„Nem is gondoljuk, milyen egyszerű feltörni” A Neumann János Számítógép-tudományi Társaság részére Budapest, 2009.05.26 Rácz Bencze ügyvezető Fusiongate.

Az előadások a következő témára: "„Nem is gondoljuk, milyen egyszerű feltörni” A Neumann János Számítógép-tudományi Társaság részére Budapest, 2009.05.26 Rácz Bencze ügyvezető Fusiongate."— Előadás másolata:

1 „Nem is gondoljuk, milyen egyszerű feltörni” A Neumann János Számítógép-tudományi Társaság részére Budapest, 2009.05.26 Rácz Bencze ügyvezető Fusiongate Kft. Megtervezni. Létrehozni. Megvédeni. H-1038 Budapest, Vas ú t sor 29. tel.: +36 1 369 40 90 fax: +36 1 231 10 50 fusiongate.hu

2

3 Rosszindulatú Hackerek és Script Kiddiek?

4 Rosszindulatú Hackerek és Script Kiddiek A Hacker Profilja Ki a Hacker? –Rosszindulatú Hackerek –Etikus Hackerek –Szoftverfejlesztők Ki a Script Kiddie?

5 Támadás és Védekezés / Exploitok Konferenciák DEFCON (STF) CCC (Locks) HAL2K (Hackme) HEX (Cell) Hacktivity Ethical Hacking Konferencia

6 Biztonságtechnikai Alapvetés Az a biztonsági rendszer, amelynek kiiktatása nagyobb erőforrásmennyiséget igényel, mint az általa védett dolog értéke, biztonságosnak mondható. Feltörhetetlen rendszer nem létezik, pusztán olyan rendszer, aminek a kiiktatása többe kerülne, mint a megszerezhető érték.

7 Biztonságtechnikai Alapvetés #2 A rendszer biztonsági szintje = technikai bonyoultsági szint Valaki mindig elég intelligens vagy gazdag lesz hogy legyűrje a rendszert Minden rendszer feltörhető – az alapvető problémák az infrastruktúrában rejlenek.

8 Biztonságtechnikai Alapvetés #3 Minden rendszer feltörhető és minden hacker elkapható – a rászánt erőforrás mértékétől függően. Nem csak az a cél, hogy minden támadást megakadályozzunk, hanem az, hogy a támadásokat észleljük, és megállapítsuk hogy sikeresek voltak -e!

9 Támadás és Védekezés FenyegetettségPreventív védelemDetektív védelem Denial of Service (DoS)Tűzfal, csomagszűrésIDS Hackerek, exploitokOS Hardening Karbantartás, patchelés IPS Audit Spam, Vírusok, FérgekHelyi védelem Social engineeringBelső képzésekNaplóelemzés Belső támadás Gondatlanság Szabályzatok Separation of Duties PKI Penetration testing Hardver meghibásodásBackupMonitoring rendszerek

10 Támadás és Védekezés / DoS FenyegetettségPreventív védelemDetektív védelem Denial of Service (DoS)Tűzfal, csomagszűrésIDS - A támadás célja: szolgáltatás kiiktatása - Audit, terheléstesztelés - Nem igényel nagy technikai előképzettséget - Támadó szándékú ember végzi, tudatosan, adott célpont ellen - „Ököllel megütni” - Védekezés: Tűzfalak, csomagszűrés, behatolásfigyelő rendszerek

11 Támadás és Védekezés / Exploitok FenyegetettségPreventív védelemDetektív védelem Hackerek, exploitokOS Hardening Karbantartás, patchelés IDS, IPS Audit - Exploit adatbázisok és elrontott exploitok - Hibát találni és rá exploitot írni: nagy technikai felkészültséget igényel

12 Jelszavak A jelszó –Webes jelszavak –Wifi használat, reptér, stb. –Sok idősebb kolléga, érzékeny adatok, bíznak a „jelszavas” védelemben

13 Támadás és Védekezés FenyegetettségPreventív védelemDetektív védelem Spam, Vírusok, FérgekHelyi védelem - Vírus irtó szoftverek, spam szűrő levelezőprogramok és szerverek

14 Támadás és Védekezés FenyegetettségPreventív védelemDetektív védelem Social engineeringBelső és külső képzésekNaplóelemzés - Phishing: Banki támadások, személyazonosság lopások - Hiszékenység, figyelem hiánya - Ami papíron van elhiszik, ha e-mailben jön „biztos hiteles”, és válaszolnak (spoofing. PKI!) - Ha csalás történt, nem is tudnak róla! - Mint a védelmi rendszereknél: a lényeg, hogy észrevegyük !

15 Támadás és Védekezés FenyegetettségPreventív védelemDetektív védelem Belső támadás Gondatlanság Szabályzatok Separation of Duties PKI Penetration testing - Bankot kicsempészni a zsebben – hordozható merevlemez, pendrive -Telefonos segítség - Policy: A feljelentés elmarad - Auditok, pentesting

16 Támadás és Védekezés Gondatlanság Gyenge jelszavak Jelszavak megadása egymásnak Tisztázatlan jogosultsági rendszer Bizalmas adatok nyomtatása, kukába dobása, íróasztalon tárolása Munkaállomások nyitva hagyása Gondatlanság = Pendrive Cyber-Ark statisztika: –90% veszített már el vagy találta meg és nézett bele más pendrivejába –IT vezetők 35%-a becsüli azon dolgozók arányát, akik saját pendrivejukon céges adatokat tárolnak. Valós adat az alkalmazottak válasza alapján: 77% –A cégek 33%-a rendelkezett már a pendriveokra vonatkozó biztonsági szabályokról: reaktívan A náluk dolgozók 50%-a nem tud ilyen szabályozásról, 23%-a tud a szabályozásról de nem tudja felidézni a tartalmát

17 Támadás és Védekezés FenyegetettségPreventív védelemDetektív védelem Hardver meghibásodásBackupMonitoring rendszerek - Elhanyagolás helyett odafigyelni - Üzleti folytonosság / Üzemeltetés / Biztonság: Spórolás: Amíg nincs incidens, nem kellesz (amikor van, már késő)

18 Never ending story Az információbiztonsággal kapcsolatos harcnak soha nem lesz vége, nincs „megoldás” Az adat érzékenységének és értékének megfelelő védelmi rendszer szükséges

19 Adatbiztonság – Nálad Érzékeny adat? Kompromittáló adat? Frissítések? Internet, veszélyes oldalak? Védelem? Takarítás? Közösségi oldalak? (XING, IWIW, LinkedIn, facebook, stb.)

20 Köszönöm a figyelmet. Rácz Bencze Fusiongate Kft. tel.: +36 1 369 40 90 bencze.racz@fusiongate.hu bencze.racz@fusiongate.hu