Μέτρα ηλεκτρονικής ασφάλειας: Μήπως δεν διαφέρουν και τόσο;

Επιχειρώντας να συγκρίνουμε τα μέτρα που λαμβάνονται προκειμένου να διασφαλίσουμε την ακεραιότητα του δικτύου μας ή γενικότερα των πληροφορικών συστημάτων μας, με τα μέτρα φυσικής ασφάλειας που λαμβάνονται σε ένα κτίριο, θα παρατηρήσουμε αρκετές ομοιότητες όσον αφορά στη μεθοδολογία και την πρακτική που ακολουθείται.

Από το περιοδικό που κρατάτε στα χέρια σας, έχω μάθει κι εγώ πολλά έως τώρα, γνωρίζοντας προϊόντα και τεχνικές που φροντίζουν για τη φυσική ασφάλεια των χώρων μας, καθώς και την παρακολούθησή τους με τρόπο διακριτικό και αποτελεσματικό.

Το γεγονός όμως, είναι ένα: Η ασφάλεια είναι πρωτίστως θέμα κοινής λογικής και φαντασίας και κατόπιν γνώσεων και τεχνολογίας. Αν εφαρμόσει κανείς απλούς κανόνες και εκτιμήσει σωστά τους κινδύνους, μπορεί να επιτύχει ένα πολύ ικανοποιητικό αποτέλεσμα, συγκρινόμενο πάντα με την αξία αυτών που θέλει να ασφαλίσει.

Στον ηλεκτρονικό κόσμο, όπου η αξία των αγαθών μετράται ευκολότερα (διότι στον πραγματικό κόσμο είναι μάλλον δύσκολο να «κοστολογήσει» κανείς την ανθρώπινη ζωή, π.χ.) ισχύει κατά μείζονα λόγο ο παραπάνω ισχυρισμός. Λογική και φαντασία παίζουν κι εδώ τον πρωταγωνιστικό ρόλο και δεν θα ήταν υπερβολή να πούμε ότι οι απλοί κανόνες και τα προληπτικά μέτρα «κερδίζουν» πολύ συχνότερα από τις προηγμένες τεχνολογικά λύσεις. Ας δούμε λοιπόν, πόσο μοιάζει η ασφάλεια των κτιρίων με εκείνη των δικτύων μας.

Διαίρει και βασίλευε

Σε κάθε κτίριο, ακόμα κι αν δεν το καταλαβαίνουμε, υπάρχουν χώροι στους οποίους μπορούμε να μπούμε εύκολα, χωρίς να μας ενοχλήσει κανείς, καθώς και άλλοι στους οποίους χρειαζόμαστε είτε συνοδεία είτε ειδική άδεια. Στο χώρο που βρίσκεται το ATM μιας τράπεζας π.χ., μπορεί και να μη χρειάζεται κανένας έλεγχος (αν είναι εκτεθειμένο στο δρόμο), ενώ για να πάμε στο χώρο με τις θυρίδες φύλαξης, περνάμε από πολλούς ελέγχους και δεν πάμε ποτέ μόνοι μας.
Το ίδιο ακριβώς εφαρμόζεται και σε ένα δίκτυο υπολογιστών. Το χωρίζουμε σε υποδίκτυα, που επικοινωνούν μεν μεταξύ τους, αλλά μέσα από φίλτρα, τα οποία ελέγχουν και καταγράφουν πλήρως τη διέλευση μέσα από αυτά. Στο Σχήμα 1 φαίνεται η τοπολογία ενός δικτύου, όπως θα ήταν αν ακολουθούσαμε πλήρως αυτήν τη λογική της «διαίρεσης». Φαίνεται καθαρά, ότι έχουμε χωρίσει το δίκτυό μας σε τρία διαφορετικά υποδίκτυα, Α, Β και C. Το κάθε ένα από αυτά φιλοξενεί μηχανές και δεδομένα διαφορετικού βαθμού ασφάλειας, τα οποία χρειάζονται προφανώς διαφορετική προστασία. Έτσι, στο «κόκκινο» δίκτυο A βρίσκονται οι πολύ ευαίσθητες βάσεις δεδομένων του δικτύου μας, με τα  λογιστικά και άλλα στοιχεία. Στο δίκτυο B, εργάζονται και αποθηκεύουν τα αρχεία τους οι χρήστες μας, ενώ το δίκτυο C φιλοξενεί την ιστοσελίδα μας, που είναι ευπρόσδεκτοι να την επισκεφτούν όλοι. Τα δίκτυα μεταξύ τους, χωρίζονται από τα firewall F1 και F2, τα οποία αναλαμβάνουν το φιλτράρισμα της επικοινωνίας μεταξύ των υποδικτύων. Κανένας χρήστης δεν μπορεί να «δει» τις βάσεις δεδομένων, αν δεν περάσει από το F1 και κανένας δεν μπορεί να φτάσει στο δίκτυο των χρηστών, αν δεν περάσει από το F2. Αυτά τα δύο φίλτρα καταγράφουν προσεκτικά κάθε κίνηση και κρατούν ημερολόγιο, με βάση το οποίο μπορούμε να βρούμε ποιος μπήκε πού και πότε. Η τοπολογία αυτή δεν διαφέρει σε τίποτα από ένα σύγχρονο κτίριο γραφείων, με τους φρουρούς που βάζουμε στην είσοδο και προσέχουν ποιος μπαίνει και ποιος βγαίνει, σημειώνοντας σε ένα βιβλίο τα στοιχεία του. Για να επισκεφτούμε βεβαίως τον πρόεδρο, δεν θα περάσουμε μόνο από τους φρουρούς της εισόδου.

Σχήμα 1

Συστήματα συναγερμού

Σε ένα σύγχρονο κτίριο, δεν έχουμε μόνο πόρτες ασφαλείας και φρουρούς, έχουμε και συστήματα συναγερμού και κλειστά κυκλώματα τηλεόρασης. Ο λόγος που καθιστά αναγκαία την ύπαρξή τους είναι, αφενός, το ότι ένας φρουρός δεν μπορεί να βρίσκεται παντού και, αφετέρου, το ότι υπάρχουν πράγματα, που δεν μπορούν να εντοπιστούν εύκολα και χρειάζεται ένα αυτόματο σύστημα για να τα εντοπίσει.
Τα ίδια ακριβώς μέτρα ασφαλείας πρέπει να ακολουθούμε και στα δίκτυά μας. Τα προγράμματα antivirus που όλοι ξέρουμε, δεν είναι παρά συστήματα συναγερμού, που παρακολουθούν άγρυπνα τη λειτουργία του δικτύου μας και μας ειδοποιούν (με όποιο τρόπο θέλουμε) μόλις εντοπίσουν έναν ιό για να αναλάβουμε δράση. Μπορούμε να τα τοποθετήσουμε σε διάφορα σημεία του δικτύου: στις μηχανές των χρηστών, στο mail server, στη σύνδεση με το Internet. «Παγιδεύοντας» διαφορετικό σημείο κάθε φορά, επιτυγχάνουμε τον έλεγχο της εισόδου των ιών, από το σημείο εκείνο. Το πού θα τοποθετήσουμε και το πώς θα ρυθμίσουμε τα προγράμματα antivirus στο δίκτυό μας, πρέπει να είναι αποτέλεσμα ενδελεχούς μελέτης, διότι ούτε «τρύπες» θέλουμε να αφήσουμε, αλλά ούτε και να ξοδέψουμε πολλά χρήματα για να προστατευτούμε από ανύπαρκτους κινδύνους.
Τα συστήματα ανίχνευσης και αποτροπής εισβολών (intrusion detection και intrusion prevention system), είναι πιο εξελιγμένα και ευφυέστερα από τα antivirus, αλλά στην ουσία κάνουν παρόμοια δουλειά. Ενώ τα antivirus ψάχνουν για ιούς μόνο, τα IDS και IPS ανιχνεύουν, καταγράφουν και εμποδίζουν οποιαδήποτε «ύποπτη» κίνηση στο δίκτυό μας και μας ενημερώνουν ή προσπαθούν να την εμποδίσουν. Αν π.χ. κάποιος «κακός» προσπαθεί να αντιγράψει πολύτιμα αρχεία από τις βάσεις δεδομένων μας, αυτό θα εντοπιστεί αμέσως και ο ύποπτος, αφενός θα εμποδιστεί και αφετέρου, θα καταγραφούν όλες οι κινήσεις του, για να εντοπιστεί στη συνέχεια. Πρόκειται για κάτι παρόμοιο με τον εντοπισμό του τηλεφωνήματος που κάνουν οι απαγωγείς, για να ζητήσουν λύτρα. Εδώ όμως, τα πράγματα γίνονται με ηλεκτρονικές ταχύτητες και αυτόματα.

Έλεγχος ταυτότητας

Θα θυμάστε όλοι στη σειρά «Επικίνδυνες Αποστολές» τον πράκτορα που άλλαζε πρόσωπα και ξεγελούσε τους κακούς με χαρακτηριστική ευκολία. Ακόμα και σήμερα, το πρόσωπο του καθενός μας είναι η ταυτότητά του. Αν ο πράκτορας των επικίνδυνων αποστολών επιχειρούσε να μπει σε ένα κτίριο, μάλλον θα το πετύχαινε, αφού αν έπαιρνε τη μορφή κάποιου γνωστού συνεργάτη ή υπαλλήλου, θα κατάφερνε να περάσει τους ελέγχους.
Στα δίκτυα, αυτό μπορεί να γίνει πολύ πιο εύκολα, διότι δεν χρειάζεται να αλλάξει κανείς το πρόσωπό του. Αρκεί να υποκλέψει και να χρησιμοποιήσει το όνομα χρήστη και τον κωδικό κάποιου άλλου, για να ξεγελάσει τα συστήματα του δικτύου και να τα πείσει ότι είναι αυτός ο άλλος, αποκτώντας έτσι και όλα του τα δικαιώματα. Ακριβώς επειδή υπάρχει αυτός ο κίνδυνος, οι διαδικασίες αναγνώρισης στο δίκτυό μας μπορούν- και πρέπει πολλές φορές, να γίνονται με πιο εξελιγμένες μεθόδους. Εκτός από το ζεύγος ΄΄όνομα και κωδικός χρήστη΄΄ έχουμε σήμερα στη διάθεσή μας και τα ψηφιακά πιστοποιητικά, καθώς και τις βιομετρικές μεθόδους αναγνώρισης. Γενικά, ένας χρήστης μπορεί να αναγνωριστεί σε ένα δίκτυο, με 3 τρόπους: Από κάτι που ξέρει, από κάτι που έχει ή από κάτι που είναι.
Η πρώτη μέθοδος, είναι το γνωστό μας password και αρκεί να το μάθει κάποιος για να μας «υποδυθεί». Η δεύτερη μέθοδος συνίσταται στη χρήση μιας μαγνητικής κάρτας ή ενός USB κλειδιού, που πρέπει να έχει κανείς μαζί του και να τα βάλει στην κατάλληλη υποδοχή, ώστε να τον αναγνωρίσει το μηχάνημα. Τίποτα μάλιστα δεν μας εμποδίζει σήμερα, αυτή η κάρτα να είναι η ίδια που χρησιμοποιούμε και για την είσοδό μας στο κτίριο. Η τρίτη μέθοδος αναφέρεται στα βιομετρικά συστήματα. Μπορούμε να συνδεόμαστε με το δίκτυο της εταιρείας μας, απλώς ακουμπώντας το δάκτυλό μας σε μια υποδοχή, ώστε να αναγνωριστεί η ταυτότητά μας.
Εκείνο που πρέπει να τονίσουμε, είναι, ότι οι παραπάνω μέθοδοι αναγνώρισης μπορεί να φαντάζουν .διαστημικές, είναι ωστόσο πραγματικότητα. Το ευτύχημα δε, είναι, ότι μπορούμε να τις εφαρμόσουμε για ένα μόνο μέρος του δικτύου μας (το πιο ευαίσθητο ίσως) ή για τους χρήστες εκείνους που έχουν τα περισσότερα δικαιώματα και έχουν πρόσβαση στα πιο ευαίσθητα αρχεία.

Παραπλάνηση εισβολέων

Οι crackers, όπως ονομάζονται οι κακοί που επιβουλεύονται τις πληροφορίες μας, είναι πολύ έξυπνοι και διαβασμένοι άνθρωποι. Υπάρχει πάντα η πιθανότητα να εισβάλουν στο σύστημά μας, διότι απλούστατα, κανένα σύστημα δεν μπορεί να είναι τέλειο και απόλυτα ασφαλές. Εκείνο όμως που μας απασχολεί σε μια τέτοια περίπτωση, δεν είναι η εισβολή αυτή καθεαυτή, αλλά η απώλεια, τροποποίηση ή απλή πρόσβαση σε ευαίσθητες πληροφορίες. Δεν μας ενδιαφέρει τόσο το ότι κάποιος θα καταφέρει να φτάσει μέχρι το δίκτυο A του σχήματος 1 και να αποκτήσει πρόσβαση στις βάσεις δεδομένων μας, όσο το ότι μπορεί να αλλάξει, να διαγράψει ή απλώς να δει τα στοιχεία που αποθηκεύονται σε αυτές.
Το τελευταίο μέτρο άμυνας λοιπόν μπορεί να είναι η παραπλάνησή του. Τα λεγόμενα decoy system αναλαμβάνουν αυτόν ακριβώς το ρόλο. Φανταστείτε μια μηχανή που συμπεριφέρεται σαν τη βάση δεδομένων μας (με το ίδιο λογισμικό και τα ίδια μέτρα προστασίας), αλλά με εντελώς διαφορετικές πληροφορίες. Αντί να γράφει π.χ., ότι η διαφημιστική καμπάνια θα ξεκινήσει το Σεπτέμβριο, να γράφει ότι θα ξεκινήσει τον Αύγουστο και αντί να γράφει ότι θα εξαγοράσουμε την Τάδε εταιρεία, να γράφει ότι θα εξαγοράσουμε τη Δείνα. Αν τώρα φροντίσουμε η πρόσβαση σε αυτήν την παραπλανητική βάση να είναι τελικά πιο εύκολη, τότε έχουμε πετύχει το σκοπό μας. Ο cracker θα εισβάλει σε αυτήν και όσο ασχολείται μαζί της, εμείς θα καταγράφουμε τα στοιχεία του, χωρίς να ρισκάρουμε τίποτα.
Είναι το ίδιο, σαν να είχαμε ένα πανομοιότυπο χρηματοκιβώτιο με το δικό μας, αλλά αντί να έχει μέσα τα κοσμήματα και τα χρήματά μας, να έχει χαρτιά και γυαλάκια.

Δοκιμές διείσδυσης

Στην ταινία «Οι αθόρυβοι», ο Ρόμπερτ Ρέντφορντ πληρωνόταν για να δοκιμάζει την ασφάλεια τραπεζών και άλλων εταιρειών. Ξεγελούσε τους φρουρούς για να φτάσει στα ευαίσθητα συστήματα και την άλλη μέρα πήγαινε θριαμβευτικά, να ανακοινώσει τα ευρήματά του στους υπεύθυνους.
Όπως και στο φυσικό κόσμο, έτσι και στον ηλεκτρονικό, κανένα μέτρο ασφαλείας δεν είναι αποτελεσματικό, αν δεν έχει δοκιμαστεί. Όσα συστήματα συναγερμού και αν εγκαταστήσουμε, δεν μπορούμε ποτέ να είμαστε σίγουροι ότι θα χτυπήσουν, αν δεν τα ακούσουμε να χτυπούν μία φορά. Για το λόγο αυτό, ο τακτικός έλεγχος των μέτρων ασφαλείας μας, είναι επιβεβλημένος. Χρησιμοποιώντας ειδικούς ακίνδυνους ιούς, μπορούμε να ελέγξουμε την αποτελεσματικότητα των εφαρμογών antivirus, αναθέτοντας σε εξωτερικούς συμβούλους να «παραβιάσουν» το δίκτυό μας, ελέγχουμε τη συμπεριφορά των IDS και IPS, ενώ με τον ίδιο τρόπο βλέπουμε πόσο αποτελεσματικά είναι τα firewall που έχουμε εγκαταστήσει. Το σημαντικό εδώ είναι να ξέρουμε δύο πράγματα:

1. Κανείς δεν έχει νόημα να ελέγξει τον εαυτό του. Είναι τουλάχιστον ανόητο να αναθέσουμε τον έλεγχο ενός συστήματος ασφαλείας σε αυτόν, που το έχει εγκαταστήσει.

2. Ο έλεγχος πρέπει να ξαναγίνει, αν κάτι αλλάξει. Μετά την εγκατάσταση μιας νέας εφαρμογής ή ενός νέου συστήματος ασφαλείας, πρέπει να ελεγχθεί το σύνολο των συστημάτων, ώστε να εξασφαλιστεί ότι δεν επηρεάστηκε τίποτα.

Είναι νομίζω προφανές, ότι τα μέτρα ασφαλείας που μπορούμε να πάρουμε για την προφύλαξη της περιουσίας και των δεδομένων μας, βασίζονται στις ίδιες αρχές. Ίσως, επειδή – όπως είπαμε στην αρχή – και στις δυο περιπτώσεις στηρίζονται στη λογική και τη φαντασία.