[ Pobierz całość w formacie PDF ]

rodzaj możliwych do uruchomienia usług, uprawnienia do plików, ustawienia kont
użytkowników itd. Jeżeli sprawujesz opiek¹ nad zespoÅ‚em serwerów sieciowych i cz¹-
sto zdarza si¹, że wÅ‚Ä…czasz do struktury nowe systemy  wystarczy, że skonfiguru-
jesz nowy system zgodnie z zaleceniami, sprawdzisz go według elementów listy kon-
trolnej i możesz być pewien, że system spełnia wymagania bezpieczeństwa. Podobnie
jak w przypadku zespołów Red Team dobrze jest sprawdzić możliwoÅ›ci, umiej¹tnoÅ›ci
i referencje osób dokonujących audytów kierowanych.
Kolejnym rodzajem kierowanego audytu jest testowanie kodu z
ródłowego nietypowego
(wykonywanego na zamówienie) oprogramowania. Autorzy tej książki mają sporo
doświadczeń zebranych podczas prac dla amerykańskiego Ministerstwa Obrony Na-
rodowej i mogą zapewnić, że każda linia kodu aplikacji, które tworzyliśmy, była
skrupulatnie sprawdzana przez specjalistów dobrze znajÄ…cych swojÄ… prac¹ i zagadnie-
nia bezpieczeństwa oprogramowania. Szukali oni np. możliwości potencjalnego prze-
peÅ‚nienia bufora, zastanawiali si¹, jakie byÅ‚yby konsekwencje pojawienia si¹ usterek
lub awarii aplikacji albo programów rezydentnych. Ci ludzie potrafią obejrzeć każdą
linijk¹ kodu, zwracajÄ…c uwag¹ na wszystkie miejsca potencjalnych problemów z bez-
pieczeństwem.
W dzisiejszych czasach realia rynku zwykle nie pozwalają na taką dokładność i skru-
pulatność, ale przeglądanie kodu z
ródłowego powinno być ważnym elementem w pro-
cesie tworzenia i rozwoju oprogramowania. DobrÄ… metodÄ… usprawniajÄ…cÄ… test kodu
Rozdział 2. f& Tworzenie bezpiecznej infrastruktury sieciowej 47
z
ródłowego jest wybranie tych fragmentów kodu, których działanie ma jakiś związek
ze stronÄ… zewn¹trznÄ… (klientem) lub wewn¹trznÄ… (komponentami wewn¹trznymi sys-
temu). W przypadku aplikacji stworzonej do obsługi bankowości elektronicznej należy
dobrze sprawdzić wszystkie komponenty sieci, w których zachodzi interakcja z użyt-
kownikiem koÅ„cowym, kierowane sÄ… zapytania do bazy danych i nast¹puje dost¹p do
informacji na kontach, a nie na przykÅ‚ad cz¹ść kodu odpowiedzialnÄ… za sporzÄ…dzanie
raportów, gdyż nie daje ona praktycznie żadnych możliwości nadużyć. Testy kodu
z
ródÅ‚owego przynoszÄ… pewnÄ… korzyść twórcom oprogramowania, bo majÄ… oni okazj¹
usÅ‚yszeć ocen¹ swojej pracy z punktu widzenia bezpieczeÅ„stwa aplikacji, a nie, jak to
zwykle bywa, jej funkcjonalnoÅ›ci. Wi¹kszość programistów zwykle ch¹tnie poddaje si¹
krytyce, mogÄ… si¹ dzi¹ki niej jeszcze wiele nauczyć, a testy kodu prowadzÄ… czasami
do powstania standardów wspomagających tworzenie bezpieczniejszych aplikacji.
Ochrona zasobów
Podsumujmy: podstawowe zasady polityki bezpieczeństwa w firmie zostały zdefinio-
wane, odpowiednie testy struktury systemu zostały przeprowadzone i znasz już słabe
strony swojej sieci lub jesteś gotów do rozmieszczenia urządzeń, co pozwoli ci wreszcie
rozpocząć faz¹ wdrażania teorii w życie. Jeżeli twój poziom wiedzy technicznej uwa-
żasz za wystarczajÄ…cy do zrozumienia wi¹kszoÅ›ci zawartych w tej książce informacji,
jest duża szansa, że wiesz, jakie są funkcje zapory sieciowej, jak działa ruter i jaka jest
różnica pomi¹dzy przeÅ‚Ä…cznikiem a koncentratorem. W dalszej cz¹Å›ci książki zajmie-
my si¹ bardziej szczegółowo zagadnieniami bezpieczeÅ„stwa zwiÄ…zanymi ze wspomnia-
nymi urządzeniami. W tym rozdziale jednak (jak to wciąż przypominamy) ograniczymy
si¹ do rozważaÅ„ na nieco bardziej poziomie teoretycznych i z popatrzmy z pewnej per-
spektywy na lokalizacj¹ i funkcjonowanie komponentów sieci. Jeszcze raz chcieliby-
śmy powtórzyć, że celem tego rozdziału nie jest przemiana czytelnika w guru polityki
bezpieczeństwa czy eksperta od ruterów, ale sprowokowanie do spoglądania nieco
 z góry na całość zagadnienia bezpieczeństwa, które umożliwi lepsze zrozumienie wy-
siłków wszystkich działów i pionów organizacyjnych i własnej roli w tym procesie.
Wdrożenie polityki bezpieczeństwa
Trzeba pami¹tać o tym, że każdy zastosowany Å›rodek ochronny (od zasad definiujÄ…-
cych dÅ‚ugość i skÅ‚ad haseÅ‚, po instalacj¹ zapory sieciowej) powinien mieć swoje uza-
sadnienie wynikające z polityki bezpieczeństwa. Oczywiście same metody wdrażania
odpowiednich środków nie są szczegółowo opisane w dokumencie dotyczącym poli-
tyki. Powinny one być określone przez osoby, które dobrze rozumieją i znają poten-
cjalne zagrożenia. Ignorowanie zaleceń zawartych w polityce bezpieczeństwa podczas
fazy decydowania o wdrażanych Å›rodkach jest zawsze poważnym bÅ‚¹dem. W osta-
tecznym rozrachunku b¹dziesz przecież oceniany na podstawie tego, w jaki sposób
wypeÅ‚niasz zalecenia przyj¹tej polityki.
JeÅ›li potrafisz mÄ…drze wykorzystać zawarte w polityce zalecenia, z pewnoÅ›ciÄ… b¹-
dziesz umiaÅ‚ usprawiedliwić zastosowane przez siebie rozwiÄ…zania i zakup sprz¹tu.
48 Bezpieczeństwo w sieci
Jeżeli na przykÅ‚ad dost¹pność witryny firmowej jest jednym z pryncypiów (byÅ‚a oce-
niana wysoko w matrycy krytycznoÅ›ci), Å‚atwo b¹dzie wytÅ‚umaczyć konieczność two-
rzenia infrastruktury o możliwie wysokiej dyspozycyjnoÅ›ci  a wi¹c speÅ‚niÄ… si¹ twoje
marzenia o wielu jednoczesnych łączach do Internetu, złożonej sieci kratowej ruterów
(wzajemnie si¹ uzupeÅ‚niajÄ…cych), zapór sieciowych, urzÄ…dzeÅ„ do wyrównywania ob-
ciążenia serwerów i samych serwerów. Gdyby aspekt dost¹pnoÅ›ci witryny oceniono
nisko a strona firmowa miała charakter statyczny i niemal wyłącznie informacyjny,
trudno byÅ‚oby ci uzasadnić wydatki poniesione na wi¹kszÄ… ilość sprz¹tu sieciowego. [ Pobierz caÅ‚ość w formacie PDF ]