Σε ένα σύστημα (π.χ. σε μία εταιρεία) όλοι οι υπολογιστές, οι εκτυπωτές, οι συσκευές αποθήκευσης (διακομιστές αποθήκευσης ή μίνι κέντρα δεδομένων ), οι διακομιστές αλληλογραφίας, οι δρομολογητές και άλλα στοιχεία είναι συνδεδεμένα στο εσωτερικό, τοπικό δίκτυο, φυσικά (με καλώδιο) ή ασύρματα (wi-fi). Αυτά τα δίκτυα βασίζονται συνήθως στη λεγόμενη αρχιτεκτονική πελάτη-διακομιστή. Ένας πελάτης ή χρήστης είναι ένας υπολογιστής ή άλλο στοιχείο υλικού σε καθημερινή χρήση, ενώ ένας διακομιστής είναι ένας ειδικός υπολογιστής που επιτρέπει στους πελάτες να χρησιμοποιούν τους πόρους που είναι αποθηκευμένοι σε αυτόν. Αυτοί μπορεί να είναι εφαρμογές, ιστοσελίδες, αρχεία, μηνύματα ηλεκτρονικού ταχυδρομείου, βάσεις δεδομένων κ.λπ. Υπάρχουν διάφοροι τύποι διακομιστών: διακομιστής ιστού, διακομιστής αρχείων, διακομιστής αλληλογραφίας, διακομιστής βάσεων δεδομένων κ.λπ. Λόγω της μεγάλης συγκέντρωσης ευαίσθητων δεδομένων σε αυτό το δίκτυο, εφαρμόζονται ειδικά μέτρα προστασίας σε αυτό.

Ένα ασύρματο δίκτυο μπορεί να έχει διαφορετικές φυσικές ζώνες ανάλογα με την ισχύ του μεταδιδόμενου σήματος. Σε εσωτερικούς χώρους, η εμβέλεια αυτή είναι κατά μέσο όρο περίπου είκοσι μέτρα γύρω από το δρομολογητή, πράγμα που συχνά σημαίνει ότι το δίκτυο αυτό είναι διαθέσιμο και εκτός του δωματίου. Οι δρομολογητές που εκπέμπουν ασύρματο σήμα διαθέτουν διάφορα επίπεδα προστασίας, η διαμόρφωση των οποίων αποτελεί καθήκον του διαχειριστή, συμπεριλαμβανομένης της ρύθμισης κατάλληλων μέτρων προστασίας.

Παρακάτω είναι τα πιο συνηθισμένα μέτρα προστασίας για ασύρματα δίκτυα:

• Λειτουργία ασφάλειας ασύρματων δικτύων: Συνιστάται η χρήση WPA2 (Wi-Fi Protected Access 2), η οποία έχει δύο πιθανές εφαρμογές: το PSK (Pre-Shared-Key) ρυθμίζεται εύκολα, με τον καθορισμό ενός κωδικού πρόσβασης, ενώ το Enterprise απαιτεί μια ελαφρώς πιο περίπλοκη ρύθμιση και έναν πρόσθετο διακομιστή RADIUS (Remote Authentication Dial In User Server). Στις περισσότερες περιπτώσεις, η μέθοδος PSK είναι αρκετά καλή ως μηχανισμός προστασίας για μικρούς και μεσαίους οργανισμούς, εάν ο κωδικός πρόσβασης πληροί τις προδιαγραφές. Πολλοί δρομολογητές υποστηρίζουν επίσης το WPS (Wi-Fi Protected Setup), ένα σύστημα που σας επιτρέπει να συνδεθείτε σε ένα ασύρματο δίκτυο χρησιμοποιώντας ένα κουμπί στο δρομολογητή, χωρίς την εισαγωγή κωδικού πρόσβασης. Αυτό το σύστημα έχει σοβαρά κενά ασφαλείας, γι' αυτό συνιστάται να απενεργοποιείται στο δρομολογητή.

• Φιλτράρισμα MAC: Η διεύθυνση MAC είναι η φυσική διεύθυνση της συσκευής που συνδέεται στο δίκτυο. Ο δρομολογητής μπορεί να ρυθμιστεί ώστε να επιτρέπει την πρόσβαση μόνο σε διευθύνσεις που βρίσκονται στη λίστα του. Αυτή η μέθοδος δεν θα σταματήσει τους εξελιγμένους επιτιθέμενους, οι οποίοι μπορούν να εντοπίσουν τη λίστα διευθύνσεων MAC από το δρομολογητή και να κατεβάσουν ορισμένες από τις σχετικές διευθύνσεις για τη συσκευή τους

• Απόκρυψη του SSID (service set identifier): SSID είναι το όνομα ενός δικτύου που είναι συνήθως δημόσιο. Παρόμοια με το φίλτρο MAC, η απόκρυψη του SSID δεν θα σταματήσει τους προηγμένους εγκληματίες, αλλά θα αποτρέψει κάποιους λιγότερο ικανούς επιτιθέμενους από το να εισβάλλουν στο δίκτυο κάποιου άλλου.

• Η χρήση πολλαπλών ασύρματων δικτύων συνιστάται όταν υπάρχουν τουλάχιστον δύο κατηγορίες ατόμων για τα οποία προορίζεται το δίκτυο, για παράδειγμα εργαζόμενοι και επισκέπτες. Δεδομένων των χαρακτηριστικών των ασύρματων δικτύων, ο μόνος τρόπος να διαχωριστεί φυσικά το δίκτυο που χρησιμοποιείται από τους υπαλλήλους από το δίκτυο στο οποίο συνδέονται οι υπόλοιποι επισκέπτες είναι να διατηρήσετε ξεχωριστούς δρομολογητές, όπου ο καθένας θα έχει το δικό του καλώδιο που θα συνδέεται απευθείας στο διαδίκτυο.

Διακομιστής Κωδικός πρόσβασης Εφαρμογές

Η δημιουργία αντιγράφων ασφαλείας δεν επηρεάζει το επίπεδο ασφάλειας του ίδιου του συστήματος, αλλά είναι ζωτικής σημασίας όταν, μετά από μια κρίση ασφαλείας, υπάρχει ανάγκη ανάκτησης των χαμένων δεδομένων. Ορισμένες φορές, με βάση ένα αντίγραφο ασφαλείας, είναι δυνατόν να προσδιοριστεί η αιτία της κατάρρευσης του συστήματος με την ανακατασκευή κενών ασφαλείας ή σφαλμάτων στο σύστημα. Συνιστάται η χρήση ενός συστήματος δημιουργίας αντιγράφων ασφαλείας ανοικτού κώδικα, όπως το

UrBackup

. Κατά την επιλογή, θα πρέπει να ληφθεί μέριμνα ώστε το σύστημα αντιγράφων ασφαλείας να παρέχει τη δυνατότητα γρήγορης και ακριβούς επαναφοράς δεδομένων και να είναι βέλτιστο, δηλαδή να μην υπερφορτώνει τους πόρους του διακομιστή ή της αποθήκευσης.

Αντίγραφο ασφάλειας δεδομένων Επαναφορά συστήματος

Η πρόσβαση στις εφαρμογές και τα δεδομένα που βρίσκονται φυσικά στο σύστημα ενός οργανισμού είναι δυνατή, με τις κατάλληλες εξουσιοδοτήσεις, από οποιονδήποτε υπολογιστή στον κόσμο. Με τον τρόπο αυτό διευκολύνεται σημαντικά η εργασία, μειώνεται ο χρόνος που απαιτείται για την επεξεργασία των δεδομένων και δίνεται η δυνατότητα συμμετοχής στη διαδικασία εργασίας στο πεδίο.

Από άποψη ασφάλειας, η τηλεργασία έχει σοβαρά μειονεκτήματα. Η δημιουργία σύνδεσης μεταξύ του δικτύου ή του διακομιστή του συστήματος και του εξωτερικού υπολογιστή ανοίγει τη δυνατότητα για επιθέσεις μέσω ανεπιθύμητης παρεμβολής στην επικοινωνία, γνωστές ως επιθέσεις Man in the Middle (MitM attacks) . Οι επιθέσεις MitM είναι ένας τύπος τεχνικής επίθεσης κατά την οποία ο πελάτης και ο διακομιστής δεν κινδυνεύουν απαραίτητα, αλλά ο επιτιθέμενος χρησιμοποιεί ατέλειες της σύνδεσης για να αποκτήσει πρόσβαση στην επικοινωνία τους και να διαπράξει κλοπή δεδομένων.

Ένας ασφαλής τρόπος για να εργάζεστε εξ αποστάσεως είναι η σύνδεση μέσω VPN (Virtual Private Network). Πρόκειται για μια υπηρεσία δημιουργίας ενός ξεχωριστού καναλιού επικοινωνίας μεταξύ δύο υπολογιστών στο δημόσιο δίκτυο, το οποίο κρυπτογραφείται για προστασία. Από τους διάφορους τύπους εικονικών ιδιωτικών δικτύων, ο ασφαλέστερος είναι η χρήση του λεγόμενου TSL (Transport Layer Security Protocol). Ένα από τα καλύτερα λογισμικά υλοποίησης VPN σε επίπεδο οργανισμού είναι το OpenVPN.

Εναλλακτικά, οι μη κερδοσκοπικοί οργανισμοί μπορούν να επιλέξουν να χρησιμοποιήσουν το

Google Workspace

, δηλαδή το πακέτο παραγωγικότητας της Google, το οποίο περιλαμβάνει διάφορα δημοφιλή εργαλεία και προϊόντα (Gmail, Google Drive, Google Calendar κ.λπ.). Ωστόσο, πρέπει να σημειωθεί ότι το επιχειρηματικό μοντέλο της Google βασίζεται στην καταγραφή προφίλ χρηστών και στην ανάλυση των προσωπικών δεδομένων που συλλέγονται από τους χρήστες της.

Διεύθυνση IP Ψηφιακή υγιεινή Κρυπτογράφηση

Τα μηνύματα ηλεκτρονικού ταχυδρομείου θεωρούνται ευαίσθητα δεδομένα σε κάθε οργανισμό. Για λόγους ασφαλείας, κάθε οργανισμός θα πρέπει να διαθέτει έναν αποκλειστικό διακομιστή ηλεκτρονικού ταχυδρομείου. Με αυτόν τον τρόπο, προστατεύεται από επιθέσεις και άλλες κακόβουλες δραστηριότητες.

Εκτός από το περιεχόμενο του ηλεκτρονικού ταχυδρομείου, η σημασία των δεδομένων από την καθημερινή επικοινωνία είναι τα λεγόμενα μεταδεδομένα - πληροφορίες που παράγονται και ανταλλάσσονται από το λογισμικό και τις συσκευές που χρησιμοποιούνται για την αποστολή και τη λήψη ηλεκτρονικών μηνυμάτων. Για τους επιτιθέμενους, τα μεταδεδομένα είναι συχνά πιο σημαντικά από το ίδιο το περιεχόμενο της επικοινωνίας, επειδή μεταφέρουν ακριβείς πληροφορίες σχετικά με το ψηφιακό πλαίσιο της επικοινωνίας. Τα μεταδεδομένα αποθηκεύονται στον διακομιστή αλληλογραφίας, οπότε η προστασία τους είναι συγκεκριμένη. Το βασικό βήμα προς αυτή την κατεύθυνση είναι ο αποκλεισμός όλων των πρωτοκόλλων (π.χ. FTP ή HTTP) που ο διακομιστής δεν χρειάζεται για την εκτέλεση της κύριας λειτουργίας του, δηλαδή τη λήψη και αποστολή μηνυμάτων ηλεκτρονικού ταχυδρομείου. Ένας αποκλειστικός διακομιστής μπορεί να ενοικιαστεί ως μέρος ενός πακέτου φιλοξενίας ή άλλων υπηρεσιών ή ένας οργανισμός μπορεί να αγοράσει έναν διακομιστή με ειδικό λογισμικό. Ένα παράδειγμα τέτοιου λογισμικού είναι το iRedMail.

Εναλλακτικά, οι μη κερδοσκοπικοί οργανισμοί μπορούν να επιλέξουν να χρησιμοποιήσουν το

Google Workspace

, δηλαδή το πακέτο παραγωγικότητας της Google, το οποίο περιλαμβάνει διάφορα δημοφιλή εργαλεία και προϊόντα (Gmail, Google Drive, Google Calendar κ.λπ.). Ωστόσο, πρέπει να σημειωθεί ότι το επιχειρηματικό μοντέλο της Google βασίζεται στην καταγραφή προφίλ χρηστών και στην ανάλυση των προσωπικών δεδομένων που συλλέγονται από τους χρήστες της.

Διακομιστής Διαρροή δεδομένων Υπολογιστικό νέφος

Ακολουθούν ορισμένες γενικές συστάσεις σχετικά με την προστασία των υποδομών:

• Οι δρομολογητές μπορούν να ρυθμιστούν ώστε να αρνούνται την αυτοματοποιημένη συλλογή πληροφοριών σχετικά με το σύστημα μέσω της λεγόμενης μεθόδου footprinting. Η μέθοδος αυτή περιλαμβάνει τη δημιουργία ενός σκίτσου του δικτύου με βάση τα “αποτυπώματα” που δημιουργούνται από την αποστολή ψηφιακών σημάτων. Θα πρέπει επίσης να σημειωθεί ότι η δρομολόγηση των δεδομένων πραγματοποιείται σύμφωνα με διαφορετικά πρωτόκολλα, επειδή αυτά μπορεί να αποτελέσουν την κύρια πηγή πληροφοριών για τους επιτιθέμενους. Η χαρτογράφηση των διαδρομών μέσω των οποίων μεταδίδονται δεδομένα ( tracerouting ), η ανίχνευση ενεργών συσκευών στο δίκτυο ( ping) και παρόμοιες μέθοδοι μπορούν να αποκαλύψουν στον επιτιθέμενο ολόκληρη την υποδομή, δηλαδή τον αριθμό και τον τύπο των δρομολογητών, των υπολογιστών και τον τρόπο σύνδεσής τους. Η ορθή πρακτική υπαγορεύει ότι τα αιτήματα ICMP πρέπει να είναι ενεργοποιημένα για τον διακομιστή ιστού, ενώ η ρύθμιση παραμέτρων για τους άλλους διακομιστές και το εσωτερικό δίκτυο πρέπει να είναι τέτοια ώστε τα αιτήματα αυτά να απορρίπτονται

• Τα περιττά πρωτόκολλα διακομιστή θα πρέπει επίσης να απενεργοποιηθούν. Για παράδειγμα, στον διακομιστή αλληλογραφίας μπορούν να φραγούν τα πάντα εκτός από τα πρωτόκολλα που χρησιμοποιούνται για το ηλεκτρονικό ταχυδρομείο (IMAP, POP κ.λπ.), ενώ οι διακομιστές ιστού μπορούν να ρυθμιστούν δομικά έτσι ώστε να παρέχεται πρόσβαση μόνο σε δημόσιες πηγές. Η πρόσβαση σε άλλους φακέλους και αρχεία, καθώς και στο τμήμα διαχείρισης της πύλης, θα πρέπει να απενεργοποιείται για να αποφεύγεται η μη εξουσιοδοτημένη πρόσβαση και η διαρροή δεδομένων

• Κλείστε τις περιττές θύρες που καμία εφαρμογή στον διακομιστή δεν χρησιμοποιεί, με την κατάλληλη διαμόρφωση των φραγμών δικτύου (τείχος προστασίας (firewall)).

• Με τη χρήση συστημάτων ανίχνευσης εισβολών, εντοπίζεται και απορρίπτεται η ύποπτη κυκλοφορία και καταγράφονται οι προσπάθειες εντοπισμού αποτυπωμάτων

• Χρησιμοποιώντας υπηρεσίες ανώνυμης καταχώρισης, οι πληροφορίες σχετικά με τον καταχωρητή μητρώου του τομέα μπορούν να αποκρύπτονται. Ωστόσο, θα πρέπει να ληφθεί υπόψη ότι η φήμη ενός αξιόπιστου οργανισμού οικοδομείται μέσω της διαφάνειας και ότι η τεχνική αυτή δεν συνιστάται σε κάθε περίπτωση.

Διακομιστής Διαρροή δεδομένων Φιλοξενία Υπολογιστικό νέφος