Politechnika Gdańska Wydział Elektrotechniki i Automatyki Katedra Automatyki WYKŁAD 6: ZAGADNIENIA BEZPIECZEŃSTWA SYSTEMÓW INFORMACYJNYCH dr inŝ. Marcin Śliwiński e-mail: m.sliwinski@ely.pg.gda.pl PLAN PREZENTACJI Ochrona danych Internetowe systemy bankowe - zabezpieczenia programowe - zabezpieczenia sprzętowe - systemy płatności Biometryczne systemy dostępu do zasobów informacyjnych Sposoby odzyskiwania utraconych danych (recovering) 1
BEZPIECZEŃSTWO INTERNETOWYCH SYSTEMÓW BANKOWYCH W systemie elektronicznym - podobnie jak w tradycyjnym oddziale banku - klient, Ŝeby uzyskać dostęp do rachunku, musi poddać się procedurze uwierzytelniania. Jego dowodem toŝsamości jest identyfikator i hasło. W celu uwierzytelnienia uŝytkownika i przeprowadzanej przez niego operacji coraz częściej wprowadzany jest jeszcze jeden próg weryfikacji: Klucz prywatny (dyskietka, pamięć flash, karta chipowa) Hasła jednorazowe Token (urządzenie elektroniczne generujące automatycznie co kilka minut określony kod liczbowy) Osoba, która chce skorzystać ze swojego konta, logując się wpisuje odczytany z tokena ciąg cyfr do okna przeglądarki. Jeśli podany kod jest zgodny z kodem generowanym przez system bankowy, rachunek zostaje udostępniony klientowi. BEZPIECZEŃSTWO INTERNETOWYCH SYSTEMÓW BANKOWYCH Bezpieczna komunikacja pomiędzy bankiem i klientem jest moŝliwa dzięki zastosowaniu protokołu SSL (ang. Secure Socket Layer), umoŝliwiającego uwierzytelnienie stron transmisji oraz zachowanie poufności danych pomiędzy komputerem klienta a bankowym serwerem. W tym celu wykorzystuje tzw. certyfikaty cyfrowe, potwierdzające, Ŝe dana osoba czy aplikacja bankowa jest rzeczywiście tą, za którą się podaje. W certyfikacie zawarty jest unikalny numer seryjny, toŝsamość urzędu certyfikacji (wystawcy certyfikatu), okres waŝności certyfikatu, identyfikator właściciela certyfikatu, klucz publiczny właściciela certyfikatu oraz podpis cyfrowy urzędu certyfikacji, potwierdzający jego autentyczność. DuŜa grupa banków prowadzi audyt elektroniczny, umoŝliwiający niezaleŝne monitorowanie i kontrolowanie poprawności wszystkich operacji przeprowadzanych za pomocą Internetu. 2
BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Indywidualne cechy fizyczne człowieka: linie papilarne geometria dłoni tęczówka oka siatkówka oka głos struktura układu krwionośnego (Ŝyły, tętnice) DNA BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU 3
BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU 4
BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU 5
BIOMETRYCZNE SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Zastosowanie technologii biometrycznych: kontrola dostępu do pomieszczeń (dostęp fizyczny) rejestracja czasu pracy kontrola dostępu do komputerów, sieci komputerowych i zasobów komputerowych (dostęp logiczny) uwierzytelnianie osób (dokument elektroniczny) motoryzacja i kontrola dostępu do cięŝkich urządzeń Charakterystyki biologiczne są na stałe związane z osobą, unikalne i w większości niezmienne w czasie, a wykorzystanie ich eliminuje karty, kody oraz hasła SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Kontrola dostępu obejmuje mechanizmy nakładania restrykcji na dostęp do systemu lub jego części w celu ochrony znajdujących się w nim zasobów. Procedury kontroli dostępu słuŝą do nadawania lub odbierania prawa dostępu danego uŝytkownika do zasobu. Jako system kontroli dostępu naleŝy rozumieć rozwiązania: organizacyjne sprzętowe informatyczne 6
SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Rozwiązania organizacyjne związane są z procedurami bezpieczeństwa obiektu, logistyką zarządzania ruchem osobowym wewnątrz obiektu i wynikającą z nich strukturą uprawnień uŝytkowników systemu oraz algorytmem działania poszczególnych urządzeń (grup urządzeń). SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Rozwiązania sprzętowe związane są z fizyczną architekturą systemu, rodzajami zastosowanych urządzeń weryfikujących, wykonawczych oraz wspomagających, infrastrukturą połączeń pomiędzy poszczególnymi elementami systemu. 7
SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Rozwiązania informatyczne związane są z platformą oprogramowania (software) odpowiedzialną za zarządzanie całością systemu w zakresie: samokontroli i poprawności działania wysyłania do urządzeń rozkazów wizualizacją zdarzeń systemowych wymianą informacji z innymi systemami bezpieczeństwa SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU PRZEJŚCIE KONTROLOWANE śądanie WEJŚCIA śądanie WYJŚCIA KLASA ROZPOZNANIA PROCES KLASA ROZPOZNANIA KLASA DOSTĘPU POZIOM DOSTĘPU KLASA DOSTĘPU PRZYZNANIE DOSTĘPU DECYZJA ODMOWA DOSTĘPU 8
SYSTEMY ZABEZPIECZEŃ I KONTROLI DOSTĘPU Klasy rozpoznania: KLASA 0 brak rozpoznania (weryfikacji) KLASA 1 informacja zapamiętana KLASA 2 identyfikator KLASA 3 biometryk KLASA 4 identyfikator + biometryka KLASA 5 identyfikator lub/i biometryka oraz informacja zapamiętana OPROGRAMOWANIE DO BUDOWY SYSTEMÓW INFORMACYJNYCH Język PHP, baza danych MySQL tworzenie aplikacji internetowych oraz systemów informacyjnych 9
PROJEKTOWANIE INTERNETOWEGO SYSTEMU Z BAZĄ WIEDZY Baza danych MySQL KAPPA Język PHP TECHNOLOGIA KLIENT SERWER Sieć lokalna z połączeniem do Internetu 10
PRZYKŁADOWA SIEĆ LOKALNA (LAN) System E/E/PE z wykorzystaniem sterowników PLC (programmable logic controller) SAIA PCD1 i PCD2 STACJA ROBOCZA SIEĆ LOKALNA Internet, GSM AXEDA PG5 S BUS VT 575W Stacja 1 PCD1.M110 Stacja 3 PCD2.M120 Stacja 5 PCD1.M110 Stacja 2 Stacja 4 Stacja 6 PCD1.M110 PCD1.M110 PCD1.M110 TS Pt100 (k z 3) PS I (k z 8) PS I (k z 16) D O (k z 4) P O (k z 2) TS Pt100 (k z 2) PS I (k z 8) PS I (k z 16) D O (k z 4) P O (k z 3) PS I (k z 8) P O (k z 4) 11
OPROGRAMOWANIE SCADA STRUKTURA KLIENT SERWER 12
SERWER - OPROGRAMOWANIE SCADA WRAZ Z JĘZYKIEM NARZĘDZIOWYM PLC AXEDA Supervisor - Wizcon 13
AXEDA Supervisor Wizcon (ustawienia sieci) AXEDA Wizcon (udostępnienie obrazu) 14
MAPA INTERNETU Galaktyki informacji MAPA INTERNETU PodróŜ w głębiny Internetu 15
SYSTEM OCHRONY BUDYNKU PENTAGON Projekt internetowego systemu z bazą wiedzy SYSTEM OCHRONY BUDYNKU PENTAGON 16
SYSTEM OCHRONY BUDYNKU PENTAGON Konfiguracja systemu dla jednego budynku SYSTEM OCHRONY BUDYNKU PENTAGON Schemat pomieszczeń klasyfikacja dostępu 17
STRUKTURA BAZY MySQL SYSTEMU PENTAGON SYSTEM OCHRONY BUDYNKU PENTAGON Tabela drzwi 18
SYSTEM OCHRONY BUDYNKU PENTAGON Tabela grupy SYSTEM OCHRONY BUDYNKU PENTAGON Tabela karty 19
SYSTEM OCHRONY BUDYNKU PENTAGON Pracownicy grupy SYSTEM OCHRONY BUDYNKU PENTAGON Tabela pracownicy 20
SYSTEM OCHRONY BUDYNKU PENTAGON Zabezpieczenia SYSTEM OCHRONY BUDYNKU PENTAGON Na podstawie tabeli zabezpieczenia identyfikacja nazwy drzwi 21
SYSTEM OCHRONY BUDYNKU PENTAGON Rozbudowane zapytanie INSTALACJA PROCESOWA 22
GDAŃSK STREFA NADMORSKA Stocznie, porty i nowe inwestycje: - baza kontenerowa, - rozbudowa rafinerii Port i rurociągi łączące z bazami paliw / substancji chemicznych GDAŃSK PORT DCT Ochrona obwodowa i obiektowa Zastosowanie systemów biometrycznych 23
PRZYKŁADOWE ŚRODKI ZABEZPIECZENIOWE W SYSTEMACH OCHRONY OBIEKTU Pierścień wewnętrzny Zabezpieczenia mechaniczne Eskorta gości Urządzenia kontroli dostępu Dostęp do dokumentów Sygnalizacja CCTV Zabezpieczenie sterowni Zapory w sieci i hasła Bezpieczne systemy sterowania i zabezpieczeń Komunikacja awaryjna Aktywa Pierścień zewnętrzny Ogrodzenie, punkty we/wy, oświetlenie Czujniki podczerwieni, monitorowanie StraŜnicy i patrole Pierścień środkowy Bramy, kołowroty, zamki w drzwiach, rolety antywłamaniowe Recepcja, kontrola identyfikatorów Kontrola przesyłek System kontroli dostępu SVA security vulnerability analysis PROCES OCENY PODATNOŚCI NA UTRATĘ INTEGRALNOŚCI I IDENTYFIKACJA ŚRODKÓW ZARADCZYCH Przegląd zasobów i wyposaŝenia Nowe zagroŝenia i zarządzanie zmianami Okresowe uaktualnianie Zestawienie aktywów i identyfikacja zagroŝeń Ocena zagroŝeń i podatności na utratę integralności Ocena ryzyka związanego z działaniami intencyjnymi Identyfikacja i szeregowanie środków zaradczych WdroŜenie i monitorowanie 24
PRZYKŁADOWA INFRASTRUKTURA PORTOWA port przepompownia rurociąg przepompownia baza paliw PRZYKŁADOWA INFRASTRUKTURA PORTOWA 25
STEROWNIK PROGRAMOWALNY PLC WIDE AREA CONTROLLER PRZYKŁADOWY SYSTEM STEROWANIA DLA OBIEKTU ROZPROSZONEGO Interfejs komunika -cyjny Podsystem przetwarzania danych [1 z 1] Interfejs komunika -cyjny PS Z PS CM PLC CM PS Z 26
KANAŁY KOMUNIKACYJNE CM W SYSTEMACH BPCS I ESD BPCS/ESD Kanał komunikacyjny zaprojektowany zgodnie z wymaganiami IEC 61508 BPCS/ESD biały kanał Kanał komunikacyjny zaprojektowany zgodnie z wymaganiami IEC 62280 BPCS/ESD Komunikacja pomiędzy interfejsami niespełniające wymagań bezpieczeństwa BPCS/ESD czarny kanał INTEGROWANIE SYSTEMÓW OCHRONY, STEROWANIA I ZABEZPIECZEŃ SSWiN ACC SAP Integrator systemów alarmowych Zarządzanie ochroną BPCS/DCS SIS/ESD CCTV SCADA/ Operatorzy 27
WYMAGANIA DOTYCZĄCE OCHRONY INFORMACJI EAL Poziom Charakterystyka rozwiązania na danym poziomie EAL 1 przetestowany funkcjonalnie EAL 2 przetestowany strukturalnie EAL 3 przetestowany metodycznie i sprawdzony EAL 4 przetestowany, zaprojektowany i zweryfikowany metodycznie EAL 5 zaprojektowany i przetestowany pół formalnie EAL 6 przetestowany, zaprojektowany i zweryfikowany pół formalnie EAL 7 przetestowany, zaprojektowany i zweryfikowany formalnie Kryteria probabilistyczne - SIL SIL PFD avg PFH 4 [ 10-5, 10-4 ) [ 10-9, 10-8 ) 3 [ 10-4, 10-3 ) [ 10-8, 10-7 ) 2 [ 10-3, 10-2 ) [ 10-7, 10-6 ) 1 [ 10-2, 10-1 ) [ 10-6, 10-5 ) KATEGORIE ROZPROSZONYCH SYSTEMÓW SIS I BPCS I. Systemy wykorzystujące wyłącznie wewnętrzne kanały przesyłu informacji (np. sieć lokalna LAN); II. III. Systemy, w których istnieją wewnętrzne, a takŝe zewnętrzne kanały transmisji danych (infrastruktura portowa rurociągi, gazociągi); Systemy, w których wykorzystywane są wyłącznie zewnętrzne kanały transmisji danych. 28
ZINTEGROWANA ANALIZA BEZPIECZEŃSTWA FUNKCJONALNEGO I OCHRONY INFORMACJI Analiza bezpieczeństwa funkcjonalnego Analiza ochrony informacji Wybór kategorii systemu (I, II lub III) fi,j Weryfikacja określonych wymagań SIL EAL Określenie wymagań poziomów SIL i EAL dla systemów kategorii I, II oraz III S yste m W ym a ga nia proje kto w e I S IL 3 E A L 2 II f 3,4 III f 3,5 IEC 61508 ISO/IEC 15408 Integracja SIL EAL f i,j ODZYSKIWANIE DANYCH RECOVERING proces przywracania dostępu do danych zapisanych na dowolnym nośniku lub odtwarzaniu fizycznego zapisu w celu otrzymania pierwotnej struktury danych. W chwili obecnej odzyskiwanie danych stało się jedną z wielu specjalności informatyki. Wymaga wiedzy z zakresu elektroniki, robotyki, automatyki i fizyki. Średnia skuteczność odzyskiwania danych na całym świecie w najlepszych laboratoriach wynosi 76%. Utrata danych moŝe nastąpić na skutek uszkodzeń: logicznych - tzw. software'owych uszkodzeń fizycznych (hardware'owych) nośnika. 29
ODZYSKIWANIE DANYCH ODZYSKIWANIE DANYCH Drive Rescue jest narzędziem, które pozwala odzyskać utracone, usunięte dane z wybranego napędu. Aplikacja radzi sobie z "ratowaniem" danych, nawet gdy tablica partycji została uszkodzona oraz gdy dane znajdują się na napędzie, który został fizycznie uszkodzony. Obsługiwane systemy plików: FAT 12/16/32, stosowane w twardych dyskach, dyskietkach, Smartmedia(TM), Compact Flash(TM), Memory Stick i inne. Do odzyskania danych rekomendowany jest drugi dysk twardy. 30
PODPIS ELEKTRONICZNY Obecne techniki funkcjonowania współczesnych przedsiębiorstw coraz częściej wymuszają na nich przejście z tradycyjnego obiegu dokumentów na ich odpowiednik elektroniczny. Aby był on w pełni funkcjonalny konieczne są narzędzia takie jak podpis elektroniczny. Zapewnia on następujące funkcje: Autentyczność - nadawca jest tym, za kogo się podaje. Integralność - wiadomość nie została zmodyfikowana w drodze do odbiorcy. Niezaprzeczalność - zapewnia, Ŝe wiadomość została podpisana przez konkretną osobę. DZIĘKUJĘ ZA UWAGĘ 31