BEZPIECZEŃSTWO FIZYCZNE SYSTEMÓW KOMPUTEROWYCH B 37

Transkrypt

1 AKTUALIZACJA (111) Lipiec 2014 BEZPIECZEŃSTWO FIZYCZNE SYSTEMÓW KOMPUTEROWYCH B 37 Założenia polityki bezpieczeństwa Kontrola dostępu do serwerowni Ochrona i inwentaryzacja sprzętu IDENTYFIKATOR SID ROZWIĄZYWANIE PROBLEMÓW I 20 Jak przygotować plik odpowiedzi dla programu Sysprep Jak korzystać z menedżera instalacji Windows Jak zmienić SID narzędziem Sysprep SQL SERVER 2005 I 2008 WIDOKI DYNAMICZNE CZĘŚĆ 1 S 59 Widoki dynamiczne Konfiguracja serwera SQL Systemowa baza TempDB TWORZENIE KOPII ZAPASOWYCH SERWERA MICROSOFT SQL CZĘŚĆ 2 T 11 Automatyczne tworzenie kopii zapasowych Sprawdzanie spójności bazy danych Odtwarzanie kopii zapasowych ZABEZPIECZANIE SYSTEMU LINUX Z 39 Zabezpieczanie zdalnego dostępu Zdejmowanie zbędnych SUID i SGID z plików Zabezpieczanie kont bez ustawionych haseł BEZPIECZEŃSTWO INFORMACJI od A do Z

2 Czy Ty też masz już dość nudnej i męczącej pracy w Excelu? Skorzystaj z najobszerniejszego na polskim rynku zbioru praktycznych wskazówek i porad dla każdego. Nie znajdziesz tutaj zbędnych opisów i niezrozumiałych terminów. Tylko konkretną, praktyczną wiedzę! Z publikacji dowiesz się m.in.: Jak zmienić kwotę wyrażoną liczbami na słowa Jak wybrać z tabeli 10 transakcji o największej kwocie sprzedaży W jaki sposób określić własne kryterium wyszukiwania danych Co zrobić, aby Excel automatycznie wyróżniał kwoty transakcji powyżej określonej wartości Co zrobić, aby móc korzystać z gotowych makr w dowolnych arkuszach Zamów już dzisiaj! Wejdź na stronę i zamów poradnik Excel w praktyce na bezpłatny test. W prezencie jako podziękowanie otrzymasz na płycie CD zestaw najlepszych makr do natychmiastowego wykorzystania.

3 Bezpieczeństwo komputerowe to nie tylko aktualizacja systemu, instalowanie oprogramowania antywirusowego czy prawidłowa konfiguracja zapory ogniowej. Nie kończy się ono również na zapewnieniu mocnych haseł, unikaniu stosowania nośników wymiennych czy na stosowaniu połączeń szyfrowanych. Prawidłowo planowana polityka bezpieczeństwa powinna uwzględniać również takie elementy, jak fizyczne położenie infrastruktury sieciowej, rodzaj stosowanego sprzętu, zabezpieczenia dostępu przed osobami niepowołanymi, a także prawidłowe zasilanie. Zapewne często spotykasz się z problemem podłączania nowych komputerów do sieci. Zdarza się, że są one już przygotowane przez dostawcę lub obowiązek ten spoczywa na Tobie. Jednym z etapów prac związanych z przystosowaniem komputerów do pracy w sieci jest wyeliminowanie problemu identyfikatora SID. Przedstawiamy zagadnienie na przykładzie systemu Windows XP. Zbieranie danych na temat konfiguracji i działania starszych wersji serwerów SQL (wersji 2000 i wcześniejszych) było nie lada wyzwaniem administratorzy musieli korzystać z nieudokumentowanych poleceń języka T-SQL, o których nie było wiadomo, czy będą dostępne w kolejnej wersji systemu. Sytuacja ta uległa zmianie wraz z wprowadzeniem w wersji 2005 serwera SQL widoków dynamicznych (ang. Dynamic Management Views).

4 W poprzedniej aktualizacji przedstawione zostały: budowa i działanie plików bazodanowych, sposoby tworzenia różnego rodzaju kopii zapasowych oraz strategie tworzenia i odtwarzania kopii zapasowych. Z tej aktualizacji dowiesz się, jak zautomatyzować tworzenie kopii zapasowych, dlaczego należy regularnie sprawdzać spójność baz danych oraz jak odtworzyć bazę bez utraty znajdujących się w niej w momencie wystąpienia awarii danych. Omawiamy również odtwarzanie instancji serwera SQL, czyli metody uruchomienia tego serwera po uszkodzeniu dysku, na którym znajdowały się bazy systemowe, lub po awarii systemu operacyjnego. Decyzja o stawianiu serwerów na systemach operacyjnych z rodziny GNU/Linux jest z reguły podyktowana zaufaniem administratorów do poziomu bezpieczeństwa tych systemów. Na ogół okazuje się słuszna, ponieważ już domyślne instalacje rozmaitych dystrybucji Linuksa zapewniają stabilną pracę i odporność na większość sieciowych zagrożeń. Doświadczony administrator nie może jednak na tym poprzestać i musi swoją maszynę utwardzić poprzez poczynienie odpowiednich zmian w konfiguracji systemu. Rafał Janus redaktor prowadzący poradnika Bezpieczeństwo informacji od A do Z

5 Nowości VI/2014 Trzykrotny wzrost ruchu w Internecie do roku 2018 W roku 2018 przez światowe sieci IP przesłanych zostanie więcej danych niż we wszystkich ubiegłych latach łącznie. W tym samym roku, po raz pierwszy w historii Internetu, większość ruchu będzie pochodzić z urządzeń innych niż komputery osobiste. Według najnowszych prognoz zawartych w Cisco Visual Networking Index (VNI), ruch w światowej sieci IP w latach wzrośnie trzykrotnie, głównie dzięki większej liczbie użytkowników i urządzeń, rosnącej przepustowości sieci oraz popularności treści wideo. Globalny roczny ruch w sieciach stacjonarnych i mobilnych w roku 2018 osiągnie 1,6 zettabajtów (1 zettabajt = tryliard bajtów lub bilion gigabajtów). Skład ruchu IP w nadchodzących latach zmieni się w istotny sposób. W roku 2018, po raz pierwszy w historii Internetu, większość ruchu będzie pochodzić z urządzeń innych niż komputery osobiste. Również po raz pierwszy w historii, ruch Wi-Fi przekroczy ruch przewodowy, a ruch wideo wysokiej rozdzielczości (HD) będzie generować więcej ruchu niż wideo standardowej rozdzielczości. Ogólny wzrost ruchu jest nadal silny. W roku 2018 przez światowe sieci przesłanych zostanie więcej danych niż we wszystkich ubiegłych latach łącznie (licząc do końca 2013 roku). Od 1984 do 2013 roku użytkownicy końcowi wygenerowali globalnie w sieciach IP ruch o łącznej wielkości wynoszącej 1,3 zettabajta. Raport Cisco VNI przewiduje, że do roku 2018 globalny ruch w sieciach IP generowany przez użytkowników końcowych wyniesie 1,6 zattabajta rocznie. Dynamiki nabiera również rozwój Internetu Wszechrzeczy. Do 2018 r. liczba modułów M2M (Machine to Machine) niemal zrówna się z liczbą ludzi na ziemi. Regionalne trendy w Polsce w latach Ruch w sieciach IP zwiększy się trzykrotnie, osiągając roczny wzrost na poziomie 23%. Ruch w sieciach mobilnych zwiększy sie 10-krotnie, osiągając roczny wzrost na poziomie 60%. Wzrost ten będzie 4-krotnie szybszy niż prognozowany wzrost ruchu w stacjonarnych sieciach IP w tym samym okresie. Ruch wideo w sieciach IP wzrośnie 4-krotnie, przy rocznym wzroście 33%. Transfer danych związany z usługami wideo (łącznie dla sektora biznesowego oraz konsumenckiego) będzie stanowił w 2018 roku 65% całego ruchu w sieci. W 2013 roku wartość ta wynosiła 42%. Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

6 VII/2014 Nowości Do 2018 roku liczba urządzeń połączonych z siecią wzrośnie w Polsce do 178,4 mln, co oznacza średnio 4,7 urządzenia na jednego mieszkańca. W 2013 roku połączonych z siecią było w Polsce 99,6 mln urządzeń. W 2018 roku komputery PC będą generowały 41% ruchu w sieci IP (w 2013 r. było to 83%), telewizory 12%, urządzenia przenośne, w tym tablety i smartfony 43%, natomiast moduły M2M 3%. Średnia przepustowość łącza szerokopasmowego wzrośnie w Polsce 2,5-krotnie, z 15,1 Mb/s w roku 2013 do 37 Mb/s w roku Ruch w sieciach IP W roku 2018 urządzenia mobilne będą odpowiadać za większość ruchu w sieci. W 2013 roku, 33% ruchu IP pochodziło z urządzeń niebędących komputerami osobistymi. W roku 2018 będzie to 57%. Ruch z komputerów PC będzie rósł w latach średnio o 10% rocznie, podczas gdy inne urządzenia odnotują wyższe wskaźniki wzrostu, w tym telewizory (18%), tablety (74%), smartfony (64%) i moduły M2M (84%). 2. Coraz szybsze łącza szerokopasmowe Średnia globalna przepustowość łącza szerokopasmowego wzrośnie 2,5-krotnie, z 16 Mb/s w roku 2013 do 42 Mb/s w roku Do roku 2018 większość łączy (55%) będzie miała przepustowość wyższą niż 10 Mb/s. Średnia przepustowość łączy w Japonii i Korei Południowej zbliży się do 100 Mb/s. 3. Ruch wideo będzie stanowił 79% całego ruchu w sieciach IP w roku 2018 (66% w roku 2013). 4. Rodzaje połączeń z siecią i liczba podłączonych urządzeń Urządzenia łączące się z siecią za pomocą WiFi oraz sieci komórkowych odpowiadać będą za 61% ruchu w sieciach IP w roku 2018, z czego WiFi za 49% (w porównaniu z 41% w roku 2013) a sieci komórkowe za 12% (3% w roku 2013). W roku 2013 za większość ruchu w sieciach IP odpowiadały sieci stacjonarne (56%). W 2018 roku na każdego mieszkańca globu przypadać będzie średnio 2,7 urządzeń podłączonych do sieci. W 2013 roku było ich 1,7. W roku 2018 będzie 10 miliardów urządzeń (stacjonarnych i mobilnych) gotowych do obsługi protokołu IPv6. W 2013 roku było ich 2 miliardy. Lipiec 2014 Wiedza i Praktyka

7 Bezpieczeństwo fizyczne systemów komputerowych B 37/01 Bezpieczeństwo komputerowe to nie tylko aktualizacja systemu, instalowanie oprogramowania antywirusowego czy prawidłowa konfiguracja zapory ogniowej. Nie kończy się ono również na zapewnieniu mocnych haseł, unikaniu stosowania nośników wymiennych czy na stosowaniu połączeń szyfrowanych. Prawidłowo planowana polityka bezpieczeństwa powinna uwzględniać również takie elementy, jak fizyczne położenie infrastruktury sieciowej, rodzaj stosowanego sprzętu, zabezpieczenia dostępu przed osobami niepowołanymi, a także prawidłowe zasilanie. Założenia polityki bezpieczeństwa B 37/02 Kontrola dostępu do serwerowni B 37/08 Ochrona i inwentaryzacja sprzętu B 37/12 Szkolenia korzystania ze sprzętu poza siedzibą firmy B 37/18 Autor: Krzysztof Chojnacki administrator sieci

8 B 37/02 Bezpieczeństwo fizyczne systemów... Założenia polityki bezpieczeństwa Analizując możliwości prawidłowego zabezpieczenia zarządzanej przez Ciebie infrastruktury informatycznej, musisz pamiętać, iż grożące jej niebezpieczeństwa są różne, często wieloaspektowe, a przede wszystkim że zostaje spora grupa zagrożeń, które dopiero powstaną i których nie jesteś dziś w stanie przewidzieć. Jeżeli więc przystępujesz do projektowania polityki bezpieczeństwa w firmie, nie możesz skupić się tylko na jednym zagadnieniu, ale wyważyć konieczność zapewnienia prawidłowej ochrony w warstwach: systemowej, programowej, sprzętowej, sieciowej i logistycznej. Zwłaszcza w przypadku trzech ostatnich warstw masz do czynienia z aspektem fizycznej ochrony sprzętu IT powierzonego Ci pod opiekę. Jako administrator sieci dbasz nie tylko o jej prawidłowe funkcjonowanie, ale także o to, by do jej zasobów nie mógł dostać się nikt niepowołany. O ile zazwyczaj zwraca się uwagę na kwestie oprogramowania, o tyle administratorzy mają tendencję do zapominania o ograniczeniu dostępu do pomieszczeń, odbieraniu uprawnień osobom, które np. już nie pracują w firmie, składowaniu kopii zapasowych w innych lokalizacjach niż centrum przetwarzania danych itd. Dlatego należy opracować jednolitą i spójną dla wszystkich zarządzanych zasobów politykę bezpieczeństwa fizycznego. Powinny być nią objęte serwery, stacje robocze, okablowanie, pomieszczenia i kanały technicz- Lipiec 2014 Wiedza i Praktyka

9 Bezpieczeństwo fizyczne systemów... B 37/03 ne, szafy serwerowe, meble, urządzenia wejścia/wyjścia czy nośniki danych. Polityka musi wskazywać na stan obecny oraz stan idealny (docelowy), a także wskazywać na środki do osiągnięcia tego celu. Określ więc potrzebne Ci zasoby kadrowe, stan zatrudnienia, co możesz zrobić siłami własnego zespołu, a co przez outsourcing. Skup się na podziale kompetencji. Zaplanuj zakupy sprzętu i licencji, wskazując preferowane technologie i ich producentów. Nie zapomnij o potrzebach w przypadku awarii musisz mieć wówczas dodatkowe moce przerobowe. Zastanów się, ile maszyn potrzebujesz na produkcję, a ile do testów. Określ procedury audytowe, aby dostosowywać politykę do zmieniającej się rzeczywistości. Rysunek 1. Schemat obrazujący wzajemne powiązania zagrożeń i reakcji na nie Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

10 B 37/04 Bezpieczeństwo fizyczne systemów... Ograniczanie dostępu do pomieszczeń Najprostszą, a jednocześnie najbardziej efektywną metodą zabezpieczania zasobów materialnych jest ograniczenie do nich dostępu osobom niepowołanym. Zwróć uwagę na lokalizację sprzętu. Postaraj się, aby elementy infrastruktury, które nie muszą być fizycznie przy pracownikach lub klientach (np. serwery, routery, switche), znajdowały się w odrębnych pomieszczeniach. Wyobraź sobie, co się może stać, jeżeli konkurencja zamontuje na komputerze dyrektora sprzedaży sprzętowy keylogger. Na aukcjach internetowych bardzo łatwo zakupić takiego niewielkiego szpiega, wpinanego z jednej strony do gniazda klawiatury w komputerze, a z drugiej strony do samej klawiatury. Warto skomasować takie newralgiczne węzły w jednej lokalizacji. Sposób wykonania tego jest różny w zależności od wielkości podmiotu, w którym opiekujesz się infrastrukturą. Możesz mieć kilka serwerowni w różnych budynkach, a nawet miastach, jeden osobny pokój komputerowy, a w skrajnych wypadkach dużo da nawet osobna szafa serwerowa zamykana na klucz. Pamiętaj o dobrych drzwiach zamykanych na klucz lub kartę. Klucze lub karty powinny mieć tylko te osoby, które naprawdę ich potrzebują (np. na pewno nie jest to cały zespół IT). Różnicuj przy tej okazji uprawnienia dostępu do pomieszczeń. Klucze lub karty wydaj odpowiednim pracownikom za potwierdzeniem odbioru i stwórz ich listę. Te dokumenty będą nieocenioną Lipiec 2014 Wiedza i Praktyka

11 Bezpieczeństwo fizyczne systemów... B 37/05 pomocą w przypadku ustalania odpowiedzialności za wyrządzone szkody. Kable a sieć bezprzewodowa Wi-Fi Ogranicz także dostęp do infrastruktury sieciowej. Pamiętaj tu, że fizyczność sieci to także to, czego nie widać, ale istnieje w rzeczywistości jak np. fale Wi-Fi. Czy na pewno potrzebujesz siać pakietami ze swojej (nawet zabezpieczonej szyfrowaniem) sieci w promieniu wielu setek metrów od siedziby firmy? Rysunek 2. Panel administracyjny punktu dostępowego z możliwością ustawienia mocy anteny Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

12 B 37/06 Bezpieczeństwo fizyczne systemów... Wyjdź z laptopem w bezpośrednie otoczenie budynku i sprawdź, czy możesz uzyskać dostęp do LAN-u. Jeżeli tak, to zastanów się nad ograniczeniem mocy anten w Access Pointach większość routerów potrafi robić to programowo, a jeżeli nie zmień anteny na słabsze. Stosuj lepiej kilka słabszych punktów dostępowych zamiast jednego o dużym zasięgu. Zastanów się nad stosowaną nazwą ESSID sieci. Ustaw ją tak, aby nie była kojarzona z Twoim pracodawcą czy stosowanym sprzętem. Najlepiej w ogóle wyłączyć propagowanie ESSID, jeżeli nie jest Ci to potrzebne. Spróbuj unikać sytuacji, gdy zakres sieci Wi-Fi pokrywa się z siecią przewodową i stosuj wireless networking tylko tam, gdzie dojście z kablami jest utrudnione lub zbyt kosztowne. Rozważ w końcu zastępowanie sieci bezprzewodowej tradycyjną siecią kablową. Jest ona wprawdzie droższa w stworzeniu i zarządzaniu, ale włamywacz przed uzyskaniem do niej dostępu programowego musi jeszcze uzyskać dostęp fizyczny. W przypadku Wi-Fi pozostaje już tylko zabawa w hackera. Analogicznie warto rozważyć rezygnację z ograniczenia stosowania Bluetooth na rzecz USB. Systemy bezprzewodowe są na pewno przydatne przy podłączaniu okazyjnych gości (np. klientów), w przypadku produkcji lepiej jednak opierać się na okablowaniu. Lipiec 2014 Wiedza i Praktyka