Curs Securitate Cibernetica (5707) [PDF]

Zitiervorschau

SECURITATE CIBERNETICĂ: SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 1 1. INTRODUCERE Tehnologia deschide un întreg univers de noi oportunități. Noi produse și servicii devin tot mai populare și ajung să formeze o parte integrantă din viața noastră de zi cu zi. Cu fiecare nouă evoluție, crește însă și dependența noastră tehnologică, ceea ce înseamnă că securitatea cibernetică devine tot mai importantă. Cu cât postăm mai multe date personale online și cu cât suntem mai conectați, cu atât suntem mai expuși riscului de a fi victime ale diferitor forme de criminalitate informatică sau de atac cibernetic. În ultimul deceniu, odată cu creșterea diversității și importanței amenințărilor din spațiul cibernetic și a gradului de conștientizare a acestora, au fost dezvoltate diferite metodologii, proceduri și ghiduri de bune practici în ceea ce privește răspunsul la incidentele de securitate cibernetică. De asemenea, au fost dezvoltate tot mai multe tehnologii, proprietare sau libere („free”, „open-source”), menite să prevină și să limiteze efectele incidentelor de securitate survenite în cadrul rețelelor și sistemelor informatice. Majoritatea standardelor de prevenire și răspuns la incidentele de securitate cibernetică, cât și tehnologiile dezvoltate în acest scop, au în vedere sistemele informatice și rețelele dintr-un mediu bine definit, cum ar fi: sisteme informatice independente, rețele locale de calculatoare (LAN) și inter-rețele (WAN). Protejarea infrastructurilor cibernetice bine definite împotriva atacurilor este facilitată de faptul că, de obicei, acestea sunt administrate de aceeași organizație, respectă aceleași standarde tehnologice și respectă politici de securitate comune. Gestionarea incidentelor de securitate cibernetică la nivel național, spre deosebire de cazul infrastructurilor cibernetice din medii bine definite, se caracterizează printr-un grad ridicat de complexitate, datorat unui cumul de factori: imposibilitatea definirii de granițe statale în mediul cibernetic, standarde tehnologice și de securitate ne-uniforme, infrastructuri

1

cibernetice utilizate în sectoare economice diferite, proprietari diferiți și, nu în ultimul rând, atribuții împărțite între mai multe autorități naționale. La nivelul UE sunt întreprinse demersuri în privința adoptării unei strategii europene pentru securitatea cibernetică, care să armonizeze eforturile statelor membre în abordarea provocărilor de securitate din spațiul cibernetic și protecția infrastructurilor informatice critice. Totodată, la nivelul UE, s-a conturat necesitatea adoptării unei politici privind lupta împotriva criminalității informatice. Inițiativele subsecvente au pornit de la constatarea creșterii numărului de infracțiuni informatice, a tot mai amplei implicări a grupurilor de criminalitate organizată în criminalitatea informatică, precum și a necesității unei coordonări a eforturilor europene în direcția combaterii acestor acte. Având în vedere că atacurile cibernetice pe scară largă, bine coordonate și direcționate către infrastructurile cibernetice critice ale statelor membre, constituie o preocupare crescândă a UE, întreprinderea de acțiuni pentru combaterea tuturor formelor de criminalitate informatică, atât la nivel european, cât și la nivel național, a devenit o necesitate stringentă. Statul Român, în concordanță cu demersurile inițiate la nivelul Uniunii Europene și NATO, „își asumă rolul de coordonator al activităților desfășurate la nivel național pentru asigurarea securității cibernetice”. Mai mult, România recunoaște existența amenințărilor cibernetice și „susține o abordare comună, integrată și coordonată, atât la nivelul NATO, cât și la nivelul UE, pentru a putea oferi un răspuns oportun la atacurile cibernetice”. Ce este securitatea cibernetică? Nu există o definiție standard, universal acceptată, a securității cibernetice1. În mare spus, acest concept acoperă toate garanțiile și măsurile adoptate pentru a apăra sistemele informatice și pe utilizatorii lor împotriva accesului neautorizat, a atacurilor și a prejudiciilor, cu scopul de a asigura confidențialitatea, integritatea și disponibilitatea datelor. Securitatea cibernetică implică prevenirea sau detectarea incidentelor cibernetice, răspunsul la acestea și redresarea ulterioară. Incidentele pot fi provocate intenționat sau nu și acoperă situații foarte diverse, de exemplu de la divulgări accidentale de informații până la atacuri asupra întreprinderilor și a infrastructurilor critice, furtul de date cu caracter personal și chiar ingerințe în procesele democratice. Toate aceste incidente pot avea efecte negative de amploare asupra persoanelor, a organizațiilor și a comunităților. Așa cum este înțeles la nivelul factorilor de decizie din UE, conceptul de securitate cibernetică nu se limitează la securitatea rețelelor și a informațiilor, ci acoperă orice activitate

2

ilegală care implică utilizarea tehnologiilor digitale în spatial cibernetic. Prin urmare, acest concept poate include infracțiuni informatice precum lansarea de atacuri cu viruși informatici sau fraudele cu mijloace de plată fără numerar și poate viza atât sistemele, cât și conținutul, cum se întâmplă de exemplu în cazul diseminării online a materialelor care conțin abuzuri sexuale asupra copiilor. De asemenea, securitatea cibernetică poate să acopere campaniile de dezinformare care urmăresc să influențeze dezbaterile pe internet, precum și acțiunile suspectate de ingerință în alegeri. Pe lângă aceasta, Europol consideră că există o convergență între criminalitatea informatică și terrorism. Există diferiți actori – inclusiv state, grupuri infracționale și hacktiviști – care, din diferite motive, instigă incidente cibernetice. Efectele acestora se resimt la nivel național, european și chiar mondial. În același timp, natura intangibilă și în mare măsură fără frontiere a internetului, precum și instrumentele și tacticile utilizate complică adesea identificarea autorului unui atac (așa-numita „problemă a atribuirii”). Numeroasele tipuri de amenințări cibernetice pot fi clasificate în funcție de efectele lor asupra datelor (divulgare, modificare, distrugere sau refuzul accesului) ori în funcție de principiile de bază privind securitatea informațiilor care sunt încălcate, astfel cum se arată în figura 1. Pe măsură ce gradul de sofisticare al atacurilor asupra sistemelor informatice crește, mecanismele noastre de apărare devin mai puțin eficace.

Figura 1 – Tipuri de amenințări și principiile de securitate pe care acestea le pun în pericol 1.1. PARTICULARITĂŢI

ALE

SECURITĂŢII

SISTEMELOR

INFORMAŢIONALE

3

Odată cu trecerea spre prelucrarea masivă a datelor cu ajutorul calculatoarelor electronice, ca urmare a volumului mare al investiţiilor şi a transferării „grijii” informaţiei către sistemele electronice de calcul, s-a pus într-un alt context problema protejării noilor averi, fizice şi informaţionale. Totul trebuie pornit de la schimbarea opticii privind gestiunea fizică a noilor averi, dar şi de la valorificarea pe multiple planuri a datelor memorate, încercându-se să se obţină alte dimensiuni ale funcţiei de informare a conducerii, prin utilizarea informaţiilor arhivate şi păstrate în alte condiţii. În vederea obţinerii noilor performanţe, datele prelucrate sunt supuse unor operaţiuni suplimentare în faza de culegere, astfel încât să poată fi valorificate ulterior pe mai multe planuri. Preluarea datelor din două sau mai multe documente operative în unul sau mai multe fişiere, având suportul de înregistrare specific noii variante de prelucrare, constituie o îndepărtare vizibilă de modul tradiţional de păstrare a documentelor primare, de gestionare a lor, şi duce la apariţia mai multor persoane care pot accesa aceleaşi date. Mai mult, prin agregarea înregistrărilor anterioare, pot rezulta chiar noi informaţii. Cum noile resurse fizice ale sistemelor de calcul sunt destul de scumpe, se constată o tendinţă de centralizare a prelucrărilor de date, din motive de economie, dar, în acelaşi timp, sporeşte grija asigurării securităţii lor, întrucât riscul pierderii lor sau al consultării neautorizate este şi mai mare. Într-un astfel de caz, nu trebuie uitat principiul dominant al prelucrării automate a datelor, GIGI (Gunoi la Intrare, Gunoi la Ieşire), conform căruia o eroare strecurată într-un sistem integrat se propagă cu o viteză inimaginabilă, în zeci sau sute de locuri din sistem, generând, la rândul ei, o multitudine de erori în rapoartele ce se vor obţine ulterior. Alt element, deosebit de important, îl constituie factorul uman. Dacă în vechile sisteme erau uşor de controlat locurile de păstrare a informaţiei, acum, într-un mediu puternic informatizat, persoanele cu atribuţii de urmărire a modului de realizare a securităţii datelor au o misiune mult mai dificilă. Se pot înregistra două cazuri: fie că nu pot intui căile prin care datele pot fi accesate pe ascuns, în vederea sustragerii sau modificării lor, fie că nu reuşesc să descopere de unde şi cine, cu ajutorul unui calculator aflat la distanţă de locul păstrării datelor, are acces neautorizat în sistem. Surpriza poate veni tocmai de la persoanele care lucrează cu cea mai mare asiduitate la anumite aplicaţii. Loialitatea excesivă, în acest caz, poate da de gândit.

4

Prin trecerea la prelucrarea automată a datelor (p.a.d.) s-au schimbat şi suporturile informaţiei, precum şi mijloacele de lucru, situaţie în care apar noi aspecte, şi anume: •

Densitatea informaţiei este mult mai mare în mediul informatic decât în sistemele clasice, bazate pe hârtie. Prin utilizarea discurilor optice sau a stick-urilor USB, zeci de volume, însumând zeci de mii de pagini de hârtie, pot fi introduse cu multă uşurinţă într-un buzunar. CD-urile, DVD-urile, cardurile, memoriile flash, hard-discurile portabile şi alte suporturi moderne pot fi astfel subtilizate discret, cu eforturi minime dar cu efecte distructive majore.

•

Obscuritatea sau invizibilitatea constituie o altă problemă, întrucât conţinutul documentelor electronice şi al rapoartelor derivate stocate pe suporturile enumerate mai sus nu poate fi sesizat pe cale vizuală la un control de rutină. De multe ori, cei puşi să controleze nu au pregătirea informatică şi nici echipamentele necesare pentru a observa o eventuală sustragere de fişiere.

•

Accesibilitatea datelor din sistemele de calcul este mai mare, cel puţin pentru o nouă categorie de infractori, catalogaţi „hoţi cu gulere albe”, făcându-se trimitere vădită la nivelul de cultură, în primul rând informatică, al acestora.

•

Lipsa urmelor eventualelor atacuri criminale constituie un alt element îngrijorător al noului mediu de lucru. Ştersăturile din vechile documente pentru schimbarea sumelor, precum şi adăugările de noi înregistrări „cu creionul” nu mai există, modificările în fişierele electronice sunt efectuate cu multă lejeritate şi foarte greu de depistat ulterior.

•

Remanenţa suporturilor, după ce au fost şterse, poate constitui o cale sigură de intrare în posesia informaţiilor memorate anterior. Se cunosc numeroase programe de restaurare a fişierelor şterse.

•

Agregarea datelor. Puse laolaltă, datele capătă altă valoare decât cea avută prin păstrarea lor în mai multe locuri separate unele de altele. Uneori, informaţiile de sinteză sunt valorificate prin programe speciale în vederea obţinerii, tot cu ajutorul calculatorului, a strategiei şi tacticii firmei într-un anumit domeniu. Edificator este cazul benzilor magnetice ale firmei IBM, care conţineau direcţiile de cercetare pe următorii 15 ani, intrate în posesia unei firme dintr-o ţară concurentă.

•

Necunoaşterea calculatoarelor. Pentru foarte multe persoane, îndeosebi de vârstă înaintată, calculatorul este investit cu forţe supraomeneşti, ceea ce le conferă o încredere oarbă în datele obţinute prin intermediul lui. De asemenea, din motive de nepricepere, aceşti anagajaţi pot fi victime uşoare ale corupătorilor informatizaţi. 5

•

Progresul tehnologic. Rezultatele cercetărilor tehnico-ştiinţifice se transformă zi de zi în tehnologii din ce în ce mai performante de accesare a datelor. Nu acelaşi lucru se poate spune şi despre progresele înregistrate în domeniul securităţii datelor.

•

Comunicaţiile şi reţelele, devenind tot mai performante, au extins aria utilizatorilor, atât din punct de vedere numeric, cât şi al dispersiei în teritoriu, întregul spaţiu terestru fiind accesibil reţelelor foarte mari. Odată cu noile progrese, şi aria utilizatorilor rău intenţionaţi s-a mărit, precum şi variantele de furt informatizat.

•

Integrarea puternică a sistemelor apare ca o consecinţă a îmbunătăţirii formelor de comunicaţie şi a proliferării reţelelor de calculatoare. Pe acelaşi canal de comunicaţie sunt transmise tot felul de date. În plus, introducând o dată eronată în sistem, de la un banal punct de vânzare, ea pătrunde cu rapiditate în zeci de fişiere şi, implicit, aplicaţii ale firmei. Comerţul şi afacerile electronice au deschis şi mai mult apetitul „specialiştilor” în fraudă.

•

Apariţia utilizatorilor finali informatizaţi constituie un veritabil succes, dar sporeşte şi riscul pierderii datelor importante din calculatorul principal al companiilor. Standardele de securitate, în pofida atâtor altor domenii în care se înregistrează mutaţii

vizibile în intervale scurte de timp, nu se concretizează în forme general valabile şi, cât timp un lucru nu este interzis prin reguli scrise, el ori se consideră că nu există, ori se trage concluzia că este permis.

1.2.VULNERABILITATEA MICROCALCULATOARELOR Odată cu lansarea IBM-ului în producţia de microcalculatoare, în 1981, acest domeniu a înregistrat progrese uluitoare. Dacă la început nu au fost luate în seamă, acum s-a ajuns ca un microcalculator de câteva sute de dolari să efectueze ceea ce, cu doar câteva zeci de ani în urmă, efectuau doar calculatoarele mari, de milioane de dolari. Apariţia milioanelor de utilizatori a dus la constituirea unei adevărate bresle de specialişti în „butonat” – a se citi apăsarea tastelor –, cu destul de puţine cunoştinţe despre teoria sistemelor informaţionale şi cu nici o teamă de implicaţiile posibile ale unui sistem fără securitate. De la utilizatorii izolaţi s-a trecut la constituirea de reţele puternice, care au împânzit orice colţ al organizaţiilor. Următoarele trepte au constat în depăşirea graniţelor firmei, ale oraşului, respectiv ale ţării. S-a creat, astfel, posibilitatea ca sistemele bazate pe 6

calculatoare mari să fie accesate din sute sau mii de locuri, afectând substanţial integritatea, confidenţialitatea şi accesibilitatea datelor. Datorită microcalculatoarelor, se poate spune că s-a înregistrat un progres colosal pe linia domeniilor de aplicabilitate ale informaticii. Ele rezolvă rapid şi ieftin o mulţime de probleme de planificare tehnico-economică, de exploatare, de administrare, procesare de texte, comunicaţii şi alte facilităţi de lucru în reţea. În aceste condiţii, microcalculatoarele aduc şi noi forme de manifestare a slăbiciunii sistemelor electronice de calcul şi a vulnerabilităţii lor. Hazardul joacă un rol din ce în ce mai mare, astfel: 1. De la bun început ele au fost concepute mult mai prietenoase decât vechile sisteme, deci destul de tentante în a fi utilizate şi de copiii şi de funcţionarii fără prea multe cunoştinţe tehnice, aceasta concretizându-se în: a. apariţia numeroaselor eşecuri sau erori în operaţiunea de creare a copiilor de siguranţă – de exemplu, realizarea lor pe suportul intern de memorare al aceluiaşi microcalculator, chiar pe aceeaşi partiţie de disc; b. eşecuri în controlul accesului sistemului. Sistemele de protecţie prin parole nu se folosesc la toate microcalculatoarele, iar când există nu sunt folosite corespunzător, parolele fiind cunoscute de mai mulţi utilizatori, şi nu numai atât, ele aflându-se scrise pe o bucată de hârtie, lipită pe colţul monitorului sau pe masa de lucru; c. tratarea tuturor datelor la fel, omiţându-se cele de o importanţă deosebită, care ar trebui să aibă cu totul alt regim; d. greşeli în păstrarea şi utilizarea resurselor sistemului. Discurile de orice tip, casetele, benzile sunt împânzite prin toată unitatea, prin toate birourile, putând fi folosite sau sustrase cu multă uşurinţă de alte persoane. Un suport din afară poate fi introdus printre cele deja existente, strecurându-se astfel şi viruşii distructivi. Hârtia de imprimantă (de regulă cea care conţine mici greşeli sau a doua copie a unei lucrări efectuate în două exemplare), benzile tuşate ale acesteia (riboanele), celelalte „resturi” sunt accesibile noilor „scormonitori în gunoaie informatice”, cu scopul de a găsi „un colţ de pâine” printre informaţiile conţinute de aceste materiale; e. scrutarea cu uşurinţă a sistemului. Deseori, din pură curiozitate, un coleg, un prieten, un copil venit în vizită la biroul părinţilor, având cunoştinţe limitate despre calculatoare, încep să „se joace” cu tastele unui microcalculator pornit,

7

situaţie în care se pot distruge date foarte importante. Mai periculos este cazul în care „joaca” are un scop anume; 2. Calculatoarele nu mai sunt doar la dispoziţia specialiştilor, ci şi a altor persoane, care nu cunosc prea

multe lucruri despre alte tipuri de sisteme. Odată cu apariţia

Microcalculatoarelor, problemele de instruire informatică se pun într-un alt mod; 3. Prin politica de instaurare a unor restricţii în utilizare, apelându-se la sistemul parolelor multiple, din faza de iniţializare a sistemului până la accesul la căi şi fişiere, se reduce dramatic viteza de prelucrare, deci scade productivitatea sistemului; 4. Fiind plasate în aproape toate birourile, iar condiţiile de păstrare puternic diversificate, riscul defectării este diferit de la un birou la altul; 5. Resursele întregului sistem fiind împrăştiate prin toate colţurile unităţii, securitatea tradiţională a sălii calculatorului unic dispare, aceasta având ca rezultat: a. documentaţia sistemului, softul, manualele de utilizare sunt ineficient folosite sau în condiţii de risc sporit; b. pierderea cheilor de deschidere a PC-urilor le poate face inutilizabile o perioadă de timp; c. softul de aplicaţii se realizează în mod haotic, ducând uneori la lucrul în paralel la aceeaşi problemă, neexistând o evidenţă centralizată a preocupărilor; d. parolele nu se înregistrează, deci nu poate fi vorba de un control al lor; e. manualele de utilizare sunt păstrate neglijent, iar când sunt necesare nu mai sunt de găsit; 6. Actele cu scop de fraudă pot fi săvârşite cu mai multă uşurinţă şi de către mai multe persoane, ceea ce diminuează eficienţa controlului; 7. Prin preluarea de către calculator a activităţilor prestate anterior de mai multe persoane, posibilitatea de furt, fără complotul mai multor angajaţi, devine mult mai lejeră; 8. Persoanele care în condiţiile prelucrării clasice aveau grija şi posibilitatea de a lucra doar într-un domeniu, destul de limitat, pot să-şi extindă aria „cunoaşterii” asupra întregii baze de date a unităţii; 9. Pe suporturile cu capacitate de memorare foarte mare, fiind ascunse datele deosebit de importante, acestea erau mai greu de găsit, în schimb, pe un disc optic sau video disc operaţiunea este mult mai uşoară;

8

10. Sistemele de operare ale microcalculatoarelor nu dispun de aceleaşi performanţe de protecţie precum sistemele mari; 11. Slaba securitate, însoţită de facilităţile de lucru în reţea, conduce la sporirea posibilităţilor de accesare neautorizată a sistemului; 12. Datele pot fi preluate pe un PC fie din reţea, fie din calculatorul mare şi tipărite sau transferate pe diverse tipuri de discuri, cu scopul sustragerii lor; 13. Resursele locale ale unui PC pot fi folosite de către utilizatorii lor pentru a ataca reţeaua sau calculatorul central; 14. Prin dimensiunile lor reduse şi greutatea mică, PC-urile sunt uşor de mutat dintr-un loc în altul, ceea ce sporeşte riscul defectării lor; 15. Posibilitatea defectării sau întreruperii temporare a sursei de alimentare cu energie electrică este mult mai mare decât în cazul unei singure săli a calculatoarelor. Vulnerabilitatea este o slăbiciune a unui sistem hardware sau software ce permite utilizatorilor neautorizați să obțină acces asupra sa. Principalele vulnerabilități în cadrul sistemelor informatice sunt de natură fizică, hardware, software sau umană. Sistemele informatice sunt vulnerabile în primul rând la atacurile clasice, atunci când un atacator reușește să pătrundă fizic în incinta sistemelor de calcul și să sustragă informații confidențiale. Pentru a preîntâmpina acest lucru trebuie să se asigure securitatea fizică a echipamentelor de calcul prin plasarea acestora în zone sigure, restricționate personalului neautorizat. Accesul la aceste zone trebuie făcut prin folosirea interfoanelor, cardurilor de acces sau dispozitivelor de scanare a datelor biometrice pentru autentificarea utilizatorilor cu permis de intrare. O altă vulnerabilitate a sistemelor informatice o reprezintă dezastrele naturale (cutremure, inundații, incendii) sau accidentele precum căderile de tensiune sau supratensiunile ce pot duce la distrugerea fizică a echipamentelor de calcul. De aceea trebuie avute în vedere și amplasarea echipamentelor pentru reducerea riscului față de amenințările mediului înconjurător. O atenție deosebită trebuie acordată componentelor hardware pentru ca acestea să nu afecteze ulterior buna funcționare a sistemelor informatice. În cazul serverelor ce furnizează servicii în Internet trebuie alese componente hardware tolerante la defectări pentru a oferi disponibilitate serviciilor și datelor partajate în rețea și pentru a reduce riscul vulnerabilităților de tip

hardware. Aceste vulnerabilități sunt întâlnite cel mai des la

9

sistemele de stocare a datelor, fiind cele mai sensibile componente hardware. Din acest punct de vedere se recomandă salvările de siguranță atât la nivelul informațiilor, cât și la nivelul

sistemului

de

operare,

pentru

repunerea rapidă a acestuia și a serviciilor

configurate în caz de defecțiune. Comunicațiile prin rețeaua Internet sunt nesigure. Oricine se poate conecta la linia de comunicație și poate intercepta, altera sau chiar devia traficul de date. Pentru a înlătura aceste vulnerabilități se recomandă folosirea metodelor moderne de criptare astfel încât, în cazul în care sunt interceptate, datele să nu poată fi decriptate. Din punct de vedere software există mai multe tipuri de vulnerabilități: •

care măresc privilegiile utilizatorilor locali fără autorizație;

•

care permit utilizatorilor externi să acceseze sistemul în mod neautorizat;

•

care permit implicarea sistemului într-un atac asupra unui terț utilizator, de exemplu atacul DDoS (Distributed Denial of Service).

O clasificare poate fi făcută după

gradul de pericol pe

care

îl reprezintă

vulnerabilitățile pentru sistemul informatic supus atacului. Vulnerabilitățile de clasă C, cele care permit atacuri prin refuzul serviciilor, sunt vulnerabilități ale sistemului de operare, în special ale

funcțiilor de rețea. Aceste

vulnerabilități permit utilizatorilor externi să altereze serviciile de rețea ale unui sistem informatic, sau, în anumite cazuri, transformă sistemul victimă într-un sistem zombie ce va putea fi implicat ulterior într-un atac de tip DDoS. Aceste vulnerabilități, dacă sunt exploatate, duc la încetinirea sau la oprirea temporară a serviciilor de rețea oferite, cum este cazul unor servere HTTP, FTP sau de poștă electronică. Vulnerabilitățile de clasă C nu sunt considerate foarte grave deoarece implică doar alterarea serviciilor, nu și a datelor. Cu toate acestea, în anumite domenii în care se pune accent mare pe disponibilitatea datelor, aceste vulnerabilități reprezintă un risc ridicat.Vulnerabilitățile ce permit utilizatorilor locali să-și extindă privilegiile fără autorizație, vulnerabilitățile de clasă B, ocupă o poziție medie pe scara consecințelor. Prin aceste vulnerabilități, un utilizator cu un cont limitat va putea obține privilegii de administrator în sistemul informatic respectiv. Tipurile de atac care permit mărirea privilegiilor unui utilizator într-un sistem informatic sunt atacurile buffer overflow. În urma unor erori de programare, unele aplicații alocă un spațiu insuficient de memorie pentru stocarea informațiilor. În momentul în care spațiul de memorie 10

este total ocupat, informațiile ce depășesc spațiul alocat sunt stocate la o altă adresă din memorie. Prin manevrarea acestor adrese, un atacator poate executa diverse comenzi cu aceleași drepturi ca ale programului respectiv. Cum programul de regulă are drepturi de administrator în sistemul de operare, atacatorul care exploatează vulnerabilitatea buffer overflow poate executa comenzi în sistem cu drepturi de administrator. Vulnerabilitățile de clasă B sunt considerate vulnerabilități grave deoarece pot permite accesul unor utilizatori neautorizați la informații importante din sistem. Vulnerabilitățile de tip A, cele mai grave pe scara consecințelor, permit utilizatorilor externi accesul la sistemul informatic. Prin atacuri cu troieni sau viermi informatici se pot deschide breșe în securitatea sistemului informatic prin care un utilizator extern se poate conecta în mod neautorizat la sistem. Sunt considerate vulnerabilități deosebit de grave deoarece permit accesul utilizatorilor la sistemul de operare și la baza de date a sistemului, aceștia putând fura sau chiar șterge datele importante. Cauzele apariției vulnerabilităților într-un sistem informatic sunt multiple, câteva dintre acestea fiind: •

erorile existente la nivelul sistemelor de operare sau al aplicațiilor;

•

configurarea necorespunzătoare a sistemului de operare sau a aplicațiilor;

•

cunoștințele limitate ale administratorilor de sistem sau de rețea;

•

lipsa suportului dezvoltatorilor de software în rezolvarea erorilor identificate în aplicațiile software.

Nu în ultimul rând, cele mai mari vulnerabilități sunt cele umane, date de personalul ce se ocupă de configurarea și administrarea sistemelor informatice. Prin lipsa experienței sau printr-o documentare inadecvată privind anumite configurări ale sistemului de operare sau ale aplicațiilor instalate, securitatea cibernetică poate fi total compromisă. Un tip aparte îl reprezintă vulnerabilitățile de tip zero-day, necunoscute dezvoltatorilor și furnizorilor de software și care potfi exploatate de criminalii cibernetici.Orice sistem informatic are vulnerabilități, astfel că putem spune că nu există un sistem 100% sigur. Aceste vulnerabilități sunt folosite de multe tipuri de atacuri ce vizează un sistem informatic în mod direct, cum ar fi atacurile de tip malware, sau indirect, în cazul implicării sistemului informatic într-un atac de tip DDoS. 11

1.3. CONTROLUL ACCESULUI ÎN SISTEMELE INFORMAŢIONALE După fatidica zi de 11 septembrie 2001, sensul controlului accesului în sistem s-a schimbat radical, atât prin prisma mijloacelor de exercitare, cât şi a domeniilor de aplicare. În privinţa mijloacelor, dominantă a fost discuţia de la sfârşitul anilor ’90, dacă trebuie să se introducă sau nu sistemele de identificare biometrică a persoanelor, făcându-se asocierea cu luarea amprentelor digitale doar pentru elucidarea unor cazuri criminale. Opoziţia cea mai puternică venea din partea sistemului bancar, dar nu numai. Alte instrumente păreau incomode sau periculoase şi, ca atare, erau refuzate în serie. După data susmenţionată lucrurile s-au schimbat radical, în privinţa identificării biometrice – tendinţă ce va fi demonstrată într-un paragraf distinct al prezentului capitol. Domeniile de aplicare s-au extins, totul venind din convingerea intimă a proprietarilor şi administratorilor de sisteme, văzânduse astfel alte modalităţi de verificare a persoanelor ce doresc accesul în mai toate instituţiile prezidenţiale, guvernamentale şi altele de tip public sau privat, iar aeroporturile şi-au extins zonele supuse unei atenţii speciale. Nici sistemele informaţionale nu au rămas aceleaşi. Doar simpla trimitere la ceea ce a făcut Microsoft pe linia securizării este destul de elocventă, căci aproape orice mişcare a personalului este sub control, apelându-se la dependenţa totală a acestuia de carduri speciale. În acest spirit, dorim ca, la finalul parcurgerii capitolului de faţă, studenții să: •

dobândească suficiente cunoştinţe pentru stabilirea tipurilor de control al accesului adecvate pentru o anumită organizaţie şi pentru implementarea acestora;

•

cunoască modele de control şi a modalităţile de combinare a lor;

•

deţină suficiente informaţii pentru stabilirea modalităţilor de identificare şi autentificare a persoanelor necesare unei anumite organizaţii.

1.3.1. Tipuri de control al accesului în sistem De regulă, controalele sunt introduse pentru diminuarea riscurilor la care sunt expuse sistemele şi pentru reducerea potenţialelor pierderi. Controalele pot fi preventive, detective sau corective. Controalele preventive, după cum sugerează şi numele lor, au ca scop preîntâmpinarea apariţiei unor incidente în sistem; cele detective vizează descoperirea unor apariţii ciudate în 12

sistem, iar controalele corective sunt folosite pentru readucerea la normalitate a sistemului după anumite incidente la care a fost expus. Ca să poată fi atinse obiectivele enumerate, controalele pot fi administrative, logice sau tehnice şi fizice. Controalele administrative sunt exercitate prin politici şi proceduri, instruire cu scop de conştientizare, verificări generale, verificări la locurile de muncă, verificarea pe timpul concediilor şi o supraveghere exigentă. Controalele logice sau tehnice cuprind restricţiile de accesare a sistemului şi măsurile prin care se asigură protecţia informaţiilor. Din această categorie fac parte sistemele de criptare, cardurile inteligente, listele de control al accesului şi protocoalele de transmisie. Controalele fizice încorporează, în general, gărzile de protecţie şi pază, securitatea clădirilor,cum sunt: sistemele de încuiere a uşilor, securizarea camerelor cu servere şi laptopuri, protecţia cablurilor, separarea atribuţiilor de serviciu, precum şi realizarea copiilor de siguranţă a fişierelor. Controalele vizează responsabilizarea persoanelor care accesează informaţii sensibile. Responsabilizarea este înfăptuită prin mecanisme de control al accesului care necesită, la rândul lor, exercitarea funcţiilor de identificare, autentificare şi auditare. Controalele trebuie să fie în deplină concordanţă cu politica de securitate a organizaţiei, iar procedurile de asigurare au scopul de a demonstra că prin mecanismele de control se implementează corect politicile de securitate pentru întregul ciclu de viaţă al sistemului informaţional. Prin combinarea controlului preventiv şi detectiv cu mijloacele celorlalte tipuri de control – administrativ, tehnic (logic) şi fizic – se obţin următoarele perechi: •

preventiv/administraitv;

•

preventiv/tehnic;

•

preventiv/fizic;

•

detectiv/administrativ;

•

detectiv/tehnic;

•

detectiv/fizic.

Schematic, aceste perechi sunt redate în figura 2.

13

Fig. 2. Perechile formelor de control

Controlul preventiv/administrativ: În această variantă, accentul se pune pe resposabilităţile administrative care contribuie la atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile şi procedurile organizaţionale, verificările de fond înainte de angajare, practicile de încetare a contractului de muncă în condiţii normale şi anormale, planificarea plecărilor în concediu, etichetarea sau marcarea materialelor speciale, supravegherea mai exigentă, cursuri de instruire în scopul conştientizării importanţei securităţii, conştientizarea modului de comportare, precum şi procedurile de semnare a contractului în vederea obţinerii accesului la sistemul informaţional şi la reţea. Controlul preventiv/tehnic: Împerecherea preventiv-tehnic vizează utilizarea tehnologiilor pentru consolidarea politicilor de control al accesului. Controlul tehnic se mai numeşte şi control logic şi poate fi realizat prin sistemele de operare, prin aplicaţii sau printr-o componentă suplimentară hard/soft. Dintre controalele preventive/tehnice fac parte protocoalele, criptarea, cardurile inteligente, biometria (cu scopul de autentificare), pachetele software pentru realizarea controlului accesului local sau de la distanţă, parolele, meniurile, softul de scanare a viruşilor

Controlul preventiv/fizic: În cea mai mare parte, măsurile de control preventiv/fizic sunt de tip intuitiv. Ele vizează restricţionarea accesului fizic în zonele ce conţin informaţii sensibile ale sistemului. 14

Zonele respective sunt definite printr-un aşa-zis perimetru de securitate, aflat sub controlul accesului. În această categorie intră împrejmuirile cu gard, ecusoanele, uşile multiple (după trecerea printr-o uşă, aceasta se blochează automat, iar la următoarea trebuie cunoscut sistemul de deschidere, persoana fiind captivă între două uşi, motiv pentru care se numesc şi uşicapcană), sistemele de intrare pe bază de cartelă magnetică, aparatura biometrică (pentru identificare), servicii de pază, câini de pază, sisteme de controlare a mediului (temperatură, umiditate ş.a.), schiţa clădirii şi a căilor de acces, locurile special amenajate pentru depozitarea suporturilor de informaţii. Controlul detectiv/administrativ: Câteva dintre controalele

detective/administrative

se

suprapun

controalelor

preventive/administrative pentru că ele pot fi exercitate cu scopul prevenirii posibilelor violări ale politicilor de securitate sau pentru detectarea celor în curs. Din această categorie fac parte procedurile şi politicile de securitate, verificările de fond, planificarea plecărilor în concediu, marcarea sau etichetarea materialelor speciale, o supraveghere mai exigentă, instruiri

cu

scopul

conştientizării

importanţei

securităţii.

În

plus,

cu

scop

detectiv/administrativ sunt controalele ce vizează rotirea personalului la locurile de muncă, exercitarea în comun a unor responsabilităţi, precum şi revizuirea înregistrărilor cu scop de auditare. Controlul detectiv/tehnic: Măsurile controlului detectiv/tehnic vizează scoaterea în evidenţă a violării politicii de securitate

folosindu-se mijloace tehnice. Aceste măsuri se referă la sistemele de detectare

a intruşilor şi la rapoartele privind violările securităţii, generate automat, pe baza informaţiilor colectate cu scopul de a fi probă în auditare. Rapoartele pot evidenţia abaterile de la funcţionarea „normală” sau pot detecta semnături cunoscute ale unor episoade de acces neautorizat. Datorită importanţei lor, informaţiile folosite în auditare trebuie să fie protejate la cel mai înalt nivel posibil din sistem. Controlul detectiv/fizic: De regulă, aceste controale necesită intervenţia omului pentru evaluarea a ceea ce oferă senzorii sau camerele pentru a stabili dacă există un pericol real pentru sistem. În acest caz, controlul se exercită prin camere video, detectoare termice, de fum, de mişcare.

15

1.3.2. Identificarea şi autentificarea În orice sistem de bariere fizice, sistemul de securitate trebuie să discearnă care sunt persoanele autorizate şi care sunt vizitatorii şi alte categorii neautorizate. Autentificarea poate să o facă corpul de pază, alte persoane care se ocupă de controlarea accesului sau sistemele automate investite cu această funcţie. De regulă, identificarea şi autentificarea persoanelor se efectuează prin analiza a patru elemente: 1. Ceva aflat în posesia persoanei. De regulă, se posedă lucruri cum sunt: chei, cartele magnetice, cartele speciale, echipamente de identificare personală şi jetoane. Ele permit un prim pas de accesare a sistemului. Există marele pericol al pierderii lor sau de dare spre folosinţă altor persoane. 2. Ceva care individualizează persoana. Identificările biometrice sunt o altă variantă de condiţionare a accesului. Ele pot fi: amprentele degetelor, buzelor, semnătura, vocea, forma mâinii, imaginea retinei, venele de pe faţa externă a mâinii, liniile din palmă, imaginea feţei ş.a. Toate aceste tehnici sunt foarte scumpe, în comparaţie cu cele clasice, şi deseori sunt incomode sau neplăcute la utilizare. Există suficiente tehnici eficiente care să fie folosite până când cele enumerate vor fi mai ieftine. 3. Ceva ce persoana ştie. O parolă, de exemplu, numai că ea se află la discreţia oamenilor şi, de modul de păstrare a secretului ei sau de uşurinţa cu care poate fi aflată, depinde soarta întregului sistem. 4. Locul geografic unde este înregistrat calculatorul. Metodele de controlare a accesului trebuie să se bazeze pe cel puţin două dintre cele patru căi enumerate; deseori se apelează la combinaţiile cartelă-parolă, cheie-parolă, jetonparolă. În ultimul timp se recomandă ca în sistemele de protecţie să se folosească tot mai mult un al treilea element, cel biometric. 1.3.3. Principii de bază ale controlului accesului

Ca principiu general, simpla posesie a unui element de control al accesului nu trebuie să constituie şi proba accesului privilegiat la informaţiile importante ale firmei, întrucât el poate fi dobândit şi pe căi ilegale sau poate fi contrafăcut.

16

Un al doilea principiu arată că atunci când valorile patrimoniale sunt deosebit de importante şi mecanismul de protecţie trebuie să fie pe măsură, iar persoanele cu drept de acces să fie cât mai puţine, deci de principiul „trebuie să ştie” să beneficieze cât mai puţine persoane. Al treilea principiu, de regulă aplicat informaţiilor secrete, este acela că nici unei persoane nu trebuie să i se garanteze accesul permanent, gestiunea sau cunoaşterea informaţiilor secrete numai pe motivul poziţiei ierarhice pe care o deţine. Este o replică la principiul „trebuie să ştie”. Fiecare centru de prelucrare automată a datelor cu mai mult de 25 angajaţi trebuie să apeleze la sistemul ecusoanelor şi la biometrie, ca măsuri suplimentare faţă de protecţiile realizate prin alte metode privind accesul în clădire. Ecusoanele trebuie să fie purtate prinse pe rever sau la gât. La modă sunt ecusoanele inteligente, care, de la distanţă, oferă informaţii despre posesor. Locurile care nu dispun de uşi ce pot fi încuiate trebuie să aibă intrările supravegheate, iar o persoană, ofiţer de serviciu, să răspundă de această operaţiune, punându-i-se la dispoziţie şi un sistem de comunicaţie cu forţele de ordine. Cu acelaşi scop, poate fi folosită şi televiziunea cu circuit închis, utilizată de forţele de ordine, cu condiţia ca o persoană să nu supravegheze mai mult de trei monitoare. Similar pot fi folosite camerele de luat vederi cu supraveghere continuă a principalelor încăperi ale clădirii, îndeosebi unde pătrund vizitatori. Pentru vizitatori vor fi camere special amenajate, fără ca aceştia să aibă acces în zona prelucrării automate a datelor. Controlul accesului prin obiecte: Pentru a pătrunde într-o clădire sau o sală a ei, deseori se apelează la mai multe metode de autentificare, folosite alături de o cartelă de plastic sau un jeton. Cu acestea se oferă informaţii suplimentare despre purtător, cum ar fi numele, adresa, contul bancar, contul cardului de debit sau credit, informaţii medicale, drepturi de acces ş.a. Toate informaţiile menţionate pot fi codificate prin coduri bară, peliculă magnetică, microprocesoare. Unele dintre carduri conţin şi o fotografie a proprietarului, realizată, prin noile tehnologii, direct pe card. Există şi carduri inteligente care se utilizează pentru criptarea şi decriptarea datelor, semnarea mesajelor şi introducerea sistemelor de plăţi electronice. Se pot folosi carduri care să aibă fotografia deţinătorului şi două microprocesoare folosite în scopuri diferite. Primul, pentru sisteme de plată, prin implementarea Master sau Euro sau Visa Cash, şi pentru aplicaţii de

17

protejare a datelor cu care lucrează angajatul respectiv. Al doilea microprocesor este folosit pentru înlesnirea accesului în clădire şi la locurile de parcare. În ultimul timp, prin carduri inteligente se controlează accesul în organizaţie, în sălile ei, la calculator, la datele personale din clasicele buletine de identitate, din paşapoarte, din carnetul de şofer şi la datele medicale. Practica oferă şi ecusoane-active, care apelează la identificarea prin frecvenţe radio (RFID Radio-frequency identification), fără să fie nevoie de trecerea cartelei prin faţa unui cititor special. De asemenea, prin tehnologiile infraroşu se poate realiza citirea conţinutului unei cartele de la câţiva metri. Cele mai multe carduri sunt auto-expirante; prin tehnologii termice speciale se realizează carduri cărora li se anulează scrisul după o anumită perioadă de expunere la lumină. Altele folosesc cerneluri ce-şi schimbă culoarea după un timp bine controlat, astfel încât să nu mai poată fi

1.3.4. Controlul accesului prin biometrie: Primele forme de identificare s-au bazat pe descrieri din memorie, făcute de alte persoane, enumerându-se anumite trăsături sau semne particulare ale celui identificat, de cele mai multe ori reperarea făcându-se prin descrierea feţei persoanei sau a vocii. După mii de ani s-au menţinut aceste forme de identificare, întrucât şi astăzi portretele-robot sunt realizate tot pe această cale, dar cu ajutorul calculatoarelor. Un moment important l-a constituit inventarea fotografiei. Ea încă se foloseşte la identificarea şi autentificarea persoanei prin plasarea pe buletinele de identitate, paşapoarte, legitimaţii ş.a. Sistemul este util poliţiei, lucrătorilor de la frontieră, organizaţiilor comerciale, bancare, diverselor instituţii ş.a. Invenţia amprentelor digitale a condus la apariţia altui mod de identificare şi autentificare, prin culegerea probelor de pe obiectele constatate la locul înfăptuirii unui delict. Până la 11 septembrie 2001 metodele de identificare biometrică erau respinse cu duritate de potenţialii beneficiari direcţi supuşi unor metode de identificare ce le-ar fi afectat sănătatea sau intimitatea. Cum invenţiile şi inovaţiile din domeniu nu au ţinut cont de părerile lor, au apărut o mulţime de tehnologii biometrice în sistemele de securitate a organizaţiilor. Unele dintre realizări sunt de-a dreptul stranii, deşi nu au nimic în comun cu biometria. Ne referim la viitoarele camere de luat vederi presărate peste tot: pe străzi, pe holurile instituţiilor, acasă, în mijloacele de transport

18

Revenind la biometrie, am putea face referire şi la angajaţii Microsoft, care depind de o cartelă inteligentă, cu elemente biometrice incluse, de la intrarea în campusul unde se află locul de muncă, până la pătrunderea în birou, în restaurantul companiei, în orice loc unde îi este permis accesul persoanei, dar cu ea se poate realiza şi identificarea celui ce doreşte să lucreze la un calculator. Sistemul a cam bulversat angajaţii lui Bill Gates, dar se pare că s-au obişnuit cu el. Se preconizează că vor avea un demaraj foarte puternic tehnologiile bazate pe recunoaşterea feţei şi a amprentelor digitale, cărora li se va alătura, într-o mai mică măsură, recunoaşterea irisului. Oricum acestea sunt şi cele trei elemente biometrice recomandate de Organizaţia Internaţională de Aviaţie Civilă, cu sediul la Montreal, din care fac parte peste 188 de ţări. Prin progresele înregistrate în domeniul realizării noilor chipuri, ele pot fi plasate pe filele tuturor documentelor personale. Consiliul de Conducere al Asociaţiei Internaţionale a Industriei Biometrice, după 11 septembrie 2001, făcea următoarele remarci: •

biometria şi intimitatea nu se exclud reciproc; de fapt, tehnologiile, în mod inerent, protejează identitatea împotriva dezvăluirilor neautorizate;

•

nici o tehnologie nu este mai bună decât celelalte în cazul tuturor domeniilor de aplicaţii în care este folosită. În funcţie de aplicaţie, există mai multe opţiuni pentru soluţia biometrică optimă, astfel încât să fie diminuate ameninţările la care este supus sistemul;

•

în ceea ce priveşte problema complexă a securităţii informaţionale, cercetările în dezvoltare vor oferi soluţii ce vor fi supuse testelor, ele constituind variante biometrice integrate pentru asigurarea protecţiei şi securităţii noilor sisteme;

•

tot pe linia preocupărilor internaţionale, se vor realiza standarde şi produse biometrice care să acopere o cât mai largă paletă a cerinţelor beneficiarilor şi ale aplicaţiilor.

Toate cele de mai sus sunt puse la dispoziţia statelor sau organizaţiilor publice şi private pentru a diminua cât mai mult posibil efectul distructiv al actelor de vandalism şi terorism.

1.3.5. Controlul accesului prin parole Principiul parolelor, cunoscut din lumea basmelor, într-o oarecare măsură este asemănător întrebuinţat şi în lumea calculatoarelor. Uneori, dintr-o dragoste excesivă faţă de trecut, utilizatorii greşesc, rămânând în aceeaşi lume, şi, ca atare, apelează şi în acest caz la 19

arhicunoscutele cuvinte magice ale copilăriei. Un astfel de comportament este intuit şi de spărgătorii de sisteme, care, nu de puţine ori, reuşesc să le acceseze pe această cale. Multe „uşi informatice” s-au deschis la aflarea parolei „SESAM”, dar, oricât de drag ne-ar fi cuvântul, utilizarea lui este total neinspirată. Aşadar, parolele sunt utilizate pentru a ni se permite accesul la un calculator, fie ca utilizatori, fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare automată a datelor. După identificarea sau „legitimarea” persoanei, prin metodele amintite anterior, şi, eventual, oferirea unui jeton de acces, cei interesaţi prezintă sistemului propria lor parolă, fie prin tastarea de la un terminal, fie prin introducerea într-un echipament special al unui document care să conţină parola. Calculatorul compară parola cu o listă aprobată a acestora, aflată în softul sistemului, permiţându-i-se accesul şi garantându-i-se respectarea privilegiilor predefinite la anumite resurse ale sistemului, astfel: •

Execuţie. Poate lansa în execuţie un program, dar nu i se permite să umble la structura acestuia, prin adăugarea sau modificarea unor linii.

•

Citire. Se poate citi un fişier, dar nici o altă operaţiune nu mai este permisă.

•

Scriere. Se oferă posibilitatea de scriere a datelor în fişierul deschis, dar se interzic alte operaţiuni.

•

Citire-Scriere. Se poate citi fişierul şi, de asemenea, se oferă dreptul de scriere în el.

•

Adăugare. Dreptul este mai limitat, constând numai în posibilitatea de adăugare a noi date la cele existente, dar nu se pot citi sau schimba datele fişierului deschis.

•

Ştergere. Utilizatorul poate efectua ştergerea unor date din fişier.

Menţionăm că sistemul parolelor, cât de complex ar fi el, nu realizează şi o securitate totală, ea depinzând în mod substanţial de modul de păstrare a secretului parolei. Să nu uităm că şi cele mai solide uşi, cu cele mai inteligente lacăte, sunt vulnerabile în faţa celor care au intrat în posesia cheilor. Problema parolelor nu este încă suficient de bine înţeleasă de utilizatorii lor, apelându-se la forme foarte scurte, la nume ale eroilor din filme, din basme, la numele soţiei sau soţului, al copiilor, la numărul autoturismului ş.a. – toate vulnerabile în faţa unor spărgători calificaţi. O altă greşeală, amintită şi într-un paragraf anterior, constă în scrierea parolelor de teamă de a nu fi uitate, dar suportul lor este lăsat la vederea oricăror persoane ce ajung în cameră. Parolele trebuie să fie eliberate doar persoanelor autorizate să exercite anumite funcţii în sistem şi nu trebuie să fie un proces generalizat, dându-se tuturor celor ce deţin poziţii 20

importante în conducerea firmei. În cazul sistemelor ce conţin informaţii speciale, parolele se atribuie de ofiţerul cu securitatea sistemului. A da astfel de parole în folosinţa unor persoane echivalează cu permisiunea acestora de a accesa cele mai importante averi ale firmei. Parolele pot fi create şi de utilizatori pentru datele mai puţin importante, dar există unele probleme care se repetă în numeroase cazuri, şi anume: 1. utilizatorii nu-şi schimbă la timp parolele, iar dacă o fac nu aduc modificări de substanţă în structura lor; 2. utilizatorii îşi păstrează parolele, din precauţia de a nu le uita, pe bucăţi de hârtie lăsate în văzul tuturor; 3. pentru o memorare uşoară se apelează la formele, amintite anterior, de atribuire a cuvintelor-parolă, ceea ce le face deosebit de vulnerabile. Printr-un recent studiu efectuat în Anglia, s-a constatat că, totuşi, cele mai uzuale parole date după celebrul mesaj al sistemului PASSWORD, ceea ce înseamnă parola sau cuvântul de trecere, sunt ... PASSWORD (ceea ce în româneşte ar însemna folosirea cuvântului PAROLA) şi SECRET. În rândul specialiştilor români, deseori s-a constatat că parolele reprezintă numele copiilor, ale soţiilor, numele lor citite de la sfârşit la început, nume istorice, cuvinte bombastice din limba engleză (SMART, CLEVER, DUMMY, CRAZY ş.a.) sau banalul cuvânt GHICI. Din cele relatate, rezultă că o parolă este şi o cheie şi trebuie să i se poarte de grijă ca şi obiectelor sau valorilor protejate prin ea. Din această cauză se impun câteva reguli de controlare a parolelor: 1. parolele trebuie să fie schimbate cam la şase luni, dar pentru datele deosebit de importante se impun termene şi mai scurte; 2. parolele comune trebuie schimbate imediat ce o persoană părăseşte grupul sau nu mai are dreptul utilizării lor; 3. parolele trebuie să fie schimbate imediat ce se constată unele bănuieli privind cunoaşterea lor de persoane neautorizate sau atunci când, din motive de forţă majoră, secretul lor a trebuit să fie dezvăluit pentru redresarea unei stări anormale temporare; 4. parolele trebuie să fie ţinute minte şi nu scrise pe oriunde, cu excepţia următoarelor cazuri: a. trebuie să fie scrise pentru intervenţii de urgenţă;

21

b. fiecare parolă scrisă va fi introdusă într-un plic sigilat şi marcat în exterior cu scurte detalii privind calculatorul la care poate fi folosită şi numele celor autorizaţi a le folosi; c. plicul respectiv are tratamentul asemănător averilor protejate sau al categoriei de informaţii accesate prin parolă. După ruperea sigiliului, pe plic vor fi scrise data şi numele celor ce au aflat-o; d. plicurile cu parole se păstrează de către responsabilul cu securitatea sistemului; 5. dacă parolele-duplicat se păstrează prin intermediul calculatorului, astfel de fişiere trebuie să fie protejate împotriva accesului neautorizat şi create copii de siguranţă. Accesul la acest fişier trebuie să fie înlesnit doar persoanelor autorizate, respectânduse principiul „niciodată singur”. Listele cu parole vor fi memorate în formă criptată; 6. parolele nu vor fi afişate niciodată pe echipamentele din configuraţia sistemului, iar la introducerea lor de la tastatură nu trebuie să se afle persoane străine în preajmă; 7. parolele, în cele mai multe cazuri, au cel puţin opt caractere. Ele sunt caractere alfanumerice - litere (mari şi mici), cifre şi spaţii, folosite în ordine aleatoare, ceea ce ar însemna câteva mii de cuvinte de opt sau mai puţine caractere, care pot fi testate cu ajutorul calculatorului, în doar câteva minute, deci sunt suficient de vulnerabile pentru „profesioniştii” în spargeri de sisteme; 8. pentru blocarea operaţiunilor de încercare repetată, de ordinul miilor, calculatoarele trebuie să permită un număr limitat de încercări de introducere a acestora, uzual trei. Dacă limita a fost depăşită de către utilizator, intenţia trebuie să fie raportată conducătorului sistemului sau responsabilului cu securitatea, însoţită de un semnal sonor specific de avertizare. În acest timp trebuie să se blocheze terminalul de la care s-au efectuat prea multe încercări eşuate. Repunerea lui în funcţiune stă la îndemâna conducătorului sistemului. În cazul sistemelor speciale, se recomandă şi blocarea sălii sau a locului de unde s-a încercat accesarea prin parole eronate repetate, pentru identificarea persoanei respective; 9. odată ce au pătruns în sistem, utilizatorilor nu trebuie să li se permită să-şi schimbe identitatea cu care au efectuat deschiderea sesiunii şi nici să nu poată pătrunde în partiţiile alocate altor utilizatori; 10. dacă un terminal funcţionează o perioadă lungă de timp, procesul de autentificare trebuie să aibă loc la intervale regulate de timp pentru a se asigura că nu foloseşte

22

altcineva sistemul. Dacă terminalul rămâne neutilizat, dar deschis, el trebuie să se închidă automat după un anumit interval de timp, de exemplu, 10 minute; 11. la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie să i se aducă la cunoştinţă ultimul timp de accesare a sistemului cu parola respectivă, pentru a se verifica dacă altcineva a folosit-o între timp. În cazul accesării bazelor de date deosebit de importante, cum sunt sistemele de operare, listele cu parole, se impune controlul dual al parolei, pe principiul „niciodată singur”. Dar, cele două persoane nu trebuie să fie tot timpul aceleaşi şi ambele să fie la fel de bune cunoscătoare ale consecinţelor declanşării unor operaţiuni de la calculator. Pentru preîntâmpinarea unor aspecte vulnerabile din sistemul de protecţie prin parole, se recomandă apelarea la un semn special sau la o dovadă de recunoaştere a utilizatorului. Ele pot fi: o cheie de descuiere a consolei, o cartelă magnetică bazată pe microprocesor, astfel încât să poată stabili cine, cum, când şi de unde să o folosească. Doar costul foarte mare nu duce la generalizarea acestui sistem. De ultimă oră sunt produsele care apelează la echipamente ce acţionează pe principiul calculatoarelor portabile. Ele sunt sisteme speciale de criptare, care generează valori (parole) de autentificare personală a utilizatorilor şi care se preiau de la tastatura terminalelor, ca la sistemul clasic, pentru a se compara cu ceea ce generează un echipament similar aflat în calculator. Pe o astfel de cale nu mai sunt necesare cartele speciale de acces, totul fiind controlat prin calculator, îmbunătăţindu-se substanţial principiul simplu al parolelor.

1.3.6. Controlul geografic al accesului în sistem Într-o declaraţie a unui cunoscut om de afaceri din Rusia, Kasperski, se punea problema legitimării persoanelor utilizatoare de servicii informatice şi comunicaţii din spaţiul global, tocmai pentru a se asigura responsabilizarea şi conştientizarea participanţilor la noul tip de trafic. El făcea asemănarea cu sistemul de conducere a automobilelor de la începutul secolului XX, când, fiind atât de puţine, în caz de accident, era foarte uşor de identificat proprietarul – de cele mai multe ori el fiind şi conducătorul. Odată cu explozia de automobile de pe piaţă s-a simţit nevoia identificării proprietarului maşinii, prin cartea de identitate a maşinii şi prin certificatul de înmatriculare, dar şi a conducătorului auto, prin permisul de conducere.

23

La fel trebuie să se întâmple şi cu deţinătorii şi utilizatorii de calculatoare, deoarece, în prezent, multe acţiuni maliţioase se înfăptuiesc de persoane necunoscute, aflate în locuri învăluite în mister. Autentificarea bazată pe localizarea geodezică (location-based authentification) este o metodă de autentificare a entităţilor din spaţiul cibernetic bazată pe localizarea geodezică (latitudinea, longitudinea şi altitudinea unui loc geografic bine definit). Aceasta va avea ca efect delimitarea porţiunii din spaţiul cibernetic de unde se declanşează un anumit eveniment. Se face astfel breşă într-un sistem destul de întrebuinţat de atacatorii sistemelor aflaţi într-un colţ al planetei, săvârşind fărădelegi în al colţ al acesteia, susţinând că se află în cu totul altul. În literatură sunt prezentate realizările corporaţiei International Series Research, Inc. din Boulder, Colorado, care a realizat tehnologia autentificării locaţiei. Ea se numeşte CyberLocator, iar sistemul foloseşte semnalele bazate pe microunde transmise printr-o constelaţie de 24 de sateliţi ai GPS (Global Positioning System) pentru calcularea şi validarea unei semnături a locaţiei, care este unică pentru fiecare loc de pe pământ în fiecare moment solicitat. Fiecare utilizator al unui sistem protejat are un senzor al semnăturii locaţiei (SSL), care este un tip special al receptorului GPS. SSL interceptează semnalele GPS şi transmite semnătura sa către o gazdă ce va face autentificarea. Gazda foloseşte semnalele GPS colectate de propriul SSL, plus informaţiile despre fiecare utilizator memorate într-o bază de date pentru a determina dacă acesta este conectat la un site aprobat anterior. Tehnologiile au ajuns la performanţe de acurateţe până la nivelul câtorva metri sau chiar şi mai bune (zeci de centimetri). Pentru că observaţiile GPS ale unui site anume sunt impredictibile prin simulări anticipate, la un nivel cerut de acurateţe, schimbate constant, unice oriunde ar fi, este practic imposibil de contrafăcut semnătura. Autentificarea prin localizarea geodezică are câteva caracteristici esenţiale. Ea asigură o protecţie continuă împotriva celor rău intenţionaţi aflaţi la distanţă. Semnătura locaţiei poate fi folosită ca un mijloc comun de autentificare. Ştiindu-se reperele unui utilizator, se poate identifica uşor un intrus, dar se pot oferi şi probe că o persoană nu a fost în locaţia respectivă în momentul săvârşirii unei fapte condamnabile. O astfel de protecţie este recomandată pentru site-urile fixe, în care se poate plasa un senzor pe acoperiş sau la fereastră, cu condiţia orientării spre cer. Facem menţiunea că semnalele GPS nu trec prin ziduri şi acoperişuri. Deocamdată sunt unele limite tehnologice ale utilizării senzorilor în cazul utilizatorilor mobili.

24

Un dezavantaj al autentificării geodezice a locaţiei este acela al refuzului serviciului, în cazul bruierii semnalului sau al furtului senzorului. Alt dezavantaj se referă la uşurinţa localizării unei persoane în cazul unui război informaţional ofensiv, motiv pentru care accesul la datele geodezice trebuie să fie strict limitat.

1.4.AMENINTARI Securitatea cibernetică reprezintă starea de normalitate a informațiilor digitale, resurselor și serviciilor oferite de către entitățile publice sau private în spațiul cibernetic. Această stare presupune asigurarea următoarelor obiective: •

confidențialitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor informatice să nu fie disponibile unor persoane sau procese neautorizate;

•

integritatea - proprietatea de păstrare a acurateței informațiilor, serviciilor sau resurselor sistemelor informatice;

•

disponibilitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor informatice să fie accesibile persoanelor sau proceselor autorizate;

•

autenticitatea

-

proprietatea

de

asigurare

a

identificării

și

autentificării

persoanelor, dispozitivelor și serviciilor sistemelor informatice și de comunicații; •

non-repudierea - proprietatea ca o acțiune sau un eveniment să nu poată fi repudiat (negat, contestat) ulterior.

Starea de securitate cibernetică poate fi obținută prin aplicarea unor măsuri de securitate proactive și reactive ce includ politici, standarde și modele de securitate, prin managementul riscului și prin implementarea unor soluții pentru protecția rețelelor și sistemelor informatice. Studiul amenințărilor la adresa securității cibernetice Tehnologia este omniprezentă și tot mai complexă pentru aproape fiecare aspect al societății moderne. Progresul exponențial în ultima jumătate de secol în ceea ce privește puterea de procesare și capacitatea de memorare a făcut hardware-ul IT nu numai mai rapid, dar și mai mic, mai ușor, mai ieftin și mai ușor de utilizat. Industria IT inițială a convers tot mai mult cu industria comunicațiilor într-un sector combinat, denumit în mod obișnuit Tehnologia Informației și Comunicațiilor (TIC). 25

Dispozitivele și componentele TIC sunt, în general, complexe și interdependente, iar întreruperea unuia poate afecta funcționarea celorlalte. În ultimii ani, experții și factorii de decizie și-au exprimat îngrijorarea din ce în ce mai mare cu privire la protejarea sistemelor TIC în fața atacurilor cibernetice, acțiuni deliberate ale unor persoane neautorizate de a accesa sistemele în scopuri de furt, întrerupere, distrugere sau alte acțiuni ilegale. Activitatea de protejare a sistemelor TIC și a conținutului acestora a devenit cunoscută sub numele de

securitate cibernetică. Un concept larg

și, probabil,

insuficient explicat,

securitatea cibernetică poate fi un termen util, dar nu poate fi identificat printr-o definiție precisă. De obicei se referă la unul sau mai multe din următoarele aspecte: •

un set de activități și măsuri menite să protejeze - de atacuri, întreruperi ale funcționării

•

sau

alte

amenințări

-

sistemele

de

calcul,

rețelele

de

calculatoare,

componentele hardware/software aferente și informațiile pe care acestea le conțin sau transmit (inclusiv aplicații software, date și alte elemente din spațiul cibernetic); •

starea sau calitatea de a fi protejat împotriva acestor amenințări;

•

domeniul extins de eforturi menite să pună în aplicare și să îmbunătățească aceste activități și calitatea serviciilor.

Securitatea cibernetică este legată, fără a fi în general considerată identică, cu conceptul de securitate a informațiilor. Acest ultim termen poate fi definit drept activitatea de protejare a informațiilor și a sistemelor informatice împotriva accesului neautorizat, utilizării,

dezvăluirii, întreruperii,

modificării

sau

distrugerii,

pentru

a

asigura

integritatea, confidențialitatea și disponibilitatea informațiilor. Uneori, securitatea cibernetică este necorespunzător asociată cu alte concepte, cum ar fi confidențialitatea, schimbul de informații, colectarea de informații și supravegherea. Cu toate acestea, securitatea cibernetică este un instrument important în protejarea vieții

private

și prevenirea supravegherii neautorizate, iar schimbul de informații și

colectarea de informații pot fi instrumente utile pentru asigurarea securității informatice. Gestionarea riscului pentru sistemele informatice este considerată fundamentală pentru asigurarea unei securități informatice eficiente. Riscurile asociate cu orice atac depind

26

de trei factori: amenințările (cine atacă), vulnerabilitățile (punctele slabe pe care le atacă) și impactul (ceea ce face atacul). Amenințările cibernetice pot proveni de la persoanele care practică sau ar putea efectua atacuri cibernetice. Atacatorii se încadrează în una sau mai multe din următoarele categorii: •

criminali care intenționează să obțină câștiguri financiare din activități precum furtul sau extorcarea;

•

spioni care intenționează să fure informații clasificate sau proprietare, utilizate de entități guvernamentale sau private;

•

războinici la nivel guvernamental, care dezvoltă capacități și realizează atacuri cibernetice în sprijinul obiectivelor strategice ale unei țări;

•

„hacktiviști” care realizează atacuri cibernetice din alte motive decât cele financiare;

•

teroriști care se angajează în atacuri cibernetice ca o formă de război , susținut sau nu la nivel de stat.

Securitatea cibernetică este în multe privințe o cursă între atacatori și apărători. Atacatorii analizează constant punctele slabe, care pot apărea în diferite contexte. Apărătorii trebuie să reducă punctele slabe, dintre acestea deosebit de importante și provocatoare fiind actele (intenționate sau nu) produse de persoane din interiorul sistemului (insiders) și vulnerabilitățile necunoscute anterior (zero-day vulnerability). Totuși, în cazul unora dintre vulnerabilitățile cunoscute, la care există metode de rezolvare, acestea nu pot fi implementate în multe cazuri din cauza constrângerilor bugetare sau operaționale. Un atac reușit poate compromite confidențialitatea, integritatea și disponibilitatea unui sistem TIC și ale informațiilor pe care acesta le gestionează. Fenomene precum furtul sau spionajul cibernetic pot duce la obținerea unor informații financiare, personale sau profesionale, adesea fără cunoștința victimei. Atacurile de tip DoS (Denial-of-Service) pot încetini sau împiedica accesul utilizatorilor legitimi la un sistem informatic. Printr-un malware de tip botnet, un atacator poate comanda un sistem pentru a fi utilizat în atacuri cibernetice asupra altor sisteme. Atacurile asupra sistemelor de control industriale pot duce la distrugerea sau întreruperea echipamentelor pe carele controlează (generatoare, pompe, centrale), cu efecte grave la nivel regional sau statal. Cele mai multe atacuri cibernetice au un impact limitat, însă un atac de succes asupra anumitor componente ale infrastructurii critice ar putea avea efecte semnificative asupra 27

securității naționale, economiei, mijloacelor de subzistență

și siguranței cetățenilor.

Reducerea acestor riscuri implică, de obicei, eliminarea surselor de amenin țare, abordarea vulnerabilităților și diminuarea impactului. Deși este recunoscut că atacurile cibernetice pot fi costisitoare pentru indivizi și organizații, impactul economic poate fi dificil de măsurat, iar estimările acestor impacturi variază foarte mult. Dacă în 2004 piața produselor și a serviciilor în domeniul securității cibernetice la nivel global a fost de 3,5 miliarde dolari, în 2017 se estimează la circa 120 miliarde dolari (o creștere de aproape 35 ori în decursul a 13 ani). Cybersecurity Ventures estimează o sumă de 1000 miliarde dolari, cumulată pe perioada 2017 - 2021, alocată pieței securității cibernetice. Se observă o creștere substanțială, datorată în special extinderii continue a infrastructurii TIC prin intermediul IoT (Internet of Things) și al altor platforme noi și emergente. Gestionarea riscurilor generate de atacurile cibernetice implică de obicei: •

eliminarea sursei amenințării (de exemplu, prin închiderea rețelelor de tip botnet);

•

abordarea vulnerabilităților prin întărirea activelor TIC (prin patch-uri software sau instruirea angajaților);

•

diminuarea impactului prin atenuarea daunelor și restabilirea funcțiilor (de exemplu, prin disponibilitatea unor resurse de rezervă pentru continuitatea operațiilor ca răspuns la un atac).

Nivelul optim de reducere a riscurilor va varia în funcție de sectoare și organizații. De exemplu, nivelul de securitate cibernetică pe care îl așteaptă clienții poate fi mai mic pentru o companie din sectorul de divertisment decât pentru o bancă, un spital sau o agenție guvernamentală. Acțiunile legislative și executive sunt concepute în mare măsură pentru a aborda câteva necesități bine stabilite pe termen scurt și mediu în domeniul securității cibernetice: prevenirea dezastrelor și a spionajelor cibernetice, reducerea impactului atacurilor reușite, îmbunătățirea colaborării inter și intra sectoriale, clarificarea rolurilor și a responsabilităților agențiilor și combaterea criminalității informatice.

28

Aceste nevoi există în contextul provocărilor mai dificile pe termen lung legate de proiectare, stimulente economice, consens și mediu: •

Proiectare: Experții consideră că o securitate eficientă trebuie să fie parte integrantă a design-ului TIC. Cu toate acestea, din motive economice, dezvoltatorii se concentrează în mod tradițional mai mult pe caracteristici și facilități și mai puțin pe securitate. De asemenea, multe dintre nevoile viitoare de securitate nu pot fi estimate, ceea ce reprezintă provocare dificilă pentru proiectanți.

•

Stimulente: Structura stimulentelor economice pentru securitatea cibernetică este distorsionată. Criminalitatea informatică este considerată ieftină, profitabilă și relativ sigură pentru criminali. În schimb, securitatea informațiilor

poate fi

costisitoare, este prin natura ei imperfectă, iar rentabilitatea economică a investițiilor este adesea nesigură. •

Consens: Securitatea cibernetică înseamnă lucruri diferite pentru diferiții actori interesați, adesea

fără

o

înțelegere

totală

și

comună

asupra

sensului,

implementării și riscurilor. Există și impedimente culturale importante, nu numai între sectoare, ci

și în interiorul aceluiași

sector

sau în cadrul organizațiilor.

Abordările tradiționale ale securității pot fi insuficiente în spațiul cibernetic, dar consensul asupra alternativelor s-a dovedit evaziv. •

Mediu: Spațiul cibernetic a fost numit cel mai rapid spațiu tehnologic în evoluție din istoria omenirii, atât ca scară, cât și ca proprietăți. Proprietățile și aplicațiile noi și emergente - în special echipamentele mobile și concepte precum social media, big data, cloud computing sau IoT - complică și mai mult mediul amenințărilor cibernetice, dar pot reprezenta și posibile oportunități de îmbunătățire a securității informatice, de exemplu prin economiile oferite de cloud computing și analizele big data.

Cercetarea și dezvoltarea în domeniul securității informatice pot îmbunătăți proiectarea TIC, cadrul NIST (National Institute of Standards and Technology) poate facilita realizarea unui consens privind securitatea

cibernetică, iar inițiativele legislative în domeniul IT

(managementul și transferul datelor, media share, cloud computing și alte noi componente ale spațiului virtual) pot contribui la îmbunătățirea securității cibernetice.

29

1.4.1. Tipuri de atacuri cibernetice Ori de câte ori un dispozitiv nou se conectează online sau la alte dispozitive, crește și așa-numita „suprafață de atac” în materie de securitate cibernetică. Dezvoltarea exponențială a internetului obiectelor, a tehnologiilor de tip cloud, a sistemelor de tip big data și a digitalizării industriei este însoțită de o creștere a expunerii vulnerabilităților, permițând actorilor rău-intenționați să vizeze din ce în ce mai multe victime. Având în vedere varietatea tipurilor de atacuri și gradul lor tot mai mare de sofisticare, a ține pasul cu noile evoluții este o adevărată provocare. Programele malware (software rău-intenționat) sunt concepute cu scopul de a perturba funcționarea dispozitivelor sau a rețelelor. Acestea includ viruși, troieni, ransomware, viermi informatici, adware și spyware. Programele ransomware criptează datele, împiedicând utilizatorii să aibă acces la fișierele lor până când este plătită o răscumpărare, de regulă în criptomonedă, sau până când se efectuează o anumită acțiune. Potrivit Europol, atacurile de tip ransomware sunt predominante, iar numărul tipurilor de programe informatice din această categorie a explodat în ultimii ani. De asemenea, sunt în creștere atacurile de tip DDoS (Distributed Denial of Service), care urmăresc să blocheze anumite servicii sau resurse prin inundarea lor cu mai multe cereri decât pot fi tratate. În 2017, o treime din organizații s-au confruntat cu acest tip de atac. Utilizatorii pot fi manipulați astfel încât să efectueze în mod neintenționat o anumită acțiune sau să divulge informații confidențiale. Această stratagemă poate fi utilizată în cazul furtului de date sau al spionajului cibernetic și este cunoscută sub denumirea de „inginerie socială”. Există mai multe mijloace utilizate în acest scop, o metodă răspândită fiind cea a phishingului: prin e-mailuri care par să provină din surse de încredere, utilizatorii sunt păcăliți să dezvăluie informații sau să deschidă linkuri care le vor infecta dispozitivele cu programe malware descărcate. Peste jumătate din statele membre au raportat investigații cu privire la atacuri de rețea. Cele mai nefaste tipuri de amenințări par să fie însă așa-numitele „amenințări persistente avansate” (APT - advanced persistent threats). Este vorba de acțiuni sofisticate, în care atacatorii sunt angajați în activități pe termen lung de monitorizare și de furt de date, urmărind uneori și scopuri de distrugere. Obiectivul urmărit aici este ca atacatorii să rămână nedetectați cât mai mult timp posibil.

30

Amenințările de tip APT sunt adesea asociate unui stat și vizează sectoare deosebit de sensibile, cum ar fi tehnologia, apărarea și infrastructura critică. Se estimează că spionajul cibernetic reprezintă cel puțin un sfert din numărul total de incidente cibernetice, fiind în același timp responsabil de majoritatea costurilor. 1.5.Acțiunile UE în domeniul securității cibernetice În 2001, UE a dobândit statut de observator în cadrul Comitetului Convenției Consiliului Europei privind criminalitatea informatică (Convenția de la Budapesta). De atunci, Uniunea a utilizat politici, legislație și fonduri pentru a-și îmbunătăți reziliența cibernetică. În contextul unui număr tot mai mare de atacuri și incidente cibernetice majore, activitatea s-a accelerat începând din 2013. În paralel, statele membre au adoptat (și, în unele cazuri, au actualizat) primele lor strategii naționale în materie de securitate cibernetică. Piatra de temelie a politicii UE în materie este Strategia de securitate cibernetică din 2013. Aceasta urmărește ca mediul digital al UE să devină cel mai sigur din lume, apărând în același timp valorile și libertățile fundamentale. Strategia are cinci obiective principale: •

creșterea rezilienței cibernetice;

•

reducerea criminalității cibernetice;

•

dezvoltarea politicilor și a capabilităților de apărare cibernetică;

•

dezvoltarea resurselor industriale și tehnologice în materie de securitate cibernetică; și

•

instituirea unei politici internaționale privind spațiul cibernetic, aliniată la valorile fundamentale al UE.

În ultimii ani, întrucât spațiul cibernetic a devenit din ce în ce mai militarizat și este transformat pe zi ce trece într-o armă, acesta a ajuns să fie considerat al cincilea câmp de luptă. Apărarea cibernetică protejează sistemele, rețelele și infrastructurile critice din spațiul cibernetic împotriva atacurilor militare și de alt tip. În 2014 a fost adoptat un cadru de politici pentru apărarea cibernetică, care a fost actualizat în 2018. Cadrul actualizat în 2018 identifică șase priorități, printre care se numără dezvoltarea capabilităților de apărare cibernetică și protecția rețelelor de comunicații și de informații din cadrul politicii de securitate și apărare comună (PSAC) a UE. Apărarea cibernetică face parte, de asemenea, din cadrul de cooperare structurată permanentă (PESCO) și din cooperarea UE-NATO. 31

CURS SECURITATE CIBERNETICĂ: SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 2

2. LEGISLAȚIE Începând din 2002, au fost adoptate diferite acte legislative cu grade variate de relevanță pentru securitatea cibernetică. În rolul său de principal pilon al strategiei din 2013 în materie de securitate cibernetică, elementul central al cadrului juridic în materie este Directiva din 2016 privind securitatea rețelelor și a informațiilor („Directiva NIS”), primul act legislative privind securitatea cibernetică aplicabil la nivelul de ansamblu al UE. Directiva, care urma să fie transpusă până în mai 2018, vizează atingerea unui nivel minim de capabilități armonizate, obligând statele membre să adopte strategii naționale privind securitatea rețelelor și a informațiilor și să creeze puncte unice de contact și echipe de intervenție în caz de incidente de securitate informatică („echipe CSIRT”). Directiva stabilește totodată cerințe de securitate și notificare pentru operatorii de servicii esențiale din sectoarele critice și pentru furnizorii de servicii digitale. În paralel, Regulamentul general privind protecția datelor (RGPD) a intrat în vigoare în 2016 și se aplică începând din mai 2018. Obiectivul acestui regulament este de a proteja datele cu caracter personal ale cetățenilor europeni prin stabilirea de norme cu privire la prelucrarea și la diseminarea acestora. Regulamentul acordă persoanelor vizate anumite drepturi și stabilește obligații pentru operatorii de date (furnizorii de servicii digitale) în ceea ce privește utilizarea și transferul de informații. Totodată, regulamentul impune cerințe de notificare în caz de încălcare a securității datelor și, în unele cazuri, prevede aplicarea de amenzi. 2.1. CADRUL LEGISLATIV NAŢIONAL

32

În prezent, România nu dispune de o lege a securității cibernetice, însă în ultimii ani au fost intensificate eforturile de adoptare a unei asemenea legi. Astfel, o primă inițiativă de adoptare a unei legi a securității cibernetice a existat în anul 2014, însă aceasta a fost declarată neconstituțională de către Curtea Constituțională a României. În anul 2015 au fost reluate eforturile de elaborare a unei noi forme a legii securității cibernetice. De asemenea, în România nu a fost încă desemnată o autoritate națională în domeniul securității cibernetice. Se așteaptă ca noua formă a legii securității cibernetice să stabilească inclusiv una sau mai multe autorități naționale în domeniul securității cibernetice, cum de altfel s-a încercat și prin inițiativa de lege din anul 2014. Cu toate acestea, multe aspecte referitoare la asigurarea securității cibernetice a României, gestionarea incidentelor de securitate cibernetică și instituțiile cu atribuții în acest domeniu, sunt reglementate prin: -

H.G. nr. 494 din 2011, privind înființarea Centrului Național de Răspuns la Incidente

de Securitate Cibernetică – CERT-RO și -

H.G. nr. 271 din 2013, prin care a fost aprobată “Strategia de securitate cibernetică a

României” și “Planul de acțiune la nivel național privind implementarea Sistemului național de securitate cibernetică”. Hotărârea de Guvern nr. 271/2013 – Strategia de Securitate Cibernetică a României

Strategia de securitate cibernetică a României pornește de la prezentarea contextului care a generat de fapt nevoia elaborării unui astfel de document, făcând referire la dezvoltarea rapidă a tehnologiilor moderne, caracteristicile spațiului cibernetic (lipsa frontierelor, dinamism şi anonimat), beneficiile informatizării la nivelul societății moderne, dar și la vulnerabilitățile introduse. Scopul Strategiei de securitate cibernetică a României este de a defini și de a menține un mediu virtual sigur, cu un înalt grad de reziliență și de încredere, bazat pe infrastructurile cibernetice naționale, care să constituie un important suport pentru securitatea națională și buna guvernare, pentru maximizarea beneficiilor cetățenilor, mediului de afaceri și ale societății românești, în ansamblul ei. De asemenea, Strategia urmărește îndeplinirea obiectivului național de securitate privind "asigurarea securității cibernetice", cu respectarea

33

principiilor și caracteristicilor Strategiei naționale de apărare și Strategiei naționale de protecție a infrastructurilor critice. Obiectivele Strategiei de securitate cibernetică a României sunt:

a)

adaptarea cadrului normativ și instituțional la dinamica amenințărilor specifice

spațiului cibernetic; b)

stabilirea și aplicarea unor profile și cerințe minime de securitate pentru

infrastructurile cibernetice naționale, relevante din punct de vedere al funcționării corecte a infrastructurilor critice; c)

asigurarea rezilienței infrastructurilor cibernetice;

d)

asigurarea stării de securitate prin cunoașterea, prevenirea și contracararea

vulnerabilităților, riscurilor și amenințărilor la adresa securității cibernetice a României; e)

valorificarea oportunităților spațiului cibernetic pentru promovarea intereselor,

valorilor și obiectivelor naționale în spațiul cibernetic; f)

promovarea și dezvoltarea cooperării între sectorul public și cel privat în plan

național, precum și a cooperării internaționale în domeniul securității cibernetice; g)

dezvoltarea culturii de securitate a populației prin conștientizarea fată de

vulnerabilitățile, riscurile și amenințările provenite din spațiul cibernetic și necesitatea asigurării protecției sistemelor informatice proprii; h)

participarea activă la inițiativele organizațiilor internaționale din care România face

parte în domeniul definirii și stabilirii unui set de măsuri destinate creșterii încrederii la nivel internațional privind utilizarea spațiului cibernetic. Una dintre problemele identificate de majoritatea experților în domeniul securității cibernetice este cea legată de lipsa sau ne-uniformitatea terminologiei în acest domeniu. Pornind de la acest aspect, Strategia de securitate cibernetică a României conține un întreg capitol în care sunt definite diferite concepte și termeni, astfel: -

infrastructuri cibernetice - infrastructuri de tehnologia informației și comunicații,

constând în sisteme informatice, aplicații aferente, rețele și servicii de comunicații electronice;

34

-

spațiul cibernetic - mediul virtual, generat de infrastructurile cibernetice, incluzând

conținutul informațional procesat, stocat sau transmis, precum și acțiunile derulate de utilizatori în acesta; -

securitate cibernetică - starea de normalitate rezultată în urma aplicării unui ansamblu

de măsuri pro-active și reactive prin care se asigură confidențialitatea, integritatea, disponibilitatea, autenticitatea și non-repudierea informațiilor în format electronic, a resurselor și serviciilor publice sau private, din spațiul cibernetic. Măsurile pro-active și reactive pot include politici, concepte, standarde și ghiduri de securitate, managementul riscului, activități de instruire și conștientizare, implementarea de soluții tehnice de protejare a infrastructurilor cibernetice, managementul identității, managementul consecințelor; -

apărare cibernetică - acțiuni desfășurate în spațiul cibernetic în scopul protejării,

monitorizării, analizării, detectării, contracarării agresiunilor și asigurării răspunsului oportun împotriva amenințărilor asupra infrastructurilor cibernetice specifice apărării naționale; -

operații în rețele de calculatoare - procesul complex de planificare, coordonare,

sincronizare, armonizare și desfășurare a acțiunilor în spațiul cibernetic pentru protecția controlul și utilizarea rețelelor de calculatoare în scopul obținerii superiorității informaționale, concomitent cu neutralizarea capabilităților adversarului; -

amenințare cibernetică - circumstanță sau eveniment care constituie un pericol

potențial la adresa securității cibernetice; -

atac cibernetic - acțiune ostilă desfășurată în spațiul cibernetic de natură să afecteze

securitatea cibernetică; -

incident cibernetic - eveniment survenit în spațiul cibernetic ale cărui consecințe

afectează securitatea cibernetică; -

terorism cibernetic - activitățile premeditate desfășurate în spațiul cibernetic de către

persoane, grupări sau organizații motivate politic, ideologic ori religios ce pot determina distrugeri materiale sau victime, de natură să determine panică ori teroare; -

spionaj cibernetic - acțiuni desfășurate în spațiul cibernetic, cu scopul de a obține

neautorizat informații confidențiale în interesul unei entități statale sau non-statale; -

criminalitatea informatică - totalitatea faptelor prevăzute de legea penală sau de alte

legi speciale care prezintă pericol social și sunt săvârșite cu vinovăție, prin intermediul ori asupra infrastructurilor cibernetice;

35

-

vulnerabilitatea în spațiul cibernetic - slăbiciune în proiectarea și implementarea

infrastructurilor cibernetice sau a măsurilor de securitate aferente care poate fi exploatată de către o amenințare; -

riscul de securitate în spațiul cibernetic - probabilitatea ca o amenințare să se

materializeze, exploatând o anumită vulnerabilitate specifică infrastructurilor cibernetice; -

managementul riscului - un proces complex, continuu și flexibil de identificare,

evaluare și contracarare a riscurilor la adresa securității cibernetice, bazat pe utilizarea unor tehnici și instrumente complexe, pentru prevenirea pierderilor de orice natură; -

managementul identității - metode de validare a identității persoanelor când acestea

accesează anumite infrastructuri cibernetice; -

reziliența infrastructurilor cibernetice - capacitatea componentelor infrastructurilor

cibernetice de a rezista unui incident sau atac cibernetic și de a reveni la starea de normalitate; -

entități de tip CERT - structuri specializate în înțelesul art. 2 lit. a) din Hotărârea

Guvernului nr. 494/2011 privind înființarea Centrului Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO. Referitor la asigurarea securității cibernetice, Strategia de securitate cibernetică a României definește următoarele principii: coordonarea - activitățile se realizează într-o concepție unitară, pe baza unor

-

planuri de acțiune convergente destinate asigurării securității cibernetice, în conformitate cu atribuțiile și responsabilitățile fiecărei entități; -

cooperarea - toate entitățile implicate (din mediul public sau privat) colaborează, la

nivel național și internațional, pentru asigurarea unui răspuns adecvat la amenințările din spațiul cibernetic; -

eficiența - demersurile întreprinse vizează managementul optim al resurselor

disponibile; -

prioritizarea - eforturile se vor concentra asupra securizării infrastructurilor

cibernetice ce susțin infrastructurile critice naționale și europene; -

diseminarea - asigurarea transferului de informații, expertiză și bune practici în scopul

protejării infrastructurilor cibernetice;

36

protejarea valorilor - politicile de securitate cibernetică vor asigura echilibrul între

-

nevoia de creștere a securității în spațiul cibernetic și prezervarea dreptului la intimitate și alte valori și libertăți fundamentale ale cetățeanului; asumarea responsabilității - toți deținătorii și utilizatorii de infrastructuri cibernetice

-

trebuie să întreprindă măsurile necesare pentru securizarea infrastructurilor proprii și să nu afecteze securitatea infrastructurilor celorlalți deținători sau utilizatori; separarea rețelelor - reducerea probabilității de manifestare a atacurilor cibernetice,

-

specifice rețelei internet, asupra infrastructurilor cibernetice care asigură funcțiile vitale ale statului, prin utilizarea unor rețele dedicate, separate de internet. Conform strategiei, eforturile pentru asigurarea securității cibernetice la nivel național se vor focaliza pe următoarele direcții de acțiune: Stabilirea cadrului conceptual, organizatoric și de acțiune necesar asigurării securității

1.

cibernetice •

constituirea și operaționalizarea unui sistem național de securitate cibernetică;

•

completarea și armonizarea cadrului legislativ național în domeniu, inclusiv stabilirea și aplicarea unor cerințe minimale de securitate pentru infrastructurile cibernetice naționale;

•

dezvoltarea cooperării între sectorul public și cel privat, inclusiv prin stimularea schimbului reciproc de informații, privind amenințări, vulnerabilități, riscuri, precum și cele referitoare la incidente și atacuri cibernetice;

2.

Dezvoltarea capacităților naționale de management al riscului în domeniul securității

cibernetice și de reacție la incidente cibernetice în baza unui program național, vizând: •

consolidarea, la nivelul autorităților competente potrivit legii, a potențialului de cunoaștere, prevenire și contracarare a amenințărilor și minimizarea riscurilor asociate utilizării spațiului cibernetic;

•

asigurarea unor instrumente de dezvoltare a cooperării dintre sectorul public și cel privat, în domeniul securității cibernetice, inclusiv pentru crearea unui mecanism eficient de avertizare și alertă, respectiv de reacție la incidentele cibernetice;

•

stimularea capabilităților naționale de cercetare-dezvoltare și inovare în domeniul securității cibernetice; 37

•

creșterea nivelului de reziliență a infrastructurilor cibernetice;

•

dezvoltarea entităților de tip CERT, atât în cadrul sectorului public, cât și în sectorul privat;

Promovarea și consolidarea culturii de securitate în domeniul cibernetic

3.

•

derularea unor programe de conștientizare a populației, a administrației publice și a sectorului privat, cu privire la amenințările, vulnerabilitățile și riscurile specifice utilizării spațiului cibernetic;

•

dezvoltarea de programe educaționale, în cadrul formelor obligatorii de învățământ, privind utilizarea sigură a internetului și a echipamentelor de calcul;

•

formarea profesională adecvată a persoanelor care își desfășoară activitatea în domeniul securității cibernetice și promovarea pe scară largă a certificărilor profesionale în domeniu;

•

includerea unor elemente referitoare la securitatea cibernetică în programele de formare și perfecționare profesională a managerilor din domeniul public și privat;

Dezvoltarea cooperării internaționale în domeniul securității cibernetice

4. •

încheierea unor acorduri de cooperare la nivel internațional pentru îmbunătățirea capacității de răspuns în cazul unor atacuri cibernetice majore;

•

participarea

la

programe

internaționale care

vizează

domeniul

securității cibernetice; •

promovarea intereselor naționale de securitate cibernetică în formatele de cooperare internațională la care România este parte.

Hotărârea de Guvern nr. 494/2011 privind înfiinţarea CERT-RO Activitatea CERT-RO se concentrează pe realizarea prevenirii, analizei, identificării și reacției la incidente în cadrul infrastructurilor cibernetice ce asigură funcționalități de utilitate publică ori asigură servicii ale societății informaționale. CERT-RO reprezintă un punct național de contact cu structurile de tip CERT care funcționează în cadrul instituțiilor sau autorităților publice ori al altor persoane juridice de 38

drept public sau privat, naționale ori internaționale, cu respectarea competențelor ce revin celorlalte autorități și instituții publice cu atribuții în domeniu, potrivit legii. CERT-RO are următoarele atribuții:

i)

oferă servicii publice de tip preventiv, de tip reactiv și de consultanta;

j)

organizează și întreține un sistem de baze de date privind amenințările,

vulnerabilitățile și incidentele de securitate cibernetică identificate sau raportate, tehnici și tehnologii folosite pentru atacuri, precum și bune practici pentru protecția infrastructurilor cibernetice;

k)

asigură cadrul organizatoric și suportul tehnic necesar schimbului de informații dintre

diverse echipe de tip CERT, utilizatori, autorități, producători de echipamente și soluții de securitate cibernetică, precum și furnizori de servicii în domeniu; l)

organizează, desfășoară sau participă la activități de instruire în domeniul securității

cibernetice; m)

organizează simpozioane, dezbateri pe teme de securitate cibernetică și asigură

diseminarea unor informații specifice prin mass-media; n)

desfășoară activități de cercetare-dezvoltare în domeniu și elaborează proceduri și

recomandări privind securitatea cibernetică, potrivit prevederilor legale privind cercetarea științifică și dezvoltarea tehnologică; o)

asigură MCSI suportul tehnic și de specialitate pentru elaborarea politicilor de

securitate cibernetică necesar a fi respectate de furnizorii de rețele și servicii de comunicații electronice publice pentru obținerea autorizării de funcționare a acestora, precum și la evaluarea modului de implementare a acestora; p)

asigură consultanță de specialitate autorităților publice responsabile, stabilite conform

Ordonanței de urgență a Guvernului nr. 98/2010 privind identificarea, desemnarea și protecția infrastructurilor critice, aprobată cu modificări prin Legea nr.18/2011, cu privire la produsele și sistemele de securitate cibernetică care deservesc infrastructurile critice naționale și europene; q)

asigură puncte de contact pentru colectarea sesizărilor și a informațiilor despre

incidente de securitate cibernetică atât automatizat, cât și prin comunicare directă securizată, după caz;

39

r)

identifică, analizează și clasifică incidentele de securitate din cadrul infrastructurilor

cibernetice, conform ariei de competență; s)

elaborează propuneri pe care le înaintează către MCSI sau Consiliului Suprem de

Apărare a Țării, denumit în continuare CSAT, privind modificarea cadrului legislativ în vederea stimulării dezvoltării securității infrastructurilor cibernetice ce asigură funcționalități de utilitate publică ori asigură servicii ale societății informaționale; t)

planifică și programează în proiectul de buget propriu resursele financiare necesare în

vederea realizării politicilor în domeniile sale de competență;

u)

coordonează derularea proiectelor, ale căror beneficiari sunt MCSI și/sau instituțiile

din subordinea acestuia, cu finanțare națională sau internațională în domeniul securității infrastructurilor cibernetice ce asigură funcționalități de utilitate publică, ori asigură servicii ale societății informaționale, care vizează capacitatea instituțională operațională a CERT-RO; v)

asigură MCSI suportul tehnic și de specialitate pentru urmărirea și controlul aplicării

prevederilor cuprinse în actele normative în vigoare sau în acordurile internaționale în domeniul de competență şi notifică organele competente pentru demararea procedurilor legale în vederea cercetării și sancționării, după caz. Una dintre atribuțiile importante CERT-RO este aceea de a stabili „criteriile și cerințele minime pe care trebuie să le îndeplinească un centru de tip CERT pentru a fi inclus în Comunitatea CERT din România, precum și procedurile de colaborare”, prin decizie a directorului general CERT-RO, cu avizul Comitetului de coordonare. Comitetul de coordonare al CERT-RO, al cărui președinte este chiar directorul instituției, este format din reprezentanți ai următoarelor instituții: a)

Ministerul pentru Societatea Informațională;

b)

Ministerul Apărării Naționale;

c)

Ministerul Administrației și Internelor;

d)

Serviciul Român de Informații;

e)

Serviciul de Informații Externe;

40

f)

Serviciul de Telecomunicații Speciale;

g)

Serviciul de Protecție și Pază;

h)

Oficiul Registrului Național al Informațiilor Secrete de Stat;

i)

Autoritatea Națională pentru Administrare și Reglementare în Comunicații.

CERT-RO prezintă un raport anual în cadrul CSAT, în timp ce activitatea instituției este analizată semestrial în Comitetul de coordonare, pe baza raportului elaborat în acest sens de către directorul general.

2.2. METODE

DE

GESTIONARE

A

INCIDENTELOR

DE

SECURITATE CIBERNETICĂ LA NIVEL NAŢIONAL Conform Strategiei de securitate cibernetică a României, asigurarea securității cibernetice la nivel național se realizează prin intermediul Sistemului național de securitate cibernetică (SNSC), reprezentând „cadrul general de cooperare care reunește autorități și instituții publice, cu responsabilități și capabilități în domeniu, în vederea coordonării acțiunilor la nivel național pentru asigurarea securității spațiului cibernetic, inclusiv prin cooperarea cu mediul academic și cel de afaceri, asociațiile profesionale și organizațiile neguvernamentale”. Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, asigură elaborarea și diseminarea politicilor publice de prevenire și contracarare a incidentelor din cadrul infrastructurilor cibernetice, potrivit ariei de competență. Sistemul naţional de securitate cibernetică (SNSC) Sistemul Naţional de Securitate Cibernetică funcționează ca un mecanism unitar și eficient de relaționare și cooperare interinstituțională, în vederea adoptării și aplicării cu celeritate a deciziilor. Coordonarea unitară a SNSC se realizează de către Consiliul operativ de securitate cibernetică (COSC), din care fac parte, în calitate de membri permanenți, reprezentanți din cadrul următoarelor instituții:

41

-

Ministerul Apărării Naționale,

-

Ministerul Afacerilor Interne,

-

Ministerul Afacerilor Externe,

-

Ministerul pentru Societatea Informațională,

-

Serviciul Român de Informații,

-

Serviciul de Telecomunicații Speciale,

-

Serviciul de Informații Externe,

-

Serviciul de Protecție și Pază,

-

Oficiul Registrului Național pentru Informații Secrete de Stat,

-

secretarul Consiliului Suprem de Apărare a Țării.

La nivel strategic, activitatea SNSC este coordonată de Consiliul Suprem de Apărare a Țării (CSAT) care avizează Strategia de securitate cibernetică a României și aprobă Regulamentul de organizare și funcționare al Consiliului operativ de securitate cibernetică (COSC). În figura de mai jos este reprezentată schematic procedura utilizată de SNSC pentru investigarea atacurilor ce implică infrastructuri din spațiul cibernetic național.

Figur1 1. Procedura SNSC de investigare a atacurilor cibernetice 42

Ministerul pentru Societatea Informațională are rolul de a coordona autoritățile publice care nu sunt reprezentate în COSC, în vederea realizării coerenței politicilor și implementarea strategiilor guvernamentale în domeniul comunicațiilor electronice, tehnologiei informației și al serviciilor societății informaționale și societății bazate pe cunoaștere. În plus, prin Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, asigură elaborarea și diseminarea politicilor publice de prevenire și contracarare a incidentelor din cadrul infrastructurilor cibernetice, potrivit ariei de competență. Structuri specializate de răspuns la incidente de securitate cibernetică În România, pe lângă instituțiile reprezentate în Consiliul operativ de securitate cibernetică (COSC), există și structuri specializate de răspuns la incidentele de securitate cibernetică, de tip CERT/CSIRT, atât publice cât și din mediul privat. Între structurile publice de tip CERT din România se regăsesc: •

CERT-RO (Centrul Național de Răspuns la incidente de Securitate Cibernetică) – CERT național cu rol de coordonator al comunității CERT din România;

•

CERTMIL-CTP (Centrul Tehnic Național de Răspuns la Incidente de Securitate Cibernetică) – CERT militar, din cadrul Ministerului Apărării Naționale, cu capabilități și responsabilități în domeniul apărării cibernetice;

•

RoCSIRT – CERT academic, dedicat protejării instituțiilor conectate la rețeaua RoEduNet;

•

CERT-INT – structură de tip CERT din cadrul Ministerului Administrației și Internelor.

În contextul desemnării de către CSAT ca autoritate națională în domeniul CyberIntelligence, SRI a constituit o structură specializată denumită Centrul Național Cyberint2. Principala misiune

a Centrului Național Cyberint este corelarea sistemelor tehnice de apărare cu

capacitățile informative în vederea identificării și furnizării, către beneficiarii legali, a informațiilor necesare prevenirii, stopării și/sau limitării consecințelor unei agresiunii asupra sistemelor TIC care reprezintă infrastructuri critice.

43

Procedura CERT-RO de gestionare a incidentelor de securitate cibernetică Conform prevederilor H.G. nr. 494/2011 CERT-RO oferă o serie de servicii de tip pro-activ, reactiv sau de suport printre care: gestiunea incidentelor de securitate cibernetică la nivel național, transmiterea de alerte și atenționări privind apariţia unor activităţi premergătoare atacurilor și diseminarea rezultatelor investigaţiilor incidentelor de securitate cibernetică. La baza activității de răspuns la incidente de securitate cibernetică stau următoarele principii: 1. principiul eficienței și coordonării în gestionarea situației; 2. principiul reducerii rapide la minim a efectelor incidentului/evenimentului; 3. principiul diseminării informațiilor doar către părțile afectate, părțile ce pot fi afectate sau cele cu responsabilități în domeniu; 4. principiul clasificării informațiilor conform protocolului TLP sau conform legislației naționale referitoare la protecția informațiilor clasificate; 5. principiul legalității; 6. principiul confidențialității; 7. principiul nevoii de a cunoaște; 8. principiul prevenirii evenimentelor/incidentelor de securitate în sistemele informatice și de comunicații. O serie de obiective sunt urmărite în cadrul activității de răspuns la incidente de securitate cibernetică. Prin atingerea acestor obiective în activitatea de răspuns la incidente de securitate cibernetică, se respectă mandatul CERT-RO precum și prevederile Strategiei Naționale de Securitate Cibernetică: 1. stoparea imediată sau reducerea la minimul posibil a efectelor incidentului; 2. stabilirea preliminară a impactului incidentului/evenimentului; 3. identificarea pot

fi

si

alertarea

afectate

tuturor părților afectate

sau

care

de incidentul/evenimentul de securitate precum

și a celor responsabile de remedierea situației; 4. identificarea si alertarea tuturor instituțiilor sau autorităților publice responsabile de gestionarea situației; 5. furnizarea de informații complete care să ajute părțile implicate în activitatea de răspuns la incident/eveniment; 6. furnizarea de suport tehnic pentru părțile afectate, la cerere;

44

7. diseminarea de documente de natură tehnică referitoare la metode de detecție și tratare ale incidentului/evenimentului de securitate, pentru alte entități ce pot fi vizate de un incident similar; 8. dezvoltarea culturii de securitate a populației prin conștientizarea fată de vulnerabilitățile, riscurile și amenințările provenite din spațiul cibernetic și necesitatea asigurării protecției sistemelor informatice proprii. Activitatea de răspuns la incidente de securitate cibernetică se bazează pe primirea de alerte de către CERT-RO, respectiv semnalări asupra identificării unor incidente sau evenimente de securitate cibernetică. Acestea pot fi transmise prin orice mijloc, de către orice entitate (persoană fizică sau juridică), atât timp cât se asigură confidențialitatea comunicării, iar datele transmise sunt coerente și complete. O serie de etape sunt parcurse odată cu primirea alertei, astfel: 1. Înregistrarea şi investigarea inițială a alertei Personalul responsabil cu activitatea de răspuns la alertele de securitate are obligația de a lua în considerare toate datele transmise și în orice format. Acesta va verifica corectitudinea datelor transmise și se va asigura că acestea sunt complete și se pot folosi în rezolvarea alertei. De regulă orice alertă trebuie să conțină cel puțin următoarele date: date de identificare ale petentului; adrese IP, adrese de email, timestamp și servicii afectate ale victimei; adrese IP, adrese de email sau surse generatoare ale atacului; fișiere de tip log care să demonstreze existența și identificarea incidentului/evenimentului sau orice alte fișiere ce pot constitui probe. În cadrul acestei etape, personalul responsabil se asigură că deține date suficiente pentru identificarea sursei atacului, a victimei și a tipului de incident/eveniment cu care se confruntă. În cazul în care petentul nu furnizează suficiente date pentru exploatarea incidentului sau în cazul în care sursa nu este credibilă, se solicită detalii suplimentare. În lipsa detaliilor suplimentare sau a neconfirmării alertei, cazul poate fi închis direct din această etapă. 2. Identificarea entităților afectate de incident/eveniment Pe baza informațiilor complete și corecte referitoare la alertă, personalul responsabil poate trece

la

identificarea

entităților

reale

ce

reprezintă

sursa

precum

și

victima

45

incidentului/evenimentului. Acesta poate folosi orice surse disponibile public pe internet (servicii de tip whois, DNS lookup, ping, traceroute, reverse IP, diverse site-uri etc.) precum și surse cu acces restricționat disponibile în baza parteneriatelor dezvoltate de CERT-RO. În cadrul acestei etape, este obligatorie identificarea persoanelor fizice sau juridice ce trebuie contactate pentru rezolvarea incidentului (ISP, deținători domenii .ro sau clase de adrese IP, persoane fizice juridice etc.) 3. Determinarea

probabilității

impactului

incidentului/evenimentului

pentru

securitatea spațiului cibernetic național În această etapă se face o analiză asupra impactului incidentului/ evenimentului de securitate cibernetică. Se consideră amenințări la adresa securității naționale următoarele tipuri de alerte, concretizate de obicei în atacuri cibernetice: a) Atacuri ce afectează o serie de instituții publice, din același domeniu de activitate sau care folosesc aceleași tehnologii; b) Atacuri asupra mai multor organizații din același domeniu de activitate sau care folosesc aceleași tehnologii; c) Atacuri persistente (APT) asupra instituțiilor publice sau a unor companii reprezentative în economia României; d) Atacuri asupra unor furnizori de servicii publice online cu importanță deosebită în spațiul cibernetic românesc (ISP volum mare de trafic, magazine online, servicii de certificare, rețele sociale, sisteme de plăți online etc.); e) Atacuri asupra unor instituții ce procesează informații clasificate sau informații de importanță deosebită pentru economia României (planuri sisteme industriale etc.); f) Atacuri asupra infrastructurilor critice sau a operatorilor de infrastructuri critice; g) Vulnerabilități ale unor produse IT ce pot afecta categorii aparte de utilizatori din România. 4. Identificarea instituțiilor și autorităților publice cu responsabilități în gestionarea incidentului/evenimentului.

46

Odată identificate sursa și victima incidentului/evenimentului se va stabili și tipul incidentului de securitate precum și metodologia de atac. În baza acestor date se va stabili dacă, pentru rezolvarea alertei, este desemnată o altă autoritate sau instituție publică. În cazul în care este identificată o astfel de autoritate, iar rezolvarea incidentul/evenimentul cade în responsabilitatea acesteia, va fi pregătită transmiterea unei alerte și către instituția responsabilă. 5. Alertarea urgentă a entităților afectate precum și a instituțiilor cu responsabilități În momentul în care sunt colectate date suficiente despre victimă, sursa atacului, entitățile implicate, instituțiile publice responsabile, tipul de incident precum și date care să confirme existența acestuia, personalul responsabil transmite urgent alerte de notificare către toate părțile implicate. În cadrul activității de notificare se aplică principiile enumerate mai sus, entitatea afectată fiind prima alertată despre existența incidentului/evenimentului. În cazul în care responsabilitatea

rezolvării

incidentului/evenimentului

cade

în

sarcina

altei

instituții/autorități, iar acea instituție/autoritate consideră necesar ca alerta să nu fie transmisă către părțile afectate, pentru a nu perturba activitățile post-incident/eveniment, atunci personalul responsabil va respecta întocmai decizia instituției/autorității. Alertele transmise către părțile implicate trebuie să conțină următoarele informații: •

Date relevante despre CERT-RO și baza legală în urma căreia se transmit alertele;

•

Date despre resursele tehnice ce fac parte din incident/eveniment (resurse afectate sau resursele ce produc atacul);

•

Fișiere log, sau orice alte probe ce pot susține existența atacului;

•

Măsurile exprese ce trebuie luate de către destinatarul alertei;

•

Date

de

contact

pentru

comunicări

ulterioare

asupra

incidentului/

evenimentului; •

Solicitare de feedback cu privire la măsurile luate de părțile afectate;

•

Detalii despre cum au fost obținute datele despre incident/eveniment (doar în cazul în care este neapărat necesar; dezvăluirea sursei nu reprezintă un obiectiv al activității de alertare). 47

6. Lansarea investigației detaliate (dacă este cazul) În cazul în care o parte afectată solicită date suplimentare despre incidentul/evenimentul de securitate, personalul responsabil contactează părțile ce pot oferi aceste informații, solicitându-le în scopul finalizării investigației. În acest caz investigații suplimentare pot fi demarate, putând fi folosite orice surse disponibile. 7. Publicarea de documente tehnice și rapoarte asupra incidentului / evenimentului Pentru restrângerea numărului posibilelor victime ale amenințării ce a generat incidentul de securitate, personalul responsabil transmite alerte de atenționare către toți partenerii vizați, sau chiar către publicul larg în caz că se impune. Alertele sunt transmise prin email, notificări oficiale sau sunt publicate pe pagina de Internet a CERT-RO. Alertele conțin date relevante despre tipul amenințării, modalități de detecție precum și modalități de protecție. 8. Închiderea/clasarea alertei de securitate Alerta de securitate este considerată închisă/clasată în momentul în care au fost alertate toate părțile responsabile precum și cele afectate (sursă și victimă), acestea confirmând primirea mesajelor și demararea activităților de remediere a problemelor. Pentru ca alerta să poată fi considerată închisă/clasată trebuie ca toate posibilitățile de acțiune ale CERT-RO să fie epuizate. În cazul în care părțile notificate nu dau curs solicitării CERT-RO timp de o săptămână, incidentul/evenimentul este considerat închis/clasat. 9. Automatizarea activității de răspuns la alerte de securitate cibernetică Activitatea de răspuns la incidente de securitate cibernetică este automatizată pe cât mai mult posibil. În cazul în care alertele sunt transmise, de către un partener, într-un format standardizat, ușor accesibil, sunt dezvoltate aplicații automate care să identifice părțile implicate cât și autoritățile competente și să le transmită notificări automate sub formă de email.

48

Toate notificările automate transmise sunt înregistrate în cadrul sistemului de gestionare a alertelor folosit în cadrul CERT-RO. Din punct de vedere tehnic, gestionarea evenimentelor, alertelor și incidentelor de securitate cibernetică se realizează prin intermediul unei aplicații de ticketing și a unei aplicații dezvoltate intern pentru colectarea, procesarea, normalizarea, analizarea și diseminarea informațiilor. În spațiul cibernetic național, securitatea rețelelor și sistemelor informatice este asigurată prin utilizarea unor tehnologii consacrate, prin implementarea de proceduri și politici de securitate organizaționale și prin intermediul sistemelor implementate de autoritățile naționale cu atribuții în acest sens. Tehnologii şi soluţii de securitate Cele mai utilizate tehnologii/soluții pentru asigurarea securității rețelelor și sistemelor informatice sunt următoarele: - Antivirus/Antimalware; - HIDS (Host Intrusion Prevention System); - Firewall; - NIDS (Network Intrusion Prevention System); - IPS (Intrusion Prevention System); - Web Application Firewall; - Web/Email Gateway; - DLP (Data Lost Prevention); - VPN (Virtual Private Networks); - UTM (Unified Threat Management); - SIEM (Security Information and Event Management). În prezent, nu există definite standarde de securitate la nivel național privind asigurarea securității rețelelor și sistemelor informatice utilizate în cadrul diferitelor sectoare ale economiei. De asemenea, nu există prevederi legale care să impună entităților din diferite sectoare economice respectarea anumitor standarde de securitate informatică. În continuare sunt prezentate măsurile recomandate pentru asigurarea securității rețelelor și sistemelor informatice din cadrul unei organizații, în baza „Codului de bune practici pentru

49

Securitatea Sistemelor Informatice şi de Comunicaţii”, întocmit de Asociaţia Naţională pentru Securitatea Sistemelor Informatice (ANSSI), cuprinzând o serie de măsuri recomandate pentru asigurarea securităţii informatice, referindu-se la securitatea fizică, securitatea logică şi controlul accesului (securitatea personalului). Securitatea fizică O practică frecventă a grupurilor infracționale constă în utilizarea tehnicilor de scanare continuă a spațiilor de adrese IP ale organizațiilor țintă, urmărind conectarea sistemelor noi și/sau neprotejate, ori laptop-uri cu definiții sau pachete de securitate (patch-uri) neactualizate datorită faptului că nu sunt conectate frecvent la rețea. Unul din atacurile comune profită de sistemele nou instalate și care nu sunt configurate și securizate din punct de vedere al pachetelor de securitate decât în ziua următoare, fiind ușor de identificat și exploatat prin intermediul Internetului de către atacatori. În ceea ce privește sistemele informatice aflate în interiorul rețelelor protejate, atacatorii care au obținut deja acces pot viza și compromite acele sisteme insuficient sau necorespunzător securizate. O atenție deosebită trebuie acordată echipamentelor și sistemelor care nu sunt incluse în inventarul organizațiilor, cum ar fi diversele dispozitive mobile personale, sisteme de test, etc. și care nu sunt conectate în mod permanent la rețea. În general, aceste tipuri de echipamente tind să nu fie securizate în mod corespunzator sau să nu aibă controale de securitate care să răspunda cerințelor de securitate. Chiar dacă aceste echipamente nu sunt utilizate pentru a procesa, stoca sau accesa date sau informații critice, odată introduse în rețea, pot oferi atacatorilor o cale de acces spre alte resurse și un punct de unde pot fi lansate atacuri avansate. Conform ghidului publicat de SANS Institute, intitulat „Systems and Network Documentation”, menținerea unui inventar precis și actual, controlat prin monitorizare activă și managementul configurației, poate reduce șansele ca atacatorii să identifice și să exploateze sistemele neprotejate. Procedurile de inventariere stabilesc proprietarii de informații și sisteme informatice, documentând responsabilitățile pentru menținerea inventarului pentru fiecare componentă a sistemelor. În funcție de complexitatea fiecărei organizații, se pot utiliza instrumente specializate de monitorizare și inventariere a resurselor sistemelor informatice, care pot efectua “descoperirea” de noi sisteme, odată conectate la rețeaua sistemului informatic, prin intermediul datelor obținute de la echipamentele de rețea. De asemenea, se pot utiliza instrumente de identificare pasivă a resurselor (care “ascultă” în mod

50

pasiv la interfețele de rețea echipamentele care își anunță prezența prin modificarea traficului). Aceste instrumente de monitorizare și inventariere ar trebui să includă funcționalități precum: •

Identificarea echipamentelor noi neautorizate conectate la rețea într-un interval de timp predefinit;

•

Alertarea sau transmiterea mesajelor de notificare către o listă predefinită cu personal administrativ;

•

Izolarea sistemului neautorizat;

Grupurile infracționale utilizează tehnici de scanare a spațiilor de adrese ale organizațiilor vizate în scopul de a identifica versiuni vulnerabile de software care pot fi exploatate de la distanță. Astfel de atacuri pot fi inițiate prin distribuirea de pagini de web ostile, documente, fișiere media și alte tipuri de conținut web prin intermediul propriilor pagini web sau al altor pagini web demne de încredere. Atacurile complexe pot fi și de tipul zero-day, exploatând vulnerabilități în aceeasi zi sau înainte ca acestea sa fie cunoscute public. Fără cunoștințele corespunzătoare sau controlul software-ului implementat în organizație, nu se poate asigura protecția necesară pentru resursele informatice. Capacitatea de inventariere și controlul neadecvat asupra programelor care sunt instalate și autorizate a rula pe echipamentele organizațiilor, fac mai vulnerabile aceste medii informatice. Astfel de echipamente inadecvat controlate sunt pasibile să execute software care nu este necesar pentru specificul activității, inducând breșe potențiale de securitate sau rulând programe de tip malware induse de către un atacator, după ce sistemul a fost compromis. Odată ce un echipament a fost exploatat, adesea este utilizat ca și un punct de plecare pentru atacuri ulterioare și pentru colectarea de informații sensibile din sistemul compromis și din alte sisteme conectate la acesta. Echipamentele vulnerabile sunt utilizate ca puncte de lansare pentru “avansarea” în rețea și rețele partenere. Organizațiile care nu utilizează inventarierea completă a pachetelor software nu vor reuși să descopere sistemele pe care rulează software vulnerabil sau malițios și mai departe să reducă problemele sau atacurile. Software-ul comercial și instrumente specializate de inventariere a resurselor informatice sunt utilizate pe scară largă pentru a facilita verificarea simultană a aplicațiilor utilizate în organizații, extragând informații despre nivelul pachetelor de update al fiecărui program software instalat pentru a se asigura utilizarea celei mai recente versiuni.

51

Sistemele de monitorizare utilizate ar trebui să includă și funcționalități precum: •

Capacitatea de identificare a software-ului neautorizat prin detectarea tentativelor de instalare sau executare a acestuia;

•

Alertarea personalului administrativ într-un interval de timp predefinit;

•

Blocarea instalării, prevenirea executării sau trecerea în carantină.

Controlul echipamentelor wireless În absența unor măsuri eficiente de securitate implementate pentru rețelele fără fir, se pot iniția atacuri care vizează în principal furtul de date importante pentru orice tip de organizație. Deoarece rețelele fără fir nu necesită conexiuni fizice directe, echipamentele wireless oferă atacatorilor un vector convenabil pentru obținerea accesului în mediul țintă.Tehnicile de atac dezvoltate pot fi inițiate din exterior, evitandu-se perimetrele de securitate ale organizațiilor. Astfel, echipamentele portabile pot fi infectate prin exploatare la distanță în intervalul în care acestea sunt scoase din perimetrul de securitate în afara organizației și apoi utilizate ca „back doors” odată intoarse în organizație și reconectate la rețea. Măsurile de protejare impotriva atacurilor desfășurate prin intermediul rețelelor fara fir vizează utilizarea atât a instrumentelor de scanare, detectare și decoperire a rețelelor cât și a sistemelor de detectare a intruziunilor. Echipa de securitate trebuie să efectueze captura traficului wireless desfășurat în zonele de perimetru pentru a determina dacă sunt utilizate protocoale mai permisive de transmitere sau criptare decât cele impuse. În plus, se pot utiliza instrumente de administrare de la distanță în cadrul rețelelor pentru a colecta informații despre capabilitățile wireless ale dispozitivelor conectate la sistemele administrate. Instrumentele utilizate trebuie să includă următoarele funcționalități: ▪

capacitatea de a identifica configurațiile dispozitivelor autorizate sau dispozitivele wireless neautorizate din cadrul ariei de acoperire a organizației și care sunt conectate în aceste rețele;

▪

identificarea dispozitivelor fără fir noi, neautorizate, conectate recent;

▪

alertarea personalului administrativ;

▪

identificarea zonei și izolarea punctului de acces în rețea.

Proiectarea securității rețelelor

52

Măsurile de securitate, chiar bine implementate la nivelul sistemelor informatice, pot fi eludate în rețele concepute deficitar. Fără o arhitectura de rețea atent planificată și implementată în mod corespunzător, atacatorii pot ocoli măsurile de securitate din diferite sisteme, pătrunzând în rețea pentru a obține acces către sistemele țintă. Atacatorii vizează în mod frecvent hărțile rețelelor pentru a identifica conexiuni neutilizate între sisteme, filtrare necorespunzătoare și rețele fără segregare. Prin urmare, o arhitectură de rețea robustă și securizată poate fi realizată prin implementarea unui proces care să furnizeze și măsurile de securitate necesare. Pentru a se asigura un mediu robust și ușor de securizat, arhitectura fiecărei rețele trebuie să se bazeze pe modele care descriu structura generală a acesteia și a serviciilor pe care le oferă. Organizațiile trebuie să documenteze diagrame pentru fiecare rețea în care să fie evidențiate componentele de rețea împreună cu grupurile semnificative de servere și sisteme client.

CURS SECURITATE CIBERNETICĂ: SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE

Capitolul 3 3.1. POLITICI, STANDARDE, NORME ŞI PROCEDURI DE SECURITATE

Orice organizaţie care doreşte să-şi apere valorile informaţionale trebuie să conceapă o modalitate logică şi coerentă de protejare a acestora, ţinând seama de recomandările legale în domeniu şi de realităţile specifice activităţii sale. Ea va analiza pe de o parte pericolele interne şi externe, iar pe de altă parte metodele disponibile de contracarare a lor. Demersurile sale se vor concretiza, printre altele, în politici, standarde, norme şi proceduri de securitate. Obiectivele capitolului curent sunt: •

cunoaşterea principalelor modele ale politicilor de securitate;

•

identificarea elementelor care trebuie să stea la baza dezvoltării programelor de securitate;

•

dobândirea cunoştinţelor necesare pentru a realiza politici de securitate pentru diverse zone ale unei organizaţii.

53

Modele de politici de securitate Situaţia definirii politicilor de securitate a devenit complicată atunci când sistemul militar de clasificare a informaţiilor a fost preluat ca model de domenii civile, cum sunt cel economic, politic, medical ş.a., informaţiile fiind grupate în două mari categorii: clasificate (confidenţiale, secrete, strict secrete) şi neclasificate (sau publice). Lucrurile s-au complicat şi mai tare după ce britanicii au mai introdus un nivel, RESTRICŢIONATE, între informaţiile NECLASIFICATE şi cele CONFIDENŢIALE. Şi în SUA a existat acest nivel dar, odată cu promulgarea legii accesului liber la informaţii (Freedom of Information Act, FOIA), el a dispărut. Ca atare, America are două marcaje suplimentare: numai pentru utilizare oficială (For Official Use Only, FOUO), care se referă la date neclasificate dar care nu pot fi făcute publice prin efectul legii accesului liber la informaţii, în timp ce informaţiile neclasificate, dar sensibile (Unclassified but sensitive) includ FOUO plus datele ce pot fi făcute publice, ca efect al FOIA. În Marea Britanie, informaţiile restricţionate, în practică, sunt făcute publice, dar marcajul aplicat, RESTRICŢIONATE, face ca jurnaliştii şi alte categorii interesate de scurgeri de informaţii să fie sancţionaţi dacă le fac publice, ca efect al legii secretului oficial. Este o ciudăţenie care se adaugă alteia: documentele neclasificate din SUA care traversează oceanul în Marea Britanie devin automat RESTRICŢIONATE, iar dacă se transmit înapoi în SUA devin CONFIDENŢIALE – motiv serios pentru realizatorii sistemelor militare clasificate americane să acuze politica din Marea Britanie că ar fi una ce sparge schema clasificării SUA. În plus, există sistemul bazat pe cuvinte-cod, prin care informaţiile de orice tip pot fi supuse altor restricţii, numite clasificare compartimentală (în varianta americană) sau securitate multilaterală (în varianta europeană). Se utilizează în acest scop descriptori, cuvinte-de-avertizare şi marcaje internaţionale de apărare (International Default Organization, IDO). Toate aceste aspecte sunt tratate ştiinţific prin modelele de politici de securitate, grupate în modele de securitate multinivel şi în modele de securitate multilaterală.

3.1.1 Modele de securitate multinivel

54

Când privim un sistem, din punct de vedere al securităţii lui, întregul este separat în părţi, prin linii orizontale, realizându-se aşa-zisa securitate pe niveluri multiple (multinivel) prin care se face o delimitare netă între categoriile de informaţii din sistem (publice, confidenţiale, secrete, strict secrete). O astfel de delimitare asigură certitudinea citirii informaţiilor dintr-o anumită clasificare numai de persoanele care au autorizarea cel puţin egală cu clasificarea informaţiilor citite. Într-o formă schematică, sistemul este structurat ca în figura 2.

Fig. 2 Model de securitate multinivel Politicile de controlare a accesului sunt foarte clare: o persoană poate citi un document numai dacă autorizarea sa este cel puţin egală cu clasificarea informaţiei citite. Ca efect, informaţiile vor circula doar de jos în sus, de la nivelul CONFIDENŢIAL, la SECRET, STRICT SECRET ş.a., iar de sus în jos nu au voie să circule decât dacă o persoană autorizată le declasifică. Modelul Bell-LaPadula: Cel mai cunoscut model al politicilor de securitate este cel propus de David Bell şi Len LaPadula, în 1973, ca răspuns la preocupările Forţelor Aeriene ale Statelor Unite de securizare a sistemelor de partajare a timpului, bazate pe mainframe-uri. Modelul este cunoscut sub numele Bell-LaPadula sau modelul de securitate multinivel. Sistemele ce le adoptă sunt numite şi „sigure multinivel” sau MLS (MultiLevel Secure). Proprietatea de bază a acestor sisteme este aceea că informaţiile pot circula în jos. Formal, modelul Bell-LaPadula a introdus trei principii: •

principiul (sau proprietatea) securităţii simple, prin care nu-i este permis nici unui proces să citească date aflate pe un nivel superior lui. Este cunoscut şi ca Nu citi deasupra (No Read Up, NRU); 55

•

principiul * (se citeşte stea): nici un proces nu poate să scrie date pe un nivel aflat sub el. Este cunoscut şi ca Nu scrie dedesubt (No Write Down, NWD);

•

principiul securităţii discreţionare introduce o matrice de acces pentru a specifica controlul accesului discreţionar. Este cunoscut şi ca Trusted Subject (subiect de încredere). Prin acest principiu, subiectul de încredere violează principiul *, dar nu se abate de la scopul său.

Cele trei principii sunt redate în figura 3.

Fig. 3 Modelul Bell-LaPadula, cu cele trei principii

Modelul matricei de control al accesului: Printr-o matrice de acces se oferă drepturi de acces pentru subiecte de încredere la obiectele sistemului. Drepturile de acces sunt de tipul citeşte, scrie, execută ş.a. Un subiect de încredere este o entitate activă care îşi caută drepturile de acces la resurse sau obiecte. Subiectul poate fi o persoană, un program sau un proces. Un obiect este o entitate pasivă, cum sunt fişierele sau o resursă de stocare. Sunt cazuri în care un element poate fi, într-un anumit context, subiect şi, în alt context, poate fi obiect. O matrice de acces este redată în figura 4. Coloanele se numesc Liste de control al accesului, iar liniile, Liste de competenţe. Modelul matricei de control al accesului acceptă controlul discreţionar al accesului pentru că intrările în matrice sunt la discreţia persoanelor care au autorizaţia de a completa tabelul. În

56

matricea de control al accesului, competenţele unui subiect sunt definite prin tripleta (obiect, drepturi, număr aleator).

Fig. 4 Matrice de control al accesului

Modelul Biba: În multe cărţi este amintit şi modelul Biba, al lui Ken Biba, ocupându-se doar de integritatea sistemelor, nu şi de confidenţialitate. El se bazează pe observaţia că în multe cazuri confidenţialitatea şi integritatea sunt concepte duale: în timp ce prin confidenţialitate se impun restricţii celor ce pot citi un mesaj, prin integritate sunt controlaţi cei ce pot să scrie sau să modifice un mesaj. În unele organizaţii guvernamentale sau comerciale există aplicaţii în care integritatea datelor este mult mai importantă decât confidenţialitatea, ceea ce a făcut să apară modele formale ale integrităţii. Integritatea vizează trei scopuri principale: •

protejarea datelor împotriva modificărilor efectuate de utilizatorii neautorizaţi;

•

protejarea datelor împotriva modificărilor neautorizate efectuate de utilizatori autorizaţi;

•

asigurarea consistenţei interne şi externe a datelor.

Modelul a fost realizat în 1977 ca unul al integrităţii datelor, aşa cum modelul BellLaPadula este cunoscut ca modelul confidenţialităţii datelor. Modelul Biba este unul de tip reţea şi foloseşte relaţia mai mic sau egal. O structură a reţelei este definită ca un ansamblu parţial ordonat cu cea mai mică limită superioară, LUB (Least Upper Bound), şi cea mai mare limită inferioară, GLB (Greatest Lower Bound). O reţea reprezintă un ansamblu de clase de integritate (CI) şi de relaţii ordonate între aceste clase. Ea poate fi definită astfel: (CI,