τις ελληνικές επιχειρήσεις, δημιουργώντας<br />

ένα εντελώς νέο τοπίο στο οικοσύστημα του ΙΤ, στο οποίο<br />

η παράμετρος της Ασφάλειας Πληροφοριών χαρακτηρίζεται<br />

ως ιδιαίτερα κομβική και κρίσιμη.<br />

Ο στόχος είναι φυσικά πάντα ίδιος. Η προστασία των επιχειρηματικών<br />

δεδομένων και των εφαρμογών! Οι μέθοδοι<br />

όμως πλέον αλλάζουν!<br />

Η νέα λοιπόν κατάσταση, όπως αυτή έχει διαμορφωθεί<br />

σήμερα, αποτελεί τη κινητήρια δύναμη για την ανάπτυξη<br />

νέων πολιτικών και νέων τρόπων διασφάλισης των πληροφοριών<br />

ανοίγοντας έτσι το δρόμο για την προσφορά<br />

και ζήτηση νέων λύσεων και υπηρεσιών από την αγορά. Οι<br />

“εντάσεις” στην ασφάλεια λοιπόν που φέρνουν οι νέες<br />

“τάσεις” στο ΙΤ, δεν μεταφράζονται ως εμπόδιο στην ανάπτυξης<br />

της αγοράς των νέων τάσεων του ΙΤ αλλά μια σημαντική<br />

ευκαιρία και μια νέα πρόκληση για όλους όσους<br />

ασχολούνται με την αγορά της ασφάλειας πληροφοριών<br />

και γενικότερα του ΙΤ.<br />

Βλάσης Αμανατίδης<br />

Iδιοκτησία<br />

Nίκος Πανδής<br />

Eκδότης<br />

Nίκος Πανδής<br />

Αρχισυντάκτης<br />

Βλάσης Αμανατίδης<br />

info@securitymanager.gr<br />

Συνεργάτες<br />

Αριστοτέλης Λυμπερόπουλος<br />

Δημήτρης Παπίτσης<br />

Αλέξανδρος Σουλαχάκης<br />

Ιωσήφ Ανδρουλιδάκης<br />

Mίνα Ζούλοβιτς<br />

Νότης Ηλιόπουλος<br />

Παναγιώτα Τσώνη<br />

Εμπορικό Τμήμα<br />

Νίκος Σαράφογλου<br />

nsarafoglou@pressline.gr<br />

Δήμητρα Αρακά<br />

daraka@pressline.gr<br />

Τμήμα Διαφήμισης - Marketing<br />

Nίκη Πανδή<br />

marketing@pressline.gr<br />

Υπεύθυνος Συνδρομών<br />

Γιώργος Τσιματσίδης<br />

support@securitymanager.gr<br />

Συνεργάτης Κύπρου<br />

Φρίξος Μόζορας<br />

Λογιστήριο<br />

Xρήστος Mακρής<br />

fin@pressline.gr<br />

Γραμματειακή Yποστήριξη<br />

Nικολέτα Πανδή<br />

Διευθυντής Παραγωγής<br />

Σάκης Γαβαλάς<br />

Kαλλιτεχνική Eπιμέλεια<br />

Mάρθα Τσάρου<br />

Hλεκτρονική Σελιδοποίηση<br />

Λευτέρης Πανδής<br />

Σχεδιασμός Mu ltimedia<br />

Φίλιππος Kαλογιάννης<br />

Aτελιέ-Διαχωρισμοί-Mοντάζ<br />

PressLine<br />

www.itsecuritypro.gr<br />

www.securitymanager.gr<br />

info@securitymanager.gr<br />

H EKΔΟΣΗ ΜΑΣ ΕΙΝΑΙ ΜΕΛΟΣ ΤΗΣ<br />

Mάγερ 11, 104 38 Αθήνα,<br />

Τηλ.: 210-52.25.479 (6 γραμμές),<br />

Fax: 210-52.43.345,<br />

web: www.pressline.gr<br />

ΚΩΔΙΚΟΣ 01-8267<br />

2| security

McAfee <strong>Security</strong> Information and Event Management (SIEM)<br />

Οι υψηλής απόδοσης λύσεις SIEM - <strong>Security</strong> Information and Event Management της McAfee συγκεντρώνουν μαζί<br />

δεδομένα συμβάντων, απειλών και ρίσκων, προσφέροντας ισχυρή ασφάλεια, ταχεία ανταπόκριση στα περιστατικά,<br />

αδιάλειπτη διαχείριση των καταγραφών και επεκτάσιμες αναφορές συμμόρφωσης. Στον πυρήνα των λύσεων SIEM<br />

βρίσκεται το Enterprise Manager <strong>Security</strong> που ενοποιεί, συσχετίζει, αξιολογεί και παρέχει προτεραιότητες στα διάφορα<br />

συμβάντα ασφαλείας που αφορούν τις λύσεις της McAfee αλλά και άλλων κατασκευαστών. Ως μέρος της συνολικής<br />

προσέγγισης <strong>Security</strong> Connected της McAfee, η λύση Enterprise <strong>Security</strong> Manager ενσωματώνεται και<br />

συνεργάζεται στενά με το λογισμικό της εταιρείας ePolicy Orchestrator(ePO), το Risk Advisor και Global Threat<br />

Intelligence, παρέχοντας το απαραίτητο περιβάλλον για αυτόνομη και προσαρμοστική διαχείριση των κινδύνων ασφάλειας.<br />

Το Enterprise <strong>Security</strong> Manager της McAfee προσφέρει την ταχύτητα<br />

και τα χαρακτηριστικά που απαιτούνται για τον άμεσο εντοπισμό<br />

των κρίσιμων απειλών και παράλληλα καλύπτει με επιτυχία τις απαιτήσεις<br />

συμμόρφωσης. Με δυνατότητα συνεχούς τροφοδότησης από<br />

τα δεδομένα των απειλών και των κινδύνων παγκοσμίως, η συγκεκριμένη<br />

λύση προσφέρει προσαρμόσιμη και αυτόνομη διαχείριση<br />

ρίσκου, επιτρέποντας την αντιμετώπιση των απειλών και τη δημιουργία<br />

αναφορών συμμόρφωσης σε λίγα μόνο λεπτά αντί για ώρες.<br />

Το McAfee Advanced Correlation Engine παρακολουθεί σε realtime<br />

δεδομένα, επιτρέποντας την ταυτόχρονη χρήση δύο μηχανών<br />

συσχέτισης (rule-based και rule-less) για τον εντοπισμό των ρίσκων<br />

και των απειλών, προτού αυτές εμφανιστούν.<br />

Σχεδιασμένο για μεγάλο όγκο δεδομένων, το McAfee Global Threat<br />

Intelligence for Enterprise <strong>Security</strong> Manager (ESM) θέτει τη δυναμική<br />

των McAfee Labs απευθείας στη ροή της παρακολούθησης<br />

ασφάλειας, αξιοποιώντας την ταχύτατη και «έξυπνη» προσέγγιση<br />

του <strong>Security</strong> Information and Event Management (SIEM).<br />

Το McAfee Application Data Monitor αποκωδικοποιεί ένα ολοκληρωμένο<br />

κοινό σύνολο εφαρμογών στο Layer 7, παρέχοντας πλήρη<br />

ανάλυση των πάντων. Από τα πρωτόκολλα και την ακεραιότητα των<br />

εφαρμογών μέχρι και το πραγματικό περιεχόμενό τους (όπως για<br />

παράδειγμα το κείμενο ή τα επισυναπτόμενα ενός email). Το υψηλό<br />

επίπεδο των λεπτομερειών που παρέχει, επιτρέπει την ανάλυση χρήσης<br />

των πραγματικών εφαρμογών με πολύ μεγάλη ακρίβεια και ταυτόχρονα<br />

επιτρέπει την επιβολή πολιτικών χρήσης των εφαρμογών,<br />

εντοπίζοντας κακόβουλα λογισμικά ή κάποια συγκαλυμμένη κίνηση.<br />

Ο McAfee Enterprise Log Manager αυτοματοποιεί τη διαχείριση<br />

και ανάλυση των καταγραφών όλων των τύπων, συμπεριλαμβανομένων<br />

των Windows Event logs, Database logs, Application logs<br />

και Syslogs. Οι καταγραφές υπογράφονται και επικυρώνονται εξασφαλίζοντας<br />

την αυθεντικότητα και ακεραιότητα των αρχείων, κάτι<br />

που είναι απαραίτητο για την κανονιστική συμμόρφωση αλλά και για<br />

να χρησιμοποιηθούν ως ψηφιακά πειστήρια. Η συγκεκριμένη λύση<br />

διευκολύνει τους Οργανισμούς να αποδείξουν ότι συμμορφώνονται<br />

πλήρως με το κανονιστικό πλαίσιο και τις εσωτερικές πολιτικές, παρέχοντας<br />

τις απαραίτητες αναφορές.<br />

Το McAfee Database Event Monitor for SIEM προσφέρει λεπτομερή<br />

καταγραφή των διαδικασιών ασφάλειας των συναλλαγών στις βάσεις<br />

δεδομένων, με την παρακολούθηση των προσβάσεων στις ρυθμίσεις<br />

των databases και των δεδομένων. Η δυνατότητα αυτή όχι μόνο ενοποιεί<br />

τη δραστηριότητα στις βάσεις δεδομένων σε ένα τομέα κεντρικού<br />

ελέγχου, αλλά παράλληλα ενσωματώνεται με το McAfee<br />

Enterprise <strong>Security</strong> Manager για την «έξυπνη» ανάλυση και τον<br />

εντοπισμό ύποπτης δραστηριότητας.<br />

Το McAfee Event Receiver συλλέγει συμβάντα και καταγραφές τρίτων,<br />

πιο γρήγορα και πιο αξιόπιστα από οποιαδήποτε άλλη λύση.<br />

Για περισσότερες πληροφορίες παρακαλώ επικοινωνήστε με την <strong>IT</strong>WAY Hellas (εξουσιοδοτημένος διανομέας):<br />

Τηλέφωνο: 210-6801013 - E-mail: mcafee@itway.gr

CONTENTS<br />

14 26 <strong>30</strong><br />

2|ED<strong>IT</strong>ORIAL<br />

6|NEWS<br />

REFERENCE<br />

11|Λύσεις Storage για εύκολη<br />

διαχείριση και οικονομία<br />

κλίμακας<br />

COVER ISSUE<br />

14|Ασφάλεια στον<br />

κυβερνοχώρο<br />

Το περιβάλλον & οι εξελίξεις<br />

REPORT<br />

19|3ο Infocom <strong>Security</strong><br />

Οι νέες τάσεις στο <strong>IT</strong>… και οι<br />

“εντάσεις” στην Ασφάλεια!<br />

PRACTICAL<br />

35|Σύστημα Εντοπισμού και<br />

Ενημέρωσης Χρηστών<br />

Κινητών Τηλεφώνων με<br />

Χαμηλό Επίπεδο<br />

Ασφάλειας<br />

40|Ethical Hacking και<br />

εργαλεία ελέγχων<br />

ασφαλείας<br />

44|Οδηγός διασφάλισης VoIP<br />

Τηλεφωνικών Κέντρων<br />

12|Cyber<strong>Security</strong><br />

Απλά μια νέα πρόκληση ή μία<br />

πραγματική απειλή για την<br />

επιχειρησιακή λειτουργία ενός<br />

Οργανισμού;<br />

ISSUE<br />

26|Mobile Device Management<br />

H αναγκαιότητα και οι<br />

απαιτήσεις<br />

<strong>30</strong>|Αναδυόμενες τεχνολογίες<br />

στο Storage<br />

4| security

NEWS<br />

Η ESET κυκλοφόρησε την νέα έκδοση του ESET Mail <strong>Security</strong><br />

for Microsoft Exchange Server<br />

Τη διάθεση της νέας έκδοσης του ESET Mail <strong>Security</strong> for<br />

Microsoft Exchange Server version 4.5, ανακοίνωσε η ESET,<br />

που θωρακίζει την επικοινωνία των εταιρικών mailboxes και<br />

προσφέρει πλήρη προστασία του server.<br />

Το ESET Mail <strong>Security</strong> for Microsoft Exchange Server 4.5<br />

προσφέρει συνολική προστασία σε επίπεδο mail-gateway<br />

ενάντια σε όλες τις απειλές που διακινούνται μέσω e-mail, και<br />

ταυτόχρονα των αποθηκευμένων mail στη βάση δεδομένων<br />

του Exchange με απαράμιλλη ακρίβεια. Αξίζει επίσης να σημειωθεί<br />

η προηγμένη μηχανή Antispam με βελτιωμένα ποσοστά<br />

ανίχνευσης, καθώς και η δυνατότητα παραμετροποίησης<br />

των ρυθμίσεων μέσα απο το γραφικό περιβάλλον του<br />

λογισμικού. Υπενθυμίζεται ότι τον Ιανουάριο του 2013, η λύση<br />

ESET Mail <strong>Security</strong> for Microsoft Exchange Server διακρίθηκε<br />

με το βραβείο «VBSpam+» του Virus Bulletin. Η<br />

ESET κατατάχτηκε μεταξύ των κορυφαίων προϊόντων στις<br />

κατηγορίες «Lowest Rate of False Positives» και «Best Spam<br />

Catch Rate» (ποσοστό 99.83%), γεγονός που αποδεικνύει<br />

τη δύναμη και την αξιοπιστία της μηχανής Antispam.<br />

Στα χαρακτηριστικά του προϊόντος συμπεριλαμβάνονται η ενσωματωμένη<br />

λειτουργία ανίχνευσης «real file type detection»,<br />

που επιτρέπει την εφαρμογή πολιτικών για συγκεκριμένου<br />

τύπου περιεχόμενο στα συνημμένα των e-mails, καθώς<br />

και οι βελτιωμένες διαδικασίες εγκατάστασης, που διευκολύνουν<br />

την αναβάθμιση από παλιότερες (v4.2 ή v4.3) σε νεότερες<br />

εκδόσεις. Παράλληλα, η λειτουργία eShell αποτελεί<br />

μια ολοκληρωμένη γραμμή εντολών διαχείρισης, που επιτρέπει<br />

την αυτοματοποίηση διαδικασιών και διαχείρισης του<br />

συστήματος. Επίσης υπάρχει η δυνατότητα παρακολούθησης<br />

της απόδοσης του server σε πραγματικό χρόνο. Με το ESET<br />

Remote Administrator, διαθέσιμο σε 12 γλώσσες, η λύση είναι<br />

ιδανική για επιχειρήσεις με διεθνή παρουσία, καθώς προσφέρει<br />

τη δυνατότητα απομακρυσμένης διαχείρισης και συντονισμού<br />

όλων των απαραίτητων ρυθμίσεων.<br />

«Η νέα έκδοση του ESET Mail <strong>Security</strong> για τη δημοφιλή<br />

πλατφόρμα Microsoft Exchange Server έχει σχεδιαστεί για<br />

να αποτρέπει τις επιθέσεις που διακινούνται μέσω ηλεκτρονικού<br />

ταχυδρομείου στους εταιρικούς λογαριασμούς<br />

ενώ παράλληλα προστατεύει απόλυτα το server και το file<br />

system», σημειώνει ο Michal Jankech, Product Manager for<br />

Server <strong>Security</strong> στην ESET, συμπληρώνοντας ότι: «Παράλληλα,<br />

η νέα αυτή έκδοση υποστηρίζει τις πρόσφατες πλατφόρμες<br />

– Windows Server 2012 και Mail Server 2013».<br />

Με τη λύση ασφαλείας ESET <strong>Security</strong> for Microsoft Share-<br />

Point Server, την οποία η εταιρία διαθέτει στην παρούσα<br />

φάση σε έκδοση «Release Candidate», η ESET αποτελεί τη<br />

μοναδική εταιρία λογισμικού antivirus που προσφέρει λύση<br />

προστασίας στους χρήστες του νέου Microsoft SharePoint<br />

Server 2013.<br />

Η νέα λύση αποτελεί μία ακόμη προσθήκη στη σειρά προϊόντων<br />

ασφαλείας για server που επιτρέπουν στις επιχειρήσεις,<br />

που χρησιμοποιούν το δημοφιλέστερο λογισμικό για Intranet<br />

content και document management, να προστατεύσουν<br />

τα ευαίσθητα εταιρικά δεδομένα και τα αρχεία που<br />

έχουν αποθηκευμένα στις βάσεις δεδομένων τους.<br />

«Σχεδιασμένο με την ίδια φιλοσοφία με το ESET File <strong>Security</strong><br />

for Microsoft Windows Server και με την προσθήκη ενός ειδικού<br />

στοιχείου για την προστασία του SharePoint, η έκδοση<br />

αυτή καθιστά την ESET την πρώτη εταιρία λογισμικού ασφαλείας<br />

που προσφέρει προστασία antivirus protection για το<br />

Microsoft SharePoint Server 2013,» δηλώνει ο Chief Sales and<br />

Marketing Officer της ESET, Ignacio Sbampato.

Συνεργασία της PhoenixPro με την Balabit <strong>IT</strong> <strong>Security</strong><br />

Η PhoenixPro, www.phoenixpro.com, εξειδικευμένη εταιρεία<br />

παροχής ηλεκτρονικής προστασίας και ασφάλειας, ανακοινώνει<br />

την επίσημη έναρξη της συνεργασίας της με την<br />

Balabit <strong>IT</strong> <strong>Security</strong>. Η Balabit παρέχει λύσεις προστασίας<br />

των οργανισμών από τους διαχειριστές των συστημάτων και<br />

τεχνολογιών φύλαξης, επεξεργασίας και διακίνησης δεδομένων<br />

και πληροφοριών. Σχολιάζοντας τους στόχους της<br />

συγκεκριμένης συνεργασίας, ο CEO της PhoenixPro, Γεώργιος<br />

Α. Κορέλλης εξήγησε: «Η διαχρονική ανάγκη των<br />

πελατών μας για προστασία της εμπιστευτικότητας, ακεραιότητας<br />

και διαθεσιμότητας των δεδομένων και πληροφοριών τους επεκτείνεται<br />

και πρέπει να αντιμετωπίζει και τους κινδύνους που μπορεί<br />

να προέλθουν από τους ιδίους τους διαχειριστές των συστημάτων<br />

και τεχνολογιών του οργανισμού. Ιδιαίτερα στο ιδιαίτερα<br />

διαφοροποιημένο οικονομικό και επιχειρηματικό περιβάλλον όπως<br />

αυτό έχει διαμορφωθεί, οι διοικήσεις επιζητούν τρόπους να διασφαλίσουν<br />

ότι έχουν την δυνατότητα να προλάβουν κακόβουλες<br />

ενέργειες από χρήστες με ψηλά δικαιώματα πρόσβασης και να<br />

έχουν τα εργαλεία εκείνα που ενεργούν ανιχνευτικά αλλά και εποπτικά<br />

ώστε τέτοιες ενέργειες να καταγράφονται και να επιτρέπουν<br />

σε βάθος διερεύνηση.»<br />

Για να ζητήσετε πληροφορίες ή παρουσίαση της λύσης Balabit<br />

<strong>IT</strong> <strong>Security</strong> Shell Control Box, παρακαλώ καλέστε μας στο +357<br />

22255333 ή στείλτε email στο sales@phoenixpro.com .

NEWS<br />

Οι νέες λύσεις Cloud της MedNautilus<br />

διαθέσιμες τώρα και για τις ελληνικές επιχειρήσεις<br />

H κα Elisabetta Ripa, CEO του Ομίλου Telecom Italia Sparkle, και ο κ. Arturo<br />

Danesi, CEO της MedNautilus Ελλάδος.<br />

Τις νέες υπηρεσίες Cloud Solutions της MedNautilus ανέδειξαν<br />

σε πρόσφατη παρουσίαση τα στελέχη της εταιρίας.<br />

Η MedNautilus, θυγατρική του Ομίλου TI Sparkle στην περιοχή<br />

της Μεσογείου, ανέπτυξε ένα νέο πλέγμα ευέλικτων και<br />

κλιμακούμενων IaaS λύσεων Cloud. Η CEO του Ομίλου Telecom<br />

Italia Sparkle, Elisabetta Ripa, δηλώνει ότι η συγκεκριμένη<br />

επένδυση απαντά στην ολοένα και αυξανόμενη ανάγκη των<br />

ελληνικών επιχειρήσεων για αποδοτικές σε σχέση με το κόστος<br />

τους και κορυφαίας ασφάλειας λύσεις <strong>IT</strong>. O CEO της Med-<br />

Nautilus Ελλάδας, Arturo Danesi, αναφέρει: «Σχεδιάζουμε<br />

να εμπλουτίσουμε τις υπηρεσίες μας με λύσεις PaaS και SaaS,<br />

αναπτύσσοντας ένα οικοσύστημα συνεργατών προς όφελος<br />

των πελατών μας από τον χώρο των ελληνικών επιχειρήσεων».<br />

Η MedNautilus, με την υποστήριξη της τεχνογνωσίας του Ομίλου<br />

Telecom Italia, της μεγαλύτερης εταιρείας τηλεπικοινωνιών<br />

στην Ιταλία και κορυφαίου παρόχου υποδομής και υπηρεσιών<br />

cloud computing, παρουσιάζει σήμερα ένα νέο πλέγμα<br />

ευέλικτων και κλιμακούμενων IaaS λύσεων Cloud, από παραδοσιακή<br />

συνεγκατάσταση (co-location) έως πραγματική και<br />

εικονική φιλοξενία δεδομένων (physical and virtual hosting),<br />

απαντώντας στην αυξανόμενη ανάγκη των ελληνικών επιχειρήσεων<br />

για αποδοτικές σε σχέση με το κόστος τους και κορυφαίας<br />

ασφάλειας λύσεις <strong>IT</strong>.<br />

Η Chief Executive Officer του Ομίλου Telecom Italia Sparkle,<br />

Elisabetta Ripa, δηλώνει: «Οι βασικές προτεραιότητες των επιχειρήσεων<br />

για τα επόμενα δύο χρόνια θα εξακολουθήσουν να είναι η εξοικονόμηση<br />

κόστους, ενοποίηση των data centers και η ενεργειακή<br />

αποδοτικότητα. Σε συμφωνία με αυτό το σενάριο, οι υπηρεσίες εικονικής<br />

φιλοξενίας δεδομένων αποτελούν μία πιθανή περιοχή για ανάπτυξη,<br />

που οδηγείται από το αυξανόμενο marketing και τις εφαρμογές<br />

που στοχεύουν στις ΜμΕ, την ανάπτυξη στο web hosting περιεχομένου<br />

και την επιθυμία των πελατών να μετακινηθούν από τις κεφαλαιακές<br />

δαπάνες στα λειτουργικά έξοδα».<br />

Η ασφάλεια, η αξιοπιστία και ο έλεγχος του κόστους είναι οι<br />

αξίες που θα φέρουν οι λύσεις Cloud της MedNautilus στις ελληνικές<br />

επιχειρήσεις. Οι λύσεις Cloud της MedNautilus Ελλάδας<br />

θα υποστηρίξουν τους πελάτες τους ώστε να προσαρμόσουν<br />

στις ανάγκες τους και να βελτιστοποιήσουν την αρχιτεκτονική<br />

του <strong>IT</strong> τους, μειώνοντας ταυτόχρονα το κόστος των<br />

υπηρεσιών. Επιπλέον οφέλη περιλαμβάνουν την κορυφαία ασφάλεια<br />

και αξιοπιστία, την εύκολη και γρήγορη υλοποίηση, το υψηλό<br />

επίπεδο κλιμάκωσης και τη μεγάλη ευελιξία στη διαμόρφωση<br />

των υπηρεσιών service καθώς και στους όρους της σύμβασης.<br />

Ένα άλλο κρίσιμο όφελος θα είναι η δραστική μείωση του<br />

συνολικού κόστους που συνεπάγεται για τους πελάτες η ιδιοκτησία<br />

της υποδομής, περνώντας από τα έξοδα επένδυσης στα<br />

λειτουργικά έξοδα με βάση την πραγματική χρήση της υπηρεσίας,<br />

παρέχοντας έτσι στους πελάτες πλήρη έλεγχο των λειτουργικών<br />

τους εξόδων.<br />

Το πλέγμα υπηρεσιών Cloud Solutions της MedNautilus χαρακτηρίζεται<br />

από ένα διαφοροποιημένο σύνολο σπονδυλωτών<br />

πακέτων Υπηρεσιών Λειτουργικής Υποστήριξης, οι οποίες έχουν<br />

σχεδιαστεί για να διασφαλίζουν τη μέγιστη αποδοτικότητα στην<br />

ανταπόκριση σε ένα μεγάλο εύρος αναγκών των πελατών: από<br />

το βασικό Help Desk, το οποίο παρέχει καθημερινή υποστήριξη<br />

εξυπηρέτησης πελατών, έως υποστήριξη των υψηλότερων<br />

βαθμίδων διαχείρισης, η οποία παρέχει συνεχή παρακολούθηση<br />

υπηρεσιών και λύσεις πρόληψης για περιπτώσεις αποτυχίας<br />

ή ανάγκη αναβάθμισης των υπηρεσιών.<br />

Από τις υπηρεσίες IaaS στις PaaS και SaaS: ένα οικοσύστημα συνεργατών<br />

Η στρατηγική ανάπτυξης της MedNautilus στην Ελλάδα βασίζεται<br />

στη δημιουργία ενός οικοσυστήματος συνεργατών που<br />

θα είναι ικανό να προσελκύσει ανεξάρτητους παρόχους λογισμικού,<br />

μεταπωλητές με προστιθέμενη αξία, υπευθύνους ολο-<br />

8| security

κλήρωσης συστημάτων και developers, καθώς και παρόχους<br />

λύσεων niche εφαρμογών, με ελκυστικές επιχειρηματικές ευκαιρίες.<br />

«Το μερίδιο αγοράς μας στον χώρο των υπηρεσιών Cloud θα αυξάνεται<br />

όσο οι συνεργάτες μας θα γνωρίζουν ανάπτυξη στις δραστηριότητές<br />

τους», δηλώνει ο Arturo Danesi. «Μέσα από το πρόγραμμα<br />

συνεργατών μας μεταφέρουμε σε αυτούς όλη την απαραίτητη<br />

τεχνογνωσία, ώστε να ανταποκρίνονται στις ανάγκες των πελατών<br />

τους έγκαιρα και με μία προσέγγιση επωφελή για όλα τα μέρη του οικοσυστήματος».<br />

Και ο Danesi συνεχίζει: «Αποτελεί ισχυρή δέσμευση<br />

για τη MedNautilus να εμπλουτίσει μέσα από αυτό το οικοσύστημα<br />

συνεργατών τις υπηρεσίες που προσφέρει με λύσεις PaaS και SaaS<br />

προς όφελος των ελληνικών επιχειρήσεων. Χάρη στην προσέγγισή<br />

μας στις υπηρεσίες data centers, που προσαρμόζεται στις ιδιαιτερότητες<br />

οποιουδήποτε παρόχου, η MedNautilus είναι σε θέση να ‘φιλοξενεί’<br />

τις εφαρμογές των συνεργατών της χωρίς ζητήματα συμβατότητας».<br />

Οι νέες λύσεις Cloud αξιοποιούν την ολοκληρωμένη τεχνογνωσία<br />

και την τοπική υποδομή στην Ελλάδα<br />

Οι λύσεις Cloud της MedNautilus είναι ένα πλέγμα ολοκληρωμένων<br />

υπηρεσιών IaaS υψηλής ασφάλειας και κορυφαίας ποιότητας,<br />

που περιλαμβάνουν παραδοσιακή συνεγκατάσταση (colocation)<br />

και πραγματική και εικονική φιλοξενία δεδομένων (physical<br />

and virtual hosting), βασίζονται στις πλέον προηγμένες<br />

τεχνολογίες παρόχων από όλο τον κόσμο και παρέχουν στους<br />

πελάτες μας κορυφαία αρχιτεκτονική συστήματος. Η αρχιτεκτονική<br />

αυτή χρησιμοποιείται και στα τρία Data Centers που διαθέτει<br />

και λειτουργεί στην Ελλάδα η MedNautilus, τα οποία διασφαλίζουν<br />

άριστα συστήματα παρακολούθησης και ολοκληρωμένης<br />

υποστήριξης. Η Elisabetta Ripa προσέθεσε: «Οι νέες<br />

λύσεις Cloud αξιοποιούν την τεχνογνωσία και τις οικονομίες<br />

κλίμακας που έχει επιτυχώς αναπτύξει ο Όμιλος Telecom Italia,<br />

κορυφαίος παίκτης στο χώρο των τηλεπικοινωνιών και του<br />

cloud στην Ευρώπη και τη Νότιο Αμερική».<br />

Μοναδικές στην Ελλάδα εγκαταστάσεις Data Centers<br />

Η MedNautilus έχει στην ιδιοκτησία της και λειτουργεί ένα χώρο<br />

συνολικής έκτασης 8.000 τετραγωνικών μέτρων στα τρία νέας<br />

γενιάς Data Centers στο Κορωπί, τη Μεταμόρφωση και τα<br />

Χανιά, που χρησιμοποιούνται αποκλειστικά για την παροχή λύσεων<br />

συνεγκατάστασης (co-location) και πραγματικής και εικονικής<br />

φιλοξενίας δεδομένων (physical and virtual hosting. Τα<br />

τρία Data Centers παρέχουν επίσης μία ισχυρή τοπική υπηρεσία<br />

Disaster Recovery, καθώς είναι διασυνδεδεμένα με τα Data<br />

Centers του Ομίλου στην Ιταλία και την Τουρκία, μέσω του<br />

προηγμένου υποθαλάσσιου ιδιόκτητου δικτύου οπτικών ινών<br />

της MedNautilus.<br />

Προαγωγές στελεχών της EMC<br />

Ο κ. Πάνος Αδριανός Presales Sr. Manager της<br />

EMC για τις περιοχές Medi & BeLux. Η EMC, ανακοινώσε<br />

την προαγωγή του κυρίου Πάνου Αδριανού στη θέση<br />

του Presales Sr. Manager για τις περιοχές Medi & BeLux<br />

και συγκεκριμένα για τις χώρες: Ελλάδα, Ισπανία, Πορτογαλία,<br />

Ισραήλ, Βέλγιο και Λουξεμβούργο. Ο κ. Bertrand<br />

LaLanne, Presales Lead, Europe West, EMC δήλωσε<br />

σχετικά με την προαγωγή του κυρίου Αδριανού: «Ο κ. Πάνος<br />

Αδριανός αποτελεί ένα πολύτιμο στέλεχος της EMC.<br />

Πεποίθησή μας είναι ότι με το ταλέντο αλλά και την εμπειρία<br />

που τον διακρίνει θα μπορέσει να ισχυροποιήσει την ταυτότητα<br />

της εταιρείας στις περιοχές της αρμοδιότητάς του<br />

συμβάλλοντας τα μέγιστα στην αναπτυξιακή μας πορεία.<br />

Αναλαμβάνοντας τα νέα του καθήκοντα θα βρίσκεται σε<br />

στενή συνεργασία με τον κ. Nicolas Leblanc, Vice President,<br />

MEDI & BeLux, EMC».<br />

Η κα Αγάθη Γαλάνη στη θέση της Country Manager<br />

για την Ελλάδα, την Κύπρο και τη Μάλτα. Η EMC, ανακοίνωσε<br />

επίσης την προαγωγή της κας Αγάθης Γαλάνη στη<br />

O κος Πάνος Αδριανός<br />

H κα Αγαθή Γαλάνη<br />

θέση της Country Manager για τις περιοχές της Ελλάδας,<br />

της Κύπρου και της Μάλτας. Καλωσορίζοντας την κα. Γαλάνη<br />

στα νέα της καθήκοντα o κ. Nicolas Leblanc, Vice<br />

President, MEDI & BeLux, EMC δήλωσε: «Σε ένα πλήρως<br />

ευμετάβλητο επιχειρηματικό τοπίο, επιδιώκουμε την<br />

ικανοποίηση των στόχων μας μέσα από την αξιοποίηση της<br />

εμπειρίας των δικών μας ανθρώπων. Ο αναβαθμισμένος<br />

ρόλος της κας Αγάθης Γαλάνη ανταποκρίνεται πλήρως στις<br />

δυνατότητές της αφού πάντα επιδείκνυε τεράστια σταθερότητα<br />

και ευρηματικότητα στα εκτελεστικά της καθήκοντα.<br />

Είμαστε σίγουροι ότι θα συμβάλει τα μέγιστα στην περαιτέρω<br />

ανάπτυξη της εταιρείας.»<br />

security | 9

NEWS<br />

Πραγματοποιήθηκε το Cisco Connect Greece 2013<br />

Περισσότεροι από 1450 επισκέπτες τίμησαν με την παρουσία<br />

τους το συνέδριο<br />

και είδαν από κοντά τις απεριόριστες δυνατότητες που προκύπτουν<br />

όταν το internet συνδέει ανθρώπους, διαδικασίες,<br />

δεδομένα και αντικείμενα<br />

με τρόπο που ποτέ πριν δεν είχαμε πιστέψει. Οι επισκέπτες<br />

του Cisco Connect, είχαν την ευκαιρία να επιλέξουν ανάμεσα<br />

σε 28 παρουσιάσεις της Cisco και των Συνεργατών της,<br />

με θεματολογία τις σύγχρονες τεχνολογίες πληροφορικής<br />

που βελτιώνουν τον τρόπο με τον οποίο οι εταιρείες και οι<br />

εργαζόμενοι λειτουργούν στο επιχειρηματικό περιβάλλον.<br />

Στις κεντρικές ομιλίες των εκπροσώπων της Cisco αναλύθηκε<br />

ο αντίκτυπος της σύνδεσης στο internet όλο και περισσότερων<br />

στοιχείων. Πρόκειται για ένα παγκόσμιο φαινόμενο,<br />

το οποίο η Cisco αποκαλεί "Internet of Everything"<br />

και αποτελεί την εξέλιξη του "Internet of Things", με την προσθήκη<br />

ανθρώπων, διαδικασιών και δεδομένων. Το βασικό<br />

ερώτημα που τέθηκε και συζητήθηκε είναι πως αυτή η επιχειρηματική<br />

πρόκληση - ευκαιρία, μπορεί να αποδώσει τη<br />

μεγαλύτερη δυνατή αξία για τους οργανισμούς, τα κράτη και<br />

κάθε έναν από εμάς. Ο εκπρόσωπος της Intel κ. Νίκος Παναγιωτίδης,<br />

Market Development Manager, στην κεντρική<br />

του ομιλία παρουσίασε το όραμα της εταιρείας για το "ανοικτό"<br />

Cloud του μέλλοντος, ενώ ο Διευθυντής Marketing, Εταιρικών<br />

& Επιχειρησιακών Πελατών Σταθερής & Κινητής Τηλεφωνίας<br />

του Ομίλου ΟΤΕ, κ. Θάνος Φαλάγγας επικεντρώθηκε<br />

στις κύριες τεχνολογικές τάσεις και τις υπηρεσίες<br />

του Ομίλου.<br />

Κατά τη διάρκεια των παράλληλων παρουσιάσεων, οι Συνεργάτες<br />

- Χορηγοί του Cisco Connect πραγματοποίησαν<br />

14 ομιλίες, οι οποίες κάλυψαν μεγάλο εύρος τεχνολογικών λύσεων<br />

που αποσκοπούν στην αύξηση της παραγωγικότητας<br />

και τη μείωση του λειτουργικού κόστους των επιχειρήσεων.<br />

Οι τεχνολογικές αυτές λύσεις και η υλοποίησή τους σε πελάτες,<br />

απασχόλησαν και τα δύο πάνελ συζήτησης που πραγματοποιήθηκαν<br />

κατά τη διάρκεια του συνεδρίου. Εκπρόσωποι<br />

των εταιριών Interamerican, Εθνική Τράπεζα, Τράπεζα<br />

Πειραιώς, Velti, Αριστοτέλειο Πανεπιστήμιο και Intralot, οι<br />

οποίες υλοποίησαν και λειτουργούν λύσεις Cisco, περιέγραψαν<br />

τα επιχειρηματικά οφέλη που αποκόμισαν τόσο σε λειτουργικό<br />

όσο και σε τεχνικό επίπεδο.<br />

Παράλληλα στον εκθεσιακό χώρο του συνεδρίου οι επισκέπτες<br />

είχαν την ευκαιρία να δουν Live Demos των λύσεων<br />

της Cisco στο κεντρικό δια-δραστικό περίπτερο της εταιρείας<br />

καθώς και τις προτάσεις του δικτύου συνεργατών της,<br />

σε 22 ειδικά διαμορφωμένα περίπτερα. Χορηγοί του συνεδρίου<br />

ήταν: Main Technology Sponsor: Intel, Platinum:<br />

OTE, Gold: Byte, Citrix, EMC-VMware, HOL, Intracom,<br />

Logicom-NetApp, MedNautilus, Samsung, SAP,<br />

Space Hellas, Unisystems, Silver: Cosmos, Cyta, InfoQuest,<br />

Panduit, Performance, Setel Hellas, Sieben.

REFERENCE<br />

Λύσεις Storage<br />

για εύκολη διαχείριση και<br />

οικονομία κλίμακας<br />

Του Πάνου Μητρόπουλου<br />

General Manager<br />

I.T. Open Solutions S.A.<br />

Τι αντιμετωπίζει το ΙΤ σήμερα;<br />

• Τρομερή πολυπλοκότητα και αργή ανάπτυξη: Πολλοί<br />

κατασκευαστές και καταιγισμός πληροφοριών, δεν δίνουν<br />

την ευκαιρία στον ΙΤ manager να ανταποκριθεί σε νέες<br />

προκλήσεις και νέες ευκαιρίες.<br />

• Αναποτελεσματικότητα και υψηλό κόστος: Περισσότερο<br />

από το 70% του κόστους για τον αποθηκευτικό χώρο<br />

ξοδεύεται σε κατανάλωση ρεύματος, ψύξης και σε φυσικό<br />

χώρο.<br />

• Άκαμπτη Υποδομή χωρίς καθόλου ευελιξία: Δεν μπορείτε<br />

να βρείτε τα δεδομένα όταν τα χρειάζεστε. Δεν μπορείτε<br />

να μετακινήσετε τα δεδομένα στο σωστό μέρος. Δεν<br />

είναι δυνατή η ανάκτηση των δεδομένων και των εφαρμογών<br />

αρκετά γρήγορα.<br />

Το θέμα βέβαια είναι τι περιμένει ένας <strong>IT</strong> Manager - και κατ’<br />

επέκταση η εταιρεία του - από ένα αποθηκευτικό σύστημα:<br />

• Ευελιξία<br />

• Ευκολία στη διαχείριση<br />

• Γρήγορο deployment υπηρεσιών<br />

• Εύκολο και γρήγορο scalability<br />

• Ελάχιστο ρίσκο στο business continuity<br />

• Φθηνό κόστος ανά Terabyte<br />

Το πρωτεύον σύστημα αποθήκευσης πρέπει να υποστηρίζει<br />

όλες τις εφαρμογές και όλους τους τύπους των δεδομένων<br />

και φυσικά και εικονικά - και βέβαια σε cloud. Επίσης πρέπει<br />

να προσφέρει διατήρηση και ανάλυση των πληροφοριών για<br />

αρχειοθέτηση και αναζήτηση μέσα σε πολύ μεγάλους όγκους<br />

δεδομένων.<br />

Τα νέα virtual και cloud workloads έχουν συμπεριφορά που<br />

δεν μπορεί να είναι προβλέψιμη, όπως άλλωστε είναι και οι<br />

απαιτήσεις σε capacity. Οι παλαιές αρχιτεκτονικές storage<br />

δεν απελευθερώνουν τα resources για να πετύχουμε κάτι τόσο<br />

κρίσιμο. Οι λύσεις storage της ΗΡ είναι οι μόνες που<br />

μπορούν να αποδώσουν Tier 1 storage performance από το<br />

midrange στο enterprise.<br />

Είναι επίσης σημαντικό το γεγονός της οικονομίας κλίμακας<br />

όσον αφορά στο capacity και το explosion των δεδομένων.<br />

Τεχνολογίες όπως η “thin provisioning” και η “space reclamation”<br />

μπορούν να βοηθήσουν να απελευθερώσετε χωρητικότητα<br />

ή ακόμα και να προμηθευτείτε λιγότερη από όση<br />

φαινομενικά χρειάζεστε.<br />

Το 3PAR thin guarantee πρόγραμμα μπορεί να εγγυηθεί<br />

ακόμα και 50% μείωση της χωρητικότητάς σας. iT<strong>Security</strong><br />

security | 11

REFERENCE<br />

Του Χρήστου Σαπουνά<br />

InfoSec Consultant, PwC<br />

Cyber<strong>Security</strong><br />

Απλά μια νέα πρόκληση ή μία πραγματική απειλή<br />

για την επιχειρησιακή λειτουργία ενός Οργανισμού;<br />

Στην πρόσφατη ετήσια διάσκεψη του Παγκόσμιου Οικονομικού Φόρουμ που διεξήχθη στο<br />

Νταβός και στο οποίο συμμετείχε η πολιτική ελίτ και ο επιχειρηματικός κόσμος, ένα από<br />

τα θέματα που για πρώτη φορά μπήκαν στην ατζέντα ήταν το «Cyber<strong>Security</strong>» ως ένας<br />

από τους αναδυόμενους κινδύνους που ενδέχεται να πλήξουν την παγκόσμια οικονομία.<br />

Τ<br />

ο ντόμινο της οικονομικής κρίσης ανέδειξε την<br />

ανάγκη υιοθέτησης μιας συντονισμένης προσέγγισης<br />

στην αντιμετώπιση απειλών που ενδέχεται<br />

να πλήξουν τον παγκόσμιο οικονομικό ιστό. Στη<br />

σύγχρονη «διαδικτυακή πραγματικότητα» οι κίνδυνοι<br />

που διέπουν τον κυβερνοχώρο αποτελούν απειλή για το παγκόσμιο<br />

επιχειρηματικό οικοσύστημα.<br />

Οι κυβερνοεπιθέσεις έχουν αυξηθεί σε εντυπωσιακό βαθμό,<br />

επιφέροντας πολυ-επίπεδες επιπτώσεις, πλήττοντας μεταξύ άλλων<br />

τη σταθερότητα αλλά και το προφίλ των στόχων. Αποτελεί<br />

πλέον επιτακτική ανάγκη η αναγνώριση των κυβερνοεπιθέσεων<br />

ως ενός «πραγματικού» κινδύνου που ενδέχεται να πλήξει<br />

την επιχειρησιακή λειτουργία ενός Οργανισμού, ανεξαρτήτως<br />

μεγέθους και τομέα δραστηριοποίησης.<br />

Το νέο επιχειρησιακό περιβάλλον απαιτεί μια νέα προσέγγιση<br />

στη διαχείριση των θεμάτων που αφορούν στην Ασφάλεια Πληροφοριών:<br />

12 | security

Εύρος της ασφάλειας πληροφοριών<br />

Διαχείριση και καθοδήγηση<br />

Παρελθόν<br />

Περιοριζόταν στα όρια της επιχείρησης.<br />

Γινόταν κυρίως από το προσωπικό Πληροφορικής.<br />

Σήμερα<br />

Συμπεριλαμβάνει όλο το διασυνδεδεμένο οικοσύστημα<br />

του Οργανισμού.<br />

Αποτελεί συνολική ευθύνη της διοίκησης.<br />

Συνδέεται με τους στόχους της επιχείρησης.<br />

Τακτική προστασίας Ισοδύναμη προστασία για όλα τα συστήματα. Προτεραιότητα κρίσιμων υποδομών.<br />

Αντιμετώπιση κινδύνων<br />

Κινητοποίηση όταν η επίθεση έχει ήδη εξελιχθεί.<br />

Οργανωμένο πλάνο παρακολούθησης,<br />

άμεση απόκριση σε όλες τις επιθέσεις.<br />

Αντίστοιχη εξέλιξη παρατηρούμε και στο προφίλ των απειλών.<br />

Παλαιότερα ήταν μεμονωμένα άτομα που εκμεταλλεύονταν τα<br />

ευάλωτα σημεία μιας πληροφοριακής υποδομής, με σκοπό το<br />

προσωπικό όφελος, την πρόκληση βλάβης και την απόκτηση<br />

φήμης. Σήμερα οι επιθέσεις είναι οργανωμένες (και πιθανότατα<br />

χρηματοδοτούμενες), με συγκεκριμένους στόχους - πολλές φορές<br />

με πολιτικές σκοπιμότητες. Πίσω από αυτές τις επιθέσεις<br />

ενδέχεται να κρύβονται εκτός από το οργανωμένο έγκλημα, (χ)<br />

ακτιβιστές, κρατικές οργανώσεις, ακόμα και οι ίδιοι οι υπάλληλοι<br />

ενός Οργανισμού.<br />

Μέσα σε αυτά τα πλαίσια, το παραδοσιακό μοντέλο ασφάλειας<br />

κρίνεται ως ανεπαρκές και συνήθως επιτυγχάνει οριακά τους<br />

στόχους που τίθενται κυρίως από τα θεσμικά, νομικά ή κανονιστικά<br />

πλαίσια. Η ασφάλεια δεν πρέπει να αντιμετωπίζεται πλέον<br />

ως ένα τεχνολογικό πρόβλημα, αλλά ως ζήτημα διαχείρισης επιχειρησιακού<br />

κινδύνου. Οι διοικήσεις που θα βάλουν το θέμα<br />

της ασφάλειας πληροφοριών στην επιχειρηματική τους ατζέντα,<br />

όχι μόνο προστατεύουν την επιχείρηση, αλλά είναι σε θέση να<br />

αποκομίσουν ουσιαστικά επιχειρησιακά οφέλη. Η γνώση είναι<br />

δύναμη - και γνωρίζοντας κανείς ποιες είναι οι αδυναμίες του,<br />

αλλά και τους κινδύνους στους οποίους είναι εκτεθειμένος, έχει<br />

τη δυνατότητα να σχεδιάσει τη στρατηγική του για την αποτελεσματική<br />

αντιμετώπισή τους.<br />

Δυστυχώς, πολλές επιχειρήσεις ακόμη και σήμερα ξοδεύουν μεγάλους<br />

προϋπολογισμούς συντηρώντας ένα παραδοσιακό μοντέλο<br />

ασφάλειας, το οποίο κρίνεται ως αναποτελεσματικό και δεν<br />

παρέχει διαφάνεια ως προς τη συνεισφορά του στην εκπλήρωση<br />

των στρατηγικών επιχειρησιακών στόχων ενός Οργανισμού.<br />

Στην PwC, αναγνωρίζουμε την επιτακτική ανάγκη υιοθέτησης<br />

ενός νέου μοντέλου στην Ασφάλεια Πληροφοριών, που θα εναρμονίζεται<br />

με την επιχειρησιακή στρατηγική, θα συνδέεται με συγκεκριμένους<br />

επιχειρηματικούς στόχους και θα παρέχει απόλυτη<br />

διαφάνεια ως προς την εκπλήρωση ενός στρατηγικού πλάνου με<br />

βάση τις προτεραιότητες που θέτει ο εκάστοτε Οργανισμός.<br />

Τρεις τομείς που μπορούν να εξεταστούν κατά την αξιολόγηση<br />

της στάσης του Οργανισμού απέναντι στην Ασφάλεια Πληροφοριών<br />

είναι οι εξής:<br />

Α. Στρατηγική Ασφάλειας Πληροφοριών<br />

• Υπάρχει μια ολοκληρωμένη στρατηγική ασφάλειας στο επίκεντρο<br />

του επιχειρηματικού μοντέλου; Η στρατηγική αυτή εξετάζει<br />

σε όλο το εύρος της θέματα τεχνολογίας, φυσικές απειλές,<br />

διαδικασίες αλλά και ζητήματα ανθρωπίνου δυναμικού;<br />

• Η Διοίκηση έχει ενημέρωση για σημαντικές απειλές που ενδέχεται<br />

να συνδέονται και με την υιοθέτηση αναδυόμενων τεχνολογιών<br />

(όπως για παράδειγμα η μετάβαση στο Cloud);<br />

• Μπορούμε να τεκμηριώσουμε και να παρουσιάσουμε τη στρατηγική<br />

ασφάλειας στη Διοίκηση και να τη συνδέσουμε με τους<br />

επιχειρησιακούς στόχους του Οργανισμού;<br />

Β. Κατανόηση και προσαρμογή<br />

• Γνωρίζουμε ποια πληροφορία είναι πολύτιμη για την επιχείρηση;<br />

Έχουν ληφθεί τα κατάλληλα μέτρα για την αποτελεσματική<br />

προστασία της; Σε περίπτωση απώλειάς της, έχει ποσοστικοποιηθεί<br />

ο αντίκτυπος που θα έχει στην επιχείρηση;<br />

• Αντιλαμβανόμαστε τις σημαντικές αλλαγές στο προφίλ των<br />

απειλών που αντιμετωπίζει η επιχείρηση; Ποια είναι τα κίνητρα;<br />

Ποιες τεχνικές μπορεί να χρησιμοποιήσουν και ποιοι ενδέχεται<br />

να είναι οι στόχοι τους;<br />

• Ποια είναι τα μέτρα ασφάλειας που έχουμε λάβει και κατά πόσον<br />

κρίνονται αποτελεσματικά; Υπάρχει ένα ολοκληρωμένο<br />

πλάνο έγκαιρης αντιμετώπισης των περιστατικών ασφάλειας;<br />

Γ. Υιοθέτηση υπεύθυνης στάσης ως προς την<br />

Ασφάλεια Πληροφοριών μέσα από ένα κοινό<br />

όραμα<br />

• Αναφέρεται ο υπεύθυνος Ασφάλειας Πληροφοριών στην ανώτερη<br />

Διοίκηση του Οργανισμού;<br />

• Οι εργαζόμενοι αντιλαμβάνονται το ρόλο τους για την προστασία<br />

των πληροφοριακών υποδομών; Τους παρέχονται κατάλληλα<br />

εργαλεία και κατάρτιση;<br />

• Τι εγγυήσεις απαιτούνται από τους προμηθευτές και τους παρόχους<br />

υπηρεσιών;<br />

Οι επιχειρήσεις ακόμη και μέσα στο δύσκολο οικονομικό περιβάλλον<br />

που έχει διαμορφωθεί, δεν μπορούν να αφήνουν την<br />

Ασφάλεια των Πληροφοριών τους «στην τύχη». Οι νέοι κανόνες<br />

του παιχνιδιού απαιτούν σαφή στρατηγική και δεξιότητες<br />

ασφάλειας υψηλού επιπέδου. Μόνον έτσι οι επιχειρήσεις<br />

θα βρίσκονται σε πλεονεκτική θέση, ώστε είτε να αποφεύγουν<br />

ή να αντιμετωπίζουν αποτελεσματικά περιστατικά ασφάλειας,<br />

που σε αντίθετη περίπτωση ενδέχεται να επιφέρουν σοβαρές<br />

επιπτώσεις. iT<strong>Security</strong><br />

security | 13

C OVER ISSUE<br />

Του Νότη Ηλιόπουλου<br />

Msc Infosec, ISO 27001 LA, CISA, CISM<br />

piliopou@me.com<br />

Ασφάλεια στον κυβερνοχώρο<br />

Το περιβάλλον & οι εξελίξεις<br />

Ο κίνδυνος στον κυβερνοχώρο που είναι συνυφασμένος με την κακόβουλη χρήση της τεχνολογίας,<br />

αφορά στην απώλεια της διαθεσιμότητας και αξιοπιστίας της τεχνολογικής υ-<br />

ποδομής, της παραβίασης του απορρήτου των πληροφοριών και τη διαστρέβλωση ακεραιότητας<br />

των εν λόγω πληροφοριών.<br />

Κατά τις δύο τελευταίες δεκαετίες το Internet και γενικότερα<br />

ο κυβερνοχώρος έχουν τεράστια επίδραση σε όλα τα<br />

τμήματα της κοινωνίας. Η καθημερινότητά μας, οι κοινωνικές<br />

μας συναναστροφές αλλά και μεγάλο ποσοστό της παγκόσμιας<br />

οικονομίας, εξαρτώνται από την τεχνολογία της<br />

πληροφορικής και των επικοινωνιών, καθώς και το συγκερασμό<br />

αυτών.<br />

Οι συγκεκριμένες τεχνολογίες αποτελούν τη ραχοκοκαλιά<br />

της οικονομικής ανάπτυξης και είναι ένας κρίσιμος πόρος<br />

στον οποίο στηρίζονται πολλοί τομείς του οικονομικού οι-<br />

14 | security

κοσυστήματος. Βασικοί τομείς όπως οι Χρηματοπιστωτικοί Οργανισμοί,<br />

υγεία, ενέργεια και μεταφορές, στηρίζουν τη λειτουργία<br />

τους στην τεχνολογία της πληροφορικής και των επικοινωνιών.<br />

Παράλληλα, πολλά από τα νέα επιχειρηματικά μοντέλα βασίζουν<br />

την επιτυχία τους στην αδιάλειπτη διαθεσιμότητα του Διαδικτύου<br />

και την ομαλή λειτουργία των συστημάτων πληροφορικής και ε-<br />

πικοινωνιών.<br />

Ο ορισμός της ασφάλειας του κυβερνοχώρου (cybersecurity)<br />

δεν διαφέρει από αυτόν της ασφάλειας των πληροφοριών. Α-<br />

σφάλεια στον κυβερνοχώρο σημαίνει τη διασφάλιση της απρόσκοπτης<br />

λειτουργίας των υποδομών πληροφορικής & επικοινωνιών<br />

και την προστασία της εν λόγω λειτουργίας από αστοχία της<br />

τεχνολογίας ή κακόβουλη χρήση της. Αυτό που αποκαλείται α-<br />

σφάλεια στον κυβερνοχώρο αποτελεί το 95% της ασφάλειας των<br />

πληροφοριών. Η μόνη διαφορά μεταξύ τους είναι ότι η ασφάλεια<br />

πληροφοριών περιλαμβάνει και την ασφάλεια των πληροφοριών<br />

σε μη ψηφιακή μορφή, ενώ η ασφάλεια στον κυβερνοχώρο<br />

εστιάζει μόνο σε πληροφορίες που υπάρχουν σε ψηφιακή<br />

μορφή. Σήμερα το ποσοστό των πληροφοριών που δεν είναι σε<br />

ψηφιοποιημένη μορφή είναι μικρότερο από το 5% των πληροφοριών<br />

ενός Οργανισμού. Σε πολλές περιπτώσεις οι έννοιες της<br />

ασφάλειας πληροφοριών και της ασφάλειας στον κυβερνοχώρο<br />

χρησιμοποιούνται τόσο εναλλακτικά η μία της άλλης, όσο και<br />

σαν συνώνυμες. Η έννοια του Κυβερνοχώρου αποτελεί προτιμώμενο<br />

όρο στους κυβερνητικούς Οργανισμούς και στις κρίσιμες<br />

υποδομές, ενώ η ασφάλεια των πληροφοριών χρησιμοποιείται<br />

γενικά σε τράπεζες, Οργανισμούς υγείας και τηλεπικοινωνίες.<br />

Η ασφάλεια στον κυβερνοχώρο έχει μια μεγάλη περιοχή ε-<br />

πικάλυψης με την επιχειρησιακή συνέχεια, διότι ένα από τα βασικά<br />

χαρακτηριστικά της ασφάλειας του κυβερνοχώρου είναι οι<br />

αυξημένες απαιτήσεις διαθεσιμότητας υπηρεσιών και πληροφοριών.<br />

Ο απώτερος σκοπός της ασφάλειας στον κυβερνοχώρο, της α-<br />

σφάλειας των πληροφοριών και της επιχειρηματικής συνέχειας, είναι<br />

για να μειώσει τους κινδύνους της επιχειρηματικής δραστηριότητας<br />

και να διαχειριστεί το σχετικό κίνδυνο. Αποτελεί μέρος<br />

της διαχείρισης του λειτουργικού κινδύνου, διότι οποιοσδήποτε<br />

τρόπος προστασίας των πληροφοριών από μη εξουσιοδοτημένη<br />

πρόσβαση, τροποποίηση και αποκάλυψη, στην πραγματικότητα<br />

μειώνει τους λειτουργικούς κινδύνους μιας επιχείρησής.<br />

Οι τεχνολογίες προστασίας των πληροφοριών αποτελούν ένα μικρό<br />

μέρος της ασφάλειας του κυβερνοχώρου. H χρήση της σχετικής<br />

τεχνολογίας δεν αποτελεί λύση για όλους τους κινδύνους.<br />

Υπολογίζεται ότι μόνο η χρήση τεχνολογίας μπορεί να συνεισφέρει<br />

κατά 50% σε ό,τι αφορά στην ασφάλεια του κυβερνοχώρου.

COVER ISSUE<br />

Ασφάλεια στον κυβερνοχώρο<br />

Ασφάλεια στον κυβερνοχώρο, κυβερνο-τρομοκρατία<br />

και έγκλημα στον κυβερνοχώρο<br />

Ως τρομοκρατία στον κυβερνοχώρο (cyberterrorism) χαρακτηρίζουμε<br />

τις πολιτικά υποκινούμενες κακόβουλες ενέργειες<br />

που έχουν ως στόχο την πρόκληση σοβαρής απώλειας, μη ε-<br />

ξουσιοδοτημένης κατοχής και έκθεσης κρίσιμων πληροφοριών,<br />

με στόχο την πρόκληση σοβαρής βλάβης και ζημίας σε<br />

κρίσιμες υποδομές και στις πληροφορίες που διαθέτουν. Στόχος<br />

της κυβερνο-τρομοκρατίας είναι ο εκφοβισμός ή ο κοινωνικός<br />

διασυρμός ή ο εξαναγκασμός μιας κυβέρνησης ή συγκεκριμένων<br />

πολιτών να ενδώσουν σε ανταλλάγματα.<br />

Έγκλημα στον κυβερνοχώρο (cyber-crime) χαρακτηρίζονται<br />

οι κακόβουλες ενέργειες οι οποίες είτε γίνονται με τη χρήση<br />

τεχνολογιών πληροφορικής είτε έχουν ως στόχο υποδομές<br />

πληροφορικής. Στις συγκεκριμένες περιπτώσεις η τεχνολογία<br />

χρησιμοποιείται προκειμένου να διαπραχθούν εγκληματικού<br />

τύπου ενέργειες, όπως κλοπή της πνευματικής ιδιοκτησίας, παραβίαση<br />

διπλωμάτων ευρεσιτεχνίας, κλοπή εμπορικών πλάνων,<br />

παραβίαση των νόμων περί πνευματικών δικαιωμάτων κ.λπ. Η<br />

εγκληματικότητα στον κυβερνοχώρο περιλαμβάνει και τις επιθέσεις<br />

εναντίον υποδομών πληροφορικής με σκοπό την ε-<br />

σκεμμένη διακοπή της λειτουργίας τους, καθώς και την ε-<br />

σκεμμένη κλοπή ή διαστρέβλωση κρίσιμων πληροφοριών.<br />

Συνοψίζοντας, το έγκλημα στον κυβερνοχώρο χαρακτηρίζεται<br />

από τα ακόλουθα:<br />

Διάπραξη παραδοσιακών μορφών εγκληματικότητας, ό-<br />

πως απάτη ή πλαστογραφία, μέσω της χρήσης δικτύων ε-<br />

πικοινωνίας και συστημάτων πληροφορικής.<br />

Δημοσίευση παράνομου περιεχομένου με χρήση ηλεκτρονικών<br />

μέσων (π.χ. υλικό σεξουαλικής κακοποίησης παιδιών<br />

ή προτροπή σε φυλετικές διακρίσεις).<br />

Εγκλήματα που αφορούν αποκλειστικά στα δίκτυα επικοινωνιών,<br />

π.χ. οι επιθέσεις κατά των υποδομών πληροφορικής,<br />

μη εξουσιοδοτημένη παρείσδυση σε εταιρικά δίκτυα κ.λπ.<br />

Όσον αφορά στο κόστος που συνεπάγεται για την εγκληματικότητα<br />

στον κυβερνοχώρο, προκύπτουν τα ακόλουθα:<br />

Δαπάνες για την προστασία έναντι της εγκληματικότητας<br />

στον κυβερνοχώρο, όπως το λογισμικό προστασίας από ι-<br />

ούς, ασφάλιση κτλ.<br />

Δαπάνες που προκύπτουν ως συνέπεια του εγκλήματος<br />

στον κυβερνοχώρο, π.χ. οι άμεσες ζημίες και οι έμμεσες δαπάνες,<br />

όπως αποδυνάμωση της ανταγωνιστικότητας ως α-<br />

ποτέλεσμα της καταπάτησης των δικαιωμάτων πνευματικής<br />

ιδιοκτησίας.<br />

Δαπάνες για την αντιμετώπιση του εγκλήματος στον κυβερνοχώρο,<br />

όπως πληρωμές αποζημίωσης ή η καταβολή<br />

προστίμων προς τους ρυθμιστικούς φορείς.<br />

Έμμεσες δαπάνες, όπως βλάβη στη φήμη και την αξιοπιστία,<br />

μείωση της αξιοπιστίας των υπηρεσιών που προσφέρονται<br />

μέσω του διαδικτύου, συναλλαγές στον κυβερνοχώρο<br />

από ιδιώτες και επιχειρήσεις…<br />

Το περιβάλλον λειτουργίας του κυβερνοχώρου<br />

Στη διάρκεια των τελευταίων 20 ετών υπήρξε τεράστια αύξηση<br />

του αριθμού των διαδικτυακών υπηρεσιών που επιτρέπουν<br />

τη διενέργεια συναλλαγών με εταιρείες και Οργανισμούς κάθε<br />

είδους και βεληνεκούς σε μια παγκόσμια αγορά. Το παραπάνω<br />

οικοσύστημα αποτελεί συστατικό αυτού που ονομάζεται<br />

κυβερνοχώρος ή απλά διαδίκτυο.<br />

Η ικανότητα να εξελίσσεται μια ψηφιακή κοινωνία και να μπορεί<br />

να εκμεταλλευθεί τα πολλά οφέλη του ψηφιακού γίγνεσθαι,<br />

εξαρτάται σε μεγάλο βαθμό από την αποδοχή και το βαθμό<br />

εμπιστοσύνης αναφορικά με τη λειτουργία του κυβερνοχώρου.<br />

Η ασφάλεια στον κυβερνοχώρο χρήζει ανάγκης μιας Εθνικής<br />

Στρατηγικής με συγκεκριμένο σχέδιο και με στόχο τη διαμόρφωση<br />

καλύτερου επίπεδου αξιοπιστίας, αλλά και να επιφέρει<br />

μια θεμελιώδη αλλαγή στον τομέα της ασφάλειας του ψηφιακού<br />

περιβάλλοντος. Τα τελευταία 20 χρόνια η κοινότητα της<br />

Πληροφορικής δεν έχει καταφέρει να διαμορφώσει το απαιτούμενο<br />

επίπεδο ασφάλειας στον κυβερνοχώρο. Ως εκ τούτου,<br />

πολλές φορές η αξιοπιστία του κυβερνοχώρου αμφισβητείται.<br />

Οι προσπάθειες για την επίτευξη καλύτερου επίπεδου ασφάλειας<br />

στον κυβερνοχώρο, δεν είναι ευθυγραμμισμένες. Πολλές<br />

φορές δεν κατανοείται ότι ο ανθρώπινος παράγοντας αποτελεί<br />

βασική συνιστώσα σε μια επιτυχημένη στρατηγική προστασίας<br />

του κυβερνοχώρου. Χρειάζεται περισσότερη ανάλυση και<br />

κατανόηση της ανθρώπινης συμπεριφοράς και όχι ακόμα περισσότερες<br />

τεχνολογικές λύσεις.<br />

Οι κακόβουλοι χρήστες του κυβερνοχώρου μπορούν να α-<br />

ποκομίσουν σημαντικά οικονομικά οφέλη με λίγη αλλά μεθοδική<br />

προσπάθεια, ενώ ταυτόχρονα ξοδεύονται τεράστια ποσά<br />

για την προστασία του κυβερνοχώρου. Ως εκ τούτου, οι ε-<br />

γκληματίες του κυβερνοχώρου διαθέτουν εξαιρετικά κίνητρα και<br />

16 | security

δυναμική, ενώ οι υπερασπιστές του συχνά απογοητεύονται ή<br />

παραιτούνται από την υιοθέτηση βέλτιστων πρακτικών, μιας και<br />

πιστεύουν ότι το παιχνίδι είναι άνισο και ότι η υιοθέτηση των<br />

προτεινόμενων μέτρων δεν βοηθά αποτελεσματικά.<br />

Η αντιστροφή της παραπάνω κατάστασης απαιτεί και την αλλαγή<br />

στη σχέση κόστους-οφέλους για τις δύο πλευρές, αυξάνοντας<br />

το κόστος για τους επιτιθέμενους και τα οφέλη για τους<br />

υπόλοιπους. Η πρόοδος όσον αφορά στις τεχνικές λύσεις,<br />

στο νομικό πλαίσιο και τις διεθνείς σχέσεις, μπορεί να βοηθήσει<br />

στην αλλαγή της παραπάνω σχέσης κόστους-οφέλους και<br />

να ανα-προσδιορίσει τα κίνητρα της κάθε πλευράς.<br />

Οι τρέχουσες τάσεις σε τεχνολογία και επιχειρηματικά μοντέλα<br />

ευνοούν τον κακόβουλο χρήστη. Νέες τεχνολογίες υιοθετούνται<br />

προκειμένου να καλύψουν τη ζήτηση της αγοράς, χωρίς<br />

να διαθέτουν ένα βασικό επίπεδο ασφάλειας, ενώ η σχεδίαση<br />

των προϊόντων φέρει σημαντικές εγγενείς αδυναμίες. Τα<br />

παραπάνω τα εκμεταλλεύονται με χαρακτηριστική ευκολία οι ε-<br />

κάστοτε επιτιθέμενοι.<br />

Ταυτόχρονα, η τεχνολογία μπορεί να βοηθήσει στην επίλυση<br />

πολλών γνωστών προβλημάτων στο χώρο της ασφάλειας πληροφοριών.<br />

Το λογισμικό χρειάζεται και μπορεί να γίνει πιο α-<br />

σφαλές, αν οι εταιρείες, οι πελάτες και οι κυβερνήσεις πιέσουν<br />

προς την κατεύθυνση αυτή. Η καινοτομία στο χώρο των τεχνολογικών<br />

λύσεων ασφάλειας πληροφοριών είναι αναγκαία.<br />

Χρειαζόμαστε τεχνολογία που να μπορεί να λύσει συγκεκριμένες<br />

ανάγκες και όχι μέρος των αναγκών.<br />

Τι έχει αλλάξει;<br />

Τι έχει αλλάξει στο Διαδίκτυο; Η απάντηση φυσικά είναι τα πάντα!<br />

Οι επιχειρηματικές δραστηριότητες, η τεχνολογία της πληροφορικής<br />

και του internet, το όλο λειτουργικό περιβάλλον, καθώς<br />

και οι απειλές σε σχέση με την ασφάλεια πληροφοριών.<br />

Σήμερα οι πάροχοι λύσεων τεχνολογίας και οι κακόβουλοι<br />

χρήστες έχουν ένα δικό τους αγώνα, με χαμένους τους τελικούς<br />

χρήστες. Οι περιπτώσεις παρείσδυσης μέσω του internet<br />

σε Κυβερνητικές & Επιχειρηματικές υποδομές είναι σχεδόν κανόνας<br />

και όχι εξαίρεση. Προσωπικοί υπολογιστές, ασύρματοι<br />

κόμβοι και φορητές συσκευές βρίσκονται υπό απειλή. Ακόμα<br />

και το ίδιο το διαδίκτυο γίνεται μήλο της έριδας μεταξύ κρατών<br />

που θέλουν να το ελέγξουν.<br />

Τα τελευταία πέντε χρόνια υπήρξε μια σειρά από θεμελιώδεις<br />

αλλαγές στην τεχνολογία και τη χρήση της, που απαιτούν εξίσου<br />

θεμελιώδεις αλλαγές σε ό,τι αφορά στην ασφάλεια πληροφοριών.<br />

Η τεχνολογία της πληροφορικής έχει εξελιχθεί α-<br />

πό ένα μέσο αυτοματοποίησης διεργασιών, σε ένα ουσιαστικό<br />

κομμάτι της κοινωνίας. Το ίδιο επίπεδο ποιότητας παροχής<br />

υπηρεσιών, αξιοπιστίας και διαθεσιμότητας που είχε παραδοσιακά<br />

συνδεθεί με τις κρίσιμες υποδομές (παροχή νερού, η-<br />

λεκτρισμού, υπηρεσιών κοινής ωφέλειας) είναι πλέον απαραίτητο<br />

και για την τεχνολογία που χρησιμοποιείται από Κυβερνητικούς<br />

Οργανισμούς και επιχειρήσεις, προκειμένου να παρέχουν<br />

τις υπηρεσίες τους από το διαδίκτυο.<br />

Τα πρότυπα ασφάλειας που χρησιμοποιούνται σήμερα, αναπτύχθηκαν<br />

σε έναν κόσμο στον οποίο οι υπολογιστές ήταν α-<br />

ντικείμενο απάτης από το εσωτερικό του Οργανισμού - και σε<br />

μικρότερο ποσοστό από το εξωτερικό του Οργανισμού. Ω-<br />

στόσο αυτό έχει αλλάξει τα τελευταία πέντε χρόνια, με τη ραγδαία<br />

αύξηση του οργανωμένου εγκλήματος και τη χρήση δικτύων<br />

τύπου botnets, τα οποία επιτρέπουν τη διενέργεια μεγάλης<br />

κλίμακας οργανωμένων επιθέσεων οι οποίες διεξάγονται<br />

πέρα από φυσικά σύνορα και περιορισμούς. Πλέον παρακολουθούμε<br />

οργανωμένες - στοχευμένες επιθέσεις σε επιχειρήσεις<br />

και κρατικούς Οργανισμούς. Βρισκόμαστε στην εποχή ό-<br />

που το διαδίκτυο αποτελεί μέρος της κρίσιμης υποδομής ενός<br />

κράτους και η διακοπή παροχής του έχει τεράστιες συνέπειες<br />

σε κοινωνικό και επιχειρηματικό επίπεδο.<br />

Το κυβερνο-έγκλημα απαιτεί συντονισμένες προσπάθειες και<br />

συνεργασία μεταξύ των κρατών. Η έγκριση του Συμβουλίου<br />

της Ευρώπης σε συγκεκριμένο πλάνο δράσεων για το έγκλημα<br />

στον κυβερνοχώρο, αποτελεί θετική εξέλιξη. Το σχέδιο<br />

δράσης της Ε.Ε. διαρθρώνεται σε πέντε στρατηγικές προτεραιότητες,<br />

οι οποίες έχουν σαν στόχο την αντιμετώπιση των<br />

προκλήσεων στο διαδίκτυο – κυβερνοχώρο, όπως σκιαγραφήθηκαν<br />

παραπάνω:<br />

Επίτευξη μεγαλύτερου επίπεδου ανθεκτικότητα σε επιθέσεις.<br />

Δραστική μείωση της εγκληματικότητας στον κυβερνοχώρο.<br />

Ανάπτυξη πολιτικής κυβερνο άμυνας.<br />

Ανάπτυξη των βιομηχανικών και τεχνολογικών πόρων για<br />

την ασφάλεια στον κυβερνοχώρο.<br />

Να δημιουργηθεί μια συνεκτική διεθνής πολιτική για τον<br />

security | 17

COVER ISSUE<br />

Ασφάλεια στον κυβερνοχώρο<br />

κυβερνοχώρο για την Ευρωπαϊκή Ένωση, με γνώμονα την<br />

προώθηση των βασικών αξιών της Ε.Ε.<br />

Ωστόσο, πολύ περισσότερα πρέπει να γίνουν για να αναπτυχθεί<br />

η έννοια της παγκόσμιας δικαιοδοσίας του διαδικτύου,<br />

πριν από τον προσδιορισμό μέτρων και δράσεων για το κυβερνο-έγκλημα<br />

σε παγκόσμιο επίπεδο.<br />

Επιπρόσθετα να σημειώσουμε ότι πολλές Κυβερνητικές υποδομές<br />

βρίσκονται υπό ασφυκτική πολιορκία από άλλες χώρες,<br />

που επιδιώκουν να αποκτήσουν πρόσβαση σε εθνικού και βιομηχανικού<br />

τύπου πληροφορίες. Κάποια κράτη δεν περιορίζονται<br />

στη συλλογή μυστικών πληροφοριών, αλλά επεκτείνουν τη<br />

δράση διενεργώντας στοχευμένες επιθέσεις σε κρίσιμες Στρατιωτικές<br />

& άλλες υποδομές. Δεν είναι τυχαίο που χώρες όπως<br />

οι ΗΠΑ έχουν δημιουργήσει ειδικές μονάδες με στόχο την<br />

εκδήλωση κυβερνο-επιθέσεων στα πλαίσιο μιας εκστρατείας.<br />

Τι χρειάζεται να αλλάξει<br />

Πολλές από τις ελλείψεις στον τομέα της τεχνολογίας και της<br />

διαχείρισης των κινδύνων που αποτυπώθηκαν προηγουμένως<br />

και έχουν αναγνωριστεί εδώ και αρκετά χρόνια.<br />

Παρόλα αυτά, κρίσιμες υποδομές με ευαίσθητα συστήματα<br />

πληροφορικής εξακολουθούν να λειτουργούν με αυτές τις ελλείψεις.<br />

Η πρόοδος της τεχνολογίας έδωσε τη δυνατότητα<br />

στους οργανωμένους κακόβουλους χρήστες να δρουν γρηγορότερα<br />

και αποτελεσματικότερα.<br />

Ένα από τα σημεία που χρειάζεται σοβαρή ενασχόληση είναι οι<br />

αδυναμίες ασφάλειας του λογισμικού. Δεδομένου του αριθμού<br />

των τρωτών σημείων που υπάρχουν σε νέες εφαρμογές (όπως<br />

αποδεικνύεται από τις πολυάριθμες εκδόσεις αναβάθμισης που<br />

εκδίδονται από μεγάλους προμηθευτές λογισμικού), την πληθώρα<br />

των διαθέσιμων εργαλείων για την αυτοματοποιημένη εκμετάλλευση<br />

των αδυναμιών ασφάλειας και την αυξανόμενη τεχνογνωσία<br />

και ικανότητα των επίδοξων κακόβουλων χρηστών,<br />

κρατικοί Οργανισμοί και μεγάλες επιχειρήσεις αποφεύγουν τα<br />

χειρότερα - τις περισσότερες φορές από τύχη.<br />

Μέχρι πότε όμως κυβερνήσεις και επιχειρήσεις θα συνεχίζουν<br />

να ανέχονται αυτές τις απειλές στο επιχειρηματικό τους μοντέλο,<br />

γνωρίζοντας ότι οι κατασκευαστές λογισμικού δημιουργούν<br />

τα προϊόντα τους χωρίς να υιοθετούν τις βασικές αρχές<br />

ασφάλειας πληροφοριών; Δεν πρέπει να είναι πλέον αποδεκτό<br />

για τους παρόχους τεχνολογίας και λογισμικού να διαθέτουν<br />

προϊόντα με εγγενείς αδυναμίες ασφάλειας και στη συνέχεια<br />

τα προϊόντα αυτά να χρησιμοποιούνται σε κρίσιμες κυβερνητικές<br />

υποδομές και επιχειρηματικές δραστηριότητες. Κάποιες<br />

χώρες προχωρούν στην απόδοση ευθυνών, αλλά το θεσμικό<br />

πλαίσιο σε παγκόσμιο επίπεδο δεν βοηθά και είναι ελλιπές<br />

ή ανύπαρκτο.<br />

Αποφεύγοντας τις αδυναμίες ασφάλειας δεν είναι η λύση, είναι<br />

μέρος της λύσης. Η υιοθέτηση μιας στρατηγικής για την α-<br />

σφάλεια πληροφοριών, την αξιολόγηση των κινδύνων και την<br />

αποτελεσματική υλοποίηση των βασικών αρχών της ασφάλειας<br />

πληροφοριών, είναι η μόνη σωστή αντιμετώπιση. Ταυτόχρονα<br />

χρειάζεται να υπάρχει η κατάλληλη πληροφόρηση και<br />

εκπαίδευση σχετικά με τις νέες τεχνολογικές τάσεις και τις α-<br />

δυναμίες ασφάλειας αυτών, έτσι ώστε να υπάρχει η επαρκής<br />

προετοιμασία για την αντιμετώπιση των σχετικών κινδύνων.<br />

Με λόγια απλά, ανεξάρτητα εάν το ονομάσουμε cyber-security,<br />

ασφάλεια πληροφοριών, προστασία κρίσιμων πληροφοριών ή<br />

όπως αλλιώς μας επιβάλλεται κάθε φορά από αυτούς που θέλουν<br />

να παρουσιάσουν το υφιστάμενο σαν καινούριο και τις<br />

βασικές αρχές σαν νεωτερισμό, η αποτελεσματική υλοποίηση<br />

των βασικών αρχών της ασφάλειας πληροφοριών είναι η μόνη<br />

λύση. Σε κάθε λειτουργικό περιβάλλον χρειάζεται να γνωρίζουμε<br />

απόλυτα τον επιχειρησιακό τρόπο λειτουργίας του, τις<br />

συγκεκριμένες ανάγκες και κινδύνους και στη συνέχεια να α-<br />

ντιμετωπίσουμε τους κινδύνους συνολικά και όχι επιφανειακά.<br />

Το ίδιο ισχύει και στην περίπτωση του κυβερνο-χώρου, του<br />

διαδικτύου δηλαδή, που πλέον αποτελεί μέρος της κοινωνικής<br />

και επιχειρηματικής καθημερινότητάς μας.<br />

Αναφορές<br />

9 Steps to Cybersecurity The Manager’s Information<br />

<strong>Security</strong> Strategy Manual - By Dejan Kosutic<br />

The Changing Face of Cybersecurity, Stewart Hayes,<br />

Malcolm Shore, Miles Jakeman<br />

Measuring the Cost of Cybercrime, Ross Anderson, Chris<br />

Barton, Rainer Bohme, Richard Clayton, Michel J.G. van<br />

Eeten, Michael Levi, Tyler Moore, Stefan Savage<br />

JOINT COMMUNICATION TO THE EUROPEAN<br />

PARLIAMENT, THE COUNCIL, THE EUROPEAN<br />

ECONOMIC AND SOCIAL COMM<strong>IT</strong>TEE AND THE<br />

COMM<strong>IT</strong>TEE OF THE REGIONS<br />

Cybersecurity Strategy of the European Union: An Open,<br />

Safe and Secure Cyberspace iT<strong>Security</strong><br />

18 | security

REPORT<br />

3ο Infocom <strong>Security</strong><br />

Οι νέες τάσεις στο <strong>IT</strong>…<br />

και οι “εντάσεις” στην Ασφάλεια!<br />

Η δυναμική του τομέα<br />

της Ασφάλειας<br />

Πληροφοριών και οι<br />

τάσεις που επικρατούν,<br />

αποτυπώθηκαν πλήρως<br />

στο συνέδριο Infocom<br />

<strong>Security</strong> που<br />

διοργανώθηκε φέτος<br />

για 3η συνεχόμενη<br />

χρονιά, συνιστώντας<br />

την κορυφαία ετήσια<br />

συνεδριακή εκδήλωση<br />

του χώρου.<br />

πολύτιμη κληρονομιά από την επιτυχία των δύο<br />

Η<br />

προηγούμενων διοργανώσεων, είναι λογικό να<br />

είχε δημιουργήσει αυξημένες απαιτήσεις και για<br />

το φετινό συνέδριο Infocom <strong>Security</strong>. Με πολυάριθμη<br />

λοιπόν συμμετοχή άνω των 800 συνέδρων<br />

– επαγγελματιών <strong>IT</strong>, από μεγάλες επιχειρήσεις και Οργανισμούς,<br />

υποστήριξη από 23 χορηγούς – σημαντικές εταιρείες<br />

του χώρου, καθώς και 24 παρουσιάσεις με πολύ ενδιαφέρον<br />

περιεχόμενο από εξειδικευμένους ομιλητές από<br />

την Ελλάδα αλλά και το εξωτερικό, η 3η διοργάνωση του Infocom<br />

<strong>Security</strong> κάλυψε και με το παραπάνω τις υψηλές αυτές<br />

απαιτήσεις, επιβεβαιώνοντας στην πράξη τη δυναμική<br />

που έχει αναπτύξει η συγκεκριμένη συνεδριακή εκδήλωση.<br />

Το 3o Συνέδριο Infocom <strong>Security</strong> - που πλέον αποτελεί σημείο<br />

αναφοράς στον τομέα των εκδηλώσεων της Ασφάλειας<br />

Πληροφοριών - πραγματοποιήθηκε στις 10 Απριλίου στο<br />

Divani Caravel και την ευθύνη της διοργάνωσης είχαν σε συνεργασία,<br />

το περιοδικό <strong>IT</strong> <strong>Security</strong> <strong>Professional</strong> της εταιρείας<br />

Press Line και η εταιρεία Smart Press που εκδίδει το<br />

περιοδικό INFOCOM και διοργανώνει κάθε χρόνο σειρά<br />

επιτυχημένων συνεδρίων τεχνολογίας στο χώρο της πληροφορικής<br />

και των επικοινωνιών.<br />

Η κεντρική ιδέα του φετινού συνεδρίου μετουσιώθηκε στον<br />

τίτλο «Οι νέες τάσεις στο <strong>IT</strong>… και οι “εντάσεις” στην<br />

Ασφάλεια» θέλοντας έτσι να αναδείξουμε τις επιπτώσεις<br />

που προκύπτουν και τις παραμέτρους που πρέπει να λαμβάνονται<br />

υπόψη σχετικά με την ασφάλεια πληροφοριών στο<br />

νέο οικοσύστημα του ΙΤ, όπως αυτό έχει διαμορφωθεί με<br />

την υιοθέτηση των νέων τάσεων από πλευράς των επιχειρήσεων<br />

στις υποδομές πληροφορικής.<br />

Στην έναρξη του Συνεδρίου χαιρετισμό απηύθυνε ο Πρόεδρος<br />

της Οργανωτικής Επιτροπής Κώστας Νόστης, καθώς<br />

και οι κύριοι Δημήτρης Μπογιατζής (Μέλος Δ.Σ., e-<br />

TEE), Νίκος Φαλδαμής (Πρόεδρος, HePIS), Δημήτρης<br />

Δρακούλης (Πρόεδρος ΕΜηΠΕΕ) και Ανέστης Δημόπουλος<br />

(Αντιπρόεδρος Δ.Σ. ΙΕΣΠ - ISACA Athens Chapter),<br />

οι οποίοι εκπροσώπησαν φορείς και Οργανισμούς<br />

που υποστήριξαν το Infocom <strong>Security</strong> 2013.<br />

security | 19

REPORT<br />

3ο Infocom <strong>Security</strong><br />

Ο κος Δημήτρης<br />

Γκρίτζαλης, Καθηγητής<br />

Ασφάλειας ΤΠΕ στο<br />

Οικονομικό<br />

Πανεπιστήμιο Αθηνών<br />

1η Ενότητα - Ο μετασχηματισμός<br />

του <strong>IT</strong> και οι επιπτώσεις<br />

στην ασφάλεια<br />

Στην πρώτη ενότητα του Συνεδρίου,<br />

την οποία συντόνισε ο δημοσιογράφος<br />

Γιάννης Ριζόπουλος, οι ομιλητές<br />

αναφέρθηκαν κυρίως στα ρίσκα που<br />

ανακύπτουν από τη χρήση των νέων<br />

τάσεων όπως τα Social Media, το mobility,<br />

το BYOD και φυσικά το Cloud.<br />

Συγκεκριμένα, με ιδιαίτερο ενδιαφέρον<br />

παρακολουθήσαμε<br />

την εναρκτήρια<br />

ομιλία<br />

του συνεδρίου<br />

που έγινε από<br />

τον Καθηγητή<br />

Ασφάλειας<br />

ΤΠΕ στο Οικονομικό<br />

Πανεπιστήμιο<br />

Αθηνών,<br />

Δημήτρη Γκρίτζαλη,<br />

με τίτλο<br />

“Ιστορίες Χαράς<br />

και Τρόμου από το Θαυμαστό<br />

Καινούριο Κόσμο των Social Media”.<br />

Η παρουσίαση του κου Καθηγητή βασίστηκε<br />

σε μια έρευνα που βρίσκεται<br />

σε εξέλιξη από τον ίδιο και τους συνεργάτες<br />

του και αφορά στην ιδιωτικότητα<br />

και την προστασία των προσωπικών<br />

δεδομένων στα κοινωνικά δίκτυα.<br />

Από τα αποτελέσματα της έρευνας<br />

αυτής προκύπτει ότι η μεθοδική<br />

αξιοποίηση των ευρημάτων δεδομένων<br />

από κοινωνικά δίκτυα όπως το<br />

Twitter και το You Tube, μπορούν να<br />

οδηγήσουν στην αξιολόγηση προδιάθεσης<br />

παραβατικής συμπεριφοράς<br />

(π.χ. εκ των έσω απειλές σε κρίσιμες<br />

υποδομές), στη δημιουργία μορφότυπου<br />

χρήστη με στόχο προσωποποιημένη<br />

προβολή/διαφήμηση (π.χ. consumer<br />

profiling) ή ακόμα στη δυνατότητα<br />

πρόληψης αυτοκαταστροφικών<br />

ενεργειών (π.χ. εφηβικές αυτοκτονίες).<br />

Ο κος Δημήτρης<br />

Μουζακίτης, Senior<br />

Information <strong>Security</strong><br />

Management Consultant,<br />

Odyssey Consultants<br />

Συνεχίζοντας<br />

την αναφορά<br />

του στα κοινωνικά<br />

δίκτυα και<br />

τη σχέση τους<br />

με την ασφάλεια<br />

- αλλά σε<br />

επαγγελματικό<br />

περιβάλλον αυτή<br />

τη φορά - ο<br />

επόμενος ομιλητής,<br />

κος Δημήτρης<br />

Μουζακίτης,<br />

(Senior<br />

Information <strong>Security</strong> Management<br />

Consultant, Odyssey Consultants)<br />

τόνισε την ανάγκη για την υιοθέτηση<br />

μιας «Social Media Policy» για κάθε<br />

εταιρικό χρήστη, μέσα από τη θέσπιση<br />

κανόνων που θα πρέπει να ακολουθούν<br />

όλοι μέσα στον Οργανισμό. Επίσης<br />

επισήμανε την αναγκαιότητα εκπαίδευσης<br />

του προσωπικού για θέματα<br />

που σχετίζονται με τα κοινωνικά δίκτυα<br />

και τους κινδύνους που μπορεί να<br />

προκύπτουν από την αλόγιστη χρήση<br />

τους στο εταιρικό περιβάλλον.<br />

Ο κος Αλέξανδρος<br />

Ντέτσικας, Information<br />

<strong>Security</strong> Consultant της<br />

Space Hellas<br />

Η βέλτιστη διαχείριση<br />

της τάσης<br />

του BYOD<br />

ήταν το θέμα<br />

που ανέπτυξε ο<br />

κος Αλέξανδρος<br />

Ντέτσικας,<br />

Information<br />

<strong>Security</strong><br />

Consultant της<br />

Space Hellas.<br />

Ο ομιλητής<br />

υποστήριξε πως η τάση της αξιοποίησης<br />

των προσωπικών φορητών συσκευών<br />

στο εταιρικό περιβάλλον, είναι<br />

μία πραγματικότητα που οι επιχειρήσεις<br />

οφείλουν να αποδεχθούν με βάση<br />

κάποιους κανόνες - και όχι να αποτρέψουν.<br />

Η εφαρμογή του BYOD<br />

μπορεί να είναι μια επιτυχημένη διαδικασία<br />

για τον Οργανισμό, αρκεί αυτός<br />

να εκπαιδεύει συνεχώς τους χρήστες<br />

σε θέματα ασφάλειας και διαχείρισης<br />

δεδομένων και να συνεργάζεται<br />

μαζί τους, τόνισε ο κος Ντέτσικας.<br />

Ο Δρ. Θεόδωρος<br />

Σεργίου, <strong>Security</strong><br />

Solutions Product<br />

Manager, Marketing<br />

Department, Services<br />

Business Division,<br />

Intracom Telecom<br />

Από την πρώτη<br />

ενότητα δεν θα<br />

μπορούσαν<br />

φυσικά να λείπουν<br />

οι αναφορές<br />

για την<br />

ασφάλεια στο<br />

cloud. Έτσι, ο<br />

Δρ. Θεόδωρος<br />

Σεργίου<br />

(<strong>Security</strong> Solutions<br />

Product<br />

Manager, Marketing<br />

Department,<br />

Services<br />

Business Division,<br />

Intracom Telecom) ανέλαβε<br />

στη συνέχεια να μας παρουσιάσει 4<br />

βασικά διδάγματα που οφείλουν να<br />

ακολουθούν οι επιχειρήσεις, σε σχέση<br />

με την ανάπτυξη των υπηρεσιών<br />

cloud. Σε αυτά περιλαμβάνονται: η<br />

διαπίστωση ότι στο cloud πρέπει να<br />

λαμβάνονται υπόψη πολλές παράμετροι<br />

- κάτι που δεν είναι μια εύκολη<br />

υπόθεση - και ότι σε αυτές τις παραμέτρους<br />

κυρίαρχο ρόλο έχει η ασφάλεια,<br />

η συμμόρφωση με πρότυπα και<br />

κανονιστικά πλαίσια, καθώς επίσης και<br />

η ιδιαίτερη προσοχή που πρέπει να<br />

δίνουν οι Οργανισμοί στην επιλογή<br />

του συνεργάτη, για τη δημιουργία<br />

ενός public ή private cloud.<br />

20 | security

Ο κος Ibrahim Yusuf,<br />

Presales Engineer,<br />

Sophos<br />

Τα ρίσκα που<br />

ανακύπτουν<br />

από τη χρήση<br />

των smartphones<br />

στο εταιρικό<br />

περιβάλλον<br />

καθώς και το<br />

πώς μπορούν<br />

οι επιχειρήσεις<br />

να τα διαχειριστούν,<br />

ήταν το<br />

θέμα που ανέλυσε<br />

στην παρουσίασή του ο κος<br />

Ibrahim Yusuf, Presales Engineer της<br />

εταιρείας Sophos. Αφού μας παρουσίασε<br />

το νέο περιβάλλον στο ΙΤ, όπως<br />

αυτό έχει διαμορφωθεί με τη ραγδαία<br />

ανάπτυξη της φορητότητας, ο ομιλητής<br />

έδωσε έμφαση στη θέσπιση εταιρικής<br />

στρατηγικής και πολιτικών για<br />

όσους χρησιμοποιούν φορητές συσκευές<br />

στο εταιρικό περιβάλλον, αξιοποιώντας<br />

εφαρμογές ελέγχου, κρυπτογραφίας,<br />

patching, καθώς και πολύτιμα<br />

εργαλεία διαχείρισης φορητών<br />

συσκευών.<br />

Η κα Διονυσοπούλου<br />

Νατάσσα, Brand<br />

Manager της εταιρείας<br />

<strong>IT</strong>way<br />

Στη συνέχεια, η<br />

κα Διονυσοπούλου<br />

Νατάσσα,<br />

Brand<br />

Manager της<br />

εταιρείας <strong>IT</strong>way,<br />

μας παρουσίασε<br />

την<br />

προσέγγιση της<br />

McAffe σε σχέση<br />

με την “έξυπνη”<br />

ασφάλεια<br />

που βασίζεται σε μια ολοκληρωμένη<br />

πλατφόρμα διασυνδεμένων εργαλείων<br />

και λειτουργιών, η οποία βελτιστοποιεί<br />

τις δυνατότητες προστασίας των δεδομένων<br />

στους Οργανισμούς. Η ενοποίηση<br />

όλων των απαραίτητων συστατικών<br />

για την ασφάλεια που επιτυγχάνει<br />

η πλατφόρμα της McAfee, απαντά<br />

με επιτυχία στις προκλήσεις που φέρνουν<br />

οι νέες απειλές, ενισχύοντας παράλληλα<br />

την αξία όλων των επιχειρηματικών<br />

λειτουργιών, επισήμανε η ομιλήτρια.<br />

Ο Adrian Porcescu,<br />

Technical Consultant &<br />

Trainer της Kaspersky<br />

Lab<br />

Κλείνοντας την<br />

πρώτη ενότητα<br />

του συνεδρίου,<br />

ο κος Adrian<br />

Porcescu, Technical<br />

Consultant<br />

& Trainer<br />

της Kaspersky<br />

Lab, αφού ανέλυσε<br />

στους συνέδρους<br />

την<br />

εξέλιξη των<br />

απειλών και τη<br />

σύγχρονη πραγματικότητα, εκτίμησε<br />

ότι το κακόβουλο λογισμικό θα συνεχίσει<br />

να αναπτύσσεται ραγδαίως και οι<br />

ηλεκτρονικοί εγκληματίες θα στοχεύουν<br />

ολοένα και περισσότερο στις<br />

φορητές συσκευές με Android και Apple<br />

OS, ενώ παράλληλα θα ενταθούν οι<br />

επιθέσεις στις κρίσιμες και κυβερνητικές<br />

υποδομές. Ο ομιλητής παρουσίασε<br />

επίσης τις λύσεις που έχει αναπτύξει<br />

η kaspersky για να αντιμετωπίσει τις<br />

σύγχρονες απειλές με μία μόνο πλατφόρμα,<br />

που ενοποιεί όλα τα απαραίτητα<br />

εργαλεία τα οποία αντιμετωπίζουν<br />

με επιτυχία το τρίπτυχο των απαιτήσεων<br />

“προστασία - έλεγχος - διαχείριση”.<br />

2η Ενότητα:<br />

Η καινοτομία, κλειδί για την<br />

αποτελεσματική ασφάλεια<br />

Στη δεύτερη ενότητα, στην οποία συντονιστής<br />

ήταν ο Αρχισυντάκτης του <strong>IT</strong><br />

<strong>Security</strong> <strong>Professional</strong>, Αμανατίδης<br />

Βλάσης, δόθηκε έμφαση στις στρατηγικές<br />

που πρέπει να αναπτύξουν οι<br />

υπεύθυνοι των τμημάτων <strong>IT</strong>, προκειμένου<br />

να προστατεύσουν αποτελεσματικά<br />

τα κρίσιμα επιχειρηματικά δεδομένα,<br />

με βάση καινοτόμες ιδέες και προτάσεις.<br />

Σε αυτά τα πλαίσια, ο κος Θανάσης<br />

Παπαδόπουλος, Country Manager<br />

της <strong>IT</strong>way, ανέλυσε στους συνέδρους<br />

Ο κος Θανάσης<br />

Παπαδόπουλος,<br />

Country Manager της<br />

<strong>IT</strong>way<br />

τις προκλήσεις<br />

σε σχέση με<br />

την ασφάλεια<br />

που αντιμετωπίζουμε<br />

στην Ελλάδα<br />

αλλά και<br />

σε όλη τη Νότια<br />

Ευρώπη,<br />

λαμβάνοντας<br />

υπόψη τις ιδιαιτερότητες<br />

της<br />

περιοχής που<br />

έχουν προκύψει λόγω της οικονομικής<br />

κρίσης, παρουσιάζοντας παράλληλα τη<br />

στρατηγική και το πολύ μεγάλο φάσμα<br />

των καινοτόμων λύσεων και υπηρεσιών<br />

για την ασφάλεια των πληροφοριών,<br />

στην ευρύτερή της έννοια που διαθέτη<br />

<strong>IT</strong>way.<br />

Ο κος Chezki Gil,<br />

Territory Sales Manager,<br />

East Mediterranean,<br />

RSA<br />

Στη συνέχεια,<br />

στο βήμα των<br />

ομιλητών ανέβηκε<br />

ο κος Chezki<br />

Gil (Territory<br />

Sales Manager,<br />

East Mediterranean,<br />

RSA) ο οποίος<br />

επικεντρώθηκε<br />

στην εξέλιξη<br />

των προηγμένων<br />

επιθέσεων<br />

και πώς αυτές μπορούν να αντιμετωπιστούν<br />

από καινοτόμες λύσεις, όπως είναι<br />

η ολοκληρωμένη πλατφόρμα ελέγχου<br />

της ασφάλειας της RSA “<strong>Security</strong><br />

Analytics” που επιτρέπει τη βέλτιστη<br />

δυνατή ορατότητα και αξιολόγηση των<br />

δεδομένων, καθώς και τη λύση των<br />

RSA Live Integrated Intelligence που<br />

μπορεί να ανακαλύψει κάθε «κρυφή<br />

παθογένεια».<br />

Ο κος Μιχάλης Σαμιωτάκης, Technology<br />

Governance & <strong>Security</strong>, Assistant<br />

Manager στην PwC, στη δική του<br />

παρουσίαση τόνισε χαρακτηριστικά ότι<br />

«το cloud είναι εδώ και είναι η νέα εποχή»!<br />

Αυτό άλλωστε κατέδειξε η παγ-<br />

security | 21

REPORT<br />

3ο Infocom <strong>Security</strong><br />

Ο κος Μιχάλης<br />

Σαμιωτάκης,<br />

Technology Governance<br />

& <strong>Security</strong>, Assistant<br />

Manager, PwC<br />

κόσμια έρευνα<br />

για την Ασφάλεια<br />

Πληροφοριών<br />

που διεξήχθη<br />

από την<br />

PwC, όπου ειδικά<br />

για την Ελλάδα<br />

το 33%<br />

των συμμετεχόντων<br />

ανέδειξε<br />

μεταξύ άλλων<br />

ως πρώτη<br />

προτεραιότητα<br />

τη χάραξη μιας στρατηγικής για την<br />

ασφαλή μετάβαση σε αυτό. Ο ομιλητής,<br />

αφού στη συνέχεια παρουσίασε<br />

τις top 10 απειλές που αναδείχθηκαν<br />

από την έρευνα η οποία δημοσιεύθηκε<br />

πριν ένα μήνα από το Top Threats<br />

working Group του CSA - στο οποίο<br />

η PwC συμμετέχει ενεργά ως ένα από<br />

τα founding members - αναφέρθηκε<br />

στην αξιόπιστη λύση του Third Party<br />

Assurance, που είναι αναγνωρισμένο<br />

από το CSA και παρέχεται από όλους<br />

τους leading CSPs, σύμφωνα με την<br />

Gartner.<br />

Ο κος Πάνος<br />

Δημητρίου, CTO & cofounder,<br />

Encode<br />

Στη σύγχρονη<br />

προσέγγιση<br />

των Big Data<br />

Analytics και<br />

την άμυνα απέναντι<br />

στις προηγμένες<br />

επιθέσεις<br />

APT, με<br />

θεμέλιο πρωτοποριακές<br />

λύσεις<br />

και υπηρεσίες<br />

στην<br />

ασφάλεια, επικεντρώθηκε η παρουσίαση<br />

του κου Πάνου Δημητρίου,<br />

CTO & co-founder της Encode. Ο<br />

ομιλητής επισήμανε την ανάγκη επαναπροσδιορισμού<br />

του φαινομένου<br />

των APT, λαμβάνοντας υπόψη την<br />

πολυπλοκότητα και ευελιξία του προβλήματος,<br />

όπως επίσης και τον ανθρώπινο<br />

παράγοντα που υπεισέρχεται<br />

σε αυτό. Τόνισε ακόμα την ανάγκη<br />

επανακαθορισμού της cyber στρατηγικής,<br />

με πυλώνα την ασφάλεια των<br />

Big Data Analytics και την έγκαιρη<br />

προειδοποίηση για τις ενδεχόμενες<br />

απειλές.<br />

Ο κος Συμεών<br />

Καλαματιανός,<br />

Διευθυντής <strong>IT</strong> Risk<br />

Consulting στην KPMG<br />

Ο κος Συμεών<br />

Καλαματιανός,<br />

Διευθυντής<br />

<strong>IT</strong> Risk<br />

Consulting<br />

στην KPMG,<br />

στα πλαίσια<br />

της δικής του<br />

παρουσίασης<br />

παρέθεσε<br />

πρόσφατες<br />

έρευνες της<br />

εταιρείας, που<br />

καταδεικνύουν την ασφάλεια ως την<br />

πλέον σημαντική πρόκληση που αντιμετωπίζουν<br />

οι Οργανισμοί στην υιοθέτηση<br />

ενός cloud περιβάλλοντος.<br />

Επίσης αναφέρθηκε στις αναφορές<br />

Service Organization Control (SOC)<br />

και πώς αυτές μπορούν να αξιοποιηθούν<br />

αποτελεσματικά. Παράλληλα,<br />

ανέπτυξε το πώς οι υπηρεσίες και η<br />

μεθοδολογία «<strong>IT</strong> Attestation» της<br />

KPMG μπορούν να βοηθήσουν αποτελεσματικά<br />

στην κατεύθυνση της<br />

διασφάλισης της προστασίας, εμπιστευτικότητας<br />

και διαθεσιμότητας<br />

των δεδομένων.<br />

Ο κος Σωτήρης Δ.<br />

Σαράντος, Σύμβουλος<br />

Δικτυακών Λύσεων της<br />

Digital Sima<br />

Την προσέγγιση της Trend Micro για<br />

την προστασία του Server Farm, μας<br />

παρουσίασε ο κος Σωτήρης Δ. Σαράντος,<br />

Σύμβουλος Δικτυακών Λύσεων<br />

της Digital Sima, προβάλλοντας<br />

τα βασικά<br />

πλεονεκτήματα<br />

της ενοποιημένης<br />

πλατφόρμας<br />

ασφαλείας<br />

«Trend Micro<br />

Deep <strong>Security</strong>»<br />

για την<br />

προστασία φυσικών,<br />

virtual<br />

και cloud υποδομών.<br />

Η συγκεκριμένη<br />

λύση<br />

συνδυάζει όλα τα απαραίτητα εργαλεία<br />

ασφάλειας για VMware περιβάλλοντα<br />

και παράλληλα ενισχύει την<br />

απόδοση των πόρων των υποδομών<br />

του Οργανισμού.<br />

Ο κος Ανέστης<br />

Δημόπουλος,<br />

Αντιπρόεδρος του Δ.Σ.<br />

του ISACA Athens<br />

Chapter<br />

Οι παρουσιάσεις<br />

της 2 ης<br />

ενότητας του<br />

συνεδρίου<br />

έκλεισαν με<br />

την ομιλία του<br />

Αντιπρόεδρου<br />

του Δ.Σ. του<br />

ISACA Athens<br />

Chapter,<br />

κου Ανέστη<br />

Δημόπουλου,<br />

που ανέπτυξε<br />

τη μεθοδολογία<br />

για τη βελτιστοποίηση της αξιοποίησης<br />

των Big Data προς όφελος<br />

των επιχειρήσεων, ενώ παράλληλα<br />

προσέγγισε το κρίσιμο ζήτημα διαχείρισης<br />

των ρίσκων που προκύπτουν,<br />

θέτοντας και απαντώντας σε κρίσιμα<br />

ερωτήματα, όπως: Πού πρέπει να<br />

αποθηκεύουμε το μεγάλο όγκο δεδομένων;<br />

Πώς μπορούμε να τα προστατεύσουμε<br />

και να τα αξιοποιήσουμε<br />

με νόμιμο τρόπο και τι κάνουμε με<br />

τα «τοξικά» δεδομένα;<br />

22 | security

3η ενότητα: Προσαρμογή<br />

στις εξειδικευμένες ανάγκες<br />

Στα πλαίσια της τρίτης ενότητας, που<br />

συντόνισε ο Δρ. Βασίλης Βλάχος, Καθηγητής<br />

Εφαρμογών του Τμήματος Τεχνολογίας<br />

Πληροφορικής και Τηλεπικοινωνιών<br />

στο ΤΕΙ Λάρισας, παρουσιάστηκαν<br />

από τους ομιλητές λύσεις που<br />

καλύπτουν συγκεκριμένες απαιτήσεις και<br />

προσαρμόζονται σε εξειδικευμένες<br />

ανάγκες στο επιχειρηματικό περιβάλλον.<br />

Την εναρκτήρια ομιλία στην 3 η ενότητα<br />

έκανε ο κος<br />

Κώστας Κολοκοτρώνης,<br />

Manager,<br />

<strong>Security</strong><br />

Architecture<br />

Services της Encode,<br />

που επικεντρώθηκε<br />

στις<br />

διαδικασίες<br />

Ο κος Κώστας ελέγχου των<br />

Κολοκοτρώνης, διαχειριστών<br />

Manager, <strong>Security</strong><br />

Architecture Services των <strong>IT</strong> υποδομών,<br />

αναφέρον-<br />

της Encode<br />

τας χαρακτηριστικά<br />

για τους διαχειριστές ότι: “ ...δεν<br />

μπορούμε να “ζήσουμε” χωρίς αυτούς,<br />

δεν μπορούμε να τους “περιορίσουμε”<br />

σε μεγάλο βαθμό, πρέπει όμως να βρούμε<br />

τρόπο ώστε να τους παρακολουθούμε<br />

στενά’’. Η παραπάνω προσέγγιση<br />

σύμφωνα με τον ομιλητή, δεν είναι απλά<br />

μια βέλτιστη πρακτική, αλλά μια θεμελιώδης<br />

αρχή ασφάλειας.<br />

Ο κος Πάτροκλος<br />

Αργυρούδης (PhD),<br />

Ερευνητής Ασφάλειας<br />

Η/Υ, Υπεύθυνος<br />

Έρευνας και Ανάπτυξης<br />

της εταιρείας Census<br />

Στην αξία της<br />

έρευνας ευπαθειών<br />

στις δοκιμές<br />

παρείσδυσης<br />

αναφέρθηκε<br />

στη συνέχεια<br />

ο κος Πάτροκλος<br />

Αργυρούδης<br />

(PhD),<br />

Ερευνητής<br />

Ασφάλειας Η/Υ,<br />

Υπεύθυνος<br />

Έρευνας και<br />

Ανάπτυξης της<br />

εταιρείας Census.<br />

Ο ομιλητής, αφού στην αρχή της<br />

παρουσίασής του προσδιόρισε τον ορισμό<br />

για την έρευνα ευπαθειών, στη συνέχεια<br />

περιέγραψε το πώς βελτιώνει μια<br />

δοκιμή παρείσδυσης η έρευνα ευπαθειών,<br />

κατά την οποία η ερευνητική ομάδα<br />

λειτουργεί παράλληλα με την ομάδα δοκιμών<br />

παρείσδυσης, εντοπίζει νέες αδυναμίες<br />

σε λογισμικό ή συστήματα που<br />

έχουν χαρακτηριστεί ως ενδιαφέροντα<br />

και τροφοδοτεί την ομάδα δοκιμών παρείσδυσης<br />

με νέα εργαλεία και exploits<br />

για συγκεκριμένες αδυναμίες. Έτσι η δοκιμή<br />

παρείσδυσης μπορεί πλέον να εξετάσει<br />

και το σενάριο στοχευμένης επίθεσης,<br />

το σενάριο εκμετάλλευσης αδυναμίας<br />

με 0-day exploits, την ορθή λειτουργία<br />

των proactive μηχανισμών<br />

ασφάλειας και την ετοιμότητα απέναντι<br />

σε μια αγνώστου φύσης απειλή.<br />

Το παρόν και<br />

το μέλλον του<br />

PKI ανέπτυξε<br />

στην παρουσίασή<br />

του ο κος<br />

Δημήτρης Παπίτσης,<br />

Senior<br />

Premier Field<br />

Engineer της<br />

Ο κος Δημήτρης<br />

Παπίτσης, Senior<br />

Premier Field Engineer<br />

της Microsoft Hellas<br />

Microsoft Hellas,<br />

παραθέτοντας<br />

τα χρόνια<br />

προβλήματα<br />

του PKI καθώς και τις λύσεις που προωθούνται<br />

για τη νέα εποχή. Οι αλλαγές<br />

που συντελούνται στο PKI, σύμφωνα με<br />

τον ομιλητή περιλαμβάνουν καινούριους<br />

αλγόριθμους (SHA-256 κ.λπ.), υποστήριξη<br />

clients (ΟS, browser, custom-made<br />

apps) αλλά και συνέχιση του παλαιού<br />

προτύπου για CAs (X.509) και συνδυασμό<br />

updates/CRLs/ OCSPs.<br />

Η επόμενη παρουσίαση έγινε από κοινού<br />

από τον κο Ανδρέα Λάλο, <strong>Professional</strong><br />

Services Director της Besecure<br />

και την κα Amy Marion, Marketing Director<br />

της Observe<strong>IT</strong> και αφορούσε στις<br />

διαδικασίες του log analysis, παρουσιάζοντας<br />

τις σημαντικές προκλήσεις που<br />

υπάρχουν, όπως το μεγάλο όγκο και την<br />

Ο κος Ανδρέας Λάλος,<br />

<strong>Professional</strong> Services<br />

Director της Besecure.<br />

H κα Amy Marion,<br />

Marketing Director της<br />

Observe<strong>IT</strong><br />

Guy Eilon, South East<br />

Europe Regional<br />

Manager, Websense<br />

“Trends in the Threat<br />

Landscape”<br />

πολυπλοκότητα<br />

των Log, καθώς<br />

και τις λύσεις<br />

που διαθέτει η<br />

Observe<strong>IT</strong> και<br />

καλύπτουν σε<br />

μεγάλο βαθμό<br />

τις σύγχρονες<br />

απαιτήσεις για<br />

απομακρυσμένη<br />

παρακολούθηση,<br />

μείωση του<br />

κόστους συμμόρφωσης<br />

και<br />

άμεση “root cause<br />

ανάλυση”.<br />

Εκπροσωπώντας<br />

την εταιρεία<br />

Websense και<br />

διαθέτοντας<br />

μεγάλη εμπειρία<br />

στον τομέα της<br />

ασφάλειας, ο<br />

κος Guy Eilon<br />

(South East Europe<br />

Regional<br />

Manager, Websense)<br />

είχε στη<br />

συνέχεια την ευκαιρία<br />

να προβάλει<br />

στους συνέδρους<br />

τα ποιοτικά<br />

και ποσοτικά<br />

χαρακτηριστικά<br />

των σύγχρονων<br />

απειλών<br />

του διαδικτύου, επισημαίνοντας παράλληλα<br />

την ανάγκη για μείωση της πολυπλοκότητας<br />

των λύσεων ασφαλείας και<br />

την ενίσχυση του Total Cost of Ownership,<br />

στοιχεία που καλύπτονται πλήρως<br />

από τη λύση TR<strong>IT</strong>ON της Websense<br />

που μας παρουσίασε.<br />

Η 3 η ενότητα του συνεδρίου έκλεισε με<br />

την ομιλία του κου Γιώργου Σπηλιώτη<br />

(Freelancer <strong>IT</strong> Consultant και ECC Certified<br />

Ethical Hacker), που παρουσίασε<br />

στους συνέδρους τα χαρακτηριστικά του<br />

“Two factor authentication” το οποίο<br />

προσφέρει αυξημένη ασφάλεια κατά τη<br />

security | 23

REPORT<br />

3ο Infocom <strong>Security</strong><br />

Ο κος Γιώργος<br />

Σπηλιώτης, Freelancer<br />

<strong>IT</strong> Consultant και ECC<br />

Certified Ethical Hacker<br />

διαπίστευση<br />

χρηστών, με περισσότερα<br />

του<br />

ενός αποδεικτικά<br />

- όπως συμβαίνει<br />

για παράδειγμα<br />

με τη<br />

χρήση των<br />

ΑΤΜ (PIN +<br />

κάρτα). Κατά<br />

την παρουσίαση<br />

του κου Σπηλιώτη<br />

είχαμε επίσης<br />

την ευκαιρία να μάθουμε για τις μεθόδους<br />

υλοποίησης του TFA, καθώς και να<br />

δούμε αρκετά παραδείγματα χρήσης του<br />

σε cloud υπηρεσίες.<br />

4η ενότητα: Νέας γενιάς Hacking<br />

και ο ιδιότυπος παγκόσμιος<br />

κυβερνοπόλεμος<br />

Το 3o Infocom <strong>Security</strong> έκλεισε με την<br />

τέταρτη ενότητα, κατά την οποία έμπειροι<br />

εισηγητές παρουσίασαν στους συνέδρους<br />

τα ποσοτικά και ποιοτικά χαρακτηριστικά<br />

των σύγχρονων ηλεκτρονικών<br />

εγκληματιών και των μεθόδων των<br />

επιθέσεων που πραγματοποιούν με στόχο<br />

την υφαρπαγή δεδομένων ή την ακτιβιστική<br />

δράση, προβάλλοντας παράλληλα<br />

τεχνικές για την αντιμετώπιση αυτών<br />

των φαινομένων.<br />

Στα πλαίσια λοιπόν της 4 ης ενότητας, ο<br />

κος Κώστας Παπαδάτος, COO & cofounder<br />

της Encode, μας παρουσίασε<br />

την “ανατομία”<br />

των σύγχρονων<br />

επιθέσεων με<br />

στόχο το οικονομικό<br />

όφελος,<br />

επισημαίνοντας<br />

τις μεγάλες αλλαγές<br />

που<br />

Ο κος Κώστας<br />

Παπαδάτος, COO &<br />

co-founder της Encode<br />

έχουν συντελεστεί<br />

στις μεθόδους<br />

που χρησιμοποιούν<br />

πλέον<br />

οι επιτιθέμενοι, εισάγοντας ακόμα και<br />

τον όρο ‘‘Malware as a Service’’ (Maas).<br />

Επίσης τόνισε την ανάγκη να ξεφύγουμε<br />

από τους παραδοσιακούς τρόπους<br />

ελέγχου και ασφάλειας, τονίζοντας ιδιαίτερα<br />

ότι η τεχνολογία από μόνη της<br />

δεν είναι αρκετή αλλά απαιτείται παράλληλα<br />

η εκπαίδευση όλων των χρηστών<br />

τραπεζικών online υπηρεσιών.<br />

‘‘Η εξέλιξη και<br />

το μέλλον των<br />

επιθέσεων παρείσδυσης<br />

- Η<br />

πραγματικότητα<br />

ένα χρόνο μετά’’<br />

ήταν το θέμα<br />

που ανέπτυξε ο<br />

κος Χρήστος<br />

Ο κος Χρήστος<br />

Βιδάκης, Διευθυντής, <strong>IT</strong><br />

Advisory, Risk and<br />

Management Consulting<br />

της KPMG<br />

Βιδάκης (Διευθυντής,<br />

<strong>IT</strong> Advisory,<br />

Risk and<br />

Management<br />

Consulting,<br />

KPMG), θέτοντας στο επίκεντρο σημαντικά<br />

ζητήματα όπως είναι τα κίνητρα των<br />

δράσεων Hacking - αν δηλαδή έχουν ως<br />

αφετηρία κάποια ιδεολογία ή είναι απλά<br />

Bussiness - ενώ παράλληλα μας παρουσίασε<br />

διάφορα σενάρια επίθεσης με τη<br />

χρήση εταιρικών πόρων (botnets). Επίσης<br />

παρακολουθήσαμε με ιδιαίτερο ενδιαφέρον<br />

μια επίδειξη που πραγματοποίησε<br />

ο κος Βιδάκης και αφορούσε σε<br />

σενάρια επίθεσης με την υποκλοπή κωδικών<br />

πρόσβασης, κλείνοντας την παρουσίασή<br />

του με το συμπέρασμα ότι<br />

απαιτούνται νέα αξιώματα ασφάλειας.<br />

Στην παρουσίασή του ο κος Μιχάλης<br />

Καλκαβούρας, (Technology Consulting<br />

της Accenture), αφού επισήμανε ότι σήμερα<br />

οι επιθέσεις είναι πολλαπλές και<br />

μεταβάλλονται συνέχεια, τόνισε την<br />

ανάγκη να εντοπίζουμε και να ασφαλίζουμε<br />

τους πόρους του ΙΤ και όχι μόνο<br />

την περίμετρο, να δημιουργούμε μια<br />

ισχυρή κουλτούρα ασφάλειας στην επιχείρηση,<br />

να δώσουμε<br />

μεγαλύτερη<br />

προσοχή<br />

στις εφαρμογές<br />

καθώς και στον<br />

έλεγχο της ταυτότητας<br />

του κάθε<br />

χρήστη και<br />

τέλος να αναπτύξουμε<br />

ακό-<br />

Ο κος Μιχάλης<br />

Καλκαβούρας,<br />

Technology Consulting μα περισσότερο<br />

την έννοια<br />

της Accenture<br />

του «Cyber Situational Awareness».<br />

Ο κος Θανάσης<br />

Διόγος, <strong>Security</strong><br />

Engineer της Microsoft<br />

Hellas<br />

Το συνέδριο<br />

έκλεισε με την<br />

ομιλία του κου<br />

Θανάση Διόγου,<br />

<strong>Security</strong><br />

Engineer της<br />

Microsoft Hellas,<br />

που περιέγραψε<br />

- παρουσιάζοντας<br />

χαρακτηριστικά<br />

παραδείγματα -<br />

το προφίλ και τους τρόπους δράσης των<br />

Anonymous μέσα από τα Social media,<br />

τα λεγόμενα “Online Riots” και επιθέσεις<br />

DDOS, ενώ παράλληλα επισήμανε τα<br />

νέα μοντέλα που απαιτούνται να υιοθετηθούν<br />

για την αντιμετώπιση των συγκεκριμένων<br />

φαινομένων. Ο ομιλητής έκλεισε<br />

“αποκαλύπτοντας” ότι το ΜΠΑ στο<br />

τίτλο της παρουσίασής του “Δεχόμαστε<br />

επίθεση; ΜΠΑ!” προέρχεται από το Μόνιμη<br />

Προηγμένη Απειλή, τονίζοντας ότι<br />

δεν υπάρχουν καθόλου περιθώρια εφησυχασμού.<br />

Θα πρέπει επίσης να αναφέρουμε ότι<br />

κατά τη διάρκεια των εργασιών του συνεδρίου<br />

στην ολομέλεια, διοργανώθηκαν<br />

παράλληλα <strong>Security</strong> Labs από τις<br />

εταιρείες Space Hellas, ODYSSEY<br />

CONSULTANTS και ESET HELLAS,<br />

καθώς επίσης και από το ISACA – Athens<br />

Chapter.<br />

24 | security

Ιδιαίτερα πολύτιμη για την επιτυχία του Infocom <strong>Security</strong> 2013 ήταν η υποστήριξη των χορηγών – εταιριών του συνεδρίου.<br />

Συγκεκριμένα, για ακόμα μια χρονιά Μεγάλος Χορηγός ήταν η Encode, ενώ Χρυσοί Χορηγοί ήταν οι <strong>IT</strong>way, Odyssey<br />

Consultants και Space Hellas.<br />

Χορηγοί του συνεδρίου ήταν οι εταιρίες Besecure, Census, Digital Sima, Eset Hellas, Intracom Telecom, <strong>IT</strong><br />

Open Solutions, Kaspsersky Lab, KPMG, McAfee, NSS & Sophos, PWC και RSA.<br />

Το συνέδριο υποστήριξαν επίσης οι εταιρίες E-systems, HOL, Lighthouse, Phoenix Pro, Premium<strong>IT</strong> και Τ&Κ<br />

ενώ ιδιαίτερα σημαντική ήταν και η υποστήριξη του ISACA Athens Chapater, του HEPIS και των χορηγών επικοινωνίας.<br />

iT<strong>Security</strong><br />

security | 25

I SSUE<br />

Της Παναγιώτας Τσώνη<br />

Mobile Device Management<br />

H αναγκαιότητα και οι απαιτήσεις<br />

Η νέα πραγματικότητα στο ΙΤ των επιχειρήσεων, που θέλει τις φορητές εταιρικές ή προσωπικές<br />

συσκευές των χρηστών να εντάσσονται στο υπολογιστικό οικοσύστημα του Οργανισμού,<br />

απαιτεί τους κατάλληλους μηχανισμούς διαχείρισης, που θα ελαχιστοποιήσουν τα ρίσκα<br />

που προκύπτουν από τη “φιλοξενία” των συσκευών αυτών στις ΙΤ υποδομές.<br />

O<br />

ι φορητές συσκευές, κυρίως smartphones και tablets, αξιοποιούνται πλέον ευρέως τόσο για ατομική χρήση όσο<br />

και σε εταιρικό επίπεδο. Και αυτό γιατί εισάγουν ένα υψηλό επίπεδο ευχρηστίας φέροντας πληθώρα εφαρμογών,<br />

επιτρέποντας την άμεση πρόσβαση στο Internet και αξιοποιώντας πλήρως τις WEB και cloud εφαρμογές. Όλα<br />

τα προαναφερόμενα τις καθιστούν ένα πολυεργαλείο που ο καθένας θέλει να χρησιμοποιεί για την απλοποίηση<br />

των καθημερινών διεργασιών του και στο εργασιακό περιβάλλον.<br />

Σε πρώτη φάση και λόγω της προσιτής τιμής τους πλέον, οι φορητές συσκευές εισήχθησαν στην επιχειρησιακή πραγματικότητα<br />

από τους ίδιους τους χρήστες και μάλιστα σε μεγάλο αριθμό. Έτσι δημιουργήθηκε το πρώτο πρόβλημα για τους ΙΤ διαχειριστές,<br />

οι οποίοι είναι αυτοί που πάντοτε είναι υπεύθυνοι για την εισαγωγή νέου υλικού στην εταιρική δομή, στα πλαίσια εφαρμογής της<br />

κεντρικής πολιτικής. Στην προκειμένη περίπτωση και λόγω των προαναφερομένων δυνατοτήτων των φορητών συσκευών “υπέκυψαν”<br />

στη νέα πραγματικότητα, αλλά απεδείχθησαν ανέτοιμοι να αντιμετωπίσουν όλα τα θέματα ασφάλειας που ανέκυπταν α-<br />

πό τη νέα τεχνολογία. Κι αυτό γιατί στο παρελθόν όλο το υλικό και λογισμικό της εταιρείας αποτελούσε κτήμα της και βρισκόταν<br />

υπό τον πλήρη έλεγχό της, από τη στιγμή εισαγωγής της στο σύστημα.<br />

Κατά συνέπεια, για να είναι ωφέλιμη η χρήση φορητών συσκευών για μία επιχείρηση, πρέπει να γίνει επανακαθορισμός των πολιτικών<br />

ασφαλείας που θα εφαρμόζονται, να διαμορφωθούν εκ νέου τα εργαλεία παροχής προστασίας ή να αποκτηθούν νέα και<br />

26 | security

καταλληλότερα και γενικά να υπολογιστούν προσεκτικά όλα<br />

τα διαχειριστικά θέματα που ανακύπτουν και φυσικά καλύπτουν<br />

ένα ευρύ φάσμα. Ακολούθως, σε πρώτη φάση θα αναλυθούν<br />

τα σημεία εκείνα που πρέπει μια εταιρεία να λάβει υπόψη της<br />

κατά την ΙΤ διαχείριση των φορητών συσκευών και εν συνεχεία<br />

θα παρατεθούν οι σημαντικότεροι τομείς που πρέπει να καλύπτει<br />

ένα λογισμικό ασφαλείας που εφαρμόζεται ειδικά για τις<br />

ενδοεταιρικές φορητές συσκευές.<br />

Διαχειριστικά θέματα σχετικά με τις εταιρικές<br />

φορητές συσκευές<br />

Η εισαγωγή των φορητών συσκευών στην επιχειρησιακή πραγματικότητα<br />

συνεπάγεται αφενός τη διευκόλυνση των διεργασιών<br />

του καθημερινού έργου, αλλά και τη λήψη ρίσκου και την<br />

εισαγωγή διαχειριστικών προβλημάτων. Έτσι το ΙΤ τμήμα πρέπει<br />

να εξασφαλίσει τρόπους που αυτές οι συσκευές θα διαμορφώνονται,<br />

θα υπόκεινται σε λειτουργικούς ελέγχους και<br />

δοκιμές και θα συμμορφώνονται με τους κανόνες ασφάλειας<br />

που τίθενται σε επιχειρησιακό επίπεδο, ειδικότερα στις περιπτώσεις<br />

όπου ακολουθείται η πολιτική του Βring Υour Own Device<br />

- BYOD.<br />

Διαμόρφωση συσκευής: Στις περιπτώσεις όπου η εταιρεία<br />

προμηθεύει τους υπαλλήλους της με φορητές συσκευές, το ΙΤ<br />

τμήμα οφείλει προτού τις παραδώσει στον τελικό χρήστη να<br />

τις ενεργοποιήσει, να τις διαμορφώσει και να εγκαταστήσει σε<br />

αυτές όλες εκείνες τις εφαρμογές που θα τις καταστήσουν λειτουργικές<br />

για την επιχείρηση. Παρόλα αυτά, μιας και ο σχεδιασμός<br />

αυτών των συσκευών ήταν για ιδιωτική χρήση, μπορεί<br />

να φέρουν εφαρμογές που να επιτρέπουν στο χρήστη να διαμορφώσει<br />

μόνος του τη συσκευή του, όπως μέσω του iTunes<br />

σε ένα iPad.<br />

Στην περίπτωση όμως που ο καθένας εισάγει στην επιχείρηση<br />

τη συσκευή της επιλογής του, πρέπει να υπάρχει μέριμνα ώστε<br />

η διαμόρφωση και η παρακολούθηση των συσκευών να είναι<br />

εφικτή για κάθε διαφορετικό λειτουργικό σύστημα που υπάρχει<br />

στην αγορά (Android, BlackBerry, iOS και Windows). Σε<br />

αυτό το σημείο είναι που ανακύπτει η ανάγκη ενός λογισμικού<br />

που θα διαχειρίζεται όλες αυτές τις διαφορετικές πλατφόρμες<br />

επιτυχώς και θα ασκεί ταχύ και ουσιαστικό έλεγχο κατά τη λειτουργία<br />

τους, μιας και η κάλυψη αυτού του όγκου συσκευών<br />

με τα παραδοσιακά εργαλεία δεν είναι πλέον εφικτή. Έτσι κάθε<br />

εταιρεία πρέπει να υιοθετήσει μια εφαρμογή διαχείρισης<br />

φορητών συσκευών, MDM: Mobile Device Management.<br />

Επιπρόσθετα, οι αυστηρά επαγγελματικές εφαρμογές που διαθέτουν<br />

οι φορητές συσκευές ίσως χρειαστούν με τη σειρά τους<br />

κάποιες αλλαγές για να συνεργάζονται αρμονικά με τις εταιρικές<br />

εφαρμογές. Για παράδειγμα, για να προστεθεί ένας MDM<br />

agent στη συσκευή, ίσως απαιτηθεί η αναβάθμιση του Microsoft<br />

Exchange ActiveSync και η αλλαγή των πολιτικών του. Με τη<br />

χρήση των δύο ανωτέρω εφαρμογών, θα μπορούσαν οι ΙΤ διαχειριστές<br />

να αποφασίσουν ακόμα και απομακρυσμένα να διαγράψουν<br />

κάποια αρχεία από μία συσκευή ή αν απαιτείται να ε-<br />

φαρμόσουν ολική εκκαθάρισή της και επαναφορά στις εργοστασιακές<br />

ρυθμίσεις λόγω παραβίασης κάποιας πολιτικής α-<br />

σφάλειας.<br />

Έλεγχος εφαρμογών: Οι φορητές συσκευές έχουν την ιδιαιτερότητα<br />

της μικρότερης επεξεργαστικής ισχύος, μνήμης και ο-<br />

θόνης σε σχέση με έναν παραδοσιακό σταθμό εργασίας. Προφανώς,<br />

προτού η ΙΤ διαχείριση και οι διεργασίες της εταιρείας<br />

στηριχτούν σε συγκεκριμένες εφαρμογές, πρέπει πρώτα να δοκιμαστούν<br />

για την επιτυχή λειτουργία τους στις φορητές συσκευές.<br />

Επίσης πρέπει να ελεγχθεί η απόδοση αυτών των ε-<br />

φαρμογών όταν καλούνται να επικοινωνήσουν με το εταιρικό<br />

δίκτυο μέσω Wifi ή μέσω κυψελοειδούς δικτύου, μιας και είθισται<br />

σε αυτές τις περιπτώσεις να υποβαθμίζεται αισθητά.<br />

Ασφάλεια: Ο σημαντικότερος τομέας που πρέπει να αντιμετωπιστεί<br />

από το ΙΤ τμήμα σχετικά με τις φορητές συσκευές, είναι<br />

η προστασία των εταιρικών δεδομένων και διεργασιών που<br />

φέρουν. Ακόμα και αν ένας υπάλληλος αποχωρήσει από την<br />

εταιρεία και διακοπεί η πρόσβασή του στο εταιρικό δίκτυο, στη<br />

φορητή συσκευή του θα διατηρεί ευαίσθητα δεδομένα της ε-<br />

ταιρείας, που πρέπει να ανακτηθούν και να διαγραφούν άμεσα.<br />

Μέτρα ασφαλείας που μπορούν να ληφθούν είναι η χρήση<br />

πιστοποιητικών SSL, η πλήρης κρυπτογράφηση του δίσκου,<br />

η χρήση συστημάτων virtualization του σταθμού εργασίας και<br />

η απομακρυσμένη διαγραφή των συσκευών.<br />

Τα SSL πιστοποιητικά πρέπει να χρησιμοποιούνται όταν η ε-<br />

ταιρεία θέλει να αυθεντικοποιήσει τις συσκευές που συνδέονται<br />

στο δίκτυό της και έχουν πρόσβαση στις εφαρμογές της. Η<br />

πλήρης κρυπτογράφηση του δίσκου της φορητής συσκευής<br />

βοηθά στην αποφυγή απώλειας δεδομένων, αν και δημιουργεί<br />

κάποια προβλήματα συνεργασίας με τις εφαρμογές, ιδιαίτερα<br />

στις περιπτώσεις όπου κάθε χρήστης χρησιμοποιεί την προσωπική<br />

του συσκευή. Η απομακρυσμένη διαγραφή – εκκαθάριση<br />

βοηθά στην αποτροπή πρόσβασης στα εταιρικά δεδομένα.<br />

Οι χρήστες πρέπει να είναι ενήμεροι για τις συνθήκες υ-<br />

πό τις οποίες κάτι τέτοιο θα εφαρμοστεί και επίσης η μέθοδος<br />

εγείρει θέματα σχετικά με τα προσωπικά δεδομένα του χρήστη,<br />

εφόσον τη συσκευή δεν του την έχει προμηθεύσει η ε-<br />

ταιρεία. Τέλος, τα συστήματα Desktop virtualization παρέχουν<br />

πρόσβαση σε εφαρμογές και δεδομένα που είναι κεντρικά α-<br />

ποθηκευμένα και διαχειρίζονται άμεσα από το ΙΤ τμήμα. Οι<br />

χρήστες λειτουργούν μέσω virtual desktops στις φορητές συσκευές<br />

τους, αποφεύγοντας έτσι τον κίνδυνο να διατηρήσουν<br />

στη μνήμη τους δεδομένα της εταιρείας ή να εγκαταστήσουν<br />

εταιρικές εφαρμογές.<br />

security | 27

I SSUE<br />

Mobile Device Management<br />

Η υιοθέτηση του MDM<br />

Όλα τα προαναφερόμενα αποτελούν θέματα που άπτονται της<br />

λειτουργίας του ΙΤ τμήματος κάθε εταιρείας. Ιδανικά, κάθε ε-<br />

ταιρική συσκευή θα έπρεπε να διαχειρίζεται από το ΙΤ τμήμα<br />

καθ’ όλη τη διάρκεια της “ζωής” της, δηλαδή από τη στιγμή που<br />

ενεργοποιείται έως τη στιγμή που αποσύρεται. Το πρόβλημα,<br />

που ενισχύθηκε με την ολιγωρία των εταιρειών στην αρχή της<br />

εμφάνισης των φορητών συσκευών, είναι ότι δεν γίνεται να<br />

προστατεύσεις οτιδήποτε δεν διαχειρίζεσαι και δεν μπορείς<br />

να διαχειριστείς οτιδήποτε δεν βλέπεις.<br />

Γι’ αυτόν το λόγο απαιτείται η υιοθέτηση ενός συστήματος<br />

MDM, ώστε να εξασφαλίζεται η επιθυμητή «ορατότητα» για τις<br />

συσκευές που συνδέονται απομακρυσμένα στο ε-<br />

ταιρικό δίκτυο και να επιτυγχάνεται η διαχείρισή<br />

τους σε όλα τα επίπεδα που απασχολούν<br />

τους ΙΤ διαχειριστές. Φυσικά,<br />

κάθε MDM έχει τα δικά του χαρακτηριστικά<br />

και καλύπτει συγκεκριμένους<br />

τομείς, ενώ η πολυπλοκότητα<br />

αυξάνεται αν ληφθεί υπόψη και η<br />

ποικιλία συσκευών που υπάρχουν<br />

στην αγορά. Έτσι, προτού αποφασιστεί<br />

ποιο λογισμικό θα αποκτηθεί από<br />

την εταιρεία, πρέπει να αποσαφηνιστούν<br />

οι στόχοι της σε σχέση με τη διαχείριση<br />

των φορητών συσκευών. Ακολουθεί μια λίστα<br />

από τομείς που καλύπτουν χαρακτηριστικά και δυνατότητες<br />

των MDM, αν και πρέπει να σημειωθεί ότι είναι δύσκολο<br />

ένα MDM να καλύπτει όλα τα ακόλουθα καθ’ ολοκληρία.<br />

Αρχειοθέτηση φορητών συσκευών: Σημαντική είναι η αρχειοθέτηση<br />

των φορητών συσκευών που ανήκουν στο εταιρικό<br />

δίκτυο, των χαρακτηριστικών που διαθέτουν και των εξαρτημάτων<br />

που φέρουν. Το MDM καταγράφει τις συσκευές και<br />

τα βασικά χαρακτηριστικά τους (μοντέλο υλικού και έκδοση λογισμικού)<br />

και συλλέγει αναφορές για σχετιζόμενα με αυτές ε-<br />

ξαρτήματα, όπως προσαρμογείς ασύρματου δικτύου και φορητές<br />

μνήμες. Επίσης κατηγοριοποιεί τις συσκευές είτε βάσει<br />

του λειτουργικού συστήματος που φέρουν είτε βάσει της κατάστασης<br />

λειτουργίας τους (άγνωστη, εξουσιοδοτημένη κ.ά.).<br />

Για την ανανέωση του αρχείου συσκευών το MDM εκτελεί λειτουργίες<br />

ανίχνευσης σε τακτά χρονικά διαστήματα, σαρώνοντας<br />

τις συνδεδεμένες στο δίκτυο συσκευές και αναζητώντας<br />

διαφοροποιήσεις όπως προσθήκη νέων συσκευών, απόσυρση<br />

παλαιοτέρων ή αλλαγή στην κατάσταση λειτουργίας τους. Τέλος,<br />

με τη βοήθεια του MDM και του GPS που φέρουν πλέον<br />

τα περισσότερα smartphones καταγράφεται με ακρίβεια και η<br />

φυσική θέση της κάθε συσκευής. Το αρχείο μπορεί να αποτελέσει<br />

μέρος της βάσης δεδομένων της εταιρείας και να χρησιμοποιηθεί<br />

για αναζήτηση και εξαγωγή αναφορών.<br />

Διαμόρφωση φορητής συσκευής: Η διαχείριση των φορητών<br />

συσκευών αποτελεί μια πολύπλοκη διαδικασία λόγω των πολυάριθμων<br />

κατασκευαστών και των διαφορετικών λειτουργικών<br />

συστημάτων που φέρουν, σε διαφορετικές επίσης εκδόσεις.<br />

Οι βασικές διαχειριστικές διεργασίες πρέπει να προαποφασιστεί<br />

ποια από τα ανωτέρω θα υποστηρίζουν και εν συνεχεία<br />

να επιλεγεί το κατάλληλο MDM λογισμικό. Φυσικά η<br />

διαχείριση επιβάλλει την εγγραφή της συσκευής<br />

στο εταιρικό δυναμικό, κάτι που επιτυγχάνεται<br />

είτε αυτόματα μέσω MDM είτε<br />

από τον ίδιο το χρήστη, πάντα με την<br />

τελική έγκριση από τους διαχειριστές.<br />

Ακολούθως, ένας MDM agent πρέπει<br />

να εγκατασταθεί στη συσκευή,<br />

κάτι που ανάλογα το λογισμικό γίνεται<br />

είτε χειροκίνητα είτε με συγχρονισμό<br />

μέσω σταθμού εργασίας, email<br />

ή url που δίνεται στο χρήστη μέσω email<br />

ή SMS. Για να καταστεί η συσκευή λειτουργική<br />

για την επιχείρηση πρέπει να παρακαμφθούν<br />

αρκετές από τις εργοστασιακές ρυθμίσεις<br />

που φέρει και να εφαρμοστούν νέες, ώστε ουσιαστικά να α-<br />

ποκλειστεί η χρήση συγκεκριμένων εφαρμογών και να επιτραπεί<br />

η χρήση άλλων. Ορίζονται λοιπόν τυπικές διαμορφώσεις για<br />

κάθε είδους συσκευές, οι οποίες εφαρμόζονται με τη βοήθεια<br />

του MDM μετά την αρχική ενεργοποίηση ή μέσω hard reset,<br />

με τις οποίες μπορούν να οριστούν κωδικοί πρόσβασης, να<br />

προστεθούν κλειδιά registry ή να δημιουργηθούν νέα μενού στις<br />

συσκευές.<br />

Διανομή λογισμικού: Πολλά MDM συστήματα παρέχουν εργαλεία<br />

διανομής και αναβάθμισης των εφαρμογών που φέρουν<br />

οι φορητές συσκευές. Ουσιαστικά βοηθούν τους διαχειριστές<br />

να καθορίσουν και να ομαδοποιήσουν τα δεδομένα που θα α-<br />

ποσταλούν προς τη συσκευή και εφαρμόζουν και τις απαιτούμενες<br />

για τη συσκευή ρυθμίσεις, ώστε να υπάρχει ομαλή λειτουργία<br />

τόσο της συσκευής όσο και της εφαρμογής που ε-<br />

γκαταστάθηκε. Η αποστολή των δεδομένων προς τη συσκευή<br />

ίσως να απαιτεί τη χρήση μη αξιόπιστων ή περιορισμένων<br />

28 | security

WANs - και σε αυτή την περίπτωση το MDM προσφέρει συμπίεση<br />

των δεδομένων, σταδιακή αναβάθμιση και διαχείριση<br />

του εύρους σε σχέση με τον όγκο των δεδομένων, επιχειρώντας<br />

ουσιαστικά την αναβάθμιση ή την ολοκλήρωσή της, μόνο<br />

όταν αναγνωρίζει γρήγορες συνδέσεις με χαμηλό κόστος.<br />

Το MDM φροντίζει για την ορθότητα και ταχύτητα της εκάστοτε<br />

αναβάθμισης, ώστε να μην υπάρξει δυσμενές αντίκτυπο<br />

στη χρήση της συσκευής και να μην απαιτηθεί εκτενής χρόνος<br />

επιδιόρθωσης μιας ανεπιτυχούς αναβάθμισης.<br />

Διαχείριση ασφάλειας: Στις φορητές συσκευές τα θέματα<br />

διαχείρισης της ίδιας της συσκευής και τα θέματα ασφάλειας<br />

που προκύπτουν από αυτή, συγκλίνουν. Για παράδειγμα,<br />

απαιτείται αποσύνδεση μιας συσκευής που δεν χρησιμοποιείται<br />

από εξουσιοδοτημένο χρήστη. Με τη βοήθεια του MDM<br />

επιτυγχάνεται συνεργασία μεταξύ των καταλόγων εξουσιοδοτημένων<br />

χρηστών της εταιρείας και της διαδικασίας αυθεντικοποίησης<br />

ενός χρήστη κατά τη σύνδεσή του στο εταιρικό<br />

δίκτυο και εξασφαλίζεται η διακοπή της επικοινωνίας του<br />

αν αποτύχει να πιστοποιηθεί. Επίσης οι MDM agents βοηθούν<br />

στην εφαρμογή πολιτικών ασφαλείας σχετικά με την εισαγωγή<br />

κωδικών πρόσβασης (πόσες αποτυχημένες προσπάθειες<br />

θα επιτρέπονται) ή αν θα επιτρέπονται επείγουσες<br />

κλήσεις πριν την καταχώριση του κωδικού. Αυτές οι λειτουργίες<br />

ξεπερνούν κατά πολύ τις λειτουργίες που επιτελεί το λειτουργικό<br />

σύστημα οποιασδήποτε φορητής συσκευής. Επιπρόσθετα,<br />

στον τομέα των δεδομένων επιτρέπεται η επιλεκτική<br />

ή ολοκληρωτική διαγραφή τους από τη συσκευή μέσω<br />

MDM, ενώ για την ασφαλή διακίνηση δεδομένων προσφέρουν<br />

ασφαλή κανάλια επικοινωνίας αντί να βασίζονται σε<br />

πρωτόκολλα τρίτων κατασκευαστών. Στον τομέα των εφαρμογών<br />

καθορίζεται η αποδοχή ή απαγόρευση της λειτουργίας<br />

τους, καθώς και μέσω κάποιων ρυθμίσεων απενεργοποιούνται<br />

επικίνδυνες πλατφόρμες λειτουργίας και επισφαλείς<br />

ασύρματες επιλογές.<br />

Προστασία δεδομένων: Πιο αναλυτικά, για την προστασία και<br />

τη διατήρηση της ακεραιότητας των δεδομένων, τα MDM προσφέρουν<br />

κρυπτογράφηση των αποθηκευμένων στις φορητές<br />

συσκευές δεδομένων, ώστε να μην προσπελαύνονται από μη<br />

εξουσιοδοτημένους χρήστες. Επίσης για να μην υπάρξει απώλεια<br />

αυτών των δεδομένων είτε λόγω καταστροφής της συσκευής<br />

είτε λόγω απώλειάς της, τα MDM προσφέρουν απομακρυσμένη<br />

λήψη αντιγράφων ασφαλείας και αποκατάστασή<br />

τους όταν αυτό κρίνεται αναγκαίο. Τέλος, διατηρείται η πορεία<br />

των δεδομένων που μέσω απομακρυσμένου συγχρονισμού ή<br />

μέσω τοποθέτησής τους σε φορητές αποσπώμενες μνήμες α-<br />

ντιγράφονται από εταιρικές φορητές συσκευές, ώστε να μη<br />

μπορούν να κλαπούν.<br />

Έλεγχος και υποστήριξη: Η απόκτηση ενός MDM λογισμικού<br />

έχει ως στόχο να μετακινηθεί το βάρος της συνεχούς ε-<br />

πίβλεψης μιας συσκευής από το ΙΤ τμήμα στη συσκευή του<br />

χρήστη. Έτσι μέσω του MDM agent οι χρήστες μπορούν να α-<br />

νακτήσουν χαμένους κωδικούς πρόσβασης, να καταχωρίσουν<br />

τη συσκευή τους, να λάβουν προαιρετικό λογισμικό που τους<br />

ενδιαφέρει ή να ανακτήσουν χαμένα δεδομένα μέσω των α-<br />

ντιγράφων ασφαλείας. Αν κάποια συσκευή αστοχήσει λειτουργικά,<br />

το MDM μπορεί να εφαρμόσει κατάλληλες ρυθμίσεις<br />

για τη συγκεκριμένη συσκευή, αλλά και να συντάξει αναφορές<br />

για την κατάσταση λειτουργίας της, όπως κατάσταση μνήμης,<br />

μπαταρίας, συνδεσιμότητας. Αν η αστοχία τελεστεί όταν ο χρήστης<br />

βρίσκεται εκτός του φυσικού χώρου της εταιρείας, δίνεται<br />

η δυνατότητα μέσω διαμοιρασμού της οθόνης τους το<br />

MDM να υποστηρίξει τη συσκευή και μάλιστα σε πραγματικό<br />

χρόνο. Επίσης, προς εξυπηρέτηση των ΙΤ διαχειριστών καταγράφεται<br />

το ιστορικό δραστηριότητας των χρηστών και των συσκευών<br />

τους, αλλά χρειάζεται προσοχή στο πόσο λεπτομερείς<br />

και εις βάθος είναι αυτές οι αναφορές. Τέλος και οι φορητές<br />

συσκευές πρέπει σε θέματα ασφάλειας να συμμορφώνονται<br />

με τους κανονισμούς στους οποίους υπόκειται ολόκληρη<br />

η εταιρεία. Μέσω των MDM παράγονται αυτόματα α-<br />

ναφορές αξιολόγησης της λειτουργίας τους, που ουσιαστικά<br />

αποδεικνύουν αν είναι συμβατές με τις πολιτικές ασφάλειας<br />

της εταιρείας.<br />

Προφανώς, κάθε εταιρεία έχει τις δικές της ανάγκες και τους<br />

δικούς της διαχειριστικούς στόχους και δεν απαιτείται το MDM<br />

που θα επιλέξει να φέρει όλα τα προαναφερόμενα χαρακτηριστικά.<br />

Επίσης, δύσκολα ένα MDM προϊόν μπορεί να καλύψει<br />

επαρκώς όλες τις εταιρικές ανάγκες. Με γνώμονα όμως τα α-<br />

νωτέρω, ξεκαθαρίζεται ποιοι είναι οι τομείς δραστηριοποίησης<br />

των MDM, ποιοι από αυτούς καλύπτονται από προγενέστερα<br />

εταιρικά συστήματα διαχείρισης, ποιοι χρήζουν ιδιαίτερης προσοχής<br />

και ποιοι τελικά πρέπει να καλυφθούν. Πριν την τελική<br />

απόφαση είναι σαφές ότι απαιτείται πειραματισμός με τις δοκιμαστικές<br />

εκδόσεις, ώστε να οργανωθεί μια ρεαλιστική στρατηγική<br />

για το χειρισμό των φορητών συσκευών. iT<strong>Security</strong><br />

security | 29

I SSUE<br />

Της Παναγιώτας Τσώνη<br />

Αναδυόμενες τεχνολογίες<br />

στο Storage<br />

Οι εξελίξεις στην τεχνολογία στον τομέα της αποθήκευσης δεδομένων έχουν οδηγήσει στην<br />

εμφάνιση νέων μεθόδων διαχείρισης του όγκου των πληροφοριών σε μία επιχείρηση, που<br />

αλλάζουν συνολικά τον τρόπο προσέγγισης της αποθήκευσης.<br />

O<br />

ι νέες τεχνολογίες στο storage δεν αποτελούν απλώς αντικείμενο μελέτης και διερεύνησης ως προς την εφαρμοστικότητά<br />

τους στο εταιρικό γίγνεσθαι, αλλά είναι έτοιμες προς χρήση και οι περισσότερες ήδη βρίσκονται στην<br />

αγορά με αρκετούς υποστηρικτές. Καλούμαστε λοιπόν να αναζητήσουμε τους σημαντικότερους νέους τρόπους<br />

αποθήκευσης, που κερδίζουν έδαφος μέρα με τη μέρα και σύντομα θα αποτελούν το επόμενο βήμα επένδυσης<br />

κάθε Οργανισμού.<br />

Σύμφωνα, με τα δεδομένα που προκύπτουν από έρευνες αγοράς στον τομέα του ΙΤ, εκτιμάται ότι μέσα στο 2013 οι περισσότεροι<br />

προμηθευτές αποθηκευτικών μέσων θα αποκλίνουν από το μονοπάτι των σκληρών δίσκων και θα κατευθυνθούν προς τις νέες<br />

τεχνολογίες, όπως είναι τα all-flash arrays, μιας και το κόστος τους μειώνεται αισθητά ενώ η απόδοσή τους βελτιώνεται θεαματικά.<br />

Παράλληλα, στον τομέα της υποστήριξης των εταιρικών εφαρμογών και της αύξησης της ταχύτητας απόκρισης των α-<br />

ποθηκευτικών μέσων, οι SSD δίσκοι θεωρούνται πλέον η καταλληλότερη επιλογή. Από αυτή την πορεία δεν θα μπορούσαν να<br />

<strong>30</strong> | security

λείπουν οι cloud τεχνολογίες, που μεταξύ άλλων εισάγουν ευκολίες<br />

και στο Business Continuity, προσφέροντας φθηνές virtual<br />

υποδομές και σχεδόν άμεση αποκατάσταση. Η τεχνολογία<br />

snapshot για τη λήψη αντιγράφων, επίσης αναδεικνύεται ως<br />

μια εξελίξιμη πρόταση αποθήκευσης, μιας και απλοποιεί τις καθημερινές<br />

διεργασίες διασφάλισης των δεδομένων, ενώ πολλά<br />

από τα διατηρούμενα δεδομένα ίσως τελικά καταλήγουν σε<br />

συστήματα που είναι ειδικά σχεδιασμένα να λειτουργούν σε<br />

virtual περιβάλλοντα. Όλες οι προαναφερόμενες τεχνολογίες<br />

διευκολύνουν και απλοποιούν τις διαδικασίες αποθήκευσης και<br />

φύλαξης των δεδομένων και καθεμία προσφέρει υπηρεσίες<br />

που μέχρι σήμερα ήταν χρονοβόρες και απαιτούσαν υψηλή ε-<br />

πεξεργαστική ισχύ.<br />

Αποθήκευση σε all-flash arrays<br />

Αναζητώντας υψηλότερες ταχύτητες απόκρισης από τα αποθηκευτικά<br />

μέσα, η αγορά κατευθύνθηκε προς τα flash συστήματα.<br />

Ως flash array ορίζεται ένα solid state σύστημα αποθήκευσης<br />

που αποτελείται από πολλαπλές flash μνήμες, αντί για<br />

δίσκους. Ως κορυφαία βαθμίδα στον τομέα θεωρούνται τα α-<br />

μιγώς SSD συστήματα, τα οποία αποδίδουν 500.000 - 1.000.000<br />

IOPS (Input/Output Operations Per Second). Στην αμέσως<br />

προηγούμενη βαθμίδα βρίσκονται συστήματα που παρέχουν<br />

100.000 - 200.000 IOPS, αλλά ως δομές δεν απαρτίζονται καθ’<br />

ολοκληρία από SSDs. Ο λόγος λοιπόν που οι εταιρείες κατευθύνθηκαν<br />

προς τα all-flash arrays ως αποθηκευτικά μέσα, ή-<br />

ταν το χαμηλότερο κόστος τους, ενώ με τον καιρό παρατηρήθηκε<br />

υψηλό ποσοστό υιοθέτησής τους.<br />

Από την άλλη μεριά, η χρήση των αμιγών SSD συστημάτων<br />

προέκυψε από την ανάγκη της αύξησης των IOPS ή γενικότερα<br />

της απόδοσης των αποθηκευτικών μέσων, χρησιμοποιώντας<br />

το λιγότερο δυνατό φυσικό χώρο και επενδύοντας το λιγότερο<br />

δυνατό κεφάλαιο. Σε αναλογίες τιμής ανά GB, το κόστος<br />

των SSD συστημάτων φαίνεται υπέρογκο - αν όμως μετρηθεί<br />

η αναλογία τιμής ανά IOPS, τότε η επένδυση φαίνεται λογική.<br />

Ουσιαστικά η τεχνολογία χρησιμοποιείται από επιχειρήσεις<br />

που οι καθημερινές διεργασίες τους βασίζονται σε συγκεκριμένες<br />

εφαρμογές, οι οποίες πρέπει να διατηρούν μια σταθερά<br />

υψηλή απόδοση. Διεργασίες όπως είναι η ανάλυση δεδομένων,<br />

η ψηφιακή απεικόνιση, οι δομές virtual σταθμών εργασίας,<br />

οι εφαρμογές βάσεων δεδομένων, τα συστήματα οικονομικών<br />

συναλλαγών και γενικότερα τα συστήματα που απαιτούν<br />

υψηλό όγκο διακίνησης δεδομένων.<br />

Στις μέρες μας όλοι οι κατασκευαστές SSD συστημάτων πασχίζουν<br />

να ελαττώσουν το κόστος αγοράς τους, καθώς και να<br />

τα τελειοποιήσουν σχεδιαστικά ώστε να παρέχουν τη μεγαλύτερη<br />

απόδοση. Ένας τρόπος μείωσης του κόστους είναι η χρήση<br />

MLC (πολλαπλών κελιών) συστημάτων SSD, αντί για SLC<br />

(απλού κελιού) που είναι πιο ακριβά. Οι SLC flash μνήμες έχουν<br />

μεγαλύτερο χρόνο ζωής, επιτρέποντας έως 100.000 κύκλους εγγραφής,<br />

ενώ είναι πιο αξιόπιστες. Οι MLC μνήμες επιτρέπουν<br />

έως 10.000 κύκλους εγγραφής, αλλά οι κατασκευαστές μέσω ειδικών<br />

πρωτοκόλλων που ρυθμίζουν τον τρόπο εγγραφής, έ-<br />

χουν επιτύχει την αύξηση της απόδοσης και της διάρκειας των<br />

μνημών. Αναμένεται λοιπόν μέσα στο 2013 να σημειωθεί μια αισθητή<br />

απομάκρυνση από τα παραδοσιακά συστήματα αποθήκευσης<br />

των σκληρών δίσκων και ακόμα και σε μικρές επιχειρήσεις<br />

να υιοθετηθούν συστήματα flash arrays.<br />

Business Continuity μέσω cloud<br />

Πολλοί Οργανισμοί στις μέρες μας δεν διαθέτουν την επαρκή<br />

προστασία στον τομέα της αποκατάστασης των δεδομένων<br />

και υπηρεσιών τους από ενδεχόμενη καταστροφή. Και αυτό, γιατί<br />

το κόστος είναι υψηλό, η διαδικασία πολύπλοκη και ίσως α-<br />

ναποτελεσματική για να αξίζει να προστατευθεί μια επιχείρηση<br />

στο σύνολό της. Συνήθως οι πιο κρίσιμες εφαρμογές είναι<br />

εκείνες που χαίρουν πλήρους προστασίας και όλες οι υπόλοιπες<br />

εταιρικές διεργασίες καλύπτονται στο ελάχιστο και α-<br />

πλούστερο δυνατό.<br />

Η τεχνολογία cloud θεωρείται ότι έχει ως έμφυτο χαρακτηριστικό<br />

της την προστασία των δεδομένων και εφαρμογών από<br />

μια ενδεχόμενη καταστροφή των εταιρικών υποδομών και είναι<br />

προσιτή από επιχειρήσεις όλων των βαθμίδων, μιας και ό-<br />

λοι μπορούν να αποστείλουν ένα αντίγραφο ασφαλείας σε μία<br />

cloud υπηρεσία αποθήκευσης. Επιπρόσθετα, μέσω του server<br />

virtualization, όταν οι διεργασίες τοπικά διακοπούν, είναι εφικτό<br />

άμεσα να δημιουργηθούν νέοι servers μέσω cloud και έ-<br />

τσι να προσπελαθούν τα εταιρικά δεδομένα.<br />

security | 31

I SSUE<br />

Αναδυόμενες τεχνολογίες στο Storage<br />

Γενικά, σήμερα θεωρείται ολιγωρία από τα ΙΤ τμήματα των<br />

Οργανισμών, αν δεν έχουν ήδη αποστείλει ένα αντίγραφο α-<br />

σφαλείας σε κάποια cloud υπηρεσία, μιας και με αυτόν τον τρόπο<br />

μετακινούνται από τα παραδοσιακά συστήματα αποκατάστασης<br />

καταστροφών σε ένα περιβάλλον cloud, που παρέχεται<br />

από ένα τρίτο κατασκευαστή. Έτσι, ακόμα και οι μικρές ε-<br />

πιχειρήσεις δεν απαιτείται να επενδύσουν σε υλικό και λογισμικό<br />

για τη διατήρηση των εταιρικών δεδομένων, το οποίο<br />

συνήθως είναι πολύπλοκο ως δομή και έχει υψηλό κόστος, ε-<br />

νώ απαιτεί εργατικό δυναμικό για να είναι αξιόπιστο ως προς<br />

τη λειτουργία του.<br />

Η τεχνολογία εισάγει προβληματισμούς στον τομέα του τρόπου<br />

αποθήκευσης των δεδομένων στο cloud περιβάλλον. Δηλαδή<br />

ανακύπτουν θέματα όπως αν θα εφαρμόζεται η συγχρονισμένη<br />

ή ασύγχρονη ενημέρωση των cloud δεδομένων, με<br />

τα διαρκώς τοπικά μεταβαλλόμενα εταιρικά δεδομένα, ειδικότερα<br />

όταν υπάρχουν προβλήματα δικτυακού εύρους επικοινωνίας.<br />

Επίσης το είδος των δεδομένων που αποθηκεύονται σε<br />

ένα cloud αποθηκευτικό χώρο είναι προς συζήτηση, μιας και<br />

δεν υπάρχει ο απαιτούμενος βαθμός εφησυχασμού από μεριάς<br />

εταιρειών, ώστε να εμπιστευτούν τα κρίσιμα εταιρικά δεδομένα<br />

όπως είναι οι βάσεις δεδομένων τους ή οι κρίσιμες ε-<br />

φαρμογές τους σε έναν τρίτο κατασκευαστή. Είθισται να προτείνεται<br />

ένα συνδυαστικό σύστημα αποκατάστασης καταστροφών,<br />

στο οποίο μετέχουν τόσο τα παραδοσιακά συστήματα<br />

αποθήκευσης όσο και τα νέα cloud περιβάλλοντα, με τέτοιο<br />

τρόπο ώστε να επιτυγχάνεται ο υψηλότερος βαθμός προστασίας<br />

χωρίς να ανακύπτουν θέματα αξιοπιστίας και με το<br />

χαμηλότερο δυνατό κόστος.<br />

Λήψη Αντιγράφων Ασφαλείας μέσω snapshot<br />

Την τελευταία δεκαετία η προστασία των εταιρικών δεδομένων<br />

άρχισε να βασίζεται και στην τεχνολογία array-based snapshot<br />

με λογισμικό λήψης αντιγράφων ασφαλείας. Στις μέρες μας, ό-<br />

λο και περισσότερες πλατφόρμες λογισμικού λήψης αντιγράφων<br />

ασφαλείας φέρουν δυνατότητες ελέγχου και αρχειοθέτησης<br />

των snapshots, ενώ σε μερικές εξ αυτών δίνεται η δυνατότητα<br />

ανάκτησης συγκεκριμένων αρχείων ή αντικειμένων από ένα στιγμιότυπο,<br />

μετατρέποντας έτσι τα στιγμιότυπα σε ουσιαστικό μέρος<br />

της στρατηγικής προστασίας των δεδομένων.<br />

Υπάρχουν πέντε βασικοί λόγοι για τους οποίους τα array-based<br />

snapshots βρίσκονται στην πρώτη γραμμή της προστασίας των<br />

δεδομένων. Αρχικά δεν επιβαρύνουν καθόλου την απόδοση<br />

του συστήματος (μνήμη, επεξεργαστική ισχύ, εύρος) κατά τη<br />

λήψη των snapshots και δεν απαιτούν υψηλό όγκο μετακίνησης<br />

δεδομένων. Δεν διακόπτουν τις εταιρικές διεργασίες παρά για<br />

μερικά δευτερόλεπτα, διατηρώντας την απόδοση του συστήματος<br />

υψηλή και έτσι εξασφαλίζουν ότι τα δεδομένα δεν έχουν<br />

αλλάξει από τη στιγμή έναρξης της λήψης έως την ολοκλήρωση<br />

της διεργασίας. Τέλος υποστηρίζουν την πλήρη ανάκτηση των<br />

δεδομένων σε χρόνο λιγότερο από <strong>30</strong> λεπτά.<br />

Από την άλλη μεριά, τα array-based snapshots καταναλώνουν<br />

περισσότερο αποθηκευτικό χώρο για την αποθήκευση των α-<br />

ντιγράφων που λαμβάνουν, τα οποία επιπρόσθετα τοποθετούν<br />

στο ίδιο σημείο αποθήκευσης. Αυτό σημαίνει ότι μια τυχόν α-<br />

στοχία υλικού οδηγεί σε πλήρη απώλεια των αντιγράφων, κάτι<br />

από το οποίο δεν υποφέρουν τα παραδοσιακά συστήματα<br />

και οι μέθοδοι διατήρησης αντιγράφων ασφαλείας. Γενικότερα,<br />

τα array-based snapshots χρησιμοποιούνται για τη διατήρηση<br />

βραχύβιων αντιγράφων ασφαλείας. Η ιδανική λύση περιλαμβάνει<br />

συνεργασία των array-based snapshots με τα παραδοσιακά<br />

συστήματα αποθήκευσης, ώστε να εξασφαλίζεται<br />

γρήγορη και καθημερινή λήψη αντιγράφων χωρίς να διακόπτονται<br />

οι εταιρικές διεργασίες, ενώ ταυτόχρονα να διατηρούνται<br />

μόνιμα αντίγραφα για περιπτώσεις καταστροφής και<br />

σε βάθος χρόνου.<br />

Προσωρινή Flash Μνήμη server-based<br />

Η server-based flash cache αναδείχθηκε σε σημαίνουσα τεχνολογία<br />

των ημερών, μιας και κορυφαίοι κατασκευαστές (Dell,<br />

EMC, NetApp Inc.) την εισήγαγαν δυναμικά στην αγορά. Αναμένεται<br />

δε να αυξηθεί η ζήτηση γύρω από τη συγκεκριμένη τε-<br />

32 | security

χνολογία, αφού αποτελεί μια απλή τεχνική εισαγωγής προσωρινής<br />

μνήμης σε ένα server, χωρίς να απαιτεί αλλαγές στις ρυθμίσεις<br />

των εφαρμογών ή των υπαρχόντων συστημάτων αποθήκευσης,<br />

ενώ ταυτόχρονα βελτιώνει σημαντικά την τελική απόδοση<br />

του συστήματος. Ουσιαστικά πρόκειται για την τοποθέτηση<br />

μιας flash cache στο server των εφαρμογών αντί για την<br />

τοποθέτησή της στο σύστημα αποθήκευσης, κάτι που περιορίζει<br />

τα φαινόμενα αδράνειας στο δίκτυο. Για περαιτέρω περιορισμό<br />

της αδράνειας – καθυστέρησης, η μνήμη συνδέεται μέσω<br />

διαύλου PCI Express απευθείας στην ΚΜΕ και το σύστημα μνήμης,<br />

από το να συνδεόταν στα SAS/SATA-based SSDs.<br />

Εν γένει το λογισμικό που υποστηρίζει τις cache καθορίζει ποια<br />

είναι τα πιο συχνά χρησιμοποιούμενα δεδομένα και δημιουργεί<br />

ένα αντίγραφό τους στην cache. Οι αλγόριθμοί που εκτελούν<br />

τα ανωτέρω, διαφέρουν ανά κατασκευαστή και συνήθως<br />

απαιτούν ένα συγκεκριμένο χρονικό διάστημα έως ότου η μνήμη<br />

ενημερωθεί πλήρως για να αποδώσει τα μέγιστα. Οι αρχικές<br />

εγγραφές ξεκινούν από το server των εφαρμογών και κατευθύνονται<br />

προς το αποθηκευτικό σύστημα, ενώ η PCIe κάρτα<br />

ενημερώνεται ασύγχρονα ώστε να μην υποβαθμιστεί η α-<br />

πόδοση της εφαρμογής. Το λογισμικό καθορίζει αν η εφαρμογή<br />

μπορεί να εξυπηρετηθεί από την PCIe κάρτα, ώστε να ε-<br />

πιταχυνθεί η διεργασία.<br />

Υπάρχουν κατασκευαστές που υποστηρίζουν ένα πιο πολύπλοκο<br />

σύστημα server-based flash cache, με το οποίο στοχεύουν<br />

να επιταχύνουν τόσο τις εγγραφές όσο και τις αναγνώσεις<br />

στη μνήμη. Οι cache ανάγνωσης και εγγραφής απαιτούν<br />

τη δημιουργία περιπλοκότερου λογισμικού από τον κατασκευαστή,<br />

από ό,τι στις cache μόνο ανάγνωσης, μιας και οι<br />

εγγραφές τελούνται προτού τα δεδομένα εγγραφούν στο μόνιμο<br />

σύστημα αποθήκευσης και έτσι πρέπει να βρεθεί τρόπος<br />

να μη χαθούν τελικά πολύτιμες πληροφορίες.<br />

Πρόβλημα ανακύπτει όταν πρέπει να συνεργαστούν μνήμες<br />

και συστήματα αποθήκευσης διαφορετικών κατασκευαστών.<br />

Θεωρητικά κάτι τέτοιο είναι εφικτό, αλλά τονίζεται ότι η μέγιστη<br />

απόδοση επιτυγχάνεται όταν τα συστήματα που συνεργάζονται<br />

ανήκουν στον ίδιο κατασκευαστή.<br />

Συστήματα αποθήκευσης για Virtual Περιβάλλοντα<br />

Οι έννοιες της ενοποίησης και συγκέντρωσης, τα αναμενόμενα<br />

οφέλη στην αποτελεσματικότητα και το χαμηλό κόστος που<br />

αναμένονταν να επιτευχθούν μέσω των virtual servers και των<br />

VDI (virtual desktop infrastructure) επετεύχθησαν πλήρως, με<br />

μόνο τον τομέα της αποθήκευσης να υπολείπεται στη συνολική<br />

εικόνα. Οι κατασκευαστές καλούνται να αλλάξουν τον τρόπο<br />

που παρέχεται και διαχειρίζεται η αποθήκευση, ώστε να<br />

Το πρώτο εξειδικευμένο<br />

διμηνιαίο συνδρομητικό περιοδικό<br />

στην Ελλάδα, με θεματολογία<br />

στο χώρο της ασφάλειας.<br />

Γραφτείτε συνδρομητές τώρα!<br />

ΕΚΔΟΣΕΙΣ PRESS LINE<br />

ΜΑΓΕΡ 11, 104 38 ΑΘΗΝΑ<br />

ΤΗΛ.: 210.52.25.479, FAX: 210.52.43.345

I SSUE<br />

Αναδυόμενες τεχνολογίες στο Storage<br />

γεννάται μέσα από τα vCenter και να ενσωματώνεται πλήρως<br />

με τις vMachines (VMs).<br />

Μία ομάδα κατασκευαστών υποστηρίζει την τέλεση των αποθηκευτικών<br />

και επεξεργαστικών διεργασιών από το ίδιο σύστημα.<br />

Δηλαδή, η επεξεργαστική ισχύς του συστήματος να<br />

μοιράζεται μεταξύ της διαδικασίας αποθήκευσης και της υποστήριξης<br />

των VMs, με στόχο ουσιαστικά την απλούστευση που<br />

προκύπτει μέσω ενιαίας πλατφόρμας διαχείρισης. Φυσικά ο<br />

διαμοιρασμός των ίδιων υπολογιστικών πόρων (CPU, μνήμη και<br />

δικτύωση) τόσο για επεξεργασία όσο και για αποθήκευση είναι<br />

πιθανό να έχει αρνητικές επιπτώσεις στις vMachines - και<br />

το αντίστροφο.<br />

Παραδοσιακά, η αποθήκευση παρέχεται και διαχειρίζεται από<br />

τους servers σε επίπεδο όγκου δεδομένων ή LUN (logical u-<br />

nit number) και διαμοιράζεται σε όλες τις VMs. Αυτό όμως είχε<br />

ως αποτέλεσμα οι διεργασίες διαχείρισης της αποθήκευσης,<br />

όπως η λήψη snapshot, να μην είναι εφικτή σε επίπεδο VMs,<br />

κάτι που έγινε κατανοητό και αναζητήθηκαν τρόποι διαχείρισης<br />

μέσω ενός VM κεντρικού μοντέλου. Έτσι δημιουργήθηκαν<br />

διττά συστήματα ελέγχου αποθήκευσης, στα οποία όλες οι<br />

διεργασίες διακίνησης δεδομένων των VMs αποθηκεύονται σε<br />

SSDs και γίνεται εφικτή η λήψη αντιγράφων, ενώ τα μη ενεργά<br />

δεδομένα αποθηκεύονται σε SATA δίσκους στο παρασκήνιο.<br />

Το μειονέκτημα της διαχείρισης της αποθήκευσης σε επίπεδο<br />

VM είναι ότι αυτά τα συστήματα αποθήκευσης δεν μπορούν<br />

πλέον να χρησιμοποιηθούν σε μη virtual περιβάλλοντα.<br />

Επιπρόσθετα, η ενσωμάτωση με τους hypervisors υπήρξε ένας<br />

από τους κύριους παράγοντες διαφοροποίησης των προϊόντων<br />

αποθήκευσης που στοχεύουν στους virtualized servers.<br />

Δημιουργήθηκαν APIs αποθήκευσης, που επιτρέπουν τις διαχειριστικές<br />

εργασίες αποθήκευσης να τις αναλάβει ο hypervisor,<br />

όπως είναι το VMware vCenter. Η τεχνολογία VSA (Virtual<br />

storage appliances) υποστηρίζει ένα λογισμικό αποθήκευσης<br />

το οποίο εκτελείται σε μία VM και παρέχεται ως εικόνα VM,<br />

με στόχο το διαμοιρασμό διαφορετικών φυσικών μονάδων α-<br />

ποθήκευσης που ανήκουν σε διαφορετικούς servers, σε ένα κοινόχρηστο<br />

πόρο στον οποίο εκτελούνται virtualized εφαρμογές.<br />

Τέλος διατίθενται ολοκληρωμένες λύσεις UCP (Unified<br />

Compute Platform) που περιλαμβάνουν servers, δικτύωση και<br />

όλα εκείνα τα εξαρτήματα και τις εφαρμογές που απαιτούνται<br />

για την υλοποίηση των virtual servers, των VDI και της cloud<br />

υποστήριξής τους, όλα πλήρως υποστηριζόμενα από τους κατασκευαστές<br />

τους.<br />

Διαμοιρασμός αρχείων μέσω cloud και υπηρεσίες<br />

συγχρονισμού<br />

Με την εξέλιξη των φορητών συσκευών και την ουσιαστική<br />

πλέον ένταξή τους στο εταιρικό περιβάλλον λειτουργίας, κρίθηκε<br />

αναγκαία η ύπαρξη τεχνικής αποθήκευσης σε cloud επίπεδο<br />

όλων εκείνων των δεδομένων που ο χρήστης θα ζητά<br />

πρόσβαση όταν εργάζεται μέσω των συσκευών αυτών. Έτσι<br />

δημιουργήθηκαν οι cloud «τόποι», όπου πλέον βρίσκονται ε-<br />

ταιρικά δεδομένα και μέθοδοι συγχρονισμού όλων των συσκευών<br />

του χρήστη με αυτά.<br />

Ο διαμοιρασμός δεδομένων μέσω cloud τελείται με τρεις διαφορετικούς<br />

τρόπους: μέσω δημόσιου, ιδιωτικού ή υβριδικού<br />

μοντέλου. Αν και η μέθοδος υιοθετήθηκε αρχικά για την απομακρυσμένη<br />

επικοινωνία των εργαζομένων με την εταιρεία, οι<br />

ΙΤ διαχειριστές χρησιμοποίησαν την τεχνική για να αντικαταστήσουν<br />

κάποιους από τους τοπικούς servers αρχείων, μειώνοντας<br />

έτσι το λειτουργικό κόστος.<br />

Οι ανωτέρω αποτελούν τις τρέχουσες επιλογές αποθήκευσης<br />

στους Οργανισμούς και τις επιχειρήσεις που διαρκώς εξελίσσονται.<br />

Στην αγορά ακόμα αναμένονται προϊόντα που αφορούν<br />

στην αποθήκευση μεγάλου μεγέθους αρχείων και μείωσης του<br />

όγκου των δεδομένων στην πρωτογενή αποθήκευσή τους. Ε-<br />

πίσης απαιτούνται πλέον τεχνικές για την υλοποίηση λήψης α-<br />

ντιγράφων ασφαλείας από τις φορητές συσκευές, καθώς και α-<br />

κόμα αναμένονται οι νέες flash μνήμες TLC (Triple-level cell).<br />

Υπό οποιεσδήποτε συνθήκες απαιτείται προσεκτική μελέτη των<br />

αποθηκευτικών στόχων και μια καλή πρόβλεψη για τις μελλοντικές<br />

ανάγκες, ώστε να αποφασιστεί ποια είναι η καταλληλότερη<br />

μέθοδος αποθήκευσης, που θα φέρει το βάρος της εξελικτικής<br />

πορείας της εταιρείας. iT<strong>Security</strong><br />

34 | security

P RACTICAL<br />

Δρ. Ιωσήφ Ι. Ανδρουλιδάκης<br />

Σύμβουλος Ασφάλειας Τηλεπικοινωνιακών Συστημάτων<br />

Σύστημα Εντοπισμού & Ενημέρωσης<br />

Χρηστών Κινητών Τηλεφώνων<br />

με Χαμηλό Επίπεδο Ασφάλειας<br />

Π<br />

ερίληψη<br />

Το παρόν άρθρο<br />

αναφέρεται σε ένα<br />

σύστημα βελτίωσης του ε-<br />

πιπέδου ασφάλειας μέσω εντοπισμού και ε-<br />

νημέρωσης χρηστών κινητών τηλεφώνων με χαμηλή<br />

ασφάλεια και βασίζεται στη δημοσίευση “I. Androulidakis and<br />

G. Kandus, PINEPULSE: A system to PINpoint and Educate<br />

mobile Phone Users with Low <strong>Security</strong>, Proceedings of 7th<br />

International Conference in Global <strong>Security</strong>, Safety and<br />

Sustainability (ICGS3), Lecture Notes of the Institute for<br />

Η ανάγκη για<br />

την ενίσχυση της ασφάλειας<br />

των κινητών τηλεφώνων γίνεται<br />

επιτακτική και μάλιστα με έναν τρόπο<br />

που να μην επηρεάζει τη<br />

λειτουργικότητα και την ευχρηστία.<br />

Ένα σύστημα βελτίωσης του επιπέδου<br />

ασφάλειας μέσω εντοπισμού και<br />

ενημέρωσης χρηστών των κινητών<br />

τηλεφώνων με χαμηλή ασφάλεια, θα<br />

βοηθήσει στην αποτελεσματική<br />

αντιμετώπιση των απειλών<br />

ασφάλειας.<br />

Computer Sciences, Volume 99, pp<br />

62-66, Aug 2012”.<br />

Το σύστημα το οποίο θα περιγραφεί, α-<br />

ποτελείται από λογισμικό-εφαρμογή που ε-<br />

γκαθίσταται στα κινητά τηλέφωνα και λογισμικό-εφαρμογές-βάσεις<br />

δεδομένων που εγκαθίστανται στους κεντρικούς<br />

εξυπηρετητές των εταιρειών κινητής τηλεφωνίας. Οι<br />

εφαρμογές επικοινωνούν μεταξύ τους μέσω του ιδίου του δικτύου<br />

κινητής τηλεφωνίας με κρυπτογραφημένο τρόπο. Το σύστημα<br />

εκτελεί τρεις λειτουργίες.<br />

security | 35

P RACTICAL<br />

Σύστημα Εντοπισμού & Ενημέρωσης Χρηστών Κινητών Τηλεφώνων<br />

Η πρώτη λειτουργία επιτρέπει τον εντοπισμό (με αυτόματο αλλά<br />

και χειροκίνητο τρόπο) των χρηστών κινητής τηλεφωνίας,<br />

οι οποίοι για διάφορους λόγους έχουν χαμηλό επίπεδο α-<br />

σφάλειας στο κινητό τηλέφωνό τους.<br />

Η δεύτερη λειτουργία προτείνει αυτόματα (με χρήση πολυμεσικού<br />

εκπαιδευτικού υλικού) τις κατάλληλες μεθόδους, κινήσεις<br />

και βέλτιστες πρακτικές που πρέπει να ακολουθήσει ο<br />

χρήστης προκειμένου να επαναφέρει την ασφάλεια σε υψηλά<br />

επίπεδα.<br />

Τέλος, η τρίτη λειτουργία επιτρέπει την κρυπτογραφημένη ε-<br />

πικοινωνία και την ανταλλαγή δεδομένων μεταξύ της εφαρμογής<br />

στο κινητό και των εξυπηρετητών του δικτύου του παρόχου.<br />

Η υιοθέτηση της εφαρμογής αυτής από τους παρόχους<br />

κινητής τηλεφωνίας και η προ-εγκατάστασή της από τους κατασκευαστές<br />

συσκευών, θα βοηθήσουν στην αποτελεσματική<br />

αντιμετώπιση των απειλών ασφάλειας.<br />

Εισαγωγή<br />

Οι απειλές που αντιμετωπίζουν οι χρήστες κινητών τηλεφώνων<br />

αναμένεται να αυξηθούν με τη συνεχώς αυξανόμενη χρήση<br />

εξελιγμένων συσκευών και την πρόσβαση στο διαδίκτυο<br />

μέσω αυτών [1]. Εξάλλου, οι υπηρεσίες μέσω κινητών συσκευών<br />

παρουσιάζουν ιδιαιτερότητες ως προς την ασφάλειά τους<br />

[2]. Οι συσκευές χρησιμοποιούνται τόσο από ενημερωμένους<br />

χρήστες όσο και από χρήστες που αγνοούν ακόμα και τους<br />

βασικούς κανόνες ασφάλειας. Όπως έχει αποδειχθεί σε επιστημονικά<br />

άρθρα [3][4] οι χρήστες κινητών τηλεφώνων παρουσιάζουν<br />

διαφορετικά επίπεδα γνώσεων ως προς την α-<br />

σφάλεια. Στο ίδιο μήκος κύματος, μελέτη από την McAfee έ-<br />

δειξε ότι τα των χρηστών δεν έχουν κανενός είδους α-<br />

σφάλεια [5]. Με άλλα λόγια, παρά το γεγονός ότι οι χρήστες<br />

αναγνωρίζουν την ύπαρξη κινδύνων, εντούτοις δεν προβαίνουν<br />

στις κατάλληλες ενέργειες και πρακτικές ώστε να διασφαλίσουν<br />

το κινητό τους τηλέφωνο [6][7]. Στον εταιρικό χώρο<br />

οι εταιρείες μόλις πρόσφατα - και ήδη καθυστερημένα -<br />

προσπαθούν να αναπτύξουν τα απαραίτητα μέτρα προστασίας<br />

για την εταιρική χρήση κινητών συσκευών [8]. Οι περισσότερες<br />

μάλιστα δεν έχουν καν μια πολιτική ασφάλειας που να<br />

απευθύνεται στη χρήση κινητών τηλεφώνων [9].<br />

Είναι προφανές ότι το επόμενο μεγάλο πεδίο μάχης στην επιστήμη<br />

της ασφάλειας πληροφορικής θα είναι αυτό των κινητών<br />

τηλεφώνων, καθώς τα μέτρα ασφάλειας βρίσκονται ακόμα<br />

σε σχετικά χαμηλό επίπεδο. [10]. Αν και σημαντική αδυναμία,<br />

το γεγονός αυτό αποτελεί παράλληλα και μια μεγάλη ευκαιρία<br />

για τους παρόχους και τους κατασκευαστές τηλεφώνων<br />

να διαδραματίσουν ένα σημαντικό ρόλο στην ασφάλεια, τόσο<br />

μέσω της εκπαίδευσης όσο και μέσω τεχνικών μέσων. Παράλληλα,<br />

τα Σχολεία και τα Πανεπιστήμια θα μπορούσαν να παρέχουν<br />

την κατάλληλη ενημέρωση και εκπαίδευση [11] ώστε α-<br />

πό νωρίς οι χρήστες να αναπτύξουν την κατάλληλη ευαισθησία<br />

και νοοτροπία ασφάλειας, την οποία θα μεταφέρουν και στο<br />

χώρο εργασίας τους αργότερα [12].<br />

Από τα παραπάνω φαίνεται καθαρά πως η ανάγκη για την ενίσχυση<br />

της ασφάλειας των κινητών τηλεφώνων γίνεται επιτακτική<br />

και μάλιστα με έναν τρόπο που να μην επηρεάζει τη λειτουργικότητα<br />

και την ευχρηστία. Το σημερινό άρθρο αναφέρεται<br />

σε ένα σύστημα βελτίωσης του επιπέδου ασφάλειας μέσω ε-<br />

ντοπισμού και ενημέρωσης χρηστών των κινητών τηλεφώνων με<br />

χαμηλή ασφάλεια. Η υιοθέτηση της εφαρμογής αυτής από τους<br />

παρόχους κινητής τηλεφωνίας και η προ-εγκατάστασή της α-<br />

πό τους κατασκευαστές συσκευών, θα βοηθήσουν στην αποτελεσματική<br />

αντιμετώπιση των απειλών ασφάλειας.<br />

Δομή συστήματος<br />

Όπως φαίνεται στην Εικόνα 1, το σύστημα αποτελείται από λογισμικό-εφαρμογή<br />

που εγκαθίσταται στα κινητά τηλέφωνα και<br />

λογισμικό-εφαρμογές-βάσεις δεδομένων που εγκαθίστανται<br />

στους κεντρικούς εξυπηρετητές των εταιρειών κινητής τηλεφωνίας-παρόχων.<br />

Οι εφαρμογές επικοινωνούν μεταξύ τους<br />

μέσω του ιδίου του δικτύου κινητής τηλεφωνίας με κρυπτογραφημένο<br />

τρόπο. Η εφαρμογή που εγκαθίσταται στα κινητά<br />

Εικόνα 1. Η δομή του συστήματος βελτίωσης του επιπέδου ασφάλειας μέσω ε-<br />

ντοπισμού και ενημέρωσης χρηστών κινητών τηλεφώνων με χαμηλή ασφάλεια<br />

τηλέφωνα μπορεί να λειτουργήσει σε όλους τους τύπους συ-<br />

36 | security

σκευών που διαθέτουν εξελιγμένο λειτουργικό σύστημα (π.χ.<br />

Windows Mobile, Symbian, Android, iOS) καθώς επίσης και σε<br />

μεγάλο μέρος απλών συσκευών που διαθέτουν J2ME (Java 2<br />

Micro Edition).<br />

Λειτουργίες Συστήματος<br />

Το σύστημα εκτελεί τρεις λειτουργίες. Η πρώτη λειτουργία ε-<br />

πιτρέπει τον εντοπισμό των χρηστών κινητής τηλεφωνίας, οι ο-<br />

ποίοι για διάφορους λόγους έχουν χαμηλό επίπεδο ασφάλειας<br />

στο κινητό τηλέφωνό τους. Η δεύτερη λειτουργία προτείνει<br />

αυτόματα τις κατάλληλες μεθόδους, κινήσεις και βέλτιστες<br />

πρακτικές που πρέπει να ακολουθήσει ο χρήστης προκειμένου<br />

να επαναφέρει την ασφάλεια σε υψηλά επίπεδα. Τέλος, η τρίτη<br />

λειτουργία επιτρέπει την κρυπτογραφημένη επικοινωνία και<br />

την ανταλλαγή δεδομένων μεταξύ συσκευών και εξυπηρετητών<br />

του δικτύου του παρόχου.<br />

H λειτουργία του εντοπισμού και αξιολόγησης του επιπέδου α-<br />

σφάλειας μιας συσκευής μπορεί να υλοποιείται με αυτόματο ή<br />

χειροκίνητο τρόπο ή και με συνδυασμό τους. Κατά τον αυτόματο<br />

τρόπο η εφαρμογή εξετάζει διαφανώς τις ρυθμίσεις του<br />

κινητού και ενημερώνει το χρήστη για όσες από αυτές βρίσκονται<br />

σε μια κατάσταση που ενέχει κινδύνους ασφάλειας<br />

(π.χ. απενεργοποιημένη η ερώτηση PIN). Παράλληλα, με τη<br />

χειροκίνητη μέθοδο είναι δυνατή η προβολή ερωτήσεων προς<br />

το χρήστη, με τις οποίες μπορούν να ελεγχθούν στοιχεία της<br />

συμπεριφοράς του ως προς την ασφάλεια, τα οποία δεν αποτυπώνονται<br />

άμεσα στις ρυθμίσεις του κινητού. Αντίστοιχα μπορεί<br />

να ερωτάται η υποκειμενική γνώμη του για το πόσο ασφαλής<br />

αισθάνεται. Όπως έχει αποδειχθεί σε επιστημονικές εργασίες<br />

και άρθρα [3][4][13][14], οι χρήστες μπορούν να ομαδοποιηθούν<br />

σε συγκεκριμένες κατηγορίες ασφάλειας βάσει<br />

δημογραφικών και άλλων στοιχείων συμπεριφοράς και τρόπου<br />

χρήσης των κινητών. Έτσι και ο αυτόματος και ο χειροκίνητος<br />

τρόπος μπορούν να τροφοδοτήσουν με στοιχεία την κατάλληλη<br />

εφαρμογή, η οποία εξάγει συμπεράσματα για το συγκεκριμένο<br />

συνδυασμό χρήστη-κινητού. Για την καλύτερη λειτουργία<br />

του συστήματος διατηρούνται βάσεις δεδομένων α-<br />

πό μελέτες σε μεγάλες κατηγορίες χρηστών, που παρέχουν το<br />

κατάλληλο σώμα για την εκπαίδευση του συστήματος. Οι βάσεις<br />

αυτές ενημερώνονται συνεχώς από τα αποτελέσματα και<br />

τις μετρήσεις του συστήματος. Αντίστοιχα, οι απαντήσεις σε κατάλληλες<br />

ερωτήσεις που εξετάζουν τις πρακτικές ασφάλειας<br />

που οι χρήστες ακολουθούν, μπορούν να οδηγήσουν σε ένα<br />

μοντέλο πρόβλεψης της συμπεριφοράς ασφάλειας των χρηστών.<br />

Τέλος, μια σημαντική λειτουργία είναι η σύγκριση των<br />

αυτόματων μετρήσεων σε σχέση με τις απαντήσεις του χρήστη,<br />

όπου μπορεί να διαπιστωθεί κατά πόσο ο χρήστης πραγματικά<br />

γνωρίζει και εφαρμόζει τα μέτρα ασφάλειας. Οι δύο αυτές<br />

μέθοδοι, του αυτόματου εντοπισμού των ρυθμίσεων και<br />

της εξαγωγής στοιχείων από τις απαντήσεις του χρήστη, ολοκληρώνουν<br />

το πρώτο στάδιο, αυτό της αξιολόγησης του επιπέδου<br />

ασφάλειας.<br />

Στο δεύτερο στάδιο υλοποιείται η λειτουργία της ενημέρωσης<br />

του χρήστη. Αφού εξετασθεί η υπάρχουσα κατάσταση του κινητού<br />

και το προφίλ του χρήστη, η εφαρμογή προτείνει τις κατάλληλες<br />

μεθόδους, κινήσεις και βέλτιστες πρακτικές που πρέπει<br />

να ακολουθήσει ο χρήστης προκειμένου να επαναφέρει<br />

την ασφάλεια σε υψηλά επίπεδα. Εάν η συσκευή το επιτρέπει<br />

και ο χρήστης το αποδεχθεί, η αλλαγή των ρυθμίσεων της συσκευής<br />

μπορεί να πραγματοποιηθεί με αυτόματο τρόπο. Ανάλογα<br />

με τις δυνατότητες της συσκευής, στο χρήστη παρουσιάζονται<br />

οδηγίες είτε με τη μορφή κειμένου είτε με τη μορφή<br />

πολυμεσικού υλικού. Ο χρήστης από την πλευρά του, μπορεί<br />

να παραμετροποιήσει διάφορα χρηστικά στοιχεία της εφαρμογής<br />

(διάταξη, μέγεθος, προσανατολισμό, συντεταγμένες,<br />

ρυθμό επικοινωνίας με τον εξυπηρετητή κ.λπ.).<br />

Παράλληλα με τα δύο αυτά στάδια, λαμβάνει χώρα επικοινωνία<br />

και ανταλλαγή δεδομένων μεταξύ της εφαρμογής της συσκευής<br />

και των εξυπηρετητών του δικτύου του παρόχου. Η ε-<br />

πικοινωνία αυτή είναι απαραίτητη για την επικαιροποίηση των<br />

στοιχείων (τα οποία προκύπτουν από το πρώτο στάδιο) που<br />

διαθέτει στην ειδική βάση δεδομένων του συστήματος ο πάροχος.<br />

Με τον τρόπο αυτό είναι δυνατή όπως αναφέρθηκε<br />

πριν, η στατιστική επεξεργασία της συμπεριφοράς ασφάλειας<br />

των χρηστών και η εξαγωγή συμπερασμάτων και μοντέλων<br />

πρόβλεψης συμπεριφοράς. Αντίστοιχα, η επικοινωνία αυτή ε-<br />

πιτρέπει τη διάθεση νέου πολυμεσικού εκπαιδευτικού υλικού<br />

όποτε αυτό είναι διαθέσιμο, αλλά και τον εμπλουτισμό της χειροκίνητης<br />

μεθόδου αξιολόγησης ασφάλειας με νέες ερωτήσεις<br />

όταν παρουσιάζονται νέα επιστημονικά δεδομένα. Η επικοι-<br />

security | 37

P RACTICAL<br />

Σύστημα Εντοπισμού & Ενημέρωσης Χρηστών Κινητών Τηλεφώνων<br />

νωνία αυτή είναι δυνατό να καταγράφει και την ώρα που συνέβησαν<br />

αλλαγές ρυθμίσεων οι οποίες επηρεάζουν την α-<br />

σφάλεια, ώστε να είναι διαθέσιμα ακόμα περισσότερα στατιστικά<br />

στοιχεία. Σε κάθε περίπτωση η επικοινωνία λαμβάνει χώρα<br />

με κρυπτογραφημένο τρόπο για να μην είναι δυνατή η υ-<br />

ποκλοπή της. Ο πάροχος μπορεί εξάλλου να διαθέτει αναβαθμίσεις<br />

για την εφαρμογή ώστε να μπορεί να εξετάζει και ε-<br />

ντοπίζει μεγαλύτερο εύρος ρυθμίσεων του κινητού που αντανακλούν<br />

στην ασφάλειά του.<br />

Στοιχεία που συλλέγονται<br />

Όπως αναφέρθηκε παραπάνω, το σύστημα για να λειτουργήσει<br />

συλλέγει στοιχεία τόσο με αυτόματο όσο και με χειροκίνητο<br />

τρόπο. Τα δεδομένα που συλλέγονται περιλαμβάνουν<br />

ρυθμίσεις του κινητού, δημογραφικά στοιχεία και στοιχεία για<br />

τον τρόπο χρήσης του κινητού. Πιο συγκεκριμένα:<br />

Οι ρυθμίσεις που ελέγχονται διαφανώς από την εφαρμογή είναι<br />

οι εξής:<br />

1) Εάν πρόκειται για κινητό με συμβόλαιο ή καρτοκινητό (από<br />

τα στοιχεία του παρόχου).<br />

2) Ο μέσος μηνιαίος σας λογαριασμός (από τα στοιχεία του<br />

παρόχου).<br />

3) H μάρκα του κινητού (βρίσκεται από τον αριθμό ΙΜΕΙ).<br />

4) Αν διαθέτει εξελιγμένο λειτουργικό σύστημα (π.χ. Symbian,<br />

Windows Mobile, Android, iOS). Αξίζει να σημειωθεί ότι<br />

για τη συγκεκριμένη ρύθμιση το λογισμικό επίσης ρωτάει το<br />

χρήστη ώστε να διασταυρώσει το επίπεδο γνώσης του τελευταίου.<br />

5) Η ενεργοποίηση του PIN στη SIM.<br />

6) Η χρήση συνθηματικού στο Screen-Saver του κινητού.<br />

7) Η κατάσταση του Bluetooth (Ενεργό και ορατό, Ενεργό και<br />

αόρατο, Εντελώς ανενεργό, Απουσία Bluetooth).<br />

8) Αν το κινητό είναι κλειδωμένο για τη συγκεκριμένη μόνο<br />

κάρτα SIM.<br />

Αντίστοιχα, οι ερωτήσεις δημογραφικών και συμπεριφοράς<br />

που καλείται να απαντήσει ο χρήστης μέσα από το αντίστοιχο<br />

γραφικό περιβάλλον:<br />

1) Φύλο.<br />

2) Ηλικία.<br />

3) Επάγγελμα.<br />

4) Πόσα κινητά χρησιμοποιείτε καθημερινώς; Α)1, Β)2, C) >2<br />

5) Διαθέτει εξελιγμένο λειτουργικό σύστημα (π.χ. Symbian,<br />

Windows Mobile, Android); A) Δεν γνωρίζω, Β) Ναι, Γ) Όχι.<br />

6) Έχετε σημειώσει κάπου το ΙΜΕΙ του κινητού σας; A) Δεν<br />

γνωρίζω τι είναι, B) Ναι, C) Όχι.<br />

7) Έχετε χάσει ποτέ το κινητό σας ή σας το έχουν κλέψει; A)<br />

Ποτέ, Β) 1 φορά, Γ) Περισσότερες από 1 φορά.<br />

8) Γνωρίζετε για την ύπαρξη ειδικού εικονιδίου στη συσκευή<br />

σας, το οποίο σας ενημερώνει για την απενεργοποίηση της<br />

κρυπτογράφησης; A) Ναι, B) Όχι.<br />

9) Έχετε ενεργοποιήσει την ερώτηση PIN στην κάρτα σας; Α<br />

Ναι, Β Όχι.<br />

10) Χρησιμοποιείτε συνθηματικό στο Screen-Saver; Α) Δεν<br />

γνωρίζω αν έχει τη δυνατότητα, Β) Δεν έχει τη δυνατότητα,<br />

Γ) Ναι, Δ) Όχι.<br />

11) Έχετε το Bluetooth: A) Αναμμένο και ορατό, Β) Αναμμένο<br />

και αόρατο, Γ) Σβηστό, Δ) Δεν ξέρω τη διαφορά ορατούαόρατου,<br />

Ε) Το κινητό δεν έχει Bluetooth.<br />

12) Δανείζετε το κινητό σας σε άλλους; A) Ποτέ, B) Μόνο για<br />

λίγο και μόνο αν είμαι παρών, C) Ναι.<br />

13) «Κατεβάζετε» λογισμικό στο κινητό σας; A) Δεν γνωρίζω ε-<br />

άν έχει αυτή τη δυνατότητα, B) Όχι, C) Κυρίως<br />

Ringtones/Logos, D) Κυρίως Παιχνίδια, E) Κυρίως Εφαρμογές.<br />

14) Χρησιμοποιείτε Antivirus στο κινητό σας τηλέφωνο; A) Δεν<br />

έχει τη δυνατότητα, B) Δεν γνωρίζω αν υπάρχει τέτοιο<br />

προϊόν για το κινητό μου, C) Γνωρίζω ότι υπάρχει αλλά δεν<br />

χρησιμοποιώ, D) Ναι.<br />

15) Αποθηκεύετε σημαντικά passwords στο κινητό σας (π.χ.<br />

κωδικούς Τράπεζας, Συναγερμών κ.λπ.); A) Όχι, B) Ναι με<br />

«κρυπτογραφημένη» μορφή, C) Ναι, χωρίς «κρυπτογράφηση».<br />

16) Πόσο συχνά κάνετε αντίγραφα ασφαλείας των δεδομένων<br />

του κινητού σας; A) Ποτέ, B) >3 φορές το μήνα, C) 2-3 φορές<br />

το μήνα, D) 1 φορά το μήνα, E) Λιγότερο συχνά.<br />

38 | security

17) Αποθηκεύετε ευαίσθητα προσωπικά δεδομένα στο κινητό<br />

σας (φωτογραφίες/ βίντεο/ ηχογραφήσεις συνομιλιών κ.λπ.);<br />

A) Ναι, B) Όχι.<br />

18) Πόσο ασφαλή θεωρείτε την επικοινωνία μέσω κινητών τηλεφώνων;<br />

A) Πάρα πολύ, B) Πολύ, C) Μέτρια, D) Λίγο,<br />

Ε) Καθόλου.<br />

19) Είστε ενημερωμένοι για το πώς επηρεάζουν την ασφάλεια<br />

του κινητού σας τηλεφώνου οι λειτουργίες και τα τεχνικά του<br />

χαρακτηριστικά; A) Πάρα πολύ, B) Πολύ, C) Μέτρια, D)<br />

Λίγο, Ε) Καθόλου.<br />

Δείκτες ενημέρωσης και ασφάλειας<br />

Από τα δεδομένα που συλλέγει το λογισμικό, εξάγεται ο μέσος<br />

δείκτης πραγματικής ενημέρωσης (mean actual awareness<br />

value-MAAV) όπως επίσης και ο μέσος δείκτης πραγματικής<br />

ασφάλειας (mean actual security value-MASV), όπως αναφέρονται<br />

στο [13]. Οι δείκτες αυτές προκύπτουν ως εξής. Για το<br />

MAAV προστίθεται +1 για κάθε ερώτηση στην οποία ο χρήστης<br />

απαντάει με «Δεν γνωρίζω». Επομένως η μέγιστη βαθμολογία<br />

είναι 7 και λόγω της αρνητικής κλίμακας αποτελεί και<br />

τη χειρότερη περίπτωση. Για το MASV, προστίθεται +1 για κάθε<br />

καλή πρακτική που ακολουθεί ο χρήστης. Ενδεικτικά - και<br />

σύμφωνα με το σύνολο των ερωτήσεων που προηγήθηκαν,<br />

καλές πρακτικές είναι οι παρακάτω: Σημείωση του IMEI, γνώση<br />

του εικονιδίου έλλειψης κρυπτογράφησης, ενεργοποίηση PIN<br />

στην κάρτα, ενεργοποίηση συνθηματικού στο Screen Saver, α-<br />

πενεργοποίηση Bluetooth, μη δανεισμός κινητού, αποφυγή<br />

downloading, χρήση antivirus, μη αποθήκευση συνθηματικών<br />

στο τηλέφωνο, μη αποθήκευση προσωπικών δεδομένων στο<br />

τηλέφωνο. Η μέγιστη βαθμολογία λοιπόν είναι 10, αφού υπάρχουν<br />

10 ερωτήσεις Όπως αναφέρθηκε και νωρίτερα, μέρος<br />

των απαντήσεων του χρήστη μπορούν να διασταυρωθούν α-<br />

πό τις αυτόματες μετρήσεις. Επιπλέον μπορεί να γίνει σύγκριση<br />

του υποκειμενικού δείκτη ασφάλειας που αισθάνεται ο χρήστης<br />

(σύμφωνα με τις απαντήσεις του στις ερωτήσεις 18-19)<br />

σε σχέση με τους αντικειμενικούς δείκτες MAAV και MASV.<br />

Με τον τρόπο αυτό ο χρήστης μπορεί να προστατευθεί από<br />

εσφαλμένες εντυπώσεις που πιθανώς του έχουν δημιουργηθεί,<br />

πιστεύοντας ότι είναι ασφαλής, ενώ στην πράξη δεν είναι.<br />

Συμπεράσματα<br />

Με χρήση του απλού αυτού συστήματος επιτυγχάνεται η μέγιστη<br />

δυνατή προστασία των κινητών, ελαχιστοποιώντας τον παράγοντα<br />

κινδύνου που οφείλεται στο χρήστη. Πλημμελείς πρακτικές<br />

ασφάλειας και εσφαλμένος τρόπος χρήσης ανιχνεύονται<br />

άμεσα, ενώ μέσω της κατηγοριοποίησης του χρήστη σε συγκεκριμένες<br />

κατηγορίες-προφίλ μπορεί να λάβει χώρα η πρόβλεψη<br />

της συμπεριφοράς ασφάλειας. Σε κάθε περίπτωση το κατάλληλο<br />

εκπαιδευτικό πολυμεσικό υλικό είναι σε θέση να βελτιώσει<br />

την αντίληψη του χρήστη ως προς την ασφάλεια, ενημερώνοντάς<br />

τον όποτε αυτό είναι αναγκαίο. Η υιοθέτηση της<br />

εφαρμογής αυτής από τους παρόχους και η προ-εγκατάστασή<br />

της από τους κατασκευαστές συσκευών, θα βοηθήσουν<br />

στην αποτελεσματική αντιμετώπιση των απειλών ασφάλειας στα<br />

κινητά τηλέφωνα. iT<strong>Security</strong><br />

Αναφορές<br />

1. comScore M:Metrics: Smarter phones bring security risks: Study (2008)<br />

2. Leung, A. Sheng, Y., Cruickshank, H.: The security challenges for<br />

mobile ubiquitous services. Information <strong>Security</strong> Technical Report,<br />

vol. 12, Issue 3, pp. 162--171 (2007)<br />

3. Androulidakis, I., Kandus, G.: A Survey on Saving Personal Data<br />

in the Mobile Phone. Proceedings of Sixth International<br />

Conference on Availability, Reliability and <strong>Security</strong> (ARES 2011), pp.<br />

633--638 (2011)<br />

4. Allam, S.: Model to measure the maturity of smartphone security<br />

at software consultancies, Thesis. University of Fort Hare (2009)<br />

5. McAfee: Mobile <strong>Security</strong> Report 2008 (2008)<br />

6. Trend Micro: Smartphone Users Oblivious to <strong>Security</strong>. Trend<br />

Micro survey (2009)<br />

7. CPP: Mobile phone theft hotspots. CPP survey (2010)<br />

8. ABI Research, Study: Enterprises Need to Address Cell Phone<br />

<strong>Security</strong> (2009)<br />

9. TechRepublic: Survey respondents say companies are lax on<br />

mobile security. TechRepublic article (2007)<br />

10. Goode Intelligence: Mobile security the next battleground (2009)<br />

11. National Cyber <strong>Security</strong> Alliance (NCSA): Schools Lacking Cyber<br />

<strong>Security</strong> and Safety Education (2009)<br />

12. Cable & Wireless: Workers lack mobile phone etiquette (2009)<br />

13. Androulidakis, I., Kandus, G.: Feeling Secure vs. Being Secure,<br />

Proceedings of 7th International Conference in Global <strong>Security</strong>,<br />

Safety and Sustainability (ICGS3), Lecture Notes of the Institute<br />

for Computer Sciences, Volume 99, pp 235—242 (2012)<br />

14. King N. J, Jessen P. W.: Profiling the mobile customer – Privacy<br />

concerns when behavioral advertisers target mobile phones.<br />

Computer Law & <strong>Security</strong> Review, vol. 26, Issue 5, pp. 455--478<br />

(2010)<br />

security | 39

P RACTICAL<br />

Ethical Hacking και<br />

Κωνσταντίνος Βαβούσης<br />

Strategic Manager<br />

Trust-<strong>IT</strong><br />

kvav@trust-it.gr,<br />

Τεχνική Επιμέλεια:<br />

Ιωάννης Πετρόπουλος<br />

<strong>IT</strong> <strong>Security</strong> Engineer, Trust-<strong>IT</strong><br />

εργαλεία ελέγχων ασφαλείας<br />

Μ<br />

ε το δεδομένο αυτό<br />

είναι αναγκαίο<br />

να εξασφαλίζεται σε<br />

πρώτο χρόνο ο σαφής<br />

σχεδιασμός της αρχιτεκτονικής α-<br />

σφάλειας, της πολιτικής αλλά και των<br />

διαδικασιών που έχουν υιοθετηθεί από το<br />

τμήμα πληροφορικής της εκάστοτε εταιρείας.<br />

Για την υλοποίηση των παραπάνω γίνεται όλο και πιο δημοφιλής<br />

ως πρακτική ασφαλείας το ethical hacking.<br />

Ένας ethical hacker συνήθως απασχολείται από μια εταιρεία,<br />

η οποία τον εμπιστεύεται στον έλεγχο των πληροφοριακών<br />

της υποδομών. Προσπαθώντας να διεισδύσει στο δίκτυο και<br />

τα υπολογιστικά συστήματα της εκάστοτε εταιρείας, χρησιμοποιεί<br />

τις ίδιες μεθόδους με έναν κακόβουλο εισβολέα, με<br />

Με την ανάγκη<br />

για ασφάλεια συνεχώς<br />

να αυξάνεται σε Οργανισμούς<br />

και επιχειρήσεις - κυρίως εκείνων<br />

που σχεδιάζουν να υιοθετήσουν<br />

νέες τεχνολογίες όπως <strong>IT</strong> outsourcing,<br />

virtualization και cloud computing,<br />

θα πρέπει να υπάρχει η ικανότητα<br />

να προσδιορίζεται και να<br />

αντιμετωπίζεται κάθε απειλή<br />

αποτελεσματικά και<br />

με συνέπεια.<br />

σκοπό την επιτυχή εύρεση και<br />

τον καθορισμό των τρωτών σημείων.<br />

Τη σημερινή εποχή οι ethical<br />

hackers είναι μηχανικοί ασφαλείας με<br />

προηγμένες γνώσεις πληροφορικής, οι<br />

οποίοι εξειδικεύονται σε ελέγχους ασφαλείας<br />

πληροφοριακών συστημάτων, χρησιμοποιώντας<br />

ποικίλες μεθόδους, με σκοπό τη διασφάλιση των δικτυακών<br />

υποδομών - τόσο ιδιωτών όσο και εταιρειών.<br />

Το προσωνύμιο “white hat”, συνώνυμο του “ethical<br />

hacker”, κατά το οποίο υποδηλώνεται ο χρήστης ο οποίος<br />

προστατεύει και διασφαλίζει πληροφοριακά συστήματα,<br />

δόθηκε κατά την πρώιμη εποχή της πληροφορικής, υποδηλώνοντας<br />

το χρήστη ο οποίος προστατεύει και διασφαλίζει<br />

40 | security

πληροφοριακά συστήματα. Όταν ακούμε επομένως το χαρακτηρισμό<br />

hacker, δεν θα πρέπει να πηγαίνει πάντοτε ο<br />

νους μας στο κακό.<br />

Σε κάθε περίπτωση όμως, όταν προσπαθούμε να διεισδύσουμε<br />

σε μια πληροφοριακή υποδομή προτού αποκτήσουμε<br />

είτε παράνομη είτε νόμιμη πρόσβαση σε ένα δίκτυο, θα<br />

πρέπει να γνωρίζουμε ποια είναι τα πιο αδύναμα σημεία. Για<br />

να αποκτήσουμε αυτή τη γνώση χρησιμοποιούμε εργαλεία<br />

ανίχνευσης ευπαθειών για να αποκαλυφθούν τα τρωτά σημεία<br />

του εκάστοτε δικτύου, όπως ποιες δικτυακές πόρτες είναι<br />

ανοιχτές, αν υπάρχουν γνωστές ευπάθειες σε εγκατεστημένες<br />

εφαρμογές ή στα λειτουργικά συστήματα κ.λπ.<br />

Υπάρχουν δεκάδες εργαλεία ethical hacking διαθέσιμα,<br />

ορισμένα δωρεάν και άλλα με κάποιο χρηματικό αντίτιμο, τα<br />

οποία ενδεχομένως να φανούν χρήσιμα σε όσους από εσάς<br />

επιθυμείτε να πραγματοποιήσετε έναν έλεγχο ασφαλείας στο<br />

εταιρικό σας δίκτυο, σε μια προσπάθεια να ανακαλύψετε κατά<br />

πόσο είναι ευπαθές τόσο σε εξωτερικές, όσο και σε ε-<br />

σωτερικές απειλές.<br />

Εργαλεία όπως το Wireshark, το Nessus, το Nmap, το<br />

Kismet, το Netcat, το John The Ripper, το Snort και<br />

πολλά ακόμη, μπορούν να βοηθήσουν στην ανεύρεση ευπαθειών<br />

αλλά και τη γενικότερη παρακολούθηση ενός εταιρικού<br />

δικτύου για κακόβουλες ενέργειες.<br />

Επειδή είναι αδύνατο να προχωρήσουμε σε ανάλυση όλων<br />

των παραπάνω εργαλείων και αρκετών ακόμη που δεν έ-<br />

χουμε αναφέρει, στην παρούσα δημοσίευση θα σας παρουσιάσουμε<br />

ενδεικτικά ένα από τα κορυφαία εργαλεία του<br />

είδους, το Nessus.<br />

Το Nessus είναι ίσως το πιο ευρέως διαδεδομένο λογισμικό<br />

για τον έλεγχο και την αξιολόγηση ευπαθειών σε ένα δίκτυο,<br />

με περισσότερα από 5 εκατομμύρια downloads μέχρι<br />

σήμερα. Στην τελευταία του έκδοση, το Nessus 5 έχει βελτιώσει<br />

την ταχύτητα των ελέγχων, την ευκολία στη χρήση, την<br />

αποτελεσματικότητα και την ακρίβεια στην ανάλυση των τμημάτων<br />

ενός δικτύου. Επίσης, η εταιρεία που αναπτύσσει το<br />

Nessus, η Tenable Network <strong>Security</strong>, βαθμολογήθηκε<br />

ως «Strong Positive» από το Gartner για το 2012. Αυτή είναι<br />

η υψηλότερη διάκριση που θα μπορούσε να πάρει και ουσιαστικά<br />

αντιπροσωπεύει την ποιότητα των προϊόντων της.<br />

Αν λοιπόν θέλετε να ελέγξετε το δίκτυό σας για ευπάθειες,<br />

δεν έχετε παρά να κατεβάσετε την τελευταία έκδοση του<br />

Nessus από το . (www.tenable.com)<br />

Εγκατάσταση και χρήση του Nessus<br />

Παρακάτω θα περιγράψουμε την εγκατάσταση και τη χρήση<br />

για περιβάλλον Linux. Αν είστε χρήστης των Windows,<br />

η εγκατάσταση είναι η γνωστή διαδικασία Next -> Next -><br />

Next-> και η χρήση του είναι όμοια με αυτήν που θα περιγράψουμε<br />

παρακάτω για το Linux.<br />

Ξεκινώντας, είναι καλό να έχετε κάνει log-in στο Linux ως<br />

root για να μην αντιμετωπίσετε οποιοδήποτε πρόβλημα με<br />

δικαιώματα.<br />

Από το site του προγράμματος κατεβάσαμε την τελευταία έκδοση<br />

του Nessus για Ubuntu 11.10 / 12.04 32 bit. Το όνομα<br />

του αρχείου είναι «Nessus-5.0.2-<br />

ubuntu1110 i386.deb».<br />

Για να εγκαταστήσετε το Nessus:<br />

Μεταβείτε στο φάκελο όπου έχετε τοποθετήσει το αρχείο<br />

εγκατάστασης και δώστε την εντολή:<br />

dpkg —installNessus-5.0.2-ubuntu1110_i386.deb.<br />

Δημιουργήστε νέο χρήστη:<br />

/opt/nessus/sbin/nessus-adduser.<br />

Συμπληρώστε παρακάτω τα στοιχεία του χρήστη:<br />

Login: (το όνομα του χρήστη).<br />

Authentication (πατήστε enter).<br />

Login Password: (ο κωδικός του χρήστη).<br />

Login Password: (επαναλάβετε τον κωδικό).<br />

Do you want this Nessus user to be an “admin” user? Yes<br />

(πατήστε enter).<br />

(Πατήστε enter ξανά).<br />

This user will have “admin” privileges on the Nessus server<br />

Is this O.K.? Yes (πατήστε enter).<br />

User added.<br />

Τώρα θα χρειαστείτε ένα κλειδί ενεργοποίησης. Μεταβείτε<br />

στην αντίστοιχη του προγράμματος, επιλέξτε τη χρήση του<br />

(η έκδοση Home είναι δωρεάν, η έκδοση <strong>Professional</strong> είναι<br />

επί πληρωμή), αποδεχθείτε τους όρους, εισάγετε μία διεύθυνση<br />

mail και θα λάβετε άμεσα ένα mail όπου θα αναφέρεται<br />

το κλειδί ενεργοποίησης.<br />

Επιστρέψτε στη γραμμή εντολών του Linux και δώστε την<br />

παρακάτω εντολή:<br />

/opt/nessus/bin/nessus-fetch —register <br />

Για να ξεκινήσετε το server του Nessus:<br />

/etc/init.d/nessusdstart.<br />

Σε περίπτωση που θέλετε αργότερα να σταματήσετε το<br />

server του Nessus, δίνετε την εντολή:<br />

/etc/init.d/nessusdstart (Μη δώσετε αυτήν την εντολή τώρα).<br />

Ανοίξτε ένα browser και δώστε την παρακάτω διεύθυνση<br />

για να συνδεθείτε στο web interface του προγράμματος:<br />

https://127.0.0.1:8834.<br />

security | 41

P RACTICAL<br />

Ethical Hacking και εργαλεία ελέγχων ασφαλείας<br />

Κάντε log-in στο Nessus, χρησιμοποιώντας τα στοιχεία του<br />

χρήστη που δημιουργήσατε νωρίτερα.<br />

Πριν ξεκινήσουμε να «σκανάρουμε» το δίκτυο, θα πρέπει<br />

να παραμετροποιήσουμε το Nessus.<br />

Επιλέξτε Next.<br />

Επιλέξτε Submit.<br />

Τώρα έχουμε δημιουργήσει ένα Policy για να χρησιμοποιήσουμε<br />

στον έλεγχό μας.<br />

Επιλέξτε Scans.<br />

Επιλέξτε Add.<br />

Στο πεδίο Name, δώστε ένα όνομα για τον έλεγχο που θα<br />

πραγματοποιήσετε.<br />

Στο πεδίο Policy, επιλέξτε το Policy που δημιουργήσατε.<br />

Στο πεδίο Scan Targets, γράψτε τις IP διευθύνσεις των υπολογιστών<br />

που θέλετε να ελέγξετε. Μπορείτε να εισάγετε και<br />

ολόκληρο range υπό τη μορφή 192.168.1.1-192.168.1.100<br />

Επιλέξτε Launch Scan.<br />

Επιλέξτε Policies.<br />

Δώστε ένα όνομα στο Policy.<br />

Στο group Port Scanners επιλέξτε όλες τις επιλογές.<br />

Στο Port Scan Range προτείνουμε να αφήσετε τη default ε-<br />

πιλογή.<br />

Επίσης προτείνουμε να επιλέξετε το «Reduse Parallel<br />

Connections on Congestion» για να αποφύγετε τη υπερφόρτωση<br />

του δικτύου.<br />

Επιλέξτε Next.<br />

Επιλέξτε ξανά Next.<br />

Θα πρέπει να βρίσκεστε στην καρτέλα «Plugins», επιλέξτε<br />

«EnableAll».<br />

Επιλέξτε Scans για να δείτε την πρόοδο του ελέγχου.<br />

Όταν ολοκληρωθεί, επιλέξτε Reports.<br />

Σε αυτό το σημείο μπορείτε να ανοίξετε τα αποτελέσματα<br />

του ελέγχου που κάνατε και να δείτε αναλυτική περιγραφή<br />

αυτών. Σημειώστε ότι μπορείτε να ανοίξετε το πεδίο<br />

Reports ακόμα και πριν ολοκληρωθεί ο έλεγχος και να<br />

δείτε τα ευρήματα μέχρι εκείνη τη στιγμή. Τέλος, το Nessus<br />

προτείνει και λύσεις για τις περισσότερες γνωστές ευπάθειες.<br />

42 | security

Παρά το γεγονός ότι αρκετά εργαλεία είναι πλέον διαθέσιμα στα<br />

χέρια των μηχανικών πληροφορικής, πολλές εταιρείες δεν φαίνονται<br />

πρόθυμες να εκμεταλλευτούν τις νέες τεχνολογίες - ή σε<br />

περίπτωση που το κάνουν, δεν γίνεται με αποτελεσματικότητα.<br />

Θα πρέπει να σημειωθεί επίσης ότι μεγάλο ποσοστό των διαδικτυακών<br />

επιθέσεων μέσω των οποίων κακόβουλοι χρήστες μπόρεσαν<br />

να προσπεράσουν τα μέτρα ασφαλείας επιτυχώς, εκμεταλλεύθηκαν<br />

ευπάθειες για τις οποίες υπήρχαν ήδη διαθέσιμες ε-<br />

νημερώσεις ασφαλείας.<br />

Για να είναι αποτελεσματική η πολιτική ασφαλείας μιας εταιρείας/Οργανισμού,<br />

θα πρέπει να πραγματοποιούνται ανά τακτά<br />

χρονικά διαστήματα έλεγχοι ασφαλείας. Αυτό μπορεί να αποτελέσει<br />

μια μεγάλη πρόκληση, ιδίως για τις επιχειρήσεις που έ-<br />

χουν περίπλοκο ΙΤ περιβάλλον, συμπεριλαμβανομένων νέων τεχνολογιών<br />

και πολιτικών. Κάθε ένα από αυτά τα συστήματα πρέπει<br />

να ελέγχεται, προκειμένου να προσομοιωθεί ένα σενάριο<br />

πραγματικής επίθεσης. Το ethical hacking αποτελεί την καλύτερη<br />

μέθοδο για την επίτευξη πολύτιμων αξιολογήσεων και συστάσεων,<br />

ώστε να συντονιστούν επαρκώς τα μέτρα ασφαλείας<br />

των εταιρειών. iT<strong>Security</strong>

P RACTICAL<br />

Αλέξανδρος Σουλαχάκης<br />

Οδηγός διασφάλισης VoIP<br />

Τηλεφωνικών Κέντρων (Μέρος Α΄)<br />

Σ<br />

το άρθρο αυτό παρουσιάζουμε<br />

ένα μοντέλο<br />

διασφάλισης, το ο-<br />

ποίο επιτυγχάνει διακοπή επιθέσεων<br />

προς ένα Τηλεφωνικό Κέντρο VoIP σε πραγματικό<br />

χρόνο. Παράλληλα, η υλοποίηση του μοντέλου διασφάλισης<br />

αποκλείει τον επιτιθέμενο από το να συνεχίσει την<br />

επίθεση.<br />

Είναι γεγονός πως το θέμα διασφάλισης έχει πάρει διαστάσεις,<br />

διότι τα περισσότερα Τηλεφωνικά Κέντρα δεν τηρούν καν τους<br />

βασικούς κανόνες ασφαλείας. Έτσι λοιπόν γίνονται πολύ εύκολοι<br />

Η διασφάλιση<br />

του Τηλεφωνικού Κέντρου<br />

βασίζεται σε ένα σύνολο ενεργειών,<br />

οι οποίες έχουν στόχο<br />

να ανιχνεύσουν και να διακόψουν<br />

μία επίθεση. Σε δεύτερη φάση,<br />

τα αντίμετρα θα αποκαρδιώσουν<br />

τον επιτιθέμενο να συνεχίσει<br />

την επίθεση, προτιμώντας<br />

να βρει έναν πιο<br />

εύκολο στόχο.<br />

στόχοι, ακόμα και από μη έμπειρους<br />

φιλόδοξους επιτιθέμενους. Είναι εξακριβωμένο<br />

πως οι περισσότεροι επιτιθέμενοι<br />

δεν θα ασχοληθούν με εγκαταστάσεις που είναι<br />

διασφαλισμένες σωστά, μιας και είναι λογικό να ψάχνουν<br />

όλοι τον ευκολότερο στόχο, αποσκοπώντας σε μια νύχτα να<br />

κερδίσουν χρήματα διαπράττοντας μια ηλεκτρονική απάτη.<br />

Το μοντέλο διασφάλισης περιλαμβάνει αυξημένα αντίμετρα και<br />

μηχανισμούς πρόληψης και καταστολής ενδεχόμενης απειλής.<br />

Η μαεστρία της συνταγής δεν βρίσκεται σε συγκεκριμένο λογισμικό,<br />

αλλά στο σύνολο των ενεργειών οι οποίες τείνουν να<br />

44 | security

εκμηδενίσουν το ρίσκο επίθεσης σε όλα τα επίπεδα, να διορθώσουν<br />

λάθη και να συντηρήσουν σωστά το Τηλεφωνικό Κέντρο.<br />

Για πρακτικούς λόγους θα αναλύσουμε το σενάριο διασφάλισης<br />

ενός VoIP Τηλεφωνικού Κέντρου, σε πέντε επίπεδα (εικόνα<br />

1). Στο πρώτο από τα δύο μέρη του οδηγού, θα επικεντρωθούμε<br />

στις παραμέτρους που συμβάλλουν στη διασφάλιση<br />

του εσωτερικού δικτύου του Κέντρου. Στο δεύτερο μέρος<br />

θα παρουσιάσουμε τις υπόλοιπες ρυθμίσεις που συμβάλλουν<br />

στην ολοκλήρωση της διασφάλισης του παρουσιαζόμενου μοντέλου.<br />

Το δεύτερο μέρος θα ολοκληρωθεί με την παρουσίαση<br />

της υλοποίησης, ώστε η τηλεφωνική κλήση να είναι ασφαλής<br />

από άκρο σε άκρο.<br />

Το συγκεκριμένο μοντέλο της παρουσίασης είναι ενεργό και<br />

υλοποιημένο σε ναυτιλιακή εταιρεία. Διαθέτει VLAN με 2 άλλα<br />

γεωγραφικά σημεία στον πλανήτη και διασύνδεση με πλοία<br />

του στόλου. Το μοντέλο το οποίο θα περιγράψουμε στα επόμενα<br />

κεφάλαια, έχει περισσότερα ανεπτυγμένα στοιχεία από την<br />

παρούσα εγκατάσταση, λόγω ανάπτυξης νέων δυνατοτήτων. Είναι<br />

μια ολοκληρωμένη λύση και υλοποιείται ανάλογα με τις α-<br />

νάγκες και τις απαιτήσεις της εταιρείας ή του Οργανισμού.<br />

Οι γραμμές internet της εγκατάστασης διαφέρουν σε ταχύτητες<br />

ανάλογα την τοποθεσία. Στα κεντρικά υπάρχει μισθωμένη<br />

γραμμή με σκοπό να εξυπηρετεί data, voice και video IP επικοινωνίες<br />

μέσω VPN, χωρίς τη διαμεσολάβηση MPLS. Τα επιμέρους<br />

τμήματα και τοποθεσίες του δικτύου λειτουργούν με<br />

ADSL και στα πλοία οι ταχύτητες είναι ακόμα μικρότερες ενώ<br />

οι συνδέσεις δρομολογούνται και μέσω δορυφόρου.<br />

Ο πυρήνας<br />

Στο πρώτο επίπεδο (με το οποίο θα ασχοληθούμε περισσότερο)<br />

υλοποιείται το σημαντικότερο τμήμα του μοντέλου. Ο πυρήνας<br />

περιλαμβάνει το Τηλεφωνικό Κέντρο, τα εσωτερικά τερματικά<br />

φωνής ή βίντεο και φυσικά το εσωτερικό (τοπικό) δίκτυο<br />

της εγκατάστασης. Η διασφάλιση του Τηλεφωνικού Κέντρου<br />

εξαρτάται από μεγάλο πλήθος ενεργειών. Το βασικό<br />

συστατικό της διασφάλισης του Τηλεφωνικού Κέντρου βασίζεται<br />

στην εφαρμογή των τελευταίων ενημερώσεων σε επίπεδο<br />

λειτουργικού, αλλά και ενημερώσεων που αφορούν στις λειτουργίες<br />

του. Η ενημέρωση του συστήματος προσφέρει τόσο<br />

ανασχεδιασμένες τεχνικές και νέα χαρακτηριστικά που συμβάλλουν<br />

στη διαχείριση των παραμέτρων ασφαλείας, όσο και<br />

διορθώσεις σε επιμέρους τμήματα κώδικα, στα οποία έχουν<br />

βρεθεί αδυναμίες ή τρύπες ασφαλείας. Το θετικό της χρήσης<br />

open source είναι πως στα παρασκήνια, μια μεγάλη ομάδα ανθρώπων<br />

ασχολείται με το να «μπαλώνει» τρύπες και να βελτιώνει<br />

τη λειτουργία του Τηλεφωνικού Κέντρου.<br />

Ο τρόπος με τον οποίο εφαρμόζεται η ενημέρωση ενός Τηλεφωνικού<br />

Κέντρου διαφέρει από διανομή σε διανομή. Φροντίστε<br />

να διαλέξετε διανομή η οποία ενημερώνεται εύκολα ή<br />

διανομή της οποίας το επίπεδο δυσκολίας είναι προσιτό στις<br />

δεξιότητές σας. Μεγάλη προσοχή χρειάζεται ώστε η διαδικασία<br />

αναβάθμισης να μη βλάψει το σύστημά σας και πολύ περισσότερο<br />

να μη το χαλάσει. Θυμηθείτε πως τα συστήματα με<br />

Asterisk «τρέχουν» Linux (συνήθως CensOS), οπότε αν δεν<br />

είστε γνώστης αποφύγετε την ενέργεια. Τέλος, πάντοτε διαθέστε<br />

χρόνο να διαβάσετε τις συνοδευόμενες οδηγίες για την<br />

τρέχουσα αναβάθμιση. Ακόμα και οι πιο έμπειροι μηχανικοί<br />

που κάνουν τη διαδικασία «στα τυφλά», πρέπει να διαβάζουν<br />

τις τρέχουσες σημειώσεις. Για παράδειγμα, μία από τις διανομές<br />

έχει υποσημείωση για την τελευταία έκδοση, τι ενέργεια<br />

χρειάζεται αν διακόπτεται η διαδικασία κατά τη διάρκεια ενημέρωσης<br />

της SQL.<br />

Εικόνα 1<br />

security | 45

P RACTICAL<br />

Οδηγός διασφάλισης VoIP Τηλεφωνικών Κέντρων<br />

25ψήφιους κωδικούς, ακόμα και στις συσκευές. Οι κωδικοί αυτοί<br />

παράγονται εύκολα από λογισμικό που λειτουργεί σαν γεννήτρια<br />

κωδικών και επικολλούνται εύκολα ακόμα και σε συσκευές<br />

μέσω του web interface ή του provisioning (αυτόματη<br />

διαδικασία ρυθμίσεως συσκευών κατά την εγκατάσταση).<br />

Παραμετροποίηση και ασφάλεια<br />

1. Κωδικοί και επαφές<br />

Μετά την εγκατάσταση λοιπόν, έρχεται η παραμετροποίηση του<br />

συστήματος η οποία περιλαμβάνει:<br />

1) Την τηλεπικοινωνιακή οργάνωση, η οποία οργανώνει την α-<br />

ριθμοδότηση, τους αυτοματισμούς κατά την είσοδο ή έξοδο<br />

κλήσεων, τη σειρά προτεραιότητας και άλλα πολλά.<br />

2) Τη ρύθμιση του συστήματος (codecs, ρυθμίσεις) ώστε να λειτουργεί<br />

άψογα με τα επιμέρους πρόσθετα υλικά όπως κάρτες<br />

και με το προστιθέμενα πακέτα λογισμικού (modules)<br />

που θα δώσουν νέες δυνατότητες και ευελιξία στο σύστημα.<br />

3) Τη διασφάλιση του Κέντρου.<br />

4) Τη διασύνδεση με απομακρυσμένα σημεία του δικτύου.<br />

Ο λόγος της αναφοράς στη διαδικασία βρίσκεται στο γεγονός<br />

πως ακόμα και στη διαδικασία εγκατάστασης, το λογισμικό<br />

«ζητάει» κωδικούς για το βασικό διαχειριστή. Είναι πολύ<br />

σημαντικό να καταχωρήσουμε κάτι δύσκολο. Κωδικοί τύπου<br />

Summer1969 ή 123456, δεν συνιστώνται, καθώς είναι εύκολοι<br />

στην ανάκτηση σε περίπτωση επίθεσης. Χρησιμοποιήστε κωδικούς<br />

μεγάλους, δύσκολους, οι οποίοι περιλαμβάνουν μικρά<br />

κεφαλαία γράμματα, αριθμούς και σύμβολα. Πάντα συνιστώ<br />

«Οκ, έβαλα τον κωδικό #@dsFfge$#%&*<br />

(er6344W%WET$Y%#^) και τώρα το Κέντρο μου είναι α-<br />

σφαλές». Η συγκεκριμένη δήλωση είναι 100% λάθος. Οι ο-<br />

ντότητες SIP ή SIP συσκευές, πρέπει πάντα να είναι κλειδωμένες,<br />

ώστε ο απλός χρήστης να μην έχει πρόσβαση σε κωδικούς<br />

και ρυθμίσεις. Μη ξεχνάτε πως συνήθως η παραβίαση<br />

έρχεται τις περισσότερες φορές από το εσωτερικό του δικτύου.<br />

Το Τηλεφωνικό Κέντρο δεν διαθέτει μόνο ένα κωδικό. Για<br />

παράδειγμα, η διανομή Elastix διαθέτει πολλές υπηρεσίες και<br />

μικρότερους διακομιστές και διεπαφές που απαιτούν συνθηματικό.<br />

Οι κατασκευαστές έχουν ήδη καταχωρήσει στο Κέντρο<br />

κωδικούς, προς διευκόλυνση του διαχειριστή. Αν αυτοί δεν<br />

αλλαχθούν, προσφέρουν πολύ εύκολη πρόσβαση στη διαχείριση.<br />

Μία καλή πηγή για την εν λόγω διανομή είναι ο οδηγός<br />

«Elastix without tears» ,ο οποίος θα μπορέσει να σας βοηθήσει<br />

στα πρώτα σας βήματα.<br />

In προεπιλεγμένοι κωδικοί διανομής Elastix<br />

Elastix admin palosanto<br />

freePBX admin admin<br />

FOP admin eLaStIx.2oo7<br />

Calling Cards<br />

(A2Billing)<br />

admin<br />

mypassword<br />

MySQL mysql –p (from root) eLaStIx.2oo7<br />

SugarCRM admin password<br />

vTiger admin admin<br />

Openfire admin Whatever set at install<br />

2.Υπηρεσίες και «δαίμονες»<br />

Ένα μέτρο προστασίας που επίσης συστήνουμε ανεπιφύλακτα,<br />

είναι η καθολική απενεργοποίηση όποιας υπηρεσίας δεν χρησιμοποιείται.<br />

Το Τηλεφωνικό Κέντρο δεν πρέπει να χρησιμοποιείται<br />

σαν Κέντρο/exchange/ftp/apache/web server/dlna/…<br />

Όσο και αν η υπολογιστική ισχύς του Κέντρου το επιτρέπει, μη<br />

«φορτώνετε» το λογισμικό με νέους διακομιστές, «όμορφες ή<br />

βολικές» διεπαφές, γιατί έτσι αυξάνετε το ρίσκο παρουσίασης<br />

46 | security

νέων κινδύνων στην ασφάλεια του συστήματος. Αν μπορείτε,<br />

αποφύγετε τελείως το γραφικό περιβάλλον παντού και πάντα<br />

και εκτελέστε τη διαδικασία παραμετροποίησης μέσω κονσόλας.<br />

Τέλος, μπορείτε να δημιουργήσετε «κλειδιά» τα οποία να<br />

χρησιμοποιείτε για περιπτώσεις απομακρυσμένης πρόσβασης<br />

στο Κέντρο. Έτσι δεν θα υπάρχει όνομα και κωδικός να κλαπούν<br />

σε περίπτωση επίθεσης. Περισσότερες πληροφορίες για<br />

τον τρόπο που αλλάζονται οι κωδικοί καθώς και την τοποθεσία<br />

τους, υπάρχουν μέσα στους οδηγούς που διατίθενται μαζί<br />

με τις αντίστοιχες διανομές.<br />

3.Τοπικό δίκτυο<br />

Στο επίπεδο τοπικού δικτύου αφιερώστε ένα ολόκληρο subnet<br />

για αποκλειστική χρήση φωνής. Δεν συνιστάται να μπλέκονται<br />

δίκτυα, τόσο για θέματα ασφαλείας όσο και για θέματα ποιότητας<br />

υπηρεσίας και επίλυσης προβλημάτων. Η επιλογή αριθμοδότησης<br />

είναι προσωπική επιλογή. Σας παροτρύνουμε να μη<br />

χρησιμοποιήσετε κάτι κλασικό σαν το 192.168.0.x. Προτιμήστε<br />

τη ρύθμιση δικτύου σας στο 172.16.χ.χ και να έχετε υπόψη σας<br />

πως αυτό το subnet δεν πρέπει να επικαλύπτει (overlap) αυτό<br />

του VPN. Με άλλα λόγια, το δίκτυο είναι επιθυμητό να έχει α-<br />

συνήθιστη αριθμοδότηση, αρκεί να είναι απλό το συνολικό α-<br />

ποτέλεσμα για το διαχειριστή.<br />

Διασφαλίζοντας λοιπόν τους κωδικούς, τις ρυθμίσεις, τις ενημερώσεις<br />

και το δίκτυο, έχουμε ήδη χτίσει τη βάση στο φυσικό<br />

τοπικό δίκτυο. Συνεχίζοντας τη διαδικασία, άμεσος στόχος<br />

είναι να περιορίσουμε την πρόσβαση στο Κέντρο από τον έ-<br />

ξω κόσμο. Αν ήδη έχετε πειραματιστεί με Asterisk και πολύ<br />

περισσότερο με Elastix ή παρόμοια διανομή, θα γνωρίζετε πως<br />

το τείχος προστασίας στην αρχή δεν είναι ενεργοποιημένο.<br />

Δεν το ενεργοποιούμε όμως πριν την ολοκλήρωση των ρυθμίσεων.<br />

Αυτό θα γίνει όταν είμαστε έτοιμοι και σίγουροι πως<br />

το Κέντρο δεν θα μας «κλειδώσει απ’ έξω» και πως όλοι οι κανόνες<br />

είναι σωστά φτιαγμένοι. Σε αυτό το σημείο δουλεύουμε<br />

πάντα σε τοπικό επίπεδο και φροντίζουμε να έχουμε φυσική<br />

πρόσβαση στο Κέντρο.<br />

Επιτρεπόμενη πρόσβαση<br />

Η πρόσβαση στο Κέντρο, στην κονσόλα ή τη διεπαφή ρυθμίσεων<br />

μέσω web, μπορεί να ρυθμιστεί και να επιτρέπει πρόσβαση<br />

από συγκεκριμένη στατική IP ή ακόμα καλύτερα από το<br />

εσωτερικό δίκτυο LAN και μόνο από εκεί. Συνιστάται να «κόβουμε»<br />

την πρόσβαση από τον έξω κόσμο. Το Κέντρο μπορεί<br />

έτσι να παραμετροποιείται μόνο από το LAN ή και από VPN<br />

σύνδεση (που δρομολογείται στο LAN). Ανάλογα πάντα με τη<br />

διανομή, βρίσκετε το αρχείο στο οποίο είναι γραμμένος ο κανόνας<br />

για το ποια δίκτυα επιτρέπονται να έχουν πρόσβαση και<br />

ποια όχι. Σαν παράδειγμα, ψάχνετε μέσα στο αρχείο sip.conf<br />

για κάτι σαν το παρακάτω κείμενο:<br />

deny=0.0.0.0/0.0.0.0<br />

permit=xxx.xxx.xxx.xxx/255.255.255.255<br />

το οποίο σημαίνει ΄΄απαγορεύεται η πρόσβαση σε όλα τα δίκτυα<br />

εκτός από την IP xxx.xxx.xxx.xxx΄΄. Το συγκεκριμένο<br />

παράδειγμα χρησιμοποιείται και σε άλλες παραμέτρους του<br />

Κέντρου. Είναι πολύ σημαντικό να διαβάζετε τα σχόλια μέσα<br />

στα αρχεία που τροποποιείτε, καθώς φέρουν πληροφορίες μέσω<br />

σχολίων, για το τι είναι αυτό που αλλάζετε και δίνουν συχνά<br />

παραδείγματα. Με αντίστοιχους κανόνες μπορείτε να ρυθμίσετε<br />

από ποια IP μπορεί να γίνεται registration συσκευής και<br />

να ρυθμίζονται οι επιτρεπόμενες IPs για τη διασύνδεση των<br />

trunks. Για παράδειγμα:<br />

[provider-of-VoIP-service]<br />

type=peer<br />

context=provider-input<br />

permit=A.B.C.D/255.255.255.0 (

Διμηνιαίο περιοδικό για τo Enterprise Computing<br />

και την Ασφάλεια Πληροφοριών<br />

Διμηνιαίο περιοδικό με θεματολογία στο χώρο της ασφάλειας<br />

ΕΤΗΣΙΑ ΣΥΝΔΡΟΜΗ ΚΑΙ ΣΤΑ ΔΥΟ ΠΕΡΙΟΔΙΚΑ (SECUR<strong>IT</strong>Y MANAGER & <strong>IT</strong> SECUR<strong>IT</strong>Y)<br />

ΣΥΝΔΡΟΜΕΣ ΕΣΩΤΕΡΙΚΟΥ ΙΔΙΩΤΕΣ 4O€ ΕΤΑΙΡΕΙΕΣ/ΟΡΓΑΝΙΣΜΟΙ 65€ (2 τεύχη)<br />

ΣΥΝΔΡΟΜΕΣ ΕΞΩΤΕΡΙΚΟΥ ΕΥΡΩΠΗ-ΚΥΠΡΟΣ 78€ ΛΟΙΠΕΣ ΧΩΡΕΣ 97 €<br />

ΕΤΗΣΙΑ ΣΥΝΔΡΟΜΗ ΣΤΟ ΠΕΡΙΟΔΙΚΟ <strong>IT</strong> SECUR<strong>IT</strong>Y<br />

ΣΥΝΔΡΟΜΕΣ ΕΣΩΤΕΡΙΚΟΥ ΙΔΙΩΤΕΣ 3O€ ΦΟΙΤΗΤΕΣ/ΣΠΟΥΔΑΣΤΕΣ 20€ ΕΤΑΙΡΕΙΕΣ/ΟΡΓΑΝΙΣΜΟΙ 50€ (2 τεύχη)<br />

ΣΥΝΔΡΟΜΕΣ ΕΞΩΤΕΡΙΚΟΥ ΕΥΡΩΠΗ-ΚΥΠΡΟΣ 60€ ΛΟΙΠΕΣ ΧΩΡΕΣ 75 €<br />

TPOΠOI ΠΛHPΩMHΣ<br />

• Με ταχυδρομική επιταγή<br />

• Με κατάθεση στον τραπεζικό λογαριασμό:<br />

ΕΘΝ. ΤΡΑΠΕΖΗΣ 108-47118154<br />

EUROBANK 0026 0251 5202 006 97497<br />

ALPHA BANK 2760020020058<strong>30</strong><br />

• Με πιστωτική κάρτα:<br />

Εθνοκάρτα Mastercard Visa Diners<br />

Aριθμός κάρτας:<br />

Ημ. Λήξεως:<br />

ΔΕΛΤΙΟ ΣΥΝΔΡΟΜΗΣ<br />

Νέος συνδρομητής n Ανανέωση Συνδρομής n Συνδρομή και στα 2 περιοδικά n<br />

(<strong>Security</strong> Manager & <strong>IT</strong> <strong>Security</strong>)<br />

Επωνυμία επιχείρησης:.................................................................................................................................................................... ΑΦΜ:...................................................................... ΔΟΥ:...............................................................................<br />

Δραστηριότητα (επιχείρησης): ................................................................................................................................................ E-mail:..............................................................................................................................................................................<br />

Ονοματεπώνυμο (Υπευθύνου):.......................................................................................... Θέση στην εταιρεία: ..........................................................................<br />

Διεύθυνση:.............................................................................................................................................................................................................................................................................. Ταχ. Κώδικας: .........................................................................<br />

Πόλη:............................................................................................................................................................. Τηλέφωνο:.................................................................................................... Fax:..........................................................................................<br />

Ονοματεπώνυμο παραλήπτη: ................................................................................................................................................................................................................................................................................................................................<br />

Διεύθυνση αποστολής περιοδικού:...................................................................................................................................................................................................................................................................................................................................<br />

Ταχ. Κώδικας:..................................................................................Πόλη:.............................................................................................................................................................................................................................................................<br />

Σύμφωνα με το ΚΒΣ, άρθρο 13, παραγρ. 17, για τις συνδρομές εκδίδονται διπλότυπες αθεώρητες αποδείξεις ως παραστατικό δαπάνης για την επιχείρηση.

logo

products

Resources

Company

Terms of service
Privacy policy
Cookie policy
Cookie settings
Imprint
Change language
Made with love in Switzerland
© 2024 Yumpu.com all rights reserved

Hooray! Your file is uploaded and ready to be published.

Saved successfully!

Ooh no, something went wrong!