Όλοι αποδεχόμαστε την αρχή αδυναμίας του ανθρώπου να κατασκευάσει το τέλειο και αλάθητο δημιούργημα. Έτσι και ο χώρος της Πληροφορικής, ως γνήσιο ανθρώπινο δημιούργημα έχει τις ατέλειές του, ήτοι τις αδυναμίες σε software και hardware, η εκμετάλλευση των οποίων οδηγεί σε παραβιάσεις των πληροφοριακών υποδομών, με τις συνέπειες που όλοι γνωρίζουμε.

Σήμερα, το μοντέλο το οποίο έχει υλοποιηθεί και χρησιμοποιείται στην πλειοψηφία των υλοποιήσεων προστασίας πληροφοριακών συστημάτων είναι αυτό της αποτροπής και αντιμετώπισης των επιθέσεων και των συνεπειών τους. Μεγάλες ποσότητες κόπου και οικονομικών πόρων διατίθενται στην προσπάθεια παρεμπόδισης, αποτροπής και παρακολούθησης των επιθέσεων. Οι γραμμές άμυνας δημιουργούνται με τη χρήση συστημάτων ISMS (Information Security Management Systems), την εφαρμογή πολιτικών/διαδικασιών ασφαλείας, την εγκατάσταση μηχανισμών αποτροπής και ελέγχου σε διάφορα σημεία (firewalls, IIDS, IPS), την ενεργοποίηση συστημάτων παρακολούθησης (SIEM’s), την εγκατάσταση εργαλείων για την παρακολούθηση και ενοποίηση των αρχείων καταγραφής και άλλων προϊόντων ασφάλειας πληροφοριακών συστημάτων. Η υλοποίηση των παραπάνω είναι το ελάχιστο που πρέπει να γίνει για τη δημιουργία υποδομών που θα διαθέτουν ένα στοιχειώδες επίπεδο ασφάλειας.

Εν αρχή ην τα …exploits
Ενθυμούμενος την αρχή μη τελειότητας των ανθρωπίνων δημιουργημάτων, αναρωτιέται κανείς μήπως όλη αυτή η εισαγωγή όλων των προϊόντων software & hardware σε μια υποδομή μπορεί να αυξήσει την επιφάνεια των επιθέσεων που μπορεί να δεχθεί αυτή. Κάνοντας μια σύντομη αναδρομή στην ιστορία του IT Security, παρατηρούμε ότι αρχικά, πριν το 1995, υπήρχαν κρούσματα επιθέσεων οι οποίες δεν γίνονταν γνωστές, με την ασφάλεια των πληροφοριακών συστημάτων να μην απασχολεί τους υπευθύνους των υποδομών. Κατόπιν, όταν άρχισε να δημιουργείται η αγορά ασφάλειας πληροφοριακών συστημάτων, ανεξάρτητοι ερευνητές δημοσίευσαν κάθε αδυναμία που εντόπιζαν, συμβάλλοντας στη δημιουργία ασφαλέστερου λογισμικού.

Αυτή η κατάσταση έχει αντιστραφεί σήμερα, καθώς η ύπαρξη ενός περιβάλλοντος αγοραπωλησίας exploits αποτρέπει τη δημοσίευση τρωτών σημείων. Μάλιστα, όσο πιο κρίσιμο είναι ένα περιβάλλον, ή όσοι περισσότεροι το χρησιμοποιούν, τόσο πιο απίθανο είναι να δημοσιευτούν οι αδυναμίες που εντοπίζονται σε αυτό. Για παράδειγμα, θα δημοσιεύσει κανείς εύκολα μια αδυναμία για έναν όχι και τόσο γνωστό ftp server, όχι όμως και για ένα δημοφιλή επεξεργαστή κειμένου (ακόμη κι αν υπάρχει bug bounty για αυτόν!). Χωρίς, ωστόσο, τη δημοσίευση των αδυναμιών ενός λογισμικού δεν μπορεί να δουλέψει αποδοτικά το παραδοσιακό μοντέλο ασφάλειας, προστασίας και παρακολούθησης των πληροφοριακών συστημάτων – ένας vulnerability scanner δεν μπορεί να ανιχνεύσει μια αδυναμία αν δεν τη «γνωρίζει».

Έτσι, θα μπορούσε κάποιος να ισχυριστεί ότι η αντίληψη για τους κινδύνους σχετικά με την ασφάλεια πληροφοριακών συστημάτων μάς επιστρέφουν σε εποχές πριν το 1995. Λύση στο παραπάνω πρόβλημα μπορεί να δοθεί με την υλοποίηση του δόγματος “Security by Design”. Αυτό υλοποιεί ένα μοντέλο ασφάλειας το οποίο είναι ολιστικό, δημιουργικό, προνοητικό, ισχυρό, υπεύθυνο, ένα μοντέλο που ενσωματώνεται σε όλα τα συστήματα και αποτελεί το αντίθετο του “security through obscurity”, το οποίο προσεγγίζει την ασφάλεια με μυστικισμό, πολυπλοκότητα και χωρίς επιστημονική τεκμηρίωση.. Το “Security by Design” μπορεί να υλοποιηθεί σε όλες τις εκφάνσεις των πληροφοριακών συστημάτων, από ένα μικρό κομμάτι λογισμικού μέχρι την υλοποίηση ενός περίπλοκου τραπεζικού συστήματος.

Security by Design: Αρχές και βήματα

Αρχές

  • Πρόληψη, όχι αντίδραση
  • Ορισμός της ασφάλειας ως προεπιλογή στον σχεδιασμό
  • Μη ανταλλακτικότητα στην ασφάλεια. Προσέγγιση για το κέρδος από τον ασφαλή σχεδιασμό
  • Ασφάλεια από την αρχή μέχρι το τέλος
  • Όλες οι δραστηριότητες πρέπει να είναι όσο το δυνατόν διαφανείς και ορατές σε χρήστες και παρόχους
  • Σεβασμός προς τον χρήστη

Βήματα

  • Προσέγγιση σε όλον τον κύκλο ζωής των συστημάτων
  • Συστηματική και αναλυτική ανάλυση απειλών
  • Σχεδιασμός της αρχιτεκτονικής με γνώμονα την ασφάλεια
  • Συστηματικός έλεγχος του λογισμικού για κενά ασφάλειας
  • Εντατικοί και έντονοι έλεγχοι ασφάλειας