Внес во системот

Центар за податоци и Cloud

Децентрализацијата на еден систем, како мерка за негова физичка заштита, е дефинирана како клучен услов за да се овозможи неговата безбедност. Се препорачува податоците да не се чуваат на истата машина од која се испраќаат во мрежата или на која се обработуваат. Постојат неколку начини за чување големи количини податоци. Наједноставниот начин е да ги чувате на надворешен хард диск. Надворешните хард дискови со релативно добри перформанси се лесно достапни, но овој вид на компјутерски хардвер нема вграден механизам за правење дупла копија. Ова значи дека, во случај на дефект, повеќето од податоците на тој диск ќе бидат засекогаш уништени. Од друга страна, надворешните дискови немаат директен пристап до интернет и се активни само кога се поврзани на компјутер, па за нив може да се каже дека се релативно безбедни. Чувањето податоци на надворешни хард дискови значи дека податоците остануваат во објектот каде што се наоѓа централата или генералната дирекција на организацијата.

Од перспектива на можен ризик од загуба на податоци, изнајмувањето простор за чување податоци на сервер што е во облак е многу подобар начин за чување на важните податоци. Клауд компјутинг е интернет-технологија која овозможува користење ресурси од далечина (тука се мисли на проток на податоци, простор за складирање и чување, работна меморија итн.) и нивна размена помеѓу повеќе апликации и корисници. Облакот може да биде приватен, јавен или од хибриден вид. Клауд (облак) услугите користат RAID технологија (Redundant Array of Independent Disks), која е базирана врз моделот на компаративна употреба на повеќе дискови за чување податоци, каде што секој податок се наоѓа на најмалку две локации, со што значително се намалува ризикот во случај на дефект. Некои од решенијата за чување податоци во облак сеGoogle Drive,Dropbox,OneDrive,SpiderOak,Tresorit, итн. Меѓутоа, ако станува збор за чувствителни податоци, не се препорачува складирање на податоците на туѓи уреди, и покрај фактот што сите ’облак‘ услуги подразбираат енкриптирање на податоците.

Трет начин за чување податоци е да формирате ваш сопствен мини центар за податоци во којшто ќе се складираат сите податоци кои ѝ се важни на организацијата. Опремата за оваа намена ќе зависи од потребите. Постојат голем број готови решенија кои се поевтини и кои можат трајно да го решат ова прашање. Во таа смисла, податоците ќе останат во физичките простории на организацијата, а примената на технологијата RAID ќе го намали ризикот од нивна загуба и кражба. Едно од готовите решенија за центар за податоци е Drobo.

Сервер Апликации Клауд

Интерна мрежа

Ако земеме еден систем (фирма, редакција на некој медиум), сите компјутери, печатачи, уреди за чување податоци (сервери за складирање или мини центри за податоци), сервери за електронска пошта, рутери и други компоненти во него се поврзани на интерната, локална мрежа, и тоа физички (со кабел) или безжично (wi-fi). Овие мрежи обично се базираат на таканаречената ’клиент-сервер‘ архитектура. Клиент или корисник е компјутер или друга хардверска компонента која се користи секојдневно, додека серверот е посебен компјутер што им овозможува на клиентите да ги користат ресурсите кои се чуваат на него. Тоа може да бидат апликации, веб-страници, датотеки, е-пошта, бази на податоци итн. Постојат различни видови сервери: веб-сервер, сервер за датотеки, сервер за електронска пошта, сервер за бази на податоци итн. Поради високата концентрација на чувствителни податоци во ваквиот вид мрежа, за него се применуваат посебни мерки за заштита.

Безжичната мрежа може да има различен физички опсег во зависност од јачината на сигналот што се пренесува. Во затворен простор, овој опсег е во просек околу дваесет метри во радиус околу рутерот, што значи дека оваа мрежа најчесто е достапна и надвор од просторијата. Рутерите што емитуваат безжичен сигнал имаат неколку слоеви на заштита, чие конфигурирање е задача на администраторот, како и нагодувањето соодветни мерки за заштита.

Ова се најчестите мерки кои се користат за заштита за безжичните мрежи:

Режим за безбедност на бежичната мрежа (Wireless security mode): Се препорачува да се користи заштита со WPA2 (Wifi Protected Access 2), која има две можни примени. PSK (Pre-Shared-Key) се нагодува лесно така што се поставува лозинка [PASWWORD], додека Enterprise бара малку покомплицирано поставување и дополнителен RADIUS сервер (Remote Authentication Dial In User Server). Во повеќето случаи, методот со PSK е доволно добар како заштитен механизам за мали и за средни организации, доколку лозинката ги исполнува стандардите. Голем број рутери [ROUTERS] поддржуваат и WPS (Wi-Fi Protected Setup). Тоа е систем којшто ви овозможува да се најавите на безжична мрежа со притискање на копче на рутерот, без да внесувате лозинка. Овој систем има сериозни безбедносни пропусти, па затоа се препорачува да се исклучи на самиот рутер;
Филтрирање според MAC-адреса (MAC filtering):MAC-адресата е физичка адреса на уредот со која тој се поврзува на мрежата. Рутерот може да се нагоди така да им дозволува пристап само на адреси кои се наоѓаат на неговата листа. Овој метод нема да ги спречи напаѓачите кои имаат напредно знаење – тие можат да ја откријат листата со MAC адреси од самиот рутер и да преземат (download) некои од тие адреси за да ги користат за својот уред;
Сокривање SSID (идентификатор на сет на услуги) (Hiding SSID (service set identifier): SSID е името на безжичната мрежа кое е јавно видливо. Слично на филтрирањето според MAC-адреса, криењето на SSID нема да ги спречи напредните хакери, но ќе спречи некои напаѓачи кои се помалку способни да „чепкаат“ во туѓа мрежа;
Користење повеќе безжични мрежи е метод којшто се препорачува тогаш кога има најмалку две категории на луѓе за кои е наменета мрежата – на пример вработени лица и гости. Со оглед на карактеристиките на безжичните мрежи, единствениот начин физички да се одвои мрежата што ја користат вработените од мрежата на која се поврзани другите посетители е да се користат одвоени рутери, од кои секој ќе има свој кабел со којшто директно се поврзува на интернет.

Сервер Лозинка Апликации

Резервна копија (backup) на податоци

Правењето резервна копија на податоците нема влијание врз нивото на безбедност на самиот систем, но таа има клучно значење тогаш кога има потреба да се вратат изгубените податоци, а што се случува по определена безбедносна криза. Врз основа на резервната копија, можно е понекогаш и да се утврди причината за падот на системот така што се прави реконструкција на безбедносни пропусти или на грешките во системот. Се препорачува да се користи резервен систем којшто има отворен код, како на пример

UrBackup

. Кога се одлучува каков систем за правење резервна копија ќе се користи, треба да се води сметка тој да овозможува брзо и прецизно враќање на податоците и тоа да биде на оптимален начин, односно да не ги преоптоварува ниту серверот, ниту ресурсите на кои се чуваат податоците.

Резервна копија на податоци Враќање на системот

Работа од далечина

Пристапот до апликациите и податоците што се физички лоцирани на системот (во некоја организација, некој медиум и слично) е возможен, доколку се имаат соодветните дозволи, од кој било уред во светот. На овој начин значително се олеснува работата, се скратува времето кое е потребно за обработка на податоците и се овозможува учество во работата на терен.

Од безбедносна гледна точка, работата од далечина има сериозни недостатоци. Воспоставувањето линк помеѓу мрежата или серверот кои се дел од системот и надворешниот компјутер отвора можност занапади кои се нарекуваат MitM (Man in the Middle). MitM [MitM] е вид технички напад во којшто клиентот и серверот не се нужно изложени на ризик, но напаѓачот користи недостатоци во самиот линк за да може да пристапи до нивната меѓусебна комуникација и да украде податоци.

Безбеден начин за работа од далечина е да се поврзете преку VPN (Виртуелна приватна мрежа). Тоа е услуга која прави посебен тунел помеѓу два уреди што се наоѓаат на јавна мрежа и којшто е специјално енкриптиран за да се обезбеди заштита. Од неколкуте видови виртуелни приватни мрежи, најбезбедно е да се користи таканаречениот TSL (Transport Layer Security Protocol). Еден од најдобрите софтвери за имплементација на VPN на ниво на организација еOpenVPN.

Освен тоа,непрофитните организации може да користат G Suite, односно пакетот за продуктивност на Google, којшто вклучува неколку популарни алатки и производи како што се Gmail, Google Drive, Google Calendar итн. Сепак, треба да се напомене дека деловниот модел на Google се заснова врз профилирање на корисниците и анализа на личните податоци што ги собира од оние кои ги користат неговите услуги.

IP адреса Дигитална хигиена Енкрипција

Сервер за електронска пошта

Е-поштата се смета за чувствителен вид податоци во секоја организација. Од безбедносни причини, секоја организација треба да има посебен сервер што ќе се користи само за е-пошта. На овој начин се овозможува заштитува од напади и од други злонамерни активности.

Покрај содржината на е-поштата, уште едни податоци кои се важни а се дел од секојдневната комуникација се таканаречените метаподатоци – тоа се информации кои се генерираат и се разменуваат од софтвер и од уреди што се користат за испраќање и за примање пораки. Ако ги прашате напаѓачите, за нив метаподатоците најчесто се многу поважни од содржината на самиот текст во електронската пошта, бидејќи содржат точни информации за дигиталниот контекст на комуникацијата. Метаподатоците се чуваат на серверот за електронска пошта, така што нивната заштита е специфична. Главен чекор тука е да се блокираат сите протоколи (на пример, FTP или HTTP) кои на серверот не му се потребни за да ја извршува својата примарна функција, односно примањето и испраќањето електронски пораки. Посебен сервер исто така може и да се изнајми во рамките на хостинг пакет или други услуги, или, пак, организацијата може да купи сервер што има специјален софтвер. Пример за таков софтвер еiRedMail.

Освен тоа,

непрофитните организации може да користат G Suite

, односно пакетот за продуктивност на Google којшто вклучува неколку популарни алатки и производи како што се Gmail, Google Drive, Google Calendar итн. Сепак, треба да се напомене дека деловниот модел на Google се заснова врз профилирање на корисниците и анализа на личните податоци што ги собира од оние кои ги користат неговите услуги.

Сервер Протекување на податоци Клауд

Општи препораки за заштита на инфраструктурата

Ова се некои општи препораки за заштита на инфраструктурата:

Рутерите може да се нагодат така што ќе го одбиваат автоматското собирање информации за системот преку т.н. метод на отпечатоци (footprinting method). Овој метод подразбира правење скица на мрежата врз основа на отпечатоците што се генерираат со испраќање дигитални сигнали. Треба, исто така, да се посочи дека рутирањето на податоците се одвива според различни протоколи, бидејќи тие можат да бидат главен извор на информации за напаѓачите. Мапирањето на правците преку кои се пренесуваат податоците (tracerouting), откривањето на уредите кои се активни на мрежата (ping) и слични методи можат да му ја откријат на напаѓачот целата инфраструктура, односно тој да го знае бројот и видот на рутерите, компјутерите и начинот како се поврзани. Добрата пракса налага ICMP-барањата (ICMP requests) да бидат овозможени како опции на веб-серверот, а конфигурацијата на другите сервери и на интерната мрежа да биде поставена така што овие барања да се одбиваат;
Треба да се оневозможат протоколите на серверот кои не се неопходни. На пример, на серверот за електронска пошта може да се блокира буквално сè, освен протоколите што се користат за е-пошта (IMAP, POP, итн.), додека структурата на веб-серверите може да се нагоди така што пристапот е овозможен само до ресурси што се јавно достапни. Исто така, треба да се оневозможи и пристапот до други фолдери и датотеки, како и до администраторскиот дел на порталот, за да се избегне неовластен пристап и протекување податоци;
Затворете ги непотребните порти (ports) што ниту една апликација на серверот не ги користи, така што ќе направите соодветно нагодување на мрежните бариери (заштитен ѕид или firewall).
Се користат системи за откривање упад (intrusion detection) со кои се прави идентификација и отфрлање на сомнителниот сообраќај, а исто така се евидентираат и сите обиди за оставање отпечаток (footprinting);
Со користење сервиси кои овозможуваат анонимна регистрација, може да се сокријат информациите за тоа кој го регистрирал доменот. Притоа, треба да се има предвид дека угледот на една организација која има кредибилитет се гради токму преку транспарентност, и затоа оваа техника не се препорачува да се користи во секоја ситуација.

Сервер Протекување на податоци Хостинг Клауд