När du tar datasäkerhetsfrågor på allvar






 Startsida
 Tjänster
 Kunder
 Kontakt
 Utbildning
-------------------

ODIT

E-mail: posta@odit.se

Tel:
08-449 72 29


Mobil:
070 521 69 25

 

Kommunikationssäkerhet – Nätverkssäkerhet

Skydd och motåtgärder

Motåtgärder och skydd skall införas dels för att hindra obehöriga access till system och information och dels för att säkerställa kommunikationens autenticitet. Kommunikationssäkerhet inkluderar kryptosäkerhet, säker dataöverföring, emissions- (utströmnings-) säkerhet , säkert trafikflöde samt fysisk säkerhet av kommunikationssäkerhetsverktyg.

  • Kommunikationssäkerhetstekniker
  • Packet och Circuit Switching
  • WAN teknologi
  • E-post säkerhetsmål
  • Säkra röstkommunikation
  • Säkerhets gränslinjer
  • Nätverksattacker och motåtgärder

Kommunikationssäkerhetstekniker

Data lagrade på lagringsenheter är relativt enkelt att säkra så länge access kontroll är erhållen samt att en logisk accesskontroll är implementerade. När data används av en applikation eller överföras över nätet, blir säkerhetsprocessen lite komplicerad.
Kommunikationssäkerhet täcker allt som har med överföring av elektronisk information från en plats till en annan. Kommunikationssäkerhet är utformade för att upptäcka, förebygga och även rätta till dataöverföringsfel

Virtual Private Network VPN

Ett virtuellt privat nätverk (VPN) är helt enkelt en kommunikationstunnel som tillhandahåller, punkt till punkt överföring, båda autentisering och datatrafik över nätverket. De flesta VPN använder kryptering (det är inte nödvändigt) för att skydda inkapslade trafik. VPNs säkerhetsmålen är konfidentiellitet och tillförlitlighet över osäkra nätverk.

Tunneling

Tunneling är det nätverkskommunikationsprocessen som skyddar innehållet av protokollpaketen genom att kapsla dem i paket som har ett annat protokoll. Kapsylering är det som skapar den logiska illusionen av en kommunikationstunnel över det osäkra nätverket. Denna virtuella vägen existerar mellan kapsylerings- och dekapsyleringsenheter som är lokaliserade i början och slutet av kommunikationen.

Behovet av tunneling

Tunneling kan användas för olika syften bl a för att kringgå brandväggar, gateways och andra trafikkontrollenheter. Detta uppnås genom att kapsla paketets innehåll. Tunnelingsprocessen undgår trafikens kontrollenheter från att blockera kommunikationen eftersom dessa kontrollenheter inte vet vad paketet innehåller.
Tunneling kan även användas vid okopplade system. Tunneling skyddar innehållet av interna protokollet och paketet genom att innesluta (packa in) eller förpacka det i ett godkänt protokoll.

Tunnelings nackdelar

Tunneling är ett ineffektivt sätt att kommunicera på, eftersom protokollen har som egenskap att feldetektera, felhantera, godkänna och hantera sessioner. Att använda mer än ett protokoll vid ett tillfälle resulterar i meddelandets overhead. Tunneling genererar antingen stora paket eller flera paket som konsumerar ytterligare bandbredden. Tunneling kan snabbt överbelasta ett nätverk. Vidare, tunneling är en punkt till punkt kommunikationsmekanism och är inte utformad för att hantera broadcast trafiken.

Hur arbetar VPN

En VPN-länk kan etableras över alla nätverkskommunikationsförbindelser: LAN-kabel förbindelse, LAN- trådlös förbindelse, modem förbindelse, WAN-länk och även klienter som använder Internetförbindelse för access till LAN. VPN-länk fungerar precis som en LAN-länk. VPN används för att binda ihop två olika system eller nätverk

Implementering av VPN

VPN implementeras genom att använda hårdvara eller mjukvara. I vilket fall, VPNs mekanismen utgörs av fyra protokoll: PPTP, L2F, L2TP och IPsec. PPTP, L2F, L2TP opererar på Datalänk skiktet (skikt 2) av OSI modellen. PPTP och IPsec används på IP nätverk medan L2F och L2TP kan användas för kapsylering av alla LAN-protokollen..

Point-to-point Tunneling Protokoll (PPTP) är en kapsyleringsprotokoll utvecklades utav uppringningsprotokollet Point-to-Point protokol (PPP). PPTP skapar en punkt till punkt tunnel mellan två system och kapslar PPP paketen. PPTP erbjuder autentiseringsskydd via autentiseringsprotokollet som stödjas av PPP, nämligen Microsoft Challenge Handshake Authentication Protocol (MS-CHAP), Password Authentication Protocol (PAP), Extensible Authentication Protocol (EAP) och Shiva Password Authentication Protocol (SPAP). Den initiala tunnelns förhandlingsprocessen som används av PPTP är inte krypterad. Således, sessionernas etablerade paketen som inkluderar IP-adressen av sändaren och mottagaren (kan inkludera användarnamn och hashad passord) kan kryteras av en tredjepart.

Cisco har utvecklat ett eget VPN-protokoll, Layer 2 Forwarding (L2F) som är en mutual authentication tunneling mekanism. L2F tillhandahåller inte kryptering och därför ersattes sedan med L2TP.

Layer 2 Tunneling Protocol (L2TP) kombinerar elementen från båda PPTP och L2F. L2TP skapar en punkt till punkt tunnel mellan kommunikationens ändpunkter. Den saknar dock krypteringsmöjligheter men stödjer sig på (är beroende av) IPsec som sin säkerhetsmekanism. L2TP stödjer även TACACS+ och RADIUS viket PPTP inte gör.

Det mest använda VPN-protokollet nu är IPsec. IP Security är en stand-alone VPN protokollssäkerhetsmekanism för L2TP och kan endast användas för IP-trafik.

IPsec används för säker autentisering och krypterad dataöverföring. Den arbetar på nätverksskiktet (skiktet 3) och kan användas i Tranport mode och Tunnel mode. I Tranport mode är datapaketet krypterat men inte header. I Tunnel mode krypteras hela paketet och en ny header läggs till, för att kunna transporteras genom tunnel.

Hur arbetar VPN

En VPN länk kan etableras över alla andra nätverkskommunikationsförbindelser. Det kan vara LAN-kabelkommunikation, trådlös LAN-kommunikation, uppringningskommunikation, WAN-länk eller Internetförbindelse för access till det lokala LANet. En VPN-länk agerar precis som en direkt LAN kabelförbindelse; enda skillnaden är i så fall hastigheten. VPN kan användas för att ansluta två enskilda system eller två nätverk. Enda skillnaden är att det överförda data är endast skyddad i VPN-tunneln. Fjärraccess serverar eller brandväggar agerar som start- och slutpunkt för VPN. Således trafiken är skyddad inom LAN, skyddad mellan VPN-servrar och skyddad fram till destinationen LAN.

VPN-länkar via Internet är oftast ett billigt alternativt till direkt länk eller leasade linjer.

Implementera VPN

VPN kan implementeras genom användning av mjuk- eller hårdvarulösning. I vilket fall som helst är det fyra protokoll som används; PPTP, L2F, L2TP och IPsec. PPTP, L2F, L2TP opererar på Datalänk skiktet (2) i OSI-modellen. PPTP och IPsec är begränsade att användas på IP-nätverken medan L2F och L2TP kan användas för att kapsylera alla LAN-protokoll.

Point-to-Point Tunneling Protocol (PPTP) är en kapsyleringsprotokoll utvecklades från uppringningsprotokollet Point-to-Point Protocol (PPP). PPTP skapar en punkt till punkt tunnel mellan två system och kapsylerar PPP paketen. PPTP tillhandahåller autentiseringsskydd för trafiken genom samma autentiseringsprotokoll som stöds av PPP, nämligen Microsoft Challenge Hanshake Authentication Protocol (MS-CHAP), Challenge Hanshake Authentication Protocol (CHAP), Password Authentication Protocol (PAP), Extensible Authentication Protocol (EAP) och Shiva Password Authentication Protocol (SPAP). Utgångstunnelns förhandlingsprocessen som används av PPTP är inte krypterad. Således paketets etablerade sessionen som inkluderar sändarens och mottagarens IP-adressen kan även innehålla användarnamnen och hashade passord, kan dock snappas upp av en tredje person.

Cisco har utveckat sitt eget VPN-protokollet nämligen Layer 2 Forwarding (L2F) vilket utgör en ömsesidigt autentiserings tunneling mekanism. L2F tillhandahåller inte krypteringsmöjligheter och ersatts därför av L2TP.

Layer 2 Tunneling Protocol (L2TP) är en kombination av PPTP och L2F. L2TP skapar en punkt till punkt tunnel mellan kommunikationens ändpunkter och har en inbyggt krypteringsmekanism (vanligtvis IPsec). L2TP stödjar även TACACS+ och RADIUS, det gör däremot inte PPTP.

Det mest använda VPN protokollet just nu är IPsec. IP security (IPsec) är båda ett stand-alone VPN protokoll och en säkerhetsmekanism för L2TP, och kan endast användas för IP trafiken.

IPsec används såväl för säker autentisering som kryptering av dataöverföring. Den opererar på skiktet 3 i OSI modellen och kan användas på transport mode eller tunnel mode. I transport mode är data i IP paketet krypterat men inte headern i paketet. I tunnel mode är hela paketet krypterat och en ny header läggs till för att kunna överföra paketet genom tunneln.

Network adress Translation (NAT)

NAT har vunnit mark på grund av att IP-adressen inte räcker till idag. När man utvecklade Internet hade man som tur är sparat några block av adresser för privat bruk. Dessa IP-adresser som kallas för privata IP-adresser är:

  • 10.0.0.0-10.255-255.255 (en hel klass A)

  • 172.16.2.2-172.31.255.255 (en del klass B)

  • 192.168.0.0-192.168.255.255 (255 klass C)

Alla routrar och andra enheter som dirigerar trafiken, per default  överför inte trafiken till eller från dessa adresser. Således dessa adresser kan inte användas för Internettrafik, men kan dock användas för privata nätverk där ska man antingen inte använder routrar eller modifiera dem. Användning av privata IP-adresser tillsammans med NAT är en bra lösning där man inte behöver köpa flera publika IP-adresser.

Statefull NAT

NAT arbetar genom att upprätthålla en mappning mellan de av internaklienter ställda frågorna, dvs. klienterna interna IP-adresser och IP-adresser av den kontaktade Internettjänsten. När det efterfrågade paketet emottas av NAT från en klient, ändrar det källadressen i paketet från klientens till NAT servrerns. Denna ändring registreras i NAT-mappningsdatabasen tillsammans med destinationsadressen. När ett svar tas emot från Internetservern,  matchar NAT källadressen till en adress som är lagrad i dess mappnings databasen och sedan använder den länkade klientens adress för att dirigera om det svarspaketet till dess antagna destination. Denna processen kallas för Statefull NAT eftersom den upprätthåller information om kommunikationens sessionen mellan klienten och externa system.

NAT kan arbeta i ett-till-ett-basis med endast en enda intern klient som kommunicerar över en av leasade publika adresser vid varje gång. Denna typ av konfiguration kan resultera i sk botleneck (flaskhals) om flera klienter försöker koppla sig mot Internet när de publika adresser inte räcker till. Andra former av NAT använder multiplexings tekniker som innebär att portnummren används för att tillåta trafiken från multipla interna klienter som hanteras som en enda leasade publika IP-adress.

Switching Tekniker

När två system (två datorer eller två LAN) är anslutna över flera förmedlande nätverk, blir överföring  av datapaket från ett nätverk till ett annat en komplicerad uppgift. För att förenkla denna uppgift har man utvecklat switching teknologi (den första tekniken var circuit switching).

Circuit Switching

Circuit switching utvecklades från början för att hantera telefonsamtal över publika switchade nätverk. I Circuit switching, en dedikerade fysisk väg skapas mellan de två kommunicerade partner. En gång ett samtal är etablerat, förblir länken mellan de två parterna detsamma under hela kommunikationen. Under konversationen används samma fysiska eller elektriska väg genom hela kommunikationen och endast denna kommunikation.

Paket Switching

På grund av stor efterfråga har en ny form av switching utvecklats: Paket Switching. Paket Switching inträffar när ett kommunikationsmeddelande delas upp i små segment (paket) och skickas via nätverket till destinationsadress. Varje segment av data har sin egen header som innehåller käll- och destinationsinformation. Headern läses av varje enhet den passerar. Enheten väljer väg och skickar paketet vidare, .

Virtual Circuit

I paket switching system finns det två typer av kommunikationsvägar eller virtual circuit. En virtual circuit är en ligiskväg eller circuit som skapas över paket-switched nätverk mellan två specifika ändpunkter. Det finns två typer av circuit: permanent virtual circuit (PVCs) och switched virtual circuit (SVCs). En PVC liknar en dedikerad leasad linje, den logiska circuit finns alltid och väntar för att skicka data. En SVC är mer lik en uppringningsanslutning eftersom en virtual cirduit måste skapas först innan den kan användas och sedan monteras ned efter att överföringen är klar. Oavsett typ av virtual circuit, när ett datapaket når punkt A av en virtuell anslutning, skickas detta paket direkt till punkt B eller den andra ändan av virtual circuit. Paketets vägar kan skilja sig från ett paket till ett annat, dvs. att mellan punkt A och punkt B kan det förekomma flera vägar  .

WAN teknologier

WAN-länkar och långdistansanslutningstekniker kan delas i två primära kategorier: dedikerade och icke-dedikerade linjer. Dedikerad linje är den linjen som är reserverade för en specifik konsument (kund). Den är alltid öppen och väntar på att överföra trafiken. I en icke-dedikerade linje skall man först begära anslutning innan man kan börja överföra data. I en icke-dedikerade linje kan man anslutas till alla fjärrsystem som har samma typ av en icke-dedikerade linje.

Ex. på dedikerade linjer som även kallas leasade linjer eller punk-till-punkt-länkar:

Teknologi och  anslutningstyp                           hastigheten

Digital Signal Level 0 (DS0)  Partial T1                64 Kbps –1544 Mbps
Digital Signal Level 1 (DS1)   T1                       1544 Mbps
Digital Signal Level 3 (DS3)   T3 M                     44.736 Mbps
Europian digital transmission format1  E1               2108 Mbps

Europian digital transmission format3  E3               34 368 Mbps
Cable modem or cable routers                            1544Mbps
standard modem, DSL (ASDL, xDSL, CDSL, HDSL, SDSL,RASDSL, ISDL OCH VDSL) och ISDN är ex. På icke-dedikerade linjer.

WAN-anslutningstekniker

Det finns flera WAN anslutningsteknologier för organisationer som behöver kommunikationstjänster mellan flera lokaler och även externa parter. Dem varierar i båda kostnaden och hastighet, de är dock transparenta vid anslutning till LAN eller systemen. En WAN-switch, special router eller andra anslutningsenheter upprätthåller alla gränssnittet mellan nätverket som bär på tjänsten och organisationens LAN. Gränsanslutningsenheter kallas för channel sevice unit/data service unit (CSU/DSU). De omvandlar LAN-signaler till det format som används av WAN. CSU/DSU innehåller data terminal equipment/data circuit-terminating equipment (DTE/DCE) som upprätthåller den aktuella anslutningspunkten för LANet router (DTE) och WAN som bär på nätverks switch (DCE). DTE/DCE agerar som översättare, store-and-forward enhet och länk. En WAN switch är helt enkelt en special LAN-switch som har inbyggd CSU/DSU för speciella typer av bärande nätverken. Det finns olika typer av bärande nätverk eller WAN-anslutningsteknologier sådana som X.25, Frame Relay, ATM och SMDS:

X.25 WAN-anslutningar. X.25 är en paket-switching teknik som använder permanent virtuell circuit för att etablera specifik punkt till punkt anslutning mellan två system eller två nätverk.

Frame Relay anslutningar. Likt X.25, Frame Relay är en paket-switching teknik som också använder PVC. Olikt X.25, Frame Relay stödjer flera PVC över en singel WAN anslutning. Ett nyckelkoncept relaterat till Frame Relay är Committed Information Rate (CIR). CIR är den garanterade minimum bandbredden en tjänst kan tillgodose till kunden. I vanliga fall är det mindre än den aktuella max kapacitet som nätet erbjuder. Varje kund kan ha olika CIR. ISP kan tillåta att kunden överstiger dess CIR över kort intervall när det finns bandbredd tillgänglig. Frame Relay arbetar på skiktet 2 (data link layer) av OSI-modellen och är förbindelse orienterad paket switching teknik.

ATM Asynchronous transfer mode (ATM) är en cell-switching WAN-kommunikationsteknik. Det fragmenterar kommunikationen i fix 53 byte celler. Användning av bestämd längdceller är mycket effektivt och tillhandahåller hög hastighet. ATM använder antingen PVC eller SVC. ATM är förbindelseorienterad paket-switchingteknik.

SMDS Switched Multimegabit Data Service (SMDS) är en paket-switching-teknik. SMDS används för det mesta för att ansluta flera LAN för att forma en metropolitan area network (MAN) eller WAN. SMSD stödjer hög hastighet brusten trafik, är förbindelselös och stödjer bandbredden on demande. SMDS har ersatts av Frame Relay.

Vissa  WAN anslutningstekniker  kräver ytterligare specifika protokoll för att stödja olika typer av specifika system eller enheter. Tre av dessa protokoll är: SDLC, HDLC och HSSI:

SDLC Synchronous Data Link Control (SDLC) används för permanent fysiskanslutning av dedikerade leasade linjer för att erhålla anslutning till datasystem sådana som IBM:s System Network Architecture (SNA) systemen, SDLC använder polling och arbetar på OSI skiktet 2 (Data Link Layer).

HDLC High-Level Data Link Control (HDLC) är en förbättrad version av SDLC, specifikt utformat för seriell synkron förbindelse. HDLC stödjer ful-duplex kommunikation och stödjer båda punkt till punkt och multipunkt förbindelser. HDLC, likt SDLC använder polling och arbetar på OSI skiktet 1 (fysiska skiktet).

HSSI High Speed Serial Interface (HSSI) är en DTE/DCE gränssnittstandard som definierar hur multiplexorer och routrar ansluts till höghastighetsnätverk och bär på tjänster som ATM eller Frame Relay. En multiplexor är en enhet som transfererar flera kommunikationer eller signaler över en singel kabel eller virtuell circuit. HSSI definierar den elektriska och fysiska egenskapen av sitt gränssnitt eller sina anslutningspunkter och således arbetar på OSI skiktet 1 (fysiska skiktet).

Kapsyleringsprotokollen

PPP punkt till punkt protokollet är an kapsyleringsprotokoll utformat för att stödja överföring av IP-trafiken över uppringda PPP-länkar. PPP tillåter interoperabilitet av WAN enheter som stödjer seriella länkar. All uppringning och de flesta PPP förbindelse är seriella i sin natur. (till skillnad från parallella). PPP inkluderar kommunikationstjänster, innehållande  tilldelning och hantering av IP-adresser, hantering av synkron kommunikation, standardiserade kapsylering, multiplexering, länkkonfiguration, test av länkens kvalitet, felupptäckt och andra tillval som komprimering. PPP var utformade för att stödja CHAP och PAP för autentisering. Senaste version av PPP stödjer MS-CHAP, EAP och SPAP: PPP kan även stödja IPX (Internetwork Packet Exchange) och DECnet protokollen. PPP ersätter serial Line Internet Protocol (SLIP). SLIP erbjuder ingen autentisering, stödjer endast halv duplex kommunikation, har ingen feldetektering och kräver manuell länketablering.

Diverse säkerhetskontrollegenskaper

Vid val eller utveckling av säkerhetskontroller för nätverkskommunikationer, finns det flera egenskaper som skall evalueras i ljuset av omständigheter, förmåga och säkerhetspolicyn:

Transparency

Med Transparency menas en tjänst, säkerhetskontroll eller accessmekanism syns eller märks inte av användaren. Transparency är ofta önskat som ett säkerhetsskydd. Ju mer transparent en säkerhetsmekanism är desto mindre troligt en användare ska kunna kringgå den eller till och med vara medveten om dess existens. Med transparency har brist på direkt bevis.

Verifiering av tillförlitlighet

För att verifiera tillförlitlighet överfört data, kan man använda en checksumma s k hash total. En hash funktion verkställas på ett meddelande eller ett paket innan det överförs. Det erhållna hash total läggs på slutet av meddelandet. det kallas för system digest. När meddelandet är emottaget, hash funktionen exekveras av destinationssystemet och resultatet jämförs med det ursprungliga hash total. Om de två hash total stämmer överens (är lika), vet man då att meddelandet inte har ändrats eller korrumperats under överföring. Hash total likna sk cyclic redundancy checks (CRCs) i det motto att båda agerar som tillförlitlighetsverktyg. Hash funktioner används för att garantera kommunikationens tillförlitlighet vid säkra transaktionssystem.

Record sequence checking (CRCs) liknar hash total check; men istället för att verifiera datatillförlitlighet, verifierar det tillförlitlighet av paketet eller ordningsföljden av meddelandet. Många kommunikationstjänster tillämpar Record sequence checking för att verifiera att ingen del av meddelandet har förlorats och alla elementen av meddelandet är i rätt ordning.

Överföringsmekanismer

Överföringsloggning är en form av revision fokuserad på kommunikation. Överföringsloggning registrerar källan, destinationen, tidstämpeln, identifieringskoder, transaktionens status, mängden av paketen, meddelandets längden, etc. Informationen kan användas för att lösa uppkomna problem, spåra upp otillåtna kommunikationer. Kan även användas mot ett system som ett verktyg för att få fram data om hur det fungerar.

Transmission error correction dom är byggd i connection- eller session-oriented protocols and services har till uppgift  att kontrollera och fastställer om en del av eller hela meddelandet är korrumperat, ändrat eller förlorats, om så är fallet skickas begäran om omsändning av en del av eller hela meddelandet till källan. Omsändningskontrollmekanismen fastställer ifall en del av eller hela meddelandet skall sändas om i händelse av att transmission error correction system upptäcker problem med kommunikationen. Omsändningskontrollmekanismen kan även begära om flera kopior av hash total eller CRC värde ska skickas och om flera datavägar eller kommunikationskanaler ska användas.

Hantering av E-postsäkerhet

E-post är den mest använda Internettjänsten. E-posttjänsten använder sig av SMTP (Simple Mail Transfer Protocol) för att ta emot meddelanden från klienter, transportera  meddelanden till andra server och lagrar meddelanden i användarens serverbaserad inbox (låda). E-post infrastrukturen inkluderar, förutom E-post server, även E-post klienter. Klienterna återupprättar (återställer), och lagrar  e-post från deras server-baserade lådor genom användning av POP3 (Post Office Protocol version 3) eller IMAP (Internet Message Access Protocol). Klienterna kommunicerar med e-post serverar genom att använda SMTP. All Internet kompatibla e-postsystem är beroende av X.400 standard för adressering och hantering av meddelanden.

Sendmail är den mest använda SMTP server för UNIX systemen, Exchange är den vanligaste SMTP server för Microsoft systemen och Groupe Wise är den vanligaste SMTP server för Novell systemen. Alla har samma grundläggande funktionalitet och uppfyller Internet e-poststandarder. Om du utnyttjar en SMTP server är det nödvändigt att ordentligt konfigurera autentisering av ankommande och utgående post. SMTP är utformad för att vara ett system som vidarebefordrar e-post (mail relay system). Det betyder att den skickar post från avsändaren till den avsedda mottagaren. Man bör undvika att omvandla sitt SMTP till en open relay- känd som open relay agent eller relay agent (är en SMTP server som inte autentiserar sändaren innan den accepterar och skickar post vidare). Open relay är ofta ett primärt mål för spammare eftersom den tillåter spammare att skicka många e-post genom att utnyttja (piggbacking) en osäker e-postinfrastruktur.

Säkerhetsmål för e-post

E-postsystem är ett effektivt Internetverktyg vid leverans av meddelande men saknar dock kontrollmekanismer för konfidentiellitet, tillförlitlighet och även tillgänglighet. E-postsystemet är således inte säkert. Det finns dock många sätt att säkerställa e-postsystemet. De mål som ska säkerställas är:
  • icke-förnekande
  • restriktiv access till meddelanden för dess avsiktliga mottagaren
  • meddelandets tillförlitlighet
  • autentisering och verifiering av meddelandens källa
  • verifiering av sändare av meddelanden
  • klassning av känsligt innehåll och det bifogade meddelande
Som alltid när det gäller IT-säkerhet, e-postsäkerhet skall finnas i en av ledningen godkänd säkerhetspolicy. I säkerhetspolicyn skall dessa ingå:
  • policy för godtagbar användning av e-post

  • accesskontroll

  • personlig integritet (privacy)

  • e-posthantering

  • e-post backup

Policy för godtagbar användning definierar vilka aktiviteter som ska/inte ska tillåtas i organisationen. Tex. definition av mängden av privata e-post(sända och mottagna), restriktioner angående innehållen i e-post (skapande eller distribution av  aggressiva eller störande meddelanden; meddelanden som innehålla aggressiva kommentarer om hudfärg, kön, ålder, sexualläggning, pornografi, religiösa eller politiska övertygelse, nationell identitet eller handikapp).

Accesskontroll för e-post skall upprätthållas så att användaren har endast access till sin specifika inbox och e-post-databasarkiven. Regler om att inga andra ska ha tillgång till individens post.

Mekanismer och processer som används för att implementera och administrera e-post skall klargöras. Slutanvändare behöver inte veta i detalj hur e-post är hanterad/managerad, däremot behöver de veta ifall e-post betraktas/ej betraktas som privat kommunikation.

Att förstå e-post säkerhet

först steg i utformning av e-postsäkerhet är att klargöra sårbarheter som är specifika för e-post. Protokollen som används för att stödja e-post tillämpar inte kryptering. Således överförs alla meddelanden i regel i klar text. Detta gör det lätt att båda kunna uppsnappa och tjuvlyssna data.

E-post är den mest förekommen mekanism för leverans av virus, maskar, trojaner, dokument med destruktiv makro och andra illvilliga koder. Ökningen av stöd för skriptspråken, möjlighet att automatiskt nedladda och exekvera data/program har omvandlat hyperlänkar i e-post innehåll och bifogade data till allvarligt hot mot alla system.

Det är inte enkelt att verifiera källan till e-post. Att spoofa (uppträda under falsk identitet) källadressen till e-post är en enkel process för hackar. E-post headern kan modifieras, antingen i källan eller under överföringen. Det är även möjligt att leverera e-post direkt till användarens låda i e-post servern genom en direkt kontakt med e-post serverns SMTP porten. Det finns inte heller någon inbyggd kontroll för tillförlitlighet av meddelandet.

E-post kan i sig användas som en attackmekanism. När tillräckligt mängd meddelanden sänds till en användarens e-poslåda eller via en specifik STMP-server, kan det resultera till DOS-attack. Denna attack brukar kallas för e-postbombning (mailbombning) och är en enkel DOS attack som översvämmer ett system med ett stort antal meddelanden. DOS kan antingen vara resultat av lagringskapacitet eller resursförbrukning av processor. I vilket fall som helst, legitima meddelande kan inte levereras.

Liksom e-mail flooding och bifogade illvilliga koder, oönskade e-post betraktas som en attack. Att skicka oönskade, olämpliga eller irrelevanta meddelanden kallas för spamming. Spamming förbrukar systemresurser båda lokalt och över nätet. Svårt att stoppa spam eftersom meddelandets källan är oftast spoofad.

Säkerhetslösning för e-post

Att säkra e-post är möjligt. Det finns flera tillgängliga enkla protokoll, tjänster och lösningar. Dessa är: S/MIME, MOSS, PEM och PGP

S/MIME Security Multipurpose Internet Mail Extensions erbjuder autentisering och personlig integritet (privacy) genom säker attachements. Autentisering erhålls genom X.509 digital certifikat. Personlig integritet (privacy) erhålls genom användning av Publik Key Cryptography Standard (PKCS). Det finns två typer av S/MIME: signed message (signerat meddelande) och enveloped message (insvept meddelande). Signed message tillhandahåller tillförlitlighet och sändarens autenticitet. Enveloped message erbjuder tillförlitlighet, sändarens autenticitet och konfidentiellitet.

MOSS MIME Object Security Servicss kan erbjuda autenticitet, konfidentialitet, tillförlitlighet och icke-förnekande. MOSS tillämpar Message Digest 2 (MD2) och MD5 algoritmer, Rivert, Shamir och Adelman (RSA) publika nyckeln samt Data Encryption Standard (DES) som autentisering och krypteringstjänster.

PEM Privacy Enhanced Mail är en en e-post krypteringsmekanism som erbjuder autentisering, tillförlitlighet, konfidentiallitet och icke-förnekande. PEM anväder RSA, DES och X.509.

PGP Pretty Good Privacy är en publik-privat nyckelsystem som använder IDEA algoritmen för att kryptera filer och e-post-medelanden. PGP är inte standard, den är en oberoende utvecklad produkt.

Genom användning av dessa och andra säkerhetsmekanismer för e-post och kommunikationsöverföring, kan sårbarhet reduceras eller elimineras. Digital signatur eliminerar impersonation, kryptering reducerar tjuvlyssning, användning av e-post filter kan avra ett botemedel mot spamming och även mot mailbombning.

Säkerhet för röstkommunikation

Det är viktigt att implementera mekanismer för att erhålla autentisering och tillförlitlighet. Konfidentiellitet erhålles genom att tillämpa krypteringstjänster/protokoll för att skydda röstkommunikation under överföring.

Normal Privacy bransh exchange (PXB) eller plain old telephone service (POSTS) röstkommunikation är sårbara för uppsnappning, tjuvlyssning och tapping och andra hot. Botemedel för röstkommunikationstjänster är KRYPTERING.

Social engineering

Illvilliga kan exploatera röstkommunikation med hjälp av en teknik som är känd som social engineering. Med social engineering menas att en person kan vinna förtroende av någon i organisationen genom att luras tex. genom att ange sig för att vara en högre chef eller systemadministratör och behöver användarens lösenord för att åtgärda något fel, etc. social engineering utnyttjar människans karaktär/natur; att man litar på andra och att man är lat och vill eller orkar inte undersöka eller ifrågasätta . Överseende av avvikelse, vara avkopplad eller förvirrad, följa order, antagande att andra kan mer än vad de egentligen kan, vilja att hjälpa andra och rädsla för reprimander/tillrättavisning kan också leda till social engineerings attacker.

Enda sättet att skydda sig mot social engineering är:

  • var uppmärksam och försiktig om du misstänker att röstkommunikation är udda, irrelevant eller oväntad

  • fråga alltid om godkänd identifikation som är lätt att kontrollera

  • fråga om du kan ringa tillbaka

  • klassa information (användarnamn, lösenord, IP-adress, chefens namn, telefonnummer, etc) och klargör vilka information som kan diskutera eller konfirmeras vid röstkommunikation.

  • Ge aldrig ut eller byt lösenord som är baserad på röstkommunikation

  • skaffa undan eller förstör dokumenten och arbetsmaterial eller media som innehåller information om IT-infrastruktur eller IT-säkerhetsmekanismer.

Bedrägeri och missbruk

Annat röstkommunikationshot är PBX bedrägeri och missbruk. Många PBX system kan utnyttjas utav illvilliga för att undvika kostnaden och gömma sin identitet. Illvilliga attacker kända som Phreakers missbrukar telefonsystemen på samma sätt som hacker exploaterar datanätverken. Phreackers kan obehörigt komma åt access till personalen röstbrevlådor, redigerar om in- och utgående samtal. Motåtgärder mot PBX bedrägeri och missbruk liknar för det mesta de motåtgärder som tillämpas mot nätverken: logiska och tekniska kontroller, administrativa kontroller och fysiska kontroller. Några nyckelpunkter att ha i minnet vid utformning av PBX säkerhetslösning:

  • fjärraccess eller långdistans access ska ske med kreditkort eller kortsystem

  • begränsa uppringning endast till behöriga

  • för uppringningsmodemet använd icke-publicerade nummer, som har en annan prefix

  • blockera eller bortta alla accesskoder eller konton som inte är tilldelade

  • definiera en användarpolicy och utforma en utbildning om hur använda systemet

  • logga alla aktiviteter och granska loggen

  • byt all default konfigurationer, särskilt passorden

  • blockera fjärruppringning (ex. Tillåt att man ringer utifrån bara för att sedan ringa tillbaka)

    Phreaking

    Phreaking är en speciell typ av hacking eller cracking som är avsedd för telefonsystem. Phreakers använder olika typer av tekniker för att utnyttja telefonsystemet så att de kan ringa gratis, ändra funktioner på telefontjänster, stjäla specificerade tjänster och även för att förstöra. Några phreaker verktyg är fysiska enheter, andra är särskilda sätt att använda vanliga telefoner. Verkygen är kända som färgade lådor (black box, red box,etc.) några verktyg att ha i beaktande:

  • black box används för att manipulera spänning (line voltage) för att stjäla långdistans-tjänsten. De är ofta byggda circuit booards med ett batteri och tråd (kabel, wire) klämma.

  • Red box används för att simulera bandat toner av mynten.

  • Blue box används för att simulera 2600Hz toner för att växelverka direkt med telefonens nätverkssystem (t ex backbones). Det kan vara vissla, bandspelare eller digital ton generator

  • white box används för att kontrollera telefonsystemet. En White box är en DTMF eller Dual-tone multifrequency generator (ex knappsats på telefonen, eller tangentbord)

Säkerhetsproblemen för mobiltelefoner har ökat dramatiskt. Kapade sk. Electronic serial numbers ESNs (elektronisk serie nummer) och mobile identification numbers MINs (mobil identifieringsnummer) kan brännas och klonas i en ny mobiltelefon. Vid kloning, räkningen skickas till original ägaren. Vidare samtal och dataöverföring kan avlyssnas genom användning av radio frequency scanners. Dessutom kan Alla i omedelbar närhet avlyssna åtminstone ena sida av konversationen. Med andra ord ska man undvika att prata om konfidentiell information eller känsliga ämnen på publika platser.

Säkerhet i avgränsningar - Security Boundaries

En säkerhetsavgränsning är en skärningslinje (korsning) mellan två områden, subnät eller miljöer som har olika säkerhetskrav eller säkerhetsbehov. En säkerhetsavgränsning existerar mellan ett högsäkerhetsområde och ett lågsäkerhetsområde (t ex ett LAN och Internet). Det är viktigt att identifiera säkerhetsavgränsningar så att man kan implementera motåtgärder och mekanismer för att kontrollera informationsflödet.

Det finns olika former av säkerhetsområden. Ex objekt kan ha olika klassningar. Varje klassning definierar vilka funktioner som ska tillämpas av vilken subjekt på olika objekt. Distinktionen (skillnaden) mellan klassifikationer är en säkerhetsavgränsning.

Säkerhets avgränsning finns även mellan fysik och logisk miljö. För att erhålla logisksäkerhet, säkerhetsmekanismer som är olikt de som används för att skydda fysisksäkerhet måste tillämpas. Båda säkerhetsmekanismer måste införas för att nå en komplett säkerhetsstruktur och båda ska nämnas i säkerhetspolicyn. De är dock olika och skall analyseras som separat element för säkerhetslösning.

Säkerhetsavgränsningar, sådana som en perimeter mellan en skyddad och en oskyddad area skall alltid klart definieras. Det är viktigt att i säkerhetspolicyn understryka den punkten där kontrollen börjar och slutar samt identifiera denna punkt i båda de fysiska och logiska miljöer. Logiska säkerhetsavgränsningar är de punkterna där de elektroniska gränssnitten mot enheter eller anordningar för vilka organisationen är ansvarig. I de flesta fall är gränsen välmarkerad med varningsskyltar.

Säkerhetsperimetern i den fysiska miljön är ofta en spegling av den logiska miljön. Områden där organisationen är ansvarig för, skall fastställas i säkerhetspolicyn (fysisk säkerhet). Det kan vara murar för kontor eller byggnaden, eller stängsel/staket. I en säker miljö skall det finnas tydliga varningsskyltar.

Vid implementering av skydd, ska man ta i beaktande varje miljö och säkerhetsavgränsning separat, fastställa vilka säkerhetsmekanismer som är relevanta, kostnadseffektiva och tillhandahåller en effektiv lösning. Alla säkerhetsmekanismer måste vägas mot de värden av objekten som skall skyddas. Att tillämpa skyddsåtgärder som kostar mer än värdet av objektet som skal skyddas är oberättigat

Nätverksattacker och motåtgärder

Kommunikationssystemen är sårbara mot attacker. Att förstå hoten och de potentiella motåtgärder är en viktig aspekt för att säkra en miljö. Varje aktivitet eller möjlighet som kan orsaka skada på data, resurs eller personal måste riktas och mildras/illimineras . Kom ihåg att med skada menas även förstörelse, avslöjande, fördröjd access, förnekelse av access, bedrägeri, förstörelse av resurs och förlust. Vanliga hot mot kommunikationssystemens säkerhet inkluderar förnekande an tjänst, avlyssning, uppträdande under falsk identitet, återspegling och modifiering.

Avlyssning

Avlyssning innebär att tjuvlyssna på kommunikations trafik i syfte att duplicera den. Duplicering kan vara spela och lagra in data i en datamedia eller i ett program som dynamiskt försöker utvinna (extract) original innehållet från trafikflödet. När hackers har en kopia av trafiken innehållet, kan de utvinna många former av konfidentiell information som användarnamn, lösenord, processens procedurer, data, osv. Avlyssning kräver ofta fysisk tillgång till IT-infrastrukturen för att kunna ansluta en fysisk inspelningsenhet i en öppen port eller på en kabel eller att installera ett inspelningsprogram i systemet. Avlyssningen underlättas genom användning av ett nätverksövervaknings- eller datafångstprogram eller ett protokollanalyssystem (sniffer). Avlyssningsenheter- och program är ofta svårt att upptäcka eftersom de används som en passiv attack. När tjuvlyssning eller kabelavlyssning resulterar till ändring eller injektering av kommunikationer då betraktas attacken som aktiv attack.

Du kan bekämpa avlyssning genom att underhålla säkerhet i fysiskaccess för att förhindra personer från att komma åt din IT-infrastruktur. För att skydda kommunikationer utanför ditt nätverk eller mot interna attacker, användning av kryptering (IPsec eller SSH) och one-time authentication metods (ex. One-time pads eller token devices) på kommunikationstrafiken reducerar avsevärt effektivitet mot avlyssning.

Verktyg för evaluering, testning och undersökning av kommunikation som Sniffer kan användas för att hälsokontrollera nätverkskommunikationen, men det ska ske med försiktighet och överseende för att undvika missbruk.

Second-Tier Attacks

Uppträdande under falsk identitet, återspelning och modifieringsattacker kallas för Second-Tier Attacks. En Second-Tier Attack är ett angrepp som förtröstar sig på datafångst utifrån avlyssningstekniken eller andra datainsamlingstekniker. Med andra ord, det är en attack som startas endast efter att andra attacker är fullbordade.

Uppträdande under falsk identitet/Maskering

Med uppträdande under falsk identitet eller Maskering menas att utgöra sig att man är en annan eller något annat än man är till syfte att skaffa sig behörighet till systemet. Maskering är ofta möjligt genom att skaffa a användarnamn och passord eller session setup procedurer för nätverkstjänster.

Några lösningar för att undvika maskering inkluderar användning av one.time pads och token authentications systems, användning av kerberos samt användning av kryptering ökar svårigheter av eller förhindrar uppdnappning av autentiseringsidentitet (referenser) från nätverkstrafiken

Replay attacks

Replay attacks är en utlöpare (sidogren) av maskeringsattack och görs möjligt genom kapning av nätverkstrafik via avlyssning. Replay attacks försöker återetablera en kommunikationssession genom att återspela kapade trafik mot ett system. De kan undvikas genom användning av one-time authentication mekanisms och sequenced session identification.

Modifieringsattacker

Modifieringsattacker är en attack där kapade paket ändras för att sedan användas mot ett system. Modifierade paket är utformade för förbigå de restriktioner av autentiseringsmekanismer och session sequencing. Skydd mot modification replay attacks inkluderar användning av digital signatur verifikation och paket checksumma verifikation.

Address Resolution Protocol (ARP)

Address Resolution Protocol är ett subprotokoll till TCP/IP protokollet som verkar i nätverkslagret (lager 3). ARP används för att upptäcka MAC-adressen av ett systemets genom att anropa (polling)med hjälp av systemets IP-adress. ARP fungerar på det sätt att den skickar en paketförfråga med den efterfrågade IP-adress till alla enheter i nätet för att fastställa den enhet som har den IP-adressen. Systemet som har har denna IP-adress (eller system som redan har en ARP-mapping för den) svarar med dennes tiihörande MAC-adressen. IP till MAC mappning lagras i ARP-cachen och används för att dirigera paketen.

ARP-mappning kan attackeras genom spoofing. Spoofing förser systemet med en falsk MAC-adress för att dirigera trafiken till en alternativ destination. ARP-attacker är ofta ett element i man-in-the-middle attacks. Sådana attacker gör att ett inkräktarens system spoofar sin MAC-adress mot destinationens IP-adressen i källans ARP-cachen. Alla mottagna paket kontrolleras skickas sedan till avsett destinationssystem. Motåtgärder mot ARP-attacken är att ha en statisk ARP-mapping för kritiska system, övervaka ARP cachen för MAC till IP-adress mappning eller att använda ett IDS för att upptäcka anomalier (avvikelser, missförhållanden) i systemtrafiken och ändringar i ARP-trafiken.

DNS Spoofing

En attack som är relaterad till ARP är känd som DNS spoofing. DNS spoofing inträffar när att någon ändrar mappning av domännamnet till IP-adresen i ett DNS system för att omdirigera trafiken till ett annat system eller för att införa en DOS-attack. Skydd mot DNS-spoofing inkluderar: att endast behöriga har rätt till ändringar i DNS och att logga alla privilegierade DNS aktiviteter.

Hyperlink Spoofing

Hyperlink Spoofing liknar DNS spoofing på det sättet att det används för att omdirigera trafiken till ett annat system eller bedragaresystem eller för att leda bort trafiken någon annan stans än den avsedda destinationen. Hyperlink spoofing kan ha en form av DNS spoofing eller kan helt enkelt vara ett alternativ till hyperlänkar i HTML-koden av dokumenten som sänds till klienter. Hyperlink spoofing är ofta framgångsrika eftersom de flest användare inte verifierar (kontrollerar) domännamnet i URLet via DNS, man utgår från att hyperlänken är giltig och klickar vidare .

Skydd mot hyperlänk spoofing inkluderar samma skydd mot DNS spoofing och försiktig användning av Internet.

Att upprätthålla kontroll över kommunikationsväger är viktigt, för att stödja konfidentiellitet, tillförlitlighet och tillgänglighet för nätverks-, röst- och andra former av kommunikation. Attacker fokuserar på uppsnappning, blockering eller inskränkning av dataöverföring. Det finns dock skydd och motåtgärder för att reducera eller eliminera många av dessa hot.

Tunneling är ett medel i vilket ett meddelande i ett protokoll kan överföras över andra nätverk eller kommunikationssystem genom användning av andra protokoll. Tunneling eller kapsylering kan kombineras med kryptering för att tillhandahålla säkerhet för de överförda meddelanden. VPN är baserad på krypterad tunneling.

NAT används för att dölja den interna privata nätverkets strukturen liksom möjliggöra flera interna klienter för Internetaccess genom ett fåtal publika IP-adresser. NATs egenskaper liknar enheter som brandväggar, routrar, gateways och proxies.

I circuit switching en dedikerad fysisk väg skapas mellan två kommunicerande parter. Paket switching inträffar när meddelandet eller kommunikationen delas i små segmenten (normalt fix längd, beroende på protokollen och tekniken som används) och skickas tvärsöver nätverken till destinationen. I paket switching system finns det två typer av kommunikationsvägar eller virtual circuit. En virtual circuit är en logisk väg eller circuit skapad över ett paket-switched nätverk. Mellan två specifika slutpunkter. Det finns två typer av virtual circuit: permanent virtual circuit (PVCs) och switched virtual circuit (SVC).

WAN-länkar eller långdistanskommunikations tekniker kan delas i två primära teknologier dedikerad och icke dedikerad linjer. En dedikerad linje förbinder två specifika ändpunkter och endast dessa ändpunkter. En icke dedikerad linje är en som kräver anslutning innan data kan överföras. En icke dedikerad linje kan användas för att anslutas till ett fjärrsystem som använder samma typ av icke dedikerad linje. WAN anslutningstekniker inkluderar X.25, Frame Relay, ATM, SMDS, SDLC, HDLC och HSSI.

Vid val eller tillämpning av säkerhetskontroller för nätverkskommunikationer, finns det flera egenheter (kännetecknen) som skall utvärderas i ljuset av organisationens omständigheter, förutsättnigar och säkerhetspolicyn. Säkerhetskontroller bör vara transparanta för användare. Hash verktyg och CRC checks kan användas för att verifiera meddelandets tillförlitlighet. Record sequences används för att säkra överföringssekvensens tillförlitlighet. Överföringsloggning hjälper till att upptäcka missbruk av kommunikation.

e-postsystemet är osäkert, det finns dock möjlighet att säkra det. För att säkra e-post ska man tillhandahålla icke-förnekande aspekten, begränsa accessen till behöriga användare,upprätthålla tillförlitlighet, autentisera meddelandets källa, verifiera avsändaren och även klassificera känsligt innehåll. Dessa frågor skall innan de tillämpas, finnas med i säkerhetspolicyn.

E-post är en vanlig förekommande leveransmekanism för illvilliga koder. Filtrering av attachements, användning av virusprogram och utbildning av användare är ett effektivt motmedel mot denna typ av attack. E-post spamming eller flooding är en form av DOS attack som kan förhindras med hjälp av filtrar och IDS. E-postsäkerhet kan förbättras genom användning av S/MIME, MOSS, PEM och PGP.

Använd kryptering för att skydda överföring av dokumenten och förhindra avlyssning förbättra FAX- och röstsäkerhet. Utbildning av användare är effektivt och nyttigt skydd mot social engineerings attacker.

En säkerhetsavgränsning kan vara uppdelning mellan två säkra områden eller uppdelning mellan ett säkert och ett osäkert område. Både måste yttras i säkerhetspolicyn.

Kommunikationssystemen är sårbara för många attacker: DOS attack, tjuvlyssning, (spoofing) uppträdande under falskt identitet, återspelning, modifiering och ARP-attacker. Effektiva motåtgärder finns för alla dessa hot. Bedrägeri och missbruk och telefon Phreaking är problem som också måste beaktas.