Säker informationshantering

Säker informationshantering Robert Malmgren rom@romab.com +46-708330378 Electronic copies of the slides available at http://www.romab.com/documents.html

Säker informationshantering.finns det? Robert Malmgren rom@romab.com +46-708330378 Electronic copies of the slides available at http://www.romab.com/documents.html

Kort definition Information i detta sammanhang är såväl Dokument transaktioner annan överförd data, tex styrkommandon, datainsamlig 2

Säkerhetsmatchen crackers virus brandvägg organisation trojaner proxy systemägare intrång handdatorer maskar java antivirus Info-ägare Säkerhetsansvarig Ip-spoofing javascript autentisering sysadm nya tjänster ActiveX patchar WLAN leveratör VPN kryptering

Var inträffar säkerhetsproblem? Human security Network security Host security Application security Kernel Last line of defense 4

Var inträffar säkerhetsproblem? Human security Network security Host security Application security Kernel Last line of defense User / admin errors 4

Var inträffar säkerhetsproblem? Human security Network security Host security Remote exploits Application security Kernel Last line of defense User / admin errors 4

Var inträffar säkerhetsproblem? Human security Network security Host security Remote exploits Application security Kernel Last line of defense User / admin errors Local exploits 4

Var inträffar säkerhetsproblem? Human security Network security Host security Soc ial engi nee ring atta cks Remote exploits Application security Kernel Last line of defense User / admin errors Local exploits 4

Utvecklingen på hotsidan 5

Grundläggande koncept Försvar i djupled Barriär 1 Barriär 2 Barriär 3 Nätverksskydd Skydd i applikation Skydd i OS Skyddad information 6

! Utvecklingskurvan för "#$%&'()!*+(%&'()!,'&$+!-../! säkerhet inom en organisation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nitiate Strategic Program WG-PXYE('#$%EH+N-&"9%(2 S-'8 F'6# 7)(-.+SH-+L)L"$'(%)*+D%E(9%#"(%)*E+9-L9-E-*(+(2L%&'$+$'9>-+:0333P(2L-+)9>'*%M'(%)*EC+ "5%&$#H!I+&(=#&!JK%9)!-..LM! 141781-1 7 +

Designprincipen för lagerindelning Client Enterprise Infrastructure components Applications Internet Explorer MS Office Acrobat reader SAPGUI IIS webserver OracleWebserver Exchange Microsoft CA Apache ntpd Entrust CA SAP Print Simulation software Firewall software Middleware Databases, integration software, transaction systems, Java, Perl, Components Operating systems Low level support software Standardized Client operating Windows 2000 Windows XP.NET framework, shared libraries, operating Windows 2003 operating Solaris Embedded OS Firmware, BIOS, Drivers, Virtual Host Software Linux Network components 8

Utvecklingen 9

Utvecklingen Informationskvantitet Teknisk utveckling kompetensutveckling 200x 2008 10

Delsammanfattning hot&attacker Säkerhetsbrister finns på mängder av ställen i ett systemlandskap trenden har länge varit mot fjärrangrepp Angrepp sker på alla nivåer trenden har flyttat från OS-angreppet mot applikationer Vi har en alltmer komplex IT-miljö Ökande gap map informationsmängder, angreppsmetodiker, etc 11

Viktiga säkerhetsfrågor Kritiska infrastrukturkomponenter, tex integrationsfunktionen, ägs inte av någon styvmoderligt behandlad Högsta eller lägsta kraven lägger ribban? Förstår man impact av ett säkerhetsproblem i en sådan komponent? Delade konton för tex projekt Spårbarhet? Riktig spårbarhet? 12

Viktiga säkerhetsfrågor Skydd av data-at-rest och/eller data-intransit? Vilken säkerhetspåverkan har centraliserad information vs replikerad information? Olika scenarion för skydd och angrepp Vem är i slutändan ansvarig för information X när den migrerat/kopierats nedströms? 13

Webbarkitekturer Web client Web client Web client Web client JavaScript Logic JavaScript Logic 3rd party Web Web Web Web Business Logic Business Logic Business Logic Business Logic Back-end support applications Back-end support applications Back-end support applications Back-end support applications 14

Risker med AJAX & webb 2.0 Mer logik på klientsidan. I värsta fall utför klientsidan säkerhetsbeslut - utan motsvarande kontroll på serversidan (feldelegerad logik) Större attackyta State som hålls på klientsidan, XML-fuzzing Angriparen är på applikationens insida 15

Risker med AJAX & webb 2.0 Användargenererat innehåll. Datakvalitet? Legala effekter? Andra möjligheter för Cross-Site Scripting, Cross- Site Request Forgering, etc 16

Topp 5 säkerhetsproblem map informationshantering 1. Prestige är säkerhetsens fiende nr 1 2. Integration, utbyggnad eller införande av ny teknik genomförs i rasande tempo, utan RM/ ROS. Finns återvändo? 3. Informationsklassning inte genomfört fullt ut 4. Ojämn fördelning på skydd. Skydd finns inte på alla lager i mjukvarustacken 5. Drifts- och andra avtal täcker inte viktiga delar: metadata, dynamisk information, konstiga användningsfall 17

Partners, integration, etc Vad behöver man tänka på? Framtidssäkert Skalbart Saker utanför den egna organisationens kontroll Vanliga fel 18