Olcsó laptop variációk

Épp úgy, mint az olcsó modellek esetében, a drágább, széleskörűbb felhasználásra készült gépekből is temérdek található a piacon. Szinte végtelen a kínálat a piacon, épp ezért nem is könnyű azonnal megtalálni az igényeinknek és a pénztárcánknak ideális számítógépet. Még bonyolultabb a helyzet akkor, ha a könnyű hordozhatóság is bekerül a lépbe. Szerencsére manapság már ezekből sincs hiány, ugyanakkor felmerül a kérdés: mégis melyik gyártó készülékei között érdemes keresgélni? Az általánosítás helyett mi ebben a cikkben most egy MSI, valamint egy Dell laptopot mutatunk be.

Az MSI laptop (http://hu.msi.com), amelyet választottunk a GS70 Stealth. Már a külsején is látszik, hogy egy profi, elsősorban játékra szánt eszközről van szó, amelynek a különféle grafikus munkák elvégzése sem okoz problémát. Ezt a hardver csak alátámasztja, hiszen a vékonynak nem mondható gépházban egy Intel Core i7 processzor, 8GB ram, valamint egy nVidia GeForve GT765 kapott helyett. Ezzel manapság a legtöbb játék elfuttatható megfelelő minőségben. A sok helynek köszönhetően a gyártónak a portokkal sem kellett spórolnia, ennek megfelelően megtalálható 4 USB csatlakozó, egy HDMI kimenet, valamint további extrák is. A játékoknak jócskán van hol elférnie, hiszen az MSI egy 750 GB-os merevlemezzel látta el a notebookot. Persze örültünk volna, ha a tárkapacitás eléri az egyre jobban elterjedő 1 TB-ot, de akinek nagyon szüksége van ekkora kapacitásra, az utólag meg tudja oldani a bővítést. Bővebb információért kattints ide : http://www.digiprime.hu/laptop/msi-laptop

A Dell bivalyerős laptopjának (http://www.dell.com/hu/p/laptops-ec) ugyancsak nincs oka szégyenkeznije, hiszen az Intel Core i7-es processzorának, 8 GB memóriájának és az AMD Radeon 8790M grafikus kártyájának köszönhetően méltó riválisa a GS70 Stealth-nek. Az egyetlen dolog, amiben a gyártó gépe elmarad az a merevlemez mérete, ez ugyanis csak 500 GB. Ez a mai világban persze még mindig elegendőnek mondható, különösen akkor, ha valaki csak különféle médiatartalmakat, így például képeket, zenéket és videókat tárol a gépén, játékokat nem. Erős teljesítménye ellenére ez a Dell laptop igencsak korrekt üzemidővel rendelkezik: a gyártó hivatalos álláspontja szerint egy töltéssel több mint 5 órát bír, míg az MSI modellje valamivel kevesebbet. Nézz kürül itt : http://www.digiprime.hu/laptop/dell-laptop

Jó szokásokkal könnyebb az élet

Mi a helyzet abban az esetben, ha megvannak a kisebb célok, de valahogy mégsem megy kellőképpen a csinálás? Ezzel senki sincsen egyedül, így egy pillanatra sem kell pánikba esni. Sajnos az a helyzet, hogy bármilyen álmot is tűz ki maga elé az ember, legyen szó akár egy egészen kicsi valamiről, a mindennapok során számos megpróbáltatáson végig kell mennie az embernek, mielőtt elérné. Érdemes csak belegondolni, hogy hiába határozza el valaki, hogy márpedig ő minden nap el fog menni futni, a gyakorlatban szinte kizárt, hogy az esetek száz százalékában erre lehetőség nyíljon. Az illető kedvétől és pillanatnyi hangulatától kezdve az időjárási viszonyokon át egészen más külső tényezőkig sok dolog befolyásolhatja, sikerül-e megvalósítani a célkitűzéseket és fenntartani a szokásokat. Annak érdekében, hogy a különféle jó szokásokat könnyebben meg lehessen tartani, a problémákra előre megadott válaszok szükségesek. Ezek a válaszok ezerszer hatékonyabb működnek, mintha az ember simán csak magára erőltetné a teendőt, majd a sok frusztrációtól kiégve. Az előre megadott válaszok mondhatni automatikusan megoldják az ilyen-olyan nehézségeket. Természetesen lehetetlen minden egyes problémára előre felkészülni, de nem is feltétlenül muszáj. A legjobb, ha első körben felírunk magunknak néhányat a lehetséges problémákból, melyeket később bármikor bővíthetünk a tapasztalatunknak köszönhetően. Így egy idő után szinte minden problémára lesz egy előre megadott válaszunk.

Ez persze még önmagában sajnos nem lesz elég, hiszen továbbra is egy problémáról lesz szó. Fontos, hogy találjunk egy megoldást az adott problémára, aminek köszönhetően újra élvezetessé válhat az adott feladat, és nem fogunk letenni a csinálásról. Jöjjön egy egyszerű példa: aki például nem érez kellő motivációt a futásra, annak érdemes egy teljesen új zenei listát készítenie a kedvenc számaiból, így nagyobb motivációja lesz kimozdulni a házból. Természetesen mindenkinél más és más dolog működhet, ezért más tanácsait elsősorban másodlagos segítségként érdemes használni.

Forrás: http://csinaldmeg.zalaba.eu/jo-szokasok-utmutato/

Keresőoptimalizálás határok nélkül

A keresőoptimalizálás napjaink online marketingjének egyik legnépszerűbb eszköze, amelynek segítségével egy adott weblap hamarabb és többször bukkanhat fel a különféle keresőmotorok, így például a Google találati listáján. Ez hatalmas előnyhöz juttathatja az egyes oldalakat, hiszen így anélkül növelhető jelentősen a látogatók száma, hogy fizetni kéne a kedvezőbb keresési eredményekért. A keresőoptimalizálás több területet is megcélozhat, többek között alkalmazható videókra, képekre, vagy akár egy adott iparághoz kapcsolódó témákra.

Egy oldal optimalizáláshoz nem csupán az szükséges, hogy jól átgondolt technikai háttérrel rendelkezzen, a megfelelő minőségű és mennyiségű tartalom is elengedhetetlen, hiszen ezek együttesével növelhető a kulcsszavak relevanciája.

Ezen információk alapján a keresőoptimalizálás egyszerűnek tűnhet, ám a gyakorlatban már sokkal nehezebb a sikeres megvalósítás. A keresőmotorral rendelkező vállalatok nem nyújtanak hivatalos ismeretanyagot, ezért csak folyamatos megfigyeléssel, statisztikák követésével, majd a megfelelő következtetések levonásával végezhető megfelelően, emellett pedig nem biztos, hogy egy korábban már bevált módszer alkalmazható lesz egy évvel, vagy akár egy hónappal később – ebből kifolyólag nincsenek előre kalkulálható biztos eredmények.

Fontos a megfelelő technika használata is, hiszen akadnak olyan megoldások, melyeket etikátlannak tartanak a keresőóriások, ezért használatuk nem hogy javítani, de még rontani is fogja egy adott weboldal helyezését. Érdemes az elfogadott, hosszú távon sikereket hozó megoldásokra alapozni.

Social Engineering – avagy az egyik leghatékonyabb hackertechnika

Douglas Schweitzer biztonsági szakértő (Computerworld) a hackerekkel, a technikákkal több írásában, igen magas szinten, és hozzáértéssel foglalkozik. A Social Engineering-ről így ír:

Röviden összefoglalva, a Social Engineering az emberek természetes, bizalomra való hajlamának kihasználása. Hackerek vagy akár egyszerűen rossz szándékú emberek is gyakran használják ezt a módszert a számítógépekhez való illetéktelen hozzáférésre és információk megszerzésére. A Social Engineering nem a hardver, a szoftver vagy a hálózat hibáit, hanem az emberi természet gyengeségeit használja ki a számítógépek feltörésére. Alkalmazásával bárki, aki csak minimális hackelési képességekkel is rendelkezik, behatolhat egy biztonságosnak tartott rendszerbe, majd hozzáférhet, módosíthatja vagy akár törölheti az ott tárolt adatokat.

Annak felmérésére, mennyire lehet érintett a rendszerünk egy, az emberi hiszékenységet kihasználó támadással szemben, tegyük fel magunknak az alábbi kérdéseket:

1. Megadnánk-e bárkinek a jelszavunkat, aki személyesen, telefonon vagy e-mailen keresztül azt állítja, hogy a számítógépünk vagy hálózatunk hibáját szeretné kijavítani? Vagy ilyen esetben azonnal értesítenénk az informatikai biztonsági személyzetet?

2. Zárolni szoktuk a munkaállomásunkat, amikor felállunk az asztalunktól, vagy a jelszó védett képernyőkímélőre hárítjuk ezt a feladatot?

3. Kérdőre vonjuk azokat az idegeneket, akik zárt területen járkálnak, és nem látható rajtuk azonosító jelzés, vagy egyszerűen csak feltételezzük, hogy legálisan tartózkodnak ott (esetleg jólöltözöttek, és ebből arra következtetünk, hogy túl fontos emberek ahhoz, hogy rákérdezhessünk)?

4. Visszautasítanánk-e egy telefonos felmérésben való részvételt, amelyben számos, a vállalatunk számítógépes rendszereivel kapcsolatos kérdés hangzik el, vagy valószínűleg részt vennénk az ígért ajándék miatt?

5. Megállítanánk-e egy nyilvánvalóan szállítóuniformisba öltözött, csomagokat cipelő embert, aki mosolyogva megkérdi, hogy merre található a levélszoba, miközben minket követve próbál bejutni egy biztonságos épületbe, vagy udvariasan kinyitnánk az ajtót, és megmutatnánk neki a keresett szobát?

6. Munkát érintő kérdésekről csak a munkahelyünkön beszélünk, vagy folytatni szoktuk a beszélgetést éttermekben vagy egyéb közterületeken is?

7. Szét szoktuk tépni a régi telefonszámokat tartalmazó listákat, vagy egyszerűen csak a szemétbe dobjuk azokat?

A Social Engineering súlya
Sokan azt hiszik, hogy a számítógépes betörések a rendszerben lévő hibákra vezethetők vissza, melyeket a behatolók képesek kihasználni. A valóságban a Social Engineering gyakran nagy szerepet játszik abban, hogy a támadó megkerülhesse a biztonsági korlátokat, úgymint a tűzfalakat vagy behatolás-érzékelő rendszereket. A számítógép-használók hiszékenysége vagy az éberség hiánya gyakran könnyű behatolást tesz lehetővé egy védett rendszerbe, akár olyan esetekben is, mikor a támadó egyáltalán nem jogosult a hozzáférésre.

A Social Engineering azért sikeres, mert a rosszindulatú személy az információhoz vagy rendszerhozzáféréshez a tudatlan és gyanútlan dolgozók segítőkész természete által juthat hozzá. Hízeleghet, a segítségünket kérheti, vagy megpróbálhat meggyőzni róla, hogy csupán számunkra kíván elvégezni egy szolgáltatást.

Nagyobb szervezeteknél egy behatoló munkatársnak is álcázhatja magát, akinek hozzáférésre van szüksége a saját rendszere állítólagos leállása miatt. Megpróbálhat beszélgetésbe elegyedni velünk, sőt akár egyik kollégánk nevét is megemlítheti, hogy ezáltal is szorosabb kapcsolatot alakítson ki, mely végül elvezethet a kölcsönös segítőkészség érzéséhez. Hatósági személynek is tettetheti magát, hogy trükkök segítségével szerezzen tőlünk információkat. Régi csel, hogy hálózati hibaelhárítónak álcázza magát, akinek egy azonosítóra és jelszóra van szüksége annak ellenőrzésére, hogy elhárult-e a hiba, és ne is forduljon többé elő. A csaló ráveheti az alkalmazottat, hogy árulja el neki a kívánságának megfelelő jogokkal rendelkező hozzáférési azonosítókat.

Tippek a Social Engineering ellen
Álljon itt néhány tipp, hogyan járhatunk túl egy, a Social Engineeringre szakosodott hacker eszén:

1. Ha nem tudjuk azonosítani a telefonálót, aki a számítógépes rendszerrel kapcsolatos vagy egyéb érzékeny információkra kíváncsi, akkor ne áruljunk el neki semmit. Ragaszkodjunk az azonosításához azáltal, hogy kikeressük a cég telefonkönyvéből, és visszahívjuk. Ez az eljárás csak kis kényelmetlenséget okoz a szokásos tevékenységek végzésében, de potenciálisan nagy károkat előzhetünk meg a használatával.

2. A külső cégektől érkező rendszerkarbantartó technikusokat kísérje el egy helyi rendszergazda (akit minden bizonnyal már ismerünk). Amennyiben a helyi adminisztrátor nem ismerős, vagy a technikus egyedül érkezik, akkor bölcs döntés felhívni az általunk ismert rendszergazdát. Sajnos sok ember nem szívesen teszi ezt meg, mert fél, hogy emiatt majd paranoiásnak tartják, illetve kínos kimutatni, hogy nem bízik meg a látogatóban.

3. A személyes hozzáférésünkhöz tartozó jelszót csak nekünk szabad tudnunk. A rendszergazdáknak vagy karbantartó technikusoknak nincs szüksége a jelszavunkra, hiszen rendelkeznek saját azonosítóval, ami olyan rendszerjogokat biztosít számukra, hogy a jelszavunk nélkül is mindent el tudnak intézni. Ha egy rendszergazda a jelszavunk után érdeklődik, legyünk gyanakvóak!

Sajnos sok számítógép-használó tévesen azt feltételezi, hogy a hálózati adminisztrátorok, a biztonsági személyzet és a szoftverfejlesztők minden szükségeset megtesznek a hálózat biztonságosan tartásában. Amennyiben a felhasználók úgy gondolják, hogy nem kell elővigyázatosnak lenniük, akkor hamis biztonságérzetbe ringathatják magukat. A hálózat megvédése nem csupán az informatikai személyzetre tartozik. Fontos emlékezni rá, hogy a hálózat és minden rajta lévő számítógép csak annyira biztonságos, mint a leggyengébb láncszem. Bizonyosodjunk meg arról, hogy nem mi vagyunk a leggyengébb láncszem!

A Social Engineering lehet(ne) hasznos is
A módszert a ˝white-hat˝ hackerek, vagyis a rendszerek biztonságát tesztelő hackerek is gyakran alkalmazzák, hogy megtalálják a gyenge pontokat és a hiszékeny alkalmazottakat. Nemcsak a rendszergazdaként pózolás tartozik a Social Engineering eszköztárába: az igazán profik éjszakai takarítónak jelentkeznek, majd jelszavak után kutatnak a papírkosarakban, a fiókokban vagy a monitorokra ragasztott sárga cédulákon.

A magyar büntető törvénykönyv módosítását a Legfőbb Ügyészség szerint az indokolta, hogy amíg 1997-ben a számítógépes bűncselekmények által okozott kár 91,5 millió forintra rúgott, addig ez az érték 1998-ra 220 millió, 1999-re pedig 1,66 milliárd forintra nőtt. Tavaly 1,04 milliárd forintos kárt regisztráltak, ám a felderítetlen és a nyilvánosságra nem hozott ügyekkel együtt a teljes összeg akár az évi 4-5 milliárd forintot is elérheti. A hackerek ellen korábban garázdaság és rongálás miatt próbáltak vádat emelni, a 2003. január elsején életbe lépett módosítás azonban büntethetővé teszi az informatikai rendszerbe történő jogtalan belépést, működésének akadályozását (például a DoS-támadásokat), az informatikai eszközökkel (vírusok, exploitok) történő visszaélést, és az informatikai csalást (például weblapok jogosulatlan felülírását).

A magyar törvényalkotók feltehetően nem tanulmányozták az amerikai hackertörvényt, az 1998-as Digital Millennium Copyright Act (DMCA) hatását: szakértők szerint a törvény visszavetette a számítógépes biztonságot, mert a ˝töréseket˝ korábban publikáló szakértők retorziótól tartva nem teszik közzé a biztonsági réseket, így azok kijavítására sem kerülhet sor. A profitorientált informatikai bűnözők jóval egyszerűbben juthatnak be egy rendszerbe egy nem publikus, így ki sem javított biztonsági rés ismeretében, míg korábban a ˝törések˝ csak rövid ideig éltek: nyilvánosságra kerülésük után a gyártó kényszerítve volt a hiba kijavítására.

Van, amiben lehet ˝követni amerikai példákat˝, de úgy érzem, egy profitpárti – és nem bűnözésellenes – törvény esetén nem. A meggondolatlan utánzás ˝jó szokásunk˝. Ebben csak egy nagy gond van: később igen nehéz helyrehozni azokat a károkat, amiket ez a meggondolatlanság okoz (vonatkozik ez törvényalkotásra, alkalmazásra egyaránt).

A büntethető szakértelem
Illegalitásba vonulnak a szakértők

A szakemberek többsége nem vállalja a kockázatot, és inkább elzárkózik az ilyen jellegű információk korábban szinte természetesnek számító közlésétől: a holland Niels Ferguson például megtagadta az Intel HDCP digitális videoszabványának ˝fatális hibájának˝ ismertetését, mivel attól tart, hogy rendszeres amerikai útjai során lecsaphat rá az FBI. Egy másik közismert szakértő, Fred Cohen levette a webről ˝Forensix˝ nevű programját, és több közismert számítógép-biztonsági honlap is megszűnt vagy öncenzúrát gyakorol. A megfélemlített szakértők az Anti-DMCA.org honlapon tiltakoznak a hackertörvény ellen.

A szoftvergyártók és a szórakoztatóipar ugyanakkor tovább szigorítanák a törvényt: Fritz Hollings szenátor segítségével az amerikai kongresszus elé került a Security Systems Standards and Certification Act (SSSCA), amely kötelezővé tenné a beépített másolásvédelmet minden szórakoztatóelektronikai és számítástechnikai termékben. A törvényjavaslat tovább szigorítaná a büntetési tételeket: elfogadása esetén a másolásvédelem megkerüléséért öt év börtön és félmillió dolláros büntetés is kiszabhatóvá válna. A linuxosok szerint az SSSCA tervezete kriminalizálja az egész szabad forráskód mozgalmat.

Kevin Mitnick

Az FBI eddigi történetének egyik legalaposabb embervadászata elől menekülő szökevényeként végrehajtott hőstetteiből cikkek, könyvek, akció és dokumentumfilmek tucatjai születtek. A szövetségi börtönből történt 2000. évi szabadulása óta Mitnick élete teljesen megváltozott: a világ egyik legkeresettebb számítógép-biztonsági szakembere lett. A megtévesztés művészetében a világ leghíresebb hackere ismét igazolja a régi mondást, miszerint ˝rablóból lesz a legjobb pandúr.˝

Feltárván elénk a hacker összetett elméjét, Mitnick különböző üzleti vállalkozások kárára elkövetett valós átverések, csalások és Social Engineering támadások – és azok következményeinek – forgatókönyvét mutatja be. Az információbiztonság emberi tényezőire koncentrálva elmondja, hogy miért nem elég a világ összes tűzfala és titkosító protokollja arra, hogy leszerelje a céges adatbázisokban kutakodni vágyókat, vagy a rendszert tönkretenni szándékozó ingerült alkalmazottakat. Mitnick bemutatja, milyen veszélynek vannak kitéve még a legjobban őrzött információs rendszerek is a magát adóellenőrnek vagy más, látszólag ártalmatlan embernek kiadó eltökélt csalók miatt. A történeteket mind a támadó, mind az áldozat szemszögéből elmesélve az ˝A megtévesztés művészete˝ egy igazi krimi megkapó és olvasmányos stílusában mondja el; miért sikerülhettek az egyes támadások – és hogyan lehetett volna elkerülni azokat.

Ennél is fontosabb, hogy Mitnick jóváteszi életének korábbi szakaszában elkövetett bűneit. Egyedi irányelvekkel lát el bennünket azzal kapcsolatban, hogyan hozhatunk létre olyan eljárásokat, képzési programokat és kézikönyveket, amelyek biztosítják, hogy a cég kifinomult biztonságtechnikai eszközeibe fektetett pénzt nem az ablakon dobtuk ki. A biztonsági sebezhetőség megelőzésével kapcsolatos tanácsait abban a reményben adja, hogy ezentúl az emberek éberebben védekezzenek a biztonságot fenyegető legnagyobb veszély, az emberi természet ellen.

Kevin Mitnick, és régi kollégája, Alex Kasper vezetésével intenzív kurzust indított. A kurzus metodikáját Mitnick cége, a Defensive Thinking fejlesztette ki. A rövid, de hatékonynak tűnő képzés lényege a technikák megismerésén túl a résztvevők önértékelésének növelése – hiszékenységük csökkentése. Fontos elem még az éberség, és a figyelem tréning is. A kurzus végeztével hiteles okmányt kapnak a résztvevők. Az oktatás technikai része a modern pszichológia, és pszichiátria ismert pszichoterápiás módszereit alkalmazza: szerepjátékok, csoport terápia, személyiségfejlesztési gyakorlatok, transzperszonális kapcsolat erősítés.

Kevin D. Mitnick világszerte több vállalat biztonsági tanácsadója, a Los Angeles központú Defensive Thinking tanácsadó cég egyik alapítója. Az amerikai Szenátus kormányzati ügyeket vizsgáló bizottsága előtt tanúskodott a kormányzati információs rendszer biztonságát garantáló törvénykezés szükségességéért. Cikkeit a főbb hírmagazinok és üzleti lapok jelentetik meg, szerepelt a Court TV-n, a Good Morning America, a 60 Minutes, és a CNN Burden of Proof és Headline News műsoraiban, több üzleti eseményen volt vezérszónok. Heti rádióműsort vezetett a Los Angeles-i KFI AM 640 rádiónál. William L. Simon több nagy sikerű könyv, egy díjnyertes film és forgatókönyv írója.

Utószó
Remélem sikerült egy hacker technika bemutatása, megmutatása. A cél természetesen nem az, hogy ennek gyakorlására biztassam az olvasót – ellenkezőleg, hogy lebeszéljem róla. A módszer olyan komoly szakmai, pszichológiai tudást kíván meg, ami kevés embernek a sajátja. Ha az előbb felsorolt két „alappillért” megtanulja valaki, akkor elmondhatja, hogy ért az informatikához, és diplomázott pszichológiából – miután a Social Engineering vagy a Reverse Engineering (ez annyiban különbözik a Social Engineeringtől, hogy ez esetben az „áldozattal” azt is el kell hitetni, hogy ő a kezdeményező) ennél sokkal többet jelent, és sokkal többet kíván meg. Nélkülözhetetlen a kommunikációs készség, az emberismeret, a gyors döntésképesség, szuggesztivitás stb.

Az írásom fő célja az volt, a bemutatáson túl, a Tisztelt Olvasó bepillantson a „kulisszák mögé”, és érzékelje azt, ami a legfontosabb: a klasszikus számítógépes „betörések” felett lassan eljár az idő, úgy, mint más hagyományos módszer felett is. Az újak, a Cross Site Scripting, a Social Engineering a programok ismeretén, programozáson stb. túl jóval többet igényelnek.

Az említetteken túl olyan tudást és képességeket igényel, amiről bátran mondhatom, mérföldkő a hacker társadalomban, a tevékenységükben. Mindennek természetesen megvan az árnyoldala is, mert semmi nem garantálja, hogy csak a white hackerek ismerik meg ezeket. Az azonban mégis biztató, hogy ezeknek a módszereknek köszönhetően „lemorzsolódnak” azok a crackerek, akik fő célja a haszonszerzés, vandál pusztítás volt.

A cikk kizárólag ismertetés céljából készült, bárki által elérhető irodalom segítségével. Senkit nem bíztat a módszer kipróbálására – inkább lebeszél arról. Ha valaki mégis megpróbál élni a cikkben leírtakkal, a felelősség csak őt terheli.

Az információbiztonsági szabványok fejlődése az elmúlt évben

A mai tudásalapú gazdaságban az információ kiemelt értékkel bír. Nem elég előállítani, megfelelően őrizni kell. Az információbiztonság szavatolására hivatott szabványok nem csak létre jöttek, de az elmúlt időszakban jelentős fejlődésen is keresztülmentek.

Az informatikai biztonság területén a szabványosítás igen termékeny volt az elmúlt év során:

4 új szabvány került elfogadásra (1990 óta összesen 32),
további 3 szabványt készítettek elő a munkabizottságok, és került ezzel végső elfogadási fázisba,
5 új szabványosítási munka kezdődött.
A legfontosabb újonnan megjelent (2002) ill. megjelenő (2003) szabványok a következők:

Előírás bizalmi harmadik felek digitális aláírás alkalmazásának támogatására vonatkozó szolgáltatásaira
IS 15945: ( ITU-T X.843) Specification of TTP services to support the application of digital signatures
Útmutatás a bizalmi harmadik felek szolgáltatásainak használatára és irányítására
TR 14516: ( ITU-T X.842) Guidelines for the use and management of Trusted Third Party services
A hozzáférésellenőrzés biztonsági informatikai objektumai
IS 15816: ( ITU-T X.841), Security information objects for access control
Rendszerek biztonságának fejlesztése képességérettségi modell alapján
IS 21827: Systems Security Engineering – Capability Maturity Model (SSE-CMM)
Keretrendszer informatikai behatolások elleni védelemre
TR 15947: IT intrusion detection framework
Időbélyeg-szolgáltatások
IS 18014: Time stamping services
Elliptikus görbéken alapuló kriptográfiai technikák
IS 15946: Cryptographic techniques based on elliptic curves
A szabványok honosítása mindeközben továbbfolytatódik. Amellett, hogy a már 2001-ben előkészített a digitális aláírási szolgáltatásokkal kapcsolatos szabvány (IS 15945) gyakorlatilag a 2002-es hivatalos megjelenéssel egyidőben – példamutató módon – magyarul is megjelent, 2002-es év lényegében a két kiemelten fontos informatikai biztonsági szabvány

Az informatikai biztonság menedzsmentje
IS 17799: Code of practice for the information security managment
Az informatikai biztonságértékelés közös szempontjai
IS 15408: Evaluation criteria for IT security
előkészítése és megjelentetése jegyében telt el, amely mára teljesen befejeződött.

Ez utóbbi szabvány mintegy 400 oldalt tesz ki, és 3 részből áll:

1. rész: Bevezetés és általános modell
2. rész: A biztonság funkcionális követelményei
3. rész: A biztonság garanciális követelményei
A szabvány alapvető fontosságú a biztonsági (pl. a digitális aláíráshoz szükséges) eszközök és rendszerek bevizsgálásához és engedélyezéséhez. Exportra készített szoftverek esetén például célszerű értékelni, hogy milyen biztonsági szempontoknak kell megfelelni, ill. gyakori, hogy ezeket a megrendelő elő is írja. A tendencia az, hogy a követelményeket e szabvány alapján határozzák meg, azaz a szoftverfejlesztés során e szabvány használata elengedhetetlenné kezd válni.

Egy gondolat a honosításról általában. Jóllehet a szakértők körében a szabványok eredeti, idegennyelvű (angol) változata igen elterjedt és használt, a magyar nyelvű változat megléte fontos az alapszabványok további, még szélesebb körben való elterjedéséhez, ill. a hazai informatikai biztonsággal kapcsolatos tevékenységek és az ezekkel kapcsolatos szakmai és nyilvános kommunikáció hatékonyságának és eredményességének javításához. Más oldalról nem célszerű azonban minden szabványt honosítani. A honosításnak ennek megfelelően elsősorban a menedzsment jellegű ill. az alapvető jelentőségű technikai szabványokra kell kiterjednie

Külön történet az 17799-es szabvány esete. Ez a szabvány a közel egy évtizede használt, brit BS 7799 ú.n. gyorsított eljárással történt átvétele, beemelése az ISO szabványok körébe. Mivel ez a szabvány az információbiztonság legfelső szintű kérdéseivel foglalkozik, ezért különösen fontos a fejlődő országok (köztük hazánk) számára, hiszen utat mutat a vállalatok vezetői számára az információk védelme tekintetében: mire kell figyelni? hogyan lehet megvalósítani a biztonsági célokat?

Mivel a szabvány az információbiztonság legfelső szintű kérdéseivel foglalkozik, ezért igen érzékeny területeket is érint, olyanokat amelyek a legfejlettebb (elsősorban az informatikában legfejlettebb) országok számára lényeges piaci pozíciókat jelenthet, versenyképességet növelhet. A fejlett országok (elsősorban USA, Nagy-Britannia, Franciaország, Németország és Kanada) küzdenek azért, hogy az informatikai biztonság piaca számára meghatározzák azokat a kereteket, amelyek között az ilyen jellegű szolgáltatások és termékek kereskedelme történni fog. Megtehetik, mert ők rendelkeznek olyan forrásokkal, amelyeket e keretek kialakítására lehet fordítani (szakértelem, tapasztalat, szakértők finanszírozása, szervezési költségek stb.). A fejlődő ill. az informatikában nem élenjáró országok pedig, akiknek ilyen forrásaik nincsenek, vagy azok szűkösebbek, mintegy kívülről nézik e küzdelmet.

Különös történet az 17799-es szabvány esete. Leegyszerűsítve a következők történtek. A fent említett országok mindegyike rendelkezik közel egy évtizede olyan biztonsági előírás-rendszerrel, amely jól illeszkedik a saját nemzeti jogszabályrendszerükhöz. E nemzeti keretek óvatos, elsősorban nem előíró, hanem útmutató jellegű egyeztetése a 90-es évek 2. felében elkezdődött az ISO/IEC JTC1 SC27 (informatikai biztonság) albizottság keretében. Ennek az eredménye az ú.n. 13335-ös szabvány, amelynek azonban már a típusa (Technical Report) is jelezte, hogy nem lehet követelményrendszerként használni, és így pl. tanúsítási, bevizsgálási tevékenységben normaként használni. Ezzel két legyet ütöttek egy csapásra:

1. Védték a nemzeti követelményrendszereiket (egymással szemben is)
2. Meghatározták azokat az általános kereteket, amelyekkel – ha közvetetten is, de – befolyásolni lehet más országokban az informatikai biztonsággal kapcsolatos tevékenységeket.
A szabványútmutatás létrehozása már 1996-ban elkezdődött, és meglehetősen lassan haladt: 1999-ben még mindig csak 3 rész jelent meg. Ebbe az “állóvízbe” robbant be a BSI kezdeményezése, amely kihasználta az ISO gyorsított eljárási (Fast Track Procedure) lehetőségét, és az előbb említett, hivatalosnak tekintett albizottságot mintegy “megkerülve” nemzetközi szabványként beterjesztette a saját, akkor (1999) már igen széles körben ismert és elterjedt nemzeti szabványát (BS 7799), amely státusa folytán arra is alkalmat adott, hogy az azt elfogadó országok tanúsítási rendszert alakítsanak ki e szabványra alapozva.

A fejlődő országok örömmel üdvözölték ezt a kezdeményezést, hiszen ilyen módon “készen kaptak” egy nemzetközileg elismert követelményrendszert, amelyre saját nemzeti szabályozásukat építhették. E kedvező fogadtatásnak köszönhető, hogy a szabványjavaslatot ISO szinten a szavazati jogosultsággal rendelkező országok több, mint 75%-a elfogadta. A szavazás igen szoros volt, mert lényegében egy szavazaton (kb. 0,1%) múlott a javaslat elfogadása. A szavazás során az említett, informatikában vezető országok – USA, Franciaország, Németország, Kanada (Nagy-Britannia kivételével) – a javaslat ellen szavaztak. A fejlődő országok (Magyarországot is beleértve) zömében a javaslat mellett foglaltak állást.

A helyzetet tovább bonyolítja, hogy az IS 17799 minden előnye és pozitív vonása ellenére igen súlyos hiányosságokkal és hibákkal rendelkezik. Csak néhány a teljesség igénye nélkül:

Nem határozza meg egyértelműen és pontosan a kockázatértékelés helyét a biztonságmenedzsment vonatkozásában: az előírt követelmények kellően rugalmas, de ellenőrzött kezelésére
Az előírt biztonsági követelmények tekintetében nincs kellő összhangban más elterjedt cél- és követelményrendszerekkel (pl. COBIT, IS 15408)
A viszonya tanúsítási rendszerekhez nem egyértelmű (pl. “should” használata az előírásokban; a britek maguk is ellene vannak, hogy a szabvány tanúsításra is kiterjedjen: a tanúsítás maradjon meg nemzeti keretek között)
Nem csoda – különösen, ha figyelembe vesszük a “kemény mag” ellenállását -, hogy a szabvány revíziója a megjelenés után szinte azonnal elkezdődött, ami példa nélkül álló az ISO történetében. Az átdolgozást 2004 végére tervezik, de több ország is kifejezte már elégedetlenségét az előrehaladással. Az idei májusi részhatáridő úgy tűnik nehezen lesz tartható…

Jelenleg tehát folyamatban van az 17799-es átdolgozása, de hasonlóképpen a 13335-ösé is. Sőt, a 13335-ös esetében az első két rész (5 részes szabványról van szó) státusát is meg kívánják változtatni: útmutatásból követelményrendszerré előléptetni. Ilyen módon könnyen előállhat, hogy az informatikai biztonság menedzsmentjére vonatkozó kétféle szabvány “igazi” versenytársává válik egymásnak. Hogy ez előnyt fog-e jelenteni a piac különböző szereplői számára, vagy hátrányt ma még nem lehet tisztán látni. Mindenesetre a jelenlegi tervek szerint jövő év végére (gyakorlatilag 2005-re) a helyzet tisztázódni fog.

A mindebből levonható és számunkra adódó tanulságokat a következőképpen lehet összefoglalni:
1. Az IS 17799 egy érvényes nemzetközi szabvány, amelyet alkalmazni lehet akár a biztonságmenedzsment javítására, akár annak tanúsíttatására.
2. Alkalmazásakor óvatosnak kell lenni – tekintettel hiányosságaira és hibáira.
3. Már csak emiatt is célszerű megismerkedni mind az 17799-es, mind az 13335-ös fejlesztés alatt álló új változatával.
4. Az alkalmazás során vegyük figyelembe a rendelkezésre álló egyéb, az informatikai biztonság egy-egy konkrétabb területére vonatkozó nemzetközi szabványt, pl.:

a. digitális aláírás
b. hozzáférésellenőrzés
c. hitelesítés (egyed és üzenet)
d. kulcskezelés
e. behatolásvédelem
f. hálózatvédelem
g. időbélyegzés
h. letagadhatatlanság

A szerző e témában a Magyar Minőség Társaság májusi rendezvényén elhangzott előadásának anyaga

Támadási tendenciák áttekintése

Megjegyzés: Azért teszünk közzé szokásunktól eltrően idegen anyag fordított változatát, mert az összefoglalás rávilágít a már régőta ismert, és nem kellő figyelmességgel kezelt hiányosságokra. Az eredeti anyag a www.cert.org címen található.

CERTŽ Koordinációs Központ

A CERT Koordinációs Központ 1988 óta kíséri figyelemmel a betolakodók tevékenységét. Sok minden változott azóta, a technológiától az Internet felhasználói közösség létrehozásán keresztül a támadási technikákig. Jelen dokumentum rövid áttekintést nyújt azokról a tendenciákról, amelyek napjainkban hatással vannak egy szervezet vagy egyén biztonságos Internet használatára.

1 Tendencia – Automatizálás; támadási eszközök sebessége

A támadási eszközök automatizálási szintje továbbra is növekszik. Az automatizált támadások rendszerint négy fázisból állnak, amelyek folyamatosan változnak.

Potenciális áldozatok érzékelése. A széles körben alkalmazott érzékelés 1997 óta elterjedt. Napjainkban az érzékelő eszközök sokkal fejlettebb módszerekkel dolgoznak a hatás és a sebesség maximalizálása érdekében.
Sebezhető rendszerek kompromittálása. Korábban a sebezhetőségeket csak azután használták ki, miután a széles körű keresés befejeződött. Mára a támadási eszközök a kereső tevékenység részeként aknázzák ki a sebezhetőségeket, növelve ezzel a terjedés sebességét.
A támadás terjedése. 2000. előtt a támadási eszközök mellett szükség volt egy személyre, aki előkészítette a további támadási ciklusokat. Napjainkban a támadási eszközök automatizáltan indítják az újabb támadási ciklusokat. Találkozhattunk olyan eszközökkel mint a Code Red és Nimda, amelyek kevesebb mint 18 óra alatt érték el a globális szaturációt önterjesztéssel.
A támadási eszközök koordinált irányítása. 1999 óta, a felosztott támadási eszközök megjelenésével a támadók több Internet rendszeren felosztott, nagyszámú telepített támadási eszközt képesek irányítani és koordinálni. Napjainkban a felosztott támadási eszközök sokkal hatékonyabban képesek elindítani a “szolgáltatás megtagadása” támadásokat, valamint alkalmasak a potenciális áldozat megkeresésére és a sebezhető rendszerek kompromittálására. A koordinációs funkciók kihasználják a készen rendelkezésre álló, nyilvános kommunikációs protokollokat, mint pl. az Internet Relay Chat (IRC) és az azonnali üzenetkezelés (IM).
Tendenica 2 -Támadási programok fokozott fejlettsége

A támadási programok fejlesztői sokkal fejlettebb technikákat használnak mint korábban. Támadási program aláírásokat sokkal nehezebb analízis útján felfedezni, és sokkal nehezebb aláírás bázisú rendszereken keresztül, mint pl.: antivírus szoftverek és behatolás észlelő rendszereken keresztül észlelni. Három lényeges tulajdonsága az eszközöknek a nehéz nyomonkövethetőség, analizálhatóság, valamint a polimorf szerkezet, és a modularitás.

Nehéz analizálhatóság. A támadók olyan technikákat alkalmaznak, amelyek módosítják a támadási eszközök tulajdonságait. A biztonsági szakértők számára ez megnehezíti az új támadási eszközök analizálását és a legújabb, gyorsan fejlődő fenyegetettségek megértését. Az analízis gyakran tartalmaz laboratóriumi tesztelést és ellentétes irányú tervezést.
Polimorf szerkezet. A régi támadó eszközök egyszeri, meghatározott sorozatban hajtották végre a támadási lépéseket. Napjaink automatizált támadó eszközei véletlenszerű szelekció, előre meghatározott döntési útvonal vagy közvetlen irányítás alapján tudják változtatni módszereiket.
Támadási eszközök modularitása. A korai támadó eszközökkel ellentétben, amelyek egy típusú támadást hajtottak végre, az eszközök a programrészek felcserélésével vagy feljavításával gyorsan változtathatók. Ez gyorsan kialakuló támadásokat, és szélsőséges esetben, polimorf eszközöket eredményez, amelyek minden egyes esetben különbözőek. Ezenfelül, a támadási eszközöket egyre gyakrabban úgy fejlesztik, hogy többszörös operációs rendszer platformokon fussanak.
A fejlettebb támadási eszközök által felvetett problémára példa, hogy több elterjedt eszköz alkalmaz IRC vagy HTTP (HyperText Transfer Protocol) protokollt adat illetve parancs küldésre a betolakodótól a gazdagépre. Ennek eredménye, hogy egyre nehezebbé válik a támadási aláírások megkülönböztetése a normál, legitim hálózati forgalomtól.

3 Tendencia – Sebezhetőség gyorsabb észlelése

A CERT/CC felé jelzett, újonnan felfedezett sebezhetőségek száma továbbra is több mint a duplájára növekszik évente. Ez megnehezíti az adminisztrátorok számára, hogy lépést tartsanak a javításokkal. Továbbá, a sebezhetőségek újabb csoportjai is évről-évre napvilágra kerülnek. A szoftver komponensek objektum orientált alapú fejlesztése, számoly folyamatosan meglévő biztonsági hiányosságot enged meg. A betolakodók gyakran korábban észlelik ezeket a hibákat mielőtt a forgalmazók kijavítanák őket.

A technológiák új sebezhetőségeinek automatizált észlelése felé mutató tendencia miatt az úgynevezett “javítási idő” (time to patch) egyre csökken majd.

4 Tendencia – Tűzfalak növekvő áteresztőképessége

A tűzfalak célja rendszerint az, hogy elsődleges védelmet nyújtsanak a betolakodókkal szemben.

Ugyanakkor,

A technológiákat úgy tervezik, hogy azok elkerüljék a tipikus tűzfal konfigurációkat, mint pl.: IPP hftzr (Internet Printing Protocol) és WebDAV (Web-bázisú Distributed Authoring and Versioning)
Néhány protokollt “tűzfal barátként” forgalmaznak, és valójában úgy tervezték őket, hogy elkerüljék a tipikus tűzfal konfigurációkat.
A “mobile-code” bizonyos aspektusa (ActiveX controls, Java, and JavaScript, Sripting Host) megnehezíti a sebezhető rendszerek védelmét és a veszélyes szoftverek észlelését.

5 Tendencia – Növekvő aszimmetrikus fenyegetettség

A természetétől fogva, az Internet biztonsága nagyon sok mindentől függ. Az egyes rendszerek támadásokkal szembeni kockázata a globális internethez kapcsolt többi rendszer biztonsági állapotától függ. A támadási technológia fejlődése miatt egy támadó viszonylag könnyen alkalmazhat nagyszámú felosztott rendszereket pusztító támadások elindítására az áldozat ellen (Denial of Service). Mivel mind a telepítések automatizálása és a támadási eszköz menedzsment fejlettsége növekszik, a fenyegetettség aszimmetrikus természete tovább fokozódik majd.

6 Tendencia – Infrastrukturális támadásokból származó növekvő fenyegetettség

A infrastrukturális támadások olyan támadások, amelyek átfogóan érintik az Internet kulcsfontosságú elemeit. Egyre nagyobb aggodalomra adnak okot az internetet használó szervezetek és felhasználók száma miatt, valamint azoknak a napi üzletmenet miatti ráutaltsága miatt. Az infrastrukturális támadások négy típusát röviden az alábbiakban ismertetjük.

1 Támadás – Szolgáltatás felosztott megtagadása

A szolgáltatás megtagadására irányuló támadások több rendszert használnak fel egy vagy több rendszer megtámadására azzal a szándékkal, hogy a rendszer legitim felhasználói számára a szolgáltatás ne legyen elérhető. A támadási eszközök automatizációs szintje lehetővé teszi, hogy a támadó eszközeit installálja, és kompromittált rendszerek több tízezreit irányítsa a támadás során.

A betolakodók gyakran olyan címblokkok után kutatnak, amelyek nagy sebességű kapcsolattal rendelkező sebezhető rendszerek magas koncentrációját tartalmazzák. A kábel modem, DSL, és egyetemi címblokkok kiemelt célpontjai a támadási eszközök installálását tervező behatolóknak.

A szolgáltatás megtagadását eredményező támadások hatékonyak, mivel az internetes biztonság nagy mértékben egymásra épülő elemekből áll.

Támadás- Férgek

A féreg egy önterjesztő veszélyes kód. A vírussal ellentétben, amelyhez felhasználó szükséges, hogy irányítsa a terjedés folytatását, a féreg képes önmagát terjeszteni. A férgek erősen automatizált természete, amely az általuk kihasznált viszonylag széles körű sebezhetőség természetével párosul lehetővé teszi, hogy pár órán belül, viszonylag nagy számú rendszert kompromittáljanak. (Code Red csupán 9 óra alatt több mint 250,000 rendszert fertőzött meg 2001. július 19-én)

Néhány féreg beépített szolgáltatás megtagadása támadás funkcióval (Code Red) vagy webhely rongálás funkcióval (sadmind/IIS, Code Red) rendelkezik; mások pedig dinamikus konfigurációs képességgel rendelkeznek. (W32/Leaves). A férgek legnagyobb hatása azonban az, hogy terjedésük a szolgáltatás megtagadását eredményezi az Internet nagyon sok területén a létrehozott óriási számú scan forgalom miatt, és több járulékos kárt okoznak (így pl.: tönkrement DSL útválasztók; kábel modem 4 ISP-ek, amelyek hálózatai teljes mértékben túlterheltek.

Támadás 3 – Támadások az Internet Domain Name System-en (DNS)

A DNS egy felosztott, hierarchikus globális könyvtár, amely a neveket (www.example.com) numerikus IP címekre fordítja. (192.168.13.2). A hierarchia két felső szintje kritikus az Internet működése szempontjából. A felső rétegben 13 “root” név szerver van. A következők a “top-level domain” (TLD) szerverek, amelyek hitelesek a “.com”, “.net”, stb., úgy mint az országkód felső szintű domének (ccTLDs – “.us”, “.uk”, “.ru”, etc.) A DNS fenyegetettségek közé tartozik:

Cache poisoning. Amennyiben DNS úgy van kialakítva, hogy elrejtse a hamis információt, a támadó átirányíthatja a legitim helyre szánt forgalmat a saját irányítása alatt álló helyre. A CERT/CC közelmúltban végzett felmérése szerint a TLD domainek több mint 80 %-a fut olyan szerveren, amely potenciálisan sebezhető az ilyen típusú támadásokkal szemben.
Kompromittált adatok. A támadók kompromittálják a sebezhető DNS szervereket, és ez lehetővé teszik számukra, hogy módosítsák a felhasználóknak szolgáltatott adatokat. Sok TLD szerver futtatja a BIND nevű szoftver programot, amelynél rendszeresen észlelnek sebezhetőséget. A CERT/CC felmérés jelzi, hogy a TLD domain legalább 20 %-a megtámadható szerveren fut, a másik 70 % esetében a “státusz ismeretlen”.
Szolgáltatás megtagadása. Nagy számú szolgáltatás megtagadását előidéző támadás valamelyik a név szerveren a TLD-nél (például, “.com”) okozhat kiterjedt Internet lelassulást vagy effektív leállást.
Domain hijacking. Az ügyfelek által alkalmazott nem biztonságos mechanizmusok miatt, amelyeket domain regisztrációs információ felfrissítésére használnak, a támadó képes kooptálni a domain regisztrációs folyamatokat, kontrollt szerezve ily módon a legitim domainek felett.
Támadás 4 – Forgalomirányítók elleni vagy azok általi támadások

A forgalomirányítók olyan speciális számítógépek, amelyek a forgalom irányítását végzik az interneten (hasonlóan a mail irányító berendezésekhez a postai szolgáltatásnál). A fenyegetettséget az alábbiak szerint lehet kategorizálni:

Forgalomirányítók mint támadó platformok. A behatolók kevésbé biztonságos forgalomirányítókat, mint platformokat használnak támadó forgalom előidézésére más helyeken vagy érzékelésre illetve felderítésre.
Szolgáltatás megtagadása. Annak ellenére, hogy a forgalomirányítók úgy vannak tervezve, hogy nagy mennyiségű forgalom haladjon keresztül rajtuk, gyakran nem képesek a hozzájuk irányított ugyanolyan nagyságú forgalom kezelésére. (Képzeljük el úgy mint a levelek osztályozása és olvasása közötti különbséget.) A támadók kihasználják ezt a tulajdonságot és megtámadják a hálózatba vezető forgalomirányítót, sokkal inkább mint közvetlenül a hálózaton lévő rendszereket.
Forgalomirányítók közötti megbízható kapcsolat kihasználása. A megfelelő működés érdekében a forgalomirányítóknak tudniuk kell, hogy merre küldjék a megkapott forgalmat. Ezt az információk egymás közötti megosztásával érik el, ami szükségessé teszi, hogy az egymástól kapott információt megőrizzék. Ennek következtében a támadónak viszonylag könnyű az útvonal módosítása törlése vagy annak a globális Internet útvonal táblázatba történő irányítása, abból a célból, hogy az egyik hálózatból a másikba célzott forgalmat átirányítsa, ami tulajdonképpen a szolgáltatás megtagadását okozza mindkettőnél (az egyiknél, mert nincs odairányított forgalom, a másiknál, mert a vártnál nagyobb forgalmat fogad). Annak ellenére, hogy a technológia már jó ideje széles körben elterjedt, sok hálózat (Internet szolgáltatók és nagyobb vállalatok) nem védi magát a forgalomirányítókon rendelkezésre álló szigorú titkosítással és hitelesítéssel.

Infrastrukturális támadások potenciális hatása

Szolgáltatás megtagadása

A fenyegetettség aszimmetrikus tulajdonsága miatt a szolgáltatás megtagadása valószínűleg egy nagy hatásfokú, kis erőfeszítést igénylő módszer marad a támadók számára. A legtöbb szervezet Internet kapcsolata a rendelkezésre álló sávszélesség 1 és 155 megabájt között van másodpercenként (Mbps). A támadásokat több száz Mbps és az felett jelentkeznek, ami több mint elegendő ahhoz, hogy az interneten szinte minden rendszert behálózzanak.

Érzékeny információk kompromittálása

Néhány vírus létező fájlokhoz csatolja magát a megfertőzött rendszeren, majd továbbküldi a megfertőzött fájlt. Ennek következménye lehet, hogy a szerző engedélye nélkül kerülnek szétküldésre bizalmas információk. (a Sircam példa erre).

Félrevezető tájékoztatás

A betolakodók módosíthatják a híroldalakat, hamis kiadványokat jelentethetnek meg és egyéb olyan tevékenységeket is végre tudnak hajtani, amelyeknek gazdasági kihatása lehet.

Idő és egyéb feladatoktól elterelt források

A biztonsági események legnagyobb hatása talán az idő és forrás követelmények kezelése. A Computer Economics becslése szerint a Code Red gazdasági hatása összesen 2.6 milliárd $ volt, a Sircam 1.3 milliárd $-t tett ki (összehasonlítás céljából, a becslés szerint 9/11 támadás megközelítőleg 15.8 milliárd $-ba kerül majd az IT és kommunikációs képességek helyrehozatala után).

Konklúzió

Jelen dokumentum célja az volt, hogy tájékoztassuk az olvasót a támadási technikák és eszközök jelenlegi tendenciáiról. A CERT/CC által észlelt tendenciák azt jelzik, hogy az internettől függő szervezetek számára nagy kihívást jelent hálózatuk biztonságos üzemeltetése és annak biztosítása, hogy támadás esetén is folyamatos legyen a kritikus szolgáltatások biztosítása. A jelen dokumentum melléklete felsorolja azon forrásokat, ahol több információ található a problémákról és a szükséges lépésekről, hacsak korlátozott módon is. További információ megtalálható az Internet Security Alliance és CERT/CC web oldalakon. Mindenkitől sok munkát igényel a problémák értékelése, kockázataink és azok mérsékelésének meghatározása.

Darwin-díj a legostobább biztonsági előírásoknak

A Privacy International emberi jogi csoport kihirdette a “legostobább biztonsági előírások” versenyének győzteseit. A tavaly februárban meghirdetett versengés célja a világ legfeleslegesebb biztonsági előírásainak leleplezése volt. Díjazták a londoni repülőteret is, ahol lefoglaltak egy doboz zöld tealevelet, mivel a csomagoláson a “Gunpowder” (lőpor) felirat díszelgett.

Az 1990-ban alapított Privacy International mindenekelőtt az informatika biztonsági kérdéseivel és a magánszféra védelmével foglalkozik. A pályázatot a biztonsági előírások világszerte megfigyelhető értelmetlen eltúlzása nyomán indították. A csoport szerint az intézkedések sokszor nem csak feleslegesek vagy gyermetegek, de idegesítőek, tolakodóak, illetve egyszerűen csak ostobák.

Ötezer jelölt

A kiírás nyomán 35 országból közel ötezer résztvevőt “neveztek” be a díjra. Érkeztek ajánlások a gazdaság minden területéről, a közlekedésből, távközlésből és természetesen nem maradtak ki az állami hivatalok sem.

“A jelölések szokatlanul magas száma utal arra, hogy a helyzet már a nevetségességgel határos. A biztonság szó a ködösítés eszközévé vált, amely mögött sok inkompetens menedzser elrejtőzhet” – írja a szervezet honlapján Simon Davis, a Privacy International elnöke.

A Privacy International szerint a biztonság jelszava mögé rejtve manapság olyan intézkedéseket hoznak, amelyek néhány évvel ezelőtt még elképzelhetetlenek voltak, és közfelháborodást váltottak volna ki.

Nyert az ausztrál kormány

A különböző kategóriák díjait egy “nemzetközileg elismert biztonsági szakértőkből álló tekintélyes grémium” osztotta ki. Az összesített első helyezést az ausztrál kormány érdemelte ki “hasznavehetetlen, irritáló és öntörvényű biztonsági intézkedései” sorával. A további kiemelt díjazottak közé tartozik Philadelphia repülőtere, illetve a New York-i JFK, a brit T-Mobile, a San Francisco General Hospital és a Texas egyetem.

A díjakat a következő kategóriákban osztották ki:
A legmegmagyarázhatatlanabb biztonsági intézkedés
A legtolakodóbb biztonsági intézkedés
A legkontraproduktívabb biztonsági intézkedés
A legidegesítőbb biztonsági intézkedés
A leghallatlanabb biztonsági intézkedés

Az ausztrál kormány a leghallatlanabb intézkedés díját azzal nyerte el, hogy felállított egy ingyenesen hívható számot, ahol “minden gyanúsat” jelenthetnek a polgárok. Azt viszont soha nem magyarázták meg, mi számít gyanúsnak és mit kellene jelenteni.

Lefoglalt tea

A londoni repülőtér a “legmegmagyarázhatatlanabb hülye intézkedés” kategóriája második helyére érdemesült azzal, hogy lefoglaltak egy doboz zöld tealevelet, mivel a csomagoláson a “Gunpowder” (lőpor) felirat díszelgett.

Philadelphia repülőtere ezt a teljesítményt azzal tudta űberelni, hogy miután kipróbálták egy szaúdi egyetemista parfümjét, a biztonsági személyzetet kórházba szállították kivizsgálásra, két repülőtéri üzletet pedig bezártak. Az egyetemistát csak a parfüm laboratóriumi ellenőrzése után engedték szabadon.

A legkontraproduktívabb biztonsági intézkedés kategóriájának győztese a San Francisco-i General Hospital közkórház lett. Itt a főbejárathoz fegyveres őröket állítottak, akik a betegeket és a sérülteket fényképes igazolvány nélkül nem engedték be az épületbe.

Symantec: jelentés az internetes veszélyekről

Az Internet veszélyeirol szóló jelentés mélyebb áttekintést ad az internetes közösség számára arról, hogyan fejlodtek az internetes veszélyek az idok során. A jelentés bepillantást ad a világ legkiterjedtebb behatolásérzékelo-rendszer hálózata és a világszerte muködo tuzfalak által észlelt számítógépes támadások fejlodési irányába.

Mi történt tavaly?
A hálózatos támadások igen alapos elemzésén túl a jelentés a sérülékenységek és a rosszindulatú programok egyesített elemzésére is kiterjed. A fentiek összegzése révén az internet veszélyeirol szóló jelentés – a biztonság ilyen széles köru áttekintésével – egyedülállónak tekintheto. Ez az áttekintés a Symantec forrásain alapul, amelyek a világ legnagyobb, támadásokat összegyujto adattárát, valamint a víruselhárító programok felhasználóitól milliószám beérkezett vírusgyanús programrészletet foglalják magukban.

Az internetes veszélyek sok tekintetben megerosödtek és elterjedtek, míg más szempontok szerint nézve viszonylag állandóak. A férgeket és az összetett veszélyeket nem számolva a támadások száma most eloször csökkent kis mértékben. Ez az elozo 6 hónaphoz képest 6%-os csökkenést mutat. A csökkenés ellenére számos szervezetnél a támadások számának és viszonylagos súlyosságának meredek emelkedését tapasztalták, míg más cégeknél, ahol már régebben felügyelik a védelmet, lényegesen csökkent a kockázat. A támadások kiindulási ország szerinti mennyiségi eloszlása jórészt megegyezik a korábbi tanulmányokban leírtakkal. A támadások 80%-a mindössze tíz országból indult, messze a legtöbb támadás az Egyesült Államokból eredt.

A számítógépes támadásokkal kapcsolatos kockázatokhoz az is hozzájárul, hogy az új informatikai termékekben található sebezheto pontok felfedezésének üteme tavaly jelentosen felgyorsult. Az új, dokumentált sérülékenységek száma 2002-ben 81,5%-kal volt magasabb az elozo évinél. Ezt a növekedést szinte kizárólag a kritikusnak minosített sérülékenységek adták. Továbbá a dokumentált sérülékenységek körülbelül 60%-a könnyen kihasználható lenne, vagy azért, mert az erre szolgáló rafinált eszközök széles körben elérhetok, vagy azért, mert kihasználásukhoz egyáltalán nem kell semmilyen eszköz. Végül a sérülékenységek hatalmas számát kihasználva a rosszindulatú programok írói az elmúlt 6 hónap során több sikeres összetett károkozót is útjára bocsátottak. Ezek jó része az útnak indításukat követo néhány órán belül gyorsan elterjedt az Internetre kapcsolt szervezetek között, és számos közülük mind a mai napig rendszerek ezreit fertozi meg szerte a világon.

Világosan látszik, hogy minden Internetre kapcsolódó szervezetnél nagy a számítógépes támadás és a rosszindulatú programok okozta fertozés kockázata. Emellett a teljesen új és – meglehet – még nagyobb pusztítással fenyegeto rosszindulatú programok és számítógépes támadásra szolgáló eszközök felbukkanásának lehetosége a jövore nézve lényeges kockázatot jelent. A jelentés további részében részletesebben kerülnek bemutatásra a fontosabb veszélyek irányzatai és a jövoben várható gondok.

A ˝Jelentés az internetes veszélyekrol˝
A Symantec Jelentés az internetes veszélyekrol címu tájékoztatója a világ legszabatosabb, legátfogóbb összefoglalója a jelenlegi számítógépes veszélyek irányzatairól. A tendenciákat nagy mennyiségu, a veszélyekre vonatkozó adat elemzésébol vezették le. A jelentés elso része napjaink számítógépes támadásainak fo irányzataiba ad betekintést. Ezeknek a következtetéseknek a levonására egy négyszáznál több céget felölelo mintavétel szolgált. A következtetések a több mint 30 országban muködo cégeknél üzemelo ezernél több behatolásérzékelo rendszer és tuzfal által a bekövetkezéssel egy idoben észlelt számítógépes támadások statisztikai elemzésén alapulnak. A jelentés második részében a dokumentált sérülékenységek és a rosszindulatú programok okozta járványok elemzése révén bepillantást nyerünk a veszélyeztetettség fo irányzataiba. Az ebben a részben olvasható következtetések a világ számtalan helyérol több milliónyi céges és magánfelhasználó által elemzésre beküldött rosszindulatú programkódok statisztikai elemzésébol és a több mint hatezer eltéro bejegyzést tartalmazó sérülékenységi adatbázisból származnak.

A jelentés kifejezetten a tapasztalati adatok elemzésén alapul. A Symantec teljes technikai és szolgáltatási kínálatát felhasználva ezek az adatok és elemzések az információvédelem teljes skáláját, a sérülékenységek és a rosszindulatú programkódok elemzését, valamint a hálózat felol érkezo számítógépes támadásokat is tartalmazzák. Ennek a tudásnak a közzétételével az információbiztonsággal foglalkozó közösség tagjai számára módot adunk arra, hogy felmérhessék cégük, az iparág és az egész internetes közösség jelenlegi és a jövobeni védelmi stratégiáját.

A fobb témák

A számítógépes támadások, az informatikai termékek sebezheto pontjai és az újszeru rosszindulatú programokra való általános érzékenység formájában megjeleno veszélyek az elmúlt hat hónapban jelentosek maradtak és továbbra is folyamatosan jelentkeztek. Tovább nott azon cégek veszélyeztetettsége, amelyek nem tették meg a megfelelo ellenintézkedéseket. Ezeket a tapasztalatokat az alábbi alcímek alatt található megállapítások támasztják alá: A számítógépes támadások, A sérülékenységek, A rosszindulatú programok.

A számítógépes támadások I.
Az elmúlt 6 hónap során a számítógépes támadások mennyisége – a férgek és az összetett veszélyek által kiváltottak kivételével – 6%-kal csökkent az azt megelozo 6 hónaphoz képest.

– hetente átlagosan 30 támadást észleltek a cégek az elmúlt 6 hónap során; ez az érték a megelozo fél évben 32 volt
– ennek a tevékenységnek a 85%-a támadás elotti puhatolózásnak bizonyult, a fennmaradó 15% valamely sérülékenység megkísérelt vagy sikeres kihasználása volt
– a támadások számának az elmúlt hat hónap során tapasztalt csökkenése ellenére a támadások átlagos mennyisége az elmúlt 6 hónapban is 20%-kal magasabb volt, mint 2001 azonos idoszakában

A kritikus események elofordulási gyakorisága az utóbbi hat hónapban kis mértékben csökkent az azt megelozo hat hónaphoz képest.

– a mintában szereplo cégek 21%-a legalább egy komoly támadást szenvedett el az elmúlt 6 hónap során; ez az érték a megelozo fél évben 23% volt
– a kritikus események jelenlegi elofordulási gyakorisága jóval alacsonyabb, mint ahogy az 2001 azonos hat hónapja során tapasztalható volt

A támadások bizonyos idoszakokban más-más mintát követtek.

– a támadások mennyisége és súlyossága a hét többi napjához képest szombaton és vasárnap számottevoen alacsonyabb volt, ez megfelelt az elozo hat hónap tapasztalatainak
– a támadások ingadozása inkább a támadó rendszerek földrajzi helyén érvényes helyi idovel hozható összefüggésbe, semmint a megtámadottéval
– az Internetre kapcsolódó szervezetek által észlelt támadások észlelhetoen a greenwich-i ido szerinti (GMT) 12 és 21 óra között csúcsosodtak ki, függetlenül az egyes hálózatok helyétol és az ottani helyi idotol; ez több, nagy kapacitású helyi támadásforrás hozzávetolegesen egyideju csúcstevékenysége következményének tunik

A vállalatokat ért támadások relatív súlyossága és mennyisége továbbra is a tevékenységi kör, a méret és az ügyfelünkként eltöltött évek függvénye.

– továbbra is az energiaipari cégek tapasztalták a legtöbb támadást és kritikus eseményt
– a non-profit és a pénzügyi szolgáltatási szektorban is több támadás és kritikus esemény fordult elo
– a nagyobb cégek (az alkalmazottak számát tekintve) szintén több és súlyosabb támadást tapasztaltak
– azoknál a cégeknél, ahol a védelem felügyelete hosszabb ideje muködik, csökken a veszélyeztetettség; a védelmet 12 hónapnál rövidebb ideje felügyelo cégeknél a súlyosabb támadások aránya 29%, az ezt 12 hónapnál régebben alkalmazóknál 17%

A számítógépes támadások II.
A támadások kiindulási ország szerinti eloszlása az elmúlt 18 hónapban viszonylag állandó volt, de néhány esetben az aktivitás jelentos ingadozása is megfigyelheto volt.

– a tíz legaktívabban támadó ország számlájára írható az elmúlt hat hónap támadásainak 80%-a; az Egyesült Államok továbbra is a legnagyobb részese ezeknek, innen eredt az összes támadás 35,4%-a
– A Dél-Koreából származó támadások száma az elmúlt hat hónap során 62%-kal nott, ezzel ez az ország az összes támadást tekintve a második helyre került. A tízezer internetezore vetített támadásokat tekintve az elso csoportbeli országok között a vezeto helyen áll. Ennek a tendenciának az egyik oka feltehetoleg Dél-Korea gyorsan növekvo magánfelhasználói célú szélessávú infrastruktúrája. Ha nem alkalmaznak széles körben védelmet, a szélessávú elérés elterjedésével más országokban is nohet az oket érinto és a tolük kiinduló rosszindulatú tevékenység.
– egyes kelet-európai országokban a tízezer felhasználóra vetített támadások száma magas; az elso csoport országai közül Lengyelország és a Cseh Köztársaság áll a második és harmadik helyen, míg Románia Lettország, Litvánia és Szlovákia mind a második csoport országai közt szerepel

Az elmúlt fél év során a Symantec nem tapasztalta a számítógépes terrorizmus bizonyítható jelét.

– a számítógépes terrorizmus miatt figyelemmel kísért országok jegyzékén szereplo országokból érkezo támadások az összes káros tevékenység kevesebb mint egy százalékát tették ki

Az eseményekre több mint 50%-ban a belso visszaélések miatt kellett reagálni.

– a túlsúlyban levo külso támadások mellett az ügyfelek úgy értékelték, hogy a belso visszaélések okozta kár is különösen nagy volt
– az elkövetés viszonylag egyszeru módja és a saját becslésen alapuló magas kárérték arra figyelmeztet, hogy rendkívül fontos a belso veszélyek elleni védekezés

A sérülékenységek
A Symantec 2524 új sérülékenységet dokumentált az elmúlt hat hónapban, amely a 2001. évihez képest 81,5%-os növekedést jelent.

– átlagosan napi hét új sérülékenységet jegyeztek fel a Symantec elemzoi az elmúlt év során
– a növekedés lehetséges okaként a gyártói felelosség kizárására való törekvés, a szoftverhibák kihasználásának egyes új módszerei és a sérülékenységeket kutatók iránt megnövekedett sajtóérdeklodés említheto

Az új sérülékenységek számának növekedése a közepesen vagy nagyon veszélyes sérülékenységek számának meredek emelkedésére vezetheto vissza.

– a 2002-ben leírt közepesen vagy nagyon veszélyes sérülékenységek száma 84,7%-kal volt magasabb a 2001. évinél; összehasonlításképpen a kevéssé veszélyes sérülékenységek száma csupán 24%-kal nott 2001-hez képest
– ezt a tendenciát láthatólag leginkább a kívülrol támadható webes alkalmazások gyors kifejlesztése és alkalmazásba vétele erosíti

Az elmúlt néhány év alatt semmi sem változott azon a téren, hogy az új sérülékenységeket viszonylag könnyen kihasználhatják a támadók.

– az új sérülékenységek körülbelül 60%-a könnyen kihasználható, mert vagy egyáltalán nincs szükség a kihasználásához megfelelo programra, vagy azért, mert az széles körben hozzáférheto
– mindamellett a kihasználásukhoz külön programot igénylo sérülékenységek csupán 23,7%-ához áll jelenleg rendelkezésre ilyen program, szemben a 2001. évi 30%-kal

A 2002-ben felbukkant sérülékenységek alapján számos, igen káros jövobeni veszély jelentkezett, amelyeket még csak éppen elkezdtek alkalmazni a támadók és a rosszindulatú programok írói.

Az ismert összetett veszélyek csak egy töredékét használják ki az eddig leírt sérülékenységeknek. Míg a korábbi összetett veszélyek sikeresen használják ki a már hónapok óta ismert sebezheto pontokat, úgy tunik, hogy a mostanában felfedezett sérülékenységek jó része továbbra is a jövobeni támadások jelentos mértékben kihasználható célpontja marad.

Számos elterjedten használt, nyílt forráskódú alkalmazást láttak el trójai célra hátsó ajtóval a múlt év során. A támadások a nagy forgalmú terjeszto webhelyekre irányultak, akik jelentos erofeszítéseket tettek saját védelmük érdekében. Ez figyelmeztetésül szolgálhat nem csak más, nyílt forráskódú projektek, hanem a kereskedelmi szoftverek gyártói számára is. Az egyedi rendszerek megtámadása helyett a támadók nyíltan keresik az olyan lehetoségeket, amelyekkel rövid ido alatt nagy számú rendszert befolyásolhatnak.

A webes felhasználói programok sebezheto pontjaira, különösen azokra, amelyek a Microsoft Internet Explorerére hatnak, idén különösen oda kell figyelni. A múlt évben ezeknek a sebezheto pontoknak a száma és veszélyessége nagy mértékben nott.

A rosszindulatú programok
Az internetes közösség számára a legnagyobb kockázatot továbbra is az összetett veszélyek jelentik.

– három összetett veszély (a Klez, a Bugbear és az Opaserv) tette ki a Symantec Security Response-hoz az elmúlt hat hónap során beérkezett rosszindulatú programrészletek közel 80%-át
– a Symantec ügyfélköre által észlelt számítógépes támadások nagy részét csupán néhány régi és új összetett károkozó, például a Bugbear, a Nimda és a Code Red okozta
– a mostani rosszindulatú programok, például a Bugbear továbbra is sikeresen használják ki az olyan sebezheto pontokat, amelyek már legalább egy hónapja ismertek, így az internetes közösség egésze továbbra is nagyon sebezhetonek tunik az új összetett veszélyekkel szemben, amelyek terjedésükhöz az ismert sebezheto pontokat használják ki

A fertozés hordozói (a sérülékenység kiaknázásának módszerei) és magának a bajt okozónak a célpontjai is megváltoztak az elmúlt hat hónap során.

– az öntöbbszörözo tömeglevél-küldok száma meredeken emelkedett; az elmúlt hat hónap során leggyakrabban jelzett ötven veszély közül nyolc öntöbbszörözo tömeglevél-küldo volt, míg 2001-ben csupán egy ilyen volt az ötven között
– a bizalmas felhasználói információk ellopására szakosodott rosszindulatú programok az elmúlt év során jelentosen elszaporodtak; az üzleti titkok, a kényes pénzügyi információk és más magánjellegu adatok nyilvánosságra kerülésének lehetosége nagyságrendekkel megnövelheti a kár lehetséges mértékét

A tömeges felhasználás piacára most belépo technikai eljárások igen kedvezo lehetoséget jelentenek a rosszindulatú programíróknak.

– a közvetlen üzenetküldo és az egyenrangú hálózati (P2P) alkalmazások nagy piaci térhódítása és növekvo jogtalan használata ezeket a programokat a jövo összetett veszélyeinek fertozésközvetítoivé teszi
– a mobil eszközöktol 2003-ban és 2004-ben erosebb piaci térhódítást várnak; ezek az eszközök gyakorta meglehetosen gyenge védelemmel kerülnek használatba, ezáltal a jövo rosszindulatú programjainak nagyon hatékony terjesztoi lehetnek

Megjegyzés: Az összetett veszélyek a vírusok, a férgek, a trójaiak és a rosszindulatú programok tulajdonságait a szerverek és az internetes sérülékenységek kihasználásával ötvözve indítják, viszik át és terjesztik el a támadást. Az összetett veszélyek többféle módszert és eljárást használva gyakran igen gyorsan terjednek és széles körben okoznak károkat.

180 ezer ügyfél adatai az eltűnt winchesteren

Egy biztosító mintegy 180 ezer ügyfelének személyes és pénzügyi adatait tároló merevlemez tunt el az IBM-nél Kanadában. Az illetékesek nem tudják, hogy lopás, vagy egyszeru gondatlanság áll az ügy hátterében.

A Toronto Star napilap híre szerint az adattárolót üzemelteto kanadai IBM-telephelyen egyelore nem tudják, hogy mi lett a sorsa az egyszer csak “elveszett” merevlemeznek. A kérdéses winchester egy biztosítótársaság ügyfeleinek információit tárolja, eltunése után a cég 180 ezer ügyfelét volt kénytelen arról értesíteni, hogy információik esetlegesen illetéktelen kezekbe kerülhettek.

Az IBM egyik illetékese szerint a cégnél egyelore nem biztosak abban, hogy lopás történt e, vagy a winchester egyszeruen csak “elkeveredett” valahol. Az ügyet vizsgáló rendorségi eljárás mellett a vállalat belso vizsgálatot kezdeményezett a felelosök személyének felderítése érdekében.

Az új általános biztonsági szabvány: ISO 17799

A információs biztonsági menedzserek régen várnak valakire, aki elindul az úton, és kiad egy auditálható, általánosan elfogadott információs biztonsági szabványt. Sokan hisznek abban, hogy egy gyakorlati útmutató segíthet az IT menedzserek munkájában. Segíthet a döntéshozók munkájában, növelheti az egyes részlegek együttműködését a közös érdek, a biztonságért folytatott munkában, és segíthet a biztonságot a szervezeten belül a fontossági lista elejére helyezni.

Az International Standards Organization (ISO) 2000. decemberében adta ki az ISO 17799-et, ami azóta az egyik legszélesebb körben elismert biztonsági szabvánnyá nőtte ki magát. Az ISO 17799 definíció szerint “a legszéleskörűbb eljárások, melyek az információs biztonság legjobb gyakorlati megvalósítását szolgálják”.

1. Az ISO 17799 eredete

Több, mint 100 éven keresztül a British Standards Institute (BSi) és az International Organization for Standardization (ISO) adta ki az általános értékelést a műveleti, gyártási és teljesítményszabványokhoz. Az egyetlen olyan dolog, melyet sem a BSi, sem az ISO nem tett meg, az információs biztonságra vonatkozó szabvány kiadása volt.

Végül 1995-ben a BSi kiadta első biztonsági szabványát, a BS 7799-et. A BS7799 azzal a szándékkal készült, hogy lefedje a biztonsággal kapcsolatos kérdéseket az E-kereskedelem területén. 1995-ben az olyan kérdések, mint a Y2K és az EMU minden mást maguk mögé utasítottak. Hogy a helyzet még rosszabb legyen, a BS 7799-ről kiderült, hogy túl merev, így széles körben sosem terjedt el. Nem volt elég érett a helyzet ebben az időben, és a biztonsági kérdések nem sokakat izgattak ekkoriban.

Lépjünk előre négy évet. 1999. májusában a BSi ismét próbálkozott, kiadta a BS 7799 második változatát, mely az első változat alapos átdolgozása volt. Ez a kiadás számos javítást és fejlesztést tartalmazott az 1995-ös változathoz képest. Ekkor lépett be a munkába az ISO is, és elkezdte átdolgozni a BS 7799-et.

2000. decemberében az ISO adaptálta és kiadta a BS 7799 első részét, mint sajátját, ISO 17799 néven. Nagyjából ugyanekkor a szabvány formális akkreditációja és certifikációja is megtörtént. A Y2K és az EMU, valamint más problémák megoldása befejeződött, vagy 2000-re már csökkent jelentőségük, a biztonság általános szintje viszont drámaian növekedni kezdett. A BS 7799 első részének – a szabvány követelményei – adaptálása sokkal elfogadhatóbb volt egy nemzetközi bizottság, mint az ISO által, és ez volt az a pillanat, amikor a biztonsági szabványok rendszerét először ismerték el széles körben.

2. Javaslatok rendszere

Az ISO 17799 szabvány kihagyja a BS 7799 második részét, mely a megvalósítással foglalkozik. Az ISO 17799 mai formájában egy bármilyen méretű szervezet által alkalmazható rendszere a legjobb gyakorlati biztonsági eljárásokra vonatkozó javaslatoknak. Szándékosan rugalmas szabványként írták le, nem való arra, hogy adott biztonsági megoldások során végigvezessen valakit.

Az ISO 17799 javaslatai technológiai szempontból semlegesek maradnak, nem adnak iránymutatást arra, hogy létező biztonsági intézkedéseket általa értékelni lehessen. Például leírja a tűzfalak használatának szükségességét, de nem megy bele részletekbe a három különféle tűzfaltípussal és azok használatával kapcsolatban. Az ócsárlói szerint túl pontatlan, túl laza a szerkezete ahhoz, hogy valós haszna lehessen. Az ISO 17799 rugalmassága szándékos, mivel elég nehéz lenne egy olyan szabványt készíteni, mely az IT környezetek sokaságában képes lenne működni, és képes lenne együtt nőni a gyorsan változó technológiákkal. Egyszerűen csak egy szabályrendszert állít fel ott, ahol eddig nem volt semmi.

3. Az ISO 17799 tíz ellenőrzött területe:

Biztonsági szabályzat – Egy szabályzatra van szükség a szervezet biztonsági elvárásainak körvonalazására, mely azután a menedzsmentet részére biztosítja a szükséges iránymutatást és támogatást. A szabályzatot alapként fogják használni a folyó vizsgálatok és értékelések során.
Biztonsági szervezet – Javasolja, hogy a szervezeten belül körvonalazzanak egy menedzsment struktúrát, leírva, hogy melyik csoport a biztonság mely területeiért felelős, valamint az incidensek kezelésének módját is.
Javak ellenőrzése és osztályozása – Leltárt készíttet a szervezet információs javairól, és ennek ismeretében biztosítja, hogy a megfelelő védelemmel lássák el azokat.
Személyi biztonság – Jelzi a potenciális és tényleges dolgozók oktatásának szükségességét, mit várnak el tőlük a biztonsággal és a bizalmas információkkal kapcsolatban, és hogyan épül be az ő biztonsági szerepük az egész szervezet működésébe. Szükséges még egy rendszer felállítása az incidensek bejelentésére.
Fizikai és környezeti biztonság – A biztonsági területek védelmére, a berendezések védelmére és ezzel kapcsolatos általános kérdésekre mutat rá.
Kommunikáció és műveleti menedzsment – Ennek a fejezetnek a céljai:
Biztosítani az információ feldolgozó berendezések helyes és biztonságos működését;
Minimalizálni a rendszerhibákat;
A szoftver és az információ integritását megvédeni;
Az információfeldolgozás és kommunikáció integritását és rendelkezésre állását fenntartani;
A hálózatban található információ őrzését és a támogató infrastruktúra védelmét biztosítani;
A javak sérülésének és az üzleti aktivitás megszakításának megakadályozása;
A szervezetek között mozgó információ elveszésének, módosításának vagy illetéktelen felhasználásának megakadályozása.
Hozzáférési jogosultság ellenőrzése – Felhívja a figyelmet a hálózatokhoz és az alkalmazás erőforrásokhoz való hozzáférés felügyeletének és ellenőrzésének fontosságára a belülről jövő illetéktelen felhasználás vagy a külső támadások elleni védelem érdekében.
Rendszerfejlesztés és karbantartás – Emlékeztet arra, hogy bármilyen IT területen kifejtett tevékenységet a biztonság szem előtt tartásával kell végezni; minden lépést ellenőrizni kell biztonság szempontjából.
Az üzleti folytonosság menedzsmentje – A javaslat szerint minden legyenek előkészített eljárások az üzleti aktivitás megszakadásának ellentételezésére és a kritikus üzleti folyamatok védelmére nagyléptékű kiesés vagy katasztrófa esetén.
Megfelelőség – Utasítja a szervezeteket, hogy ellenőrizzék, mennyiben felelnek meg az ISO 17799 követelményei más jogi követelményekkel, mint pl. az Európai Unió Directive on Privacy, Health Insurance Portability and Accountability Act (HIPAA) direktívája, vagy a Gramm-Leach-Bliley Act (GLBA). Ez a fejezet a biztonsági szabályzatok és a technikai megfelelőség ellenőrzésére hív fel, és megfontolásra int a rendszer auditálási eljárásával kapcsolatban, hogy minden vállalat a legtöbbet kaphassa általa.
4. Az ISO 17799 követésének előnyei

Egy ISO 17799 tanúsított nagyvállalat könnyebben juthat üzletekhez versenytárainál, akiknek nincs ilyen tanúsítványuk. Ha egy potenciális ügyfél két szolgáltatás között kell válasszon, és a biztonság kérdése nagy súllyal esik a latba, akkor nyilván a tanúsított szolgáltatást fogja választani. Ezenkívül a tanúsított nagyvállalatnál:

Javuló nagyvállalati biztonság
Hatékonyabb biztonsági tervezés és menedzsment
Biztonságosabb partneri kapcsolatok és E-kereskedelem
Növekvő bizalom az ügyfelek részéről
Pontosabb és megbízhatóbb biztonsági audit és
Csökkenő felelősség érhető el.
5. Az ISO 17799 állapota

Az ISO jelenleg átdolgozza a 17799-et, hogy a széleskörű hallgatóságnál méginkább nyitott fülekre találjon. Az ISO 17799 az első szabvány, alapvető javaslatait és ötleteit erre az alapra építve fogják a jövő igényei szerint fejleszteni. Addig azonban maga az ISO 17799 a követendő szabvány.
Ha szervezetének nincs leírt és üzemelő védelmi programja, az ISO 17799 nagy vonalakban leír egyet, melyet követhet. Még ha nem is tanúsíttatja magát, az ISO 17799 egy olyan vezérfonalként szolgálhat, mely mentén felépítheti nagyvállalata biztonsági rendszerét. Ha nem is több, de legalább egy jól körvonalazott biztonsági elképzelés, melyet követhet. Később még a tanúsíttatás hosszú távú előnyeire is rádöbbenhet.