EBITS Arbetsgruppen för Energibranschens Reviderad Informationssäkerhet

Transkript

1 Arbetsgruppen för Energibranschens Reviderad Informationssäkerhet TRÅDLÖS KOMMUNIKATION Inledning En stor del av den IT-utrustning som finns på marknaden idag och som i allt större utsträckning används har möjlighet att överföra data trådlöst. Exempel på sådan utrustning är bärbara datorer, handdatorer, avancerade mobiltelefoner, skrivare och digitala kameror. Den trådlösa kommunikationen sker med hjälp av olika tekniker där radioöverföring (t.ex. WLAN och Bluetooth) och IR är de vanligaste. Användandet av trådlös kommunikation kan skapa många möjligheter, men för också med sig många svårhanterade hot. Syfte Syftet med detta dokument är att ge en översikt över ett antal aspekter relaterade till informationssäkerhet, som bör beaktas då man överväger att införa trådlös dataöverföring. Ett sådant införande bör naturligtvis föregås av en hot- och riskanalys som kan bidra till att klargöra om trådlösa tekniker över huvudtaget är lämpliga att använda i det aktuella fallet och vilka säkerhetstekniker som i så fall måste användas. Vidare presenteras ett exempel på regelverk som kan användas som grund för att ta fram egna verksamhetsanpassade regler för trådlösa datanät (WLAN). Hot översikt Förutom de hot som kan identifieras i samband med användning av traditionell trådbunden utrustning, är användningen av trådlös utrustning utsatt för ytterligare hot där några av dessa redovisas nedan. Avlyssning Okontrollerad utbredning av radiovågor gör det mycket enkelt för en angripare att avlyssna trådlösa nät (t.ex. WLAN) på distans utan fysisk åtkomst till avlyssnad utrustning. Lättillgängliga program finns som utan användning av dyr specialutrustning kan avlyssna trafik på långa avstånd utan att angriparen riskerar upptäckt. Intrång Trådlös utrustning kan utan att användaren förstår det automatiskt bli kopplad mot okänd (läs angriparens) utrustning. Under vissa förutsättningar kan detta i sin tur resultera i att en angripare får kontroll över den utsatta utrustningen. Förutom att angriparen då kan stjäla, manipulera och förstöra information, kan den angripna utrustningen prepareras för att fungera som en språngbräda för attacker mot de nät där den manipulerade utrustningen kopplas in (t.ex. företagets interna nät). Tillgänglighet På grund av dess konstruktion är trådlös utrustning särskilt känslig för tillgänglighetsattacker. Det är relativt enkelt att förhindra Trådlös_kommunikation v1.1.doc 1 (5)

2 avsedd funktion hos utrustningen genom att t.ex. överbelasta utrustningen med specialutformad nättrafik. Användarintegritet Eftersom den trådlösa utrustningen också fungerar som en sändare är det möjligt att på distans följa enskilda användares förflyttningsprofiler. Användning av trådlös utrustning är som synes förknippad med risker. Detta beror på att de tekniska skyddsåtgärder som i dagsläget finns tillgängliga inte alltid är tillräckliga, och att utrustningen ofta är mycket svår att konfigurera på rätt sätt för att åstadkomma ett tillräckligt skydd. Det är därför av yttersta vikt att expertis används vid införande av trådlös teknik och att en lösning efter införande kontrolleras noggrant (helst av en utomstående part). EXEMPEL på regler för trådlösa nät Syfte Felaktigt installerade trådlösa nätverk, WLAN, kan göra hela Företagets nät tillgängligt för obehöriga och omintetgöra de säkerhetslösningar som normalt skyddar oss. Det är både enkelt och billigt att införskaffa ett WLAN, men det krävs stor kunskap att installera och konfigurera det på ett säkert sätt. Företagets WLAN skall genom effektiv kommunikation främja den totala affärsnyttan för Företaget. Verksamheten ska kunna kommunicera och använda gemensamma IT-resurser med väldefinierade funktioner, väldefinierad tillgänglighet, kapacitet och säkerhet. Omfattning Dessa regler gäller samtliga trådlösa nätverk inom Företaget. Regler En styrgrupp för WLAN-frågor ska finnas. I denna grupp skall representanter som är störst användare av WLAN finnas representerade. Vid önskemål om att installera trådlöst nät skall detta meddelas till, och godkännas av, Företagets IT-säkerhetschef. Företagets accesspunkter för WLAN skall vara utvalda och godkända av styrgruppen. Övriga anslutningar skall följa styrgruppens anvisningar. Tekniska lösningar för WLAN skall följa fastställda regler för LAN samt reglerna i detta dokument. Lösningar för WLAN skall vara Företagsgemensamma och uppfylla en miniminivå av funktions-, tillgänglighets-, kapacitets- och säkerhetskrav beskrivna av styrgruppen för WLAN. Dokumentation av alla WLAN-förbindelser för gemensamma IT-system skall hanteras centralt och utföras efter anvisningar från styrgruppen för WLAN Trådlös_kommunikation v1.1.doc 2 (5)

3 Företagets lösningar för WLAN skall vara tekniskt och administrativt överensstämmande med kraven för informationssäkerhet. Grundregeln är att en logiskt skild lösning implementeras i enlighet med Företagets standard för gäst-wlan och att lösningen inte har någon koppling till Företagets interna nät utom via en Remote Access-tjänst. Övergripande Skriftlig motivering för anslutning av trådlöst nät och genomförd riskanalys skall presenteras. Riskanalysen ska innefatta tre scenarier baserat på tillgänglighet, riktighet och sekretess. o Tillgänglighet Vad är risken och konsekvensen för avbrott o Riktighet Vad är risken och konsekvensen av att informationen förvanskas o Sekretess Vad är risken och konsekvensen för att någon obehörig kan läsa och använda sig av känslig information, och hur stor är risken och konsekvensen för att någon kan koppla in sig på Företagets interna nät. Tänkta accesspunkter och spridning skall preciseras Installation skall genomföras av företag med erkänt kvalificerad kunskap om installation av trådlösa nätverk. Efter installation av trådlöst nät skall installationen säkerhetskontrolleras av oberoende tredje part och rapporten sändas till företagets IT-säkerhetschef. Samtliga access-punkter kommer på initiativ av IT-avdelningen regelbundet att testas avseende säkerhet. Övervakning skall larma för otillåten access. WLAN skall även övervakas avseende otillåtna/ogiltiga (rogue) accesspunkter. En accesspunkt som inte uppfyller specifika säkerhetsinställningar skall kopplas bort. Företagets accesspunkter för WLAN, får endast användas inom en begränsad geografisk spridning såsom en lokal. WLAN-implementationen skall följa IEEE i-standarden Användare skall verifieras innan access ges. Enheter för accesskontroll skall finnas. Accesspunkter Accesspunkter för WLAN skall vara logiskt åtskilda från det interna nätverket genom att accesspunkten mellan det trådlösa nätverket och Företagets interna nätverk är säkrad via en brandvägg. Det trådlösa nätverket skall vara utrustat med accesskontroll. Accesspunkter skall använda dynamiskt utbyte av nycklar. Trådlöst nätverk skall krypteras med WPA eller WPA Trådlös_kommunikation v1.1.doc 3 (5)

4 Kryptonycklar skall vara i Hexadecimalt format och inte endast bestå av skrivbara tecken. Om WPA används ska ett starkt lösenord användas i enlighet med fastställda lösenordsregler. Kryptonycklar skall bytas med täta intervall och får inte vara statiska. Starka lösenord skall användas för administratörer av accesspunkter. Säkerställ kryptering av lösenord innan överföring. IPSec-baserad Virtual Private Network (VPN)-teknik skall användas för att skydda trafiken i WLAN:et. Statiska IP-adresser skall användas för accesspunkter. Automatisk omkonfiguration av felaktiga accesspunkter. All WLAN trafik ska övervakas med IDS. Nätet får inte benämnas med namn som kan identifiera det som ingående i Företaget. Sändningsstyrkan ska vara så minimal som möjligt för att begränsa oönskat täckningsområde och accesspunkter skall skärmas av så att trafik inte går i oönskad riktning. Accesspunkter får inte annonsera sin närvaro med s.k. beacons, utan i stället skall klienterna konfigureras så att de associeras med specifika accesspunkter. Standardnamn för SSID skall inte användas. Accesspunkterna skall regelbundet ses över avseende säkerhetsuppdateringar. Accesspunkter får inte fysiskt placeras så att de kan ses genom fönster och dörrar. Accesspunkterna skall vara fysiskt skyddade för att omöjliggöra återstart med standardinställningar. Eventuella anslutningar för konsol skall avaktiveras. Accesspunkter skall kunna aktiveras/avaktiveras fjärrstyrt eller per automatik under perioder då de inte används eller övervakas. (Power-over-Ethernet [PoE]) Ansvar Ansvarig för att dessa regler upprätthålls och uppdateras är Företagets ITsäkerhetschef. Den eller de inom Företaget som har uppdrag att installera WLAN ansvarar för att dessa regler följs. Övrigt Frågor kan ställas till EBITS via e-post ebits-box@svenskenergi.se Trådlös_kommunikation v1.1.doc 4 (5)

5 Ordförklaringar Bluetooth En industrispecifikation för radiobaserad kommunikation med begränsad räckvidd (1m, 10m eller 100m) som dock kan fångas upp på betydligt större avstånd. Bluetooth används för informationsutbyte mellan t.ex. mobiltelefoner, bärbara datorer, skrivare, digitala kameror osv. IEEE i En utökning av IEEE standarden som specificerar säkerhetsmekanismer för trådlösa nät. IDS Intrusion Detection System - Ett system för att upptäcka olika typer av oönskade aktiviteter i datorsystem (datornät och datorer). Dessa aktiviteter inkluderar bl.a. överbelastningsattacker, intrångsförsök och virusangrepp. IPSec IPSec är en samling protokoll för att säkra IPprotokollet m.h.a. autenticering och/eller kryptering av datapaket. IPSec kan användas för att upprätta och skydda ett VPN (Virtual Private Network). VPN Virtual Private Network - Ett samlingsnamn för ett antal tekniker och protokoll som använder publika nät för att skapa privata datornät. På detta sätt kan lokala datornät (LAN) kopplas ihop och externa användare kan ges åtkomst till företags interna nät. IR Olika tekniker för att på korta avstånd trådlöst kommunicera m.h.a. infrarött ljus. PoE Power over Ethernet - Ett samlingsnamn för olika tekniker att tillsammans med data skicka elektrisk energi till apparater (t.ex. trådlösa accesspunkter, IP-telefoner och webbkameror) i en tvinnad parkabel i ett Ethernet. "Rogue" accesspunkt En accesspunkt i ett WLAN som satts upp utan administratörens tillåtelse och som kan t.ex. användas av en angripare för att avlyssna trafik på WLAN:et. SSID Service Set Identifier - Ett namn som delas av de utrustningar som vill kommunicera med varandra i ett trådlöst nät (enligt IEEE standarden). WLAN Wireless Local Area Network - Ett samlingsnamn för olika typer av trådlösa nät. Den vanligaste typen är de nät som bygger på IEEE standarden och används bl.a. för att koppla ihop datorer med trådlösa accesspunkter både i hem och på företag Trådlös_kommunikation v1.1.doc 5 (5)