IT Professional Security - ΤΕΥΧΟΣ 36
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Μάιος - Ιούνιος - Ioύλιος 2014 • Τεύχος <strong>36</strong> • Τιμή 5€<br />
Μάιος - Ιούνιος - Ιούλιος 2014<br />
Ανθρώπινος Παράγοντας<br />
..ο καταλυτικός ρόλος και τα λάθη<br />
Ανθρώπινος Παράγοντας ..ο καταλυτικός ρόλος και τα λάθη<br />
• Disaster Recovery μέσω cloud<br />
Ανακάμπτοντας ..στο σύννεφο<br />
• VDI - Virtual Desktop Infrastructure<br />
Πραγματική λύση – εικονική διαχείριση<br />
• Κωδικοί Πρόσβασης<br />
Η κατάσταση στην Ελλάδα<br />
PRESS LINE MAΓΕΡ 11, 104 38 ΑΘΗΝΑ<br />
ΠΛHPΩMENO<br />
TEΛOΣ<br />
Tαχ. Γραφείο<br />
KEMΠ.KΡ.<br />
Aριθµός Άδειας<br />
116<br />
PRESS POST<br />
ENTYΠO KΛEIΣTO AP. A∆EIAΣ 22/2008 KEMΠ.A.ΚΡ.<br />
P R<br />
(X+7)<br />
E S S<br />
T<br />
P O S
E D<strong>IT</strong>ORIAL<br />
Το Internet of Things είναι εδώ και προελαύνει<br />
Μπορεί ένα τηλεοπτικό σποτ να αναφέρει ότι τα “ωραιότερα<br />
πράγματα στη ζωή… δεν είναι πράγματα”, αν όμως<br />
τα περισσότερα “πράγματα” συνδεθούν στο Internet, τότε<br />
η ζωή όλων μπορεί να γίνει ωραιότερη;<br />
Το λεγόμενο Internet of Things (IoT) ή Διαδίκτυο των Πραγμάτων<br />
- αν θέλουμε να το αποδώσουμε στα Ελληνικά, δεν<br />
είναι ακόμα μία “μαρκετινίστικη” έννοια. Είναι μια νέα πραγματικότητα,<br />
μια νέα εποχή στην τεχνολογία, που διαμορφώνεται<br />
και αναπτύσσεται με γεωμετρική πρόοδο. Η Cisco,<br />
σε μία περυσινή της μελέτη, προέβλεπε ότι μέχρι το 2020<br />
θα υπάρχουν πάνω από 50 δισεκατομμύρια συσκευές συνδεδεμένες<br />
στο Διαδίκτυο, ενώ άλλες, ακόμα πιο πρόσφατες<br />
έρευνες όπως αυτή της IDC, εκτινάσσουν τον αριθμό των<br />
συνδεδεμένων συσκευών στο διαδίκτυο το 2020, στα 212<br />
δισεκατομμύρια!<br />
Η ανάπτυξη του IoT δημιουργεί ένα όραμα! Έναν πλήρως<br />
διασυνδεδεμένο κόσμο, όπου όλοι οι άνθρωποι, οι διαδικασίες,<br />
οι υπηρεσίες και οι εφαρμογές θα μπορούν μέσω συσκευών<br />
να συνδέονται στο Internet, δημιουργώντας πρωτόγνωρες<br />
ευκαιρίες στην καθημερινότητα των ανθρώπων,<br />
αλλά και στις επιχειρηματικές λειτουργίες.<br />
Στην προσέγγιση του «Internet of Things» όμως, όπως και σε<br />
όλες τις τάσεις που αναπτύσσονται στο χώρο του ΙΤ, η παράμετρος<br />
της ασφάλειας είναι θεμελιώδους σημασίας. Είναι<br />
αυτονόητο ότι σε έναν πλήρως διασυνδεδεμένο κόσμο, τα<br />
ευάλωτα σημεία θα αυξηθούν και θα δημιουργηθούν νέες απειλές<br />
για την απώλεια πληροφοριών αλλά και την παραβίαση<br />
της ιδιωτικότητας. Ο διεθνής Οργανισμός ISACAR σε μία<br />
πρόσφατη έρευνα αναφέρει ότι οι επαγγελματίες στο χώρο της<br />
Πληροφορικής σε συντριπτικό βαθμό (99%) θεωρούν ότι το<br />
Internet of Things θέτει νέα θέματα διακυβέρνησης, σε ποσοστό<br />
50% θεωρούν ότι τα πιθανά οφέλη για τους τελικούς καταναλωτές<br />
υπερτερούν από τους σχετιζόμενους κινδύνους,<br />
ενώ το ποσοστό αυτό ανέρχεται στο 43% στην αντίστοιχη<br />
ερώτηση για τα πιθανά οφέλη στις επιχειρήσεις. Αναμένουμε<br />
λοιπόν ότι στα επόμενα χρόνια θα αναπτυχθούν νέες λύσεις<br />
ασφάλειας, που θα βασίζονται στη λογική της προστασίας πληροφοριών<br />
και ιδιωτικότητας με βάση το Internet of Things, ενώ<br />
απαιτείται και ένας επανασχεδιασμός των πολιτικών στα πλαίσια<br />
των επιχειρήσεων, που θα βασίζεται στη συνεχή παρακολούθηση<br />
και την ταχύτατη δράση μέσα από υπηρεσίες και λύσεις<br />
άμεσης και αποτελεσματικής απόκρισης.<br />
Βλάσης Αμανατίδης<br />
Iδιοκτήτης - Εκδότης<br />
Nίκη Πανδή<br />
Αρχισυντάκτης<br />
Βλάσης Αμανατίδης<br />
info@securitymanager.gr<br />
Συνεργάτες<br />
Αριστοτέλης Λυμπερόπουλος<br />
Δημήτρης Παπίτσης<br />
Αλέξανδρος Σουλαχάκης<br />
Ιωσήφ Ανδρουλιδάκης<br />
Mίνα Ζούλοβιτς<br />
Νότης Ηλιόπουλος<br />
Παναγιώτα Τσώνη<br />
Διεύθυνση Διαφήμισης<br />
Νίκος Σαράφογλου<br />
nsarafoglou@pressline.gr<br />
Εμπορικό Τμήμα<br />
Δήμητρα Αρακά<br />
daraka@pressline.gr<br />
Συνεργάτης Κύπρου<br />
Φρίξος Μόζορας<br />
Λογιστήριο<br />
Xρήστος Mακρής<br />
fin@pressline.gr<br />
Γραμματειακή Yποστήριξη<br />
Nικολέτα Πανδή<br />
Διευθυντής Παραγωγής<br />
Γιάννης Νένος<br />
Kαλλιτεχνική Eπιμέλεια<br />
Λευτέρης Πανδής<br />
Hλεκτρονική Σελιδοποίηση<br />
Γιώργος Ασμάνης<br />
Σχεδιασμός Mu ltimedia<br />
Φάνης Ζερβάκης<br />
Aτελιέ-Διαχωρισμοί-Mοντάζ<br />
PressLine<br />
www.itsecuritypro.gr<br />
www.securitymanager.gr<br />
info@securitymanager.gr<br />
H EKΔΟΣΗ ΜΑΣ ΕΙΝΑΙ ΜΕΛΟΣ ΤΗΣ<br />
A.B.E.E.<br />
Mάγερ 11, 104 38 Αθήνα,<br />
Τηλ.: 210-52.25.479 (6 γραμμές),<br />
Fax: 210-52.43.345,<br />
web: www.pressline.gr<br />
ΚΩΔΙΚΟΣ 01-8267<br />
security | 1
CONTENTS<br />
21 26 32<br />
1|ED<strong>IT</strong>ORIAL<br />
4|NEWS<br />
COVER ISSUE<br />
14|Ανθρωπινός Παράγοντας<br />
..ο καταλυτικός ρόλος και τα<br />
λάθη<br />
ISSUE<br />
13|Σύστημα Διαχείρισης<br />
Ασφάλειας Πληροφοριών<br />
για τις υπηρεσίες Cloud<br />
της Med Nautilus<br />
18|Πώς να διαφυλάξετε το<br />
ιδιωτικό απόρρητο και να<br />
προστατέψετε τα<br />
προσωπικά και τα εταιρικά<br />
δεδομένα σας<br />
21|Κωδικοί Πρόσβασης<br />
Η κατάσταση στην Ελλάδα –<br />
Β’ μέρος<br />
26|Disaster Recovery μέσω<br />
cloud<br />
Ανακάμπτοντας ..στο σύννεφο<br />
30|Μπορεί η επιχείρησή σας να<br />
αντεπεξέλθει στην<br />
κατάρρευση του <strong>IT</strong>;<br />
32|VDI - Virtual Desktop<br />
Infrastructure<br />
Πραγματική λύση – εικονική<br />
διαχείριση<br />
<strong>36</strong>|Προστασία από επιθέσεις<br />
DDoS<br />
Η αξία που προσφέρει στις<br />
επιχειρήσεις<br />
BUSINESS <strong>IT</strong><br />
1|Ένα ισχυρότερο Cloud μέσω<br />
Two-Factor Authentication<br />
4|Gemalto & ΙΤWay Hellas<br />
Μια δυναμική συνεργασία για<br />
τη διανομή κορυφαίων λύσεων<br />
ψηφιακής ασφάλειας στην<br />
Ελλάδα<br />
2 | security
McAfee <strong>Security</strong>-as-a-Service<br />
Οι λύσεις McAfee <strong>Security</strong>-as-a-Service προσφέρουν ολοκληρωμένη προστασία σε endpoint, email, web και δίκτυα, μέσω cloud,<br />
εξοικονομώντας στο <strong>IT</strong> τμήμα, χρόνο, πόρους και κόστος. Ως μέρος του ευρύτερου πλαισίου λύσεων <strong>Security</strong> Connected της McAfee, που<br />
προσφέρουν αποτελεσματική ασφάλεια και ενοποιημένη διαχείριση, οι McAfee <strong>Security</strong> SaaS αναβαθμίζουν τη δυναμική του cloud και βοηθάνε<br />
τους οργανισμούς να προστατεύουν τις επιχειρηματικές τους λειτουργίες πολύ πιο γρήγορα.<br />
Οι ολοκληρωμένες σουίτες McAfee SaaS προστατεύουν από ιούς, spyware, απειλές στο web και άλλες επιθέσεις σε PC, laptops και file servers,<br />
ενώ ταυτόχρονα “απελευθερώνουν” το προσωπικό του τμήματος ΙΤ από την ενασχόληση με πολύπλοκες διεργασίες, αναβαθμίσεις και τη<br />
διαχείριση ασφάλειας.<br />
McAfee <strong>Security</strong> for Business<br />
H σουίτα McAfee <strong>Security</strong> for Business αποτελεί μια ολοκληρωμένη<br />
λύση που προσφέρει όλα τα οφέλη των SaaS λύσεων προστασίας για<br />
endpoint, email και web καθώς και τη διαχείριση τρωτότητας. Αξιοποιώντας<br />
τα οφέλη της συγκεκριμένης σουίτας ελαχιστοποιούμε τα<br />
λειτουργικά κόστη και ταυτόχρονα μεγιστοποιούμε το επίπεδο ασφάλειας<br />
στο cloud.<br />
McAfee SaaS Endpoint & Email Protection Suite<br />
Η σουίτα προσφέρει ολοκληρωμένη endpoint ασφάλεια και αναβαθμισμένη<br />
προστασία για email, web και δίκτυα. Επίσης, παρέχει επιπρόσθετη<br />
ασφάλεια σε email μέσω cloud, εξασφαλίζοντας ότι τα εισερχόμενα<br />
και εξερχόμενα email θα φιλτράρονται για spam, επιθέσεις<br />
phising και ιούς προτού εισέλθουν στο δίκτυο.<br />
McAfee SaaS Endpoint Protection Suite<br />
Η σουίτα McAfee SaaS Endpoint Protection προσφέρει θεμελιώδη<br />
προστασία για endpoints, μπλοκάροντας ιούς, spyware, απειλές στο<br />
διαδίκτυο και επιθέσεις hacker με μια μόνο λύση που διαχειρίζεται<br />
εύκολα μέσω του online McAfee <strong>Security</strong>Center.<br />
McAfee SaaS Web & Email Protection Suite<br />
H σουίτα McAfee SaaS Web & Email Protection αντικαθιστά το αυξανόμενο<br />
κόστος της προστασίας στο web και email, με μια απλή και<br />
προβλέψιμη συνδρομή. Οι υπηρεσίες ασφάλειας της McAfee που είναι<br />
βασισμένες σε cloud, αξιοποιούν και συνδιάζουν ανθρώπους με υ-<br />
ψηλή τεχνογνωσία και τις καλύτερες τεχνολογίες προστατεύοντας τις<br />
επιχειρηματικές λειτουργίες από τις απειλές του διαδικτύου.<br />
McAfee SaaS Email Encryption<br />
Η λύση McAfee SaaS Email Encryption είναι μια cloud-based λύση<br />
που βοηθάει στον εντοπισμό και την κρυπτογράφηση πολύτιμων πληροφοριών<br />
επιτρέποντας τη διατήρηση της δυναμικής της επιχείρησης<br />
σε υψηλό επίπεδο και τη συμμόρφωση με τα κανονιστικά πλαίσια ι-<br />
διωτικότητας.<br />
McAfee SaaS Email Archiving<br />
Η λύση McAfee SaaS Email Archiving απλοποιεί την αναζήτηση των<br />
email και διευκολύνει τη διαχείριση των αρχείων με μια οικονομικά<br />
αποδοτική πρόταση που δεν απαιτεί επιπρόσθετο hardware ή software<br />
McAfee SaaS Email Protection & Continuity<br />
H λύση McAfee SaaS Email Protection and Continuity μπλοκάρει σε<br />
ποσοστό άνω του 99% spam, ιούς και άλλα malware στο cloud, προτού<br />
αυτά φθάσουν στο δίκτυο. Επίσης, δημιουργεί πολιτικές διασφάλισης<br />
των εξερχομένων email και της πρόσβασης στο ηλεκτρονικό ταχυδρομείο<br />
με εύκολο τρόπο χωρίς την ανάγκη επιπλέον λογισμικού.<br />
McAfee SaaS Web Protection<br />
Η υπηρεσία McAfee SaaS Web Protection μεγιστοποιεί την προστασία<br />
έναντι των απειλών, αξιοποιώντας επαγγελματίες στην ασφάλεια<br />
της McAfee και διαχείριση <strong>Security</strong>-as-a-Service. Προσφέρει προστασία<br />
έναντι των malware και κακόβουλων αρχείων καθώς και των<br />
ρίσκων που αντιμετωπίζει η επιχείρηση ενώ επιτρέπει τον αποτελεσματικότερο<br />
και οικονομικότερο έλεγχο των απειλών απελευθερώνοντας<br />
την επιχείρησή προκειμένου να επωφεληθεί τα μέγιστα από<br />
το Web 2.0.<br />
Για περισσότερες πληροφορίες παρακαλώ επικοινωνήστε με την <strong>IT</strong>WAY Hellas (εξουσιοδοτημένος διανομέας):<br />
Τηλέφωνο: 210-6801013 - E-mail: mcafee@itway.gr
NEWS<br />
Ημερίδα Προστασίας Επιχειρηματικών Δεδομένων από την<br />
ADACOM<br />
Η εταιρεία ADACOM, που δραστηριοποιείται<br />
στον τομέα των λύσεων<br />
ασφάλειας πληροφοριών,<br />
παρουσίασε σήμερα τις τελευταίες<br />
εξελίξεις στο χώρο της προστασίας<br />
των ευαίσθητων επιχειρηματικών δεδομένων.<br />
Οι λύσεις Data Loss Prevention (DLP) δίνουν στις επιχειρήσεις<br />
τη δυνατότητα να εντοπίσουν εμπιστευτικές πληροφορίες<br />
οπουδήποτε και αν βρίσκονται, είτε σε servers,<br />
βάσεις δεδομένων, φορητές συσκευές είτε ακόμη και σε<br />
τερματικά χρηστών (desktop ή laptops) και να τις προστατέψουν<br />
από εσκεμμένη ή ακούσια διαρροή. Επιπλέον,<br />
επιτρέπουν την παρακολούθηση της δικτυακής κυκλοφορίας,<br />
των φορητών συσκευών που είναι συνδεδεμένες στο<br />
εταιρικό δίκτυο, αλλά και τη διακίνηση των εταιρικών ηλεκτρονικών<br />
μηνυμάτων για αποστολή εμπιστευτικών πληροφοριών<br />
σε μη εξουσιοδοτημένους αποδέκτες, επιβάλλοντας<br />
αυτόματα πολιτικές προστασίας και κρυπτογράφησης.<br />
H προστασία των ευαίσθητων και εμπιστευτικών δεδομένων<br />
που διαχειρίζονται οι επιχειρήσεις, γίνεται με γνώμονα<br />
τις εκάστοτε επιχειρηματικές ανάγκες αλλά και τους<br />
σχετιζόμενους –με αυτές- κινδύνους. Μια ιδιαίτερα αποδοτική<br />
προσέγγιση θεωρείται η διαβάθμιση των δεδομένων,<br />
καθώς επιτυγχάνεται τόσο ο εντοπισμός των κρίσιμων<br />
πληροφοριών όσο και η αποτελεσματική διαχείρισή τους.<br />
Οι λύσεις διαβάθμισης δεδομένων<br />
(e-mail, εγγράφων, αρχείων,<br />
καταλόγων, κλπ.) καλύπτουν πλήρως<br />
τις ανάγκες διαβάθμισης και<br />
διαχείρισης των ευαίσθητων πληροφοριών<br />
ενός οργανισμού, επιτυγχάνοντας παράλληλα<br />
πλήρη συμμόρφωση με το ρυθμιστικό και κανονιστικό πλαίσιο.<br />
Επιπλέον, επιτρέπουν την προσάρτηση ετικετών διαβάθμισης<br />
τόσο σε επίπεδο μεταδεδομένων (metadata),<br />
όσο και σε επίπεδο οπτικής αναπαράστασης (protective<br />
markings) με διάφανο -προς τον τελικό χρήστη- τρόπο. H<br />
δυνατότητα τοποθέτησης ετικετών διαβάθμισης σε μηνύματα,<br />
έγγραφα και αρχεία από τους ίδιους τους χρήστες<br />
εξασφαλίζει το απαιτούμενο επίπεδο εμπιστευτικότητας<br />
των ευαίσθητων πληροφοριών, επιτυγχάνει την ευαισθητοποίηση<br />
των χρηστών σχετικά με την αξία και το επίπεδο<br />
κρισιμότητας των πληροφοριών, διευκολύνει τον έλεγχο<br />
κατά την ανταλλαγή, υποστηρίζει την ενσωμάτωση πολιτικών<br />
διακυβέρνησης και ασφάλειας δεδομένων, ενώ παρέχει<br />
ενοποιημένη λειτουργία με μια λύση DLP.<br />
Ως αποτέλεσμα, οι παραπάνω λύσεις μπορούν να επιφέρουν<br />
σημαντική μείωση του κόστους διαχείρισης που προκύπτει<br />
από τη διατήρηση αδόμητου όγκου δεδομένων,<br />
εξορθολογισμό των επιχειρηματικών διαδικασιών, αύξηση<br />
παραγωγικότητας και ευαισθητοποίηση των χρηστών συντελώντας<br />
παράλληλα στην ελάττωση του επιχειρηματικού<br />
ρίσκου και στην προστασία της εταιρικής φήμης.<br />
Η ADACOM, με εξειδικευμένους συμβούλους και μηχανικούς<br />
που διαθέτουν βαθιά τεχνογνωσία και διεθνή εμπειρία<br />
στον τομέα προστασίας και πρόληψης απώλειας<br />
ευαίσθητων επιχειρηματικών δεδομένων, μπορεί να βοηθήσει<br />
αποτελεσματικά οργανισμούς και επιχειρήσεις κάθε<br />
μεγέθους για την επιτυχημένη εφαρμογή ενός προγράμματος<br />
DLP, παρέχοντας εξατομικευμένες συμβουλευτικές<br />
υπηρεσίες, ανάλυσης, σχεδιασμού, ανάπτυξης και εφαρμογής,<br />
υπηρεσίες ανάπτυξης σχήματος διαβάθμισης πληροφοριών,<br />
εγκατάστασης και τεχνικής υποστήριξης καθώς<br />
και υπηρεσίες διαχείρισης έργου.<br />
4 | security
NEWS<br />
Κρατήστε ασφαλείς τις συσκευές Android από απειλές με τις οδηγίες<br />
της ESET<br />
Με αφορμή τα ολοένα και συχνότερα<br />
κρούσματα επιθέσεων<br />
σε συσκευές Android, η ESET<br />
προχώρησε στην έκδοση μίας<br />
σειράς χρήσιμων οδηγιών, με<br />
στόχο την προστασία των χρηστών.<br />
Καθώς στο διάστημα 2012<br />
– 2013, οι ανιχνεύσεις κακόβουλου<br />
λογισμικού που στοχεύει σε Android εμφανίζονται αυξημένες<br />
κατά 60%, η ESET εκτιμά ότι και το 2014 αναμένονται<br />
τέτοιου είδους επιθέσεις να απασχολήσουν τη βιομηχανία<br />
ασφάλειας, γι’ αυτό και συμβουλεύει τους χρήστες να είναι<br />
προσεκτικοί, καθησυχάζοντας τους παράλληλα ότι με απλά<br />
βήματα μπορούν να μείνουν ασφαλείς.<br />
Όλες οι εφαρμογές πρέπει να εγκαθίστανται από το<br />
Google Play ή από γνωστά app stores. Online καταστήματα<br />
που υπόσχονται δωρεάν εφαρμογές, θα πρέπει να<br />
θεωρούνται ύποπτα.<br />
Η ασφάλεια του Android δεν πρέπει να λαμβάνεται<br />
ως δεδομένη. Ο χρήστης δεν θα πρέπει να θεωρεί ότι αν<br />
ανοίξει ένα email από τη συσκευή του είναι λιγότερο επικίνδυνο<br />
από το να το άνοιγε στον υπολογιστή του.<br />
Προτιμάται να έχετε εγκατεστημένη πάντοτε την τελευταία<br />
έκδοση της πλατφόρμας Android. Αν η συσκευή<br />
λειτουργεί με Gingerbread διατρέχει περισσότερους κινδύνους<br />
συγκριτικά με την πλατφόρμα KitKat, καθώς ο χρήστης<br />
δεν μπορεί να εγκαταστήσει τα πιο πρόσφατα patches.<br />
Οι πιο πρόσφατες ενημερώσεις διαφυλάσσουν και<br />
την καλύτερη προστασία της συσκευής. Η ρύθμιση της<br />
συσκευής για αυτόματη ενημέρωση, χρησιμοποιώντας περιορισμό<br />
ώστε να γίνεται μέσω Wi-Fi παρά μέσω δικτύων<br />
κινητής τηλεφωνίας, αποτελεί μία καλή λύση.<br />
Το κλείδωμα της συσκευής αποτελεί μία βασική ενέργεια,<br />
που δυστυχώς πολλές φορές δεν εφαρμόζεται. Η συσκευή<br />
μπορεί να κλειδώσει με μοτίβο, PIN ή κωδικό, ενώ αρκετές<br />
συσκευές τελευταίας τεχνολογίας προσφέρουν τη δυνατότητα<br />
κλειδώματος με τα δακτυλικά αποτυπώματα του<br />
χρήστη.<br />
Πολύτιμα προσωπικά δεδομένα δεν θα πρέπει να βρίσκονται<br />
στη συσκευή. Αντίθετα,<br />
προτείνεται το τακτικό backup<br />
των δεδομένων, είτε με την κλασική<br />
μέθοδο, είτε με τη χρήση<br />
εφαρμογών όπως το Google Drive<br />
ή το Dropbox, οπότε δεν θα<br />
χρειάζεται να αποθηκεύονται στη<br />
συσκευή.<br />
Κλείδωμα χρειάζονται και πολλές εφαρμογές, λόγω<br />
των πληροφοριών που περιέχουν, όπως το Dropbox που<br />
προαναφέρθηκε. Στο Google Play διατίθενται αρκετές εφαρμογές<br />
ειδικά γι’ αυτό το σκοπό, π.χ. το «App Locker», που<br />
μπορούν να κλειδώσουν τις ευαίσθητες εφαρμογές για messaging,<br />
email, κοινωνική δικτύωση, αποθήκευση αρχείων, τραπεζικές<br />
συναλλαγές κ.ά. με PIN ή κωδικό.<br />
Προσοχή στα δικαιώματα των εφαρμογών. Πολλές<br />
από αυτές ζητούν πρόσβαση στο δίκτυο ή δυνατότητα να<br />
στέλνουν και να λαμβάνουν SMS, οπότε ο χρήστης θα πρέπει<br />
να είναι επιφυλακτικός με τα δικαιώματα που τους επιτρέπει<br />
να έχουν, ειδικά όταν δεν φαίνεται κάποιος προφανής<br />
λόγος να τα ζητούν.<br />
Προϊόντα και εφαρμογές ασφάλειας είναι πλέον απαραίτητα<br />
και για τις συσκευές, λόγω της γρήγορης εξέλιξης<br />
που εμφανίζει το malware για Android. Εφαρμογές<br />
όπως το ESET Mobile <strong>Security</strong> για Android βοηθούν το<br />
χρήστη με τακτικές και αυτόματες σαρώσεις να διατηρεί<br />
ασφαλή τη συσκευή του.<br />
Το Google προσφέρει αρκετά ενσωματωμένα χαρακτηριστικά<br />
ασφάλειας, τα οποία μπορούν να φανούν ιδιαίτερα<br />
χρήσιμα, όπως τη δυνατότητα εντοπισμού της τοποθεσίας<br />
της συσκευής σε περίπτωση απώλειας της. Στη<br />
σελίδα Android Device Manager της Google ο χρήστης<br />
μπορεί να ενεργοποιήσει τη λειτουργία αυτή, ενώ, για ακόμη<br />
πιο εξειδικευμένη προστασία, υπάρχει και το ESET Mobile<br />
<strong>Security</strong> and Antivirus.<br />
Επιπλέον πληροφορίες για τον τομέα της ασφάλειας, αναλύσεις<br />
για κυβερνοαπειλές καθώς επίσης και χρήσιμες συμβουλές<br />
μπορούν να βρουν οι ενδιαφερόμενοι μέσω της<br />
ιστοσελίδας www.welivesecurity.com.<br />
6 | security
Πως να Εντοπίσετε, να Ανταποκριθείτε και να Ανακτήσετε Ταχύτερα -<br />
με τη βοήθεια της Symantec<br />
Τα τμήματα <strong>IT</strong> - και οι επιχειρήσεις<br />
που υποστηρίζουν - έχουν<br />
να αντιμετωπίσουν προκλήσεις<br />
σε πολλά μέτωπα γυρω απο το<br />
ερώτημα "είναι η επιχείρηση<br />
ασφαλής από κυβερνοεπιθέσεις;"<br />
ενώ παράλληλα εξελίσσεται ταχύτατα η πολυπλοκότητα του<br />
ΙΤ που πλέον συμπεριλαμβάνει mobile rollouts, νέες cloud<br />
υλοποιήσεις και Software Defined Data Centers. Τα τμήματα<br />
ΙΤ βασίζονται στα τμήματα security, τα οποία πρέπει να<br />
αντιμετωπίσουν αποσυνδεδεμένες μεταξυ τους αρχιτεκτονικές<br />
ασφαλείας και να λειτουργήσουν με μειωμένη χρηματοδότηση,<br />
και συχνά με την έλλειψη πόρων για διερεύνηση περιστατικών,<br />
γεγονός που δεν τους επιτρέπει να τα χειριστούν<br />
αποτελεσματικά. Γεγονός είναι ότι οι επιτιθέμενοι το γνωρίζουν<br />
αυτό και συνεχώς αναζητούν τρόπους να επεκτείνουν<br />
την πρόσβασή τους στο εσωτερικό του ΙΤ. Ως αποτέλεσμα,<br />
πολλοί οργανισμοί μένουν εκτεθειμένοι και σε κίνδυνο. Είναι<br />
και η φύση των επιθέσεων που προκαλεί ανησυχία. Οι σημερινοί<br />
δράστες ξεφεύγουν από τα παραδοσιακά μέσα προστασίας,<br />
λανσάροντας ακόμη πιο εξελιγμένες και στοχευμένες<br />
επιθέσεις που αξιοποιούν malware variants για να αποφύγουν<br />
τις παραδοσιακές signature based τεχνολογίες ασφαλείας.<br />
Το αποτέλεσμα είναι ότι πολλές εταιρείες έχουν δημιουργήσει<br />
διάφορα προϊόντα προστασίας που δεν επικοινωνούν<br />
μεταξύ τους, χωρίς αυτό να αρκεί για τις επιχειρήσεις.<br />
Αντ' αυτού, οι υπεύθυνοι ασφαλείας αναρωτιούνται<br />
διαρκώς αν το δίκτυο τους έχει υποστεί διείσδυση, πόσο<br />
έχουν επεκταθεί οι απειλές και ποια τμήματα της υποδομής<br />
έχουν παραβιαστεί.<br />
Όλο αυτό σημαίνει ότι η παραδοσιακή προσέγγιση ελέγχου<br />
της ασφάλειας στο εταιρικό δίκτυο δεν αρκεί πια. Διότι<br />
αν και οι δικτυακές εξελιγμένες τεχνολογίες εντοπισμού<br />
απειλών είναι αποτελεσματικές στον εντοπισμό αγνώστου και<br />
zero day malware, δεν αποκόπτουν τις εντοπισμένες απειλές,<br />
αλλά το πιθανότερο είναι ότι επιτρέπουν στα κακόβουλα<br />
αρχεία να περάσουν στο εσωτερικό δίκτυο και σε<br />
άλλα endpoints. Ως αποτέλεσμα, τα τμήματα ασφαλείας δεν<br />
γνωρίζουν τι συμβαίνει με το malware που εντοπίζεται -<br />
οπότε υπάρχει πιθανότητα να έχει δημιουργηθεί μία πιο<br />
σύνθετη και εξελιγμένη επίθεση στο περιβάλλον της επιχείρησης.<br />
Με τα endpoints να παρέχουν εφαλτήριο από όπου ο επιτιθέμενος<br />
ξεκινά μία επίθεση, ο εντοπισμός των σημερινών<br />
στοχευμένων επιθέσεων και των<br />
Advanced Persistent Threats<br />
(APTs) απαιτεί μία ολοκληρωμένη,<br />
πολυεπίπεδη προσέγγιση<br />
που εντοπίζει την κακόβουλη<br />
δραστηριότητα στο δίκτυο και στα<br />
endpoints. Συχνά οι οργανισμοί επαφίενται σε τεχνολογίες<br />
που δεν είναι σχεδιασμένες να λειτουργούν σε συνδυασμό<br />
με άλλες λύσεις, ενώ έχοντας λιγοστούς πόρους για να συνθέσουν<br />
αποσπασματικά την ασφάλεια τους - αντί να εστιάζουν<br />
σε πιο στρατηγικές πρωτοβουλίες ασφάλειας. Τι μπορεί<br />
να γίνει για να εξουδετερωθούν οι απειλές, να καλυφθούν<br />
αυτές οι ελλείψεις και να διατηρηθούν οι επιχειρήσεις ασφαλείς;<br />
Η απάντηση της Symantec είναι η δημιουργία της λύσης<br />
Managed <strong>Security</strong> Services - Advanced Threat Protection<br />
(MSS-ATP). Η λύση βασίζεται στη συμμαχία της<br />
Symantec με τους κορυφαίους προμηθευτές δικτυακής<br />
ασφάλειας Palo Alto Networks, Cisco (Sourcefire) και<br />
CheckPoint. Η συμμαχία παρέχει αμφίδρομη ενσωμάτωση<br />
των λύσεων endpoint security και των προμηθευτών δικτυακής<br />
ασφάλειας, ενώ αξιοποιεί το κορυφαίο παγκόσμιο δίκτυο<br />
threat intelligence της Symantec (GIN). H λύση MSS<br />
ATP επιτρέπει στους οργανισμούς να εντοπίζουν ταχύτατα,<br />
να διερευνούν και να αποκαθιστούν άγνωστες και zero day<br />
επιθέσεις που εισβάλουν σε τεχνολογίες ασφαλείας. Στην<br />
ουσία το MSS-ATP:<br />
Ενδυναμώνει την ομάδα λειτουργίας του τμήματος ασφαλείας,<br />
ώστε να κατανοήσει σύνθετες στοχευμένες επιθέσεις<br />
που δραστηριοποιούνται σε επίπεδο δικτύου και<br />
endpoint<br />
Συσχετίζει αποτελεσματικά, επιτρέποντας τις ομάδες<br />
ασφαλείας να θέτουν γρήγορα προτεραιότητες χωρίς να<br />
δαπανούν χρόνο (και χρήμα) εξετάζοντας λιγότερο σημαντικά<br />
περιστατικά<br />
Αξιοποιεί την υπάρχουσα επένδυση στη δικτυακή ασφάλεια<br />
και στις λύσεις endpoint, ενώ παράλληλα αξιοποιεί<br />
το επιχειρηματικό περιεχόμενο σε παγκόσμιο επίπεδο<br />
απειλών από το παγκόσμιο δίκτυο threat intelligence της<br />
Symantec (GIN).<br />
Με άλλα λόγια, αυτή η λύση είναι κάτι πολύ περισσότερο<br />
από απλά μία τεχνολογία: έχει να κάνει με μία ολιστική προσέγγιση<br />
ασφαλείας βασισμένη στο Intelligence, αξιοποιώντας<br />
κορυφαίες τεχνολογίες και υπάρχουσες επενδύσεις.<br />
security | 7
NEWS<br />
Δημιουργία “Internal Auditing Education Center’’<br />
Το Εργαστήριο Επενδυτικών Εφαρμογών (ΕΠΕΦΑ)<br />
και το Κέντρο Μελετών και Εκπαίδευσης Χρηματοοικονομικής<br />
(ΚΕΜΕΧ) του Εθνικού Καποδιστριακού<br />
Πανεπιστημίου Αθηνών ανακοίνωσαν,<br />
σε εκδήλωση που πραγματοποιήθηκε την<br />
Τετάρτη 4 Ιουνίου 2014 στο πλαίσιο του International<br />
Internal Audit Awareness Month, τη δημιουργία<br />
του “Internal Auditing Education Center” (I-<br />
AEC).<br />
Ο νέος αυτός φορέας ευελπιστεί να αποτελέσει<br />
σημείο αναφοράς για την προώθηση της<br />
γνώσης σε θέματα εσωτερικού ελέγχου όπως<br />
επίσης διαχείρισης κινδύνων, διακυβέρνησης και<br />
κανονιστικής συμμόρφωσης. Επιδίωξή του αποτελεί<br />
η άρτια κατάρτιση των εσωτερικών ελεγκτών και όλων όσοι<br />
ενδιαφέρονται για θέματα ελεγκτικής και συναφών αντικειμένων,<br />
με στόχο την ανάπτυξη στελεχών υψηλού επιπέδου, ικανών<br />
να προσδώσουν αξία σε κάθε οργανισμό.<br />
Την εκδήλωση τίμησαν με την παρουσία τους, μεταξύ άλλων,<br />
ο Πρόεδρος του Ελληνικού Ινστιτούτου Κατά της Απάτης<br />
(HACFE) και Β. Γεν. Διευθυντής Δικτύου της Εθνικής Τράπεζας<br />
κ. Παναγιώτης Γεωργίου, ο Πρόεδρος του Ινστιτούτου<br />
Ελέγχου Συστημάτων Πληροφορικής (ISACA Athens Chapter)<br />
κ. Μιχάλης Σαμιωτάκης, η Γενική Γραμματέας του Ελληνικού<br />
Ινστιτούτου Εσωτερικών Ελεγκτών (HIIA) κα Βέρρα Μαρμαλίδου,<br />
οι οποίοι και απηύθυναν χαιρετισμό, καθώς και στελέχη<br />
από τον τραπεζικό και ασφαλιστικό χώρο, το Υπουργείο Οικονομικών,<br />
ελεγκτικές εταιρείες και άλλους φορείς.<br />
Το IAEC θα προσφέρει το ανανεωμένο σε δομή και περιεχόμενο<br />
INTERNAL AUD<strong>IT</strong>ING & GRC PROGRAM, το οποίο<br />
υλοποιείται σε συνεργασία με την ΕΥ και υπό την αιγίδα των<br />
HACFE, ISACA Athens Chapter και SAS Institute, και ανταποκρίνεται<br />
πλήρως στις απαιτήσεις της σύγχρονης<br />
εκπαίδευσης των εσωτερικών ελεγκτών. Επίσης,<br />
προγραμματίζει νέες δραστηριότητες που θα<br />
αφορούν μαθήματα προετοιμασίας για την απόκτηση<br />
επαγγελματικών πιστοποιήσεων στον<br />
εσωτερικό έλεγχο και σε άλλα σχετικά γνωστικά<br />
αντικείμενα, καθώς και στοχευμένους κύκλους<br />
σπουδών με εξειδικευμένη θεματολογία,<br />
καλύπτοντας τις ανάγκες των στελεχών της<br />
σύγχρονης επιχείρησης, ώστε να είναι σε θέση<br />
να ανταπεξέλθουν στις προκλήσεις και τους<br />
επιχειρησιακούς κινδύνους που αντιμετωπίζουν.<br />
Κατά την έναρξη της εκδήλωσης ο καθηγητής κ.<br />
Νικόλαος Μυλωνάς επεσήμανε τη σημασία του<br />
INTERNAL AUD<strong>IT</strong>ING & GRC PROGRAM για τα στελέχη<br />
των επιχειρήσεων και τη διαρκή προσπάθεια όλων των συντελεστών<br />
για τη συνεχή αναβάθμισή του. Στη συνέχεια, ο καθηγητής<br />
κ. Παναγιώτης Αλεξάκης ανακοίνωσε τη σημαντική διάκριση<br />
που έλαβε το Πρόγραμμα από το The IIA Global με<br />
αποτέλεσμα να φέρει πλέον τον τίτλο “Internal Audit Αcademic<br />
Awareness Program”. Ο τίτλος αυτός απονέμεται από το<br />
The IIA Global σε εκπαιδευτικούς φορείς, ως αναγνώριση της<br />
προσπάθειας που καταβάλουν έτσι ώστε να παρέχουν αξιόπιστη<br />
εκπαιδευτική καθοδήγηση στους εσωτερικούς ελεγκτές και<br />
να προετοιμάζουν τα στελέχη του μέλλοντος.<br />
Τέλος, ο κ. Αλεξάκης ανήγγειλε τις νέες δραστηριότητες του<br />
IAEC σχετικά με τα μαθήματα προετοιμασίας για την απόκτηση<br />
επαγγελματικών πιστοποιήσεων και τους στοχευμένους κύκλους<br />
σπουδών, επισημαίνοντας ότι εντάσσονται σε ένα ευρύτερο<br />
πλαίσιο προσφοράς ολοκληρωμένης, αναβαθμισμένης<br />
και ποιοτικής εκπαίδευσης προς τους εσωτερικούς ελεγκτές<br />
και άλλα στελέχη των επιχειρήσεων.
Η ORTHOLOGY LTD ανακοινώνει τη λειτουργία<br />
Web Protection στην πλατφόρμα GFI MAX!<br />
H εταιρεία Orthology Ltd (www.οrthology.gr), επίσημος διανομέας<br />
των GFI προϊόντων στην Ελλάδα, ανακοινώνει την<br />
ενσωμάτωση της λειτουργίας Web Protection στην<br />
πλατφόρμα GFI MAX!<br />
Πρόκειται για λειτουργία που βασίζεται στο βραβευμένο εργαλείο<br />
GFI WebMonitor της GFI Software, το οποίο επιτρέπει<br />
την προστασία του δικτύου από web-based απειλές,<br />
την επιβολή εταιρικών πολιτικών περιήγησης στο διαδίκτυο<br />
και την παρακολούθηση του εύρους ζώνης. Οι νέες δυνατότητες<br />
συμβάλουν στην αύξηση της παραγωγικότητας και<br />
τη βελτίωση της απόδοσης του δικτύου, προσφέροντας παράλληλα<br />
ασφάλεια στο διαδίκτυο και φιλτράρισμα των ιστοσελίδων<br />
μέσω μίας εναίας κονσόλας. Μερικά από τα χαρακτηριστικά<br />
του GFI MAX Web Protection έχουν<br />
ως ακολούθως:<br />
3 Web <strong>Security</strong>: προστατεύει από την τυχαία επίσκεψη<br />
των χρηστών σε κακόβουλους δικτυακούς τόπους που<br />
φιλοξενούν malware, spyware, adware, botnets και spam,<br />
καθώς και ιστοσελίδες που έχουν σχεδιαστεί για να εκτελούν<br />
επιθέσεις phishing.<br />
3 Web Filtering: διασφαλίζει ότι οι εργαζόμενοι παραμένουν<br />
παραγωγικοί, επιβάλοντας πολιτικές περιήγησης στο<br />
διαδίκτυο, μέσω χρήσης whitelists και blacklists, τις οποίες<br />
συμπληρώνει το φιλτράρισμα βάση κατηγορίας της<br />
ιστοσελίδας. Επιπλέον, οι πολιτικές περιήγησης επιτρέπουν<br />
την προστασία των πελατών από τη νομική ευθύνη<br />
και μειώνουν τον κινδύνο παραβίασης της ασφάλειας μέσω<br />
των προληπτικών ελέγχων πρόσβασης στο Internet.<br />
3 Παρακολούθηση Bandwidth: οι MSP’s ειδοποιούνται<br />
αυτόματα όταν υπάρχει υπερβολική δραστηριότητα του<br />
bandwidth στο δίκτυο του πελάτη, έτσι ώστε να μπορούν<br />
να προσδιορίσουν την αιτία, πριν διαταραχθούν οι επιχειρηματικές<br />
δραστηριότητες. Η δραστηριότητα στο διαδίκτυο<br />
μπορεί επίσης να φιλτράρεται ανά μέρα, κατηγορία<br />
και URL για να αποκαλύψει τάσεις και παρατυπίες που<br />
μπορεί να επηρεάζουν την παραγωγικότητα.<br />
Για περισσότερες πληροφορίες σχετικά με το WebProtection<br />
παρακαλώ επισκεφθείτε το link<br />
http://www.gfimax.com/remote-management/web-protection.
NEWS<br />
Κορυφαίοι Υπεύθυνοι Ασφαλείας ΙΤ από ολόκληρο τον κόσμο<br />
συστήνουν επιτάχυνση των επενδύσεων σε νέες τεχνολογίες<br />
Η RSA, το τμήμα Ασφαλείας της<br />
EMC, έδωσε στη δημοσιότητα μια<br />
νέα έκθεση του SBIC (του Συμβουλίου<br />
για την Ασφάλεια της Επιχειρηματικής<br />
Καινοτομίας - <strong>Security</strong> for Business<br />
Innovation Council), στην<br />
οποία σταχυολογούνται οι τρεις βασικοί<br />
τομείς προς τους οποίους θα πρέπει να κατευθύνονται<br />
οι επενδύσεις ΙΤ, καθώς και μια σειρά συστάσεις σχετικά<br />
με συγκεκριμένες τεχνολογίες ασφαλείας οι οποίες βοηθούν<br />
να δημιουργηθεί ένας καλύτερος μηχανισμός προληπτικής<br />
άμυνας και παράλληλα βελτιώνουν την παραγωγικότητα των<br />
επιχειρήσεων. Σύμφωνα με την έκθεση, η οποία έχει τίτλο<br />
Transforming Information <strong>Security</strong>: Focusing on Strategic Technologies,<br />
οι τρεις κύριοι τομείς στους οποίους θα πρέπει να<br />
διοχετεύονται επενδύσεις ΙΤ είναι η ανθεκτικότητα των συστημάτων<br />
ΙΤ έναντι των διαδικτυακών απειλών (cyber threat<br />
resiliency), η τελική εμπειρία χρήσης (end-user experience)<br />
και η ασφάλεια των υποδομών cloud (cloud security). Η έκθεση<br />
του SBIC αξιοποιεί τη γνώση και την εμπειρία των υπεύθυνων<br />
ασφαλείας ορισμένων από τις κορυφαίες επιχειρήσεις<br />
του κόσμου, με στόχο να βοηθήσει άλλους οργανισμούς<br />
να αναβαθμίσουν δραστικά τη δυνατότητα προστασίας<br />
των συστημάτων τους και να μεγιστοποιήσουν τα οφέλη<br />
από τις επενδύσεις τους σε πιο σύνθετες υποδομές ΙΤ.<br />
Στο πλαίσιο της συμμετοχής τους στο Συμβούλιο, τα μέλη<br />
του SBIC παρακολουθούν συστηματικά τις μεγάλες τεχνολογικές<br />
καινοτομίες που κυοφορούνται σε σχέση με την<br />
ασφάλεια του ΙΤ, ώστε να επιβεβαιώσουν ότι δεν πρόκειται<br />
για τεχνολογίες που αναπτύσσονται ή υλοποιούνται βιαστικά.<br />
Οι οργανισμοί αναγνωρίζουν πλέον ότι οι επιθέσεις μέσω<br />
διαδικτύου είναι αναπόφευκτες και στρέφουν την προσοχή<br />
τους στο πώς θα μειωθούν στο ελάχιστο οι επιπτώσεις<br />
μιας ενδεχόμενης επίθεσης.<br />
Έτσι, οι υπεύθυνοι ασφαλείας επικεντρώνουν το ενδιαφέρον<br />
τους σε τεχνολογίες και στρατηγικές που τους βοηθούν όχι<br />
μόνο να αποτρέψουν μια απειλή αλλά και να αυξήσουν την<br />
ανθεκτικότητα (resilience) των συστημάτων απέναντι της, δίνοντας<br />
προτεραιότητα σε επενδύσεις<br />
που προσφέρουν περισσότερες δυνατότητες<br />
ανίχνευσης και αντίδρασης.<br />
Σε ένα τέτοιο περιβάλλον, η έκθεση<br />
SBIC επιβεβαιώνει ότι η τεχνολογία<br />
των Big Data analytics αποτελεί<br />
θεμέλιο για την ενίσχυση των μηχανισμών<br />
προστασίας από τις κυβερνοαπειλές. Η επόμενη γενιά<br />
της τεχνολογίας anti-malware συγκαταλέγεται, επίσης,<br />
μεταξύ των βασικών τομέων όπου οι οργανισμοί θα πρέπει<br />
να επενδύσουν. Τα μέλη του Συμβουλίου υπογραμμίζουν τη<br />
σημασία που έχει για την παραγωγικότητα μιας επιχείρησης,<br />
η βελτίωση της εμπειρίας που αποκομίζει ο τελικός χρήστης<br />
των συστημάτων της, και προτείνουν την πραγματοποίηση<br />
επενδύσεων σε ευέλικτα συστήματα και μεθόδους ελέγχου<br />
της πρόσβασης και της ταυτοποίησης των χρηστών (authentication<br />
and Identity Management) με στόχο τη μείωση<br />
των σχετικών κινδύνων. Επιπλέον, η έκθεση προχωρά στην<br />
αξιολόγηση των υπηρεσιών ασφαλείας που παρέχονται μέσω<br />
cloud και έχουν σχεδιαστεί με στόχο να βοηθήσουν τις<br />
επιχειρήσεις να αποκτήσουν μεγαλύτερη ορατότητα και καλύτερο<br />
έλεγχο των απειλών.<br />
Το Συμβούλιο παρουσίασε με λεπτομέρειες τρεις συστάσεις,<br />
οι οποίες παρέχουν τις κατευθυντήριες γραμμές για την πετυχημένη<br />
επιλογή και εγκατάσταση νέων τεχνολογιών, καθώς<br />
και τη μεγιστοποίηση των επενδύσεων στον τομέα της ασφάλειας<br />
του ΙΤ:<br />
Κοιτάξτε τουλάχιστον τρία χρόνια μπροστά<br />
Χρησιμοποιώντας την ανάλυση SWOT, σε συνάρτηση<br />
με τη στρατηγική στους τομείς του <strong>IT</strong> και των Big Data,<br />
και με τη συνεργασία των υπεύθυνων εσωτερικού ελέγχου,<br />
οι οργανισμοί μπορούν να καταστρώσουν το πλάνο<br />
τους αναφορικά με το επίπεδο προστασίας που χρειάζονται<br />
σε ένα περιβάλλον όπου οι απειλές και τα ρίσκα<br />
είναι απολύτως δυναμικά.<br />
Ενοποιήστε διαφορετικά συστήματα για να έχετε<br />
τη μεγάλη εικόνα<br />
Αν προχωρήσετε σήμερα σε επενδύσεις στον τομέα της<br />
10 | security
ασφάλειας ΙΤ, το μεγαλύτερο όφελος θα προκύψει από τη συνδυαστική<br />
επεξεργασία πληροφοριών που θα αντλούνται μέσα από πολλές<br />
διαφορετικές εφαρμογές. Οι τεχνολογίες που είναι διαθέσιμες<br />
σήμερα κάνουν πιο εύκολη την ενοποίηση συστημάτων data analytics,<br />
security intelligence, και GRC.<br />
Μεγιστοποιήστε την αξία των επενδύσεων μέσα από την υλοποίηση<br />
τυποποιημένων τεχνολογικών λύσεων<br />
Οι κορυφαίες ομάδες ασφαλείας, γνωρίζοντας καλά τις παγίδες την<br />
τεχνολογικής προόδου, τους οικονομικούς περιορισμούς και την ενδεχόμενη<br />
απογοήτευση που μπορεί να συνοδεύει την υιοθέτηση ενός<br />
νέου προϊόντος, συστήνουν μια πιο τυπική προσέγγιση στο θέμα της<br />
εγκατάστασης, η οποία βοηθά στην καλύτερη διαχείριση του σχετικού<br />
ρίσκου.<br />
Σχόλια στελεχών:<br />
Amit Yoran, επίτιμος αντιπρόεδρος στην RSA, The <strong>Security</strong> Division of EMC<br />
«Η αύξηση της αντοχής των συστημάτων ΙΤ αποτελεί τον πυρήνα της<br />
στρατηγικής προστασίας ενός οργανισμού από τις διαδικτυακές απειλές.<br />
Η χρήση των κατάλληλων τεχνολογιών για την απόκτηση μεγαλύτερης<br />
ορατότητας και περισσότερων δυνατοτήτων ανάλυσης, προετοιμάζει τους<br />
οργανισμούς για ενδεχόμενες επιθέσεις και τις βοηθά να μειώσουν το ρίσκο<br />
που διατρέχουν. Η έκθεση του SBIC παρέχει την απαραίτητα καθοδήγηση<br />
και βοηθά τους υπεύθυνους ασφαλείας να κάνουν τις κατάλληλες<br />
επενδύσεις στις σχετικές τεχνολογίες».<br />
Simon Strickland, Γενικός διευθυντής ασφαλείας στην AstraZeneca<br />
«Η ταχύτητα των αλλαγών είναι μεγαλύτερη από ποτέ. Κάθε οργανισμός<br />
ΙΤ θα πρέπει να εντάξει την καινοτομία και την ευελιξία στη στρατηγική<br />
του. Επειδή η τεχνολογία, μετά από 18, ή ακόμη και 12 μήνες, θα έχει προχωρήσει,<br />
κι επειδή οι διαδικτυακοί ‘εχθροί’ θα έχουν κι αυτοί προσαρμοστεί<br />
αναλόγως, να είστε βέβαιοι ότι θα υπάρξουν ερωτηματικά σε σχέση<br />
με τους λόγους που σας υποχρέωσαν να μην παρακολουθήσετε κι εσείς<br />
τις εξελίξεις».<br />
Σχετικά με το <strong>Security</strong> for Business<br />
Innovation Council<br />
Tο συμβούλιο SBIC (<strong>Security</strong> for Business Innovation Council ) απαρτίζεται από<br />
τους υπεύθυνους ασφαλείας επιχειρήσεων του δείκτη Global 1000, οι οποίοι εργάζονται<br />
με προσήλωση για την αναβάθμιση της ασφάλειας των πληροφοριακών<br />
συστημάτων σε ολόκληρο τον κόσμο, μέσα από την ανταλλαγή των εμπειριών και<br />
της γνώσης τους. Το συμβούλιο παράγει, σε τακτική βάση, εκθέσεις αναφορικά<br />
με το ρόλο που έχει η προστασία των πληροφοριών, ως βασικός μοχλός ανάπτυξης<br />
της επιχειρηματικής καινοτομίας. Η παρούσα έκθεση είναι η τρίτη μιας<br />
τριλογίας σχετικά με τη δημιουργία ενός προγράμματος προστασίας επόμενης<br />
γενιάς. Η πρώτη από τις τρεις εκθέσεις είχε τίτλο Transforming Information <strong>Security</strong>:<br />
How to Build a State-of-the Art Extended Team, και η δεύτερη Transforming<br />
Information <strong>Security</strong>: Future-Proofing Processes.
NEWS<br />
Οι χρήστες του Facebook είναι οι πιο πιθανοί στόχοι κλοπής<br />
στοιχείων λογαριασμού<br />
To Facebook παραμένει ο προτιμώμενος στόχος<br />
για τους ψηφιακούς εγκληματίες που ειδικεύονται<br />
στην υποκλοπή των στοιχείων των λογαριασμών<br />
στα κοινωνικά δίκτυα. Σύμφωνα με<br />
στατιστικά στοιχεία της Kaspersky Lab, το<br />
πρώτο τρίμηνο του 2014, τα πλαστά sites<br />
που μιμούνταν το Facebook άγγιξαν το<br />
10,85% του συνόλου των περιστατικών<br />
phishing, βάσει των ενεργοποιήσεων της<br />
ευρετικής λειτουργίας Anti-phishing που διαθέτουν<br />
τα προϊόντα της εταιρείας. Συνολικά<br />
στο Διαδίκτυο, οι περισσότερες ειδοποιήσεις<br />
phishing αφορούσαν ψεύτικες σελίδες Yahoo, το<br />
Facebook, όμως, ήταν ο κύριος στόχος μεταξύ των sites κοινωνικής<br />
δικτύωσης.<br />
Σήμερα, οι απάτες μέσω Facebook αποτελούν μια παγκόσμια<br />
«επιχειρηματική δραστηριότητα» και οι επιθέσεις εναντίον του<br />
πραγματοποιούναι σε διάφορες γλώσσες όπως Αγγλικά, Γαλλικά,<br />
Γερμανικά, Πορτογαλικά, Ιταλικά, Τούρκικα, Αραβικά κ.α.<br />
Η μη εξουσιοδοτημένη πρόσβαση σε λογαριασμούς στο Facebook<br />
ή σε οποιοδήποτε άλλο κοινωνικό δίκτυο μπορεί να χρησιμοποιηθεί<br />
για την εξάπλωση phishing links ή κακόβουλου λογισμικού.<br />
Ακόμη, οι ψηφιακοί εγκληματίες χρησιμοποιούν τους<br />
παραβιασμένους λογαριασμούς για να στείλουν μηνύματα spam<br />
στις λίστες επαφών των θυμάτων. Επιπλέον, δημοσιεύουν μηνύματα<br />
spam στους «τοίχους» των φίλων των θυμάτων, όπου<br />
μπορούν να τα δουν και άλλοι χρήστες, ή προωθούν μηνύματα<br />
που ζητούν από τους φίλους τους επείγουσα οικονομική<br />
βοήθεια. Οι παραβιασμένοι λογαριασμοί μπορούν, επίσης, να<br />
χρησιμοποιηθούν για τη συλλογή πληροφοριών σχετικά με<br />
συγκεκριμένα άτομα. Αυτές οι πληροφορίες αξιοποιούνται κατά<br />
τη διάρκεια στοχευμένων επιθέσεων στο μέλλον.<br />
Οι κάτοχοι smartphone ή tablet που επισκέπτονται τα κοινωνικά<br />
δίκτυα από τις φορητές συσκευές τους κινδυνεύουν εξίσου<br />
να πέσουν θύματα κλοπής των προσωπικών τους δεδομένων.<br />
Η κατάσταση γίνεται ακόμα χειρότερη, καθώς ορισμένοι<br />
mobile browsers αποκρύπτουν τη μπάρα της διεύθυνσης<br />
όταν ανοίγουν μια ιστοσελίδα, δυσκολεύοντας πολύ περισσότερο<br />
τους χρήστες να εντοπίζουν τα πλαστά sites.<br />
«Οι ψηφιακοί εγκληματίες έχουν αναπτύξει πολλούς τρόπους<br />
για να προσελκύουν τα θύματά τους σε ιστοσελίδες<br />
με περιεχόμενο phishing. Στέλνουν<br />
links για τις ιστοσελίδες phishing μέσω email,<br />
μέσα από τα κοινωνικά δίκτυα ή με banners<br />
που τοποθετούν σε πόρους τρίτων. Οι απατεώνες<br />
συχνά δελεάζουν τα θύματά τους<br />
με υποσχέσεις για «ενδιαφέρον περιεχόμενο».<br />
Όταν οι χρήστες ακολουθούν αυτά τα<br />
link, οδηγούνται σε μία ψεύτικη σελίδα που<br />
περιέχει ένα συγκεκριμένο μήνυμα, με το<br />
οποίο τους ζητείται να κάνουν log in, πριν μπορέσουν<br />
να δουν το περιεχόμενό της. Αν οι χρήστες<br />
δεν είναι υποψιασμένοι και συμπληρώσουν τα<br />
στοιχεία τους, τα δεδομένα τους θα αποσταλλούν αμέσως<br />
στους ψηφιακούς εγκληματίες», δήλωσε η Nadezhda Demidova,<br />
Web Content Analyst της Kaspersky Lab.<br />
Τι συμβουλεύουν οι ειδικοί<br />
Αν λάβετε ειδοποίηση μέσω email από το Facebook ή ένα<br />
μήνυμα ότι ο λογαριασμός σας μπορεί να μπλοκαριστεί, μην<br />
πληκτρολογείτε ποτέ τα στοιχεία σας σε οποιαδήποτε φόρμα<br />
περιέχεται σε αυτό το μήνυμα. Το Facebook ποτέ δεν<br />
ζητά από τους χρήστες να καταχωρήσουν το password<br />
τους σε κάποιο email ή να στείλουν τους κωδικούς τους μέσω<br />
email.<br />
Τοποθετήστε τον κέρσορά σας πάνω στο link και ελέγξτε<br />
αν οδηγεί στην επίσημη σελίδα του Facebook. Επιπλέον,<br />
πρέπει να πληκτρολογείτε χειροκίνητα το URL του Facebook<br />
στον browser σας, καθώς οι ψηφιακοί εγκληματίες<br />
έχουν τη δυνατότητα να κρύβουν τις διευθύνσεις στις οποίες<br />
σας οδηγούν.<br />
Αφού πληκτρολογήσετε το URL του Facebook, ελέγξτε<br />
ξανά όταν η σελίδα φορτώσει για να βεβαιωθείτε ότι δεν<br />
είναι πλαστή.<br />
Να θυμάστε ότι το Facebook χρησιμοποιεί το πρωτόκολλο<br />
HTTPS για τη μετάδοση δεδομένων. Η απουσία ασφαλούς<br />
σύνδεσης πιθανότατα σημαίνει ότι έχετε επισκεφτεί<br />
ένα ψεύτικο site, ακόμα και αν η διεύθυνση URL είναι φαινομενικά<br />
σωστή.<br />
Περισσότερες πληροφορίες είναι διαθέσιμες στην ηλεκτρονική<br />
σελίδα securelist.com.<br />
12 | security
I SSUE<br />
Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών<br />
για τις υπηρεσίες Cloud της Med Nautilus<br />
Νίκος Κωνσταντινίδης<br />
Technical Director<br />
Μed Nautilus<br />
Στις ημέρες μας, η ασφάλεια των πληροφορικών συστημάτων<br />
είναι περισσότερο επίκαιρη από ποτέ. Το ηλεκτρονικό έγκλημα<br />
πλέον, έχει απόκτηση “επαγγελματικό“ χαρακτήρα και πραγματοποιείται<br />
στοχευμένα.<br />
Για την ισχυροποίηση της ασφάλειας των πελατών των υπηρεσιών<br />
Cloud, Τηλεπικοινωνιακών διασυνδέσεων, Internet, κ.α η<br />
Mediterranean Nautilus Greece έχει δημιουργήσει και εφαρμόσει<br />
ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών<br />
(ΣΔΑΠ – ISMS) σύμφωνα με τις απαιτήσεις του διεθνούς προτύπου<br />
ISO 27001, με το οποίο η Εταιρεία είναι πιστοποιημένη<br />
(πλέον της πιστοποίησης σύμφωνα με το πρότυπο ISO 9001).<br />
Το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών αποτελείται<br />
από τις κατάλληλες Πολιτικές, Διαδικασίες, Οδηγίες καθώς<br />
και από το κατάλληλα εκπαιδευμένο ανθρώπινο δυναμικό και τις<br />
κατάλληλες τεχνολογίες ασφαλείας.<br />
Για την παρακολούθηση και τον έλεγχο φυσικής πρόσβασης<br />
εκτός από την 24x7 φύλαξη των εγκαταστάσεων από εξειδικευμένη<br />
εταιρεία, έχουν εγκατασταθεί πολλαπλά συστήματα α-<br />
σφαλείας όπως CCTV, Access control, Biometric Systems και στα<br />
3 ιδιόκτητα Data Center της Mediterranean Nautilus Greece (2<br />
στην Αττική και ένα στα Χανιά, συνολικής επιφάνειας 8000 τ.μ.).<br />
Η λογική ασφάλεια των συστημάτων της εταιρίας βασίζεται σε<br />
μια πολύ-επίπεδη αρχιτεκτονική, σκοπός της οποίας είναι να<br />
θέτει πολλαπλά σημεία προστασίας και ελέγχου ανάμεσα σε<br />
πιθανούς εισβολείς και στα συστήματα των πελατών.<br />
Για την εφαρμογή αυτής της αρχιτεκτονικής και βάση των αποτελεσμάτων<br />
της Ανάλυσης Επικινδυνότητας, έχουν ήδη εγκατασταθεί<br />
μηχανισμοί ασφάλειας όπως : Firewalls, VPN, Intrusion<br />
Prevention/Detection, Denial of Service Protection, Antivirus,<br />
Advance Threat Detection ,Strong Authentication και Access<br />
Control (π.χ. Radius/Tacacs, Administrators Session Control).<br />
Όλα τα δίκτυα της εταιρείας είναι απομονωμένα. Η απομόνωση<br />
πραγματοποιείται βάση της κρισιμότητας της κάθε υπηρεσίας.<br />
Ειδικότερα δίκτυα που φιλοξενούν υπηρεσίες προς τους<br />
πελάτες, είναι απομονωμένα από τα υπόλοιπα δίκτυα της Εταιρείας<br />
και από το διαδίκτυο. Η πρόσβαση από και προς σε αυτά<br />
ελέγχεται τόσο με συστήματα firewall όσο και με την εγκατεστημένη<br />
IPS/IDS υποδομή.<br />
Όλα τα δίκτυα πελατών είναι μεταξύ τους επίσης απομονωμένα<br />
εκτός εάν διαφορετικά ορίζεται σύμφωνα με απαίτηση του<br />
Πελάτη. Πρόσβαση σε αυτά τα δίκτυα επιτρέπεται μόνο μετά<br />
από έγκριση του Υπευθύνου Ασφαλείας.<br />
Όλες οι συνδέσεις με εξωτερικά δίκτυα (π.χ. Συνεργάτες) τοποθετούνται<br />
σε απομονωμένες λογικές ζώνες (π.χ. DMZ) ώστε<br />
η πρόσβαση που θα έχουν προς τα εσωτερικά δίκτυα της<br />
εταιρείας, αλλά και η τυχόν μεταξύ τους πρόσβαση να είναι<br />
πλήρως ελεγχόμενη.<br />
Τα συστήματα προστασίας δικτύου παρέχουν μηχανισμούς έ-<br />
γκαιρης ενημέρωσης (real-time alert loging). Το σύστημα διαχείρισης<br />
και ανάλυσης <strong>Security</strong> Information and Event<br />
Management (SIEM) που χρησιμοποιεί η ομάδα ασφάλειας, μας<br />
δίνει την δυνατότητα άμεσης επέμβασης πραγματοποιώντας<br />
αυτόματα συσχετισμούς των συμβάντων ασφάλειας που εντοπίζονται<br />
στα συστήματα της ενέργειας. Ακολουθώντας τις διατάξεις<br />
της Ελληνικής Νομοθεσίας όλα τα συμβάντα ασφάλειας<br />
αναλύονται και όλες οι πληροφορίες για αυτά αποθηκεύονται<br />
με ασφαλείς διαδικασίες.<br />
Τα συστήματα που χρησιμοποιούνται για τη διαχείριση των Δικτύων<br />
της MedNautilus είναι λογικά εγκατεστημένα σε απομονωμένες<br />
ζώνες. Πρόσβαση σε αυτές τις ζώνες έχουν μόνο οι<br />
Διαχειριστές και μόνο από συγκεκριμένες λογικές τοποθεσίες<br />
υπό την προϋπόθεση της χρήσης ασφαλών πρωτοκόλλων επικοινωνίας<br />
(SSH, HTTPS, sFTP, SSL). Όλες οι διαχειριστικές<br />
προσβάσεις καταγράφονται και παρακολουθούνται.<br />
Τέλος, σημειώνεται ότι για την ενδυνάμωση της ασφάλειας των<br />
δικτύων σε τακτά χρονικά διαστήματα, βάση του Πλάνου<br />
Ελέγχων, διενεργούνται τεχνικοί έλεγχοι ασφάλειας από τον<br />
Υπεύθυνο Ελέγχων και τον Υπεύθυνο Ασφάλειας χρησιμοποιώντας<br />
διεθνείς πρακτικές και αυτοματοποιημένα συστήματα<br />
ελέγχων (π.x Vulnerability Scanning and Management Systems,<br />
Configuration Audit). iT<strong>Security</strong><br />
security | 13
C OVER ISSUE<br />
Ανθρώπινος Παράγοντας<br />
..ο καταλυτικός ρόλος και τα λάθη<br />
Του Νότη Ηλιόπουλου<br />
Msc Infosec, ISO 27001 LA, CISA, CISM<br />
piliopou@me.com<br />
Είναι προφανές ότι μόνο οι τεχνικές δικλείδες ασφάλειας (λύσεις και προϊόντα) δεν μπορούν<br />
να αποτρέψουν περιπτώσεις παραβίασης της ασφάλειας των πληροφοριών και μη εξουσιοδοτημένης<br />
τροποποίησης και κατοχής τους. Οι Οργανισμοί χρειάζεται να μεταδώσουν στους<br />
χρήστες και να διατηρήσουν μια κουλτούρα σχετικά με τη προστασία των επιχειρηματικών<br />
πληροφοριών<br />
Οι διάφορες προκλήσεις λόγω διαφοροποίησης του τρόπου<br />
διεκπεραίωσης των καθημερινών διεργασιών στο εταιρικό περιβάλλον,<br />
από τη χρήση κανόνων και μηχανισμών προστασίας<br />
των πληροφοριών, χρειάζεται να κατανοηθούν και να επιλυθούν.<br />
Αυτό σημαίνει ότι οι λειτουργίες και διεργασίες που αφορούν<br />
στην ασφάλεια των πληροφοριών πρέπει να είναι ουσιαστικές,<br />
να μπορούν να εφαρμοστούν με σχετική ευκολία και να μη περιορίζουν<br />
τις καθημερινές δραστηριότητες των χρηστών σε σχέση<br />
με τη διεκπεραίωση της εργασίας τους.<br />
Οι χρήστες πρέπει να εκπαιδεύονται σχετικά με τη σημασία της<br />
προστασίας των εταιρικών πολιτικών ασφάλειας, έτσι ώστε να<br />
διαμορφώνουν και την αντίστοιχη συμπεριφορά.<br />
Η διαμόρφωση μια κουλτούρας για την ασφάλεια των πληροφοριών<br />
καθώς και η κατανόηση και εφαρμογή των κανόνων για<br />
την προστασία των πληροφοριών, είναι αποτέλεσμα σωστής ε-<br />
πικοινωνίας, σχεδιασμού και εφαρμογής διαφορετικών δράσεων.<br />
Οι εν λόγω δράσεις είναι αποτέλεσμα σχεδιασμού και στη<br />
συνέχεια εφαρμογής συγκεκριμένης στρατηγικής. Μιας στρα-<br />
14 | security
τηγικής που σχεδιάζεται από επαγγελματίες της ασφάλειας πληροφοριών,<br />
οι οποίοι συχνά υποπίπτουν σε σημαντικά λάθη, τα<br />
οποία στοιχίζουν σε αποτελεσματικότητα και αξιοπιστία.<br />
Στις επόμενες παραγράφους προσδιορίζονται τα σημαντικότερα<br />
λάθη τα οποία γίνονται κατά το σχεδιασμό της στρατηγικής<br />
αλλά και την εφαρμογή των βασικών άρχων της Α-<br />
σφάλειας Πληροφοριών. Λάθη τα οποία ξεκινούν και καταλήγουν<br />
στον ανθρώπινο παράγοντα.<br />
Απουσία συνολικής στρατηγικής διαχείρισης της<br />
ασφάλειας πληροφοριών<br />
Η Στρατηγική πρέπει να είναι προσαρμοσμένη στον συγκεκριμένο<br />
Οργανισμό και αφορά στη συγκεκριμένη κουλτούρα και ανάγκες<br />
για προστασία των πληροφοριών. Τα κυριότερα λάθη τα οποία α-<br />
φορούν στη διαμόρφωση της στρατηγικής είναι τα ακόλουθα:<br />
Σε πολλές περιπτώσεις δεν υπάρχει στρατηγική και η διαμόρφωση<br />
του πλαισίου διαχείρισης της Ασφάλειας Πληροφοριών<br />
ξεκινά από την ανάγκη της κανονιστικής συμμόρφωσης<br />
είτε από τη ματαιοδοξία της πιστοποίησης με κάποιο<br />
πρότυπο.<br />
Η στρατηγική δεν έχει γίνει επίσημα αποδεκτή και δε στηρίζεται<br />
από τη Διοίκηση.<br />
Στρατηγική πέρα και πάνω από πιστοποιήσεις, πρότυπα,<br />
κανονιστικές απαιτήσεις. Στρατηγική η οποία περιλαμβάνει<br />
όλα τα προηγούμενα, αλλά τα υλοποιεί, τα εφαρμόζει<br />
αφού προηγουμένως έχει κατανοήσει τις ανάγκες ασφάλειας<br />
του Οργανισμού όπως αυτές προσδιορίζονται από<br />
αξιολογήσεις κινδύνων, αξιολογήσεις αδυναμιών ασφάλειας<br />
αλλά και αξιολόγηση της κρισιμότητας των υφιστάμενων<br />
πληροφοριών. Δε πρέπει, επίσης, να παραβλέψουμε<br />
την ανάγκη για προσδιορισμό της ροής των κρίσιμων<br />
πληροφοριών εσωτερικά αλλά και εξωτερικά του Οργανισμού,<br />
συνεπικουρούμενης από την αξιολόγηση των δικλείδων<br />
ασφάλειας κατά τη ροή και χρήση των κρίσιμων<br />
εταιρικών πληροφοριών.<br />
Η στρατηγική είναι αναγκαίο να περιλαμβάνει συγκεκριμένα βήματα<br />
υλοποίησης, χρόνο-προγραμματισμό αλλά και παραμέτρους<br />
μέτρησης της αποτελεσματικότητάς της έτσι ώστε να<br />
μπορεί να αναπροσαρμοσθεί.<br />
Πολιτικές και διαδικασίες που είναι εφικτό να ε-<br />
φαρμοστούν<br />
Η θέσπιση και τεκμηρίωση των κανόνων προστασίας είναι από<br />
τους ακρογωνιαίους λίθους της Ασφάλειας Πληροφοριών. Συχνά<br />
αντιμετωπίζεται ως μια διαδικασία συλλογής και αποτύπωσης<br />
κανόνων οι οποίοι δεν ανταποκρίνονται στο Επιχειρηματικό<br />
περιβάλλον, επαναλαμβάνονται και πολλοί από αυτούς δε<br />
μπορούν να εφαρμοστούν.<br />
Τα συχνότερα λάθη που συναντούμε είναι τα ακόλουθα:<br />
Αντιγραφή από διάφορες πήγες χωρίς επεξεργασία και προσαρμογή<br />
στο υφιστάμενο περιβάλλον και κουλτούρα.<br />
Μεταφορά αυτούσιων φράσεων από πρότυπα, κανονιστικές<br />
διατάξεις και βέλτιστες πρακτικές.<br />
Μη εμπλοκή αντιπροσώπων άλλων Επιχειρηματικών οντοτήτων<br />
του Οργανισμού. Των οντοτήτων, δηλαδή, που καλούνται<br />
να εφαρμόσουν πολιτικές και διαδικασίες.<br />
Δεν είναι επικαιροποιημένες, δεν αντιστοιχούν είτε στην υ-<br />
φιστάμενη οργανωτική δομή, είτε στην υφιστάμενη τεχνολογική<br />
υποδομή.<br />
Απουσία διεργασίας συνεχούς αξιολόγησης κινδύνων<br />
Η αξιολόγηση κινδύνων, τις περισσότερες φορές, αντιμετωπίζεται<br />
ως αναγκαιότητα στο πλαίσιο κανονιστικών απαιτήσεων αλλά<br />
και τήρησης απαιτήσεων εναρμόνισης με κάποια πρότυπα.<br />
Το συχνότερο λάθος αφορά στην προετοιμασία της εν λόγο<br />
διαδικασίας. Η προετοιμασία είναι ελλιπής και στις περισσότερες<br />
περιπτώσεις οι συμμετέχοντες, έκτος των τμημάτων ασφάλειας<br />
πληροφοριών, ειδοποιούνται την τελευταία στιγμή και δεν<br />
έχουν τη δυνατότητα ορθής προετοιμασίας και κατανόησης του<br />
αντικειμένου των ελέγχων.<br />
Η συχνότητα και το εύρος που καλύπτουν οι αξιολογήσεις κινδύνων<br />
είναι ένα ακόμα σημείο που χρήζει προσοχής. Ο κάθε<br />
Οργανισμός έχει ανάγκη μια διεργασίας συνεχούς αξιολόγησης<br />
κινδύνων. Είναι κατανοητό πως η διενέργεια πλήρους<br />
αξιολόγησης κινδύνων κάθε χρόνο είναι ουτοπία. Είναι<br />
όμως εφικτό να υπάρχει καλύτερη οργάνωση της διεργασίας<br />
έτσι ώστε ανά τακτά χρονικά διαστήματα να διενεργείται α-<br />
ξιολόγηση κινδύνων σε διαφορετικές Επιχειρηματικές υποδομές<br />
κατά τη διάρκεια ενός έτους. Επίσης, εβδομαδιαίοι και<br />
μηνιαίοι επαναλαμβανόμενοι έλεγχοι σε κρίσιμες επιχειρηματικές<br />
δραστηριότητες είναι αναγκαίοι. Αυτό που χρειάζεται να<br />
security | 15
COVER ISSUE<br />
Ανθρώπινος Παράγοντας ..ο καταλυτικός ρόλος και τα λάθη<br />
γίνει κατανοητό, είναι ότι δεν χρειάζεται η βοήθεια εξωτερικών<br />
συνεργατών για τη διενέργεια των αξιολογήσεων κινδύνων.<br />
Χρειάζεται ουσιαστική ενασχόληση του τμήματος / υ-<br />
πευθύνου της Ασφάλειας Πληροφοριών. Εξ άλλου, η αξιολόγηση<br />
κινδύνων είναι ακρογωνιαίος λίθος της ασφάλειας<br />
πληροφοριών και δε νοείται επαγγελματίες του χώρου να κρατούν<br />
αποστάσεις και να μην εμπλέκονται ενεργά (ακόμα και<br />
να αποφεύγουν) στη συγκεκριμένη διεργασία.<br />
Ελλιπείς διαχείριση των διορθωτικών ενεργειών<br />
σε συνέχεια των αξιολογήσεων κινδύνων<br />
Εάν υποθέσουμε ότι τα αποτελέσματα της εκάστοτε αξιολόγησης<br />
κινδύνων είναι το αποτέλεσμα μιας αποτελεσματικές διεργασίας,<br />
τότε η συνέχεια και η ολοκλήρωση της διεργασίας απαιτεί<br />
την αντιμετώπιση των κινδύνων και την υλοποίηση εκείνων των<br />
δικλείδων ασφάλειας που θα μειώσουν τον κίνδυνο σε αποδεκτό<br />
για τον Οργανισμό επίπεδο. Η συνεχής παρακολούθηση και<br />
ο έλεγχος υλοποίησης των διορθωτικών ενεργειών που αφορούν<br />
στη αντιμετώπιση των κινδύνων, είναι ακόμα σημαντικότερη διαδικασία,<br />
η οποία συχνά παραβλέπεται.<br />
Το συνηθέστερο φαινόμενο αφορά στην παράληψη των ελέγχων<br />
υλοποίησης των διορθωτικών ενεργειών, αλλά και στην<br />
ελαστικότητα στους χρόνους υλοποίησης των διορθωτικών<br />
ενεργειών.<br />
Ένα ακόμα σημείο που χρίζει προσοχής, είναι η δημιουργία ε-<br />
νός ενιαίου καταλόγου με όλους τους κινδύνους σχετικά με την<br />
ασφάλεια πληροφοριών, από όποια διεργασία αξιολόγησης κινδύνων<br />
και αν αυτά προέρχονται (penetration testing, vulnerability<br />
assessment, security testing, κτλ). Ο τρόπος αποτύπωσης, περιγραφής<br />
αλλά και αξιολόγησης πρέπει να είναι ενιαίος και να δίνει<br />
τη πραγματική εικόνα του κινδύνου σε σχέση με την επίδρασή<br />
του στους επιχειρηματικούς στόχους και επιδιώξεις.<br />
Εκπαίδευση και ενημέρωση χρηστών<br />
Μεγάλη κουβέντα και πολλές ώρες έχουν αφιερωθεί στη περιγραφή<br />
της αναγκαιότητας για εκπαίδευση και ενημέρωση των<br />
χρηστών. Ακόμα περισσότερες ώρες έχουν αφιερωθεί στη περιγραφή<br />
ενός αποτελεσματικού τρόπου εκπαίδευση των χρηστών<br />
σε θέματα ασφάλειας πληροφοριών. Δυστυχώς όμως πολλές<br />
λιγότερες ώρες έχουν αφιερωθεί στην εκπαίδευση.<br />
Ακόμα και στις περιπτώσεις που αυτό γίνεται, υπάρχουν κάποια<br />
λάθη που χρειάζεται να παραλειφθούν.<br />
Η εκπαίδευση δεν είναι στοχευμένη στο κοινό που την παρακολουθεί.<br />
Συνήθως αποτελείται από γενικούς όρους και θεωρίες<br />
και κάποιες φορές προσπαθεί να ανάλυσει στο κοινό<br />
επιθέσεις κακόβουλων χρηστών χρησιμοποιώντας τεχνικούς<br />
όρους.<br />
Δε υπάρχει πρόγραμμα εκπαίδευσης το οποίο να έχει συνέχεια,<br />
να αποτελείται από διαφορετικές θεματικές ενότητες<br />
οι οποίες θα καλυφθούν με περισσότερες της μιας εκπαίδευσης.<br />
Ο τελικός χρήστης χρειάζεται πρώτα να κατανοήσει την αξία των<br />
πληροφοριών που διαχειρίζονται σε καθημερινή βάση και στη<br />
συνέχεια να δεχθεί στοχευμένα μηνύματα και να κατανοήσει<br />
πολιτικές, διαδικασίες και τεχνικούς μηχανισμούς που λειτουργούν<br />
σε σχέση με τα μηνύματα που θέλει να περάσει η εκάστοτε<br />
εκπαίδευση.<br />
Νομιμοποίηση των εξαιρέσεων<br />
Κάθε κανόνας έχει και την εξαίρεσή του, είναι και αυτό ένας κανόνας.<br />
Σε πολλούς Οργανισμούς συναντούμε συχνά τη νομιμοποίηση<br />
των εξαιρέσεων. Κάτω από την δικαιολογία ότι ο Ε-<br />
πιχειρηματικός Υπεύθυνος των πληροφοριών αποδέχεται τον<br />
κίνδυνο από τη μη τήρηση κάποιων κανόνων ασφάλειας πληροφοριών.<br />
Πολλές φορές η εν λόγο αποδοχή συνοδεύεται α-<br />
πό φόρμες ..... απαλλαγής. Το συγκεκριμένο τέχνασμα λειτουργεί<br />
σε περιπτώσεις συμμόρφωσης με κάποια ‘γνωστά’ πρότυπα.<br />
Στην πραγματικότητα αποτελεί αναβολή υλοποίησης των κανόνων<br />
και συμβιβασμό με τον κίνδυνο. Οι εξαιρέσεις πρέπει να είναι<br />
οι ελάχιστες δυνατές και η ισχύς τους πρέπει να επαναξιολογείται<br />
σε ετήσια βάση.<br />
Κανόνες και απαιτήσεις ασφάλειας σε προτάσεις<br />
συνεργασίας, λειτουργικές προδιαγραφές<br />
και συμβάσεις<br />
Μία από τις μεγάλες και αναμφισβήτητες αλήθειες στην ασφάλεια<br />
πληροφοριών, είναι ότι η εκ των υστέρων υλοποίηση των<br />
16 | security
δικλείδων ασφάλειας, επιφέρει επιπρόσθετο κόστος και καθυστερεί<br />
σημαντικά την εφαρμογή των απαιτήσεων και κανόνων<br />
της ασφάλειας πληροφοριών. Σε πολλές περιπτώσεις το επιπρόσθετο<br />
κόστος, αποτελεί ανασταλτικό παράγοντα εφαρμογής<br />
της εκάστοτε δικλείδας ασφάλειας.<br />
Η παραπάνω παράληψη, είναι κατά μεγάλο ποσοστό υπεύθυνη<br />
για τις περιπτώσεις hard coded passwords για την επικοινωνία<br />
μεταξύ συστημάτων και βάσεων δεδομένων, καθώς και για περιπτώσεις<br />
εφαρμογών οι οποίες είναι χτισμένες κάνοντας χρήστη<br />
του λογαριασμού ‘public’ της βάσης δεδομένων.<br />
Δε μπορούν να επικοινωνήσουν την αξία εσωτερικά<br />
και κυρίως προς τα πάνω<br />
Μελετώντας το τρόπο δράσης των διαφόρων Οργανισμών, παρατηρούμε<br />
ότι στο χώρο της Ασφάλειας Πληροφοριών έχουν<br />
παγιδευτεί σε μια προσπάθεια να κάνουν περισσότερα, να αγοράσουν<br />
– επενδύσουν περισσότερο, να εγκαταστήσουν περισσότερα,<br />
να αξιολογήσουν τους κινδύνους και τις αδυναμίες α-<br />
σφάλειας οπουδήποτε μέσα στο εταιρικό περιβάλλον κτλ.<br />
Τις περισσότερες φορές καταναλώνεται περισσότερη ενέργεια<br />
στην προσπάθεια να αξιολογηθούν λύσεις και να τεκμηριωθούν<br />
ολοένα και περισσότερες ανάγκες προς υλοποίηση, παρά<br />
ενέργεια που αφορά στον προσδιορισμό των πραγματικών<br />
αναγκών και του αποτελεσματικού τρόπου επικοινωνίας των<br />
αναγκών αυτών στη Διοίκηση. Το ζητούμενο είναι να κατανοήσει<br />
η Διοίκηση την ανάγκη, τις πιθανές εναλλακτικές επίλυσης<br />
του προβλήματος καθώς και το κόστος κάθε εναλλακτικής<br />
πρότασης.<br />
Πολλά περισσότερα μπορούν να επιτευχθούν αν απλά κοιτάξουμε<br />
γύρω μας με καθαρή σκέψη και αναρωτηθούμε «Τι είναι<br />
αυτό που προσπαθεί να πετύχει ο Οργανισμός για τον οποίο<br />
εργαζόμαστε;». Η απάντηση στην εν λόγο ερώτηση είναι αυτό<br />
για το οποίο η ασφάλεια πληροφοριών υπάρχει σε κάθε Οργανισμό.<br />
Οργανωτική τοποθέτηση της ασφάλειας πληροφοριών<br />
Ο ρόλος και η λειτουργία ενός φορέα διαχείρισης και συντονισμού<br />
της ασφάλειας πληροφοριών αποτελεί αναγκαιότητα. Η εικονική<br />
λειτουργία ενός τέτοιου ρόλου καλύπτει θεσμικές ή κανονιστικές<br />
απαιτήσεις, αλλά στην πραγματικότητα δε μπορεί να<br />
διαχειριστεί αποτελεσματικά τις απαιτήσεις ασφάλειας ενός Οργανισμού.<br />
Η λειτουργία ενός τέτοιου φορέα απαιτεί ανεξαρτησία και στήριξη,<br />
μα πάνω από όλα θέληση για αποτελεσματικότητα στην<br />
προστασία των κρίσιμων επιχειρηματικών πληροφοριών.<br />
Το συχνότερο λάθος που παρατηρείται είναι η μη ανεξάρτητη<br />
λειτουργία του εν λόγο φορέα, αλλά η λειτουργία του ως μέρος<br />
της επιχειρηματικής οντότητας Πληροφορικής.<br />
Συμπεριφορά επαγγελματιών προς συναδέλφους<br />
Ένα από τα σημαντικότερα σημεία, που συχνά παραγκωνίζεται,<br />
αφορά στη συμπεριφορά των επαγγελματιών της ασφάλειας<br />
πληροφοριών ως προς τους συναδέλφους τους. Λόγω του εύρους<br />
του αντικειμένου και της αναγκαιότητας του, πολλές φορές<br />
οι επαγγελματίες του χώρου είναι απόλυτοι στη γνώμη που<br />
εκφράζουν και δε συζητούν τον τρόπο υλοποίησης των δικλείδων<br />
ασφάλειας. Η άποψη των συναδέλφων που καλούνται να<br />
εφαρμόσουν κανόνες και δικλείδες ασφάλειας δε πρέπει να παραγκωνίζεται.<br />
Μπορούν να συνεισφέρουν εποικοδομητικά στον<br />
αποτελεσματικό τρόπο εφαρμογής κανόνων και μέτρων προστασίας.<br />
Για να γίνει όμως αυτό χρειάζεται να ακουστεί η γνώμη<br />
τους, καθώς και να τους γίνει κατανοητό το τι θέλουμε να ε-<br />
πιτύχουμε με τα προτεινόμενα μέτρα προστασίας, ποιός είναι ο<br />
στόχος και οι οι κίνδυνοι από τους οποίους προστατεύουμε τον<br />
Οργανισμό αλλά και τους ίδιους.<br />
Log off<br />
Οι πολυάριθμες τεχνολογικές εξελίξεις στο χώρο της πληροφορικής<br />
και της ασφάλειας πληροφοριών δεν εξασφαλίζουν την<br />
επαρκή προστασία των επιχειρηματικών πληροφοριών. Ως εκ<br />
τούτου, η ασφάλεια των πληροφοριών δεν μπορεί να κατανοηθεί<br />
ή να προσδιορισθεί ως αμιγώς τεχνικό θέμα.<br />
Η ασφάλεια πληροφοριών, ξεκινά, αφορά και καταλήγει στον ανθρώπινο<br />
παράγοντα. Ως εκ τούτου χρειάζεται να προσδιορίσουμε<br />
τα σημαντικότερα λάθη που γίνονται κατά το σχεδιασμό<br />
και την προσπάθεια εφαρμογής κανόνων και τεχνολογιών και να<br />
διδαχθούμε από αυτά. iT<strong>Security</strong>
I SSUE<br />
Πώς να διαφυλάξετε το ιδιωτικό<br />
απόρρητο και να προστατέψετε τα<br />
προσωπικά και τα εταιρικά δεδομένα σας<br />
Μερικά απλά βήματα για να ξεκινήσετε<br />
χρησιμοποιώντας τεχνολογίες της Sophos<br />
Γιώργος Καπανίρης<br />
Διευθυντής Στρατηγικής Ανάπτυξης,<br />
NSS<br />
Η ασφάλεια και το ιδιωτικό απόρρητο συγχέονται πολύ συχνά,<br />
ενώ θα λέγαμε ότι σε αρκετές περιπτώσεις οι δύο έννοιες<br />
συμπίπτουν. Διαφέρουν ωστόσο σε έναν πολύ σημαντικό τομέα.<br />
Ο σκοπός της ασφάλειας είναι να σας απαλλάξει από κινδύνους<br />
ή απειλές. Η προστασία των προσωπικών δεδομένων<br />
και του ιδιωτικού απορρήτου, αφορά στον έλεγχο των πληροφοριών<br />
που θέλετε να είναι γνωστές για εσάς, αλλά και ποιοί<br />
θέλετε να γνωρίζουν σχετικά.<br />
Ιδιωτικό απόρρητο και online υπηρεσίες<br />
Ως εκ τούτου, θα πρέπει να σκεφτείτε για τις επιλογές που έ-<br />
χετε σχετικά με την ιδιωτική σας ζωή την επόμενη φορά που<br />
θα δημιουργήσετε ένα νέο προφίλ σε κάποια online υπηρεσία<br />
ή όταν εγκαταστήσετε μια νέα εφαρμογή στο τηλέφωνό σας.<br />
Όταν πραγματοποιείτε μία εγγραφή για τη δημιουργία ενός<br />
online προφίλ, συνήθως το κάνετε για να έρθετε σε επαφή και<br />
να συνδεθείτε με ομοϊδεάτες σας ή άτομα που έχουν τα ίδια<br />
χόμπυ με εσάς ή για να εντοπίσετε φίλους ή συγγενικά πρόσωπα<br />
σε ιστοσελίδες κοινωνικής δικτύωσης κ.ά. Οι συγκεκριμένες<br />
ιστοσελίδες ζητούν πολλά προσωπικά στοιχεία για να σας<br />
“βοηθήσουν”, όπως όνομα, φύλο, χώρα που πήγατε σχολείο,<br />
ημερομηνία γέννησης ή ακόμα και αν έχετε σχέση. Όσες περισσότερες<br />
πληροφορίες δώσετε, τόσο πιο πλούσια εμπειρία<br />
θα απολαύσετε με την εκάστοτε υπηρεσία, έτσι δεν είναι; Για<br />
τον καθένα από εμάς τα στοιχεία που έχουμε επιλέξει να α-<br />
ποκαλύψουμε λογικά θα διαφέρουν. Πολλές από αυτές τις πληροφορίες<br />
που θα μας ζητηθεί να δώσουμε, είναι πιθανό να είναι<br />
προαιρετικές, οπότε καλό θα ήταν να ζυγίσουμε τα οφέλη,<br />
αν πρόκειται να τις μοιραστούμε με άλλους.<br />
Είναι πολύ σημαντικό να θυμόμαστε ότι ενώ οι κωδικοί πρόσβασης<br />
μπορούν να αλλάξουν, η ημερομηνία γέννησης, οι διάφοροι<br />
εθνικοί αριθμοί αναγνώρισης (π.χ αριθμός αστυνομικού<br />
δελτίου ταυτότητας ή διαβατηρίου, αριθμός φορολογικού μητρώου<br />
κ.ά.) και άλλα προσωπικά στοιχεία δεν μπορούν να αλλάξουν.<br />
Οι εφαρμογές στο τηλέφωνο είναι επίσης μία… πικρή<br />
ιστορία. Κάθε εταιρεία, με λίγα χρήματα μπορεί να δημιουργήσει<br />
μία εφαρμογή για κινητά, με στόχο την ευκολότερη συνεργασία<br />
μαζί σας, αλλά είναι ασφαλές κάτι τέτοιο; Μία έρευνα α-<br />
ποκάλυψε, ότι αυτά που συμβαίνουν κάτω από την επιφάνεια<br />
είναι πολύ πιο επικίνδυνα από όσα μπορείτε να φανταστείτε.<br />
Πολλές εφαρμογές φορητών συσκευών συχνά ζητούν να δώσετε<br />
δικαιώματα πρόσβασης σε διάφορα προσωπικά δεδομένα<br />
στο κινητό σας, χωρίς μάλιστα να δίνουν τη παραμικρή εγγύηση<br />
ότι δεν θα γίνει κατάχρηση αυτών των δικαιωμάτων. Μία<br />
συμβουλή είναι να προσπαθήσετε να σταματήσετε αυτό τον…<br />
εθισμό με την εγκατάσταση εφαρμογών. Γιατί να μην χρησιμοποιείτε<br />
τον browser στο τηλέφωνο σας για να κάνετε κάποια<br />
πράγματα; Γιατί να χρησιμοποιείτε την εφαρμογή μίας ιστοσελίδας,<br />
την ώρα που μπορείτε να μπείτε στην ιστοσελίδα με τον<br />
εγκατεστημένο περιηγητή στο κινητό ή στο tablet σας (π.x<br />
Firefox, Android browser, Chrome, Safari ή Internet Explorer);<br />
Μπορείτε, εφόσον το θέλετε να κάνετε μία θετική αλλαγή<br />
σχετικά με τη προστασία της ιδιωτικής σας ζωής<br />
18 | security
και της ασφάλειας σήμερα, ακολουθώντας τα τρία παρακάτω<br />
βήματα:<br />
Απενεργοποιήστε τη γεωτοποθεσία (geolocation)<br />
και αφήστε την απενεργοποιημένη<br />
Μπορείτε να ξεκινήσετε με κάτι πολύ απλό και εύκολο, απλώς<br />
σηκώστε το τηλέφωνο, το tablet ή το laptop σας και απενεργοποιήστε<br />
τη γεωτοποθεσία (geolocation). Μπορεί να φαίνεται<br />
σαν κάτι ασήμαντο, ωστόσο δεν μπορούμε να σκεφτούμε<br />
άλλο χαρακτηριστικό που να πέφτει θύμα τόσο μεγάλης κατάχρησης<br />
και κακής χρήσης από την ικανότητα της φορητής<br />
σας συσκευής (κινητού, tablet κ.ά.) να χρησιμοποιεί το GPS<br />
καθώς και το WiFi για να γνωρίζει που βρίσκεστε διαρκώς. Υ-<br />
πάρχουν πολλοί προγραμματιστές λογισμικού φορητών συσκευών<br />
που δεν είναι ειλικρινείς στον τρόπο που διαχειρίζονται<br />
αυτά τα δεδομένα με τις εφαρμογές που κατασκευάζουν.<br />
Αν για παράδειγμα μία υπηρεσία κοινωνικής δικτύωσης γνωρίζει<br />
που είστε, τότε ένας διαρρήκτης, μπορεί να γνωρίζει επιπλέον<br />
ότι είστε μακριά από το σπίτι σας και σε διακοπές.<br />
Απενεργοποιήστε το WiFi. Ενεργοποιήστε το όταν<br />
το χρειάζεστε<br />
Ένα ακόμη βήμα για την προστασία της ιδιωτικής σας ζωής, είναι<br />
να απενεργοποιήσετε το WiFi σε smartphones, tablets ή<br />
τους φορητούς υπολογιστές που έχετε στη διάθεση σας. Θα<br />
μπορείτε να χρησιμοποιείτε το WiFi όταν το χρειάζεστε αλλά<br />
θα πρέπει πρώτα να το ενεργοποιήσετε, κάτι που είναι τόσο<br />
απλό όσο το πάτημα ενός πλήκτρου. Αφού κάνετε αυτό που<br />
θέλατε, π.χ να ελέγξετε τα email σας, μετά μπορείτε να το α-<br />
πενεργοποιήσετε και πάλι. Τα smartphones που έχουν ενεργοποιημένο<br />
το WiFi, ψάχνουν διαρκώς να βρουν ασύρματα δίκτυα<br />
για να συνδεθούν, νόμιμα ή μη. Καθώς αναζητάει δίκτυα<br />
για να συνδεθεί, το κινητό σας θα αρχίσει να μαρτυράει μέχρι<br />
και τα ονόματα των δικτύων WiFi που έχετε χρησιμοποιήσει<br />
στο παρελθόν. Πολλά δίκτυα WiFi έχουν την ονομασία του μέρους<br />
που επισκεφτήκατε, οπότε στην ουσία είναι σαν το κινητό<br />
σας να λέει μία μικρή ιστορία για το πού ήσασταν, ποιά διαδρομή<br />
ακολουθήσατε κ.λπ. Παράλληλα με τις ονομασίες των<br />
δικτύων που επισκεφτήκατε, το κινητό σας μαρτυράει και την<br />
μοναδική δικτυακή διεύθυνση MAC. Διάφοροι εμπορικοί οργανισμοί<br />
έχουν αρχίσει να δείχνουν πολύ μεγάλο ενδιαφέρον<br />
για αυτό το μικρό και μοναδικό αναγνωριστικό, γιατί μπορεί να<br />
χρησιμοποιηθεί όπως ακριβώς ένα cookie, για την ανίχνευση<br />
και την καταχώρηση σε προφίλ των κινήσεών σας σε πραγματικό<br />
χρόνο.<br />
Αποσυνδεθείτε όταν τελειώσετε<br />
Το τρίτο βήμα είναι και το πιο δύσκολο όλων. Όσοι θέλουν<br />
πραγματικά να διατηρήσουν το ιδιωτικό απόρρητο, θα<br />
πρέπει να αποσυνδέονται από τις συσκευές που χρησιμοποιούν<br />
αμέσως μόλις τελειώσουν με την εργασία τους. Σταματήσατε<br />
να εργάζεστε στο laptop σας; Αποσυνδεθείτε. Ελέγξατε<br />
το υπόλοιπο στους τραπεζικούς σας λογαριασμούς μέσω Internet;<br />
Αποσυνδεθείτε. Έγινε ενημέρωση της κατάσταση σας<br />
στο Facebook; Αποσυνδεθείτε. Η αποσύνδεση είναι πολύ σπουδαία,<br />
γιατί αν δεν αποσυνδεθείτε από αυτό που κάνατε, στην<br />
πραγματικότητα δεν φύγατε ποτέ. Οτιδήποτε και αν χρησιμοποιήσατε,<br />
αν δεν κάνατε αποσύνδεση, τότε αφήνετε τη πίσω<br />
πόρτα ανοιχτή για κάθε είδους επιθέσεις, για κάθε είδους ε-<br />
νέργειες παραβίασης της ιδιωτικής σας ζωής όπως clickjacking,<br />
cross-site referral forgery attacks, social media tracking beacons<br />
και πολλές άλλες επιθέσεις με περίεργους τίτλους. Μία ε-<br />
ξαιρετική κίνηση είναι επίσης να λέτε στον browser σας να καθαρίζει<br />
αυτόματα το ιστορικό κάθε φορά που τον κλείνετε ή<br />
να πλοηγήστε στο Internet χρησιμοποιώντας τον σε λειτουργία<br />
Private ή Incognito.<br />
Ασφάλεια μέσω τεχνολογιών της Sophos<br />
Λίγες είναι οι λύσεις που μπορούν να προσφέρουν όλα όσα<br />
ζητάτε από θέμα ασφάλειας σε επίπεδο τελικού χρήστη (Layer-8<br />
<strong>Security</strong>) σε επιχειρησιακό επίπεδο. Το Sophos Cloud είναι<br />
η μοναδική cloud-managed υπηρεσία ασφαλείας στην α-<br />
γορά, που επιτρέπει τη διαχείριση υπολογιστών Windows, Mac<br />
και φορητών συσκευών από μια ενιαία κονσόλα στο σύννεφο,<br />
την οποία μπορείτε να χειριστείτε ακόμα και από το κινητό<br />
σας, οπουδήποτε και αν βρίσκεστε. Παρέχει αποτελεσματική<br />
διαχείριση φορητών συσκευών ενώ παράλληλα κρατάει την<br />
παραγωγικότητα των χρηστών σε υψηλά επίπεδα και τα εταιρικά<br />
δεδομένα ασφαλή. Οι νέες δυνατότητες Web που προσφέρει,<br />
επιτρέπουν στους διαχειριστές <strong>IT</strong> να ρυθμίζουν εύκολα<br />
και να επιβάλλουν πολιτικές συμμόρφωσης και ενισχυμένη<br />
ασφάλεια ενώ οι πολιτικές χρηστών μπορούν να δημιουργηθούν<br />
μία φορά και να αναπτυχθούν σε πολλαπλές ομάδες και<br />
πλατφόρμες ακολουθώντας τους χρήστες και τις συσκευές<br />
τους ακόμα και όταν βρίσκονται εκτός δικτύου. Το Sophos<br />
Cloud επίσης προσφέρει συγχρονισμό Active Directory, για να<br />
απλοποιήσει την ανάπτυξη και τη διαχείριση χρηστών και ο-<br />
μάδων χρηστών.<br />
Sophos Cloud Enduser Protection (Προστασία Endpoint<br />
και Mobile)<br />
To Sophos Cloud βασίζεται στην ίδια αποδεδειγμένη τεχνολογία<br />
που προστατεύει πάνω από 100 εκατομμύρια συσκευές<br />
σε όλο τον κόσμο. Μέσω του Sophos Cloud οι πολιτικές α-<br />
σφάλειας ακολουθούν τον χρήστη σε συσκευές, πλατφόρμες<br />
και τοποθεσίες. Το αποδειγμένα ολοκληρωμένο και ταυτόχρονα<br />
ελαφρύ σύστημα προστασίας της Sophos, σταματά τα<br />
κακόβουλα προγράμματα χρησιμοποιώντας πολλαπλά επίπεδα<br />
ελέγχου που περιλαμβάνουν ανίχνευση σε web-exploits,<br />
τεχνολογίες Sandboxing, HIPS, Buffer-Overflow κ.ά. Η διαχείsecurity<br />
| 19
I SSUE<br />
Πώς να διαφυλάξετε το ιδιωτικό απόρρητο<br />
ριση υπολογιστών και φορητών συσκευών στο Sophos Cloud<br />
επιτρέπει στους χρήστες να παραμένουν παραγωγικοί παρόλο<br />
που βρίσκονται σε διαρκή κίνηση, διατηρώντας παράλληλα<br />
τα εταιρικά δεδομένα απόλυτα ασφαλή. Μέσω ενός συστήματος<br />
ενοποιημένης διαχείρισης, μπορείτε να έχετε πλήρη ορατότητα<br />
για όλες τις συσκευές και τις πολιτικές από μια ενιαία,<br />
ενοποιημένη κονσόλα. Προσφέροντας μία καταπληκτική ε-<br />
μπειρία στο χρήστη, το Sophos Cloud είναι πανεύκολο στην<br />
ανάπτυξη, διαχείριση και συντήρηση. Η κονσόλα διαχείρισης<br />
φιλοξενείται στο σύννεφο από τη Sophos, και δεν υπάρχει α-<br />
νάγκη για καμμία εγκατάσταση τοπικά με αποτέλεσμα να μπορεί<br />
να οργανωθεί και να λειτουργήσει μέσα σε λίγα λεπτά.<br />
Η Sophos μπορεί να θωρακίσει τους χρήστες παρέχοντας<br />
προστασία από ιούς, web filtering, έλεγχο και διαχείριση κινητών<br />
συσκευών όπου και αν βρίσκονται, ό,τι και αν χρησιμοποιούν<br />
μέσω του παντρέματος των τεχνολογιών Sophos<br />
Endpoint Antivirus και Sophos Mobile Control και της ε-<br />
φαρμογής τους στο Sophos Cloud μέσα από ένα ενιαίο σύστημα<br />
διαχείρισης. Το Sophos Cloud λειτουργεί και ως μία<br />
επιπλέον προστασία για το ιδιωτικό απόρρητο αφού εξασφαλίζει<br />
ότι καμία πληροφορία για εσάς, δεν θα «βγει προς<br />
τα έξω» χωρίς να έχετε δώσει τη σχετική έγκριση. Εκτός α-<br />
πό την προστασία antivirus, προσφέρει δυνατότητα κλειδώματος<br />
ή διαγραφής των δεδομένων σε περίπτωση απώλειας<br />
της φορητής συσκευής. Το σύστημα προσφέρει προστασία<br />
ιδιωτικότητας σε πολύ υψηλό επίπεδο αφού σας υποδεικνύει<br />
τα δικαιώματα και τις προσβάσεις που έχουν οι εφαρμογές,<br />
σας συμβουλεύει σχετικά με το επίπεδο ασφάλειας γενικότερα,<br />
μπορεί να κλειδώσει με κωδικό εφαρμογές για να<br />
προστατεύσει τα δεδομένα σας από τρίτους που δεν έχουν<br />
άδεια πρόσβασης, ενώ παρέχει και web filtering που θεωρείται<br />
στοιχειώδης αφού ο ιστός είναι μία από τους πιο κοινούς<br />
φορείς μόλυνσης. Το Sophos Cloud σας επιτρέπει να<br />
διασφαλίζετε την ασφαλή και παραγωγική χρήση του web,<br />
αφού προστατεύει τους χρήστες ανεξάρτητα από το άν είναι<br />
στο γραφείο, στο σπίτι ή στο δρόμο. Οι προκαθορισμένες<br />
βελτιστοποιημένες πολιτικές ασφάλειας της Sophos, μπορούν<br />
να ανταποκριθούν στις απαιτήσεις για πλήρη ασφάλεια<br />
και συμμόρφωση που απαιτείται από όλες τις επιχειρήσεις.<br />
Μέσω αυτών των τεχνολογιών της Sophos, δεν υπάρχει<br />
πλέον ανάγκη για proxy servers, VPNs ή ειδικές διαμορφώσεις<br />
σε εφαρμογές αφού όλα γίνονται στις συσκευές ό-<br />
που και αν βρίσκονται. iT<strong>Security</strong><br />
Εναλλακτικά σενάρια αδειών χρήσης για το Sophos Cloud<br />
20 | security
I SSUE<br />
Κωδικοί Πρόσβασης<br />
Η κατάσταση στην Ελλάδα (Β΄ μέρος)<br />
ΑΤΕΙΘ, Τμήμα Πληροφορικής, Πτυχιακή Εργασία<br />
Παπαδόπουλος Κυριάκος, Τασιούδης Χρήστος<br />
Επιβλέπων:<br />
Βιολέττας Γεώργιος, Πληροφορικός M.Sc,<br />
Technical Trainers College, Riyadh, Saudi Arabia<br />
Το παρακάτω άρθρο είναι το δεύτερο μέρος της σύνοψης μιας μελέτης που διεξήχθη<br />
στα πλαίσια πτυχιακής εργασίας για το ΤΕΙ Θεσσαλονίκης. Έγινε εκτενής ανάλυση των<br />
κωδικών πρόσβασης (passwords) σχετικά με τον τρόπο επιλογής τους κατά τη δημιουργία<br />
τους, αλλά και την κατανομή των γραμμάτων που παρουσιάζουν.<br />
Θ<br />
υμίζουμε ότι η μελέτη στην οποία βασίζεται το συγκεκριμένο άρθρο (το Α μέρος δημοσιεύτηκε στο προηγούμενο<br />
τεύχος) εξετάστηκε η ικανότητα των Ελλήνων χρηστών να αναγνωρίσουν ισχυρούς κωδικούς πρόσβασης και<br />
να τους διακρίνουν από τους αδύναμους. Αντίστοιχη έρευνα δεν έχει διεξαχθεί στο παρελθόν και για πρώτη φορά<br />
στην Ελλάδα παρουσιάστηκαν οι πλέον αδύναμοι κωδικοί πρόσβασης που θα πρέπει να αποφεύγουν οι Έλληνες<br />
χρήστες. Σε συνέχεια λοιπόν των αποτελεσμάτων της έρευνας, στο δεύτερο μέρος έχουμε τα αποτελέσματα από το 6 μέχρι το<br />
11, όπου εξετάζουμε το πλήθος των κωδικών που χρησιμοποιούν οι χρήστες, τους τρόπους απομνημόνευσης, τις πιθανότητες αποκάλυψης<br />
και τους αδύναμους κωδικούς.<br />
security | 21
I SSUE<br />
Κωδικοί Πρόσβασης<br />
Διάγραμμα 8: Πλήθος κωδικών πρόσβασης<br />
στην Ελλάδα, που χρησιμοποιούν οι χρήστες<br />
σε ηλεκτρονικά μέσα<br />
6. Πλήθος των κωδικών που χρησιμοποιεί ο<br />
χρήστης.<br />
Μέσω άλλων ερευνών οι οποίες έχουν δημοσιευθεί στο παρελθόν,<br />
κάποιοι χρήστες καταλήγουν στην επιλογή να χρησιμοποιούν<br />
περισσότερους από έναν κωδικούς ταυτόχρονα, για<br />
διαφορετικές εφαρμογές.<br />
Στην παρούσα έρευνα διαπιστώθηκε πως το 68% του<br />
δείγματος χρησιμοποιούν διαφορετικούς κωδικούς πρόσβασης<br />
για διαφορετικές εφαρμογές. Το γενικότερο ό-<br />
μως συμπέρασμα που εξάγεται και από τις τρεις αυτές έ-<br />
ρευνες, είναι ότι ο<br />
μεγαλύτερος αριθμός<br />
των χρηστών ε-<br />
πιλέγουν να μη χρησιμοποιούν<br />
μόνο έ-<br />
ναν κωδικό για τις ε-<br />
φαρμογές τους.<br />
Στο διάγραμμα 8 α-<br />
ναπαρίσταται ποσοστιαία<br />
το πλήθος των<br />
κωδικών που χρησιμοποιεί<br />
το δείγμα.<br />
Διάγραμμα 9: Τρόποι αποθήκευσης ενός<br />
κωδικού πρόσβασης από Έλληνες χρήστες<br />
σε ηλεκτρονικά μέσα<br />
7. Τρόποι απομνημόνευσης.<br />
Μέσα από την έρευνα, διαπιστώθηκε πως για τη μυστικότητα<br />
του κωδικού πρόσβασης, το 79% χρησιμοποιεί ως αποθήκευσή<br />
του την απομνημόνευση. Αυτό το συμπέρασμα οδηγεί στην υ-<br />
πόθεση ότι οι περισσότεροι χρήστες αισθάνονται ανασφαλείς για<br />
τη μυστικότητα του κωδικού και προτιμούν να το γνωρίζουν μόνο<br />
οι ίδιοι. Μέθοδοι όπως η αποθήκευση στον Browser ή τοπικά<br />
στον υπολογιστή του χρήστη ή χειρόγραφα, δεν κερδίζουν<br />
την εμπιστοσύνη των<br />
χρηστών. Πιθανή αποθήκευση<br />
εκτός της απομνημόνευσης,<br />
πιθανότατα<br />
θα αφορά κωδικούς<br />
που δεν θα κρύβουν<br />
προσωπικά στοιχεία του<br />
χρήστη. Στο διάγραμμα<br />
9 παρουσιάζονται οι<br />
πιθανοί τρόποι αποθήκευσης<br />
των κωδικών<br />
πρόσβασης.<br />
8. Πιθανότητα αποκάλυψης του κωδικού<br />
Όπως αναφέρθηκε στην προηγούμενη παράγραφο, η μυστικότητα<br />
του κωδικού αποτελεί τη μεγαλύτερη παράμετρο για την<br />
ασφάλειά του. Ωστόσο, για ποικίλους λόγους κάποιοι χρήστες<br />
έχουν αποκαλύψει τον κωδικό τους σε τρίτα πρόσωπα, για να<br />
τους χρησιμοποιήσουν εκ μέρους τους. Ένας στους δύο χρήστες<br />
(46%) απάντησε στην έρευνα ότι έχει αποκαλύψει<br />
τον κωδικό του πρόσβασης σε τρίτα άτομα (διάγραμμα<br />
10). Το γεγονός<br />
αυτό υποδεικνύει<br />
ότι οι χρήστες<br />
δεν αντιλαμβάνονται<br />
πλήρως τη σημασία<br />
της μυστικότητας<br />
του κωδικού<br />
τους.<br />
Επίσης, στο σύνολο<br />
των χρηστών<br />
τέθηκε το<br />
ερώτημα αν έχουν αποκαλύψει ποτέ τον κωδικό τους στον/στη<br />
σύντροφο/σύζυγό τους. Σε αυτή την περίπτωση φαίνεται<br />
πως οι χρήστες είναι πιο επιφυλακτικοί, καθώς μικρότερο<br />
ποσοστό έχει αποκαλύψει τον κωδικό του στον/στη<br />
σύντροφο/σύζυγό του. Το ποσοστό αυτό αντιστοιχεί στο<br />
34% των χρηστών.<br />
Στο διάγραμμα<br />
Αποκάλυψη κωδικού<br />
Ποσοστό αποκάλυψης του κωδικού πρόσβασης από Έλληνες χρήστες<br />
σε ηλεκτρονικά μέσα, σε τρίτα πρόσωπα<br />
ΟΧΙ<br />
54%<br />
ΝΑΙ<br />
46%<br />
Διάγραμμα 10: Ποσοστό αποκάλυψης του κωδικού<br />
πρόσβασης από Έλληνες χρήστες σε ηλεκτρονικά<br />
μέσα, σε τρίτα πρόσωπα<br />
Αποκάλυψη κωδικού σε σύζυγο<br />
Ποσοστό αποκάλυψης κωδικού πρόσβασης ηλεκτρονικών μέσων<br />
στην Ελλάδα στον/ην σύντροφο/σύζυγο<br />
ΟΧΙ<br />
66%<br />
ΝΑΙ<br />
34%<br />
Διάγραμμα 11: Ποσοστό αποκάλυψης κωδικού πρόσβασης<br />
ηλεκτρονικών μέσων στην Ελλάδα στον/στη<br />
σύντροφο/σύζυγο<br />
11 απεικονίζεται<br />
το ποσοστό χρηστών<br />
που έχει α-<br />
ποκαλύψει τον<br />
κωδικό του πρόσβασης<br />
στον/στη<br />
σύντροφο/σύζυγό<br />
του.<br />
Για το συγκεκριμένο<br />
θέμα προκύπτει<br />
το συμπέρασμα<br />
ότι οι χρήστες αισθάνονται περισσότερο τον κίνδυνο<br />
να μην αποκαλύψουν στοιχεία στον/στη σύντροφο/σύζυγό<br />
τους, από ό,τι σε άλλα τρίτα πρόσωπα. Ενδεχομένως θεωρούν<br />
πως μετά την αποκάλυψη του κωδικού σε τρίτα πρόσωπα, θα<br />
μπορέσουν να προχωρήσουν σε αλλαγή του κωδικού τους, ε-<br />
νώ με τον/τη σύντροφο/σύζυγό τους δεν μπορούν να προ-<br />
22 | security
σφύγουν σε κάτι τέτοιο. Επίσης οι χρήστες ίσως δεν θέλουν<br />
να παρουσιάσουν προσωπικά τους στοιχεία (π.χ. υπόλοιπο λογαριασμού<br />
τραπέζης) στον/στη σύντροφο/σύζυγό τους. Ακόμη,<br />
πρέπει να σημειωθεί πως μία αποκάλυψη του κωδικού<br />
στον/στη σύντροφο/σύζυγο συνεπάγεται συνεχή γνώση του<br />
κωδικού από τον/τη σύντροφο/σύζυγο, διαφορετικά οποιαδήποτε<br />
απόκρυψη-αλλαγή του κωδικού αυτού στο μέλλον θα θεωρηθεί<br />
ύποπτη συμπεριφορά.<br />
Μία ενδεχόμενη αλλαγή του κωδικού και απόκρυψή του από<br />
τον/τη σύντροφο/σύζυγο πιθανώς να σημαίνει ότι ο χρήστης<br />
θέλει να κρύψει πληροφορίες για τον εαυτό του, πέρα από τις<br />
περιπτώσεις των τραπεζικών συναλλαγών και σε άλλες εφαρμογές.<br />
Τέτοιες περιπτώσεις είναι ο κωδικός του e-mail με το<br />
οποίο υπάρχει επικοινωνία ή το facebook. Αυτές οι εφαρμογές<br />
προσφέρουν τη δυνατότητα στο χρήστη να επικοινωνήσει<br />
με άλλα άτομα και γενικότερα να αναπτύξει γνωριμίες. Κάτι τέτοιο<br />
σαφώς και θα έθετε σε κίνδυνο την προσωπική σχέση<br />
του χρήστη, αν υποθέταμε ότι ο σύντροφος/σύζυγός τους<br />
μπορούσε να εισέλθει στο λογαριασμό τους. Από όλα τα παραπάνω<br />
συμπεραίνεται ότι είναι ακόμα λιγότεροι οι χρήστες οι<br />
οποίοι αποκαλύπτουν τον κωδικό στον/στη σύντροφο/σύζυγό<br />
τους σε σχέση με τρίτα πρόσωπα, διότι προφανώς θέλουν (δυνητικά)<br />
να διαφυλάξουν πληροφορίες για την προσωπική τους<br />
ζωή.<br />
9. Κατηγορίες κωδικών που θεωρεί το δείγμα<br />
αδύναμες<br />
Στο διάγραμμα 12 εμφανίζονται οι επιμέρους κατηγορίες α-<br />
πό τις οποίες κάποιος χρήστης θα μπορούσε να εμπνευστεί<br />
για να δημιουργήσει τον κωδικό του πρόσβασης και συνεπώς<br />
θεωρούνται αδύναμοι για τους Έλληνες χρήστες.<br />
Από το διάγραμμα 12 είναι εμφανής η τάση των χρηστών να<br />
Διάγραμμα 12: Κατηγορίες που εμπνέουν τους Έλληνες χρήστες για δημιουργία<br />
κωδικού πρόσβασης σε ηλεκτρονικά μέσα<br />
χρησιμοποιούν ως κωδικό πρόσβασης πράγματα της καθημερινότητάς<br />
τους και προσωπικά τους στοιχεία. Έτσι λοιπόν,<br />
διαπιστώνεται ότι ένα μεγάλο ποσοστό χρηστών (76%)<br />
θεωρεί πως η χρήση του ονόματός τους ως κωδικού θα<br />
ήταν κάτι προφανές, ενώ μεγάλο κριτήριο αποφυγής έ-<br />
χουν οι αθλητικές ομάδες, που θεωρούνται αδύναμες για<br />
ένα χρήστη από το 69% του δείγματος. Επίσης, ένας κωδικός<br />
μπορεί να θεωρηθεί ευάλωτος αν αυτός είναι το ε-<br />
πίθετο ή το όνομα πόλης του χρήστη, με ποσοστό 55%.<br />
10. Οι 100 κωδικοί που πρέπει να αποφεύγουν οι<br />
Έλληνες χρήστες<br />
Λαμβάνοντας υπόψη το διάγραμμα 12, μπορούμε να δημιουργήσουμε<br />
μία κατηγορία κωδικών πρόσβασης όπου θα πρέπει<br />
να θεωρηθεί ότι οι κωδικοί που εμπίπτουν σε αυτή είναι εύκολο<br />
και πιθανό να τους ανακαλύψει ένας πιθανός επιτιθέμενος.<br />
Στο διάγραμμα 13 παρουσιάζονται οι 100 κωδικοί πρόσβασης<br />
που θα πρέπει να αποφεύγονται ως υπερβολικά εύκολοι και κοινότοποι.<br />
Πρέπει να επισημανθεί ότι οι κωδικοί που παρουσιάζονται<br />
θα πρέπει να αποφεύγονται τόσο όπως παρουσιάζονται<br />
στο διάγραμμα 13, αλλά και σε συνδυασμό με διάφορους χαρακτήρες<br />
που ενδεχομένως να είναι η ημέρα γέννησης του<br />
χρήστη, η ομάδα του κ.ά., όπως θα αναλυθεί παρακάτω. Η σειρά<br />
με την οποία καταγράφονται είναι τυχαία και θεωρείται ότι<br />
όλα είναι εξίσου αδύναμα.<br />
TOP 1-25 TOP 26-50 TOP 51-75 TOP 76-100<br />
1 1234 aek-21 super3 Masoutis<br />
2 123456 ΠΑΟΚ qwerty Marinopoulos<br />
3 4321 ΑΕΚ ΟΣΦΠ osfp<br />
4 654321 paok4 thessaloniki Serres<br />
5 1111 παοκ-θ4 athina patra<br />
6 123 Olympiakos7 volos Carrefour<br />
7 321 olympiakos o-s-f-p Multirama<br />
8 !@#$ panathinaikos Α.Ε.Κ μαρία<br />
9 $#@! θεός Pao-13 Maria<br />
10 password pao osfp Giannis<br />
11 !!!! papadopoulos giannis Dimitris<br />
12 αααα george nikos Cyta<br />
13 aaaa giorgos gewrgia panagiwtis<br />
14 QWERTY vaso xristos sofia<br />
15 theos eirini mazda xristina<br />
16 katerina mercedes savalas ford<br />
17 dimitra nikolaou karamanlis honda<br />
18 bmw petridis anna opel<br />
19 fiat eleni toyota kostas<br />
20 spiti papandreou Plaisio e-shop<br />
21 wind germanos vodafone cosmote<br />
22 Asdf ασδφ greece Conn-x<br />
23 volvo Q-TELECOM Tellas forthnet<br />
24 Audi honda nissan Peugeot<br />
25 Dunlop michelin Pirelli Renault<br />
Διάγραμμα 13: Οι εκατό κωδικοί που πρέπει να αποφεύγουν οι Έλληνες χρήστες<br />
security | 23
I SSUE<br />
Κωδικοί Πρόσβασης<br />
Έπειτα από την μελέτη του διαγράμματος 13 των (πιο) αδύναμων<br />
κωδικών πρόσβασης, οι παρακάτω οδηγίες-κανόνες θα<br />
πρέπει να τηρούνται από τους Έλληνες χρήστες.<br />
Συγκεκριμένα, συνιστάται να ακολουθούνται οι παρακάτω ο-<br />
δηγίες (Garfinkel & G. Spafford, 1991). Πρέπει να αποφεύγεται<br />
να χρησιμοποιείται ως κωδικός πρόσβασης ή μέρος αυτού ο-<br />
τιδήποτε από τα ακόλουθα:<br />
Το όνομά σας<br />
Όνομα συζύγου<br />
Όνομα πατέρα<br />
Όνομα κατοικίδιου<br />
Όνομα του παιδιού σας<br />
Ονόματα στενών σας φίλων και συνεργατών σας<br />
Ονόματα αγαπημένων σας προσωπικοτήτων<br />
Όνομα του εργοδότη σας<br />
Οποιοδήποτε κύριο όνομα<br />
Το όνομα που χρησιμοποιείτε στον υπολογιστή σας<br />
Το κινητό σας τηλέφωνο<br />
Ο αριθμός των πινακίδων αυτοκινήτου<br />
Οποιοσδήποτε αριθμός δημοσίου εγγράφου (ταυτότητα,<br />
ΑΦΜ, κτλ)<br />
Οποιαδήποτε ημερομηνία γέννησης συγγενικού προσώπου<br />
Άλλες πληροφορίες που μπορούν εύκολα να αντιστοιχηθούν<br />
σε εσάς<br />
Οποιοδήποτε όνομα χρήστη του υπολογιστή σας σε ο-<br />
ποιαδήποτε μορφή<br />
Οποιαδήποτε λέξη που υπάρχει στο αγγλικό, ελληνικό και<br />
οποιοδήποτε άλλο λεξικό<br />
Οποιαδήποτε από τις παραπάνω λέξεις γραμμένη με λατινικούς<br />
χαρακτήρες<br />
Κωδικός με επαναλαμβανόμενα γράμματα<br />
Πρότυπα απλά στο πληκτρολόγιο, όπως qwerty<br />
Όλα τα παραπάνω γραμμένα ανάποδα<br />
Όλα τα παραπάνω, προηγούμενα ή ακολουθούμενα από<br />
ψηφίο<br />
Σε αυτό το σημείο παρατίθεται η τάση που έχουν οι χρήστες,<br />
σύμφωνα με την έρευνα, να χρησιμοποιούν προσωπικά<br />
τους στοιχεία ως κωδικό πρόσβασης. Στο διάγραμμα<br />
14 εμφανίζεται η συνήθεια των χρηστών να χρησιμοποιούν<br />
προσωπικά στοιχεία ως κωδικό πρόσβασης, είτε αυτοτελή<br />
είτε με άλλους συνδυασμούς.<br />
Διάγραμμα 14: Προσωπικά<br />
στοιχεία ως κωδικοί<br />
πρόσβασης στην<br />
Ελλάδα, σε ηλεκτρονικά<br />
μέσα<br />
Επιλογές<br />
Ποσοστό<br />
Ημερομηνία γέννησης 31%<br />
Κανένα 28%<br />
Το όνομά μου 26%<br />
Αθλητική ομάδα 14%<br />
Άλλο 10%<br />
Κινητό τηλέφωνο 10%<br />
Διεύθυνση 9%<br />
Μάρκα/μοντέλο αυτοκινήτου 8%<br />
Επωνυμία εταιρείας που εργάζομαι 6%<br />
Όνομα κατοικίδιου ζώου 5%<br />
Όνομα συζύγου 5%<br />
Όνομα παιδιών 5%<br />
Πολιτικό κόμμα 1%<br />
Διάγραμμα 15: Προσωπικά στοιχεία που χρησιμοποιούνται ως κωδικοί πρόσβασης<br />
Ελλήνων χρηστών στο διαδίκτυο<br />
Στο διάγραμμα 15 παρουσιάζονται ταξινομημένα τα προσωπικά<br />
στοιχεία που χρησιμοποιούνται στους κωδικούς, από το<br />
συνηθέστερο προς το πιο σπάνιο.<br />
Εξάγεται το συμπέρασμα ότι 2 στους 3 χρήστες κάνουν<br />
χρήση κάποιου προσωπικού τους στοιχείου με κάποια<br />
πολύ προφανή, όπως το όνομά τους και κάποια πιο δύσκολο<br />
να προβλεφθούν από τρίτους. Ένα 28% του δείγματος<br />
αποφεύγει να χρησιμοποιήσει κάποιο προσωπικό<br />
στοιχείο, ενώ το 10% χρησιμοποιεί κάτι διαφορετικό α-<br />
πό τα παραπάνω, όπως είναι:<br />
ο αριθμός μητρώου επαγγέλματος<br />
το PIN του κινητού τηλεφώνου<br />
αριθμός λογαριασμού τραπέζης<br />
24 | security
ο τίτλος αγαπημένου τραγουδιού ή ταινίας<br />
κάποια ημερομηνία (π.χ. επέτειος)<br />
ψευδώνυμο<br />
τροποποιημένο κάποιο από τα e-mail τους<br />
κάποιοι προσωπικοί συνδυασμοί γραμμάτων και λέξεων<br />
11. Προτάσεις δημιουργίας ανθεκτικών κωδικών.<br />
Ως ανθεκτικά-καλά-passwords θεωρούνται αυτά τα οποία<br />
(Sanjour, Arensburger & Brink., 1999):<br />
Περιέχουν κεφαλαία και μικρά γράμματα<br />
Περιέχουν ψηφία και σημεία στίξης<br />
Είναι εύκολο να απομνημονευθούν ώστε να μη χρειάζεται<br />
να σημειώνονται κάπου<br />
Έχουν μήκος πάνω από δέκα χαρακτήρες<br />
Είναι δυνατό να πληκτρολογηθούν γρήγορα ώστε να μη<br />
μπορέσει κάποιος να τα δει ολόκληρα την ώρα που τα πληκτρολογείτε<br />
Επίσης, οι Έλληνες χρήστες θα πρέπει να προσέξουν και τον<br />
τρόπο γραφής τους, δηλαδή συνδυασμό μικρών και κεφαλαίων<br />
γραμμάτων, αν παρεμβάλλονται από σημεία στίξης, αλλά και<br />
αν είναι γραμμένα με ελληνικούς ή λατινικούς χαρακτήρες.<br />
Είναι δηλαδή πολύ πιθανό κάποιος να έχει ως κωδικό κάποιο<br />
προσωπικό του στοιχείο (όνομα, επίθετο, αριθμό κινητού<br />
τηλεφώνου, αγαπημένη αθλητική ομάδα κτλ.) στο ο-<br />
ποίο να παρεμβάλλεται ανάμεσα στους χαρακτήρες ένα<br />
σύμβολο (., -, :, !, @, κτλ). Θα μπορούσε δηλαδή ένας κωδικός<br />
να είναι ο “p.a.p.a.d.o.p.o.u.l.o.s”<br />
Ακόμη, ενδέχεται κάποιος χρήστης να κάνει στον κωδικό του<br />
εναλλαγή κεφαλαίων και πεζών γραμμάτων ή να αντικαθιστά κάποιο<br />
γράμμα με σύμβολο, δηλαδή το “α” με “@”, το “ε” με “€”,<br />
το “ξ” με “3”, το “θ” με “8”, το “ί” με “!” κτλ.<br />
Δεν πρέπει να παραλείπεται το γεγονός ότι οι κωδικοί του διαγράμματος<br />
5.3 που θεωρούνται αδύναμοι, δεν πρέπει να χρησιμοποιούνται<br />
από Έλληνες χρήστες όχι μόνο όπως παρουσιάστηκαν<br />
πρωτύτερα, αλλά και συνοδευόμενοι με κάποιο προσωπικό<br />
στοιχείο. Για παράδειγμα, κάποιος που έχει ημέρα γέννησης<br />
την 16η ημέρα κάποιου μήνα, μπορεί να έχει ως κωδικό<br />
το όνομά του, να ακολουθεί ένα σύμβολο και έπειτα τον αριθμό<br />
της ημέρας γέννησης. Δηλαδή να είναι ο κωδικός “Κωσταντίνος-16”<br />
γραμμένος είτε με ελληνικούς είτε λατινικούς χαρακτήρες.<br />
Είναι προφανές ότι ενώ ο κωδικός αυτός είναι ασφαλής<br />
διότι έχει μεγαλύτερο πλήθος χαρακτήρων από 8, είναι ό-<br />
μως αρκετά προβλέψιμος από κάποιο γνωστό του πρόσωπο.<br />
Συμπεράσματα<br />
Γενικότερα, από όσα έχουν αναφερθεί παραπάνω, μέσα από<br />
την έρευνα διαπιστώθηκε πως υπάρχουν χρήστες οι οποίοι έ-<br />
χουν πλήρη επίγνωση της σοβαρότητας του κωδικού πρόσβασης.<br />
Αυτό μάλιστα γίνεται σαφές από τις υποδείξεις αρκετών<br />
χρηστών ότι δεν έχουν επιλέξει ποτέ κάποιον από τους α-<br />
δύναμους κωδικούς που παρατέθηκαν.<br />
Ακόμη, αρκετοί χρήστες αναγνωρίζουν ότι προσωπικά στοιχεία<br />
του χρήστη δεν θα πρέπει να αποτελούν τον πλήρη κωδικό<br />
τους ή τμήμα αυτού.<br />
Επίσης πρέπει να τονιστεί ότι το μεγαλύτερο ποσοστό του<br />
δείγματος (79%) χρησιμοποιεί την απομνημόνευση ως μέσο<br />
αποθήκευσης του κωδικού τους, ενώ αρκετοί (56%) δεν έχουν<br />
αποκαλύψει ποτέ τον κωδικό τους σε τρίτα άτομα.<br />
Τέλος, εξήχθη το συμπέρασμα ότι οι χρήστες ανάλογα με τις<br />
γνώσεις και την ενημέρωση που έχουν λάβει, λειτουργούν α-<br />
ντίστοιχα για τους κωδικούς τους πρόσβασης. Οποιαδήποτε<br />
ενημέρωση και μελέτη για τους κωδικούς πρόσβασης από τους<br />
χρήστες, χωρίς αμφιβολία, θα αποτελέσει ένα θετικό έναυσμα<br />
για την ασφάλειά τους.<br />
ΠΡΟΤΑΣΕΙΣ-ΒΕΛΤΙΩΣΕΙΣ<br />
Μέσα από αυτήν την έρευνα βγήκαν αρκετά χρήσιμα συμπεράσματα<br />
που αφορούν τους Έλληνες χρήστες. Ωστόσο θα<br />
μπορούσε στο μέλλον να διεξαχθεί μία αντίστοιχη έρευνα που<br />
να καλύπτει μεγαλύτερο αριθμό χρηστών. Θα πρέπει να βρεθούν<br />
τρόποι ώστε ένα αντίστοιχο ερωτηματολόγιο να δημοσιευθεί<br />
σε forum, ιστοσελίδες και να προσεγγίσει μεγαλύτερο<br />
δείγμα. Ίσως να μπορούσε να συμβάλλει και η Ένωση Πληροφορικών<br />
Ελλάδας, για την προώθησή του σε εκπαιδευτικές μονάδες.<br />
Έτσι θα υπήρχε η δυνατότητα μια τέτοια έρευνα να α-<br />
πευθυνθεί σε εκπαιδευτικούς και μαθητές, αλλά κυρίως σε ά-<br />
τομα-γνώστες της πληροφορικής, ώστε να παραθέσουν και τις<br />
δικές τους απόψεις. Ακόμη, σε μία μελλοντική έρευνα θα ήταν<br />
χρήσιμες και ερωτήσεις ανάπτυξης, ζητώντας από το δείγμα να<br />
προτείνει τους συγκεκριμένους αδύναμους κωδικούς για τους<br />
Έλληνες χρήστες.<br />
ΕΝΔΕΙΚΤΙΚΗ ΒΙΒΛΙΟΓΡΑΦΙΑ<br />
Garfinkel, S., &Spafford, G. (1991). Practical UNIX security.<br />
PasswordResearch. (2012). RetrievedMay 20, 2012, from<br />
http://passwordresearch.com/stats/statistic96.html<br />
Riley, S. (2006). Password security: what users know and what they<br />
actually do. Usability News, 8(1).<br />
Sanjour, J., Arensburger, A., & Brink., A. (1999). Choosing a Good<br />
Password. RetrievedMay 21, 2012, from<br />
http://www.cs.umd.edu/faq/Passwords.html<br />
Spafford, E. H. (1992). OPUS: Preventing weak password choices 1.<br />
Computers & <strong>Security</strong>, 11(3), (p. 273–278).<br />
Yan, J., Blackwell, A., Anderson, R., & Grant, A. (2000). The<br />
memorability and security of passwords-some empirical results.<br />
Technical Report-University Of Cambridge Computer Laboratory.<br />
iT<strong>Security</strong><br />
security | 25
I SSUE<br />
Της Παναγιώτας Τσώνη<br />
Disaster Recovery μέσω cloud<br />
Ανακάμπτοντας ...στο σύννεφο<br />
Οι υπηρεσίες cloud στον τομέα της ανάκαμψης από καταστροφή είναι και θα παραμείνουν<br />
εξυπηρετικές, ειδικά για μικρού και μεσαίου βεληνεκούς επιχειρήσεις, όπου το κόστος<br />
και οι δομές ενός τέτοιου πλάνου ήταν απαγορευτικές.<br />
Σ<br />
τις μέρες μας η τεχνολογία cloud έχει υιοθετηθεί σε ευρεία κλίμακα από κάθε είδους χρήστη που επιθυμεί να έχει<br />
πρόσβαση στα αρχεία του μέσω της φορητής συσκευής του, όπου κι αν βρίσκεται. Όμως η αρχική επινόηση του<br />
cloud στόχευε στην εξυπηρέτηση των εταιρικών διεργασιών, με γνώμονα την τέλεση εφαρμογών και την αποθήκευση<br />
δεδομένων σε απομακρυσμένες δομές από το φυσικό περιβάλλον της εκάστοτε εταιρείας.<br />
Σιγά - σιγά υπήρξε μία αισθητή στροφή προς τη χρήση του cloud και ως εργαλείου αποκατάστασης από πιθανά καταστροφικά<br />
σενάρια, το λεγόμενο Disaster Recovery. Ως πλεονεκτήματα προβάλλονταν η ταχύτητα αποκατάστασης και το χαμηλό<br />
κόστος σε σχέση με τη δημιουργία δομών από την ίδια την επιχείρηση, που θα υποστήριζαν την επάνοδο από ενδεχόμενη κατα-<br />
26 | security
στροφή. Με μια πρώτη ματιά η υπόθεση χαρακτηρίζεται ως ελκυστική,<br />
μιας και η εταιρεία δεν θα έπρεπε να ξοδέψει χρόνο<br />
και κεφάλαιο σε υλικό, που τον περισσότερο καιρό θα παρέμενε<br />
αχρησιμοποίητο και θα απαιτούσε πάντοτε προσωπικό για<br />
να παραμένει συμβατό με την τρέχουσα κατάστασή της.<br />
Από την άλλη μεριά, σε επίπεδο μικρότερων εταιρειών η ύπαρξη<br />
δομών αντιμετώπισης καταστροφής ήταν ανέφικτη, μέχρι τη<br />
στιγμή της εμφάνισης του cloud. Καμία μικρή επιχείρηση δεν διέθετε<br />
τους αναγκαίους πόρους ή τη γνώση για να δημιουργήσει<br />
σενάρια αντιμετώπισης καταστροφών. Όμως, με τη χρήση του<br />
cloud απαιτείται μόνο μια απλή μίσθωση ενός παρόχου και το<br />
ανέφικτο γίνεται πλέον προσιτό και συνάμα ωφέλιμο.<br />
Προβληματισμοί<br />
Όσο δελεαστική και αν φαίνεται η αντιμετώπιση πιθανών καταστροφών<br />
με τη χρήση cloud υπηρεσιών, στην πραγματικότητα<br />
εγείρονται ερωτήματα σχετικά με την αποτελεσματικότητά τους.<br />
Η απάντηση σε αυτά τα ερωτήματα εξαρτάται από τις ανάγκες<br />
της εκάστοτε εταιρείας και τις δυνατότητες που προσφέρει ο<br />
επιλεγμένος πάροχος.<br />
Οι βασικότεροι προβληματισμοί που τίθενται προς διερεύνηση,<br />
αφορούν στην ασφάλεια της εταιρικής δομής. Έτσι, ο υπεύθυνος<br />
για τη λήψη και υλοποίηση της απόφασης χρήσης των<br />
cloud υπηρεσιών οφείλει να διαπιστώσει εκ των προτέρων, αν<br />
τα εταιρικά δεδομένα μπορούν να μεταφερθούν με ασφάλεια<br />
και διακριτικότητα από τις εταιρικές δομές στις cloud δομές.<br />
Να μελετήσει τον τρόπο με τον οποίο οι χρήστες εξουσιοδοτούνται<br />
για πρόσβαση στην cloud εταιρική δομή και να εξακριβώσει<br />
αν υπάρχουν δύο παράγοντες αυθεντικοποίησής τους<br />
ή ο πάροχος αρκείται στη χρήση του απλού κωδικού πρόσβασης.<br />
Τέλος, παρά τις διαβεβαιώσεις του παρόχου πρέπει να<br />
διαπιστωθεί ότι συμμορφώνεται με όλους εκείνους τους κανόνες<br />
ασφαλείας που τίθενται είτε από τη χώρα στην οποία δρα<br />
ο Οργανισμός, είτε από τους υπεύθυνους ασφάλειας της εταιρείας,<br />
που έχουν θεσπίσει εσωτερικούς κανόνες για να διασφαλιστεί<br />
η ακεραιότητά της.<br />
Επί του πρακτέου, η επιλογή cloud υποστήριξης είναι αμφίδρομη.<br />
Απαιτείται από την εταιρεία που θα επιλέξει αυτήν την υποστήριξη,<br />
να διαθέτει το απαραίτητο δικτυακό εύρος επικοινωνίας<br />
με το διαδίκτυο. Ο ΙΤ διαχειριστής οφείλει λοιπόν να αναρωτηθεί<br />
αν διατίθεται το απαραίτητο εύρος, ώστε όλοι οι χρήστες του<br />
εταιρικού δικτύου να μπορούν να ανακατευθυνθούν στην cloud<br />
δομή, σε περίπτωση πιθανής καταστροφής. Επίσης πρέπει να υ-<br />
πολογιστεί πόσο χρόνο θα διαρκούσε η επιστροφή όλων των<br />
εταιρικών δεδομένων από το cloud, πίσω στο φυσικό περιβάλλον<br />
της επιχείρησης και τι αντίκτυπο φυσικά έχει η όποια χρονοκαθυστέρηση,<br />
στον αρχικό σχεδιασμό ανάκαμψης.<br />
Φυσικά, το τελευταίο και εξίσου σημαντικό βήμα είναι η προσεκτική<br />
μελέτη του cloud παρόχου σχετικά με το πόσο αξιόπιστος<br />
έχει ήδη αποδειχθεί ότι είναι στην αγορά και πόσο ικανός<br />
να εξυπηρετήσει τους χρήστες μιας επιχείρησης, ενόσω<br />
τελείται μια καταστροφή. Εν γένει, η επιλογή των cloud υπηρεσιών<br />
ως σχέδιο ανάκαμψης από μια πιθανή καταστροφή, αν γίνει<br />
πολύ μελετημένα και προσεκτικά, δεν θεωρείται κακή. Πρέπει<br />
όμως να είναι πλήρως κατανοητή η πραγματική φύση των<br />
cloud δομών και των ρεαλιστικών δυνατοτήτων τους, καθώς και<br />
ο τρόπος που μπορούν να συνδράμουν στα ΙΤ προβλήματα<br />
διαχείρισης.<br />
Επί της ουσίας, οι cloud δομές είναι κέντρα δεδομένων, που ό-<br />
πως κάθε υλική υποδομή μπορούν να υποστούν διακοπή λειτουργίας.<br />
Οι πάροχοι είθισται να υπόσχονται αδιάλειπτη διαθεσιμότητα,<br />
αλλά μία επίσκεψη στο φυσικό τους χώρο ίσως α-<br />
ποκαλύψει ότι αυτή η πολλά υποσχόμενη δομή, δεν ανταποκρίνεται<br />
στην πολυπλοκότητα που κάποιος φαντάζεται και δεν<br />
διαθέτει όλες εκείνες τις δικλείδες ασφαλείας για να υλοποιήσει<br />
αυτά που τελικά υπόσχεται.<br />
Υπό οποιεσδήποτε συνθήκες, η επιλογή ενός αξιόπιστου παρόχου<br />
και εξελιγμένων υπηρεσιών είναι δαπανηρή και επιβάλλεται<br />
να εξεταστεί το ενδεχόμενο της εσωτερικής υλοποίησης<br />
υλικού και λογισμικού ανάκαμψης, καθώς και η εξαρχής σύγκριση<br />
του κόστους των δύο επιλογών. Οι υπηρεσίες ανάκαμψης<br />
cloud συνήθως είναι οικονομικές για μικρού βεληνεκούς ε-<br />
πιχειρήσεις και χρησιμοποιούνται ως μία εναλλακτική για την α-<br />
σφαλή διατήρηση των δεδομένων τους. Προτείνεται πάντως, η<br />
μεταφορά των δεδομένων να μην τελεστεί μέσω δικτύου, αλλά<br />
να μεταφερθούν ως αντίγραφα από την επιχείρηση στο φυσικό<br />
χώρο του παρόχου. Τέλος, πρέπει να τονιστεί ότι υπάρχει<br />
σημαντική διαφορά μεταξύ των ιδιωτικών cloud υπηρεσιών και<br />
των δημόσιων, με τις πρώτες να αποτελούν μια πιο αξιόπιστη<br />
επιλογή, που μπορεί να συνδράμει ουσιαστικά στην ΙΤ διαχείριση<br />
της επιχείρησης.<br />
security | 27
I SSUE<br />
Disaster Recovery μέσω cloud<br />
Σχεδιασμός της διαδικασίας ανάκαμψης από<br />
πιθανή καταστροφή<br />
Κάθε επιχείρηση, ανάλογα του χώρου που δραστηριοποιείται,<br />
της έκτασης που καταλαμβάνει και των εφαρμογών που χρησιμοποιεί,<br />
απαιτεί τη δική της ιδιαίτερη προσέγγιση στο θέμα του<br />
σχεδιασμού ενός πλάνου ανάκαμψης από πιθανά σενάρια καταστροφής.<br />
Είθισται να εφαρμόζεται η λογική του πιο επείγοντος,<br />
μια μέθοδος που ουσιαστικά τοποθετεί σε προτεραιότητα<br />
ανάκαμψης τα λειτουργικά τμήματα της επιχείρησης. Ως λειτουργικά<br />
τμήματα νοούνται οι εφαρμογές, οι υπηρεσίες και τα<br />
δεδομένα και καθορίζεται για το καθένα απ’ αυτά ποιος είναι ο<br />
αποδεκτός χρόνος της αδράνειάς τους, έως ότου αυτό καταστεί<br />
ζημιογόνο για την εταιρεία.<br />
Η προαναφερόμενη κατάταξη καθορίζει ποιό πρέπει να είναι<br />
το σχέδιο ανάκαμψης της επιχείρησης και βοηθά στην αναγνώριση<br />
των πόρων εκείνων που θεωρούνται κρίσιμοι (εφαρμογές<br />
και δεδομένα). Επίσης συμβάλλει στον καλύτερο έλεγχο<br />
του κόστους της διαδικασίας ανάκαμψης, μιας και θα αποφευχθεί<br />
η ενασχόληση με εφαρμογές και δεδομένα που είναι σχετικά<br />
αδιάφορα για τη λειτουργία της επιχείρησης. Με αυτόν τον<br />
τρόπο η ανάκαμψη θα είναι στοχευμένη και ταχύτερη και θα<br />
μπορεί το σχέδιο να υποβληθεί σε περιοδικές δοκιμές για να<br />
διαπιστωθεί η αποτελεσματικότητά του.<br />
Εν τέλει, πρέπει να γίνει κατανοητό ότι τα σενάρια καταστροφής<br />
ποικίλλουν και κάθε φορά κάτι διαφορετικό μπορεί να βρεθεί στο<br />
μάτι του κυκλώνα. Η ανάδειξη των συσχετισμών και η ομαδοποίηση<br />
εφαρμογών, υπηρεσιών και δεδομένων σε μικρότερα<br />
τμήματα που πρέπει να είναι ταυτόχρονα λειτουργικά για να ε-<br />
πιτευχθούν συγκεκριμένοι στόχοι, είναι ουσιαστική και εξαιρετικά<br />
χρήσιμη. Έτσι, μπορούν να σχεδιαστούν διαφορετικά σενάρια<br />
για διαφορετικά επίπεδα ανάκαμψης και κάθε φορά να επιλέγεται<br />
ο σωστότερος, οικονομικότερος και ταχύτερος τρόπος<br />
υλοποίησής τους - είτε αυτό αφορά στην εσωτερική δημιουργία<br />
δομών ανάκαμψης είτε στη χρήση cloud υπηρεσιών.<br />
Ανάκαμψη μέσω cloud<br />
Ακολούθως εξετάζονται οι τέσσερις διαφορετικοί τρόποι που<br />
υπάρχουν για να χρησιμοποιηθούν οι cloud υπηρεσίες από μία<br />
επιχείρηση, τόσο στο κομμάτι της καθημερινής διεργασίας της<br />
παραγωγής, όσο και στο κομμάτι της ανάκαμψης από ατύχημα.<br />
Συνδυασμένη χρήση. Πολλές επιχειρήσεις στρέφονται<br />
πλέον στη χρήση των cloud υπηρεσιών για να διαφυλάσσουν<br />
σε πραγματικό χρόνο τα «στιγμιότυπα» των διεργασιών<br />
τους και να διαχειρίζονται σε επίπεδο εφαρμογών<br />
την κύρια παραγωγή μιας επιχείρησης. Ταυτόχρονα επιτρέπουν<br />
στον MSP (Managed Service Provider) να διατηρεί<br />
και να υλοποιεί το πλάνο ανάκαμψης από καταστροφή.<br />
Ο συνδυασμός των δύο ανωτέρω επιλογών, σαφώς<br />
δεν χαρακτηρίζεται ως η οικονομικότερη επιλογή από<br />
πλευράς χρήσης του cloud, αλλά ωφελεί στον περιορισμό<br />
της φυσικής δομής της εταιρείας.<br />
Σε αυτήν την περίπτωση, ιδιαίτερη προσοχή πρέπει να<br />
δοθεί στον τρόπο σύνταξης και στους περιορισμούς<br />
που θα τίθενται στα συμφωνητικά με τον πάροχο (service-level<br />
Agreements, SLAs) αφού ουσιαστικά του παρέχεται<br />
σχεδόν ο απόλυτος έλεγχος της επιχείρησης.<br />
Έτσι, όπως προαναφέρθηκε, οφείλεται να εξακριβωθεί<br />
η ικανότητά του να παρέχει αδιάλειπτη λειτουργία για<br />
όποια υπηρεσία έχει συμφωνηθεί και, φυσικά, μέσα στα<br />
χρονικά περιθώρια που έχουν υπογραφεί. Ένα αδύναμο<br />
συμφωνητικό, ενδεχόμενα να αφήσει την επιχείρηση<br />
εκτεθειμένη στο πελατολόγιό της και αδύναμη να<br />
προσπελάσει τις εφαρμογές της.<br />
Επιλογή αντιγράφων ασφαλείας και αποκατάστασης.<br />
Σε αυτήν την επιλογή, οι εφαρμογές τελούνται ενδοεταιρικά<br />
και τα δεδομένα παραμένουν στο φυσικό περιβάλλον<br />
της επιχείρησης. Το cloud χρησιμοποιείται για να<br />
διατηρήσει τα αντίγραφα ασφαλείας των δεδομένων και<br />
είναι υπεύθυνο για την επαναφορά τους στις εταιρικές δομές<br />
αν συμβεί οποιοδήποτε ατύχημα. Έτσι, η επιχείρηση<br />
απαλλάσσεται από τον εργασιακό φόρτο και τις υλικές<br />
δομές διατήρησης αντιγράφων ασφαλείας.<br />
Από την πλευρά της λήψης και της διατήρησης των αντιγράφων<br />
ασφαλείας, οι cloud πάροχοι έχουν πραγματικά ά-<br />
ριστες υπηρεσίες. Προσφέρουν συμπίεση και κρυπτογράφηση<br />
μέσω εφαρμογών λήψης αντιγράφων ασφαλείας, που<br />
ήταν ήδη δημοφιλείς στην αγορά και πλέον συνεργάζονται<br />
και προωθούν τα αντίγραφα σε εξίσου δημοφιλείς cloud<br />
28 | security
παρόχους, όπως οι AT&T, Amazon, Microsoft, Nirvanix και<br />
Rackspace. Επίσης χρησιμοποιούνται οι cloud gateways, ό-<br />
πως οι F5 ARX Cloud Extender, Nasuni Filer, Riverbed<br />
Whitewater και TwinStrata CloudArray, οι οποίες εγκαθίστανται<br />
ενδοεταιρικά και αναλαμβάνουν να διατηρήσουν<br />
συγχρονισμένα τα δεδομένα που βρίσκονται και διαχειρίζονται<br />
εντός της εταιρείας, με αυτά που βρίσκονται στις<br />
cloud δομές. Από την πλευρά της αποκατάστασης των δεδομένων,<br />
τα στοιχεία δεν είναι τόσο ενθαρρυντικά. Παρατηρείται<br />
ότι λόγω περιορισμένου δικτυακού εύρους επικοινωνίας,<br />
η αποκατάσταση δεδομένων μεγέθους Tbytes δεν<br />
είναι μία εύκολη διαδικασία και συνήθως απαιτεί πολύ περισσότερο<br />
χρόνο από τον αποδεκτό σε εταιρικό επίπεδο.<br />
Οι πάροχοι προτείνουν να αντιγράφουν τα δεδομένα της<br />
επιχείρησης σε σκληρούς δίσκους, τους οποίους κατόπιν<br />
να αποστέλλουν στο φυσικό χώρο της εταιρείας, ως μία πιο<br />
άμεση και λιγότερο χρονοβόρα επιλογή. Προτείνεται υπό<br />
οποιεσδήποτε συνθήκες να υπάρχουν πάντα τα πιο πρόσφατα<br />
αντίγραφα ασφαλείας στο χώρο της εταιρείας και<br />
η cloud δομή να λειτουργεί ως η δευτερεύουσα απομακρυσμένη<br />
επιλογή αποθήκευσης.<br />
Ανάκαμψη μέσω virtual machines. Σε αυτήν την περίπτωση<br />
ισχύουν τα ανωτέρω για τη διατήρηση αντιγράφων<br />
ασφαλείας και την παροχή δυνατότητας ανάκαμψης μέσω<br />
cloud, με τη διαφορά ότι η ανάκαμψη επιτυγχάνεται μέσω<br />
virtual machines ανάκαμψης. Πιο αναλυτικά, αν απαιτηθεί<br />
να αποκατασταθούν δεδομένα πίσω στην εταιρεία, ο cloud<br />
πάροχος δημιουργεί μια virtual machine ανάκαμψης του<br />
server που είχε αστοχία και επιτρέπει την από εκεί διαχείριση<br />
και λειτουργία των εταιρικών διεργασιών. Η λύση προτείνεται<br />
σε περιπτώσεις όπου οι χρονικοί στόχοι αποκατάστασης<br />
είναι εξαιρετικά μικροί και δεσμευτικοί για την α-<br />
πόδοση της εταιρείας. Οι cloud πάροχοι συνηθίζουν να<br />
δημιουργούν σε περιοδικά χρονικά διαστήματα virtual<br />
servers ανάκαμψης των επιχειρήσεων που συνεργάζονται,<br />
με τα νέα δεδομένα που καταφθάνουν προς αποθήκευση,<br />
ώστε να είναι πάντοτε έτοιμοι για τάχιστη αποκατάσταση.<br />
Αναπαραγωγή σε virtual machines στο cloud.<br />
Η προσέγγιση αφορά σε απαιτήσεις εφαρμογών που<br />
δεν πρέπει να αστοχήσουν υπό οποιεσδήποτε συνθήκες.<br />
Αναφέρεται στη μέθοδο συνεχούς αντιγραφής<br />
- προστασίας των δεδομένων (continuous data<br />
protection, CDP), στην οποία στιγμιότυπα της εταιρικής<br />
λειτουργίας αντιγράφονται σε virtual machines<br />
στο cloud διαρκώς - και αν η εταιρεία λειτουργεί ήδη<br />
με τη βοήθεια cloud virtual machines, τότε και αυτές<br />
υπόκεινται στο ίδιο καθεστώς αντιγραφής σε άλλες<br />
virtual machines. Στόχος τα πολλαπλά επίπεδα προστασίας<br />
και η αμεσότερη αποκατάσταση που είναι<br />
δυνατό να τελεστεί.<br />
Η τάση σήμερα<br />
Οι εταιρικές επιλογές ανά τον κόσμο αποτελούν σαφώς μία ένδειξη<br />
για την κατάσταση στην αγορά και βοηθούν ενδεχομένως<br />
στη λήψη μιας απόφασης. Έτσι, φαίνεται ότι το 35% των χρηστών<br />
cloud υπηρεσιών αποθήκευσης χρησιμοποιούν ήδη και τις<br />
επιλογές ανάκαμψης από καταστροφή, ενώ το 28% που χρησιμοποιεί<br />
cloud υπηρεσίες εν γένει (όχι μόνο για αποθήκευση)<br />
διαθέτει και cloud εφαρμογές ανάκαμψης.<br />
Το 43% των χρηστών της cloud αποθήκευσης πιστεύουν ότι η<br />
ανάκαμψη μέσω cloud είναι μια οικονομική μέθοδος που εξασφαλίζει<br />
τη γρήγορη επάνοδο από ενδεχόμενη αστοχία. Παρατηρείται<br />
δε ότι οι εταιρείες μεταχειρίζονται με ιδιαίτερη προσοχή<br />
τα δεδομένα που αποστέλλουν στις cloud δομές. Για παράδειγμα,<br />
το 57% φροντίζουν τα αντίγραφα ασφαλείας να διατηρούνται<br />
ξεχωριστά από τα δεδομένα ανάκαμψης από καταστροφή,<br />
κάτι που γενικά συστήνεται, μιας και οι διαδικασίες α-<br />
νάκαμψης απαιτούν ένα σύνολο με πιο ολοκληρωμένα δεδομένα<br />
από περισσότερες πηγές από ο,τι απαιτείται στην περίπτωση<br />
της απλής αποθήκευσης δεδομένων ως δικλείδα ασφαλείας.<br />
Τέλος, οι πιο προσεκτικοί διατηρούν τα δεδομένα τους τόσο<br />
στο cloud όσο και σε άλλες φυσικές δομές, ως περαιτέρω ε-<br />
ξασφάλιση. Το 43% χρησιμοποιούν το cloud και μια άλλη α-<br />
πομακρυσμένη φυσική δομή αποθήκευσης, ενώ το 34% διατηρούν<br />
τα δεδομένα τους και σε σκληρούς δίσκους.<br />
Εν κατακλείδι, οι υπηρεσίες cloud στον τομέα της ανάκαμψης<br />
από καταστροφή είναι και θα παραμείνουν εξυπηρετικές, ειδικά<br />
για μικρού και μεσαίου βεληνεκούς επιχειρήσεις, όπου το<br />
κόστος και οι δομές ενός τέτοιου πλάνου ήταν απαγορευτικές.<br />
Υπό οποιεσδήποτε συνθήκες, οι βασικές αρχές σχεδιασμού ε-<br />
νός τέτοιου πλάνου ανάκαμψης είναι για όλους ίδιες και απαιτείται<br />
προσεκτικός σχεδιασμός και διαρκείς δοκιμές ώστε να ε-<br />
ξασφαλιστεί η αποτελεσματικότητά του, ανανέωση όποτε είναι<br />
αναγκαίο και προετοιμασία του προσωπικού για να αντιδρά σωστά<br />
σε τέτοιες περιπτώσεις. iT<strong>Security</strong><br />
security | 29
I SSUE<br />
Του Γιώργου Γερογιάννη<br />
Uni Systems Data Center<br />
& Cloud Solutions Manager<br />
Μπορεί η επιχείρησή σας<br />
να αντεπεξέλθει<br />
στην κατάρρευση του <strong>IT</strong>;<br />
Η μερική ή ολική καταστροφή δεδομένων<br />
που προκύπτει είτε από ανθρώπινο<br />
λάθος, είτε από φυσικά αίτια,<br />
σημαίνει διακοπή βασικών λειτουργιών<br />
της επιχείρησης με τεράστιο, πολλές<br />
φορές, οικονομικό κόστος. Μπορεί ο-<br />
ποιαδήποτε επιχείρηση σήμερα να α-<br />
ντεπεξέλθει στην απώλεια δεδομένων<br />
και οικονομικών πόρων;<br />
Σ<br />
τατιστικές από την Ελλάδα και το εξωτερικό καταδεικνύουν<br />
ότι η απώλεια δεδομένων σε συνδυασμό<br />
με την καθυστέρηση στη λειτουργία μιας<br />
εταιρείας, από μερικές ώρες έως και ημέρες, πιθανά<br />
να οδηγήσουν την επιχείρηση σε σοβαρό κίνδυνο,<br />
με την πιθανότητα αυτή να αυξάνεται σε περιόδους κρίσης.<br />
Το ρίσκο είναι αποδειγμένα μεγάλο, πως ανταποκρίνονται<br />
όμως σ’ αυτό οι Ελληνικές επιχειρήσεις;<br />
Πρόσφατη έρευνα στην Ελλάδα έδειξε ότι σε ποσοστό 84% οι<br />
ερωτηθέντες δήλωσαν ότι η επιχείρησή τους διαθέτει πλάνο διαχείρισης<br />
έκτακτων γεγονότων, ενώ το 74% θεωρεί ότι είναι σημαντική<br />
η ύπαρξη μελετών αντιμετώπισης κινδύνων. Μια άλλη έ-<br />
ρευνα σε ευρωπαϊκή χώρα κατέδειξε ότι η πλειοψηφία των ε-<br />
ρωτηθέντων, σε ποσοστό 40%, έθεσαν ως βασική προτεραιότητα<br />
τα συστήματα disaster recovery και business continuity.<br />
Μια πιο κοντινή ματιά στην Ελληνική πραγματικότητα δείχνει<br />
ότι το έναυσμα για επένδυση σε συστήματα disaster recovery<br />
και business continuity προκύπτει από δύο, κυρίως, λόγους:<br />
α) η διοίκηση της επιχείρησης έχει αντιληφθεί ότι με μια πιθανή<br />
κατάρρευση του ΙΤ το ρίσκο είναι μεγάλο για την κατάρρευση<br />
του συνόλου των επιχειρησιακών λειτουργιών και<br />
αποφασίζει να επενδύσει στην αξία των δεδομένων της ή β)<br />
auditors υποδεικνύουν στην επιχείρηση τη διατήρηση σχεδίου<br />
επιχειρησιακής συνέχειας, είτε γιατί η επιχείρηση βρίσκεται<br />
σε τομέα όπου υφίσταται συγκεκριμένο κανονιστικό πλαίσιο,<br />
είτε γιατί τα σχέδια επέκτασης στο εξωτερικό το επιβάλλουν.<br />
‘Όποιο και αν είναι το έναυσμα, η μελέτη για τις πιθανές λύσεις<br />
αποκαλύπτει τεχνική και διαδικαστική περιπλοκότητα, αλλά και μεγάλα<br />
κόστη που προκύπτουν από τις ανάγκες προμήθειας εξοπλισμού<br />
και την ύπαρξη εξειδικευμένου προσωπικού για την υ-<br />
ποστήριξη λειτουργίας ενός DR site και του ανάλογου πλάνου<br />
επιχειρησιακής συνέχειας. Οι παράγοντες αυτοί, περιπλοκότητα<br />
και κόστος, έχουν οδηγήσει στην υιοθέτηση ημιτελών λύσεων που<br />
καλύπτουν σε κάποιο βαθμό, αλλά όχι απόλυτα, την επιχειρησιακή<br />
συνέχεια των οργανισμών στην Ελλάδα.<br />
Τη λύση στα δύο παραπάνω προβλήματα, περιπλοκότητα και<br />
κόστος, υπόσχονται ότι δίνουν οι υπηρεσίες DR as a service που<br />
παρέχονται μέσω Cloud. Η χρήση virtualized cloud υπηρεσιών<br />
μπορεί να βοηθήσει στην υλοποίηση λύσεων DR με χαμηλό κόστος<br />
και βέλτιστη απόδοση όσον αφορά στις διαδικασίες υποστήριξης<br />
επιχειρηματικής συνέχειας.<br />
30 | security
Πως υλοποιείται ένα DR σήμερα;<br />
Τα παραδοσιακά μοντέλα DR επιτρέπουν την αποστολή μέσω<br />
μηχανισμού replication των δεδομένων από ένα data center σε<br />
ένα άλλο. Αν το πρωτεύον κέντρο δεδομένων δεν είναι διαθέσιμο,<br />
το δευτερεύον αναλαμβάνει να καλύψει το κενό ενεργοποιώντας<br />
τη διαδικασία με τη χρήση των πλέον πρόσφατων<br />
δεδομένων που έχουν αποθηκευτεί.<br />
Η υλοποίηση του δευτερεύοντος κέντρου δεδομένων απαιτεί<br />
χρόνο και επένδυση σε μηχανογραφικό εξοπλισμό, ανάλογου<br />
με αυτό του παραγωγικού κέντρου δεδομένων. Επιπλέον κόστος<br />
και χρόνος απαιτείται για την επίτευξη των απαιτούμενων Recovery<br />
Point Objective (RPO), Recovery Time Objective (R-<br />
TO), για τη βέλτιστη απόδοση των εφαρμογών, για τη συνοχή<br />
των δεδομένων και για την υλοποίηση του γεωγραφικού διαχωρισμού<br />
του πρωτεύοντος από το δευτερεύον κέντρο δεδομένων.<br />
Από το παραδοσιακό, στο σύγχρονο μοντέλο DR<br />
Το μοντέλο “pay-as-you-go” των υπηρεσιών cloud μπορεί να<br />
μειώσει δραματικά το κόστος του DR βασισμένο στην αρχή ό-<br />
τι οι πόροι (άνθρωποι και εξοπλισμός) που απαιτούνται πριν<br />
συμβεί ένα καταστροφικό συμβάν (Disaster event) είναι κατά πολύ<br />
λιγότεροι από ότι κατά τη διάρκεια του συμβάντος. Σε συνθήκες<br />
κανονικής λειτουργίας μια υπηρεσία cloud χρειάζεται μόνο<br />
τους απαραίτητους πόρους ώστε να γίνει ο συγχρονισμός<br />
των δεδομένων από το παραγωγικό site στο cloud. Οι συνολικοί<br />
πόροι που απαιτούνται για την εκτέλεση των εφαρμογών είναι<br />
απαραίτητοι μόνο όταν συμβεί κάποιο καταστροφικό συμβάν.<br />
H αξιοποίηση αυτοματοποιημένων virtual platforms στο<br />
cloud επιτρέπει την ταχύτατη παροχή υπολογιστικών πόρων για<br />
την άμεση αποκατάσταση δεδομένων και εφαρμογών. Αυτό<br />
μπορεί να μειώσει δραματικά το χρόνο αποκατάστασης, γεγονός<br />
που αποτελεί και τον πιο κρίσιμο παράγοντα για την διαδικασία<br />
Επιχειρηματικής Συνέχειας.<br />
Οφέλη σε όλα τα επίπεδα<br />
Οικονομικά, η σύγκριση είναι αναπόφευκτη και τα οφέλη αποδεικνύονται<br />
με μια ανάλυση κόστους, όπου καταδεικνύεται η<br />
διαφορά μεταξύ του κόστους λειτουργίας μιας cloud-based υ-<br />
πηρεσίας DR σε σχέση με τη χρήση ίδιων πόρων. Μια λύση<br />
Cloud DR προσφέρει εξοικονόμηση σε ποσοστό μέχρι και<br />
80% σε σχέση με μια παραδοσιακή λύση.<br />
Τα πλεονεκτήματα όμως μιας λύσης cloud DR δεν περιορίζονται<br />
στην μείωση του κόστους. Η ευελιξία μιας πλατφόρμας virtualized<br />
Cloud επιτρέπει την διενέργεια των απαραίτητων δοκιμών<br />
και την καταγραφή των προκλήσεων που απομένει να α-<br />
ντιμετωπιστούν για περιορισμό της απώλειας δεδομένων και για<br />
γρήγορη επανεκκίνηση μετά από καταστροφή.<br />
Με το DR as a Service η συζήτηση μεταφέρεται από τη χωρητικότητα<br />
του data center και το hardware, στο σχεδιασμό μιας<br />
ολοκληρωμένης λύσης. Σε συνδυασμό με την προσεκτική επιλογή<br />
του κατάλληλου παρόχου Cloud, ο οποίος διαθέτει τοπική<br />
παρουσία, τεχνογνωσία σε θέματα διαδικασιών BCP και στις<br />
τεχνολογίες virtualization, replication κλπ, αλλά και σιγουριά ως<br />
προς την ασφάλεια και την τήρηση εμπιστευτικότητας, οι λύσεις<br />
DR as a Service επιτρέπουν ακόμη και σε μικρότερες επιχειρήσεις<br />
την υλοποίηση προσιτής, ευέλικτης ολιστικής στρατηγικής<br />
Επιχειρησιακής Συνέχειας.<br />
Η ανάκαμψη από καταστροφή είναι μια επιτυχία που βρίσκεται<br />
σε κατάσταση αναμονής. iT<strong>Security</strong><br />
Συνοπτική σύγκριση χαρακτηριστικών παραδοσιακού DR με DR as a Service:<br />
Παραδοσιακό DR<br />
DR as a Service<br />
Δευτερεύον data center σημαίνει επένδυση σε επιπλέον χώρο, διαθεσιμότητα<br />
στο δίκτυο, συνδεσιμότητα και servers. Επιπλέον κόστη για ε-<br />
νέργεια και ψύξη, ΙΤ υποστήριξη και ανθρωποώρες.<br />
Ένα φυσικό DR site λειτουργεί μόνο στη διάρκεια αναπαραγωγής δεδομένων<br />
ή στη περίπτωση καταστροφής. Ο χρόνος που απαιτείται για<br />
τη θέση σε λειτουργία του DR site είναι μεγαλύτερος από το DR over<br />
cloud, με αποτέλεσμα μεγάλη απώλεια δεδομένων.<br />
Σε περίπτωση που δεν υπάρχει σύνδεση με το φυσικό DR, απαιτείται<br />
χειροκίνητη λειτουργία των συστημάτων.<br />
Οι υπηρεσίες DR μέσω cloud παρέχουν virtual snapshots φυσικών ή<br />
virtual servers που βρίσκονται στο πρωτεύον data center. Ο οργανισμός<br />
καταβάλει τίμημα για την αποθήκευση των snapshots, τα δεδομένα<br />
των εφαρμογών που βρίσκονται σε αναστολή και την αναπαραγωγή<br />
αντιγράφων δεδομένων από το πρωτεύον στο δευτερεύον site για<br />
το συγχρονισμό των στοιχείων. Επίσης, η υπηρεσία χρεώνει την υποδομή<br />
μόνο σε περίπτωση καταστροφής –και άρα αξιοποίησής της- ό-<br />
που οι virtual μηχανές ενεργοποιούνται ώστε να αντικαταστήσουν το<br />
πρωτεύον site.<br />
Με τις υπηρεσίες DR as a Service, το DR site λειτουργεί σε δευτερόλεπτα<br />
ή ελάχιστα λεπτά.<br />
Η υπηρεσία DR μέσω cloud μπορεί να τεθεί σε λειτουργία μέσω ενός<br />
laptop με απλή wireless σύνδεση.<br />
security | 31
I SSUE<br />
VDI - Virtual Desktop Infrastructure<br />
Πραγματική λύση – εικονική διαχείριση<br />
Οιολοένααυξανόμενεςανάγκεςτωνεπιχειρήσεωνγιααπομακρυσμένηκαιταυτόχροναασφαλήπρόσβασησταεταιρικάδεδομένα,έχειοδηγήσειαρκετέςεταιρείεςστηνυλοποίησηλύσεωνυποδομώνεικονικώνσταθμώνεργασίας,γνωστώνωςVirtualDesktop<br />
Infrastructure(VDI).<br />
Κωνσταντίνος<br />
Βαβούσης<br />
StrategicManager<br />
TrustInformation<br />
Technologies<br />
kv@trust-it.gr<br />
Ανασκόπησηκαιλειτουργία<br />
Οι τεχνολογίες VDI βρίσκονται στην αγορά εδώ και τουλάχιστον<br />
μία δεκαετία, με μεγάλους vendors να παρέχουν ανάλογες<br />
υπηρεσίες όπως η Citrix, η VMware και η Microsoft. Α-<br />
ποτελούν ευφυείς λύσεις τερματικών, παρέχοντας αφενός<br />
πλήρη εποπτεία και έλεγχο στους διαχειριστές, αφετέρου έ-<br />
να οικείο και φιλικό προς το χρήστη περιβάλλον.<br />
Πιο συγκεκριμένα, οι λύσεις VDI αποτελούν μια παραλλαγή<br />
32 | security
του κλασικού server-based μοντέλου, αντικαθιστώντας τους<br />
φυσικούς clients με virtual, οι οποίοι με τη σειρά τους φιλοξενούνται<br />
σε έναν κεντρικό εξυπηρετητή (server). Οι σταθμοί<br />
εργασίας εγκαθίστανται σε φυσικούς εξυπηρετητές, πάνω<br />
στους οποίους δημιουργούνται virtual desktop (σταθμοί<br />
εργασίας) και μοιράζονται τους πόρους του φυσικού μηχανήματος<br />
(server).<br />
Επειδή πρόκειται για κεντροποιημένες υπηρεσίες, οι χρήστες<br />
έχουν τη δυνατότητα να αποκτούν πρόσβαση στους σταθμούς<br />
εργασίας τους, από οποιαδήποτε τοποθεσία, χωρίς να είναι<br />
δέσμιοι μιας συγκεκριμένης συσκευής, διατηρώντας παράλληλα<br />
ομοιομορφία σε εφαρμογές και δεδομένα. Φυσικά, για<br />
τους διαχειριστές η φύση των κεντροποιημένων υπηρεσιών δίνει<br />
μια ανάσα αποτελεσματικότερης διαχείρισης, αυξάνοντας<br />
την ικανότητα ανταπόκρισης στις ανάγκες των χρηστών, με<br />
στόχο την ομαλή λειτουργία της επιχείρησης, αφού οι σταθμοί<br />
εργασίας είναι εγκατεστημένοι στον εξυπηρετητή ο οποίος<br />
βρίσκεται εντός της ασφάλειας του εταιρικού data center.<br />
Στα πρότυπα του VDI εξυπηρετητές και τερματικά αντιμετωπίζονται<br />
περισσότερο ως υπηρεσίες και λιγότερο ως υλικά,<br />
υποστηρίζοντας τις ανάγκες της εταιρικής υποδομής α-<br />
πό διαφορετική σκοπιά.<br />
η μέχρι τώρα ισχύουσα τάξη πραγμάτων όσον αφορά στους<br />
παραδοσιακούς σταθμούς εργασίας με λύσεις VDI. Και ακόμη<br />
πιο συγκεκριμένα, γιατί δεν μπορούν όλες οι εφαρμογές<br />
που χρησιμοποιούν οι χρήστες να εγκατασταθούν στο data<br />
center και να παρέχονται στους χρήστες μέσω VM.<br />
Για να απαντήσουμε στα εύλογα αυτά ερωτήματα, πρέπει να λάβουμε<br />
υπόψη τόσο τις ανάγκες των χρηστών όσο και τις α-<br />
παιτήσεις των εφαρμογών από άποψη πληροφοριακών πόρων.<br />
Αρχικά, θα πρέπει να εξετάσουμε τον τρόπο αντιμετώπισης<br />
των χρηστών, οι οποίοι για παράδειγμα ταξιδεύουν αεροπορικώς<br />
και ενώ βρίσκονται σε offline mode επιθυμούν να<br />
χρησιμοποιήσουν τις εφαρμογές τους. Στην περίπτωση αυτή<br />
δεν είναι δυνατή η σύνδεση με το ψηφιακό τερματικό του<br />
χρήστη, αφού απαραίτητη προϋπόθεση είναι η συνδεσιμότητα<br />
του εκάστοτε συστήματος, με αποτέλεσμα ο χρήστης<br />
να μπορεί να εργαστεί μόνο τοπικά. Ορισμένες εφαρμογές<br />
από την άλλη, απορροφούν μεγάλο όγκο δικτυακών πόρων<br />
για την αποτελεσματική λειτουργία τους, όπως σχεδιαστικά<br />
προγράμματα με 3D απεικονίσεις κ.λπ., το οποίο μπορεί να<br />
έχει ως αποτέλεσμα χαρακτηριστικά μειωμένη λειτουργικότητα<br />
του εξυπηρετητή για τα ψηφιακά τερματικά που είναι<br />
συνδεδεμένα σε αυτόν. Παρόλα αυτά, υπάρχουν λύσεις traffic<br />
control που εφαρμόζονται σε VDI υποδομές. Επίσης υ-<br />
πάρχουν και ορισμένες εφαρμογές οι οποίες δεν λειτουργούν<br />
αποτελεσματικά μέσω συγκεκριμένων πρωτοκόλλων, ό-<br />
πως RDP (Remote Display Protocol) και ICA (Independent<br />
Computing Architecture).<br />
Επομένως, μια ολοκληρωμένη πρόταση VDI δεν θα πρέπει<br />
ποτέ να αποκλείσει τη συμμετοχή τουλάχιστον ορισμένων<br />
παραδοσιακών σταθμών εργασίας, διαθέτοντας φυσικά τα α-<br />
παραίτητα μέτρα προστασίας που επιβάλλει η εταιρική πολιτική<br />
ασφάλειας και εύρυθμης λειτουργίας.<br />
Απαιτήσειςυποδομής–εφαρμογών<br />
Για την επαρκή χρήση υπηρεσιών VDI, χρειαζόμαστε κατ’ ε-<br />
λάχιστο μια λύση virtualization στο backend ανεξάρτητου<br />
προμηθευτή και φυσικά μια λύση για την πρόσβαση των χρηστών<br />
στα εικονικά τερματικά τους (Virtual Machine - VM).<br />
Οι τεχνολογίες VDI δεν έχουν έρθει για να αντικαταστήσουν<br />
ή έστω να παραγκωνίσουν τα παραδοσιακά desktop<br />
που όλοι γνωρίζουμε και χρησιμοποιούμε.<br />
Το ερώτημα που εύλογα μπορεί να γεννηθεί, είναι γιατί πέρα<br />
από τον οικονομικό παράγοντα που αφορά στην πλήρη αναβάθμιση<br />
της υποδομής, ακόμη δεν μπορεί να αντικατασταθεί<br />
security | 33
I SSUE<br />
VDI - Virtual Desktop Infrastructure<br />
Ένα εξίσου σημαντικό ζήτημα στην αποτελεσματική υιοθέτηση<br />
υπηρεσιών VDI είναι η κατανόηση από τους διαχειριστές<br />
του τρόπου διαχείρισης ενός τέτοιου δικτύου,<br />
αλλά και του τρόπου διαχείρισης των πόρων του, με ό,τι<br />
αυτό συνεπάγεται.<br />
Πλεονεκτήματα–Επιχειρηματικάοφέλη<br />
To δέλεαρ των επιχειρήσεων όσον αφορά στην υιοθέτηση<br />
υπηρεσιών VDI είναι η σχετική εξοικονόμηση πόρων μέσω<br />
της υιοθέτησης ενός κεντροποιημένου συστήματος<br />
διαχείρισης εικονικών τερματικών στον κεντρικό εξυπηρετητή.<br />
Ένα εξίσου σημαντικό δέλεαρ είναι ακριβώς επειδή<br />
τα τερματικά των χρηστών βρίσκονται εγκατεστημένα σε<br />
VM server, οι ανάγκες για υπολογιστική ισχύ επιβαρύνουν<br />
τους εξυπηρετητές. Το VDI αποτελεί λύση στα προβλήματα<br />
- κυρίως ασφάλειας, που προκύπτουν από την ολοένα συχνότερη<br />
χρήση προσωπικών συσκευών χρηστών, στη λογική<br />
του BYOD (Bring Your Own Device), μετατρέποντας<br />
τα μειονεκτήματα του BYOD σε πλεονεκτήματα, αφού η<br />
ανάγκη των χρηστών για χρήση των προσωπικών τους συσκευών,<br />
οδηγεί σταδιακά στη μείωση αγοράς φορητών συσκευών<br />
από την εταιρεία. Υπό το πρίσμα της υιοθέτησης<br />
των VDI υπηρεσιών, παρατηρούμε μείωση στην αγορά λειτουργικών<br />
συστημάτων και λοιπών λογισμικών, αφού κάθε<br />
χρήστης θεωρητικά θα έχει ένα και μόνο τερματικό (εικονικό)<br />
στο οποίο μπορεί να έχει πρόσβαση από οποιαδήποτε<br />
συσκευή - είτε εταιρική είτε προσωπική. Επομένως, το<br />
μοντέλο ένας χρήστης 5 συσκευές, μπορεί να μείνει πλέον<br />
στο παρελθόν - τουλάχιστον για ένα μεγάλο μέρος των<br />
εταιρικών χρηστών.<br />
Φυσικά, το βάρος πέφτει στο ΙΤ αφού οι απαιτήσεις αυξάνονται<br />
αναλογικά όσον αφορά τόσο τους δικτυακούς<br />
πόρους όσο και τους πόρους των συστημάτων. Επομένως<br />
οι διαχειριστές πρέπει να είναι αρκετά δημιουργικοί όχι<br />
μόνο στο σχεδιασμό της αρχιτεκτονικής του δικτύου, αλλά<br />
και στη στρατηγική που θα υιοθετήσουν σχετικά με τη<br />
διαχείριση της υποδομής. Ακριβώς αυτή όμως είναι και η<br />
αρχική απαίτηση για την εκάστοτε εταιρική υποδομή: Η<br />
μετατόπιση του ειδικού βάρους από το χρήστη στο διαχειριστή<br />
και το ΙΤ, μειώνοντας κατά πολύ τους κινδύνους<br />
προσβολής της εταιρικής υποδομής από εξωτερικές και ε-<br />
σωτερικές απειλές. Μέσω των υπηρεσιών VDI ο χρήστης<br />
δεν αποτελεί πλέον τον αδύναμο κρίκο που αποτελούσε<br />
στα παραδοσιακά δίκτυα. Ο διαχειριστής έχει τον πλήρη<br />
έλεγχο της υποδομής, χωρίς να φοβάται για τα εκούσια ή<br />
ακούσια λάθη των χρηστών.<br />
Εξετάζοντας τα παραδοσιακά δίκτυα, παρατηρούμε ότι<br />
πολλές φορές κάτι που μπορεί να φαντάζει απλό, όπως η<br />
αναβάθμιση των λογισμικών στις συσκευές των χρηστών,<br />
μπορεί εύκολα να μετατραπεί σε εφιάλτη και να οδηγήσει<br />
στην εμφάνιση ευπαθειών και στην εκμετάλλευσή τους α-<br />
πό μη εξουσιοδοτημένους χρήστες.<br />
Μέσω των λύσεων VDI δίνεται η δυνατότητα στους διαχειριστές<br />
να ελέγχουν και να παραμετροποιούν κεντροποιημένα<br />
τα εταιρικά ψηφιακά τερματικά με ορισμένα σημαντικά<br />
πλεονεκτήματα:<br />
Πλέον η εγκατάσταση ενός νέου τερματικού μπορεί<br />
να γίνει μέσα σε λίγα λεπτά και όχι σε λίγες ώρες.<br />
Τα εικονικά τερματικά είναι μεγαλύτερης ενεργειακής<br />
απόδοσης και διαρκούν περισσότερο σε σχέση με<br />
τα παραδοσιακά τερματικά.<br />
Τα λειτουργικά έξοδα του ΙΤ μειώνονται, σε θεωρητικό<br />
επίπεδο τουλάχιστον, λόγω της μείωσης των α-<br />
ναγκών υποστήριξης.<br />
Χαρακτηριστική είναι και η μείωση σε θέματα συμβατότητας,<br />
ειδικά όταν πρόκειται για εξειδικευμένα<br />
λογισμικά.<br />
Η ασφάλεια της πληροφοριακής υποδομής αυξάνεται<br />
άρδην. Οι χρήστες μπορούν να εισέρχονται στο<br />
34 | security
τερματικό τους, τόσο εντός της πληροφοριακής<br />
υποδομής όσο και εκτός, διατηρώντας πάντοτε<br />
υψηλό επίπεδο ασφάλειας.<br />
Η κεντροποιημένη διαχείριση που παρέχουν οι<br />
τεχνολογίες VDI, μειώνει την πολυπλοκότητα των<br />
αναβαθμίσεων και ειδικότερα των αναβαθμίσεων<br />
ασφάλειας, καθώς και οποιαδήποτε διαδικασία<br />
εποπτείας και συντήρησης βαρύνει το ΙΤ.<br />
Ο χρόνος εφαρμογής αναβαθμίσεων και γενικότερης<br />
ανταπόκρισης μειώνεται χαρακτηριστικά<br />
και πλέον υπάρχει η δυνατότητα ακαριαίας α-<br />
ντίδρασης και άμεσης εφαρμογής με το μέγιστο<br />
βαθμό επιτυχίας.<br />
Παρατηρείται σαφέστατη βελτίωση των επιδόσεων<br />
της υποδομής με καλύτερη διαχείριση του<br />
backup policy, εξαλείφοντας αποτελεσματικά τα<br />
προβλήματα που προκύπτουν από το τοπικό<br />
backup των χρηστών.<br />
Το σημείο αναφοράς<br />
στην ενημέρωση για<br />
θέματα ασφαλείας στην Ελλάδα<br />
Γραφτείτε συνδρομητές τώρα!<br />
Παράλληλα, με την υιοθέτηση λύσεων VDI, όχι μόνο<br />
μειώνεται η χρήση και η αγορά hardware αφού περνάμε<br />
πλέον στις συνολικά οικονομικότερες λύσεις των<br />
thin clients, αλλά ικανοποιείται και η ολοένα μεγαλύτερη<br />
απαίτηση των χρηστών για σύνδεση στο εταιρικό<br />
δίκτυο μέσω των προσωπικών τους συσκευών, α-<br />
παίτηση η οποία μειώνει περαιτέρω τα κόστη για την<br />
εταιρεία αφενός, ενώ αφετέρου αυξάνει τους κινδύνους<br />
όσον αφορά στην ασφάλεια της εταιρικής υποδομής.<br />
Παρόλα αυτά, οι υπηρεσίες VDI επιλύουν ε-<br />
παρκώς τα ποικίλα προβλήματα ασφάλειας που προκύπτουν<br />
από την υιοθέτηση λύσεων BYOD, δίνοντας<br />
την απάντηση στο εύλογο ερώτημα του εκάστοτε διαχειριστή,<br />
πώς θα εισάγω στο εταιρικό δίκτυο μια συσκευή<br />
η οποία δεν είναι εταιρική και επαρκώς ελεγμένη;<br />
Αρκετές φορές τα προβλήματα που αντιμετωπίζουν οι<br />
διαχειριστές παραδοσιακών υποδομών SBC (Server<br />
Based Computing) ταυτίζονται με εκείνα των VDI υ-<br />
ποδομών, αφού και αυτές αποτελούν μια έκφανση των<br />
υποδομών SBC. Σε κάθε περίπτωση θα πρέπει να γίνεται<br />
αποτελεσματική διαχείριση από την πλευρά του<br />
ΙΤ, ώστε να προφυλάσσεται επαρκώς η εταιρική πληροφοριακή<br />
υποδομή. Στην κατεύθυνση αυτή οι λύσεις<br />
VDI εξομαλύνουν σε αρκετά ικανοποιητικό βαθμό παρόμοιες<br />
προκλήσεις. iT<strong>Security</strong>
I SSUE<br />
Darren Anstee<br />
Solutions Architect Team Manager<br />
Arbor Networks<br />
Προστασία από επιθέσεις DDoS<br />
Η αξία που προσφέρει στις επιχειρήσεις<br />
Οι επιθέσεις DDoS συνεχίζουν να εξελίσσονται ενώ τους τελευταίους 12 μήνες παρατηρήθηκε<br />
τεράστια αύξηση τόσο στο μέγεθος όσο και στον αριθμό των επιθέσεων που<br />
συνέβησαν. Αν συνδυάσουμε τα παραπάνω στοιχεία με το γεγονός ότι οι εταιρείες που<br />
βασίζονται στην διαθεσιμότητα του διαδικτύου, είτε ως πηγή εισοδήματος είτε για να έ-<br />
χουν πρόσβαση σε δεδομένα ή εφαρμογές που βρίσκονται στο cloud, συνεχώς αυξάνονται,<br />
τότε κατανοούμε ότι η προστασία από απειλές DDoS πρέπει να αποτελεί κύρια<br />
προτεραιότητα των επιχειρήσεων.<br />
E<br />
ξετάζοντας τα στοιχεία του προηγούμενου έτους, συμπεραίνουμε ότι οι επιτιθέμενοι έχουν εστιάσει στη δημιουργία<br />
μεγάλων ροών κίνησης, γνωστές ως ογκομετρικές επιθέσεις, προκειμένου να θέσουν εκτός λειτουργίας το στόχο<br />
τους. Οι ογκομετρικές επιθέσεις αποτελούσαν πάντα τον πιο συνηθισμένο τύπο επίθεσης, τον τελευταίο χρόνο<br />
όμως η κλίμακα των επιθέσεων έχει αλλάξει. Κατά τη διάρκεια του 2013 διαπιστώσαμε αύξηση 8x στον αριθμό<br />
των επιθέσεων DDoS που ξεπερνούσαν τα 20Gb/sec, σύμφωνα με τα στοιχεία που προήλθαν από το σύστημα καταγραφής<br />
και παρακολούθησης ATLAS της Arbor (το οποίο ανά μια ώρα δέχεται δεδομένα από περισσότερους από 290 παρόχους<br />
υπηρεσιών από όλο τον κόσμο), ενώ μόνο στο πρώτο τρίμηνο του 2014 παρατηρήθηκε αύξηση 1,5x σε σχέση με το συνολικό<br />
αριθμό επιθέσεων που συνέβησαν το 2013.<br />
<strong>36</strong> | security
Στην πραγματικότητα, κατά το πρώτο τρίμηνο του 2014 παρατηρήθηκε<br />
μια έκρηξη στις μεγάλες ογκομετρικές επιθέσεις. Πιο<br />
συγκεκριμένα, καταγράφηκαν 72 επιθέσεις που ξεπερνούσαν<br />
τα 100Gb/sec καθώς και η μεγαλύτερη επίθεση που έχει συμβεί<br />
έως σήμερα, η οποία άγγιξε το ύψος των 325Gb/sec. Όλες βασίζονταν<br />
στην τεχνική NTP reflection, μια τεχνική που είχε παραγκωνιστεί<br />
για λίγο καιρό αλλά επανήλθε λόγω της μεγάλης δημοσιότητας<br />
που συγκέντρωσαν επιθέσεις κατά εταιρειών gaming<br />
που συνέβησαν πριν τα Χριστούγεννα του 2013.<br />
Οι επιθέσεις DDoS συγκέντρωσαν τα φώτα της δημοσιότητας<br />
τον προηγούμενο χρόνο σε αρκετές περιπτώσεις, δε θα πρέπει<br />
όμως να ξεχνάμε και εκείνες που είναι διαφορετικού τύπου.<br />
Σύμφωνα με τη Παγκόσμια Έκθεση για την Ασφάλεια Υποδομών<br />
για το 2013, που παρουσίασε η Arbor, σχεδόν το 25% των<br />
επιθέσεων εστιάζουν στο επίπεδο της εφαρμογής. Οι υπηρεσίες<br />
web παραμένουν ο πρώτος στόχος αυτών των επιθέσεων,<br />
υπάρχει όμως σημαντική αύξηση στον αριθμό εκείνων που<br />
στοχεύουν στις κωδικοποιημένες υπηρεσίες Web (HTTPS), γεγονός<br />
το οποίο θα πρέπει να προβληματίσει τους κυβερνητικούς<br />
και οικονομικούς οργανισμούς καθώς και τις εταιρείες που<br />
έχουν ως πεδίο ενασχόλησης το ηλεκτρονικό εμπόριο. Οι επιθέσεις<br />
DDoS έχουν εξελιχθεί σε ένα περίπλοκο θέμα καθώς<br />
ένα μεγάλο εύρος οργανισμών τίθεται στο στόχαστρό τους.<br />
Όλα τα στοιχεία που συγκεντρώσαμε μέσα στο 2013 επιβεβαιώνουν<br />
ότι η προστασία από επιθέσεις DDoS σε πολλαπλά<br />
επίπεδα είναι ο καλύτερος τρόπος που διαθέτουν οι οργανισμοί<br />
για να τις αντιμετωπίσουν. Οι άμυνες που αναπτύσσονται στην<br />
περίμετρο του δικτύου παρέχουν προληπτική προστασία από<br />
τις επιθέσεις σε επίπεδο εφαρμογής (για την ακρίβεια από κάθε<br />
τύπο επίθεσης). Πρέπει όμως να συνδυαστούν παράλληλα<br />
με υπηρεσίες προστασίας από επιθέσεις DDoS οι οποίες είτε<br />
να βασίζονται στο cloud είτε να παρέχονται από κάποιον πάροχο<br />
υπηρεσιών προκειμένου να αντιμετωπιστούν υψηλότερης<br />
έντασης (ογκομετρικές) επιθέσεις.<br />
Οι ομάδες ασφαλείας πολλών οργανισμών, συνειδητοποιούν ό-<br />
λο και περισσότερο την ανάγκη για την υιοθέτηση λύσεων πολυεπίπεδης<br />
άμυνας κατά των επιθέσεων DDoS, έχουν όμως να<br />
ανταγωνιστούν (από πλευράς προϋπολογισμού) τις υπόλοιπες<br />
προτεραιότητες της επιχείρησης. Πώς λοιπόν ο CIO θα ανταγωνιστεί<br />
για τη συγκεκριμένη επένδυση τα υπόλοιπα στελέχη του<br />
οργανισμού; Το κλειδί σε αυτή την περίπτωση είναι να συγκρίνει<br />
τις οικονομικές επιπτώσεις που θα επιφέρει στην επιχείρηση<br />
μια παρατεταμένη διακοπή της παροχής των διαδικτυακών<br />
υπηρεσιών με το κόστος υιοθέτησης των κατάλληλων λύσεων.<br />
Ουσιαστικά, είναι επιτακτική ανάγκη για τους CIOs και τους<br />
CISOs να μπορούν να θέσουν την οικονομική αξία και να ορίσουν<br />
το κόστος μιας επίθεσης, όταν επεξεργάζονται μια υπόθεση<br />
επένδυσης σε υποδομές και διαδικασίες ασφαλείας.<br />
Ένα καλό σημείο εκκίνησης είναι να υπολογιστούν οι συνολικές<br />
επιπτώσεις που θα έχει μια επίθεση DDoS στα έσοδα, τα λειτουργικά<br />
έξοδα και τη φήμη της εταιρείας. Τα συγκεκριμένα<br />
στοιχεία είναι εκείνα τα οποία μπορούν να επηρεάσουν το συνολικό<br />
κόστος μιας επίθεσης DDoS και διαφέρουν ανάλογα<br />
με τη φύση της υπό εξέτασης επιχείρησης. Η μοντελοποίηση<br />
αυτών των εξόδων και συνεπειών είναι ένας καλός τρόπος για<br />
να προσδιοριστούν τα οφέλη που προσφέρουν οι υποδομές<br />
προστασίας από επιθέσεις DDoS, αφού μια αποτελεσματική<br />
πολιτική άμυνας απέναντι σε τέτοιου είδους επιθέσεις μπορεί να<br />
μειώσει έως και 90% τα συγκεκριμένα κόστη σε περίπτωση ε-<br />
πίθεσης.<br />
Με τις επιθέσεις DDoS να συνεχίζουν να αυξάνονται σε μέγεθος,<br />
συχνότητα και πολυπλοκότητα- και τη διαρκώς αυξανόμενη<br />
εξάρτηση των εταιρειών από το διαδίκτυο για την επιχειρησιακή<br />
συνέχεια – η υιοθέτηση των κατάλληλων πολιτικών άμυνας<br />
είναι το κλειδί για την επιτυχή αντιμετώπισή τους. Οι καλύτερες<br />
λύσεις και υπηρεσίες διασφαλίζουν ότι η επιχείρησή μας είναι<br />
προστατευμένη από τις DDoS απειλές.<br />
Σχετικά με την Arbor Networks<br />
Η Arbor Networks, Inc. είναι ένας από τους κορυφαίους προμηθευτές<br />
λύσεων διαχείρισης και ασφάλειας δικτυακών υποδομών<br />
για επιχειρήσεις και παρόχους υπηρεσιών επικοινωνίας.<br />
Μεταξύ των πελατών της περιλαμβάνεται η πλεοψηφία των παρόχων<br />
διαδικτυακών υπηρεσιών (ISPs) και πολλοί από τους μεγαλύτερους<br />
επιχειρηματικούς ομίλους σε ολόκληρο τον κόσμο.<br />
Η αποδεδειγμένη αποτελεσματικότητα των λύσεων που προσφέρει<br />
η Arbor για την προστασία και τη διαχείριση δικτυακών<br />
υποδομών βοηθά τους πελάτες της να προστατεύουν τα δίκτυα<br />
τους, τις επιχειρηματικές τους δραστηριότητες, τα προϊόντα<br />
και τις υπηρεσίες τους. Ένα σημαντικό μέρος της λύσης της<br />
Arbor αποτελεί η online υπηρεσία ATLAS© (Active Threat<br />
Level Analysis System), η οποία ενημερώνεται και κατηγοριοποιεί<br />
νέους τύπους επιθέσεων DDoS σε πραγματικό χρόνο.<br />
Περισσότεροι από 270 πάροχοι σε ολόκληρο τον κόσμο τροφοδοτούν<br />
με δεδομένα την υπηρεσία αυτή. Με βάση την ανάλυση<br />
αυτών των δεδομένων, η υπηρεσία ATLAS ενημερώνει α-<br />
νά τακτά χρονικά διαστήματα τις συσκευές της ARBOR σε ο-<br />
λόκληρο το κόσμο με αποτελεσματικούς τρόπους αντιμετώπισης<br />
νέων επιθέσεων DDoS. iT<strong>Security</strong><br />
Για περισσότερες τεχνικές πληροφορίες σχετικά με τις τελευταίες α-<br />
πειλές και τις τάσεις όσον αφορά τη διαμόρφωση της κίνησης στο Ί-<br />
ντερνετ, σας παρακαλούμε να επισκεφθείτε τη διεύθυνση:<br />
http://www.arbornetworks.com και το blog: http://ddos.arbornetworks.com.<br />
ΑDAPT<strong>IT</strong> A.E (www.adaptit.gr) - Αποκλειστικός αντιπρόσωπος<br />
της ARBOR NETWORKS στην Ελλάδα<br />
security | 37
Change language