Informatikai biztonság napjainkban Biztonsági törekvések a Microsoftnál

1. Informatikai biztonság napjainkbanBiztonsági törekvések a Microsoftnál Dénes Gábor Nagyvállalati Megoldás Értékesítési Tanácsadó

2. Folyamatos minőségjavításMegbízható Számítástechnika szerinti termék életciklus • Minden termékfejlesztő csapat felállít fenyegetettségi modelleket és biztosítja, hogy tervszinten is ellenálló legyen a végső kód Terv dokum. és specifikáció Bizt. Ellenőrzés Tervezés • Biztonsági tervek és kódolási szabályok szem előtt tartása • Kódolási hibák elkerülését ellenőrző eszközök • Az új támadási technikák figyelése és blokkolása M1 Fejleszt. és Teszt M2 Fejlesztés, tesztek, dokumentálás Fejlesztés Mn • Csoport szintű fejlesztés leállítás • Fenyegetettségi modellek frissítése, kód átvizsgálás, tesztelés és dokumentálás Bizt.Ellenőrzés Beta Termék • Ismert veszélyek elleni vizsgálatok • Belső és külsős „feltörés-tesztek” Bizt. Audit Forgalmazás Javító csomagok • Az újonnan felfedezett hibák javítása • A hibák eredetének keresése a további vonatkozó gyenge pontok felderítéséhez Biztonsági Javítások Támogatás

3. Service Pack 3 10 5 1 1 Service Pack 3 Bulletin - megelőző időszak Bulletin a TwC bevezetésétől Bulletin - megelőző időszak Bulletin a TwC bevezetésétől Piacon 2002 Július óta, 15 hónapja Piacon 2003 Január, 9 hónapja Kritikus vagy fontos biztonsági bejelentések az első …90 nap …150 nap TwC alkalmazva? 9 17 Nem 3 4 Igen Folyamatos minőségjavítás Néhány széles körben használt, piaci termék esetében Kötelező minden új termékre:

4. A javítókód publikálása és a támadások között eltelt idő (napok) 331 180 151 25 SQL Slammer Nimda Blaster Welchia/ Nachi A BIZTONSÁG az 1. a rangsorbanNincs megfelelő „Bölcsek Köve”A változtatáshoz fejlesztés szükséges Növekvő Biztonság?Válasz a kihívásokra! • Javítócsomagok túl gyakoriak • A támadásokig eltelt idő csökken • A támadások egyre kifinomultabbak • Jelenlegi megközelítés nem eredményes

5. A támadások folyamata Biztonsági Kutatók Kódfeltörők „Támadók” Gyenge pontok felfedezése Gyorsjavító-kód visszafejtése és publikálása a Weben A gyenge pontokat támadó programok elkészítése és közzététele Microsoft feladatai Olyan közösségi szellem kiépítése, mely szerint a felelőtlen magatartás kártékony Elérni minden érintettet az üzenettel Együttműködés a sebezhető pontok kijavításának érdekében Felelőséggel végrehajtott közzététel / értesítés Együttműködés az igazságügyi - és nyomozó hatóságokkal A törvényszéki munka technológiai támogatása Eredmények: Két letartóztatás a Blaster kapcsán Néhány kutató már felismerte az ismeretekkel együtt járó felelősséget is Egyre több IT szakember szólal fel a felelőtlen magatartást tanúsítókkal szemben

6. A Microsoft válaszlépései A felhasználók panaszolták “A gyorsjavító kódok készítési folyamata alacsony minőségű és egyben nem egységes” Javítjuk a hibajavítás folyamatát “Ismernem kell a módszert mely alapján biztonságosan üzemeltet- hetem vállalati infrastruktúrámat” Irányelvek és Képzés Sebezhetőség csökkentése javítókód nélkül “Nem vagyok képes követni … javítások minden héten” “Még mindig túl sok a sebezhető pont a termékeitekben” Folyamatos minőség-javítás és -biztosítás

7. Hatékonyabb és egyszerűbb hibajavításÚj gyorsjavító-kód közzétételi szabályok • Kiterjesztett biztonsági támogatás 2004 júniusáig • Windows 2000 SP2 • Windows NT4 Workstation SP6a • Biztonsági javítások havi egyszeri publikálása, előre bejelentett rendszerességgel • Lehetővé válik a tervezhető tesztelési és bevezetési folyamat a javítások esetében is • A gyorsjavítókódok egy olyan csomagban történő közzététele, melyben különálló, de együtt bevezethető javítások vannak Figyelem: A kritikusnak minősített javítások közzététele eltérhet az előzetesen közölt időponttól!

8. Irányelvek és képzés • Globális Képzési Program • TechNet Biztonsági Konferenciák • Havi biztonsági témájú web-közvetítés • Dedikált, fejlesztőknek szóló előadás a PDC-n • Új, a megelőzést segítő tanácsok • Sablonok és gyakorlati tanácsok • Biztonságra törekvő beállítási módszerek • Hogyan biztosítja a Microsoft saját magát - tanulmány • Online közösségek • „Biztonsági Övezet” IT szakemberek számára

9. A „gyorsjavításon” túl Felhasználóink támadásokkal szembeni ellenálló képességének növelése, még akkor is ha a „foltozás” nem történt meg • Segítségnyújtás az ismert és ismeretlen biztonsági hézagok hatásainak kiküszöbölésében • Cél: 10 javítócsomagból legalább 7 telepítése saját időzítés alapján történhessen

10. Beépülő biztonsági technológiák • Windows XP SP2 • Megerősített személyes tűzfal • Biztonságosabb levelezés és internet használat • Javított memória-védelem • Beta termék 2003 végéig, RTM a felhasználói visszajelzések függvényében H1-ben • Windows Server 2003 SP1 • „Szerepkör függő” biztonsági beállítások • Távoli elérésű kliensek ellenőrzése • Helyi ellenőrzés csatlakozáskor • RTM H2 CY04

11. Kliens oldali biztonság Biztonsági javítások, melyek lehetővé teszik a számítógépek védelmét még hibajavító kód telepítése nélkül is; A Win XP SP2 (H104) már tartalmazza Mi is ez valójában • Hálózati védelem: Javított ICF, mely alapból bekapcsolt állapotú • Biztonságosabb levelezés: Javított csatolt állomány blokkolás az Outlook Expressben és az IM-ben • Biztonságosabb Internet -böngészés: Javított felhasználói beállítások, melyek megvédenek a veszélyes ActiveX vezérlőktől és kémprogramoktól • Memória Védelem: csökkenti a veremtár túlcsordulást Képes megakadályozni a számítógépes hálózat felől érkező támadásokat, a csatolt állományokban utazó vírusokat és a memória-túlcsordulást Mire képes Fontosabb funkciók

12. Megvédi a vállalati eszközöket a fertőzött számítógépektől Biztonságosabb nagyvállalat Csak azon kliensek számára engedélyezett a hálózathoz történő kapcsolódás, melyek teljesítik a céges biztonsági előírásokatWin 2003 SP1 -től (H204) • Szerepkörhöz kötött beállítások a nem használt funkciók kikapcsolásával • Kötelező érvényű vállalati biztonsági követelmények ellenőrzése, pl. javítócsomag verzió, AV verzió, tűzfal állapot • Ellenőrzi, hogy ezek a szabályok érvényesítésre kerüljenek, amikor • VPN –en csatlakozik a távoli kliens • Ellenőrizhetetlen eszközök vezetékes vagy vezeték-nélküli kapcsolatának kiépítésekor Mi is ez Mire képes Fontosabb Funkciók

13. Miről fogunk még hallani? • Biztonsági szabályozás a biztonsági rendszeren belül • Halbritter Tamás, ITech • Digitális információink védelme • Borbély András, Grepton • Védekezés az ismeretlen veszélyek ellen - Vírusvédelem a gyakorlatban • Vass Tibor, is: energy - Tóth Árpád, NAI

14. Köszönöm a figyelmüket!gabord@microsoft.com