IT Professional Security - ΤΕΥΧΟΣ 72
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
Περιοδικό για το Enterprise Computing και την ασφάλεια πληροφοριών.
- No tags were found...
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
www.itsecuritypro.gr 11/12.2021 • Τεύχος <strong>72</strong> • Τιμή 5€<br />
Zero Trust<br />
Παίρνοντας πίσω τον έλεγχο<br />
των εταιρικών πόρων<br />
Ερευνα για την κυβερνοασφάλεια<br />
& το remote working<br />
Tι μας επιφυλάσσει<br />
το ψηφιακό σύμπαν για το 2022
T<strong>72</strong>11/12.2021<br />
Editorial<br />
Ανάγκη για Εκστρατεία Ενημέρωσης και<br />
Στρατηγικές Συνεργασίες<br />
Από την πρώτη στιγμή δημιουργίας του περιοδικού <strong>IT</strong> <strong>Security</strong><br />
<strong>Professional</strong> το 2008, προσπαθούμε να συμβάλουμε στην καλλιέργεια<br />
μιας κουλτούρας για την αντιμετώπιση των θεμάτων<br />
ψηφιακής ασφάλειας, χωρίς φοβική προσέγγιση, με ψύχραιμη,<br />
ρεαλιστική αλλά και τεχνοκρατική αντίληψη, αναλύοντας τις<br />
εκάστοτε εξελίξεις και λαμβάνοντας υπόψη τις ενημερώσεις<br />
και αναφορές από τους ειδικούς και τους τους εμπειρογνώμονες<br />
του χώρου.<br />
Η σημερινή πραγματικότητα όμως προστάζει να αναδείξουμε<br />
ακόμα πιο δυναμικά τις ανάγκες που έχουν δημιουργηθεί<br />
στο τομέα της ψηφιακής ασφάλειας. Κλείνοντας μια πολύ ιδιαίτερη<br />
χρονιά πρέπει αναδείξουμε εμφατικά, ότι τα φαινόμενα<br />
ηλεκτρονικής απάτης έχουν μια κατακόρυφη αύξηση καθημερινά<br />
και στη χώρα μας και κανείς δεν μένει αλώβητος.<br />
Επιχειρήσεις κάθε κλίμακας και κατηγορίας – που υποτίθεται<br />
θα έπρεπε να λαμβάνουν ισχυρά μέτρα προστασίας –καθημερινά<br />
δέχονται επιθέσεις με αρνητική για αυτές έκβαση σε<br />
έντονο βαθμό και στην Ελλάδα. Απροσεξίες των χρηστών και<br />
ανοιχτές δίοδοι εισβολής, διευκολύνουν το έργο των επιτιθέμενων<br />
με πολύ καταστρεπτικές συνέπειες. Πολύ συχνά το<br />
τελευταίο διάστημα, δεχόμαστε πολλαπλές ενημερώσεις από<br />
εταιρίες διαχείρισης κινδύνου και υπηρεσιών ψηφιακής ασφάλειας<br />
για περιστατικά απάτης, με θύματα από απλούς ιδιώτες<br />
μέχρι μεγάλες επιχειρήσεις που χάνουν πάρα πολλά χρήματα.<br />
Phishing, Ransomware, BEC, SIM Swap και πολλές άλλες τεχνικές<br />
χρησιμοποιούνται από οργανωμένες ομάδες με ισχυρές<br />
διασυνδέσεις και στην Ελλάδα στοχεύοντας στους τραπεζικούς<br />
λογαριασμούς επιχειρήσεων, επαγγελματιών και ιδιωτών.<br />
Είναι σήμερα λοιπόν, όσο ποτέ άλλοτε επιτακτική η ανάγκη για<br />
ενίσχυση της εκστρατείας ενημέρωσης, σε ένα πολύ μεγαλύτερο<br />
και ευρύτερο κοινό, που θα περιλαμβάνει εκτός από τις<br />
μεγάλες επιχειρήσεις - πού έτσι και αλλιώς έχουν τους ανθρώπους<br />
να αντιληφθούν τις προκλήσεις και απαιτήσεις των καιρών<br />
– μικρομεσαίους αυτοαπασχολούμενους, επαγγελματίες<br />
αλλά και ιδιώτες. Η εκστρατεία ενημέρωσης θα ήταν ωφέλιμο<br />
να πραγματοποιηθεί με στρατηγικές συνεργασίες μεταξύ<br />
δημόσιων φορέων, ιδιωτικών επιχειρήσεων αλλά και μέσων<br />
μαζικής ενημέρωσης με μεγάλη απήχηση, προκειμένου να<br />
προβάλλουν τους κινδύνους που υπάρχουν και τα απαραίτητα<br />
μέτρα προστασίας που οφείλουν όλοι να λαμβάνουν.<br />
Στα πλαίσια της Εταιρικής Ευθύνης οι εταιρίες που έχουν τη<br />
τεχνογνωσία στο τομέα της ψηφιακής ασφάλειας θα μπορούσαν<br />
να αναλάβουν πρωτοβουλίες μιας διευρυμένης καμπάνιας<br />
ενημέρωσης και σε ένα μεγαλύτερο κοινό προκειμένου να<br />
βοηθήσουν τους επαγγελματίες και ακόμα και τους ιδιώτες να<br />
αποκτήσουν μια καλύτερη εικόνα για το πώς θα προστατευτούν<br />
από τις ηλεκτρονικές επιθέσεις και απάτες.<br />
Βλάσης Αμανατίδης<br />
Εκδότης<br />
Κώστας Νόστης<br />
Αρχισυντάκτης<br />
Βλάσης Αμανατίδης<br />
v.amanatidis@smartpress.gr<br />
Διεύθυνση Επικοινωνίας<br />
& Marketing<br />
Ειρήνη Νόστη<br />
Yπεύθυνος Διαφήμισης<br />
Γιώργος Ιωσηφέλης<br />
Σύμβουλος Έκδοσης<br />
Νίκη Πανδή<br />
Υπεύθυνη Παραγωγής<br />
Ελένη Καπιτσάκη<br />
DTP<br />
Θοδωρής Παπουτσής<br />
Νίκος Χαλκιαδάκης<br />
Υπεύθυνος Ηλεκτρονικών Μέσων<br />
Δημήτρης Θωμαδάκης<br />
Γραμματεία Εμπορικού<br />
Έλλη Μαστρομανώλη<br />
Λογιστήριο<br />
Ανδρέας Λουλάκης<br />
Τμήμα συνδρομών<br />
support@securitymanager.gr<br />
Consulting by<br />
SPEG Co<br />
τηλ.: 210 5238777,<br />
www.speg.gr, info@speg.gr<br />
Ιδιοκτήτης<br />
Smart Press<br />
Μάγερ 11, 10438, Αθήνα<br />
Τηλ.: 210 5201500, 210 5230000,<br />
Fax: 210 5241900<br />
www.smartpress.gr<br />
www.itsecuritypro.gr<br />
www.securitymanager.gr<br />
Συνεργάτες<br />
Δημήτρης Θωμαδάκης<br />
Νότης Ηλιόπουλος<br />
Παναγιώτης Καλαντζής<br />
Αριστοτέλης Λυμπερόπουλος<br />
Δημήτρης Σκιάννης<br />
Υπεύθυνη Συνεδρίων<br />
Αγγελική Νόστη<br />
Φωτογραφίες<br />
JENESIS 360<br />
email επικοινωνίας:<br />
info@securitymanager.gr<br />
support@securitymanager.gr<br />
ΚΩΔΙΚΟΣ 01-8267<br />
2 security
security<br />
3
T<strong>72</strong>11/12.2021<br />
Contents<br />
36<br />
42<br />
48<br />
50<br />
2 | editorial<br />
6 News<br />
12 | Research<br />
Cover issue<br />
18 | Zero Trust<br />
Παίρνοντας πίσω τον έλεγχο των<br />
εταιρικών πόρων<br />
Issue<br />
26 | Trust Issues<br />
28 | Τι είναι το μοντέλο ασφαλείας<br />
Zero Trust, και γιατί<br />
υιοθετείται από ολοένα και<br />
περισσότερους οργανισμούς<br />
30 | Ο ρόλος των C-Level στελεχών<br />
στην επιτυχή εφαρμογή<br />
μοντέλου Zero Trust<br />
32 | ZTNA - Το τελευταίο καρφί στο<br />
φέρετρο του VPN<br />
56<br />
35 | WatchGuard’s Zero-Trust<br />
Application Service<br />
36 | Distributed Denial-of-Service<br />
Attack (DDoS) Attacks<br />
40 | Παραγωγικότητα & ασφάλεια με<br />
την εφαρμογή του Information<br />
Protection & Governance<br />
42 | 6 λόγοι για τους οποίους οι<br />
επιχειρήσεις επιλέγουν SD-<br />
WAN για τον ψηφιακό τους<br />
μετασχηματισμό<br />
44 | Maritime Cyber <strong>Security</strong><br />
Compliance Framework<br />
46 | Κυβερνοασφάλεια βιομηχανικών<br />
συστημάτων (OT)<br />
48 | Αντιμετωπίστε τις επιθέσεις<br />
phishing, με το Acronis Cyber<br />
Protect<br />
50 | Άγιε μου Βασίλη πες μου τι μας<br />
επιφυλάσσει το ψηφιακό σύμπαν<br />
για το 2022 και πάρε τους<br />
κακούς μακριά<br />
58<br />
55 | Wi-Fi 6, η επόμενη μέρα στην<br />
ασύρματη σύνδεση στο Internet<br />
56 | Ανασκόπηση αγοράς Cyber<br />
Insurance & Ελληνική<br />
πραγματικότητα<br />
58 | Αναγνωρισμένο Μεταπτυχιακό<br />
πρόγραμμα στη Κυβερνοασφάλεια<br />
- Cyber <strong>Security</strong> MSc<br />
Business <strong>IT</strong><br />
4 security
security<br />
5
T<strong>72</strong>11/12.2021<br />
News<br />
Μια ματιά στις οικονομικές απειλές του 2022<br />
Κατά τη διάρκεια του 2022 η βιομηχανία των κρυπτονομισμάτων<br />
θα δεχτεί επιθέσεις από κρατικά χρηματοδοτούμενες<br />
ομάδες, ενώ οι εγκληματίες του κυβερνοχώρου θα επιχειρήσουν<br />
να βγουν κερδισμένοι από όσους επενδύουν σε αυτά<br />
κατασκευάζοντας rogue wallets με backdoors. Επιπλέον, είναι<br />
πιθανό να παρατηρηθεί αύξηση των επιθέσεων εναντίον<br />
συστημάτων πληρωμών, καθώς και εμφάνιση πιο προηγμένων<br />
απειλών για φορητές συσκευές. Αυτές είναι οι βασικές<br />
προβλέψεις της έκθεσης της Kaspersky «Cyberthreats to<br />
Financial Organizations το 2022».<br />
Το 2021 αποτέλεσε μια χρονιά γεμάτη προκλήσεις αλλά και<br />
καινοτομίες. Πάντα θα υπάρχουν εκείνοι που προσαρμόζονται<br />
τάχιστα και αξιοποιούν τις αλλαγές προς όφελός τους –<br />
μεταξύ αυτών οι εγκληματίες στον κυβερνοχώρο. Δεδομένου<br />
ότι οι περισσότερες ψηφιακές απειλές στοχεύουν στην<br />
απόσπαση χρημάτων, οι οικονομικές απειλές ήταν πάντα<br />
ένα από τα πιο σημαντικά κεφάλαια του τοπίου ψηφιακών<br />
απειλών. Ύστερα από ενδελεχή επεξεργασία των σημαντικότερων<br />
γεγονότων και τάσεων στο πεδίο των οικονομικών<br />
απειλών κατά τη διάρκεια του 2021, οι ερευνητές της<br />
Kaspersky επιχείρησαν να προβλέψουν τις σημαντικότερες<br />
τάσεις που αναμένεται να εμφανιστούν το 2022. Ακολουθούν<br />
οι βασικές προβλέψεις τους:<br />
• Οι στοχευμένες επιθέσεις σε κρυπτονομίσματα<br />
θα αυξηθούν. Καθώς το κρυπτονόμισμα είναι ένα<br />
ψηφιακό περιουσιακό στοιχείο και όλες οι συναλλαγές<br />
πραγματοποιούνται στο διαδίκτυο, προσφέρει<br />
ανωνυμία στους χρήστες. Αυτά ακριβώς τα χαρακτηριστικά<br />
ελκύουν τους εγκληματίες του κυβερνοχώρου.<br />
Ωστόσο, δεν είναι μόνο οι κυβερνοεγκληματικές<br />
οργανώσεις αλλά και οι κρατικοί φορείς<br />
απειλών που έχουν στοχεύσει αυτόν τον<br />
κλάδο. Ήδη ομάδες APT έχουν πραγματοποιήσει<br />
επιθέσεις στον κλάδο των κρυπτονομισμάτων,<br />
ενώ αναμένουμε πως αυτή η<br />
τάση θα εξακολουθήσει να αναπτύσσεται.<br />
• Ελαττωματική ασφάλεια και hardware<br />
wallets ως crypto hardware–based απειλή.<br />
Ενώ οι επιθέσεις κρυπτονομισμάτων<br />
αποκτούν πιο στοχευμένο χαρακτήρα, οι<br />
εγκληματίες του κυβερνοχώρου συνεχίζουν<br />
να βρίσκουν νέους τρόπους για να αποσπάσουν<br />
τα περιουσιακά στοιχεία όσων επενδύουν<br />
στα κρυπτονομίσματα. Όσον αφορά τις<br />
επενδυτικές ευκαιρίες σε κρυπτονομίσματα, οι ερευνητές<br />
της Kaspersky καταλήγουν στο συμπέρασμα ότι<br />
οι εγκληματίες του κυβερνοχώρου θα επωφεληθούν<br />
από την κατασκευή και τη λιανική πώληση rogue συσκευών<br />
με backdoors, οι οποίες συνοδεύονται από εκστρατείες<br />
κοινωνικής μηχανικής και άλλες τεχνικές για<br />
να αποσπάσουν τα περιουσιακά στοιχεία των θυμάτων.<br />
• Τα infostealers επιταχύνουν τη δράση τους και<br />
εδραιώνονται. Η απλότητα, η οικονομική προσιτότητα<br />
και η αποτελεσματικότητα στις επιθέσεις θα διαδραματίσουν<br />
βασικό ρόλο στην προσαρμογή των<br />
infostealers έναντι των περιουσιακών στοιχείων,<br />
τουλάχιστον υπό τη μορφή ενός συλλέκτη δεδομένων<br />
πρώτου σταδίου. Διαφορετικοί παράγοντες απειλών<br />
θα το εκμεταλλευτούν για να εντοπίσουν υποψήφια<br />
θύματα για περαιτέρω επιθέσεις. Η κλοπή πληροφοριών<br />
περιλαμβάνει αλλά δεν περιορίζεται σε στοχευμένες<br />
επιθέσεις Ransomware, παραδοσιακές στοχευμένες<br />
επιθέσεις και άλλες μορφές επιθέσεων.<br />
• Ανάπτυξη εμφυτευμάτων φορητών συσκευών. Η<br />
πανδημία έδωσε ώθηση στο mobile banking, το οποίο<br />
ωρίμασε ιδιαίτερα κατά την τελευταία περίοδο. Οι ειδικοί<br />
της Kaspersky διαβλέπουν την ανάπτυξη περισσότερων<br />
Trojans για mobile banking στην πλατφόρμα<br />
Android, ιδιαιτέρως trojans τύπου RAT, τα οποία μπορούν<br />
να παρακάμψουν τα μέσα ασφαλείας που υιοθετούν<br />
οι τράπεζες (όπως το OTP και το MFA). Τα τοπικά<br />
και περιφερειακά project για συσκευές Android θα<br />
εξαπλωθούν παγκοσμίως, εξάγοντας επιθέσεις στη<br />
Δυτική Ευρώπη και σε άλλες χώρες παγκοσμίως.<br />
6 security
security<br />
7
T<strong>72</strong>11/12.2021<br />
News<br />
Επιθέσεις τύπου watering hole (νερόλακκοι) ανακαλύπτουν<br />
ερευνητές της ESET<br />
Οι ερευνητές της παγκόσμιας εταιρείας κυβερνοασφάλειας<br />
ESET ανακάλυψαν επιθέσεις τύπου «watering hole», δηλαδή<br />
εκστρατείες στρατηγικών παραβιάσεων ιστότοπων. Η<br />
συγκεκριμένη επίθεση είχε στόχο κυβερνητικούς ιστότοπους,<br />
online σελίδες μέσων ενημέρωσης, καθώς και ιστότοπους<br />
παρόχων υπηρεσιών διαδικτύου και εταιρειών αεροδιαστημικής/στρατιωτικής<br />
τεχνολογίας.<br />
Watering–hole, δηλαδή «νερόλακκος», είναι η ορολογία<br />
που χρησιμοποιείται στην κυβερνοασφάλεια για να περιγράψει<br />
μια στοχευμένη στρατηγική επίθεση κατά την οποία οι κυβερνοεγκληματίες<br />
μολύνουν έναν ιστότοπο που πιστεύουν<br />
ότι αποτελεί ένα γόνιμο περιβάλλον με πιθανά θύματα. Στη<br />
συνέχεια περιμένουν να μπει το κακόβουλο λογισμικό στους<br />
υπολογιστές των θυμάτων που επισκέφτηκαν το συγκεκριμένο<br />
ιστότοπο. Ουσιαστικά η λέξη «νερόλακκος» παραπέμπει<br />
στο σημείο όπου πηγαίνουν τα ζώα να πιούν<br />
νερό, γεγονός που τα κάνει ευάλωτα στα αρπακτικά.<br />
Τα website που έπεσαν θύματα της συγκεκριμένης εκστρατείας<br />
ανήκουν σε μέσα ενημέρωσης στο Ηνωμένο Βασίλειο,<br />
την Υεμένη και τη Σαουδική Αραβία, καθώς και στη<br />
Χεζμπολάχ, σε κυβερνητικούς φορείς στο Ιράν (Υπουργείο<br />
Εξωτερικών), τη Συρία (μεταξύ των οποίων και η ιστοσελίδα<br />
του Υπουργείου Ενέργειας) και την Υεμένη (συμπεριλαμβανομένων<br />
των Υπουργείων Εσωτερικών και Οικονομικών),<br />
σε παρόχους υπηρεσιών Internet στην Υεμένη και τη Συρία<br />
και σε εταιρείες αεροδιαστημικής/στρατιωτικής τεχνολογίας<br />
στην Ιταλία και τη Νότια Αφρική. Παράλληλα, οι κυβερνοεγκληματίες<br />
κλωνοποίησαν έναν ιστότοπο ιατρικής<br />
εμπορικής έκθεσης στη Γερμανία. Το website ανήκε στην<br />
εμπορική έκθεση MEDICA του Παγκόσμιου Φόρουμ Ιατρικής<br />
που πραγματοποιήθηκε στο Ντίσελντορφ της Γερμανίας.<br />
Η εκστρατεία φαίνεται να έχει ισχυρούς δεσμούς με την<br />
Candiru, μια ισραηλινή εταιρεία κατασκοπείας που συμπεριλήφθηκε<br />
πρόσφατα στη μαύρη λίστα του Υπουργείου<br />
Εμπορίου των ΗΠΑ, και η οποία πουλάει υπερσύγχρονα<br />
εργαλεία λογισμικού επιθετικού χαρακτήρα και σχετικές<br />
υπηρεσίες σε κυβερνητικούς φορείς.<br />
“Το 2018, αναπτύξαμε στην ESET ένα προσαρμοσμένο σύστημα<br />
για να εντοπίζουμε watering holes σε ιστοσελίδες<br />
υψηλού προφίλ» λέει ο ερευνητής της ESET Matthieu Faou,<br />
ο οποίος αποκάλυψε τις καμπάνιες watering hole. «Στις<br />
11 Ιουλίου 2020, το σύστημά μας μάς ειδοποίησε ότι<br />
η ιστοσελίδα της ιρανικής πρεσβείας στο Άμπου Ντάμπι<br />
είχε μολυνθεί με κακόβουλο κώδικα JavaScript. Ο<br />
υψηλού προφίλ χαρακτήρας του στόχου μας προκάλεσε<br />
εντύπωση και τις επόμενες εβδομάδες παρατηρήσαμε ότι<br />
και άλλες ιστοσελίδες με διασυνδέσεις στη Μέση Ανατολή<br />
ήταν επίσης στόχοι”.<br />
“Η ομάδα σίγησε μέχρι τον Ιανουάριο του 2021, όταν<br />
παρατηρήσαμε ένα νέο κύμα παραβιάσεων. Αυτό το δεύτερο<br />
κύμα διήρκεσε μέχρι τον Αύγουστο του 2021, όταν όλες οι<br />
ιστοσελίδες καθαρίστηκαν και πάλι όπως συνέβη το 2020 –<br />
πιθανότατα από τους ίδιους τους δράστες”, προσθέτει.<br />
Σε αυτή την εκστρατεία, κάποιοι επισκέπτες των συγκεκριμένων<br />
ιστοσελίδων πιθανότατα να δέχθηκαν επίθεση μέσω<br />
ενός browser exploit. Ωστόσο, οι ερευνητές της ESET δεν<br />
μπόρεσαν να εντοπίσουν ούτε κάποιο exploit ούτε κάποιο<br />
τμήμα του κακόβουλου λογισμικού.<br />
Αυτό δείχνει ότι οι κυβερνοεγκληματίες έχουν επιλέξει να<br />
περιορίσουν το επίκεντρο των επιχειρήσεών τους και δεν<br />
θέλουν να αποκαλύψουν τα zero-day exploits τους, γεγονός<br />
που καταδεικνύει πόσο στοχευμένη είναι αυτή η<br />
εκστρατεία. Οι παραβιασμένες ιστοσελίδες χρησιμοποιούνται<br />
μόνο ως σημείο εκκίνησης για την προσέγγιση των τελικών<br />
στόχων.<br />
8 security
security<br />
9
T<strong>72</strong>11/12.2021<br />
News<br />
Η λύση για Wi-Fi σε εξωτερικούς χώρους έρχεται από την<br />
Alcatel-Lucent Enterprise<br />
Η συνεχής ασύρματη σύνδεση στο διαδίκτυο, σε όλους τους<br />
χώρους της επιχείρησης, είναι μία από τις σημαντικότερες<br />
παροχές που μπορεί να προσφέρει μία επιχείρηση σε εργαζόμενους<br />
και επισκέπτες. Η σύνδεση στο Wi-Fi στους εσωτερικούς<br />
χώρους είναι μία απλή διαδικασία πλέον, καθώς το<br />
σήμα του επεκτείνεται εύκολα με την εγκατάσταση επιπλέον<br />
access points, ώστε κάθε συσκευή να βρίσκεται όσο πιο<br />
κοντά γίνεται στην «πηγή». Τι γίνεται όμως με το Wi-Fi στους<br />
εξωτερικούς χώρους; Ένας εξωτερικός χώρος συνήθως είναι<br />
αρκετά μεγαλύτερος από τους εσωτερικούς και τα σημεία<br />
που μπορεί να εγκατασταθεί ένα access point είναι περιορισμένα.<br />
Για να αντιμετωπιστεί αυτό το πρόβλημα μία επιχείρηση<br />
χρειάζεται μία αξιόπιστη λύση, ενός wireless access<br />
point εξειδικευμένου για εξωτερικούς χώρους.<br />
Η σειρά OmniAccess Stellar Outdoor AP1360 της Alcatel-<br />
Lucent είναι η ιδανική λύση για κάθε επιχείρηση που θέλει<br />
Η LEXIS Πληροφορική ΑΕ (www.lexis.<br />
gr), αντιπρόσωπος του κορυφαίου παρόχου<br />
λύσεων Enterprise <strong>Security</strong><br />
και Risk Management, Hillstone N<br />
etworks Inc. (www.hillstonenet.<br />
com), παρουσιάζει τη νέα λύση<br />
Extended Detection and Response<br />
(XDR), Hillstone iSource, με προηγμένες<br />
τεχνικές και έξυπνες λειτουργίες<br />
για υψηλά επίπεδα προστασίας.<br />
Οι επιχειρήσεις καθημερινά δέχονται<br />
απειλές και καλούνται να αντιμετωπίσουν<br />
επιθέσεις πολλαπλών σταδίων. Το<br />
Hillstone iSource συγκεντρώνει δεδομένα<br />
από το συνδεδεμένο εξοπλισμό της επιχείρησης, επιτρέποντας<br />
την παρακολούθηση, ανίχνευση, ανάλυση και<br />
απόκριση ενάντια στις απειλές.<br />
Επιπλέον, μέσω της μηχανής συσχετικής ανάλυσης<br />
(correlation analysis), φιλτράρονται οι απειλές χαμηλού ρίσκου<br />
και δημιουργείται μια ολοκληρωμένη αναφορά με τα<br />
βήματα δράσης. Σε επίπεδο διαχείρισης, ο χρήστης λαμβάνει<br />
χρήσιμη πληροφόρηση και έχει την πλήρη ορατότηνα<br />
παρέχει την ίδια ταχύτητα<br />
και ποιότητα σύνδεσης<br />
στους εξωτερικούς<br />
τη χώρους, όπως<br />
και στους εσωτερικούς.<br />
Δίνει τη δυνατότητα<br />
υψηλότερης ταχύτητας<br />
και περισσότερων ταυτόχρονων<br />
συνδέσεων τόσο<br />
σε 2.4Ghz, όσο και σε 5Ghz Wi-<br />
Fi band. Είναι ειδικά σχεδιασμένα για<br />
εγκατάσταση σε εξωτερικό περιβάλλον, ανεξαρτήτως καιρικών<br />
συνθηκών και έρχονται με εγγύηση εφ’ όρου ζωής.<br />
Τα προϊόντα της Alcatel Lucent αντιπροσωπεύονται στην<br />
Ελλάδα από την εταιρεία PartnerNET, www.partnernet-ict.<br />
com, τηλ.: 2107100000, sales@partnernet-ict.com<br />
Hillstone Networks iSource XDR: Η δικτυακή ασπίδα ενάντια στις απειλές<br />
τα σε πολλαπλά επίπεδα ασφάλειας<br />
με σκοπό την πρόληψη πιθανών<br />
απειλών που δέχονται οι severs,<br />
υπηρεσίες, τα δίκτυα και οι cloud<br />
εφαρμογές, μέσω τεχνολογιών<br />
τεχνητής νοημοσύνης. Το iSource<br />
υλοποιεί ένα πλάνο αποκατάστασης<br />
με τη χρήση προσαρμόσιμων<br />
playbooks, που καθορίζουν τα βήματα<br />
για την επιτυχή απόκριση στα<br />
καταγεγραμμένα συμβάντα ασφάλειας,<br />
ενώ εξασφαλίζουν αυτοματοποιημένες<br />
λειτουργίες ασφάλειας<br />
με δυνατότητα υποστήριξης<br />
Hillstone Networks και τρίτων κατασκευαστών. Το Hillsto<br />
ne Networks iSource XDR είναι διαθέσιμο στην Ελληνική<br />
αγορά μέσα από το δίκτυο συνεργατών της LEXIS Πληροφορική.<br />
Η συγκεκριμένη λύση προσφέρεται ως Virtual<br />
Machine σε τρία διαφορετικά μοντέλα με ταχύτητα 3-15Gbps,<br />
δυνατότητα επεξεργασίας συμβάντων 5.000-15.000events/<br />
sec με υποστηριζόμενα λειτουργικά συστήματα όπως<br />
CentOS, Windows 10 και VMware ESXi.<br />
10 security
security<br />
11
T<strong>72</strong>11/12.2021<br />
Research<br />
The State of Cyber <strong>Security</strong> 2021<br />
Μεγάλη πανελλαδική έρευνα για την κυβερνοασφάλεια<br />
& το remote working από την Pylones Hellas<br />
Ιδιαίτερα χρήσιμα συμπεράσματα εξάγονται από τη σημαντική μεγάλη πανελλαδική έρευνα<br />
που πραγματοποίησε η Pylones Hellas, αξιολογώντας τις προκλήσεις που αντιμετώπισαν οι<br />
επιχειρήσεων σχετικά με την παροχή απομακρυσμένης πρόσβασης στους υπαλλήλους τους,<br />
αλλά και την υιοθέτηση ορθών πρακτικών ασφάλειας σε όλα τα επίπεδα. Ας δούμε αναλυτικά τα<br />
βασικότερα αποτελέσματα της έρευνας την οποία υποστήριξε το <strong>IT</strong> <strong>Security</strong> <strong>Professional</strong>.<br />
Pylones Hellas, πάροχος ψηφιακών τεχνολογιών<br />
και λύσεων ασφάλειας διαδι-<br />
Η<br />
κτύου - με παρουσία 24 και πλέον ετών σε<br />
Ελλάδα, Κύπρο, καθώς και στην ευρύτερη<br />
περιοχή της νοτιοανατολικής Ευρώπης,<br />
πραγματοποίησε την πανελλήνια έρευνα σχετικά με την<br />
κυβερνοασφάλεια και το remote working με τίτλο «The<br />
State of Cyber <strong>Security</strong> 2021». Στόχος της έρευνας<br />
ήταν να εκτιμηθεί το μεταβαλλόμενο αίσθημα ασφάλειας<br />
σχετικά με το remote working και την εξάπλωση των επιθέσεων<br />
στον κυβερνοχώρο<br />
Προφίλ και στοιχεία δείγματος<br />
Η έρευνα - υποστηρίχθηκε από το <strong>IT</strong> <strong>Security</strong> <strong>Professional</strong>, το<br />
εργαστήριο Ψηφιακής Ασφάλειας, του τμήματος Ψηφιακών<br />
Συστημάτων του Πανεπιστημίου Πειραιώς με επικεφαλής τον<br />
καθηγητή Χρήστο Ξενάκη και το Hellenic (ISC)² Chapter.<br />
Διενεργήθηκε το χρονικό διάστημα από τον Μάρτιο έως<br />
τον Σεπτέμβριο του 2021 μεταξύ υψηλόβαθμων στελεχών<br />
εταιρειών όλων των κλάδων και στελεχών από τμήματα<br />
μηχανογράφησης και ψηφιακής ασφάλειας. Στην έρευνα<br />
συμμετείχαν περισσότεροι από 330 επαγγελματίες και στελέχη<br />
της πληροφορικής. Το 62,50% των συμμετεχόντων<br />
απασχολείται σε καίρια θέση του κλάδου του ΙΤ με το<br />
21% να αποτελεί decision maker για την εταιρεία του κατέχοντας<br />
θέση manager ή C-level και με ένα 19,87% να<br />
δηλώνει ότι ασχολείται με τον τομέα του <strong>IT</strong> security επαγγελματικά.<br />
Αξιοσημείωτο επίσης ότι πάνω από το 65,06%<br />
12 security
Pylones Hellas<br />
www.pylones.gr<br />
το ερωτώμενων απασχολείται κυρίως σε μεγάλες & μεσαίες<br />
επιχειρήσεις, οι οποίες κατά κύριο λόγω ανήκουν<br />
στον τομέα της τεχνολογίας / πληροφορικής (28,92%) και<br />
ακολουθούν ο Δημόσιος τομέας (16,27%) και ο Τραπεζικός<br />
/ Χρηματοοικονομικός (10,24%).<br />
Services μιας και τις εφαρμόζουν σχεδόν 33% από το δείγμα<br />
των εταιριών που συμμετείχαν.<br />
Διάγραμμα 2<br />
Το αποτύπωμα της εξ αποστάσεως εργασίας και<br />
των συνθηκών ασφάλειας<br />
Η 1η σχετική ερώτηση που αφορούσε το περιεχόμενο της<br />
ερευνάς, σχετίζονταν με το ποσοστό των εργαζομένων που<br />
εργάστηκε εξ’ αποστάσεως (κατά προσέγγιση) στις επιχειρήσεις<br />
και τους οργανισμούς, όπου άξιο αναφοράς αποτελεί<br />
ότι το 40 % του δείγματος αναφέρει ότι στην εταιρεία<br />
του εφαρμόστηκε remote working σε ποσοστό άνω του<br />
51% του προσωπικού, ενώ μόνο το 7.76 % απάντησε ότι<br />
δεν υπάρχει καμία μορφή τηλεργασίας όπως μπορείτε να<br />
διακρίνεται και στο διάγραμμα 1<br />
Διάγραμμα 1<br />
Στη σημαντική ερώτηση, αν η εταιρία σας αντιμετώπισε<br />
κάποια παραβίαση ασφάλειας στον κυβερνοχώρο ή<br />
στο μηχανογραφικό της σύστημα στην εποχή της πανδημίας,<br />
το 39 % απάντησε αρνητικά μιας υπάρχει μέριμνα για<br />
την ασφάλεια των συστημάτων, ενώ το 33 % των ερωτηθέντων<br />
θεωρεί ότι η εταιρεία στην οποία εργάζεται δεν<br />
αντιμετώπισε κάποια παραβίαση καθαρά λόγω τύχης.<br />
ΝΑΙ, με συνέπειες απάντησε σχεδόν 1% και ΝΑΙ, χωρίς<br />
συνέπειες το 15 % όπως βλέπουμε και στο διάγραμμα 3<br />
Διάγραμμα 3<br />
Σε ότι αφορά τη διασφάλιση της απομακρυσμένης εργασίας,<br />
σύμφωνα με την έρευνα, οι ελληνικές επιχειρήσεις<br />
φαίνεται να χρησιμοποιούν σε ποσοστό 70% κατά κύριο<br />
λόγο Anti-virus / Αnti-malware, Firewall και Backup<br />
and recovery ως επικρατέστερα συστήματα, ή υπηρεσίες<br />
ελέγχου ασφαλείας με μόλις το 27% να δηλώνει ότι κάνει<br />
χρήση κάποιου Data Loss Prevention (DLP) συστήματος.<br />
Έγινε λοιπόν εμφανής μια τάση των ελληνικών επιχειρήσεων,<br />
να στηρίζονται στην επιλογή του security στο reacting<br />
(αφού έχουν πάθει κάτι) παρά στο proacting (να προλάβουν<br />
καταστάσεις) ώστε να αποτρέψουν κάποιο πιθανό κίνδυνο<br />
που δεν θεωρούν απειλή.<br />
Με απλά λόγια έχουν και θέλουν εργαλεία για να αντιμετωπίσουν<br />
μια κυβερνοεπίθεση και όχι για να την αποφύγουν εξ<br />
‘αρχής! Από ότι φαίνεται και από το διάγραμμα 2, υπάρχει<br />
ακόμα σημαντικό πεδίο δράσης και για Managed <strong>Security</strong><br />
Oι απειλές ασφάλειας δεδομένων που ανησυχούν<br />
περισσότερο τους επαγγελματίες σε σχέση με το remote<br />
working είναι το ηλεκτρονικό ψάρεμα (phishing) με<br />
58 % - το κακόβουλο λογισμικό (malware) 55% - και η<br />
security<br />
13
T<strong>72</strong>11/12.2021<br />
Research<br />
κλοπή ευαίσθητων δεδομένων με 54 % όπως προέκυψε<br />
από σχετικό ερώτημα και διακρίνουμε στο διάγραμμα 4.<br />
Διάγραμμα 4<br />
Αναζητώντας την επόμενη μέρα<br />
Η έρευνα στόχευσε παράλληλα στο να καταγράψει τις τάσεις<br />
και τις προθέσεις της επόμενης ημέρας, εξάγοντας<br />
τα παρακάτω αποτελέσματα. Απαντώντας στο ερώτημα,<br />
πώς θα μεταβληθεί ο προϋπολογισμός ασφάλειας <strong>IT</strong><br />
(cyber-budget) της εταιρείας σας για τους επόμενους<br />
12 μήνες, με βάσει την εικόνα που έχετε σήμερα, όπως<br />
διακρίνουμε και από το διάγραμμα 6 το 44 % δήλωσε ότι<br />
θα αυξηθεί ενώ το 26% ότι θα παραμείνει ίδιος<br />
Διάγραμμα 6<br />
Ποιες διαδικασίες και εφαρμογές θεωρείτε ότι χρειάζεται<br />
να προστατευτούν καλύτερα κατά την απομακρυσμένη<br />
εργασία από την εταιρεία ή τον οργανισμό σας, ήταν<br />
το επόμενο ερώτημα της έρευνας με το 77% να δηλώνει<br />
τη διαμοίραση αρχείων (file sharing) και το 42% τα web<br />
applications, ενώ το 29% τα secure video conferencing<br />
tools όπως φαίνεται και στο διάγραμμα 5<br />
Διάγραμμα 5<br />
Στο ερώτημα ποια θεωρείται η μεγαλύτερη πρόκληση<br />
ασφάλειας για την εταιρεία/οργανισμό σε σχέση με την αύξηση<br />
των απειλών/επιθέσεων τους τελευταίους 12 μήνες,<br />
η συντριπτική πλειοψηφία επέλεξε την ενημέρωση και την<br />
εκπαίδευση των χρηστών (security awareness) – σε<br />
ποσοστό 74 %, ενώ σε υψηλές θέσεις βρίσκονται επίσης ο<br />
προσδιορισμός και η πρόβλεψη συμβάντων ασφάλειας<br />
(36%), καθώς επίσης και η άμεση ανταπόκριση σε επιθέσεις<br />
που βρίσκονται σε εξέλιξη (32%)<br />
Σύμφωνα με την άποψη των στελεχών των εταιριών, οι λύσεις<br />
και οι υπηρεσίες στις οποίες θα πρέπει να επενδύσουν<br />
περισσότερο για να απολαμβάνουν μεγαλύτερη ψηφιακή<br />
ασφάλεια, είναι κυρίως το <strong>IT</strong> security awareness<br />
training, το Firewall & Network protection και το Cloud<br />
<strong>Security</strong> και το Identity & Access management (IDaaS).<br />
Δείτε αναλυτικά τα αποτελέσματα σε αυτή την ερώτηση:<br />
<strong>IT</strong> security awareness training<br />
Firewall & Network Protection<br />
Cloud <strong>Security</strong><br />
Identity & Access management (IDaaS)<br />
Antivirus Protection<br />
Managed <strong>Security</strong> Services<br />
Application <strong>Security</strong><br />
Content Filtering<br />
Άλλο<br />
41,19%<br />
34,93%<br />
31,94<br />
31,34%<br />
16,12%<br />
14,63%<br />
12,54%<br />
4,78%<br />
1,49%<br />
Στην ερώτηση για το αν έχει επιταχύνει η πανδημία τη<br />
μετάβαση επιπρόσθετων ροών εργασίας ή εφαρμογών<br />
14 security
security<br />
15
T<strong>72</strong>11/12.2021<br />
Research<br />
σε υποδομές cloud για την εταιρεία ή τον οργανισμό το 57<br />
% απάντησε θετικά, ενώ σχετικά με τις πιο δημοφιλείς<br />
τεχνολογικές τάσεις, οι οποίες αναμένεται να παίξουν<br />
σημαντικό ρόλο τα επόμενα 2-3 χρόνια το Software<br />
as a Service (SaaS), βρίσκεται στη 1η θέση με 54% ενώ<br />
ακολουθούν με μικρή διαφορά μεταξύ τους το Artificial<br />
Intelligence for <strong>IT</strong> operations (AIOps) και το Secure<br />
Access Service Edge (SASE) με σχεδόν 39% όπως διακρίνουμε<br />
και στο διάγραμμα 7<br />
Διάγραμμα 7<br />
Tα ευρήματα της έρευνας σύμφωνα με τα στελέχη της<br />
Pylone Hellas, οδηγούν στο συμπέρασμα πως η απομακρυσμένη<br />
εργασία λόγω πανδημίας δημιούργησε μεγαλύτερη<br />
ζήτηση για cloud περιβάλλοντα και ταυτόχρονα μεγαλύτερη<br />
ανασφάλεια για θέματα security ανάμεσα στους<br />
επαγγελματίες όλων των κλάδων. Διαφαίνεται ότι πρώτα<br />
«ανέβηκαν» στο cloud και τώρα ψάχνουν λύσεις για το<br />
cloud security, ώστε να προστατευτούν λαμβάνοντας υπόψιν<br />
το shared responsibility model που υφίσταται από τον εκάστοτε<br />
cloud provider. Οι εταιρίες φαίνεται να δίνουν ιδιαίτερη<br />
έμφαση στο network security περισσότερο στη παρούσα<br />
φάση με το end point security να χρειάζεται να βγει στην<br />
επιφάνεια καθώς στην τηλεργασία είναι αναγκαία η ύπαρξη<br />
του. Με πολλές εταιρείες να συνεχίζουν το μοντέλο τηλεργασίας<br />
και στη μετά-covid εποχή, θεωρείται πλέον επιτακτική<br />
η ανάγκη όχι μόνο για υποδομές, αλλά και κατάλληλη<br />
εκπαίδευση σε θέματα cybersecurity awareness του τεχνικού<br />
προσωπικού, των ίδιων των χρηστών αλλά και της διοίκησης<br />
της κάθε επιχείρησης.<br />
16 security
security<br />
17
T<strong>72</strong>11/12.2021<br />
Cover Issue<br />
Zero Trust – Παίρνοντας πίσω τον<br />
έλεγχο των εταιρικών πόρων<br />
H έννοια της ασφάλειας μηδενικής εμπιστοσύνης (zero trust), η οποία χρονολογείται πάνω από<br />
μια δεκαετία όταν και ορίστηκε για πρώτη φορά το έτος 2010 από τους αναλυτές της Forrester –<br />
εμφανίζεται σταθερά όλο και πιο συχνά αναφορικά με το περιβάλλον των οργανισμών, ιδιαίτερα<br />
καθώς η πανδημία Covid-19 καθιστά την παραδοσιακή περίμετρο των δικτύων έννοια ξεπερασμένη.<br />
εξάλειψη - ή τουλάχιστον η μείωση - της<br />
Η<br />
εμπιστοσύνης στο δικτυακό περιβάλλον και<br />
των συσκευών που δυνητικά είναι συνδεδεμένες<br />
με αυτό, καθίσταται κρίσιμης σημασίας<br />
για τους οργανισμούς αναφορικά με τη δυνατότητά<br />
τους να αμυνθούν έναντι των πολλαπλασιαζόμενων<br />
απειλών ασφαλείας που έχουν εμφανιστεί στο σύγχρονο<br />
επιχειρησιακό περιβάλλον. Σύγχρονες εξελίξεις όπως<br />
το mobile computing, η εξ αποστάσεως εργασία και η επικράτηση<br />
του λογισμικού ως υπηρεσίας (Software as a Service -<br />
SaaS) σημαίνει ότι η παραδοσιακή περιμετρική ασφάλεια<br />
δεν μπορεί να θεωρηθεί πια επαρκής. Η έννοια της μηδενικής<br />
εμπιστοσύνης περιγράφει την ανάγκη αντιμετώπισης ολοένα<br />
και πιο περίπλοκων απαιτήσεων ασφάλειας που ασκούν<br />
αυξανόμενη πίεση στα μέτρα και μηχανισμούς ασφαλείας των<br />
οργανισμών που βασίζονται στην περιφέρεια των δικτύων.<br />
Μηδενική Εμπιστοσύνη δεν σημαίνει Έλλειμα<br />
Εμπιστοσύνης<br />
Το μοντέλο ασφάλειας μηδενικής εμπιστοσύνης σημαίνει<br />
ότι ουδείς και τίποτα δεν είναι αξιόπιστο εκτός ή εντός του<br />
δικτύου ενός οργανισμού, επομένως πρέπει να τεθούν σε<br />
εφαρμογή κατάλληλοι έλεγχοι για τη μείωση του κινδύνου<br />
μη εξουσιοδοτημένης πρόσβασης σε αποδεκτό επίπεδο. Με<br />
άλλα λόγια, το μοντέλο αυτό επιτάσσει την εφαρμογή μηχανισμών<br />
άμυνας σε βάθος (defense in depth).<br />
Η υλοποίηση μηχανισμών μηδενικής εμπιστοσύνης, αλλάζει<br />
το παραδοσιακό μοντέλο της «εμπιστοσύνης, αλλά επαλή-<br />
18 security
Παναγιώτης Καλαντζής<br />
Cyber <strong>Security</strong> & Data Privacy Expert<br />
θευσης (trust but verify)» – όπου υποθέτετέ ότι οποιαδήποτε<br />
συσκευή ή περιουσιακό στοιχείο που είναι συνδεδεμένο στο<br />
εσωτερικό δίκτυο ενός οργανισμού έχει πιθανότατα εξουσιοδότηση<br />
πρόσβασης σε πόρους του οργανισμού, αλλά σε<br />
κάθε περίπτωση η εξουσιοδότηση υπόκειται επαλήθευσης<br />
– σε ένα μοντέλο «ποτέ μην εμπιστεύεστε, πάντα επαληθεύστε»<br />
– όπου κάθε συσκευή πρέπει να περάσει ελέγχους<br />
ταυτότητας και πολιτικής ασφαλείας για πρόσβαση σε<br />
οποιουσδήποτε εταιρικούς πόρους και για έλεγχο της πρόσβασης<br />
μόνο στο βαθμό που απαιτείται.<br />
Με άλλα λόγια, αντίθετα με το παραδοσιακό μοντέλο, όπου<br />
όλοι οι χρήστες είναι αξιόπιστοι αφού εισέλθουν την περίμετρο<br />
του δικτύου, στο μοντέλο μηδενικής εμπιστοσύνης,<br />
κανένας χρήστης ή συσκευή δεν είναι αξιόπιστος μόνο<br />
και μόνο επειδή έχει συνδεθεί στο δίκτυο του οργανισμού.<br />
Αντίθετα, απαιτείται αυστηρός έλεγχος ταυτότητας<br />
και εξουσιοδότηση χρήστη και συσκευής σε όλο το δίκτυο<br />
για την επαλήθευση της ταυτότητας και των δικαιωμάτων<br />
πρόσβασης του ατόμου ή της οντότητας που ζητά πρόσβαση.<br />
Η ασφάλεια μηδενικής εμπιστοσύνης αφορά τον αναλυτικό<br />
έλεγχο ταυτότητας και την εξουσιοδότηση με βάση τις παρα-<br />
μέτρους κάθε αιτήματος πρόσβασης σε ένα περιβάλλον, είτε<br />
τοπικά, είτε στο cloud, είτε σε υβριδικό περιβάλλον, με αξιολόγηση<br />
παραμέτρων κατά τον χρόνο εκτέλεσης σχετικών με<br />
τα χαρακτηριστικά χρήστη, συσκευής, εφαρμογής και δεδομένων<br />
σε σχέση με τις πολιτικές ελέγχου πρόσβασης. Αποτελεί<br />
την απόλυτη ενσάρκωση της αρχής του ελάχιστου προνομίου<br />
(least privilege) περιορίζοντας την πρόσβαση μόνο<br />
σε αυτούς που είναι αναγκαίο για να κάνουν τη δουλειά τους,<br />
μειώνοντας έτσι την ευκαιρία για τους κακόβουλους επιτιθέμενους<br />
να μετακινούνται μέσα στο δίκτυο του οργανισμού.<br />
Το μοντέλο μηδενικής εμπιστοσύνης επιτρέπει στους υπεύθυνους<br />
ασφάλειας των οργανισμών να επανακτήσουν κατά<br />
κάποιο τρόπο τον έλεγχο. Η μετάβαση στη μηδενική<br />
εμπιστοσύνη δημιουργεί τις προϋποθέσεις ώστε η ασφάλεια<br />
των πληροφοριών να ανακτήσει τον έλεγχο των πολλών νέων<br />
περιμέτρων του εταιρικού οικοσυστήματος. Μετατοπίζει<br />
την ασφάλεια από το επίπεδο διεύθυνσης και τοποθεσίας, σε<br />
ένα μοντέλο με επίκεντρο τα δεδομένα, ενώ η εγγενής τμηματοποίηση<br />
των δικτύων μηδενικής εμπιστοσύνης παρέχει<br />
επίσης ορατότητα στην κίνηση των δεδομένων και επιτρέπει<br />
στον οργανισμό να κατανοήσει τα «ποιος, τι, πότε, πού, για-<br />
security<br />
19
T<strong>72</strong>11/12.2021<br />
Cover Issue<br />
τί και πώς», τα οποία είναι σημαντικά για τη διαχείριση της<br />
πρόσβασης, της ασφάλειας, της παρακολούθησης και της<br />
συνολικότερης συμμόρφωσης του οργανισμού.<br />
Στοιχεία και οφέλη μιας αρχιτεκτονικής<br />
μηδενικής εμπιστοσύνης<br />
Το μοντέλο μηδενικής εμπιστοσύνης συνήθως συνδυάζει τα<br />
παρακάτω στοιχεία ελέγχου για τη διαχείριση της συσκευής,<br />
του χρήστη και του επιπέδου εμπιστοσύνης για οποιονδήποτε<br />
επιθυμεί πρόσβαση σε εταιρικούς πόρους:<br />
• Ενιαία διαχείριση τελικού σημείου - Η δυνατότητα<br />
επιβολής και παρακολούθησης της συμμόρφωσης<br />
όλων των συσκευών τερματικού σημείου, είτε ανήκουν<br />
σε εταιρεία, είτε στους υπάλληλους αν ακολουθείται<br />
η προσέγγιση Φέρετε τη Δική σας Συσκευή –<br />
Bring your Own Device / BYOD). Αυτό σημαίνει ότι ο<br />
οργανισμός γνωρίζει τα χαρακτηριστικά της συσκευής<br />
και συγκεκριμένες απειλές για την ασφάλεια που<br />
αυτά μπορεί να επιφέρουν, όπως ένα λειτουργικό<br />
σύστημα συσκευής που είναι ξεπερασμένο.<br />
• Single sign-on - Ένα μοναδικό σημείο σύνδεσης του<br />
χρήστη και μεταβίβαση πλήρως επικυρωμένων διαπιστευτηρίων<br />
από σύστημα σε σύστημα. Μια ενιαία εκδοχή<br />
της ταυτότητας του χρήστη, και ένα μόνο σημείο<br />
εισόδου που επικυρώνει τα διαπιστευτήρια του χρήστη<br />
και καταγράφει την πρόσβαση εντός και εκτός εταιρικών<br />
συστημάτων, είναι σημαντική για μια εύκολη εμπειρία<br />
χρήσης σε περιβάλλον μηδενικής εμπιστοσύνης.<br />
• Έλεγχος ταυτότητας πολλαπλών παραγόντων<br />
- Μια αξιόπιστη συσκευή, ένας μηχανισμός ταυτοποίησης<br />
πολλαπλών παραγόντων, ένα βιομετρικό<br />
χαρακτηριστικό, ανάλυση συμπεριφοράς, δεδομένα<br />
τοποθεσίας, περιορισμοί βάσει χρόνου κ.λπ. . Όταν η<br />
ταυτότητα και τα δικαιώματα πρόσβασης κάθε χρήστη<br />
πρέπει να επικυρωθούν, το να βασίζεται κάποιος σε<br />
έναν μόνο παράγοντα δεν αποτελεί πλέον επιλογή.<br />
Μια προσέγγιση και υλοποίηση ενός μοντέλου μηδενικής<br />
εμπιστοσύνης στην ασφάλεια των οργανισμών εμφανίζει τα<br />
ακόλουθα οφέλη, που μπορούν να συνοψιστούν ως εξής:<br />
• Δυναμική εξασφάλιση της σύνδεσης μεταξύ χρήστη /<br />
συσκευής και πόρου / εφαρμογής.<br />
• Διευκόλυνση της παροχής και της ενεργοποίησης<br />
της ασφάλειας πρόσβασης σε υβριδικά περιβάλλοντα<br />
πολλαπλών παρόχων υπολογιστικής νέφους.<br />
• Μείωση των απειλών ασφαλείας και των επιθέσεων<br />
εντός του δικτύου του οργανισμού.<br />
• Βελτίωση του ελέγχου του επιπέδου συμμόρφωσης των<br />
δραστηριοτήτων πρόσβασης εντός του οργανισμού.<br />
Στρατηγική υλοποίησης ενός μοντέλου<br />
μηδενικής εμπιστοσύνης<br />
Πρέπει, βέβαια, να γίνει κατανοητό σε όλους, ότι η προσέγγιση<br />
μηδενικής εμπιστοσύνης δεν είναι μια πρόταση με το<br />
κλειδί στο χέρι. Οι οργανισμοί πρέπει να δημιουργήσουν<br />
μια στρατηγική μηδενικής εμπιστοσύνης που να εξετάζει τον<br />
τρόπο με τον οποίο ο οργανισμός θα προσεγγίσει και ποιος<br />
θα ηγηθεί της προσπάθειας, μεταξύ άλλων σημαντικών παραγόντων.<br />
Ωστόσο, πριν ξεκινήσει ο προγραμματισμός, είναι<br />
απαραίτητο η ομάδα ασφάλειας του οργανισμού να βρίσκεσαι<br />
σε ευθυγράμμιση τόσο με την στρατηγική του οργανισμού,<br />
όσο και με τις μοναδικές ανάγκες και χαρακτηριστικά<br />
αυτού, που δυνητικά θα καθορίσουν και τα χαρακτηριστικά<br />
της υλοποίησης του μοντέλου μηδενικής εμπιστοσύνης.<br />
• Η μηδενική εμπιστοσύνη είναι πολύ λεπτομερής. Μόνο<br />
η ελάχιστη δυνατή πρόσβαση παρέχεται στη μικρότερη<br />
μονάδα πόρων.<br />
• Η μηδενική εμπιστοσύνη είναι δυναμική. Η εμπιστοσύνη<br />
επαναξιολογείται συνεχώς μέσω της αλληλεπίδρασης<br />
μεταξύ χρήστη και πόρου.<br />
• Η μηδενική εμπιστοσύνη είναι από άκρη σε άκρη. Η<br />
ασφάλεια εκτείνεται από την αιτούσα οντότητα έως<br />
τον πόρο που ζητήθηκε.<br />
• Η μηδενική εμπιστοσύνη είναι ανεξάρτητη από προϋπάρχουσες<br />
ταξινομήσεις. Οι όροι εντός και εκτός<br />
περιμέτρου δεν έχουν καμία σημασία στον κόσμο της<br />
μηδενικής εμπιστοσύνης.<br />
Από τη στιγμή που έχουν καθοριστεί και συμφωνηθεί τα παραπάνω<br />
χαρακτηριστικά, οι ομάδες ασφάλειας πληροφορικών<br />
του οργανισμού μπορούν να δημιουργήσουν μια στρατηγική<br />
βασισμένη σε έξι βήματα.<br />
Βήμα 1. Δημιουργία αποκλειστικής ομάδας μηδενικής εμπιστοσύνης<br />
- Η μηδενική εμπιστοσύνη είναι μια από τις πιο σημαντικές<br />
πρωτοβουλίες που μπορεί να αναλάβει ένας οργα-<br />
20 security
security<br />
21
T<strong>72</strong>11/12.2021<br />
Cover Issue<br />
νισμός. Για το λόγο αυτό, αντί να καταστεί η "μετακίνηση στη<br />
μηδενική εμπιστοσύνη" μια εργασία που κατατάσσεται μεταξύ<br />
των υπόλοιπων υποχρεώσεων όλων, η δημιουργία μιας<br />
μικρής ομάδας που έχει επιφορτιστεί με τον σχεδιασμό και<br />
την εφαρμογή της μετεγκατάστασης μηδενικής εμπιστοσύνης<br />
είναι απαραίτητη. Αυτή η ομάδα θα πρέπει να περιλαμβάνει<br />
μέλη από τις ομάδες επιφορτισμένες με την υλοποίηση<br />
και υποστήριξη εφαρμογών και ασφάλειας δεδομένων,<br />
ασφάλειας δικτύου και υποδομής, καθώς και ταυτότητας<br />
χρήστη και συσκευής, επειδή αυτές οι περιοχές είναι οι τρεις<br />
πιο κομβικές για τον σχεδιασμό και την υλοποίηση ενός μοντέλου<br />
μηδενικής εμπιστοσύνης. Η ομάδα θα πρέπει επίσης<br />
να περιλαμβάνει μέλη από τις ομάδες λειτουργιών ασφαλείας<br />
και τη διαχείριση κινδύνων.<br />
Βήμα 2. Αξιολόγηση του περιβάλλοντος - Η κατανόηση των<br />
ελέγχων σε όλο το περιβάλλον θα κάνει την ανάπτυξη μιας<br />
στρατηγικής μηδενικής εμπιστοσύνης απλούστερη, με την<br />
προϋπόθεση ότι θα είναι ξεκάθαρα τα κάτωθι σημεία. Σε ένα<br />
περιβάλλον δικτύου, οι μηχανισμοί ασφάλειας και τα στοιχεία<br />
ελέγχου περιλαμβάνουν τείχη προστασίας, πύλες εφαρμογών<br />
web και άλλους σχετικούς μηχανισμούς. Σε ένα περιβάλλον<br />
χρήστη/ταυτότητας, τα στοιχεία ελέγχου μπορεί να είναι<br />
ασφάλεια τελικού σημείου -- εντοπισμός και απόκριση τελικού<br />
σημείου ή εκτεταμένη ανίχνευση και απόκριση -- και διαχείριση<br />
ταυτότητας και πρόσβασης. Σε ένα περιβάλλον εφαρμογών<br />
και δεδομένων, αυτά περιλαμβάνουν ασφάλεια κοντέινερ,<br />
πρόληψη απώλειας δεδομένων, εξουσιοδότηση μικροϋπηρεσιών<br />
και άλλους αντίστοιχους μηχανισμούς ελέγχου.<br />
Είναι αδύνατο να σχεδιαστεί στον απαραίτητο βαθμό λεπτομέρειας<br />
η αναλυτική πρόσβαση στα δεδομένα εάν δεν προϋπάρχει<br />
κατανόηση σχετικά με την ταξινόμηση ασφαλείας<br />
αυτών των δεδομένων. Τα μη ταξινομημένα δεδομένα αντιπροσωπεύουν<br />
ένα κενό γνώσης που θα πρέπει να αντιμετωπιστεί<br />
σε μια στρατηγική μηδενικής εμπιστοσύνης.<br />
Βήμα 3. Έλεγχος της διαθέσιμης τεχνολογίας - Είτε ταυτόχρονα<br />
είτε μετά την αξιολόγηση, η ανασκόπηση των αναδυόμενων<br />
τεχνολογιών που δίνουν την δυνατότητα υλοποίησης<br />
μοντέλων μηδενικής εμπιστοσύνης είναι εκ των ουκ άνευ. Ο<br />
σύγχρονος εξοπλισμός δικτύωσης επόμενης γενιάς περιλαμβάνει<br />
δυνατότητες όπως η βαθιά τμηματοποίηση - ή η μικροτμηματοποίηση<br />
- εικονική δρομολόγηση και διαχείριση συνδέσεων<br />
που μπορούν να μετατρέψουν αυτές τις συσκευές σε<br />
βασικά στοιχεία μιας αρχιτεκτονικής μηδενικής εμπιστοσύνης.<br />
Βήμα 4. Υλοποίησης βασικών πρωτοβουλιών μηδενικής<br />
εμπιστοσύνης - Σημαντικό σημείο είναι επίσης η σύγκριση<br />
των δυνατοτήτων της υπάρχουσας, υλοποιημένης τεχνολογίας<br />
στον οργανισμό, με τις αναγκαίες δυνατότητες για την<br />
υλοποίηση μοντέλων μηδενικής. Η σύγκριση αυτή, θα δώσει<br />
εναλλακτικές μεθόδους ανάπτυξης, ιεράρχησης και έναρξης<br />
πρωτοβουλιών όπως "αναβάθμιση της υπάρχουσας υποδομής<br />
δικτύου σε εξοπλισμό ικανό για βαθιά τμηματοποίηση<br />
δικτύου" ή "ανάπτυξη ελέγχου ταυτότητας μικροϋπηρεσιών".<br />
Βήμα 5. Ορισμός των λειτουργικών αλλαγών - Η στρατηγική<br />
μηδενικής εμπιστοσύνης μπορεί να αλλάξει θεμελιωδώς<br />
τις λειτουργίες ασφάλειας. Για παράδειγμα, καθώς οι εργασίες<br />
είναι αυτοματοποιημένες, οι αντίστοιχες μη αυτόματες<br />
εργασίες μπορεί να χρειαστεί να τροποποιηθούν ή να αυτοματοποιηθούν<br />
για να συμβαδίζουν και να αποτρέπονται κενά<br />
στην ασφάλεια.<br />
Βήμα 6. Εφαρμογή, μέτρηση, αξιολόγηση και επανάληψη -<br />
Καθώς ο οργανισμός αναπτύσσει νέες τεχνολογίες, η αξία<br />
τους είναι αναγκαίο να αξιολογηθεί σύμφωνα με υπάρχουσες<br />
ή νέες μετρικέ ασφαλείας, συμπεριλαμβανομένου του<br />
μέσου συνολικού χρόνου για τον περιορισμό των περιστατικών,<br />
ο οποίος θα μειώνεται δραματικά όσο πιο κοντά ένας<br />
οργανισμός πλησιάζει στη μηδενική εμπιστοσύνη.<br />
Αντίκτυπος και Προβληματισμοί<br />
Η συνάφεια και ο αντίκτυπος της υιοθέτησης της ασφάλειας<br />
μηδενικής εμπιστοσύνης μπορεί να συνοψιστεί ως εξής:<br />
• Η προσέγγιση μηδενικής εμπιστοσύνης στην ασφάλεια<br />
ισχύει για όλους τους οργανισμούς που επιδιώκουν<br />
να βελτιώσουν την ασφάλεια για το εργατικό<br />
δυναμικό και τις επιχειρήσεις που κατανέμονται όλο<br />
και περισσότερο.<br />
• Η μηδενική εμπιστοσύνη είναι ένα βασικό παράδειγμα<br />
αρχιτεκτονικής όσον αφορά τη διασφάλιση μελλοντικών<br />
υπολογιστικών περιβαλλόντων και την επιβολή<br />
της αρχής του ελάχιστου προνομίου με βάση την υπόθεση<br />
ότι κάθε δίκτυο, συσκευή και χρήστης είναι εχθρικό.<br />
22 security
security<br />
23
T<strong>72</strong>11/12.2021<br />
Cover Issue<br />
• Ο αντίκτυπος της μηδενικής εμπιστοσύνης θα είναι η<br />
βελτίωση της ασφάλειας μειώνοντας τον κίνδυνο<br />
μη εξουσιοδοτημένης πρόσβασης και συναφών<br />
παραβιάσεων δεδομένων.<br />
• Καθώς η μηδενική εμπιστοσύνη γίνεται πιο κοινή και<br />
διαδεδομένη, θα υπάρχει αυξανόμενη προσδοκία<br />
από τις ρυθμιστικές αρχές, τους συνεργάτες και<br />
τους πελάτες για τους οργανισμούς να εφαρμόσουν<br />
αυτήν την προσέγγιση στην ασφάλεια.<br />
Παρόλα τα προφανή πλεονεκτήματα, οι οργανισμοί σχετικά<br />
με την υιοθέτηση της μηδενικής εμπιστοσύνης λόγω του πιθανά<br />
υψηλού κόστους εφαρμογής ενός μοντέλου μηδενικής<br />
εμπιστοσύνης.<br />
Μια προσέγγιση που μπορεί να απαλύνει τους προβληματισμούς<br />
αυτούς, μπορεί να είναι η έμφαση στη σταδιακή<br />
εξέλιξη προς τις αρχές μηδενικής εμπιστοσύνης, ξεκινώντας<br />
από την ταυτότητα και άλλους θεμελιώδεις ελέγχους<br />
ασφάλειας και μειώνοντας την επιφάνεια επίθεσης χρησιμοποιώντας<br />
το υπάρχον αποτύπωμα ελέγχου του οργανισμού<br />
Με άλλα λόγια, προτείνεται μια σταδιακή προσέγγιση για την<br />
ανάπτυξη μηδενικής εμπιστοσύνης στους οργανισμούς, ξεκινώντας<br />
από τα υπάρχοντα συστήματα και μηχανισμούς<br />
ασφάλειας. Καθώς θα υλοποιείται το μοντέλο μηδενικής<br />
εμπιστοσύνης σε αυτούς τους τομείς, είναι δυνατή στη συνέχεια<br />
η επένδυση σε νέους τομείς, όπως η ενίσχυση του εύρους<br />
περιπτώσεων χρήσης παρακολούθησης ασφαλείας για<br />
την απόκτηση μεγαλύτερης ορατότητας, την αυτοματοποίηση<br />
των χειροκίνητων εργασιών ασφαλείας και την αύξηση της<br />
ωριμότητας μηδενικής εμπιστοσύνης.<br />
Η μηδενική εμπιστοσύνη συναντά την εξ<br />
αποστάσεως εργασία<br />
Η χρησιμότητα και η σημασία της προσέγγισης μηδενικής<br />
εμπιστοσύνης για την ασφάλεια έχει αυξηθεί σήμερα, και<br />
λόγω της πανδημίας, καθώς τα περιβάλλοντα πληροφορικής<br />
γίνονται όλο και περισσότερο αποκεντρωμένα και κατανεμημένα.<br />
Στη μετά τον Covid εποχή, αναμένουμε να δούμε<br />
μια ταχεία υιοθέτηση του μοντέλου μηδενικής εμπιστοσύνης,<br />
καθώς η εξ αποστάσεως εργασία γίνεται πιο κοινή<br />
και διαδεδομένη. Ένας αυξανόμενος αριθμός ανθρώπων θα<br />
εργάζεται εξ αποστάσεως, αποκτώντας πρόσβαση σε εταιρικούς<br />
πόρους και υπηρεσίες υπολογιστικού νέφους μέσω<br />
οικιακού Wi-Fi και διαδικτύου χρησιμοποιώντας ιδιόκτητες<br />
συσκευές και μη αξιόπιστα δίκτυα. Η δημοσίευση ενός οδικού<br />
χάρτη για την εφαρμογή μηδενικής εμπιστοσύνης<br />
από το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας<br />
των ΗΠΑ (SP 800-207) αναμένεται επίσης να βοηθήσει στην<br />
υιοθέτηση από οργανισμούς που αντιμετωπίζουν έναν αυξανόμενο<br />
αριθμό απαιτήσεων συμμόρφωσης για την εφαρμογή<br />
«λογικών» διαδικασιών και πρακτικών ασφαλείας .<br />
Αν και η μηδενική εμπιστοσύνη είναι ένα πλαίσιο και όχι ένα<br />
μεμονωμένο προϊόν ή υπηρεσία, οι προμηθευτές ασφάλειας<br />
στον κυβερνοχώρο προσαρμόζονται επίσης όλο και περισσότερο<br />
και επεκτείνουν τις προσφορές προϊόντων και υπηρεσιών<br />
τους για να υποστηρίξουν την υιοθέτηση μιας προσέγγισης<br />
μηδενικής εμπιστοσύνης, εισάγοντας νέες πλατφόρμες,<br />
συνδυάζοντας υπάρχουσες προσφορές και ακόμη<br />
και κάνοντας στρατηγικές εξαγορές.<br />
Επίλογος<br />
Αρκετές βασικές τάσεις οδηγούν την καινοτομία και την αλλαγή<br />
στην αγορά ασφάλειας στον κυβερνοχώρο, καθώς οι<br />
πάροχοι λογισμικού, υλικού και υπηρεσιών επιδιώκουν να<br />
ανταποκριθούν στις μεταβαλλόμενες ανάγκες ασφάλειας<br />
στον κυβερνοχώρο των επιχειρήσεων που δραστηριοποιούνται<br />
σε μια εξαιρετικά ανταγωνιστική παγκόσμια αγορά.<br />
Η ενεργή υιοθέτηση μιας προσέγγισης μηδενικής εμπιστοσύνης<br />
για την ασφάλεια στον κυβερνοχώρο είναι μία από τις<br />
μεγαλύτερες από αυτές τις τάσεις σε έναν ταχέως ψηφιοποιούμενο<br />
κόσμο μετά την Covid, επειδή καθώς οι χρήστες,<br />
οι συσκευές και ο φόρτος εργασίας των εφαρμογών<br />
κινούνται εκτός των ορίων του εταιρικού δικτύου, το παραδοσιακό<br />
μοντέλο επιβολής η ασφάλεια στην περίμετρο του<br />
δικτύου δεν είναι πλέον κατάλληλη. Οι οργανισμοί κατανοούν<br />
όλο και περισσότερο τη σημασία της υιοθέτησης μιας προσέγγισης<br />
για την ασφάλεια που διασφαλίζει ότι τα δεδομένα<br />
έχουν πρόσβαση σε όσους τα χρειάζονται για να κάνουν<br />
τη δουλειά τους, ανεξάρτητα από το πού εργάζονται,<br />
ενώ παράλληλα διασφαλίζουν την προστασία των δεδομένων<br />
με την επιβολή πολιτικών ασφαλείας.<br />
Υπό το πρίσμα των μεταβαλλόμενων απαιτήσεων για την<br />
ασφάλεια στον κυβερνοχώρο σε έναν κόσμο που γίνεται<br />
όλο και περισσότερο ψηφιακός, κατανεμημένος, κινητός<br />
και βασισμένος στο cloud, οι οργανισμοί τελικών χρηστών<br />
θα πρέπει:<br />
• Υιοθετήστε αρχές μηδενικής εμπιστοσύνης για να<br />
επιτρέψετε στους εργαζόμενους να έχουν πρόσβαση<br />
σε υπηρεσίες που βασίζονται σε cloud και σε υπηρεσίες<br />
εσωτερικής εγκατάστασης με ασφάλεια.<br />
• Αξιολογήστε το υπάρχον σύνολο εργαλείων<br />
ασφαλείας τους όσον αφορά την υποστήριξη μηδενικής<br />
εμπιστοσύνης, συμπληρώστε τυχόν κενά και<br />
αποσύρετε τα εργαλεία που δεν υποστηρίζουν μηδενική<br />
εμπιστοσύνη.<br />
24 security
security<br />
25
T<strong>72</strong>11/12.2021<br />
Issue<br />
Trust Issues<br />
The «commodity approach»<br />
Μέχρι σήμερα, στα περισσότερα πληροφοριακά δίκτυα η έννοια<br />
της ασφάλειας είχε την βάση της στην προσέγγιση “εμπιστέψου,<br />
αλλά επαλήθευσε”, γεγονός που βασιζόταν κυρίως<br />
πάνω σε μια ισχυρή αμυντική περίμετρο μιας εκάστοτε τοπολογίας<br />
του πληροφοριακού συστήματος.<br />
Στη συγκεκριμένη αρχιτεκτονική, οτιδήποτε εμπεριέχεται μέσα<br />
στο ίδιο δίκτυο θεωρείται ασφαλές και αξιόπιστο. Έτσι λοιπόν,<br />
κάθε διαχειριστής παραχωρεί πρόσβαση σε συγκεκριμένους<br />
χρήστες για υπηρεσίες ή δεδομένα που αυτοί επιθυμούν.<br />
Στο μοντέλο αυτό, η ασφάλεια βασίζεται σε τεχνολογίες που<br />
χρησιμοποιούνται ως επί το πλείστον σε τοπικά δίκτυα, όπως<br />
για παράδειγμα firewalls ids (intrusion detection systems)<br />
και φυσικά σε τεχνολογίες διαχείρισης ξεχωριστών accounts<br />
και τοπικών πόρων μας, όπως για παράδειγμα το Active<br />
Directory.<br />
Αυτοί που αιτούνται πρόσβαση στην πληροφορία (φυσικά<br />
πρόσωπα, υπηρεσίες ή συσκευές) θα πρέπει πρώτα να πιστοποιήσουν<br />
ποιοί είναι και στην συνέχεια τους παραχωρείται<br />
η αιτούμενη πρόσβαση. Η γενικότερη προσέγγιση και αρχιτεκτονική<br />
βασίζεται στη γενική παραδοχή πως οτιδήποτε<br />
είναι μέσα στο δίκτυό μας θεωρείται βασικά ασφαλές και ως<br />
εκ τούτου επιλέξιμο για να χρησιμοποιήσει τους πόρους μας.<br />
The complex present<br />
Ωστόσο, σήμερα τα δίκτυα έχουν γίνει εξαιρετικά σύνθετα<br />
και περίπλοκα. Τα δεδομένα μιας επιχείρησης και οι υπηρεσίες<br />
της θα πρέπει να προστατευθούν με τον καλύτερο δυνατό<br />
τρόπο. Έτσι λοιπόν, είναι σύνηθες κάποιο πληροφοριακό<br />
σύστημα να συμπεριλαμβάνει δεδομένα και υπηρεσίες<br />
που βρίσκονται τόσο σε τοπικό επίπεδο όσο και στο cloud ή<br />
πιθανόν σε άλλα δίκτυα.<br />
Οι χρήστες που αιτούνται πρόσβαση μπορεί να είναι εσωτερικοί<br />
χρήστες του δικτύου μας ή μπορεί να είναι εξωτερικοί<br />
επισκέπτες και συνεργάτες από οποιοδήποτε μέρος του κόσμου.<br />
Οι τεχνολογίες που περιγράψαμε προηγουμένως, πολύ<br />
δύσκολα θα μπορούσαν να καλύψουν όλες αυτές τις νέες<br />
απαιτήσεις και την ίδια στιγμή να προσφέρουν αξιοπιστία και<br />
ταχύτητα στη διαχείριση της πληροφορίας.<br />
Μέσα από αυτές τις νέες συνθήκες λοιπόν, γεννήθηκε η αρχιτεκτονική<br />
zero trust model, η οποία πλέον αποτελεί κοινή<br />
πρακτική. Κάθε provider ή κατασκευαστής που παρέχει λύσεις<br />
και υπηρεσίες τόσο σε τοπικό επίπεδο όσο και στο cloud,<br />
τείνει να υιοθετήσει αυτή την προσέγγιση.<br />
Παρόλο που η τεχνική υλοποίηση, οι τεχνολογίες, ακόμη και<br />
η ίδια η ορολογία που χρησιμοποιείται ανά εταιρεία είναι πιθανόν<br />
να αλλάζουν, η φιλοσοφία παραμένει η ίδια.<br />
26 security
Του Aντώνη Ψαράκη<br />
Head of Cloud Transformation Services Algosystems S.A.<br />
www.algosystems.gr<br />
Never Trust, Always Verify<br />
Ποτέ μην εμπιστεύεσαι, πάντα να επιβεβαιώνεις. Η συγκεκριμένη<br />
προσέγγιση γίνεται ολοένα και πιο δημοφιλής καθώς<br />
αυξάνεται η συνδεσιμότητα ανάμεσα στα πληροφοριακά συστήματα<br />
(τόσο σε τοπικό επίπεδο όσο και στο cloud) και οι<br />
απαιτήσεις για ασφάλεια και καλή λειτουργία γιγαντώνονται.<br />
Ένας σημαντικός λόγος που η συγκεκριμένη αρχιτεκτονική<br />
είναι τόσο διαδεδομένη, είναι οι νέες αυξημένες ανάγκες<br />
που έχουν προκύψει από τον Covid-19. Οι ανάγκες των εργαζομένων<br />
να δουλέψουν απομακρυσμένα και να χρησιμοποιήσουν<br />
ταυτόχρονα τις εταιρικές τους υπηρεσίες και<br />
δεδομένα κάνει ακόμα πιο επιτακτική την νέα προσέγγιση.<br />
Το zero trust model προσφέρει μια βάση για ελεγχόμενη<br />
προσέγγιση για οργανισμούς που «αγωνίζονται» να συμβαδίσουν<br />
με τον νέο ψηφιακό μετασχηματισμό.<br />
Υπάρχουν τρεις βασικοί άξονες προσέγγισης και υλοποίησης<br />
της εν λόγω αρχιτεκτονικής.<br />
1. Επαληθεύστε ξεχωριστά την κάθε πρόσβαση<br />
2. Χρησιμοποιήστε όσο το δυνατόν πιο περιορισμένα δικαιώματα<br />
στην κάθε είδους πρόσβαση<br />
3. Υποθέστε το χειρότερο σενάριο παραβίασης.<br />
Επαλήθευση στοιχείων ή λογαριασμών σημαίνει πως<br />
πρέπει να πιστοποιούμε την αυθεντικότητα του αιτούντος<br />
κάθε φορά που ζητά πρόσβαση, με βάση όλα τα διαθέσιμα<br />
στοιχεία και πηγές.<br />
Δεν εμπιστευόμαστε χρήστες ή συσκευές. Επαληθεύουμε<br />
οτιδήποτε ισχυρίζεται πως είναι αυτό που λέει πως είναι<br />
(χρήστης ή συσκευή).<br />
Η χρήση περιορισμένης πρόσβασης σημαίνει πως πρέπει<br />
να την περιορίσουμε στον μικρότερο δυνατό χρόνο (just<br />
in time), με τα λιγότερα δυνατά δικαιώματα (just enough<br />
access).<br />
Assume breach (υπόθεσε παραβίαση), σημαίνει πως περιορίζουμε<br />
την ζημία σε όσο το δυνατόν μικρότερο εύρος στο<br />
συγκεκριμένο resource, π.χ. database ή στο συγκεκριμένο<br />
τμήμα της εταιρείας. Σε κάθε περίπτωση, κάνουμε όσο το<br />
δυνατόν πιο δύσκολη για τον εισβολέα την προσπάθειά του<br />
να κινηθεί στο δίκτυό μας, στις υπηρεσίες μας, στα δεδομένα<br />
μας και στο περιβάλλον μας.<br />
Πιο συγκεκριμένα, παρακάτω ακολουθούν τα σημεία που χρειάζεται<br />
να εξασφαλίσουμε σε ένα πληροφοριακό περιβάλλον:<br />
• Ταυτοποίηση (Identity)<br />
• Σημεία προσέγγισης (Endpoints)<br />
• Εφαρμογές (Applications)<br />
• Δεδομένα (Data)<br />
• Τεχνική υποδομή (Infrastructure)<br />
• Δίκτυα (Networks)<br />
Με τον όρο Identity , εννοούμε οποιαδήποτε συσκευή ή λογαριασμό<br />
χρήστη θελήσει να έχει πρόσβαση σε οποιοδήποτε<br />
πόρο του συστήματός μας. Υπολογίζουμε την πρόσβαση με<br />
τα μικρότερα δυνατά δικαιώματα.<br />
Endpoints (Σημεία προσέγγισης). Συνυπολογίζουμε οποιαδήποτε<br />
πρόσβαση σε σημείο επικοινωνίας και ανταλλαγής<br />
δεδομένων. Από την κάθε συσκευή, στην κάθε υπηρεσία,<br />
από τον κάθε λογαριασμό σε οποιοδήποτε σημείο άντλησης<br />
και ανταλλαγής πληροφορίας. Αυτό από μόνο του δημιουργεί<br />
μια τεράστια δια-λειτουργικότητα που πρέπει να καλυφθεί με<br />
κάθε λεπτομέρεια.<br />
Εφαρμογές και APIs ( Application Programming Interface)<br />
όπου χρησιμοποιούν οποιασδήποτε μορφής δεδομένα. Κάθε<br />
εφαρμογή ή υπηρεσία που χρησιμοποιεί τα δεδομένα μας<br />
με οποιαδήποτε τρόπο, θα πρέπει να ελεγχθεί και να οριστούν<br />
τα μικρότερα δυνατά δικαιώματα πρόσβασης. Επίσης,<br />
θα χρειαστεί να τοποθετηθούν κατάλληλοι μηχανισμοί<br />
παρακολούθησης (auditing, monitoring, analytics) ώστε ανά<br />
πάσα στιγμή χρειαστεί να ανατρέξουμε σε πληροφορίες, να<br />
είμαστε σε θέση να τις ανακτήσουμε και αυτές να αφορούν<br />
σε διάφορα πιθανά συμβάντα.<br />
Τα δεδομένα μας και ο τρόπος που αυτά αποθηκεύονται θα<br />
πρέπει να ελεγχθούν, να κατηγοριοποιηθούν και να περιοριστεί<br />
η προσβασιμότητά τους σε ρητά ορισμένες υπηρεσίες<br />
και κάτω υπό συγκεκριμένες συνθήκες.<br />
Η ασφάλεια των δικτύων μας και η ασφάλεια της γενικότερης<br />
υποδομής μας, είναι επίσης από τα πιο σημαντικά<br />
κομμάτια της αρχιτεκτονικής που περιγράψαμε.<br />
Συνοψίζοντας, θα έλεγα πως το μοντέλο μηδενικής<br />
εμπιστοσύνης προσφέρει μια βάση για πρόσφορη και<br />
ελεγμένη προσέγγιση σε Οργανισμούς που επιδιώκουν<br />
να συμβαδίσουν με τον ρυθμό του ψηφιακού μετασχηματισμού<br />
του σήμερα και του αύριο.<br />
security<br />
27
T<strong>72</strong>11/12.2021<br />
Issue<br />
Τι είναι το μοντέλο ασφαλείας<br />
Zero Trust, και γιατί υιοθετείται<br />
από ολοένα και περισσότερους<br />
οργανισμούς<br />
Η υιοθέτηση του μοντέλου ασφάλειας<br />
μηδενικής εμπιστοσύνης (Zero Trust)<br />
αρχίζει επιτέλους να αποκτά διαστάσεις.<br />
ο Φεβρουάριο του 2020 - πριν την έξαρση<br />
Τ<br />
της πανδημίας - έρευνα που πραγματοποιήθηκε<br />
από τους Cybersecurity Insiders και<br />
την Pulse Secure σε περισσότερους από 400<br />
υπεύθυνους για την ασφάλεια της πληροφορικής<br />
αποκάλυψε ότι το <strong>72</strong>% των οργανισμών, σχεδίαζαν είτε<br />
να αξιολογήσουν είτε να εφαρμόσουν το μοντέλο Zero Trust<br />
στη στρατηγική ασφαλείας τους κατά τη διάρκεια του έτους.<br />
Στη συνέχεια, το Μάιο του 2021, το Διάταγμα του προέδρου<br />
Μπάιντεν για τη Βελτίωση της Εθνικής Πολιτικής Κυβερνοασφάλειας<br />
αναγνώρισε την προβληματική κατάσταση<br />
του ομοσπονδιακού μοντέλου κυβερνοασφάλειας των ΗΠΑ<br />
και την ανάγκη εφαρμογής μιας Αρχιτεκτονικής Μηδενικής<br />
Εμπιστοσύνης (Zero Trust Architecture). Όμως, τι είναι το μοντέλο<br />
Zero Trust, τι απαιτείται για την εφαρμογή του και γιατί<br />
το ενδιαφέρον γι' αυτό είναι τόσο αυξημένο;<br />
Τι είναι το Zero Trust<br />
Σύμφωνα με τη Forrester, η οποία καθιέρωσε αυτόν τον όρο<br />
το 2010, σε αντίθεση με το παραδοσιακό, περιμετρικό μοντέ-<br />
λο ασφάλειας που βασίζεται στην παραδοχή "εμπιστεύσου<br />
αλλά επαλήθευσε", το Zero Trust λέει ότι οι οργανισμοί δεν<br />
πρέπει ποτέ να εμπιστεύονται καμία οντότητα, είτε εσωτερική<br />
είτε εξωτερική. Με άλλα λόγια, "ποτέ μην εμπιστεύεσαι,<br />
πάντα να επαληθεύεις". Το μοντέλο Zero Trust χτίζει την<br />
ασφάλεια γύρω από κάθε έναν από τους βασικούς πόρους<br />
και οντότητες ενός οργανισμού: δεδομένα, δίκτυα, συσκευές,<br />
workloads, και ανθρώπους.<br />
Σχήμα 1. Το μοντέλο<br />
μηδενικής εμπιστοσύνης<br />
δημιουργεί<br />
ασφάλεια γύρω από<br />
κάθε έναν από τους<br />
βασικούς πόρους<br />
ενός οργανισμού<br />
28 security
ESET Hellas<br />
www.eset.com/gr<br />
Στο παραδοσιακό μοντέλο ασφαλείας, ένας οργανισμός θεωρείται<br />
ουσιαστικά ένα κάστρο - που αντιπροσωπεύει το<br />
δίκτυο - το οποίο προστατεύεται από μια τάφρο. Σε μια τέτοια<br />
ρύθμιση, είναι δύσκολο να αποκτήσει κανείς πρόσβαση<br />
στους πόρους ενός οργανισμού από το εξωτερικό του δικτύου.<br />
Ταυτόχρονα, όλοι όσοι βρίσκονται μέσα στο δίκτυο<br />
θεωρούνται εξ ορισμού έμπιστοι. Το πρόβλημα με αυτή την<br />
προσέγγιση, ωστόσο, είναι ότι μόλις ένας επιτιθέμενος αποκτήσει<br />
πρόσβαση στο δίκτυο, και με αυτόν τον τρόπο γίνει<br />
εξ ορισμού έμπιστος, όλοι οι πόροι του οργανισμού είναι διαθέσιμοι<br />
να κατακτηθούν.<br />
Αντίθετα, το μοντέλο μηδενικής εμπιστοσύνης υποθέτει ότι<br />
οι επιτιθέμενοι βρίσκονται τόσο μέσα στο δίκτυο όσο και έξω<br />
από αυτό. Για το λόγο αυτό, η εμπιστοσύνη δεν μπορεί να δίνεται<br />
αδιακρίτως σε χρήστες και συσκευές από προεπιλογή.<br />
Σχήμα 2. Κινούμενο γράφημα<br />
που δίνει ένα παράδειγμα<br />
του παραδοσιακού μοντέλου<br />
ασφάλειας που βασίζεται στην<br />
περίμετρο<br />
Σχήμα 3 . Κινούμενο γράφημα που δίνει<br />
ένα παράδειγμα του μοντέλου ασφάλειας<br />
μηδενικής εμπιστοσύνης<br />
Τι πρέπει να κάνει ένας οργανισμός για να<br />
εφαρμόσει το μοντέλο Zero Trust;<br />
Υπάρχουν τρεις βασικοί τομείς ικανοτήτων που πρέπει να<br />
αναπτύξει ένας οργανισμός καθώς εφαρμόζει το μοντέλο<br />
μηδενικής εμπιστοσύνης:<br />
1. Ορατότητα: Πρέπει να προσδιορίσει τις συσκευές και<br />
τους πόρους που πρέπει να παρακολουθούνται και<br />
να προστατεύονται. Δεν είναι δυνατόν να προστατεύετε<br />
έναν πόρο τον οποίο δεν γνωρίζετε. Η δυνατότητα<br />
ορατότητας σε όλους τους πόρους και τα σημεία πρόσβασης<br />
είναι απαραίτητη.<br />
2. Πολιτικές: Πρέπει να καθιερώσει ελέγχους που επιτρέπουν<br />
μόνο σε συγκεκριμένα άτομα να έχουν πρόσβαση<br />
σε συγκεκριμένους πόρους υπό συγκεκριμένες<br />
συνθήκες. Με άλλα λόγια, πρέπει να αναπτύξει<br />
ένα λεπτομερές επίπεδο ελέγχων πολιτικής.<br />
3. Αυτοματισμός: Πρέπει να αυτοματοποιήσει τις διαδικασίες<br />
για να διασφαλίσει την ορθή εφαρμογή των<br />
πολιτικών και να μπορέσει ο οργανισμός να προσαρμοστεί<br />
γρήγορα σε τυχόν αποκλίσεις από τις τυποποιημένες<br />
διαδικασίες.<br />
Με βάση τις θεμελιώδεις δυνατότητες που περιγράφονται<br />
εδώ, μπορούμε να ορίσουμε το Zero Trust ως ένα μοντέλο<br />
ασφάλειας που χτίζει άμυνες γύρω από κάθε μία από τις<br />
ακόλουθες οντότητες: δεδομένα, δίκτυα, συσκευές, φόρτοι<br />
εργασίας και ανθρώπινο δυναμικό.<br />
Πού οφείλεται το ανανεωμένο ενδιαφέρον και η<br />
υιοθέτηση του μοντέλου Zero Trust;<br />
Σε ένα περιβάλλον μηδενικής εμπιστοσύνης, όχι μόνο διατηρείτε<br />
τον έλεγχο και τη γνώση όλων των δεδομένων σας (συνεχώς),<br />
αλλά σε περίπτωση παραβίασης της ασφάλειας, μπορείτε<br />
να εντοπίσετε γρήγορα πότε και από πού οι επιτιθέμενοι<br />
μπορεί να έχουν κλέψει τα δεδομένα σας, όπως εξηγεί η<br />
Forrester. Λαμβάνοντας υπόψη ότι η έκθεση 2020 Cost of a<br />
Data Breach Report της IBM και του Ponemon Institute αποκάλυψε<br />
ότι το μέσο κόστος από την παραβίαση δεδομένων<br />
παγκοσμίως ανέρχεται στα 3,86 εκατομμύρια δολάρια ΗΠΑ<br />
και ο μέσος χρόνος για τον εντοπισμό και τον περιορισμό μιας<br />
παραβίασης στις 280 ημέρες, το μοντέλο Zero Trust φαίνεται<br />
αν μη τι άλλο ελκυστικό.Από την άλλη, με τη συνεχή ανάπτυξη<br />
του φαινομένου bring your own device (BYOD) και της<br />
απομακρυσμένης εργασίας, όλο και περισσότεροι εργαζόμενοι<br />
πρέπει να έχουν πρόσβαση στους εσωτερικούς πόρους<br />
του οργανισμού τους από παντού και ανά πάσα στιγμή. Αξίζει<br />
να τονιστεί ότι κατά την πανδημία παρατηρήθηκε γιγαντιαία<br />
αύξηση των προσπαθειών επίθεσης brute-force κατά<br />
του πρωτοκόλλου απομακρυσμένης επιφάνειας εργασίας<br />
(RDP), γεγονός που καταδεικνύει το μεγάλο ενδιαφέρον<br />
των κυβερνοεγκληματιών να εκμεταλλευτούν την τρέχουσα<br />
κατάσταση της εφαρμογής της απομακρυσμένης εργασίας.<br />
Ένας άλλος παράγοντας που οδηγεί στη μεγαλύτερη διείσδυση<br />
του μοντέλου Zero Trust στην αγορά είναι η ευρεία υιοθέτηση<br />
και χρήση υπηρεσιών αποθήκευσης στο cloud. Το<br />
cloud συχνά φιλοξενεί τα δεδομένα, τους πόρους, ακόμη και<br />
τις κρίσιμες υπηρεσίες των οργανισμών.<br />
Τέλος, άλλοι παράγοντες που έχουν αποδειχθεί μοιραίοι για<br />
το μοντέλο ασφάλειας που βασίζεται στην περίμετρο είναι<br />
μεταξύ άλλων οι επιθέσεις στην αλυσίδα εφοδιασμού<br />
- όπως συνέβη με το NoxPlayer, έναν εξομοιωτή Android<br />
που χρησιμοποιούν οι παίκτες για να παίζουν παιχνίδια για<br />
κινητά στους υπολογιστές – η ανάθεση υπηρεσιών σε<br />
εξωτερικούς συνεργάτες (outsourcing) και βεβαίως,<br />
η εν δυνάμει απειλή που προέρχεται από τους ίδιους<br />
τους εργαζόμενους.<br />
security<br />
29
T<strong>72</strong>11/12.2021<br />
Issue<br />
Ο ρόλος των C-Level στελεχών<br />
στην επιτυχή εφαρμογή μοντέλου<br />
Zero Trust<br />
πό το 2010, όταν και εισήχθη από τον John<br />
Α<br />
Kindervag ως έννοια στον χώρο της Πληροφορικής,<br />
το «Zero Trust» αποτελεί θεμέλιο<br />
λίθο για την ανθεκτικότητα στον Κυβερνοχώρο.<br />
Δεν πρόκειται για ένα προϊόν<br />
ασφάλειας, μια τεχνολογία ή μια αρχιτεκτονική. Το Zero Trust,<br />
αφορά μια στρατηγική που διέπεται από ένα σύνολο διαδικασιών,<br />
οι οποίες με τη σειρά τους καθορίζουν τον τρόπο<br />
προσέγγισης της ασφάλειας μιας εταιρείας ή ενός οργανισμού,<br />
συνολικά.<br />
Βασικές αρχές της στρατηγικής Zero Trust<br />
Κύριος πυλώνας πάνω στο οποίο στηρίζεται το οικοδόμημα<br />
του μοντέλου Zero Trust, είναι το «ποτέ μην εμπιστεύεσαι,<br />
πάντα να επαληθεύεις». Υπό αυτό το πρίσμα και κάνοντας<br />
την παραδοχή ότι η περίμετρος μιας επιχείρησης νοείται<br />
πάντοτε ως μη ασφαλής και μη αξιόπιστη, η επιτυχία της<br />
εφαρμογής της στρατηγικής «μηδενικής εμπιστοσύνης»,<br />
έγκειται σε τρεις βασικές αρχές: α) Να πραγματοποιείται πάντα<br />
έλεγχος ταυτότητας και εξουσιοδότηση των χρηστών<br />
που ζητούν πρόσβαση σε ένα εταιρικό δίκτυο, β) να παρέχονται<br />
τα ελάχιστα δυνατά δικαιώματα πρόσβασης που κρίνονται<br />
απαραίτητα για την ολοκλήρωση μιας συγκεκριμένης<br />
εργασίας και γ) να πραγματοποιείται διαρκής παρακολούθηση<br />
και ανάλογες προσαρμογές, όπου και όταν απαιτείται.<br />
Η επιτυχία του Zero Trust είναι υπόθεση όλων<br />
Οι πολιτικές μηδενικής εμπιστοσύνης πρέπει να ισχύουν για<br />
όλους, ακόμη και για όσους βρίσκονται στην κορυφή του<br />
οργανογράμματος μιας εταιρείας. Κι αυτή είναι μια κρίσιμη<br />
παράμετρος που εν πολλοίς αποτελεί το «κλειδί» για την<br />
επιτυχή εφαρμογή του μοντέλου Zero Trust. Βλέπετε, στην<br />
πλειοψηφία τους οι CxOs θεωρούν ότι πρέπει να έχουν προνομιακή<br />
και απεριόριστη πρόσβαση σε όλο το φάσμα των<br />
εταιρικών εφαρμογών και δεδομένων και δυσανασχετούν σε<br />
μια τέτοια προσέγγιση. Ωστόσο, θα πρέπει να καταστεί σαφές<br />
30 security
Γράφει ο Ανδρέας Καραντώνης<br />
Director of Marketing and Communications, Cysoft Ltd<br />
www.cysoft.gr<br />
πως κατά την εφαρμογή μοντέλου Zero Trust και οι C-level<br />
χρήστες οφείλουν να έχουν την ίδια -αν όχι και πιο αυστηρή-<br />
αντιμετώπιση με όλους τους υπόλοιπους εργαζομένους<br />
μιας εταιρείας. Και υπάρχει μια πολύ λογική εξήγηση γι’ αυτό...<br />
Τα C-Level στελέχη είναι οι πλέον ευάλωτοι<br />
στόχοι<br />
Σε κάθε κακόβουλη απόπειρα προς μια επιχείρηση, τα<br />
υψηλόβαθμα στελέχη αποτελούν πρωταρχικό στόχο για<br />
τους κυβερνοεγκληματίες. Αυτό συμβαίνει διότι οι C-Level<br />
executives, έχουν συχνά λογαριασμούς με υψηλά προνόμια<br />
και οι ενέργειές τους μπορούν να οδηγήσουν σε μεγαλύτερες<br />
συνέπειες. Παράλληλα, τείνουν να εργάζονται πολλές<br />
ώρες, να λαμβάνουν σωρεία από ηλεκτρονικές επικοινωνίες<br />
και να διαθέτουν πολύτιμη φήμη. Όλα αυτά τα στοιχεία<br />
μαζί, συνιστούν την κορυφή του οργανογράμματος μιας επιχείρησης<br />
ως το πλέον τρωτό και ταυτόχρονα το καταλληλότερο<br />
σημείο εισόδου στο δίκτυό της, προκειμένου για να<br />
επιτευχθούν οι δόλιοι σκοποί επίδοξων κυβερνοεγκληματιών.<br />
Αναλογιστείτε απλώς ποιος είναι ο αντίκτυπος που θα<br />
έχει ένα ακούσιο «κλικ» ενός Διευθύνοντα Συμβούλου, σε<br />
έναν σύνδεσμο κακόβουλου λογισμικού. Λόγω των εγγενών<br />
υψηλών προνομίων του λογαριασμού του, το κακόβουλο<br />
λογισμικό θα τεθεί αμέσως σε ισχύ, με ό,τι αυτό συνεπάγεται<br />
για την ασφάλεια του οργανισμού.<br />
Ο ρόλος των <strong>IT</strong> managers και η βοήθεια της<br />
τεχνολογίας<br />
Το τελευταίο πράγμα που χρειάζονται οι οργανισμοί σήμερα,<br />
είναι η άρνηση των C-Level χρηστών να υιοθετήσουν το<br />
πλαίσιο μηδενικής εμπιστοσύνης και να ενεργούν σαν να μην<br />
ισχύουν για αυτούς οι ίδιοι κανόνες. Η χρήση της κατάλληλης<br />
τεχνολογίας, μπορεί να αποβεί καθοριστική ώστε ακόμα και<br />
τα πιο «δύσπιστα» στελέχη να πειστούν και να συνηγορήσουν<br />
στην κατάργηση της ανεξέλεγκτης πρόσβασης σε ευαίσθητες<br />
εταιρικές πληροφορίες. Κάπου εδώ, αναλαμβάνουν δράση οι<br />
<strong>IT</strong> managers με τη βοήθεια των τεχνολογικών εργαλείων.<br />
Όλη η επικοινωνία που περνά μέσα από το εταιρικό δίκτυο<br />
πρέπει να είναι κρυπτογραφημένη και κάθε ασυνήθιστη<br />
δραστηριότητα θα πρέπει να επισημαίνεται. Με μια ενοποιημένη<br />
λύση διαχείρισης των endpoints, οι <strong>IT</strong> managers<br />
μπορούν να επαληθεύουν την ταυτότητα των χρηστών, καθώς<br />
και την «υγεία» των συσκευών τους. Επιπλέον, με την<br />
παρακολούθηση όλων των προνομιακών συνεδριών, μπορούν<br />
να εντοπίζουν οποιαδήποτε ανώμαλη συμπεριφορά ή<br />
αποτυχημένες προσπάθειες σύνδεσης από λογαριασμούς<br />
των C-Level χρηστών. Έχοντας επίγνωση του πλαισίου για το<br />
Zero Trust και με τη βοήθεια του monitoring και των αναλυτικών<br />
στοιχείων συμπεριφοράς χρηστών, προκύπτουν<br />
διαφωτιστικές συσχετίσεις που δεν αφήνουν περιθώριο<br />
αμφισβήτησης.<br />
Το Zero Trust – οδηγός για το μέλλον της<br />
Κυβερνοασφάλειας<br />
Η κουλτούρα της απομακρυσμένης εργασίας που νομοτελειακά<br />
έχει περάσει στο DNA των επιχειρήσεων, καθώς και<br />
η ταχεία υιοθέτηση ενός υβριδικού εργασιακού περιβάλλοντος,<br />
δημιουργεί νέες προκλήσεις ασφάλειας. Το τοπίο<br />
των απειλών αυξάνεται, ενώ δημιουργούνται περισσότερες<br />
ευπάθειες και πολυπλοκότητες στην εταιρική υποδομή.<br />
Έτσι, το μοντέλο ασφάλειας κάθε οργανισμού, οφείλει να<br />
εναρμονιστεί με τις σύγχρονες απαιτήσεις.<br />
Ο σημαντικότερος παράγοντας επιτυχίας της εφαρμογής<br />
Zero Trust, είναι ο άνθρωπος. Κι όχι γιατί είναι ο «αδύναμος<br />
κρίκος» μιας επιχείρησης, αλλά γιατί πολύ απλά, είναι<br />
ο κύριος φορέας μιας επίθεσης. Γι’ αυτό και είναι επιτακτικός<br />
ο περιορισμός πρόσβασης στα εταιρικά δεδομένα, στο<br />
ελάχιστο δυνατό. Εξάλλου, το Zero Trust επιτρέπει στις επιχειρήσεις<br />
να λειτουργούν πιο αποτελεσματικά παρέχοντας<br />
καλύτερη ορατότητα και πρόσβαση σε αναλυτικό επίπεδο<br />
στους χρήστες, ενώ βοηθά στην ανάκληση της πρόσβασης<br />
σε οποιονδήποτε πόρο ανά πάσα στιγμή.<br />
Σε κάθε περίπτωση, η εφαρμογή της στρατηγικής Zero Trust<br />
απαιτεί σκληρή δουλειά, με εντατική παρακολούθηση<br />
και διαχείριση. Είναι όμως μια απαραίτητη προεργασία για<br />
τη διασφάλιση και ανθεκτικότητα των οργανισμών στις<br />
αναδυόμενες προκλήσεις και ταυτόχρονα ένα εργαλείο για<br />
τον ψηφιακό μετασχηματισμό τους, εξισορροπώντας την<br />
ασφάλεια και την εμπειρία των εργαζομένων.<br />
security<br />
31
T<strong>72</strong>11/12.2021<br />
Issue<br />
ZTNA - Το τελευταίο καρφί στο<br />
φέρετρο του VPN<br />
Για πολλά χρόνια, η απομακρυσμένη πρόσβαση VPN μας εξυπηρέτησε εξαιρετικά καλά.<br />
Παρόλα αυτά, με την ταχύτατη υϊοθέτηση της τηλεργασίας και της τηλεκπαίδευσης εξαιτίας<br />
της πανδημίας του νέου κορωνοϊού, οι περιορισμοί της γερασμένης αυτής τεχνολογίας έγιναν<br />
ακόμα πιο αισθητοί. Τους περιορισμούς αυτούς ήρθε να αντιμετωπίσει η Δικτυακή Πρόσβαση<br />
Μηδενικής Εμπιστοσύνης - Zero Trust Network Access (ZTNA).<br />
ν και ορισμένοι οργανισμοί εξακολουθούν<br />
Α<br />
να αξιοποιούν το VPN ωθώντας την τεχνολογία<br />
στα όρια της, είναι όλο και περισσότεροι<br />
οι οργανισμοί που πλέον αναζητούν<br />
μία καλύτερη εναλλακτική τεχνολογία,<br />
η οποία μπορεί να ανταπεξέλθει καλύτερα στις σημερινές<br />
προκλήσεις της τηλεργασίας, της τηλεκπαίδευσης και<br />
γενικότερα της απομακρυσμένης πρόσβασης.<br />
Πολλές επιχειρήσεις και οργανισμοί έχουν αρχίσει ήδη την<br />
μετάβαση στην επόμενης γενιάς τεχνολογία απομακρυσμένης<br />
πρόσβασης που έχει την ονομασία ZTNA ή Zero Trust<br />
Network Access. Η δικτυακή πρόσβαση μηδενικής εμπιστοσύνης<br />
προσφέρει πολύ καλύτερη ασφάλεια, ακόμα πιο<br />
λεπτομερή ή αναλυτικό έλεγχο, αυξημένη ορατότητα και μία<br />
διαφανή εμπειρία χρήσης σε σύγκριση με όσα προσφέρει σήμερα<br />
η απαρχαιωμένη τεχνολογία VPN.<br />
32 security
Γιώργος Καπανίρης<br />
Executive Director , NSS<br />
www.nss.gr<br />
Το απαρχαιωμένο VPN<br />
Το VPN αποτελεί βασικό στοιχείο των περισσότερων δικτύων<br />
εδώ και δεκαετίες, παρέχοντας μία ασφαλή μέθοδο πρόσβασης<br />
στα συστήματα και πόρους του εταιρικού δικτύου<br />
από μία απομακρυσμένη τοποθεσία. Παρόλα αυτά, η τεχνολογία<br />
αναπτύχθηκε σε μία εποχή που το εταιρικό δίκτυο<br />
έμοιαζε με μεσαιωνικό κάστρο ή οχηρό -με τα τείχη και<br />
την τάφρο να σχηματίζουν μία ασφαλή περίμετρο γύρω από<br />
τους πόρους στο εσωτερικό. Το VPN παρείχε -και εξακολουθεί<br />
να παρέχει για αρκετούς οργανισμούς- το αντίστοιχο<br />
μίας ασφαλούς πύλης για τους εξουσιοδοτημένους χρήστες<br />
ώστε να εισέλθουν στην ασφαλή περίμετρο. Παρόλα αυτά,<br />
μόλις εισέρχονταν, είχαν πλήρη πρόσβαση στα πάντα εντός<br />
της περιμέτρου. Και αυτό αποτελεί πρόβλημα.<br />
Τα δίκτυα έχουν εξελιχθεί σημαντικά, και σήμερα είναι περισσότερο<br />
κατανεμημένα από ποτέ. Εφαρμογές και δεδομένα<br />
τώρα βρίσκονται ενεργά στο cloud, οι χρήστες εργάζονται<br />
εξ αποστάσεως και τα δίκτυα βρίσκονται υπό διαρκή<br />
πολιορκία από επιτιθέμενους, κυβερνοεγκληματίες, χάκερ<br />
και απατεώνες οι οποίοι αναζητούν να ανακαλύψουν και την<br />
παραμικρή αδυναμία και ευπάθεια για να εκμεταλλευτούν.<br />
Η διαχείριση μιας λύσης απομακρυσμένης πρόσβασης που<br />
βασίζεται στην παραδοσιακή τεχνολογία VPN (IPSec/SSL) σε<br />
κάθε είδους σύγχρονο περιβάλλον έχει πολλές προκλήσεις<br />
και σε αρκετές περιπτώσεις μπορεί να γίνει εξαιρετικά επώδυνη<br />
για τις ομάδες ασφάλειας και πληροφορικής. Πρέπει να<br />
φροντίσουν για τη διαχείριση IP, τις ροές δεδομένων και τη<br />
δρομολόγηση, τους κανόνες πρόσβασης στο τείχος προστασίας,<br />
να φροντίσουν για την εγκατάσταση πιστοποιητικών σε<br />
διάφορες εφαρμογές και βεβαίως τη διαμόρφωση. Οτιδήποτε<br />
πέρα από μερικούς κόμβους και λίγους δεκάδες χρήστες<br />
μπορεί να φέρει τα πράγματα σε τέτοιο επίπεδο ώστε<br />
να ξεκινήσουμε να μιλάμε για πολύ χρονοβόρα διαδικασία,<br />
μόνο και μόνο για να εξακολουθήσει να λειτουργεί. Και αν<br />
κάτι τέτοιο μοιάζει σε ορισμένους «διαχειρίσιμο», η ασφάλεια<br />
μπορεί να γίνει πραγματικός εφιάλτης όσον αφορά την<br />
παρακολούθηση και τον έλεγχο. Συνοπτικά, η παραδοσιακή<br />
απομακρυσμένη πρόσβαση VPN συνοδεύεται από αρκετούς<br />
περιορισμούς και προκλήσεις.<br />
Καταρχήν, έχουμε το ζήτημα της «απεριόριστης εμπιστοσύνης».<br />
Μπορεί το VPN να κάνει πολύ καλή δουλειά στο να<br />
σας «περάσει» από την περίμετρο εντός του εταιρικού δικτύου<br />
σαν να είχατε φυσική παρουσία, ωστόσο σε αυτό το<br />
σημείο, θα απολαμβάνετε της πλήρους εμπιστοσύνης του<br />
οργανισμού σας καθώς θα έχετε ευρεία πρόσβαση σε εταιρικούς<br />
πόρους και αυτό είναι κάτι που παρουσιάζει μεγάλους<br />
αλλά και περιττούς κινδύνους για την ασφάλεια. Επειδή<br />
επίσης το VPN δεν έχει επίγνωση της κατάστασης της συσκευής<br />
που χρησιμοποιείται για τη σύνδεση με το εταιρικό<br />
δίκτυο, δημιουργεί μία δίοδο για την είσοδο απειλών εντός<br />
του εταιρικού δικτύου από συσκευές που ενδεχομένως είναι<br />
μολυσμένες ή παραβιασμένες. Και αυτό αποτελεί δυνητικό<br />
παράγοντα απειλής.<br />
Το VPN επίσης παρέχει ένα μοναδικό σημείο παρουσίας στο<br />
δίκτυο και αυτό ενδεχομένως καθιστά αναγκαία την οπισθόζευξη<br />
της κίνησης δεδομένων από πολλαπλές τοποθεσίες, κέντρα<br />
δεδομένων ή εφαρμογές διαμέσου της σήραγγας VPN.<br />
Επιπλέον, έχουμε τα ζητήματα της έλλειψης ορατότητας και<br />
της κακής, γενικότερα, εμπειρία χρήσης. Επειδή το VPN δεν<br />
έχει επίγνωση της κίνησης και των μοτίβων χρήσης που διευκολύνει,<br />
κάνει την ορατότητα στη δραστηριότητα των χρηστών<br />
και στη χρήση των εφαρμογών ακόμα πιο δύσκολη για<br />
τις ομάδες ασφάλειας και πληροφορικής. Επιπλέον, οι VPN<br />
clients επίσης είναι γνωστό ότι συνεισφέρουν σε προβλήματα<br />
υστέρησης και απόδοσης, συνδεσιμότητας και μεταφέρουν<br />
περιττά βάρη στην ομάδα υποστήριξης ενός οργανισμού.<br />
Τέλος, μένει η διαχείριση, η εφαρμογή ή το deployment<br />
και βεβαίως το enrollment των χρηστών. Η εγκατάσταση<br />
των VPN clients κάποιες φορές είναι σύνθετη, όπως επίσης<br />
η εφαρμογή τους, η εγγραφή ή διαγραφή των χρηστών κ.α.<br />
Απαιτούν ώρες από τις ομάδες διαχείρισης πληροφοριακών<br />
συστημάτων και άλλες τόσες από τις ομάδες ασφάλειας. Το<br />
VPN επιπλέον είναι δύσκολο στη διαχείριση του από πλευράς<br />
gateway ή firewall, ειδικά όταν έχεις να κάνεις με πολλαπλούς<br />
κόμβους, με κανόνες πρόσβασης στο firewall, με<br />
διαχείριση διευθύνσεων IP, με τον έλεγχο της κίνησης και<br />
την δρομολόγηση. Είναι μία εργασία πλήρους απασχόλησης !<br />
security<br />
33
T<strong>72</strong>11/12.2021<br />
Issue<br />
Τι είναι το ZTNA και πως λειτουργεί<br />
Η δικτυακή πρόσβαση μηδενικής εμπιστοσύνης, ZTNA ή αλλιώς<br />
Zero Trust Network Access, σχεδιάστηκε εξ αρχής για<br />
να αντιμετωπίσει όλες τις προκλήσεις και τους περιορισμούς<br />
του VPN, προσφέροντας μία καλύτερη λύση για<br />
τους απομακρυσμένους χρήστες, ώστε να συνδέονται με<br />
ασφάλεια στις εφαρμογές και στα δεδομένα που τους είναι<br />
απαραίτητα για να κάνουν τη δουλειά τους και τίποτα περισσότερο.<br />
Υπάρχουν ορισμένες θεμελιώδεις διαφορές μεταξύ<br />
του ZTNA και του VPN.<br />
Όπως υπονοεί και η ονομασία, το ZTNA βασίζεται στις αρχές<br />
της μηδενικής εμπιστοσύνης ή αλλιώς στη λογική του «μην<br />
εμπιστεύεσαι τίποτα, επικύρωσε τα πάντα». Η μηδενική<br />
εμπιστοσύνη, για να… επιστρέψουμε για λίγο στο παράδειγμα<br />
του μεσαιωνικού κάστρου που χρησιμοποίησα πιο<br />
πάνω, ουσιαστικά εξαλείφει την ιδέα του τείχους γύρω<br />
από το κάστρο και της περιμέτρου της τάφρου για να<br />
κάνει κάθε χρήστη, κάθε συσκευή και κάθε δικτυακή εφαρμογή<br />
να έχει τη δική του περίμετρο, με τη διασύνδεση τους<br />
να πραγματοποιείται μόνο αφότου έχει γίνει επικύρωση των<br />
διαπιστευτηρίων, επικύρωση της καλής κατάστασης της συσκευής<br />
σε σχέση με την ασφάλεια και του ελέγχου της πολιτικής<br />
πρόσβασης. Και το παραπάνω βελτιώνει δραματικά<br />
την ασφάλεια, την τμηματοποίηση (segmentation) και τον<br />
έλεγχο γενικότερα.<br />
Μία ακόμη σημαντική διαφορά που αφορά στον τρόπο λειτουργίας<br />
του ZTNA είναι ότι οι χρήστες δεν εισέρχονται<br />
στο δίκτυο με πλήρη προνόμια. Αντιθέτως, δημιουργούνται<br />
μεμονωμένοι δίοδοι μεταξύ του χρήστη και της συγκεκριμένης<br />
πύλης (gateway) για την εφαρμογή που έχουν<br />
εξουσιοδοτηθεί να έχουν πρόσβαση και τίποτα περισσότερο.<br />
Με αυτόν τον τρόπο, παρέχεται ένα περισσότερο ασφαλές<br />
επίπεδο μικρο-τμηματοποίησης. Και αυτό με τη σειρά του<br />
έρχεται με μία σειρά από οφέλη για την ασφάλεια,<br />
τον έλεγχο, την ορατότητα, την αποτελεσματικότητα<br />
και την απόδοση.<br />
Για να πάρετε μία ιδέα, η απομακρυσμένη<br />
πρόσβαση VPN παρέχει μηδενική πληροφόρηση<br />
για τις εφαρμογές που έχουν πρόσβαση<br />
οι χρήστες, όταν το ZTNA μπορεί να προσφέρει<br />
πληροφορίες για την κατάσταση και τη<br />
δραστηριότητα σε πραγματικό χρόνο για όλες<br />
τις εφαρμογές σας, κάτι που αποδεικνύεται<br />
ανεκτίμητο για τον εντοπισμό πιθανόν ζητημάτων<br />
ή την εκτέλεση ελέγχων άδειας χρήσης.<br />
Αυτή η μικρο-τμηματοποίηση που παρέχει το<br />
ZTNA διασφαλίζει ότι δεν υπάρχει πλευρική<br />
κίνηση ή πρόσβαση χρήστη μεταξύ πόρων εντός του δικτύου.<br />
Κάθε χρήστης, συσκευή, εφαρμογή ή πόρος, βρίσκεται<br />
κυριολεκτικά εντός της δικής του ασφαλούς περιμέτρου<br />
καθώς έχει εξαλειφθεί η απαρχαιωμένη ιδέα της «απεριόριστης<br />
εμπιστοσύνης».<br />
Επιπλέον, το ZTNA είναι από τη φύση του περισσότερο δυναμικό<br />
και διαφανές, λειτουργεί στο παρασκήνιο χωρίς να<br />
απαιτεί αλληλεπίδραση από τον χρήση πέραν της αρχικής<br />
επικύρωσης της ταυτότητας του. Και αυτή η εμπειρία μπορεί<br />
να είναι τόσο ομαλή, που οι χρήστες σας ούτε που θα καταλαβαίνουν<br />
ότι συνδέονται σε εφαρμογές ή πόρους του εταιρικού<br />
δικτύου μέσω ασφαλών, κρυπτογραφημένων διόδων.<br />
Sophos ZTNA<br />
Αν μία εταιρεία πρωτοστατεί στην καθιέρωση του ZTNA, αυτή<br />
είναι η Sophos, μία από τις μεγαλύτερες εταιρείες ασφαλείας<br />
στον κόσμο. Το Sophos ZTNA είναι ένα ολοκαίνουργιο,<br />
cloud-delivered, cloud-managed προϊόν που σας δίνει τη<br />
δυνατότητα να προστατεύσετε εύκολα και με διαφάνεια σημαντικές<br />
εταιρικές δικτυακές εφαρμογές και πόρους έχοντας<br />
λεπτομερή έλεγχο. Όπως ανέφερα, το ZTNA έχει να κάνει κατά<br />
πρώτο λόγο με την επαλήθευση του χρήστη, τυπικά χρησιμοποιώντας<br />
έλεγχο ταυτότητας πολλαπλών παραγόντων, για<br />
να αποτραπεί η κλοπή διαπιστευτηρίων που θα μπορούσε να<br />
αποτελέσει πηγή παραβίασης και ακολούθως με την επικύρωση<br />
της υγείας και της συμμόρφωσης μίας συσκευής, για<br />
να πιστοποιηθεί ότι είναι σωστά εγγεγραμμένη, ενημερωμένη<br />
και προστατευμένη. Όλες αυτές οι πληροφορίες στη συνέχεια,<br />
μπορούν να αξιοποιηθούν για τη λήψη αποφάσεων βάσει πολιτικών<br />
ελέγχου της πρόσβασης και των προνομίων σε σημαντικές<br />
δικτυακές εφαρμογές. Το Sophos ZTNA αποτελεί την<br />
καλύτερη λύση για τη σύνδεση απομακρυσμένων εργαζομένων<br />
ή υποκαταστημάτων.<br />
34 security
WatchGuard’s Zero-Trust<br />
Application Service<br />
Αντώνης Καλοχριστιανάκης<br />
Διευθυντής Πωλήσεων<br />
Digital Sima – www.digitalsima.gr<br />
ι ολοένα και πιο εξελιγμένες επιθέσεις στα<br />
Ο<br />
δίκτυα και τις υποδομές παρακάμπτουν την<br />
προστασία που παρέχουν οι παραδοσιακές<br />
λύσεις ασφάλειας. Οι επιθέσεις πραγματοποιούνται<br />
με μεγαλύτερη συχνότητα και σε<br />
πιο εξελιγμένη μορφή, ενώ παράλληλα τα vulnerabilities<br />
των δικτύων δεν διορθώνονται σύντομα. Οι παραδοσιακές<br />
πλατφόρμες προστασίας (Endpoint Protection Platforms)<br />
δεν επαρκούν, διότι δεν παρέχουν αρκετά λεπτομερή εικόνα<br />
των διαδικασιών και εφαρμογών που εκτελούνται στα εταιρικά<br />
δίκτυα. Επιπλέον ορισμένες λύσεις EDR, δεν αποτρέπουν<br />
τις επιθέσεις, ενώ δημιουργούν μεγαλύτερο φόρτο εργασίας<br />
στον administrator, αναθέτοντάς του την ευθύνη διαχείρισης<br />
των ειδοποιήσεων και αναγκάζοντάς τον να ταξινομεί με μη<br />
αυτόματο τρόπο τις απειλές.<br />
To Zero-Trust Application Service είναι μια υπηρεσία που<br />
περιλαμβάνεται ως μέρος των λύσεων WatchGuard EPDR<br />
και WatchGuard EDR. Αυτή η υπηρεσία ταξινομεί τις εφαρμογές<br />
είτε ως κακόβουλες είτε ως αξιόπιστες και στη συνέχεια<br />
επιτρέπει μόνο στις αξιόπιστες να εκτελούνται στο end<br />
point. Δεδομένου ότι είναι μια πλήρως αυτοματοποιημένη<br />
υπηρεσία, δεν απαιτεί καμία ενέργεια ή απόφαση από τον<br />
τελικό χρήστη ή από τους ειδικούς <strong>IT</strong> της εταιρείας. Η υπηρεσία<br />
ταξινομεί όλα τα processes που εκτελούνται σε πραγ-<br />
ματικό χρόνο, παρακολουθεί τη<br />
δραστηριότητα των end points και<br />
αποκλείει την εκτέλεση εφαρμογών<br />
και κακόβουλων processes<br />
(πριν, κατά την διάρκεια και μετά<br />
την εκτέλεση τους).<br />
Το Zero-Trust Application Service<br />
έχει 4 βασικά χαρακτηριστικά:<br />
1. Παρακολουθεί και ελέγχει<br />
συνεχώς την δραστηριότητα<br />
των σταθμών εργασίας μέσα<br />
από μια Cloud πλατφόρμα. Η<br />
δραστηριότητα κάθε εφαρμογής,<br />
ανεξάρτητα από τη φύση της, παρακολουθείται<br />
και αποστέλλεται<br />
στο Cloud για συνεχή έλεγχο και<br />
αξιολόγηση. Με αυτόν τον τρόπο, οι<br />
εκτελέσεις κακόβουλου λογισμικού, ακόμη και οι περίπλοκες<br />
απειλές, όπως είναι οι supply chain attacks, που φαινομενικά<br />
παρουσιάζονται ως αξιόπιστες, μπορούν να αποτραπούν.<br />
2. Ταξινομεί αυτοματοποιημένα τις εφαρμογές με σύστημα<br />
τεχνητής νοημοσύνης βασισμένο στο σύννεφο.<br />
Το ποσοστό της αυτοματοποιημένης ταξινόμησης φτάνει το<br />
99,98%. Αυτό σημαίνει ότι το σύστημα ταξινόμησης τεχνητής<br />
νοημοσύνης είναι αυτάρκες, επεκτάσιμο σε μεγάλους<br />
όγκους αρχείων, που λειτουργεί σε πραγματικό χρόνο και<br />
χωρίς να βασίζεται σε πληροφορίες από τον τελικό χρήστη.<br />
3. Διαθέτει 2 επίπεδα προστασίας των agents που δουλεύουν<br />
στους σταθμούς εργασίας με βάση την επικινδυνότητα<br />
τους. To 1ο επίπεδο είναι το Hardening mode, το<br />
οποίο αυτόματα αποκλείει την εκτέλεση άγνωστων εφαρμογών<br />
που προέρχονται εκτός του εταιρικού δικτύου. Το 2ο<br />
επίπεδο είναι το Lock mode, το οποίο αυτόματα αποκλείει<br />
την εκτέλεση άγνωστων εφαρμογών είτε προέρχονται από<br />
το εταιρικό δίκτυο είτε εκτός αυτού, διασφαλίζοντας ότι όλες<br />
οι διεργασίες που εκτελούνται είναι αξιόπιστες.<br />
4. Το Collective Intelligence είναι ένα άλλο βασικό<br />
στοιχείο που φιλοξενείται στο Cloud που αυξάνει την<br />
αποτελεσματικότητα του Zero-Trust Application Service, το<br />
οποίο συλλέγει όλη τη γνώση κακόβουλων ή αξιόπιστων<br />
εφαρμογών.<br />
security<br />
35
T<strong>72</strong>11/12.2021<br />
Issue<br />
Distributed Denial-of-Service<br />
(DDoS) Attacks<br />
Ως κατανεμημένη επίθεση άρνησης υπηρεσίας (Distributed Denial of Service, DDoS) ορίζουμε την<br />
προσπάθεια από άτομα ή/και ομάδες να καταστεί μια online υπηρεσία (π.χ ένα website) μη διαθέσιμη<br />
και επιπρόσθετα μη ικανή να εξυπηρετήσει αιτήσεις συνδέσεων από χρήστες αυτής.<br />
στορικά προερχόμενες από τις απλές επιθέσεις<br />
άρνησης υπηρεσίας, οι DDoS επιθέσεις<br />
Ι<br />
διαφέρουν στο γεγονός ότι o εκάστοτε επιτιθέμενος<br />
χρησιμοποιεί έναν μεγάλο αριθμό<br />
υπολογιστών (hosts), συνδεδεμένων στο<br />
Internet με σκοπό να πολλαπλασιάσει ταυτόχρονα και με κατανεμημένο<br />
τρόπο την ισχύ μίας επίθεσης. Βασικός στόχος<br />
δεν είναι κατά κύριο λόγο η παραβίαση των συστημάτων<br />
ασφάλειας, ή η πρόσβαση σε δεδομένα, αλλά η παρακώλυση<br />
της λειτουργίας websites [1-5].<br />
Τα τελευταία έτη και ειδικότερα από το 2010 και μετά οι<br />
DDoS επιθέσεις αυξάνονται γεωμετρικά και αποτελούν<br />
τον πιο διαδεδομένο τρόπο επίθεσης σε websites, δοθέντος<br />
του ότι δεν χρειάζονται ιδιαίτερες τεχνικές ικανότητες<br />
για τη δημιουργία τους, ενώ διατίθενται φθηνά και εύκολα<br />
προσβάσιμα εργαλεία σε όλους με τα οποία μπορεί κάποιος<br />
να ξεκινήσει την συγκεκριμένου τύπου επίθεση [3-5], [11].<br />
Χαρακτηριστικά παραδείγματα τέτοιων εργαλείων είναι τα<br />
κάτωθι, τα οποία δημιουργήθηκαν αρχικά για ερευνητικούς<br />
σκοπούς και είναι κυρίως αναπτυγμένα σε προγραμματιστικές<br />
γλώσσες όπως C# ή η Python:<br />
• HULK - HTTP Unbearable Load King<br />
• Xoic και Low Orbit Ion Cannon<br />
• Tor’s Hammer<br />
• PyLoris<br />
• DDOSIM<br />
• RUDY<br />
• OWASP_HTTP_Post_Tool<br />
• GoldenEye<br />
• Hping<br />
36 security
Ανδρέας Γ. Παπίδας<br />
Cybersecurity Solutions Consultant / Networking Solutions Division, Space Hellas<br />
www.space.gr<br />
Στόχοι DDoS επιθέσεων - Κόστος - Οικονομικό αντίκτυπο,<br />
κίνητρα και συχνότητα:<br />
Οι στόχοι των DDoS επιθέσεων αφορούν - χωρίς εξαιρέσεις<br />
- επιχειρήσεις αλλά και δημόσιους οργανισμούς/δομές, ενώ<br />
τα κίνητρα έχουν πολλαπλές αιτιάσεις ανάλογα με την δραστηριότητα<br />
της επιχείρησης ή του οργανισμού που δέχεται την<br />
επίθεση. Χαρακτηριστικά παραδείγματα αποτελούν οι DDoS<br />
επιθέσεις έναντι e-banking εφαρμογών τραπεζών που έχουν<br />
σαν αποτέλεσμα διαφυγόντα κέρδη κατά τη διάρκεια της επίθεσης,<br />
αλλά και επιθέσεις έναντι κρατικών websites. Όπως είναι<br />
αναμενόμενο οι εγχώριες συστημικές τράπεζες και πολλά<br />
κρατικά websites δεν εξαιρούνται δεδομένου ότι έχουν δεχθεί<br />
αρκετές επιθέσεις ειδικότερα από το 2012 και μετά [6-9].<br />
Οι βασικοί τύποι DDoS κατηγοριοποιούνται ως εξής [1-5]:<br />
1. DDoS Volumetric (Reflection-Amplification) attacks:<br />
Βασικός τους στόχος είναι η δημιουργία μεγάλου όγκου<br />
δικτυακής κίνησης και σαν αποτέλεσμα η υπηρεσία τίθεται<br />
εκτός λειτουργίας και η νόμιμη κίνηση (legitimate traffic)<br />
δεν μπορεί να κατευθυνθεί προς την υπηρεσία. Η συγκεκριμένη<br />
κατηγορία επιθέσεων είναι η πιο διαδεδομένη, ενώ<br />
για το 2021 η ποσοστιαία κατάταξη ήταν η ακόλουθη [4]:<br />
1. DNS:29.3%<br />
2. CLDAP: 23.2%<br />
3. NTP: 15.9%<br />
4. SSDP: 12.3%<br />
5. Chargen: 6.61%<br />
6. ARMS: 6.17%<br />
7. Memcashed: 4.6%<br />
8. SNMP: 1.91%<br />
2. DDoS Protocol attacks: Επιθέσεις βασισμένες στο εκάστοτε<br />
πρωτόκολλο (TCP/UDP etc. που λειτουργούν κατά<br />
κύριο λόγο σε επίπεδο 3 και 4 (Layer 3 and 4 of OSI) με μη<br />
νόμιμα connection requests και έχουν σαν βασικό στόχο<br />
servers, firewalls ή ακόμη και load balancers.<br />
3. DDoS Application layer attacks: Επιθέσεις εφαρμογής<br />
(Layer 7) οι οποίες αναβαθμίζονται συνεχώς και καταναλώνουν<br />
κατά κύριο λόγο μνήμη.<br />
Παράδειγμα DDoS DNS amplification attack<br />
Στην ουσία οι συγκεκριμένη κατηγορία χρησιμοποιεί την αρχιτεκτονική<br />
και τη δομή του DNS πρωτοκόλλου.<br />
Βήματα DNS reflection/amplification attack:<br />
Εικόνα 1. Βασικοί στόχοι ανά δραστηριότητα οργανισμών (2021). From [4]<br />
Σε στατιστικό επίπεδο τα στοιχεία που αφορούν στις DDoS<br />
επιθέσεις για το 2021 είναι εντυπωσιακά. Ο συνολικός<br />
αριθμός επιθέσεων παγκοσμίως ανέρχεται σε 5.351.930<br />
επιθέσεις με μέση διάρκεια 50 λεπτά, η μεγαλύτερη επίθεση<br />
σε ογκομετρικό επίπεδο ήταν 1.5 Tbps εναντίον Γερμανικού<br />
παρόχου, πραγματοποιήθηκε στις 18 Ιουνίου και<br />
ήταν τύπου DNS reflection/amplification [3].<br />
Σε τεχνοοικονομικό επίπεδο, τo μέγιστο κόστος και τα διαφυγόντα<br />
κέρδη που προήλθαν από τη μη διαθεσιμότητα website<br />
λόγω DDoS επίθεσης ήταν 351.995$ (Γερμανία) και τα ελάχιστα<br />
123.026$ (Ιαπωνία). Τέλος σε ότι αφορά την περιοδικότητα<br />
των εν λόγω επιθέσεων καταγράφονται τουλάχιστον 16.794<br />
επιθέσεις τη μέρα, 700 την ώρα και 12 ανά λεπτό παγκοσμίως.<br />
Οι πιο κοινές κατηγορίες amplification attacks και τα<br />
χαρακτηριστικά τους<br />
Εικόνα 2. DNS Reflection/Amplification attack scenario<br />
• Ο επιτιθέμενος υποδύεται (κάνει spoof) την IP διεύθυνση<br />
του στόχου αποστέλλοντας DNS queries στους recursive<br />
DNS servers ή απευθείας στους authoritative DNS servers.<br />
security<br />
37
T<strong>72</strong>11/12.2021<br />
Issue<br />
• Ο επιτιθέμενος επιλέγει την UDP πόρτα που θα ήθελε<br />
να χτυπήσει. Με το DNS συνήθως χρησιμοποιείται η<br />
πόρτα UDP/53 ή UDP/1024-65535 ενώ το destination<br />
port είναι ή UDP/53.<br />
• Οι servers απαντούν είτε απευθείας στο στόχο, είτε<br />
στον ενδιάμεσο recursive DNS server με μεγάλα σε<br />
όγκο DNS responses.<br />
Αρχιτεκτονικές Anti-DDoS συστημάτων:<br />
Πιθανές αρχιτεκτονικές συστημάτων παρατίθενται στη κάτωθι<br />
εικόνα.<br />
Εικόνα 3. Indicative Anti-DDoS architectures. From [10]<br />
Next Generation Firewalls (NGFW) - Γιατί δεν μπορούν<br />
να προστατεύσουν έναν οργανισμό από DDoS επιθέσεις:<br />
Σε αυτό το σημείο αξίζει να σημειωθεί η σύγχυση που επικρατεί<br />
σχετικά με το εάν ένα firewall είναι ικανό να προστατεύσει από<br />
DDoS επιθέσεις. Δεδομένου ότι είναι stateful και inline μπορεί<br />
να είναι τα ίδια στόχοι DDoS επιθέσεων ενώ οι IPS (Intrusion<br />
prevention System) λειτουργίες τους δεν είναι αρκετές για να<br />
προστατεύσουν από τις συγκεκριμένες επιθέσεις. Επιπρόσθετα<br />
δεδομένου ότι ο μέσος όγκος μίας DDoS επίθεσης είναι 6.5Gbps,<br />
το bandwidth που μπορεί να διαθέτει ένα firewall πιθανώς είναι<br />
κάτω από τον μέσο όγκο, ενώ σαν συσκευές δεν έχουν σχεδιαστεί<br />
να αποτρέπουν DDoS επιθέσεις. Τέλος ένα μία επίθεση DDoS<br />
τύπου SYN flood μπορεί να είναι απόλυτα επιτυχημένη καθώς το<br />
firewall θεωρεί πως η κίνηση είναι νόμιμη (legitimate).<br />
Εικόνα 4. Τα Firewall ως στόχος DDoS επιθέσεων και μέρος του προβλήματος<br />
Bασικά κριτήρια επιλογής λύσεων προστασίας από<br />
DDoS επιθέσεις:<br />
Πριν προβεί στην προμήθεια μίας λύσης προστασίας κατά<br />
των DDoS επιθέσεων, προτείνεται ένας οργανισμός να εξετάσει<br />
τα παρακάτω βασικά σημεία:<br />
• Την αρχιτεκτονική της λύσης που ταιριάζει καλύτερα<br />
στον οργανισμό.<br />
• To κόστος συνδρομής ανά έτος και το Licensing<br />
Model του κατασκευαστή.<br />
• Το μοντέλο διαχείρισης του συστήματος που θα ήθελε να<br />
ακολουθήσει συμπεριλαμβανομένου του υπολογισμού<br />
των πόρων σε ανθρώπινο δυναμικό που θα παρακολουθεί,<br />
θα παραμετροποιεί και θα συντηρεί το σύστημα.<br />
• Το mitigation throughput (Throughput προστασίας) και<br />
μελλοντική επεκτασιμότητα. Ενδεικτικό σενάριο είναι<br />
ένας οργανισμός να προμηθευτεί σύστημα που καλύπτει<br />
5Gb και η επίθεση που θα δεχτεί να είναι 6,5Gb.<br />
• Τη διασφάλιση ότι δεν καταναλώνονται πόροι από τον<br />
ενδιάμεσο εξοπλισμό όπως ο load balancer και τα<br />
NGFW από DDoS επιθέσεις όπως Smurf, SYN floods,<br />
Ping of Death, multi-vector attacks etc.<br />
• Τις πολιτικές που θα εφαρμοστούν ούτως ώστε να αποφεύγονται<br />
τα false positive περιστατικά και ταυτόχρονα η<br />
αποφυγή του αποκλεισμού νόμιμης (legitimate) κίνησης.<br />
Συμπερασματικά, βασιζόμενη στην συνεχή αύξηση των<br />
DDoS επιθέσεων, η Space Hellas μετά από συζητήσεις με<br />
στελέχη Τ.Π.Ε διαβλέπει την έλλειψη συστημάτων προστασίας<br />
σε αρκετούς οργανισμούς, θεωρεί απαραίτητη την<br />
ένταξή τους στις υποδομές ασφαλείας των πληροφοριακών<br />
και επικοινωνιακών συστημάτων τους, ενώ διαθέτει<br />
σε συνδυασμό με τους κατασκευαστές των εν λόγω<br />
συστημάτων προστασίας, πολυετή εμπειρία σχεδιασμού και<br />
υλοποίησης DDoS λύσεων.<br />
ΑΝΑΦΟΡΕΣ:<br />
[1] William Stallings, ‘NETWORK SECUR<strong>IT</strong>Y ESSENTIALS: APPLICATIONS<br />
AND STANDARDS FOURTH ED<strong>IT</strong>ION’ ISBN 13: 978-0-13-610805-4,<br />
Prentice Hall, 2011.<br />
[2] J.F. Kurose and K.W Ross. ‘COMPUTER NETWORKING, A Top-Down<br />
Approach’ Sixth Edition, ISBN-13: 978-0-13-285620-1, Pearson, 2013.<br />
[3] ThreatReport_1H2021_FINAL.pdf (netscout.com)<br />
[4] https://www.radware.com/2021q2-ddos-report/<br />
[5] https://www.f5.com/products/security/ddos-hybrid-defender<br />
[6] https://www.cnn.gr/ellada/story/205093/petsas-gia-tiskyvernoepitheseis-itan-epithesi-me-ti-methodo-ddos-energopoiithikanamesa-antimetra<br />
[7] https://www.e-nomothesia.gr/kat-nomothesia-genikouendiapherontos/proedriko-diatagma-96-2020-phek-232a-20-11-2020.<br />
html<br />
[8] https://www.lawspot.gr/nomika-nea/stin-ellada-tmima-diethnoysepiheirisis-gia-tin-antimetopisi-epitheseon-ddos-enantion<br />
[9] Άρθρο 2 της υπ’ αρ. 750/2/19-02-2015 Απόφασης της ΕΕΤΤ, ΦΕΚ 412/<br />
Β/24-03-2015.<br />
[10] https://www.checkpoint.com/<br />
[11] https://www.cloudflare.com/learning/ddos/ddos-attack-tools/howto-ddos/<br />
38 security
security<br />
39
T<strong>72</strong>11/12.2021<br />
Issue<br />
Παραγωγικότητα & ασφάλεια<br />
με την εφαρμογή του Information<br />
Protection & Governance<br />
προστασία των εταιρικών δεδομένων είναι<br />
H<br />
απαραίτητη στο υβριδικό μοντέλο εργασίας,<br />
με τα εργαλεία που παρέχονται, για κάθε<br />
μοντέρνο περιβάλλον εργασίας. Η υιοθέτηση<br />
του υβριδικού μοντέλου επιταχύνεται, απαιτώντας<br />
από τους εργαζόμενους να μπορούν να εργάζονται<br />
ανά πάσα στιγμή από οποιαδήποτε συσκευή και τοποθεσία,<br />
προσφέροντάς τους μεγάλη ευελιξία. Οι σύγχρονοι χώροι<br />
εργασίας, όπως διαμορφώνονται, αποκτούν μια πολυπλοκότητα<br />
από το διευρυμένο φάσμα εφαρμογών και υπηρεσιών.<br />
Παράλληλα, οι απειλές κατά της πνευματικής ιδιοκτησίας<br />
αυξάνονται συνεχώς, ως αποτέλεσμα είτε κακόβουλων<br />
ενέργειων είτε ανθρώπινου λάθους.<br />
Μία από τις μεγαλύτερες προκλήσεις στον σύγχρονο χώρο εργασίας<br />
είναι η διασφάλιση της προστασίας δεδομένων σε ολόκληρο<br />
το ψηφιακό τοπίο ενός οργανισμού, χωρίς να υπάρχει<br />
επίπτωση στην παραγωγικότητα των χρηστών. Η συνένωση<br />
πολλών μεμονωμένων λύσεων μπορεί να οδηγήσει σε μια<br />
περίπλοκη στάση ασφαλείας που επιβαρύνει υπερβολικά τις<br />
λειτουργίες και ενθαρρύνει τους χρήστες να παρακάμψουν τα<br />
μέτρα ασφαλείας. Στο νέο περιβάλλον, όπου τα δεδομένα και οι<br />
χρήστες “περιφέρονται“ ελεύθερα, η προστασία των εταιρικών<br />
σας πληροφοριών απαιτεί μια νέα προσέγγιση και στρατηγική.<br />
Ενισχύστε τον οργανισμό σας με προστασία<br />
δεδομένων χωρίς μεγάλο κόπο!<br />
Το Microsoft 365 περιλαμβάνει ενσωματωμένες λύσεις DLP,<br />
που μοιράζονται πληροφορίες από τα τρισεκατομμύρια σήματα<br />
ασφαλείας, σε όλο το παγκόσμιο οικοσύστημα της<br />
Microsoft. Σας επιτρέπει να μειώσετε τον αριθμό των εφαρμογών<br />
ασφαλείας που διαχειρίζεστε, ενσωματώνοντας εύκολα<br />
τα εργαλεία προστασίας και παραγωγικότητας, σε μια<br />
ενιαία πλατφόρμα που προστατεύει τα δεδομένα που χρησιμοποιούνται<br />
από οποιοδήποτε χρήστη, συσκευή και εφαρμογή.<br />
Καθώς πολύτιμες πληροφορίες ρέουν μέσα και έξω<br />
από τον οργανισμό σας και οι απειλές γίνονται πιο εξελιγμένες,<br />
οι εγγενείς τεχνολογίες του Microsoft 365 βοηθούν στην<br />
αποφυγή απώλειας δεδομένων, χωρίς να επιβραδύνουν την<br />
εξέλιξη και τις εργασίες της επιχείρησής σας. Δημιουργούμε<br />
το περιβάλλον για να αναγνωρίσετε, και να ελέγξετε τα δεδομένα<br />
σας σε όλη την διάρκεια της ζωής τους.<br />
• Αναγνώριση: Κατανόηση των τοπίου των δεδομένων<br />
και αναγνώριση των σημαντικών δεδομένων σε<br />
όλο το εύρος του υβριδικού περιβάλλοντος.<br />
• Προστασία: Εφαρμογή ευέλικτων πολιτικών για την<br />
προστασία που περιλαμβάνουν κρυπτογράφηση, περιορισμούς<br />
πρόσβασης και οπτικές σημάνσεις μέσα<br />
στα αρχεία.<br />
• Αποτροπή απώλειας: Εντοπισμός επικίνδυνης συμπεριφοράς<br />
και αποτροπή τυχαίας κοινής χρήσης<br />
των ευαίσθητων πληροφοριών.<br />
• Διακυβέρνηση: Αυτοματισμοί για την διατήρηση,<br />
διαγραφή και αποθήκευση των δεδομένων με τρόπο<br />
που επιτρέπει την κανονιστική συμμόρφωση.<br />
Προστασία και Διακυβέρνηση δεδομένων<br />
Η κοινή χρήση ψηφιακών αρχείων είναι πλέον ευκολότερη<br />
και γίνεται πιο γρήγορα από ποτέ. Προστατεύουμε τα πολύτιμα<br />
εταιρικά δεδομένα χωρίς να επιβαρύνουμε την παραγωγικότητα<br />
του τελικού χρήστη. Δημιουργούμε κατανοητές<br />
ετικέτες ταξινόμησης (classification labels) σύμφωνα με την<br />
ευαισθησία των δεδομένων και ταξινομούμε και προστατεύ-<br />
40 security
Πέτρος Λιβάνιος<br />
Senior Technology Advisor, Office Line<br />
www.officeline.gr<br />
ουμε τα κρίσιμα δεδομένα με κρυπτογράφηση, σήμανση περιεχομένου<br />
και προστασία απώλειας δεδομένων στις τελικές<br />
συσκευές. Με την αυτόματη ταξινόμηση, κλιμακώνουμε την<br />
προστασία δεδομένων χωρίς να απαιτείται από τους χρήστες<br />
να ταξινομούν αρχεία. Δημιουργούμε κανόνες αναγνώρισης<br />
διαβαθμισμένου περιεχόμενου και προσθέτουμε αυτόματα<br />
ετικέτες με βάση πρότυπα που αφορούν τους κανονισμούς<br />
ή άλλους προσαρμοσμένους επιχειρηματικούς κανόνες.<br />
Έτσι, καλύπτουμε την κρίσιμη ανάγκη διασφάλισης της απαραίτητης<br />
πρόσβασης στους εταιρικούς πόρους όπως το<br />
SharePoint και το Teams, ελέγχουμε την εξωτερική κοινή<br />
χρήση και τα επίπεδα απορρήτου των δεδομένων, αποτρέπουμε<br />
την μη έγκαιρη διαγραφή, επισημαίνουμε περιεχόμενο<br />
ως μητρώο ή ενεργοποιούμε την αυτόματη απόρριψη<br />
περιεχομένου, ώστε να διατηρείται ό,τι χρειάζεται για την<br />
κανονιστική συμμόρφωση του οργανισμού σας.<br />
Έλεγχος της έκθεσης δεδομένων<br />
Η έκθεση των δεδομένων σε εφαρμογές και πλατφόρμες<br />
κοινής χρήσης αρχείων, ολοένα και αυξάνεται. Με τις λειτουργίες<br />
του Microsoft 365, σας δίνουμε την δυνατότητα να<br />
αποφασίσετε πως οι χρήστες μοιράζονται περιεχόμενο και<br />
επιπλέον προσθέτουμε περιορισμούς χρήσης, χρονικής διάρκειας<br />
ή επιπλέον κωδικού πρόσβασης. Για άτομα εκτός<br />
του οργανισμού σας, ορίζουμε τι μπορεί να κοινοποιηθεί ή<br />
αποτρέπουμε εντελώς την εξωτερική κοινή χρήση. Μπορούμε<br />
να ορίσουμε πολιτικές κοινής χρήσης για ολόκληρο τον<br />
οργανισμό ή για μεμονωμένες ομάδες χρηστών. Πέρα από<br />
την κοινή χρήση, μπορούμε να ενσωματώσουμε πρόσθετα<br />
στοιχεία ελέγχου όπως watermarks, λήξη κοινόχρηστων<br />
συνδέσμων και περιορισμούς στα domains.<br />
Επιλέγοντας τις προτιμήσεις που ανταποκρίνονται στις απαιτήσεις<br />
σας, διασφαλίζουμε ότι η συνεργασία εντός και εκτός<br />
του οργανισμού σας μπορεί να πραγματοποιηθεί με ασφάλεια<br />
και σας διαθέτουμε τα εργαλεία που χρειάζεστε για να<br />
διαχειριστείτε κεντρικά την ασφάλεια και την πρόσβαση,<br />
ώστε να ανταποκρίνονται στις μοναδικές απαιτήσεις ασφάλειας<br />
και συμμόρφωσης.<br />
Τα δεδομένα σας διαθέσιμα πάντα και όπου τα<br />
χρειάζεστε<br />
Με τους εργαζομένους απομακρυσμένα, οι κανονιστικές<br />
απαιτήσεις και οι επιχειρηματικές υποχρεώσεις μπορούν<br />
να οδηγήσουν σε σύνθετες λύσεις για την κάλυψη των αναγκών<br />
αποτροπής απώλειας δεδομένων. Οι χρήστες σας είναι<br />
πλέον συνδεδεμένοι με τα άτομα και το περιεχόμενο που<br />
έχουν μεγαλύτερη σημασία, ανεξάρτητα από το πού εργάζονται.<br />
Μπορείτε να προσαρμόσετε τις πολιτικές κοινής χρήσης,<br />
ασφάλειας και συμμόρφωσης ξεχωριστά για κάθε περιοχή,<br />
όλα από μια ενοποιημένη πλατφόρμα διαχείρισης.<br />
Παραδίδουμε συνολικό reporting και προτάσεις βελτίωσης<br />
Διαμορφώνουμε, διαχειριζόμαστε τις πολιτικές και προβάλουμε<br />
αναλυτικά στοιχεία της χρήσης των δεδομένων για<br />
οποιοδήποτε περιβάλλον, εφαρμογές, υπηρεσίες και συσκευές,<br />
από μία κονσόλα για να είστε σε θέση να:<br />
• παρακολουθείτε επισημασμένα και προστατευμένα<br />
έγγραφα και μηνύματα ηλεκτρονικού ταχυδρομείου<br />
σε ολόκληρο τον οργανισμό σας,<br />
• προσδιορίσετε έγγραφα που περιέχουν ευαίσθητες<br />
πληροφορίες εντός του οργανισμού σας,<br />
• παρακολουθείτε την πρόσβαση των χρηστών σε διαβαθμισμένα<br />
έγγραφα και emails,<br />
• ελέγχετε τις αλλαγές ταξινόμησης εγγράφων,<br />
• προσδιορίσετε έγγραφα που περιέχουν ευαίσθητες<br />
πληροφορίες που μπορεί να θέτουν τον οργανισμό<br />
σας σε κίνδυνο εάν δεν προστατεύονται,<br />
• δημιουργήσετε συστάσεις προς τους τελικούς χρήστες<br />
και ναι μετριάσετε τον κίνδυνο έκθεσης,<br />
• προσδιορίσετε πότε έχουν πρόσβαση σε προστατευμένα<br />
έγγραφα εσωτερικοί ή εξωτερικοί χρήστες και<br />
εάν η πρόσβαση παραχωρήθηκε νόμιμα.<br />
Η Office Line ως πιστοποιημένος Gold Microsoft <strong>Security</strong><br />
Partner, επενδύει συνεχώς στην επιμόρφωση των ανθρώπων<br />
της στον τομέα του Cloud <strong>Security</strong>. Έχοντας την εμπειρία<br />
μιας σειράς πετυχημένων υλοποιήσεων <strong>Security</strong> σε οργανισμούς,<br />
μέσα στο 2021 έχει καταφέρει να διαπρέψει στον<br />
κλάδο, αποκτώντας το υψηλότερο επίπεδο πιστοποίησης στις<br />
λύσεις <strong>Security</strong> της Microsoft. Συγκεκριμένα, πληρώντας τα<br />
υψηλά κριτήρια πιστοποίησης που έχει θέσει η Microsoft, είναι<br />
η μοναδική εταιρεία που διαθέτει τα Identity & Access<br />
Management Advanced Specialization, Threat Protection<br />
Advanced Specialization, Information Protection and<br />
Governance Advanced Specialization του Microsoft 365.<br />
Τα Advanced Specializations πιστοποιούν την μεθοδολογία,<br />
την υψηλή τεχνογνωσία και εμπειρία σε έργα της ομάδας της<br />
Office Line σε καίριους τομείς λύσεων ασφάλειας, των οποίων<br />
τα οφέλη αναπτύχθηκαν παραπάνω. Η εταιρεία έχει την<br />
ικανότητα να ικανοποιεί ταχύτατα κρίσιμα αιτήματα επιχειρήσεων<br />
που επιζητούν την απρόσκοπτη και ασφαλή τους επιχειρησιακή<br />
τους συνέχεια, για αυτό το λόγο υποστηρίζει και<br />
εφαρμόζει τις λύσεις Information Protection and Governance<br />
της Microsoft. Έτσι όλοι οι χρήστες, οι συσκευές, οι εφαρμογές<br />
και τα εταιρικά δεδομένα είναι ασφαλή και άμεσα διαθέσιμα<br />
πάντα και από παντού!<br />
security<br />
41
T<strong>72</strong>11/12.2021<br />
Issue<br />
6 λόγοι για τους οποίους οι επιχειρήσεις<br />
επιλέγουν SD-WAN για τον ψηφιακό<br />
τους μετασχηματισμό<br />
α τελευταία χρόνια έχουν συμβεί πολύ σημαντικές<br />
αλλαγές στα δίκτυα ευρείας περιοχής.<br />
Τ<br />
Tίποτα όμως δεν είναι πιο σημαντικό από<br />
την τεχνολογία software-defined WAN (SD-<br />
WAN) η οποία ήρθε και άλλαξε τον τρόπο με<br />
τον οποίο σκεφτόμαστε και υλοποιούμε τη συνδεσιμότητα<br />
πολλαπλών απομακρυσμένων δικτύων μεταξύ τους. Το παραδοσιακό<br />
WAN που αποτελείται από πολλαπλές συσκευές<br />
στοιβαγμένες σε ένα rack με ασύμβατη διαχείριση και ανομοιογενείς<br />
συνδέσεις μεταξύ τους, είναι πλέον ξεπερασμένο.<br />
Η απάντηση στη σημερινή ψηφιακή εποχή- του cloud του<br />
mobility αλλα και της ανάγκης για αξιόπιστη αλλα και γρήγορη<br />
διασύνδεσης- είναι μια software προσέγγιση ή αλλιώς SD-<br />
WAN και πιο συγκεκριμένα το SD-WAN της VMware που<br />
προσφέρει η Performance Technologies.<br />
Πολλές ομάδες πληροφορικής μεγάλων οργανισμών, αντιμετωπίζουν<br />
τεράστια πίεση με σκοπό να απλοποιήσουν τα<br />
δίκτυά τους, να αυξήσουν την ευελιξία αυτών και να βελτιώσουν<br />
την απόδοση των εφαρμογών. Επιπρόσθετα, στον από-<br />
ηχο της πανδημίας, το 62% των ομάδων πληροφορικής,<br />
ανέφεραν ότι τα budget τους μειώθηκαν, με το 71%<br />
να δείχνει ότι μόλις το 10% ή λιγότερο του συνολικού<br />
εταιρικού προϋπολογισμού προοριζόταν για το <strong>IT</strong>.<br />
Επιπλέον, οι άνθρωποι του <strong>IT</strong> δίνουν καθημερινά, μια δύσκολη<br />
μάχη καθώς λόγο του παρωχημένου σε πολλές περιπτώσεις<br />
WAN εξοπλισμού τους, αντιμετωπίζουν προκλήσεις σε<br />
όλους τους τομείς, όπως η πολυπλοκότητα, η επεκτασιμότητα,<br />
η απόδοση εφαρμογών, η αρχιτεκτονική και η ασφάλεια.<br />
Ποια είναι, λοιπόν, η εναλλακτική;<br />
Το VMware SD-WAN, το οποίο προσφέρει next level υπηρεσίες<br />
για όλη την επιχείρηση και βελτιωμένη εμπειρία χρήστη.<br />
Πολλές επιχειρήσεις στρέφονται στο SD-WAN για<br />
έξι βασικούς λόγους:<br />
1. Βελτιστοποιημένη αρχιτεκτονική cloud - Το VMware<br />
SD-WAN δίνει την δυνατότητα στους υπεύθυνους <strong>IT</strong> να αξιοποιήσουν<br />
ευρυζωνικές συνδέσεις internet για να δημιουργήσουν<br />
ασφαλείς συνδέσεις υψηλής απόδοσης από τα επιμέρους<br />
σημεία του οργανισμού στο cloud.<br />
42 security
Performance Technologies<br />
www.performance.gr<br />
info@performance.gr<br />
Για παράδειγμα, το VMware SD-WAN παρέχει πρόσβαση<br />
υψηλής απόδοσης σε εφαρμογές cloud και Infrastructure as<br />
a Service (IaaS), συνδέοντας υποκαταστήματα (branches) σε<br />
cloud μέσω των VMware SD-WAN Gateways. Αυτές οι «πύλες»<br />
φιλοξενούνται από VMware Points of Presence (POPs),<br />
τοποθετημένα κοντά στις εφαρμογές που μας ενδιαφέρουν.<br />
2. Απλοποιημένη ανάπτυξη - Οι λύσεις SD-WAN υποστηρίζονται<br />
από αυτοματοποίηση και κεντρικό provisioning που<br />
επιταχύνουν το deployment και ελαχιστοποιούν την απαίτηση<br />
παρουσίας προσωπικού σε απομακρυσμένες τοποθεσίες<br />
– παρέχοντας μέγιστη επιχειρηματική ευελιξία.<br />
Για παράδειγμα, ένα VMware SD-WAN rollout, ξεκινά με το<br />
deployment μιας μικρής συσκευής VMware SD-WAN Edge,<br />
σε μια απομακρυσμένη τοποθεσία, που συνδέεται με το κεντρικό<br />
Hub Edge στο data center του οργανισμού.. Αυτό<br />
απλοποιεί σε μεγάλο βαθμό την ανάπτυξη μίας τοποθεσίας,<br />
τροφοδοτώντας τη γρήγορη και αποτελεσματική επέκταση<br />
δικτύου νέων τοποθεσιών (sites).<br />
3. Οικονομική ευχέρεια - Καθώς οι ομάδες ΙΤ έρχονται<br />
αντιμέτωπες με μειωμένα budget, πρέπει επίσης να αντιμετωπίσουν<br />
το ξεπερασμένο WAN τους, το οποίο δεν μπορεί να<br />
παρέχει υψηλής ποιότητας ή προσιτές λύσεις, που συνδέουν<br />
τα branches της εταιρείας με το data center τους. Αντίθετα, το<br />
VMware SD-WAN τους δίνει τη δυνατότητα να εξυπηρετούν<br />
γρήγορα, εύκολα και οικονομικά τις ανάγκες για διασύνδεση<br />
και καλύτερη υποστήριξη των νέων branches. Αυτό μειώνει το<br />
κόστος προσωπικού <strong>IT</strong> για κάθε απομακρυσμένη τοποθεσία<br />
και δίνει τη δυνατότητα στις ομάδες <strong>IT</strong> να επιλέξουν από πολλές<br />
προσιτές επιλογές ευρυζωνικής σύνδεσης στο Internet.<br />
4. Έλεγχος και traffic steering - Δυστυχώς, τα παραδοσιακά<br />
WAN δεν παρέχουν την ορατότητα και τον έλεγχο για ενοποιημένη<br />
λειτουργική εμπειρία. Αξιοποιώντας το VMware SD-<br />
WAN, οι ομάδες πληροφορικής έχουν πλήρη έλεγχο του δικτύου<br />
τους, αξιοποιώντας τεχνολογίες analytics σε πραγματικό<br />
χρόνο που παρέχουν χρήσιμες πληροφορίες για την ποιότητα<br />
των κυκλωμάτων τη δεδομένη χρονική στιγμή.. Το SD-WAN<br />
βοηθά επίσης στην ιεράρχηση της δικτυακής κυκλοφορίας<br />
(network traffic) με εξειδικευμένους αλγόριθμους συντονισμού<br />
της κίνησης, αλλάζοντας δυναμικά τις ροές για την υποστήριξη<br />
των μεταβαλλόμενων συνθηκών του δικτύου.<br />
5. Βελτιωμένη ασφάλεια - Η εκτεταμένη εμβέλεια του cloud<br />
μπορεί να κάνει τα δίκτυα ευάλωτα σε απειλές ασφαλείας. Οι<br />
ομάδες <strong>IT</strong> απαιτούν μια λύση ασφαλείας που να καλύπτει πλήρως<br />
το εταιρικό περιβάλλον και την απομακρυσμένη πρόσβαση<br />
από κινητές συσκευές και από το cloud. Επιπλέον, πρέπει<br />
να πραγματοποιούν τμηματοποίηση δικτύου (network<br />
segmentation) όταν η κίνηση δεδομένων, από διαφορετικούς<br />
πελάτες ή/και επιχειρηματικές οντότητες, πρέπει να απομονώνεται.<br />
Αξιοποιώντας το VMware SD-WAN, μπορούν να αξιοποιήσουν<br />
πολλές ενσωματωμένες δυνατότητες ασφαλείας, συμπεριλαμβανομένης<br />
της ικανότητας εκτέλεσης τμηματοποίησης<br />
του δικτύου (network segmentation). Επιπλέον, τους δίνει<br />
τη δυνατότητα να εκτελούν λειτουργίες ασφαλείας τρίτων ως<br />
VNF, κάτι που τους παρέχει επιλογές για να ελαχιστοποιήσουν<br />
την επιφάνεια επίθεσης του δικτύου τους και να μειώσουν τις<br />
παραβιάσεις. Τέλος, μειώνει το κόστος και τους δίνει τη δυνατότητα<br />
να επιλέξουν από μια πληθώρα προμηθευτών ασφάλειας.<br />
6. Ποιότητα εμπειρίας - Για να έχουν πρόσβαση στις εφαρμογές<br />
τους από οπουδήποτε και να μεγιστοποιήσουν την ποιότητα<br />
της εμπειρίας τους, οι τελικοί χρήστες (εργαζόμενοι), χρειάζονται<br />
μια υποδομή που να παρέχει αξιόπιστη συνδεσιμότητα, την<br />
οποία η τρέχουσα υποδομή WAN δεν μπορεί να προσφέρει.<br />
Αντίθετα, το VMware SD-WAN προσφέρει εγγυημένη απόδοση<br />
των εφαρμογών σε αντίθεση με το παραδοσιακό WAN<br />
μοντέλο, με αποκατάσταση σε πραγματικό χρόνο και traffic<br />
steering, διασφαλίζοντας βελτιωμένη ποιότητα εμπειρίας.<br />
Μάθετε περισσότερα: https://www.performance.gr/<br />
vmware-sd-wan/<br />
Επικοινωνήστε σήμερα με την Performance και αναπτύξτε<br />
τα υποκαταστήματά σας, δώστε πρόσβαση στους χρήστες και<br />
τους πελάτες σας οπουδήποτε και οποτεδήποτε, προσφέρετε<br />
κορυφαία εμπειρία χρήσης υλοποιώντας την κορυφαία λύση<br />
VMware SD-WAN<br />
Σχετικά με την Performance Technologies<br />
Η Performance Technologies έχει πιστοποιηθεί ως VMware<br />
Principal Partner, το υψηλότερο επίπεδο συνεργασίας του προγράμματος<br />
συνεργατών της VMware. Η Εταιρεία διαθέτει όλες τις<br />
τεχνικές πιστοποιήσεις και έχει αποδείξει τις ικανότητές της στην<br />
αξιολόγηση, στο σχεδιασμό, στην υλοποίηση, διαχείριση και υποστήριξη<br />
σύγχρονων Software Defined Data Centers & Networking<br />
λύσεων. Σε στενή συνεργασία με την VΜware από τις αρχές της δεκαετίας<br />
του 2000, σταδιακά καθιερώθηκε στην Ελλάδα ως ο «ειδικός<br />
στο Virtualization» και Cloud Services Building & Automation,<br />
έχοντας σχεδιάσει, εκτελέσει και υποστηρίξει έργα που αξιοποιούν<br />
αυτές τις τεχνολογίες σε μεγάλες επιχειρήσεις και οργανισμούς δημοσίου,<br />
και λειτουργώντας ως έμπιστος σύμβουλος σε θέματα μετασχηματισμού<br />
υποδομών πληροφορικής με χρήση του virtualization<br />
και private and public cloud services.. Η Performance είναι ο επίσημος<br />
subcontractor της VMware για παροχή υπηρεσιών στις παραπάνω<br />
τεχνολογίες στην Ελλάδα και αποτελεί επίσημο εκπαιδευτικό<br />
κέντρο της VMware για την Ελλάδα και την Κύπρο. Ως VMware<br />
Authorized Training Center (VATC) παρέχει υπηρεσίες επαγγελματικής<br />
κατάρτισης και πιστοποίησης δεξιοτήτων σε όλες τις τεχνολογίες<br />
και λύσεις της VMware.<br />
security<br />
43
T<strong>72</strong>11/12.2021<br />
Issue<br />
Maritime Cyber <strong>Security</strong><br />
Compliance Framework<br />
Η κυβερνοασφάλεια αποτελεί μια κρίσιμη πτυχή της ομαλής λειτουργίας των εμπορικών πλοίων<br />
και κατ’ επέκταση της επιχειρησιακής συνέχειας των ναυτιλιακών εταιριών.<br />
α σύγχρονα εμπορικά πλοία χαρακτηρίζονται<br />
ως “Πλωτά Ψηφιακά Γραφεία” καθώς<br />
Τ<br />
φιλοξενούν και αλληλοεπιδρούν με πολύπλοκα,<br />
ετερογενή Πληροφοριακά Συστήματα<br />
και εξαρτώνται από πολλούς παρόχους<br />
(π.χ. παρόχους εξοπλισμού πλοήγησης, παρόχους cloud υπηρεσιών,<br />
παρόχους τηλεπικοινωνιών κ.λπ.).Τα πληροφοριακά<br />
συστήματα των εμπορικών πλοίων δύναται να είναι εκτεθειμένα<br />
σε πολλαπλές απειλές και ευπάθειες στον κυβερνοχώρο<br />
και οποιαδήποτε διακοπή ή δυσλειτουργία των κρίσιμων<br />
συστημάτων του πλοίου (π.χ. συστήματα πλοήγησης ή/ και<br />
ΟΤ συστήματα) θα έχει σημαντική επίπτωση στην επικοινωνία<br />
γραφείου-πλοίου ή στην ομαλή πλοήγηση του πλοίου ή<br />
ακόμη και στην ακεραιότητα του εμπορεύματος. Η κυβερνοασφάλεια<br />
αποτελεί λοιπόν μια κρίσιμη πτυχή της ομαλής<br />
λειτουργίας των εμπορικών πλοίων και κατ’ επέκταση της<br />
επιχειρησιακής συνέχειας των ναυτιλιακών εταιριών.<br />
Ταυτόχρονα, τα εμπορικά πλοία παίζουν αποφασιστικό ρόλο<br />
στο Ναυτιλιακό Περιβάλλον, αλληλοεπιδρώντας με πολλές<br />
οντότητες όπως Ναυτιλιακές Εταιρείες, Πλήρωμα, Κατασκευαστές<br />
Πλοίων, Λιμενικές Αρχές, Επιθεωρητές / Νηογνώμονες,<br />
Ιδιοκτήτες Φορτίου, Ναυτιλιακά Μητρώα, Ναυλωτές και<br />
Πάροχοι Τηλεπικοινωνιών, και οποιαδήποτε υποβάθμιση, διακοπή<br />
ή βλάβη των Πληροφοριακών τους Συστημάτων θα<br />
έχει σοβαρές συνέπειες στη σωστή λειτουργία του πλοίου<br />
και στις δραστηριότητες των αλληλοεπιδρώντων οντοτή-<br />
των, καθιστώντας τη διαχείριση της ασφάλειας ένα από<br />
τα πιο σημαντικά ζητήματα. Προκειμένου να βελτιωθεί η<br />
ασφάλεια και να αποφευχθούν τέτοια περιστατικά, υπάρχουν<br />
αρκετές κατευθυντήριες γραμμές και βέλτιστες πρακτικές<br />
που πρέπει να ακολουθούνται, όπως το ΙΜΟ: MCS-FAL.1-<br />
Circ.3 «Guidelines on Maritime Cyber Risk Management»,<br />
το «OCIMF: Tanker Management Self-Assessment v3» και<br />
το «BIMCO: Guidelines on Cyber <strong>Security</strong> Onboard Ships v4».<br />
Επιπλέον, καθοριστικό ρόλο για την ασφάλεια των Πληροφοριακών<br />
Συστημάτων των Πλοίων διαδραματίζουν και οι<br />
νηογνώμονες, διεθνείς οργανισμοί όπως οι Lloyd’s Register,<br />
DNV και Bureau Veritas, οι οποίοι έχουν αναπτύξει κατευθυντήριες<br />
γραμμές και παρέχουν τεχνική καθοδήγηση προκειμένου<br />
οι ναυτιλιακοί οργανισμοί να παραμένουν ασφαλείς<br />
και να συμμορφώνονται με τους παραπάνω κανονισμούς και<br />
βέλτιστες πρακτικές, μειώνοντας τον κίνδυνο των απειλών<br />
στον κυβερνοχώρο. Οι νηογνώμονες θέτουν τους τεχνικούς<br />
κανόνες βάσει εμπειρίας και βέλτιστων πρακτικών, και έχουν<br />
τη δυνατότητα να επιθεωρούν σε τακτά χρονικά διαστήματα<br />
τα πλοία και να εκδίδουν πιστοποιητικά προκειμένου να διασφαλιστεί<br />
η συμμόρφωση με τις κανονιστικές απαιτήσεις.<br />
Εκτός από τις απαιτήσεις κυβερνοασφάλειας, διεθνείς οργανισμοί<br />
όπως οι ENISA, UK DfT και IAPH έχουν δημοσιεύσει<br />
πρόσθετες απαιτήσεις και βέλτιστες πρακτικές σχετικά με τα<br />
Πληροφοριακά Συστήματα των λιμένων, καθώς αλληλοεπιδρούν<br />
συνεχώς με πλοία και τα συστήματά τους είναι επίσης<br />
ευάλωτα σε πιθανές κυβερνοεπιθέσεις.<br />
Όλες οι παραπάνω κατευθυντήριες γραμμές και απαιτήσεις<br />
μπορούν να καλυφθούν από γνωστά διεθνή πρότυπα και κανονισμούς<br />
όπως NIST CSF, ISO/IEC 27001, ISO/IEC 27017,<br />
ISO/IEC 27018, ISO/IEC 22301, SOC 2, GDPR, CCPA κ.λπ.,<br />
και ο πιο αποτελεσματικός τρόπος συμμόρφωσης με αυτές<br />
τις πολύπλοκες απαιτήσεις είναι η υιοθέτηση ενός Πλαισίου<br />
Συμμόρφωσης Κυβερνοασφάλειας προκειμένου να αξιολογείται<br />
και να βελτιώνεται συνεχώς το επίπεδο ασφάλειας<br />
των Πληροφοριακών Συστημάτων των Πλοίων και των<br />
Εμπορικών Λιμένων.<br />
Η προτεινόμενη μεθοδολογία συμμόρφωσης της ICT<br />
44 security
Δρ. Θεόδωρος Ντούσκας<br />
Managing Director ICT PROTECT<br />
www.ictprotect.com<br />
PROTECT για τη Διαχείριση Επικινδυνότητας στη Ναυτιλία<br />
προέρχεται από τα διεθνή πρότυπα, τους κανονισμούς και τις<br />
βέλτιστες πρακτικές που αναφέρονται παραπάνω και αποτελείται<br />
από οκτώ φάσεις, όπως απεικονίζονται στην εικόνα 1.<br />
Μέσω του Μaritime Cyber <strong>Security</strong> Compliance<br />
Framework, τα μέλη της Ομάδας Κυβερνοασφάλειας είναι<br />
σε θέση να προσδιορίζουν όλες τις απαιτήσεις κυβερνοασφάλειας,<br />
να προσδιορίζουν τα περιουσιακά τους αγαθά (ΙΤ<br />
και ΟΤ assets), να αξιολογούν στοχευμένες απειλές και ευπάθειες,<br />
να ορίζουν στοχευμένους ελέγχους κυβερνοασφάλειας,<br />
να περιλαμβάνουν συγκεκριμένες μετρήσεις (KPIs &<br />
Metrics) και τεκμήρια ελέγχου (evidences) στις εσωτερικές<br />
επιθεωρήσεις τους και επομένως να γνωρίζουν το επίπεδο<br />
συμμόρφωσης για κάθε απαίτηση.<br />
Στην ICT PROTECT έχουμε αναπτύξει το Cyber <strong>Security</strong><br />
Compliance Framework και το χρησιμοποιούμε με επιτυχία<br />
μέσω του Εργαλείου STORM GRC προκειμένου να<br />
αντιμετωπίζουμε τις περίπλοκες απαιτήσεις συμμόρφωσης<br />
των πελατών μας (συμπεριλαμβανομένου του ναυτιλιακού<br />
τομέα). Το εργαλείο STORM GRC προσφέρει μια δέσμη στοχευμένων<br />
υπηρεσιών στους τελικούς χρήστες, προκειμένου<br />
να τους καθοδηγήσει να διαχειρίζονται με ασφάλεια τα<br />
Πληροφοριακά Συστήματα και να δημιουργούν όλα τα υποχρεωτικά<br />
έγγραφα και αποδεικτικά στοιχεία που απαιτούνται<br />
από το ISO 27001:2013 και τις ειδικές απαιτήσεις της βιομηχανίας<br />
για την ασφάλεια<br />
στον κυβερνοχώρο<br />
(όπως ΙMO, BIMCO,<br />
TMSA, κ.λπ.).<br />
Στην εικόνα αποτυπώνεται<br />
ενδεικτικά η μοντελοποίηση<br />
βασικών<br />
συστημάτων και υπηρεσιών<br />
των εμπορικών<br />
πλοίων όπου μέσω<br />
του STORM GRC<br />
υπάρχει η δυνατότητα<br />
χαρτογράφησης των<br />
OT και <strong>IT</strong> assets, αναγνώρισης<br />
απειλών και<br />
η επιλογής προτεινόμενων<br />
μέτρων (βάσει<br />
NIST CSF, ISO 27002)<br />
για όλα τα OT και <strong>IT</strong><br />
assets.<br />
Εν κατακλείδι, με την<br />
ταχεία ανάπτυξη και υιοθέτηση<br />
της τεχνολογίας στον τομέα της ναυτιλίας, τα Πληροφοριακά<br />
Συστήματα των Πλοίων εκτίθενται ολοένα και περισσότερο<br />
σε κινδύνους στον κυβερνοχώρο. Αυτοί οι κίνδυνοι<br />
στον κυβερνοχώρο θα μπορούσαν να εκδηλωθούν είτε<br />
από δορυφορικά δίκτυα (Satellite networks) είτε από παραδοσιακά<br />
κανάλια επικοινωνίας (traditional communication<br />
channels) και θα μπορούσαν να έχουν σημαντική επίπτωση<br />
σε όλες τις ναυτιλιακές οντότητες που επηρεάζουν τη διεθνή<br />
οικονομία. Θα πρέπει να υιοθετηθεί μια ολιστική και κοινή<br />
προσέγγιση (Πλαίσιο Συμμόρφωσης Κυβερνοασφάλειας) για<br />
τη διαχείριση της ασφάλειας<br />
τόσο των συστημάτων<br />
ΙΤ όσο και των συστημάτων<br />
OT, προκειμένου<br />
να παρακολουθούνται<br />
συνεχώς οι κίνδυνοι<br />
ασφάλειας και ιδιωτικότητας,<br />
να βελτιώνονται<br />
οι επιχειρησιακές διαδικασίες<br />
που βασίζονται<br />
σε ΙCT και να παρέχονται<br />
συνεχώς οι υπηρεσίες<br />
για όλες τις οντότητες<br />
του περιβάλλοντος<br />
της ναυτιλίας.<br />
security<br />
45
T<strong>72</strong>11/12.2021<br />
Issue<br />
Κυβερνοασφάλεια βιομηχανικών<br />
συστημάτων (OT)<br />
Ιστορικά, οι βιομηχανικές επιχειρήσεις παγκοσμίως έχουν προσεγγίσει πολύ διαφορετικά την<br />
έννοια της Κυβερνοασφάλειας στα ΙΤ (Information Technology) και ΟΤ (Operational Technology)<br />
δίκτυα τους.<br />
ι περισσότερες εταιρείες έχουν ήδη υλοποιήσει<br />
τεχνολογικές υποδομές για τον εντοπισμό<br />
Ο<br />
και την αντιμετώπιση δικτυακών απειλών, αλλά<br />
όσον αφορά τα βιομηχανικά συστήματα<br />
τους (OT), η αντιμετώπιση των Κυβερνοαπειλών<br />
περιορίζεται συνήθως στην απομόνωση των σχετικών<br />
συστημάτων από το υπόλοιπο δίκτυο. Οι βιομηχανίες<br />
‘ψηφιοποιούνται’ συνεχώς επενδύοντας ολοένα και περισσότερο<br />
σε έξυπνες τεχνολογίες, νέα συστήματα αυτοματοποίησης<br />
και άλλες εφαρμογές που προάγουν την αύξηση της<br />
παραγωγικότητας ή βελτιώνουν πολλούς άλλους δείκτες που<br />
ενδιαφέρουν τον οργανισμό. Αυτό στην ουσία εξομοιώνει<br />
σταδιακά τα συστήματα του ΙΤ με αυτά του ΟΤ και καθιστά<br />
τα δεύτερα ολοένα και πιο εκτεθειμένα στις απειλές που παραδοσιακά<br />
αφορούσαν αποκλειστικά τα πρώτα. Σε πρόσφατη<br />
έρευνα της Kaspersky τον Νοέμβριο του 2021, η Ελλάδα<br />
κατατάσσεται στην 5η θέση, με το 32% των βιομηχανικών<br />
συστημάτων να έχουν υποστεί κάποιου είδους επίθεση.<br />
Οι κυβερνοεπιθέσεις σε βιομηχανικούς οργανισμούς θεωρούνται<br />
εξαιρετικά επικίνδυνη απειλή, καθώς έχουν τη δυνατότητα<br />
να προκαλέσουν μεγάλες υλικές απώλειες και να οδηγήσουν<br />
σε διακοπή του κύκλου παραγωγής ολόκληρου του<br />
συστήματος. Στοχεύουν, μεταξύ άλλων, βιομηχανικά συστήματα<br />
ελέγχου και συλλογής δεδομένων (ICS, SCADA).<br />
Επιπλέον, λόγω των εξαιρετικά ευαίσθητων πληροφοριών που<br />
διαθέτουν οι βιομηχανικοί οργανισμοί, αποτελούν συνήθως<br />
ελκυστικό στόχο για τους επιτιθέμενους. Όπως συνέβη με τις<br />
επιθέσεις Stuxnet και BlackEnergy, απαιτείται απλά η χρήση<br />
ενός μολυσμένου USB stick ή το άνοιγμα ενός phishing email<br />
για να επιτρέψει στον επιτεθέμενο να αποκτήσει πρόσβαση στο<br />
μέχρι πρότινος απομονωμένο βιομηχανικό δίκτυο. Τους τελευταίους<br />
μήνες, γίναμε μάρτυρες σε πολλές περιπτώσεις, επιθέσεων<br />
σε συστήματα και υποδομές που χρησιμοποιούν βιομηχανικά<br />
πρωτόκολλα. Στις αρχές του έτους, στην πόλη Oldsmar<br />
στην Florida, πραγματοποιήθηκε επίθεση σε κυβερνητική<br />
υποδομή που είναι υπεύθυνη για την ύδρευση της πόλης.<br />
46 security
Βασίλης Βλάχος<br />
Channel Manager Greece & Cyprus<br />
Kaspersky<br />
Στην ουσία έγινε απομακρυσμένη προσπάθεια να αλλαχτεί το<br />
μείγμα των χημικών που σχετίζονται με την απολύμανση των<br />
υδάτων, κάτι το οποίο θα είχε ως συνέπεια τη μαζική δηλητηρίαση<br />
των καταναλωτών. Πολύ πρόσφατα, τον Οκτώβριο, έλαβε<br />
χώρα μία άλλη κυβερνοεπίθεση σε δημόσιο νοσοκομείο στο<br />
Ισραήλ. Η συγκεκριμένη επίθεση δημιούργησε μεγάλα προβλήματα<br />
στην ομαλή παροχή υπηρεσιών του οργανισμού, ενώ<br />
απαιτούσε την καταβολή συγκεκριμένου χρηματικού ποσού<br />
(ransomware). Οι υπηρεσίες του νοσοκομείου αντέδρασαν<br />
χρησιμοποιώντας εναλλακτικούς πόρους και συστήματα υποστήριξης<br />
των λειτουργιών τους. Στη συγκεκριμένη περίπτωση<br />
δεν υπήρχε ευτυχώς κάποια ανθρώπινη απώλεια, όπως δυστυχώς<br />
συνέβη σε αντίστοιχη περίπτωση σε νοσοκομείο στη<br />
Γερμανία πριν από λίγους μήνες.<br />
Προστασία σε 3 άξονες<br />
Η αποτελεσματική προστασία βιομηχανικών συστημάτων<br />
και δικτύων από Κυβερνο-απειλές συνήθως δομείται<br />
σε τρεις διαφορετικούς άξονες. Ο πρώτος άξονας<br />
αφορά την προστασία των Endpoints με κάποιο Antivirus<br />
που όμως είναι προσαρμοσμένο στις ιδιαίτερες ανάγκες και<br />
προδιαγραφές των συγκεκριμένων υπολογιστών και τερματικών.<br />
Αυτά ενδέχεται πολλές φορές να χρησιμοποιούν πολύ<br />
απλά/βασικά λειτουργικά συστήματα (embedded), ή ακόμα<br />
και κάποιες πολύ παλιές εκδόσεις hardware & software<br />
(legacy systems). Με αυτόν τον τρόπο θα αντιμετωπιστούν<br />
αποτελεσματικά τυχαίες (μη στοχευμένες) ‘μολύνσεις’ αλλά<br />
θα λειτουργήσουν και αποτρεπτικά απέναντι σε πιθανές οργανωμένες<br />
και στοχευμένες επιθέσεις.<br />
Ο δεύτερος άξονας έχει να κάνει με την προστασία των βιομηχανικών<br />
δικτύων (ΟΤ) μέσα από λύσεις παρακολούθησης,<br />
ανάλυσης και ανίχνευσης της κυκλοφορίας του<br />
δικτύου ICS αλλά και τον εντοπισμό ‘ανωμαλιών’ με σκοπό<br />
την ανακάλυψη κακόβουλων ενεργειών στο επίπεδο των<br />
PLCs (Programmable Logic Controllers).<br />
Ο τρίτος άξονας αφορά τον ανθρώπινο παράγοντα και τη<br />
συμβολή του στην προστασία βιομηχανικών πρωτοκόλλων.<br />
Είναι πολύ σημαντικό οι υπάλληλοι που εμπλέκονται στη διαχείριση<br />
των βιομηχανικών συστημάτων μιας εταιρείας να<br />
εκπαιδεύονται συχνά επάνω στην ορθή χρήση των συγκεκριμένων<br />
υποδομών. Με αυτόν τον τρόπο ελαχιστοποιούνται<br />
οι ατυχείς ενέργειες που ενδέχεται να ‘ανοίξουν’ κερκόπορτες<br />
που θα εκμεταλλευτεί κάποιο κακόβουλο λογισμικό. Επιπλέον,<br />
η ύπαρξη εξειδικευμένων (in-house) επαγγελματιών<br />
σε θέματα ασφάλειας βιομηχανικών υποδομών/συστημάτων<br />
μπορεί να φαντάζει σαν πολυτέλεια στην παρούσα φάση,<br />
αλλά αποτελεί μονόδρομο για κάθε βιομηχανία που έχει<br />
συνειδητοποιήσει το μέγεθος της ενδεχόμενης οικονομικής<br />
ζημιάς από πιθανή Κυβερνο-επίθεση.<br />
Η πρόταση της Kaspersky, τα τελευταία 5 χρόνια στον τομέα<br />
της Κυβερνο-ασφάλειας βιομηχανικών συστημάτων, είναι<br />
η λύση KICS (Kaspersky Industrial Cyber <strong>Security</strong>).<br />
Σε πρόσφατη παγκόσμια έρευνα που διεξήχθη από τους βιομηχανικούς<br />
αναλυτές της Frost & Sullivan, η Kaspersky<br />
αναγνωρίστηκε με το Global Company of the Year Award<br />
για το 2020 για τη συγκεκριμένη λύση. Το KICS είναι μία<br />
πρόταση που συνδυάζει τα προϊόντα και τις υπηρεσίες που<br />
περιγράφονται στο παρακάτω διάγραμμα.<br />
Το KICS for Networks εντοπίζει ανωμαλίες και εισβολές<br />
εντός του δικτύου ICS σε πολύ πρώιμο στάδιο και διασφαλίζει<br />
την εκτέλεση όλων των απαραίτητων ενεργειών που θα αποτρέψουν<br />
τις όποιες αρνητικές επιπτώσεις στις βιομηχανικές<br />
διαδικασίες. Το προϊόν είναι συμβατό με τις συσκευές διαχείρισης<br />
βιομηχανικού αυτοματισμού όλων των γνωστών κατασκευαστών<br />
παγκοσμίως. Το KICS for Nodes έχει σχεδιαστεί<br />
για να καταναλώνει ελάχιστους πόρους και να λειτουργεί με<br />
embedded και legacy συστήματα, αντιμετωπίζοντας αποτελεσματικά<br />
είτε εξωτερικές απειλές, είτε εσωτερικές, ως αποτέλεσμα<br />
ανθρώπινου λάθους. Μπορεί να ρυθμιστεί σε λειτουργία<br />
εντοπισμού & αποτροπής της απειλής αλλά και σε απλή λειτουργία<br />
εντοπισμού, με σκοπό να μην δεσμεύει πόρους από τα<br />
χαμηλής απόδοσης (low performing) συστήματα. Αξίζει να σημειωθεί<br />
ότι το KICS for Nodes είναι συμβατό με όλα τα γνωστά<br />
βιομηχανικά πρωτόκολλα όπως είναι τα SCADA, PLC & DCS.<br />
Τέλος, είναι επιτακτικό για κάθε βιομηχανική υποδομή που θέλει<br />
να διατηρήσει τα μέγιστα επίπεδα προστασίας, να πλαισιώσει<br />
τα παραπάνω προϊόντα με υπηρεσίες που σχετίζονται είτε<br />
με την εκπαίδευση των χρηστών (όπως είναι το Kaspersky<br />
Automated <strong>Security</strong> Awareness Platform) είτε με υπηρεσίες<br />
που παρέχονται από εξειδικευμένους επαγγελματίες και<br />
αφορούν την αξιολόγηση της υπάρχουσας υποδομής προστασίας<br />
(Kaspersky <strong>Security</strong> Assessment) αλλά και τη διαδικασία<br />
διαχείρισης σε περίπτωση περιστατικού επιτυχημένης Κυβερνο-επίθεσης<br />
(Kaspersky Incident Response).<br />
security<br />
47
T<strong>72</strong>11/12.2021<br />
Issue<br />
Αντιμετωπίστε τις επιθέσεις phishing,<br />
με το Acronis Cyber Protect<br />
Γρήγορη και αξιόπιστη ανάκτηση της λειτουργίας<br />
του συστήματος σας, μέσα σε λίγα δευτερόλεπτα!<br />
Καθημερινά συμβαίνουν συνεχώς κυβερνοεπιθέσεις, για αυτό και είναι απαραίτητο να<br />
λαμβάνουμε όσο πιο συχνά γίνεται, πληροφορίες σχετικά με αυτές τις επιθέσεις, προκειμένου<br />
να είμαστε σε θέση να υπερασπιστούμε τις πληροφοριακές υποδομές, στοχεύοντας τόσο<br />
στην αποτροπή τους, όσο και στην καλή επίγνωση των λύσεων που απαιτούνται για να<br />
αντιμετωπιστούν οι ζημιές που μπορεί να προκληθούν από αυτές τις επιθέσεις, μιας και δεν<br />
μπορούν πάντα να αποφευχθούν.<br />
ίναι αλήθεια ότι οι εγκληματίες του κυβερνοχώρου<br />
– μέσα από τις επιθέσεις που εξα-<br />
Ε<br />
πολύουν - μπορούν να υφαρπάξουν πολλά<br />
και πολύτιμα δεδομένα και προσωπικές<br />
πληροφορίες, με τις οποίες μπορούν να υποκλέψουν<br />
την ταυτότητα κάποιου ιδιώτη ή μιας εταιρίας, καθιστώντας<br />
τα θύματα τους ανήμπορα να αντιδράσουν με<br />
απρόβλεπτες συνέπειες για τη λειτουργία τους. Πως όμως<br />
όλα αυτά μπορούν να αποφευχθούν;<br />
Αποφυγή phishing<br />
Πολλές φορές, μπορεί σίγουρα να αναρωτιέστε τι είναι εφικτό<br />
να κάνετε για να αποφύγετε το phising. Φυσικά, το πρώτο<br />
που πρέπει να κάνετε, είναι να είστε πάντα προσεκτικοί<br />
σε κάθε σας ενέργεια στο κυβερνοχώρο και σε περίπτωση<br />
που υποπτευτείτε ή εντοπίσετε κάποιον κίνδυνο, είτε σε κάποιο<br />
email που λαμβάνετε, είτε σε άλλες περιπτώσεις που<br />
σας ζητείται να εισάγετε εμπιστευτικά δεδομένα… πολύ απλά<br />
να μην το κάνετε!<br />
48 security
Itway Hellas SA<br />
www.itway.gr<br />
Να προσέχετε πάντα και πάρα πολύ τους συνδέσμους και<br />
όπου άλλου μπορεί να ελλοχεύουν κίνδυνοι για τα δεδομένα<br />
σας.<br />
Χρησιμοποιώντας ένα πρόγραμμα προστασίας από ιούς ή<br />
ένα καλό τείχος προστασίας, είναι ένας συμβατικός τρόπος<br />
για να προστατευτείτε, αλλά να έχετε πάντα κατά νου, ότι<br />
οι κακόβουλοι χάκερ, το γνωρίζουν αυτό και προσπαθούν<br />
να βρουν νέους τρόπους για να σας παραπλανήσουν και<br />
να παρακάμψουν αυτά τα προγράμματα, με στόχο να περάσουν<br />
απαρατήρητοι, χωρίς κανένα φίλτρο ασφαλείας να<br />
τους εντοπίσει.<br />
Το περιβάλλον στον κυβερνοχώρο είναι σε συνεχή εξέλιξη,<br />
τόσο σε ότι αφορά το έγκλημα όσο και στους μηχανισμούς<br />
προστασίας, οπότε όλα εξαρτώνται από το ποιος είναι ένα<br />
βήμα πιο μπροστά και διαθέτει πιο προηγμένα εργαλεία, είτε<br />
για να υφαρπάξει δεδομένα, είτε για να προστατεύσει τα<br />
δεδομένα. Οπότε λοιπόν, δεν πρέπει να ξεχνάτε να διατηρείτε<br />
πλήρως ενημερωμένα και το πρόγραμμα περιήγησής στο<br />
internet και τα πρόσθετα του, καθώς και το antivirus και το<br />
τείχος προστασίας που χρησιμοποιείτε.<br />
Η χρήση ενός απαρχαιωμένου συστήματος προστασίας ή η<br />
εισαγωγή ενός νέου τρόπου πρόσβασης στον Ιστό μπορεί να<br />
είναι αρκετό για να εκδηλωθεί μια επίθεση. Τι γίνεται λοιπόν<br />
σε αυτήν την περίπτωση που εκδηλωθεί η επίθεση; Τι γίνεται<br />
με τα δεδομένα και τα προσωπικά στοιχεία; Εάν δεν είχατε<br />
δημιουργήσει ένα αντίγραφο ασφαλείας, τότε ναι μπορεί<br />
και να τα χάσατε.<br />
Μην εισάγετε λοιπόν, ποτέ εμπιστευτικά δεδομένα σε μη<br />
ασφαλείς ιστότοπους που δεν ξεκινούν με https:// και εάν<br />
έχετε κάποιες αμφιβολίες μην προχωράτε σίγουρα σε εισαγωγή<br />
των στοιχείων σας. Και φυσικά, μην δίνετε ποτέ εμπιστευτικά<br />
δεδομένα μέσω τηλεφώνου ή ως απάντηση σε<br />
οποιοδήποτε email που μπορεί να έχει αυτή την απαίτηση.<br />
Δημιουργία αντιγράφων ασφαλείας δεδομένων<br />
Η δημιουργία αντιγράφων ασφαλείας προσφέρει σαφώς ένα<br />
πλεονέκτημα σε περίπτωση εκδήλωσης επίθεσης από κακόβουλο<br />
λογισμικό, αφού σε αυτή τη δύσκολή περίπτωση,<br />
ακόμα και αν έχουν παραβιαστεί οι υποδομές σας και έχουν<br />
καταφέρει οι επιτιθέμενοι να έχουν πρόσβαση στα δεδομένα<br />
σας στο cloud ή ακόμα και αν τα διαγράψουν, τότε θα υπάρχει<br />
η εναλλακτική δυνατότητα να έχετε ξανά όλες αυτές τις<br />
πληροφορίες διαθέσιμες.<br />
Τα αυτόματα αντίγραφα ασφαλείας διευκολύνουν σε πολύ<br />
μεγάλο βαθμό τον εκάστοτε χρήστη, ο οποίος μπορεί να τα<br />
εκτελέσει σε προγραμματισμένη βάση και στο παρασκήνιο,<br />
χωρίς να μειώσει την απόδοση της εργασίας του.<br />
H δυνατότητα να υπάρχει ένα “backup of a backup” είναι πολύ<br />
σημαντική και βοηθάει πολλούς επαγγελματίες και εταιρίες<br />
κάθε κλίμακας μεγέθους, αλλά και ιδιώτες, να είναι σε<br />
θέση να ανακάμψουν από μια επίθεση κακόβουλων χάκερ<br />
και παράλληλα να έχουν τη δυνατότητα να αποκαταστήσουν<br />
τις πληροφορίες ή ολόκληρο το σύστημα τους γρήγορα και<br />
αποτελεσματικά. Αυτό αποφεύγει πολλές προβληματικές<br />
καταστάσεις και πάνω από όλα, το άκρως δυσάρεστο γεγονός<br />
μια επιχείρηση να σταματάει τη λειτουργία της λόγω μιας<br />
επίθεσης ηλεκτρονικού "ψαρέματος" (phishing) που μπορεί<br />
να έχει κλέψει για παράδειγμα την «ταυτότητα της εταιρείας».<br />
Το Acronis Cyber Protect ενσωματώνει σε μια μόνο ενιαία<br />
λύση την καλύτερη δυνατή δημιουργία αντιγράφων<br />
ασφαλείας, προηγμένη προστασία από κακόβουλα λογισμικά<br />
και υψηλού επιπέδου διαχείριση προστασίας<br />
τελικών σημείων.<br />
Με το Acronis Cyber Protect, έχετε μια ενοποιημένη λύση που<br />
παρέχει πλήρη προστασία από όλες τις σημερινές απειλές.<br />
Συμβουλές κοινής λογικής<br />
• Να θυμάστε πάντα να ενημερώνετε τους κωδικούς<br />
πρόσβασης κατά συχνά χρονικά διαστήματα και μην<br />
χρησιμοποιείτε σε όλες τις εφαρμογές τους ίδιους,<br />
καθώς μια γενικευμένη επίθεση μπορεί να σας εκθέσει<br />
σε πολλούς λογαριασμούς.<br />
• Να προσέχετε πάντα και με μεγάλη λεπτομέρεια τα<br />
email που λαμβάνετε καθώς και να μην ενεργείτε βιαστικά,<br />
πατώντας σε συνδέσμους που ελλοχεύουν κινδύνους.<br />
Ελέγξτε πρώτα ότι όλα είναι σωστά και νόμιμα.<br />
• Δημιουργήστε όσο πιο τακτικά γίνεται αντίγραφα<br />
ασφαλείας όλων των δεδομένων σας, ώστε, σε περίπτωση<br />
καταστροφής, να τα έχετε πάντα διαθέσιμα.<br />
• Ελέγξτε την προέλευση των εισερχόμενων email και<br />
τις διευθύνσεις URL που επισκέπτεστε. Ενισχύστε την<br />
προστασία των συσκευών σας και των δεδομένων σας.<br />
• Και πάνω απ 'όλα, χρησιμοποιήστε την κοινή λογική,<br />
αυτή είναι που ίσως σας αποτρέπει καλύτερα από<br />
την επίθεση phishing. Δεν μπορείτε να αποφύγετε τη<br />
λήψη του email, αλλά μπορείτε να το αγνοήσετε. Είναι<br />
στα χέρια σας!<br />
Για περισσότερες πληροφορίες, σχετικά με τις τεχνολογίες<br />
ασφαλείας της Acronis, επικοινωνήστε με την Itway<br />
Hellas , τον διανομέα της στην Ελλάδα, Κύπρο & Μάλτα,<br />
για εξατομικευμένη αξιολόγηση και παρουσίαση της λύσης<br />
στον οργανισμό σας.<br />
Στοιχεία επικοινωνίας: Αγίου Ιωάννου 10 Χαλάνδρι ,<br />
τηλ.: 2106801013, www.itway.gr<br />
security<br />
49
T<strong>72</strong>11/12.2021<br />
Issue<br />
Άγιε μου Βασίλη πες μου τι μας<br />
επιφυλάσσει το ψηφιακό σύμπαν<br />
για το 2022 και πάρε τους<br />
κακούς μακριά<br />
Διαβάσαμε τις προβλέψεις, αναλύσαμε τις αναλύσεις, είδαμε πίσω από τις στατιστικές, τις<br />
τάσεις και τις προτάσεις, επικοινωνήσαμε με συναδέλφους στην Ελλάδα και το εξωτερικό και<br />
σας παρουσιάζουμε τις θεματικές που θα μας απασχολήσουν στον τομέα της ασφάλειας των<br />
πληροφοριών σε εταιρικό επίπεδο την επόμενη διετία.<br />
ασφάλεια των πληροφοριών συνδέεται στενά<br />
τόσο με τις επιχειρηματικές τάσεις και τα<br />
Η<br />
μοντέλα διοίκησης, όσο και με τους ευρύτερους<br />
κινδύνους που απειλούν την καθημερινότητα<br />
και τη λειτουργία των επιχειρήσεων.<br />
Για τον λόγο αυτόν, αφετηρία της παρούσας ανάλυσης<br />
αποτελούν τα σημεία αυτά που διαμορφώνουν, τελικά, το<br />
περιβάλλον, εντός του οποίου καλείται να αναπτυχθεί και να<br />
ευδοκιμήσει η ασφάλεια πληροφοριών.<br />
Επιχειρηματικές τάσεις<br />
Οι προτεραιότητες σε επιχειρηματικό επίπεδο είναι τρείς:<br />
Ανάπτυξη, Ψηφιακός μετασχηματισμός και Αποτελεσματικότητα<br />
όσον αφορά τη λειτουργία και την επίτευξη των επιχειρηματικών<br />
στόχων. Ταυτόχρονα, διαβλέπεται περαιτέρω<br />
ακόμη ενίσχυση του ψηφιακού μετασχηματισμού, αναβάθμιση<br />
του ανθρώπινου δυναμικού και υιοθέτηση ενός ευέλικτου<br />
μοντέλου άσκησης των εργασιακών καθηκόντων, με<br />
σκοπό την ταχύτερη ανάπτυξη και βιωσιμότητα σε ένα αστα-<br />
50 security
Notis Iliopoulos<br />
MSc InfoSec, MSc MB<strong>IT</strong>, CISA, CISM, ISO27k LA<br />
Information <strong>Security</strong> & Compliance Officer, MR HealthTech Ltd.<br />
θές και αβέβαιο παγκόσμιο περιβάλλον που δεν ευνοεί τις<br />
προβλέψεις, καθώς εμφανίζει ραγδαίες και, συχνά, απροσδόκητες<br />
αλλαγές. Οι υπάρχουσες αναλύσεις αναφορικά με<br />
τις επιχειρηματικές τάσεις και τα μοντέλα διοίκησης για τα<br />
επόμενα χρόνια τονίζουν την ανάγκη να ληφθούν υπ’ όψη,<br />
στο πλαίσιο αυτό, οι κίνδυνοι που απειλούν την ανάπτυξη και<br />
την επιχειρηματική βιωσιμότητα, ιδίως εκείνοι εξ αυτών που<br />
αφορούν στην παγκόσμια αλυσίδα εφοδιασμού, στην κυβερνοασφάλεια<br />
και στην κλιματική αλλαγή. Ταυτόχρονα, ιδιαίτερη<br />
προσοχή απαιτείται για την αντιμετώπιση των κινδύνων<br />
που είναι συνυφασμένοι με τη χρήση των νέων τεχνολογιών,<br />
τις απαιτήσεις για κανονιστική συμμόρφωση και την παραπληροφόρηση<br />
μέσω της διάδοσης ψευδών πληροφοριών.<br />
Κίνδυνοι σε παγκόσμιο επίπεδο<br />
Σε παγκόσμιο επίπεδο, οι προκλήσεις αναμένεται να γίνουν<br />
ακόμη μεγαλύτερες κατά το επόμενο διάστημα και μάλιστα<br />
σε πληθώρα τομέων όπως η υγεία, η οικονομία, η κλιματική<br />
αλλαγή και οι νέες τεχνολογίες. Ο παγκόσμιος ανταγωνισμός<br />
για την επίτευξη τεχνολογικής υπεροχής θα αυξηθεί και θα<br />
έχει ως αποτέλεσμα την άμεση υιοθέτηση νέων τεχνολογιών,<br />
καθώς και μια, εσπευσμένη ίσως, μετάβαση των τεχνολογικών<br />
τάσεων από το πειραματικό στάδιο και την έρευνα<br />
στην παραγωγή. Οι ποικίλες ανησυχίες για διάφορα λειτουργικά<br />
ζητήματα, όπως η ανθεκτικότητα της εφοδιαστικής<br />
αλυσίδας, η ασφάλεια στον κυβερνοχώρο και τα ρυθμιστικά<br />
θέματα, θα εγκαθιδρυθούν στην κορυφή των κινδύνων σε<br />
παγκόσμιο επίπεδο, αναζητώντας άμεσες και πρόσφορες<br />
λύσεις και κατάλληλη αντιμετώπιση.<br />
Είναι επίσης προφανές ότι η ψηφιακή τεχνολογία και η παρουσία<br />
της σε κάθε έκφανση της ζωής μας σχετίζεται ολοένα<br />
και περισσότερο με κάθε μορφή εγκληματικότητας. Το<br />
απόρρητο και η ευκολία που προσφέρει κάθε μορφή ψηφιακής<br />
επικοινωνίας, η διανομή και η διαχείριση των κρυπτονομισμάτων<br />
μέσα από πλατφόρμες καθιστούν ευχερέστερη<br />
τη διάπραξη εγκληματικών πράξεων και δυσχερέστερη την<br />
αποκάλυψη του δράστη. Η ανωνυμία στο διαδίκτυο σε συνδυασμό<br />
με την υιοθέτηση των τεχνολογιών κρυπτογράφησης<br />
δρουν ευεργετικά τόσο για τους νόμιμους όσο και για<br />
τους κακόβουλους χρήστες των ψηφιακών τεχνολογιών,<br />
δημιουργώντας μια παράδοξη συνθήκη για τους υπεύθυνους<br />
χάραξης πολιτικών και τους νομοθέτες.<br />
Θεματικές περιοχές στις οποίες θα επικεντρωθεί<br />
η ασφάλεια πληροφοριών<br />
Οι ψηφιακές επιθέσεις με χρήση κακόβουλου λογισμικού τύπου<br />
ransomware, οι κυβερνοεπιθέσεις μεταξύ κρατών, τα<br />
μέσα κοινωνικής δικτύωσης και η αυξημένη εξάρτηση από<br />
την τηλεργασία, υπήρξαν συνεχώς στο προσκήνιο το 2021<br />
όσον αφορά στην ασφάλεια των πληροφοριών. Τη χρονιά<br />
που τελειώνει, οι κακόβουλοι χρήστες και οι εγκληματίες<br />
του κυβερνοχώρου έδρασαν με μεγαλύτερη ταχύτητα και<br />
αποτελεσματικότητα και χρησιμοποίησαν νέες τακτικές και<br />
τεχνικές. Παράλληλα, παρατηρήθηκε αλματώδης αύξηση<br />
των κενών ασφάλειας (vulnerabilities) κάθε λογής εμπορικά<br />
διαθέσιμου λογισμικού. Παρόμοιες τάσεις αναμένεται<br />
να επικρατήσουν όχι μόνο την επόμενη χρονιά αλλά και τα<br />
επόμενα χρόνια.<br />
Ransomware<br />
Η επιλογή των θυμάτων θα είναι πλέον στοχευμένη και οι<br />
επιθέσεις θα εστιάζουν σε μεγάλους επιχειρηματικούς οργανισμούς,<br />
στην εφοδιαστική αλυσίδα τέτοιων οργανισμών,<br />
καθώς και σε οργανισμούς που διαχειρίζονται κρίσιμες υποδομές.<br />
Στο επίπεδο της κοινωνικής μηχανικής αναμένεται<br />
επίσης μεγαλύτερη στόχευση σε υψηλόβαθμα στελέχη οργανισμών.<br />
Επίσης, αναμένεται αύξηση των περιπτώσεων συνεργασίας<br />
μεταξύ κυβερνο-εγκληματιών και προγραμματιστών<br />
κακόβουλου λογισμικού, προκειμένου να μεγιστοποιηθεί<br />
η αποτελεσματικότητα των επιθέσεων. Αναμένεται επίσης<br />
να αυξηθούν οι περιπτώσεις πολύπλευρου εκβιασμού. Πέρα<br />
δηλαδή από το κλείδωμα αρχείων μέσω κρυπτογράφησης,<br />
προστίθενται απειλές όπως η δημοσιοποίηση ευαίσθητων<br />
εταιρικών και προσωπικών δεδομένων. Το 2022 αναμένεται<br />
η ανάπτυξη νέων τακτικών σε τεχνικό επίπεδο, καθώς<br />
και προσπάθεια στρατολόγησης εργαζόμενων στους οργανισμούς<br />
κατά των οποίων επίκειται επίθεση.<br />
Zero Trust architecture (Αρχιτεκτονική<br />
μηδενικής εμπιστοσύνης)<br />
Μία πολυσυζητημένη έννοια κατά τη διάρκεια του 2021,<br />
η οποία αναμένεται να κυριαρχήσει το 2022, κυρίως από<br />
πλευράς κατασκευαστών λύσεων ψηφιακής ασφάλειας,<br />
έως ότου γίνει ευρύτερα κατανοητό ότι το Zero Trust<br />
architecture αποτελεί, επί της ουσίας, μια φιλοσοφία και<br />
security<br />
51
T<strong>72</strong>11/12.2021<br />
Issue<br />
δεν εξαντλείται σε μεμονωμένες λύσεις. Η φιλοσοφία της<br />
μηδενικής εμπιστοσύνης αφορά στη συνεχή επαλήθευση<br />
κάθε στοιχείου πρόσβασης σε ψηφιακές υποδομές και δεδομένα<br />
απ’ οπουδήποτε και αν προέρχεται (εσωτερικό ή<br />
εξωτερικό δίκτυο ή χρήστη). Η νέα φιλοσοφία έχει προκύψει<br />
ως ανάγκη στο πλαίσιο του ψηφιακού μετασχηματισμού<br />
και δεν αφορά σε μία συγκεκριμένη αρχιτεκτονική, αλλά σ’<br />
ένα σύνολο κατευθυντήριων αρχών. Μία σειρά τεχνολογιών<br />
όπως, multifactor authentication, network analytics,<br />
cloud workload governance, micros-segmentation, identity<br />
και access management, least-privilege access, corporate<br />
device management, κ.α. αποτελούν τα συστατικά υλοποίησης<br />
της νέας αυτής φιλοσοφίας η οποία θα πρέπει να σχεδιάζεται<br />
βάσει των συγκεκριμένων εταιρικών κανόνων και<br />
προς αντιμετώπιση των απειλών που διέπουν τη λειτουργία<br />
του εκάστοτε λειτουργικού περιβάλλοντος.<br />
Ασφάλεια των APIs<br />
Οι εφαρμογές που παρέχονται μέσω των υποδομών cloud,<br />
ανεξάρτητα από τον τύπο της υποδομής (SaaS, PaaS ή IaaS),<br />
έχουν αλλάξει τον τρόπο με τον οποίο σχεδιάζονται και αξιοποιούνται<br />
τα API από τους προγραμματιστές λογισμικού,<br />
είτε πρόκειται για B2B είτε για B2C. Ταυτόχρονα, η φύση<br />
της λειτουργίας των APIs και η αδιάλειπτη διασύνδεση που<br />
προσφέρουν δημιουργεί δυνητικά επιπλέον κινδύνους για<br />
τις επιχειρήσεις που τα παρέχουν, καθώς μπορούν να καταστούν<br />
στόχος επιθέσεων που αφορούν στην ευρύτερη εφοδιαστική<br />
αλυσίδα. Όσον αφορά στους προγραμματιστές, είναι<br />
αναγκαίο ν’ αποτελέσει προτεραιότητά τους η ανάπτυξη ενός<br />
αποτελεσματικού μοντέλου αντιμετώπισης των απειλών για<br />
τα API που παρέχουν, έτσι ώστε να είναι εφικτή η αξιολόγηση<br />
των παρεχόμενων μηχανισμών ασφάλειας,. Ταυτόχρονα,<br />
κρίνεται αναγκαία η ύπαρξη μηχανισμού ελέγχου πρόσβασης<br />
ο οποίος θα υιοθετει τη φιλοσοφία της μηδενικής εμπιστοσύνης<br />
(Zero Trust), καθώς και η ύπαρξη αποτελεσματικού<br />
μηχανισμού καταγραφής αρχείων ελέγχων (audit logs)<br />
για καλύτερη απόκριση και εντοπισμό πιθανής κακόβουλης<br />
χρήσης των APIs.<br />
Ασφάλεια στις υποδομές Cloud<br />
Πλέον κάθε συζήτηση αναφορικά με τη μετάπτωση στο cloud<br />
ξεκινά και ολοκληρώνεται με τα θέματα της ψηφιακής ασφάλειας,<br />
τόσο όσον αφορά στην προστασία τον εταιρικών δεδομένων<br />
στο περιβάλλον του παρόχου των υπηρεσιών cloud,<br />
όσο και αναφορικά με την ανθεκτικότητα του παρόχου ενάντια<br />
στις διάφορες επιθέσεις κυβερνοασφάλειας. Η ανθεκτικότητα<br />
ως προς την κυβερνοπασφάλεια αναμένεται να αποτελέσει<br />
ένα από τα βασικά ανταγωνιστικά πλεονεκτήματα μεταξύ<br />
των παρόχων υπηρεσιών cloud. Το 2022 αναμένεται να<br />
αυξηθούν οι επιθέσεις σε υποδομές cloud ενώ ταυτόχρονα<br />
θ’ αυξάνεται και η υιοθέτηση του cloud από τις επιχειρήσεις.<br />
Η αυξημένη χρήση των υποδομών cloud θα δοκιμάσει την<br />
ανθεκτικότητα των παρόχων σε επιθέσεις κυβερνοασφάλειας,<br />
αλλά και του συνόλου των δικλείδων ασφάλειας και<br />
προστασίας των ψηφιακών υποδομών και δεδομένων που<br />
έχουν υλοποιήσει. Ταυτόχρονα, θα δοκιμαστούν τόσο η τεχνογνωσία<br />
σε θέματα ασφάλειας των οργανισμών που χρησιμοποιούν<br />
το cloud, όσο και η εναρμόνιση πολιτικών, διαδικασιών<br />
και τεχνολογιών ασφάλειας στο νέο μοντέλο λειτουργίας.<br />
Συνεπεία αυτών, αναμένεται αύξηση των επιτυχημένων<br />
επιθέσεων σε περιβάλλοντα cloud μιας και η μετάβαση στο<br />
νέο περιβάλλον, έχει συχνά γίνει με μη προσήκοντα τρόπο<br />
και το νέο μοντέλο εργασίας δεν έχει πλήρως αφομοιωθεί.<br />
Deepfakes και παραπληροφόρηση<br />
Η τεχνολογία Deepfakes εξελίχθηκε αρκετά κατά το 2021 τόσο<br />
σε ό,τι αφορά στον ήχο όσο και στην εικόνα, με αποτέλεσμα<br />
να έχουν σημειωθεί σημαντικές επιθέσεις με χρήση παραποιημένων<br />
ηχητικών και οπτικών μέσων προκειμένου να<br />
παρακαμφθούν μηχανισμοί πολλαπλών παραγόντων ελέγχου<br />
ταυτότητας και ελέγχου ψηφιακής πρόσβασης. Η τεχνολογία<br />
deepfakes αναμένεται να γίνει ευρύτερα διαθέσιμη από<br />
το 2022 και μετά, με αποτέλεσμα οι κυβερνο-εγκληματίες και<br />
οι κυβερνο-κατασκοπεία να κάνει ευρεία χρήση της εν λόγω<br />
τεχνολογίας στο πλαίσιο επιθέσεων κοινωνικής μηχανικής,<br />
με σκοπό την ευκολότερη προσαρμογή του περιεχομένου σε<br />
συγκεκριμένους στόχους. Κατ’ αυτόν τον τρόπο, αναμένεται<br />
ότι οι μηχανισμοί πιστοποίησης ταυτότητας και ελέγχου<br />
πρόσβασης θα παρακάμπτονται ευκολότερα. Επισημαίνεται<br />
52 security
ότι φορείς οι οποίοι χρηματοδοτούνται από<br />
συγκεκριμένα κράτη έχουν αρχίσει να επιδεικνύουν<br />
αυξανόμενο ενδιαφέρον για αυτήν<br />
την τεχνολογία.<br />
Οι Κυβερνήσεις σε ρόλο<br />
επιτιθέμενου<br />
Οι Κυβερνήσεις διαφόρων κρατών έχουν<br />
αναπτύξει αξιοσημείωτη επιθετική δραστηριότητα<br />
μέσω στοχευμένων και καλά οργανωμένων<br />
κυβερνοεπιθέσεων. Οι συγκεκριμένες<br />
δραστηριότητες αναμένεται να αυξηθούν<br />
και να «αξιοποιηθούν» συναφώς οι<br />
οργανωμένοι εγκληματίες του κυβερνοχώρου αλλά και τα<br />
μέσα κοινωνικής δικτύωσης, έτσι ώστε οι στοχευμένες επιθέσεις<br />
ή/και διασπορά ψευδών ειδήσεων να διαπράττονται<br />
σε μεγαλύτερο βαθμό. Με την προβλεπόμενη αύξηση τέτοιου<br />
είδους τακτικών σε συνδυασμό με την ασάφεια ως προς<br />
τα κίνητρα και τη ταυτότητα των κυβερνοεγκληματιών, ο<br />
επιχειρηματικός κλάδος θα πρέπει να είναι σε συνεχή εγρήγορση<br />
και να μπορεί να ανιχνεύει άμεσα απόπειρες κυβερνοεπιθέσεων,<br />
αλλά και να συλλέγει πληροφορίες για τέτοιου<br />
είδους ενέργειες, ιδιαίτερα γι’ αυτές που αφορούν στον<br />
κλάδο, στον οποίοι δραστηριοποιείται.<br />
Κακόβουλες ενέργειες κατά παραγγελία<br />
Οι παράνομες δραστηριότητες που αφορούν στην παροχή<br />
υπηρεσιών κυβερνοεπιθέσεων ή στην κατασκευή λογισμικού<br />
τύπου Ransomware και στην παροχή κρίσιμων και<br />
εμπιστευτικών πληροφοριών οι οποίες έχουν παρανόμως<br />
υποκλαπεί, μεταλλάσσονται και εξελίσσονται συνεχώς. Το<br />
2022 αναμένεται η δραστηριοποίηση αυτοδύναμων ομάδων<br />
οι οποίες θα είναι καλύτερα οργανωμένες και οι οποίες<br />
θα έχουν τη δυνατότητα όχι μόνο να κατασκευάσουν το<br />
κακόβουλο λογισμικό, αλλά και να το χρησιμοποιήσουν σε<br />
συνδυασμό με επιθετικές τεχνικές παρείσδυσης, προκειμένου<br />
να ελέγξουν δίκτυα και πληροφορίες των οργανισμών<br />
στους οποίους θα επιτίθενται κατά παραγγελία. Το γεγονός<br />
αυτό συνεπάγεται την αναπόφευκτη αύξηση των κυβερνοεπιθέσεων,<br />
, αφού αυτές θα μπορούν να εκδηλωθούν κατά<br />
παραγγελία και δεν θα απαιτείται αυξημένη εξειδίκευση και<br />
τεχνογνωσία από τους παραγγελιοδόχους.<br />
Συνεργάτες και εφοδιαστική αλυσίδα<br />
Οι κυβερνοεπιθέσεις πλήττουν ολοένα και περισσότερο επιχειρήσεις<br />
οι οποίες αποτελούν ζωτικό κομμάτι της εφοδιαστικής<br />
αλυσίδας πολλών εταιρειών και οργανισμών, ιδιαίτε-<br />
ρα όσον αφορά στη λειτουργία των ψηφιακών υποδομών<br />
τους. Οι οργανισμοί πρέπει να είναι προσηκόντως προετοιμασμένοι<br />
ώστε ν’ αντιμετωπίσουν περιπτώσεις απώλειας<br />
της διαθεσιμότητας των υπηρεσιών και των πληροφοριών<br />
τους από περιστατικά στα οποία δεν θα είναι οι ίδιοι, κατ΄<br />
ανάγκη, ο πρωταρχικός στόχος. Κατ’ επέκταση, σε τέτοιες<br />
περιπτώσεις δεν θα είναι σε θέση να διαθέτουν την πλήρη<br />
εικόνα ούτε την απαιτούμενη πληροφόρηση σχετικά με την<br />
επίθεση. Αυτό σημαίνει ότι εταιρείες και Οργανισμοί θα πρέπει<br />
να βεβαιωθούν ότι οι προμηθευτές και συνεργάτες τους<br />
είναι επαρκώς θωρακισμένοι όσον αφορά στην ασφάλεια<br />
των πληροφοριών και των ψηφιακών τους υποδομών. Οι<br />
συγκεκριμένοι έλεγχοι αναμένεται ν’ αποτελέσουν αναπόσπαστο<br />
κομμάτι του προγράμματος αξιολόγησης κινδύνων<br />
των οργανισμών το οποίο είναι άρρηκτα συνδεδεμένο και με<br />
τον επιχειρηματικό λειτουργικό κίνδυνο.<br />
Εκπαίδευση και εγρήγορση προσωπικού<br />
Η υιοθέτηση ενός υβριδικού τρόπου εργασίας έχει αυξήσει<br />
την έκθεση των εργαζομένων σε κυβερνοεπιθέσεις. Η<br />
παρουσία της κάθε εταιρείας εκτείνεται πέρα από το στενό<br />
πλαίσιο του εταιρικού ψηφιακού δικτύου, πρακτικά δηλ.<br />
η εταιρεία βρίσκεται όπου βρίσκεται ο κάθε εργαζόμενος ο<br />
οποίος συνδέεται στο εταιρικό δίκτυο. Ως εκ τούτου, η ευθύνη<br />
για την ασφάλεια των πληροφοριών ενός οργανισμού,<br />
σήμερα περισσότερο από ποτέ, δεν μπορεί να εντάσσεται<br />
αποκλειστικά στη σφαίρα ευθύνης των ομάδων πληροφορικής,<br />
αντίθετα, θα πρέπει να κατανέμεται αντίστοιχα και<br />
βάσει του βαθμού εμπλοκής του καθενός, στο σύνολο του<br />
προσωπικού. Αυτό προϋποθέτει ενημέρωση και εκπαίδευση<br />
όλου του προσωπικού, αδιακρίτως και κατά τρόπο αποτελεσματικό<br />
και προσαρμοσμένο σε κάθε ομάδα εργαζομένων<br />
ανάλογα με το ειδικότερο αντικείμενο απασχόλησης της<br />
καθεμιάς εξ αυτών.<br />
security<br />
53
T<strong>72</strong>11/12.2021<br />
Issue<br />
Devsecops<br />
Οι επιθέσεις που αφορούν στην εφοδιαστική αλυσίδα, οι λάθος<br />
χειρισμοί δεδομένων μέσα σε εφαρμογές και οι γνωστές<br />
αδυναμίες και κενά ασφάλειας τα οποία δεν αντιμετωπίστηκαν<br />
έγκαιρα την περασμένη χρονιά, κατέστησαν σαφές ότι η<br />
υιοθέτηση του DevSecOps είναι το επόμενο στάδιο εξέλιξης<br />
του DevOps και η κινητήρια δύναμη που προσθέτει αξία, ταχύτητα<br />
και ασφάλεια σε όλα τα στάδια του κύκλου ζωής ανάπτυξης<br />
λογισμικού (SDLC).<br />
OT & Cyber/Physical<br />
Ο χώρος του ΟΤ θα αποτελεί ολοένα και περισσότερο πεδίο<br />
έρευνας και εκμετάλλευσης αδυναμιών ασφάλειας αλλά<br />
και πρόσφορο έδαφος προσέλκυσης επιθέσεων τύπου<br />
ransomware. Τα περισσότερα από τα ψηφιακά συστήματα<br />
ΟΤ δεν έχουν σχεδιαστεί ούτε κατασκευαστεί με γνώμονα<br />
την ψηφιακή ασφάλεια. Για τον λόγο αυτόν παρατηρείται τεράστια<br />
αύξηση των αδυναμιών ασφάλειας, με ίδια αυξητική<br />
τάση και στο μέλλον.<br />
Αδυναμίες ασφάλειας λογισμικού<br />
(Vulnerabilities)<br />
Το 2021 υπήρξε μία από τις χειρότερες χρονιές που έχουν<br />
καταγραφεί σε σχέση με τον αριθμό των αδυναμιών ασφάλειας<br />
(zero-day) που ανακοινώθηκαν και αποτέλεσαν πεδίο<br />
εκμετάλλευσης από κακόβουλους χρήστες. Πλέον, ο χρόνος<br />
που θα απαιτείται για να κατασκευάζεται ο κώδικας εκμετάλλευσης<br />
των αδυναμιών ασφάλειας (exploits) που θα<br />
αφορά στις νέες αδυναμίες θα μετριέται σε ώρες και η μόνη<br />
ασπίδα προστασίας θα είναι η εγκατάσταση των patches,<br />
εφόσον αυτά είναι διαθέσιμα. Από πλευράς επιχειρήσεων,<br />
αναμένονται ενέργειες για μεγιστοποίηση της αποτελεσματικότητας<br />
των διεργασιών διαχείρισης των ψηφιακών πόρων<br />
(asset management) και εγκατάσταση των patches (patch<br />
management). Αναπόφευκτα, προσπάθειες εκμετάλλευσης<br />
των αδυναμιών ασφάλειας θα εξακολουθήσουν να υπάρχουν,<br />
ταυτόχρονα όμως αναμένεται να μειωθεί το εύρος της<br />
εκμετάλλευσης και οι αρνητικές επιπτώσεις, καθώς οι περισσότεροι<br />
οργανισμοί θα εντείνουν την προσπάθειά τους για<br />
αποτελεσματική υλοποίηση και τήρηση των βασικών μέτρων<br />
προστασίας που αφορούν στην ασφάλεια των πληροφοριών<br />
και των ψηφιακών υποδομών.<br />
Ολιστική θεώρηση για την ασφάλεια των<br />
πληροφοριών<br />
Η ασφάλεια πληροφοριών είναι μια συνεχής διεργασία διαχείρισης<br />
κινδύνων η οποία επιδιώκει να είναι κατά το δυνατόν<br />
αποτελεσματικότερη, , προκειμένου να υποστηρίξει τις<br />
επιχειρηματικές ανάγκες και να προστατεύσει τα κρίσιμα και<br />
προσωπικά δεδομένα. Είναι περισσότερο από ποτέ ορατή η<br />
ανάγκη αποτελεσματικής εφαρμογής των βασικών αρχών<br />
και δικλείδων ασφαλείας, ενώ ταυτόχρονα αναδεικνύεται<br />
έντονη η ανάγκη προσαρμογής της στρατηγικής, της αρχιτεκτονικής<br />
και της διαχείρισης των απειλών στο νέο συνεχώς<br />
εξελισσόμενο ψηφιακό/φυσικό/εικονικό κόσμο. Η ολιστική<br />
προσέγγιση για την Ασφάλεια των Πληροφοριών, όπου και<br />
αν αυτές βρίσκονται μέσα στο ευρύτερο εταιρικό περιβάλλον,<br />
είναι μονόδρομος. Ο διαχωρισμός και ο κατακερματισμός<br />
της διαχείρισης της ασφάλειας στο επιχειρηματικό περιβάλλον<br />
ανήκουν πλέον στο παρελθόν πλέον παρελθόν. Η<br />
αναδυόμενη μέσα από τις συνθήκες αβεβαιότητα καλεί για<br />
αποτελεσματικότητα και ολιστική προσέγγιση.<br />
54 security
Partnernet<br />
www.cysoft.gr<br />
Wi-Fi 6, η επόμενη μέρα στην<br />
ασύρματη σύνδεση στο Internet<br />
ξυγόνο, νερό, Wi-Fi, για πολλούς<br />
αυτά είναι τα τρία<br />
Ο<br />
απαραίτητα στοιχεία<br />
για τη διατήρηση της<br />
ζωής στον πλανήτη<br />
τον 21ο αιώνα. Μέσω αυτής της<br />
υπερβολής αποτυπώνεται η σημασία<br />
της ασύρματης σύνδεσης στο διαδίκτυο,<br />
τόσο για επαγγελματικούς,<br />
όσο και για προσωπικούς σκοπούς.<br />
Με την πάροδο του χρόνου οι συσκευές<br />
που βρίσκονται συνεχώς συνδεδεμένες<br />
και εξαρτώνται από το Wi-Fi γίνονται<br />
ολοένα και περισσότερες. Είναι χαρακτηριστικό<br />
πως όταν κυκλοφόρησε<br />
στην αγορά η τεχνολογία του<br />
Wi-Fi 5 ένα μέσο σπίτι στις Η.Π.Α. διέθετε<br />
μόλις 5 συσκευές συνδεδεμένες ταυτόχρονα<br />
στο Wi-Fi, ενώ σήμερα ο αντίστοιχος αριθμός είναι 9<br />
και πολλοί ειδικοί του χώρου υποστηρίζουν πως δεν είμαστε<br />
μακριά από την εποχή που σε ένα μέσο σπίτι θα είναι συνδεδεμένες<br />
ταυτόχρονα έως και 50 συσκευές. Αυτός ο αριθμός<br />
ίσως μοιάζει εξωπραγματικός, αλλά σκεφτείτε για μια στιγμή<br />
πόσες νέες, αλλά και παραδοσιακές συσκευές, επαναπροσδιορίζονται<br />
ως έξυπνες, όπως οι κάμερες ασφαλείας, ο θερμοστάτης,<br />
το air-condition, ακόμη και το ψυγείο, ή το πλυντήριο.<br />
Για να λειτουργήσουν όλες αυτές οι συσκευές και ταυτόχρονα<br />
να υπάρχει η δυνατότητα απρόσκοπτης εργασίας, ενημέρωσης<br />
ή ψυχαγωγίας online, για τους ανθρώπους που ζουν στο<br />
σπίτι, είναι παραπάνω από απαραίτητη μία τεχνολογία η οποία<br />
θα επιτρέπει ακόμη υψηλότερη ταχύτητα, η οποία δε θα εκμεταλλεύεται<br />
από μία και μόνο συσκευή, αλλά θα μοιράζεται σε<br />
όλες ώστε να μη δημιουργείται πρόβλημα στη συνδεσιμότητα.<br />
Αυτή η νέα τεχνολογία είναι το Wi-Fi 6, το οποίο έρχεται με<br />
το νέο GWN7660 Access Point της Grandstream. Το Wi-<br />
Fi 6 δίνει τη δυνατότητα ταυτόχρονης σύνδεσης σε ακόμη περισσότερες<br />
συσκευές, ενώ αυξάνει την ταχύτητα του δικτύου<br />
στα 9.6 Gbps, από τα 3.5 Gbps του Wi-Fi 5. Το GWN7660<br />
της Grandstream είναι μια αξιόπιστη λύση, υψηλής απόδοσης,<br />
ιδανική για μικρομεσαίες επιχειρήσεις, γραφεία, εμπορι-<br />
κά κέντρα, ξενοδοχεία και άλλες εγκαταστάσεις.<br />
Υποστηρίζει dual-band 2x2:2 MU-MIMO με<br />
τεχνολογία DL/UL OFDMA και εξελιγμένο<br />
σχεδιασμό κεραίας προσφέροντας μέγιστη<br />
απόδοση δικτύου και ακόμη μεγαλύτερο<br />
εύρος κάλυψης Wi-Fi. Παρέχει<br />
ενσωματωμένο controller στο web<br />
user interface, διασφαλίζοντας ταχεία<br />
και εύκολη εγκατάσταση και διαχείριση.<br />
Το πιο ενδιαφέρον σημείο, όμως, είναι<br />
πως υποστηρίζεται από την δωρεάν<br />
πλατφόρμα για απομακρυσμένη διαχείριση<br />
Wi-Fi της Grandstream, GWN.Cloud, που είναι<br />
η κατάλληλη εφαρμογή για VoIP Wi-<br />
Fi τερματικά και προσφέρει απρόσκοπτη<br />
σύνδεση με τα IP τηλέφωνα της<br />
Grandstream που υποστηρίζουν Wi-Fi.<br />
Ακόμη, το GWN7660 Access Point διαθέτει χαρακτηριστικά<br />
όπως προηγμένο QoS, υποστήριξη low-latency<br />
εφαρμογών σε πραγματικό χρόνο, δικτύων mesh, captive<br />
portals, έως και 256 client συσκευών Wi-Fi ταυτόχρονα ανά<br />
AP και 2 θύρες Gigabit με ενσωματωμένο PoE/PoE+. Γι' αυτούς<br />
τους λόγους το συγκεκριμένο Wi-Fi 6 Access Point<br />
της Grandstream αποτελεί την ιδανική λύση για κάθε επιχείρηση<br />
που επιθυμεί να αναβαθμίσει σήμερα την ασύρματη σύνδεση<br />
των εργαζομένων και των συσκευών της στο διαδίκτυο.<br />
Η Grandstream προσφέρει ένα ολοκληρωμένο οικοσύστημα<br />
συσκευών για τη διαχείριση εγκαταστάσεων που περιλαμβάνει<br />
πέρα από τις κάμερες: intercoms, encoders/<br />
decoders, control stations, facility access systems και video<br />
management software.<br />
Τα προϊόντα της Grandstream αντιπροσωπεύονται στην Ελλάδα<br />
από την εταιρεία PartnerΝΕΤ, www.partnernet-ict.<br />
com, τηλ.: 2107100000, sales@partnernet-ict.com<br />
security<br />
55
T<strong>72</strong>11/12.2021<br />
Issue<br />
Ανασκόπηση αγοράς Cyber Insurance<br />
& Ελληνική πραγματικότητα.<br />
Η αγορά της ασφάλισης cyber insurance διεθνώς σημείωσε ταχεία ανάπτυξη και γρήγορη<br />
εξέλιξη τα προηγούμενα έτη για να ανταποκριθεί στις ανάγκες των εταιρειών για ασφαλιστική<br />
κάλυψη των κυβερνοκινδύνων. Σήμερα, ως αποτέλεσμα της εκρηκτικής αύξησης των<br />
επιθέσεων ransomware, οι ασφαλιστικές εταιρίες έχουν οδηγηθεί στην επανεκτίμηση της<br />
διαδικασίας ανάληψης κινδύνου.<br />
ι ασφαλισμένες επιχειρήσεις για μεγάλο χρονικό<br />
διάστημα είχαν στη διάθεσή τους ασφα-<br />
Ο<br />
λιστικά προϊόντα με μεγάλο εύρος καλύψεων,<br />
ετήσια ασφάλιστρα χωρίς μεγάλες μεταβολές<br />
και παροχή υπηρεσιών πρόληψης<br />
περιστατικών παραβίασης ασφάλειας για να διαχειριστούν<br />
αποτελεσματικά τα τυχόν συμβάντα.<br />
H εκρηκτική αύξηση των επιθέσεων ransomware (το μέσο<br />
κόστος ενός περιστατικού έφτασε τα $4,62 εκατομμύρια<br />
δολάρια σύμφωνα με τo report "Cost of Data Breach Report<br />
2021" της IBM), οι οποίες δεν περιορίζονται από γεωγραφικά<br />
όρια και με την χρήση της τεχνητής νοημοσύνης και της<br />
μηχανικής μάθησης οι επιθέσεις έχουν εξελιχθεί κάνοντας<br />
οποιαδήποτε εταιρία δυνητικό θύμα τους, αύξησε τον αριθμό<br />
των ζημιών των ασφαλιστικών εταιριών δραματικά.<br />
Επανεκτίμηση των συνθηκών και νέα πολιτική<br />
ανάληψης κινδύνου<br />
Η αύξηση των ζημιών λόγω περιστατικών ransomware οδήγησε<br />
τις ασφαλιστικές εταιρίες στην επανεκτίμηση της διαδικασίας<br />
ανάληψης κινδύνου και στην επιλεκτική επιλογή εταιριών<br />
προς ασφάλιση. Η επανεκτίμηση συνοδεύτηκε με μεγαλύτερο<br />
έλεγχο των τεχνικών και οργανωτικών μέτρων κάθε<br />
εταιρίας για την αντιμετώπιση περιστατικών παραβίασης,<br />
με χρήση ειδικού λογισμικού εξέτασης των συστημάτων<br />
της, με αλλαγές των παρεχόμενων καλύψεων, με μείωση<br />
ορίων ασφαλιστικής κάλυψης , εισαγωγή συνασφάλισης<br />
, αύξηση απαλλαγών και μεγάλες αυξήσεις ασφαλίστρων.<br />
Η νέα πολιτική ανάληψης κινδύνου ζητά από τον ασφαλισμένο<br />
ή την υπό ασφάλιση εταιρία να αποδείξει ότι<br />
έχει εφαρμόσει ενισχυμένα επίπεδα ελέγχου ασφάλειας για<br />
56 security
Νίκος Γεωργόπουλος<br />
Cyber Privacy Risks Advisor Cromar Coverholder at Lloyd’s, Co – Founder DPO Academy<br />
www.linkedin.com/in/nikos-georgopoulos/<br />
την πρόληψη, τον εντοπισμό και την ανταπόκριση στα σημερινά<br />
εξελιγμένα περιστατικά παραβίασης ασφάλειας.<br />
Οι εταιρίες που δεν έχουν φροντίσει να έχουν τις κατάλληλες<br />
υποδομές και δεν έχουν δώσει έμφαση την<br />
εκπαίδευση του ανθρώπινου δυναμικού τους δεν έχουν<br />
πλέον δυνατότητα να ασφαλιστούν ή να διατηρήσουν<br />
το ασφαλιστικό πρόγραμμα και τις παροχές που έχουν.<br />
Η ασφάλιση cyber insurance είναι ένα ασφαλιστικό προϊόν<br />
του οποίου η κάλυψη είναι παγκόσμια. Το Internet δεν έχει<br />
τόπο και ο κίνδυνος δεν κάνει διάκριση. Η Ελλάδα ανέβηκε<br />
στην 5η θέση παγκοσμίως στην κατάταξη των χωρών που<br />
δέχονται κυβερνοεπιθέσεις.<br />
Η περίοδος της πανδημίας αύξησε τους κινδύνους που αντιμετωπίζει<br />
κάθε εταιρία. Ο ψηφιακός μετασχηματισμός που<br />
έλαβε χώρα κατά την διάρκεια της πανδημίας εξέθεσε τις<br />
εταιρίες σε νέους κινδύνους για την διαχείριση των οποίων<br />
χρειάζεται και ασφάλιση cyber insurance. Χωρίς την υιοθέτηση<br />
νέων υπηρεσιών εξυπηρέτησης οι περισσότερες εταιρίες<br />
θα βρίσκονταν στο φάσμα της χρεωκοπίας. Σήμερα ένα πολύ<br />
μεγάλο ποσοστό των εταιρικών περιουσιακών στοιχείων είναι<br />
άυλα και ανασφάλιστα. Άυλα περιουσιακά στοιχεία είναι π.χ<br />
είναι τα δεδομένα των πελατών της, οι πατέντες που διατηρεί.<br />
H ασφάλιση πλέον θα πρέπει να αντιμετωπίζεται σαν<br />
εταιρική υποδομή η οποία προσφέρει ανταγωνιστικό<br />
πλεονέκτημα στις εταιρίες που την έχουν υιοθετήσει.<br />
Αυτό που βλέπουμε είναι οτι η ύπαρξη ασφάλισης έχει καταστεί<br />
υποχρεωτική για την συμμετοχή σε έργα ασφάλειας<br />
πληροφοριακών συστημάτων, σε περιπτώσεις συγχωνεύσεων<br />
και εξαγορών και σε εταιρικές συνεργασίες. Για να έχετε<br />
μια πλήρη εικόνα των τεχνικών και οργανωτικών μέτρων που<br />
ζητάνε οι ασφαλιστές από τις εταιρίες που ασφαλίζουν μπορείτε<br />
να κατεβάσετε τις προτάσεις ασφάλισης που βρίσκονται στην<br />
ενότητα Προσφορά Ασφάλισης στην ιστοσελίδα https://www.<br />
cyberinsurancequote.gr/get-a-quote/.<br />
Το νέο τοπίο στην Ελληνική αγορά<br />
Οι μεταβολές που συνέβησαν στην διεθνή αγορά επηρέασαν<br />
ανάλογα και την Ελληνική αγορά. Και στην Ελληνική<br />
αγορά είχαμε μεγάλη αύξηση περιστατικών ransomware σε διάφορους<br />
τομείς ανεξαρτήτως μεγέθους εταιρίας. Το ποσοστό<br />
των περιστατικών παραβίασης ασφάλειας που κοινοποιήθηκαν<br />
στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα<br />
και οφείλονταν σε ransomware έφθασε το 30%. Οι ελληνικές<br />
επιχειρήσεις βρέθηκαν σε ένα νέο τοπίο είτε οταν αναζητούσαν<br />
ασφαλιστική κάλυψη είτε ήταν σε διαδικασία ανανέωσης υφιστάμενων<br />
προγραμμάτων. Πιο συγκεκριμένα οι ανανεώσεις<br />
των υφιστάμενων προγραμμάτων συνοδεύτηκαν από μεγάλα<br />
ποσοστά αυξήσεων, περιορισμούς στο ποσό της ασφαλιστικής<br />
κάλυψης, μερικές φορές ποσοστό συνασφάλισης και απαίτηση<br />
υλοποίησης συγκεκριμένων μέτρων εντός ορισμένου χρονικού<br />
διαστήματος για να συνεχιστεί η ασφαλιστική κάλυψη. Πολλες<br />
εταιρίες που δεν είχαν ασφάλιση και ήθελαν να αγοράσουν δεν<br />
μπορούσαν γιατί τα μέτρα ασφαλείας δεν ήταν αρκετά.<br />
Ενα ακόμα παγκόσμιο φαινόμενο είναι η έλλειψη κατανόησης<br />
των κινδύνων που συνδέονται με τον κυβερνοχώρο<br />
από τα στελέχη και τους υπαλλήλους των εταιριών<br />
κάτι που έκανε την κάθε εταιρία πιο ευάλωτη.<br />
security<br />
57
T<strong>72</strong>11/12.2021<br />
Issue<br />
Αναγνωρισμένο Μεταπτυχιακό<br />
πρόγραμμα στη Κυβερνοασφάλεια<br />
Το City Unity College σε συνεργασία με το βραβευμένο Αγγλικό Πανεπιστήμιο Coventry,<br />
προσφέρει μεταπτυχιακό πρόγραμμα στη Κυβερνοασφάλεια (MSc Cyber <strong>Security</strong>).<br />
ο μεταπτυχιακό πρόγραμμα στη Κυβερνοασφάλεια<br />
(MSc Cyber <strong>Security</strong>) είναι πρωτο-<br />
Τ<br />
ποριακό και στοχεύει στην παροχή μιας ολοκληρωμένης<br />
και βαθιάς κατανόησης των αρχών<br />
ασφάλειας, καθώς και των πρακτικών<br />
τεχνικών που χρησιμοποιούνται για την επίλυση προβλημάτων<br />
ασφαλείας και την αντιμετώπιση σχετικών ζητημάτων. Το πρόγραμμα<br />
είναι διαπιστευμένο και αναγνωρισμένο από το Εθνικό<br />
Κέντρο Κυβερνοασφάλειας της Αγγλίας. Το μάθημα έχει σχεδιαστεί<br />
για να εξοπλίσει τους σπουδαστές να εργαστούν σε επαγγελματικό<br />
επίπεδο και να αναπτύξουν μια σειρά από γνώσεις και<br />
δεξιότητες ενημερωμένες από τη βιομηχανία σε τομείς όπως η<br />
ασφάλεια δικτύου, ο ασφαλής σχεδιασμός, η κρυπτογραφία, η<br />
εκτίμηση κινδύνου, η ηθική εισβολή (Ethical Hacking), η ψηφιακή<br />
ιατροδικαστική (Digital Forensics) και η αντιμετώπιση<br />
περιστατικών. Θα διδαχτούν τεχνικές που θα τους βοηθήσουν<br />
στην ανάκτηση δεδομένων και θα μπορέσουν να επιδιώξουν<br />
να χαρακτηριστούν Διαπιστευμένοι Πιστοποιημένοι Εξεταστές®<br />
(ACE®) Αυτή είναι μια επαγγελματική πιστοποίηση από την<br />
AccessData, μία από τις 2 κορυφαίες εταιρείες Digital Forensics<br />
στον κόσμο.Το Πανεπιστήμιο Coventry έχει χαρακτηριστεί ως<br />
το κορυφαίο σύγχρονο πανεπιστήμιο του Ηνωμένου Βασιλείου<br />
για επτά συνεχόμενα χρόνια από τον Guardian University Guide.<br />
Οι γενικοί στόχοι του προγράμματος είναι να<br />
αναπτύξει:<br />
• Μια βαθιά και ολοκληρωμένη κατανόηση των σημερινών<br />
θεμάτων, ιδεών και τεχνολογιών ασφάλειας στον<br />
κυβερνοχώρο.<br />
• Τεχνικές δεξιότητες στην αξιολόγηση της ασφάλειας<br />
των συστημάτων, στον εντοπισμό και τον μετριασμό<br />
συμβάντων ασφαλείας.<br />
58 security
Σπύρος Δ. Πανανικολάου<br />
Head of Computer Science Department City Unity College<br />
www.cityu.gr<br />
• Κατανόηση του μεταβαλλόμενου τοπίου απειλών στον<br />
κυβερνοχώρο και των εξελίξεων στον κυβερνοχώρο.<br />
Στο πρόγραμμα σπουδών περιλαμβάνονται τα<br />
μαθήματα:<br />
Network <strong>Security</strong>, Ethical Hacking, Cryptography,<br />
Information <strong>Security</strong> Management, Incident Response,<br />
Digital Data Acquisition, Recovery and Analysis, <strong>Security</strong><br />
of Emerging Connected Systems, Digital <strong>Security</strong> Risk and<br />
Audit Management, Cyber <strong>Security</strong> Individual Project<br />
Ο φοιτητής που ολοκληρώνει επιτυχώς το πρόγραμμα<br />
θα αποκτήσει τα ακόλουθα μαθησιακά αποτελέσματα:<br />
1. Κριτική επίγνωση των νομικών πλαισίων, ηθικών και<br />
επαγγελματικών θεμάτων ασφάλειας στον κυβερνοχώρο.<br />
2. Συστηματική αξιολόγηση, αναγνώριση και ανάλυση κινδύνου<br />
σύμφωνα με τα διεθνή πρότυπα και να αναπτύξει την<br />
ικανότητα αντιμετώπισης πολύπλοκων ζητημάτων.<br />
3. Ολοκληρωμένη κατανόηση των τεχνολογιών και των πρωτοκόλλων<br />
ασφαλούς επικοινωνίας δικτύων και συστημάτων<br />
πληροφοριών και της εφαρμογής τους σε σύγχρονες λύσεις<br />
και τεχνολογίες που βασίζονται στο Διαδίκτυο και στα κινητά.<br />
4. Επιλογή κατάλληλης μεθοδολογίας και εργαλείων για την<br />
αξιολόγηση ευπάθειας ενός συστήματος. Διεξαγωγή ηθικά<br />
βασισμένου ελέγχου ασφαλείας και δοκιμή σε επαγγελματικό<br />
πρότυπο, προτείνοντας και καθορίζοντας κατάλληλα αντίμετρα<br />
5. Εμπεριστατωμένη κατανόηση των θεωρητικών εννοιών<br />
και εφαρμογής των σημερινών πλαισίων και αρχιτεκτονικών<br />
ασφαλείας, καθώς και κρυπτογραφικών πρωτοκόλλων και<br />
αλγορίθμων. Αξιολόγηση των απαιτήσεων ασφαλείας των<br />
συστημάτων και η εφαρμογή ασφαλούς μεθοδολογίας.<br />
6. Εφαρμογή τεχνολογικών λύσεων και διαδικασιών για τον<br />
εντοπισμό, τη διαχείριση και τη διερεύνηση περιστατικών<br />
ασφάλειας πληροφοριών και τεκμηρίωση ψηφιακής έρευνας<br />
από νομική και επαγγελματική άποψη.<br />
7. Κριτικής επίγνωση για τρέχοντα ζητήματα και νέες τεχνολογίες<br />
στον τομέα της ασφάλειας στον κυβερνοχώρο, τα οποία ενημερώνονται<br />
από κορυφαία έρευνα και/ή πρακτική στον τομέα.<br />
8. Διεξαγωγή αυστηρής / επίσημης έρευνας σε θέματα ασφάλειας<br />
στον κυβερνοχώρο που απαιτούν εξοικείωση με μια σειρά<br />
τεχνολογιών, πηγών έρευνας και κατάλληλες μεθοδολογίες,<br />
και για να ενημερώσουν τη συνολική μαθησιακή διαδικασία.<br />
Σε ποιους απευθύνεται: Το Πρόγραμμα απευθύνεται σε<br />
πτυχιούχους πανεπιστημίων και επαγγελματίες που ξεκινούν<br />
ή βρίσκονται στη μέση της σταδιοδρομία τους στον κλάδο της<br />
πληροφορικής με στόχο να βελτιώσουν τις γνώσεις τους ή<br />
να προχωρήσουν σε επαγγελματική καριέρα στην ασφάλεια<br />
του κυβερνοχώρου.<br />
Γλώσσα παρακολούθησης: Αγγλικά. Οι υποψήφιοι θα πρέπει<br />
να κατέχουν αποδεικτικό γνώσης αγγλικής γλώσσας επιπέδου<br />
τουλάχιστον Β2 ή IELTS 6.5.<br />
Προϋποθέσεις Εισαγωγής: Οι υποψήφιοι θα πρέπει να είναι<br />
πτυχιούχοι τριτοβάθμιας εκπαίδευσης. Κατά προτίμηση<br />
το πτυχίο θα πρέπει να είναι σε Computer Science, ή σε κάποιο<br />
άλλο παρεμφερή κλάδο, που θα περιλαμβάνει μαθήματα<br />
Computer Science.<br />
Τα πτυχία που είναι από Βρετανικά Πανεπιστήμια πρέπει<br />
να είναι το λιγότερο σε Second Division, Second Class 2.2.<br />
Δεκτοί επίσης γίνονται και στελέχη που δεν έχουν πτυχίο<br />
στους παραπάνω κλάδους, με την προϋπόθεση να αξιολογηθούν<br />
θετικά από το αρμόδιο ακαδημαϊκό προσωπικό του<br />
City Unity College.<br />
Χρονική διάρκεια: Η διάρκεια του Προγράμματος είναι 1.5<br />
έτος (πλήρης φοίτηση) ή 2,5 έτη (μερική φοίτηση). Οι φοιτητές<br />
θα πρέπει να εξεταστούν επιτυχώς σε οκτώ (8) μαθήματα και<br />
επιπλέον στη συγγραφή Διπλωματικής Εργασίας.<br />
Διδάσκοντες: Το διδακτικό προσωπικό αποτελείται από<br />
Ακαδημαϊκούς, Στελέχη ιδιωτικών και κυβερνητικών Οργανισμών<br />
– Υπουργείων με εξειδίκευση στους τομείς της ασφάλειας<br />
στον κυβερνοχώρο. Στελέχη με ακαδημαϊκή και επαγγελματική<br />
εμπειρία στα συναφή αντικείμενα του Προγράμματος.<br />
Παράλληλα οι φοιτητές θα έχουν την ευκαιρία να παρακολουθούν<br />
και διαλέξεις από το Πανεπιστήμιο του Coventry<br />
καθώς και guest lectures από επαγγελματίες του πεδίου.<br />
Τρόποι παρακολούθησης: Το πρόγραμμα σπουδών διεξάγεται<br />
στο κεντρικό κτήριο του City Unity College, στο Σύνταγμα.<br />
Οι φοιτητές υποστηρίζονται και με την online ηλεκτρονική<br />
πλατφόρμα του κολλεγίου μας με δυνατότητες παρακολούθησης<br />
των μαθημάτων και πρόσβαση στο μαθησιακό ακαδημαϊκό.<br />
Οι ηλεκτρονικές βιβλιοθήκες του Πανεπιστημίου<br />
Coventry καθώς και του City Unity College είναι επίσης<br />
διαθέσιμες.<br />
Τιμολογιακή πολιτική: Εκπτώσεις σε ειδικές κατηγορίες<br />
ενδιαφερομένων, όπως Στελέχη με πολύχρονη αποδεδειγμένη<br />
εμπειρία, πολύτεκνοι, απόφοιτοι Πανεπιστημίων με<br />
εξαιρετική ακαδημαϊκή απόδοση κ.α.<br />
Αναγνώριση: Βάσει του ΠΔ 38/2010, όπως τροποποιήθηκε<br />
από τους νόμους 4093/2012 & 4111/2013, τα<br />
πτυχία ευρωπαϊκών πανεπιστημίων και λοιπών χωρών, που<br />
αποκτώνται με παρακολούθηση προγραμμάτων σε αναγνωρισμένα<br />
Κολέγια, τυγχάνουν επαγγελματικής αναγνώρισης<br />
από το Αυτοτελές Τμήμα Εφαρμογής της Ευρωπαϊκής Νομοθεσίας<br />
‘ΑΤΕΕΝ’ του Υπουργείου Παιδείας.<br />
Εκδήλωση Ενδιαφέροντος: https://cityu.gr/en/courses/<br />
cyber-security-msc-coventry/<br />
security<br />
59
Change language