Kell-e ugyanakkora biztonság munkaállomásra, mint szerverre?

[quote:2bed675407="norcrys"][quote:2bed675407="johans"]
Normális céges IT szabályzás esetén a warez/pornó oldalak nincsenek beengedve a központi proxyn

Na ezt megnézném, hogyan tiltod le az összes warez/pornó oldalt!

A többségét megfelelő protokoll elemzéssel le lehet... De ismerek olyan helyet, ahol a számomra nagyon szimpatikus, de kissé fasisztoid szabályzás megfordította ezt: csak azokat a weboldalakat nézheted meg, amihez engedélyt kapsz. Ha pl. a HUP valamiért kell a munkádhoz, akkor írsz egy levelet erről helpdesk-nek, és kb. 10 percen belül (egy felületes ellenőrzés után) az fsn.hu domain bekerül az engedélyezett domainek listájába, és a továbbiakban ott is marad. Szerinted hányan vállalják, hogy warez/pornó oldalra egyáltalán engedélyt kérjenek? Meglepően kis overhead-et jelent ez a módszer az első hét után, közel 100%-os hatékonyság mellett.

[quote:2bed675407="norcrys"]
[quote:2bed675407="johans"]
na meg a http/https/smtp-n kívül protokollt vagy portot csak engedélyeztetés után lehet megnyitni, így a rendszergazdák és a programozók a privát melóikat nem tudták a cégtől végezni.

Elképzelem, amint csak engedélyeztetés után tud levelet küldeni tőlünk valaki. Hát, nem sokáig élnék. Naponta több száz levél jön-megy, ezt felügyelni...

A http/https/smtp protokollon kívül. Tehát mondjuk egy ssh valahova már engedély köteles. Levelezni tudsz enélkül is.

[quote:2bed675407="norcrys"][quote:2bed675407="johans"]
A céges mobil vagy telefon "ingyen" volt, internet előfizetése már volt, mivel administrator volt a saját gépén, tudott rá modemet konfigurálni...

Azonnal kirúgni. Kész, lassan hozzászokik mindenki, hogy ez illegális cselekedet. Ja, az nem nagy biztonsági beállítás, hogy saját gépét ne tudja adminisztrálni. Vagy ha igen, akkor alá kell írni egy bizonyos doksit, hogy anyagi felelősséggel tartozik blabla. Na, akkor meggondolta volna.

A papír alá volt iratva. A hajadra kenheted. Amíg a user azt hiszi, hogy nem kaphatják el, illetve amíg anyagi érdeke fűződik hozzá, csinálni fogja. Tudnék mesélni olyan nagyvállalaról, ahol a hálózatüzemeltetési osztály "összedobott" pénzt egy saját ADSL kijáratra, mert szűknek és túl szigorúnak találták a céges proxyt. Az meg, hogy egy kábelrendezőben, amit csak ők kezelnek, nem 465, hanme 466 kábel van, nem túl feltünő dolog...

[quote:2bed675407="norcrys"][quote:2bed675407="johans"]
Nem érted. Innentől fogva a támadó belül van. Ha a rendszergazda / adatbázis adminisztrátor / power user gépe nincs legalább annyira védve, mint a szerver, akkor azokat könnyedén megtörik.

"Mint a szerver" - csak ezzel van gondom, nem a védelemmel. Az ilyen userek gépének természetesen nehezn feltörhetőnek kell lenni, de az ilyen posztra is megfelelő emberek kellenek. Anélkül mit sem ér az egész.

Miért nehezebb védeni szerinted egy munkaállomást, mint egy szervert? Miért jelent szerinted komoly plussz költséget?

[quote:2bed675407="norcrys"]Igen, én is hasonló dologra gondoltam, van még egypár lehetőség a piacon. A lényeg, hogy nem ugyanarról beszélünk. Nem arról beszélünk, hogy milyen biztonsági előírásnak kell megfelelnie az egyes hálózatba kapcsolt gépeknek, hanem hogy általában miként védjük az usereket. Én nem extrém helyekre gondoltam, ahol a forrsákód védelme a cég létkérdése. Egy átlagos vállalat nem fog high technikát alkalmazni, csak akkorát amekkora arányos a biztonsági kockázat veszteségszámításával.

Így van, a kockázattal és a védendő adat értékével arányos ráfordításra lenne szükség. Viszont hogy az adatok mennyit érnek, és általában mennyire alá vannak becsülve, arra jó példa egy 2001-es Gartner elemzés: a szignifikáns adatvesztést elszenvedő cégek több, mint 70%-a lehúzta a rolót 5 éven belül, a maradék 30% meg jelentős piaci pozíciókat vesztett el.

[quote:672c732866="johans"]Miért nehezebb védeni szerinted egy munkaállomást, mint egy szervert? Miért jelent szerinted komoly plussz költséget?

Mindig nehezebb és komplikáltabb. A szerver(ek) jó estben egy ember, a rendszergazda felügyelete alatt van(nak), aki - megintcsak optimális esetben - mindent úgy csinál, ahogy kell, nem telepít felesleges és kockázatot jelentő szoftvereket, dmz-t alakít ki, csak azokat a szolgáltatásokat engedi és olyan jogosultságokkal, ahogy azt jónak látja és rendszeresen frissít.
Ezzel szemben a userek - ahogy le is írtad - nehezen kezelhetők, néha meg egyenesen ellenségesek. Az ilyen helyeket védeni sokszorta nagyobb munka, mint a szerverszobát. No, tehát a belső védelem első lépése szerintem a megfelelő munkatársak kiválasztása, akik eléggé fegyelmezettek. Szabályozni kell, ki mit tehet. Az, hogy egy hálózatüzemeltető a saját szakállára ADSL-t telepít... Ezek elvetemült emberek, nincs helyük egy olyan cégnél, ahol bizalmas adatok vannak. Az ilyen munkaköröket komolyan felügyelni kell. Mi volt az osztály vezetőjével? Hol van az ő felelőssége? Ezen csúszott el a dolog, hogy nem volt tisztában azzal, mit szabad és mit nem. A vezetőknek megbízhatóknak kell lenniük. Különben ****-t sem ér az egész informatikai biztonság, lehet védeni bármit, de ha valaki egy cd-n kiviszi az adatokat, akkor vége az egésznek.

[quote:7a445449b3="johans"]

Mosolyt csalt az arcomra a válaszod: :P Akár józan paraszti ésszel gondolkodva, akár az idevágó irodalmat lapozgatva az ember arra a megállapításra jut, hogy egy szerveren nem az operációs rendszer a fontos, hanem a rajta tárolt adatok elérhetősége, sértetlensége és bizalmassága. Ezeket hogy tudod biztosítani, ha pl. az Oracle adminisztrátor vagy az adott alkalmazás power user-ének, esetleg magának a mindenható rootnak a munkaállomását "meghekkelték", és minden billentyűzet leütést logolnak egy másik helyen? Ha az elindított - és legyünk nagyvonalúak - erős authentikációval belogolt user session-je felett át tudják venni az irányítást? Ugyan ez a vélemányem a titkosított fájlokról. Egyszer ki kell őket nyitnod. Vagy te olyan operációs rendszert használsz, ahol egyszerre csak egyvalaki használhatj a géped erőforrásait?

Üdv
Jo-Hans

Nos, hogyan véded ugyanolyan erősen a usereket, mint a szervert? Mondjuk van 5000 felhasználód... A usereket viszont csak a szerver(eken) keresztül tudják feltörni, nem? Vagy ha nem, akkor két eset lehetséges:
1. Belső ember a rosszfiú
2. A hülye user otthonról lép be
Az 1. esethez elég, ha senki más nem férhet a user gépéhez csak ő maga (most nem a megvalósításról van szó), a 2. esethez pedig annyit kell tenni, hogy vagy letiltjuk ezt a lehetőséget vagy mi magunk csinálunk egy olyan gépet neki otthonra, ami elég biztonságos, de semmiképpen ne adminisztráljon interneten keresztül root-ként. Ezt le kell tiltani (a szerverben, ugye).
"erős authentikációval belogolt user session-je felett át tudják venni az irányítást" - az ilyen usernek olyankor ne legyen internet kapcsolata, ha ő a "super user". A keylogger nem ér semmit, ha a szerver megfelelően van konfigurálva, azaz nem jelszó alapján azonosít és a "super user"-nek mint mondtam, nincs internetkapcsolata az adminisztráció ideje alatt.
A belső hekkelésről most ne beszéljünk.

[quote:aace0bb751="norcrys"][quote:aace0bb751="johans"]Miért nehezebb védeni szerinted egy munkaállomást, mint egy szervert? Miért jelent szerinted komoly plussz költséget?

Mindig nehezebb és komplikáltabb. A szerver(ek) jó estben egy ember, a rendszergazda felügyelete alatt van(nak), aki - megintcsak optimális esetben - mindent úgy csinál, ahogy kell, nem telepít felesleges és kockázatot jelentő szoftvereket

Ez eddig igaz, ez a rendszergazda dolga és felelőssége

[quote:aace0bb751="norcrys"]dmz-t alakít ki, csak azokat a szolgáltatásokat engedi és olyan jogosultságokkal, ahogy azt jónak látja és rendszeresen frissít.

Ehhez a rendszergazdának már semmi köze. Ez az, amit a RIBSZ/RBRT szabályoz, a rendszergazda meg végrehajt.

[quote:aace0bb751="norcrys"]Ezzel szemben a userek - ahogy le is írtad - nehezen kezelhetők, néha meg egyenesen ellenségesek. Az ilyen helyeket védeni sokszorta nagyobb munka, mint a szerverszobát. No, tehát a belső védelem első lépése szerintem a megfelelő munkatársak kiválasztása, akik eléggé fegyelmezettek.

Nincs igazán különbség az "ellenséges" userektől védett szerver és az "ellenságes" userektől védett workstation között. Mindkettő szolgáltat, mindkettőnek a szolgáltatásait igénybe veszik, mindkettőnél törekedni kell arra, hogy csak az engedélyezett szolgáltatásokat lehessen igénybe venni.

Egy 100+-os cégnél (egy 5000+-osnál meg még inkább) nincs lehetőség a userek megválogatására.

[quote:aace0bb751="norcrys"]Szabályozni kell, ki mit tehet. Az, hogy egy hálózatüzemeltető a saját szakállára ADSL-t telepít... Ezek elvetemült emberek, nincs helyük egy olyan cégnél, ahol bizalmas adatok vannak. Az ilyen munkaköröket komolyan felügyelni kell. Mi volt az osztály vezetőjével? Hol van az ő felelőssége? Ezen csúszott el a dolog, hogy nem volt tisztában azzal, mit szabad és mit nem. A vezetőknek megbízhatóknak kell lenniük. Különben ****-t sem ér az egész informatikai biztonság, lehet védeni bármit, de ha valaki egy cd-n kiviszi az adatokat, akkor vége az egésznek.

Az, hogy ezek a kérdések felmerültek benned, csak azt bizonyítja, hogy sosem volt dolgod nagy céggel. Ráadásul egyre inkább azt látom, hogy ez nem magyar sajátosság.

[quote:386541b5d5="norcrys"]

Nos, hogyan véded ugyanolyan erősen a usereket, mint a szervert? Mondjuk van 5000 felhasználód... A usereket viszont csak a szerver(eken) keresztül tudják feltörni, nem? Vagy ha nem, akkor két eset lehetséges:
1. Belső ember a rosszfiú
2. A hülye user otthonról lép be

Úgy látszik még nem dolgoztál olyan cégnél, ahol valóban van 5000 user. Nem csak ez a két eset van. Pl. az egységsugarú user feldug egy modemet a gépére (vagy mostanában a mobilját bluetoothon), amit pillanatok alatt megtörnek. De ezzel az accal túl sokat csinálni nemtudnak, úgyhogy irány a power user / rendszergazda gépe. Kb. 100 user felett az intranetet is ellenségként kell kezelni, és a különböző osztályokat / szervezeteket / felhasználói csoportokat külön-külön zónákba kell rakni, aszerint, hogy mihez férhetnek hozzá, mert a betörési kísérletek több, mint 80%-a belülről indul el. Nyilván senki sem magának akar kárt okozni (bár erre is volt már példa), hanem valaki más adataihoz akar hozzáférést. Key logger: te még nem láttál hardveres key loggert? Mindennap megnézed, hogy a takarító személyzet nem dugott-e egy $15 értékű kis mütyürt a géped és a billentyűzeted közé? De a szoftveres keyloggerek is úgy szoktak működni mostanában, hogy csendesen gyűjtöget, aztán ha valaki megfelelő módon "bekopog", akkor kinyomja a tartalmát. A folyamatos kapcsolatot nehéz biztosítani, meg feltünő is.

A vékony kliensek egészen jó szolgálatot tudnak tenni ilyen problémák esetén. Nagyságrendekkel biztonságosabb egy hálózat, ha megfelelően védett szerverek vékony klienseket szolgálnak ki.

De olvasd el még egyszer a topic indítást: Meg van-e hekkelve a szerver, ha a user gépét meghekkelik? Mindegy, hogy belső, külső, maláj, indonéz, vagy magyar hekkelte meg, ebben az esetben az adatok integritása és bizalmassága mindenképpen sérülhet. Tehát a válasz egyértelmű igen.

Ha emlékszel még akár a W2K akár a HL2 kódszivárgására, egyik esetben sem a központi szervert törték meg közvetlenül, hanem valakinek a munkaállomását vagy az otthoni gépét. Kell még több bizonyíték?

"Nem csak ez a két eset van. Pl. az egységsugarú user feldug egy modemet a gépére (vagy mostanában a mobilját bluetoothon), amit pillanatok alatt megtörnek. "

Volt már ilyen tapasztalatod?

"De ezzel az accal túl sokat csinálni nemtudnak, "

Ez a lényeg.

"Kb. 100 user felett az intranetet is ellenségként kell kezelni, és a különböző osztályokat / szervezeteket / felhasználói csoportokat külön-külön zónákba kell rakni, aszerint, hogy mihez férhetnek hozzá, mert a betörési kísérletek több, mint 80%-a belülről indul el."

Nem mondtam, hogy nem kell ezt tenni.

"Mindennap megnézed, hogy a takarító személyzet nem dugott-e egy $15 értékű kis mütyürt a géped és a billentyűzeted közé?"

Szar dolog, ha a takarító személyzet ilyet tesz. Persze elképzelhető ez is, de mint mondtam nem ér semmit, ha nem jelszóval azonosítunk, persze amit leír azt megkapja a hekker, de módosítani nem fog tudni. Ez a takarítószemélyzet elgondolás amúgy filmbe illik, bár nyilván vannak ilyen esetek is. Nálunk egyszerű megoldás van rá: a takarító személyzet munkaidő végén takarít, de csak akkor, ha valaki mindig van ott a részlegen. Nincs kulcsuk, hozzáférésük, nincsenek egyedül hagyva. Erről ennyit.

"De a szoftveres keyloggerek is úgy szoktak működni mostanában, hogy csendesen gyűjtöget, aztán ha valaki megfelelő módon "bekopog", akkor kinyomja a tartalmát. A folyamatos kapcsolatot nehéz biztosítani, meg feltünő is."

Ez igaz.

"A vékony kliensek egészen jó szolgálatot tudnak tenni ilyen problémák esetén. Nagyságrendekkel biztonságosabb egy hálózat, ha megfelelően védett szerverek vékony klienseket szolgálnak ki."

Erről beszélnék én is. Védd a szervert, a kliensnek meg ne legyen merevlemeze.

"De olvasd el még egyszer a topic indítást: Meg van-e hekkelve a szerver, ha a user gépét meghekkelik?"

Szerintem még nincs, csak ha a root gépét hekkelik meg.

"Ha emlékszel még akár a W2K akár a HL2 kódszivárgására, egyik esetben sem a központi szervert törték meg közvetlenül, hanem valakinek a munkaállomását vagy az otthoni gépét. Kell még több bizonyíték?"

Itt olyan accountot szereztek meg, amelyikkel a kódot le lehetett tölteni. Te mit tettél volna, hogy a otthoni gépekről ne lehessen letölteni a kódot?

[quote:1796e4f15b="global77"]Üdv mindenkinek!

Szerintetek kell-e ugyanakkora biztonság munkaállomásra, mint szerverre?

Azaz a meghekkelt munkaállomáson keresztül a szerver is meg van hekkelve kérdésre keresem a választ.

meglehetosen homalyos a kerdesed.
-hol szerver/munkaallomas interneten, ceges local halon?
-ki ellen veded? internetes cracker, roszszandeku alkalmazott?

nemelyik esetben igen, nemelyikben nem a valasz.;)

Ezt írtam:
"Nem, mert a szerver a felhasználók ellen is védve kell legyen. Kivéve, ha a root felhasználóról van szó, de ezt is ki lehet védeni pl. rsbac.
A munkaállomásokon meg ne tároljanak bizalmas adatot, illetve titkosítva és kész, nincs nagy tétje a munkaállomás hekkelésének. A felhazsnálóknak pedig csak akkora jogosultságuk legyen, amekkora feltétlen szükséges, pl. az ügyvezető ne tudjon root-ként garázdálkodni, mint néhány helyen teszik."

Meg kell magyaráznom, miért írtam ezt, kissé pongyolán. Természetesen, a belső biztonság ugyanolyan fontos, mint a külső. De: én előfeltételezésem az volt, hogy az emberi tényező itt már megtervezett, a HR osztály együtttműködik az IT-vel és szigorúan ellenőrzik a usereket. Nálunk ez kezd kialakulni. Érdkes módon, azóta nem történik belső hekkelés, nem akarják a felhasználók megkerülni a rendszergazdát. Mindenki a fejével játszik.
Enélkül védhetjük a rendszert, nem ér semmit.
Feltételeztem azt is, hogy a belső munkaállomás hekkelése kívűlről érkezik, azaz a szerveren/tűzfalon keresztül. Nincs más út, ha van, az elég nagy baj. Ha a fokozottan védett munkaállomások szabályozva vannak, nincs semmi baj, a hekkelő nem képes rajtuk keresztül hozzáférni a szerverhez. Sőt, el sem jut idáig, mert először a szervert kell meghekkelnie. Akkor meg miért menne a belső hálózatra, ha már úgyis a szerveren van, hacsak nem tárolnak a munkaállomásokon is jó kis adatokat?
Szóval, mindig a szerverállományt tudjuk biztonságosan védeni, a többi csak illuzió, persze hogy védeni kell a munkaállomásokat is, de itt mások az elvek, mint a szervernél és máshogyan is lehet.
A munkaállomáson ne lehessen elhelyezni keyloggert, trójait, stb. Ha ez probléma, hát ellenőrizni kell.

[quote:8ad7b785d1="global77"]
Szerintetek kell-e ugyanakkora biztonság munkaállomásra, mint szerverre?

Azaz a meghekkelt munkaállomáson keresztül a szerver is meg van hekkelve kérdésre keresem a választ.

Tapasztalataim es ismereteim (InfoSec-es tanulmanyok) szerint gyakran igen;
vagyis a munkaallomasok es a belso halozat biztonsagat is ugyanolyan fontos
megtervezni, mint a szerveret, mert a tamadasok sok esetben belulrol indulnak.

Azonban ez is fugg a kornyezettol--ha a munkaallomasokat ugyanolyan
jogtalan senkihazikent kezeled mint masokat, akkor nyilvan nem.

[quote:8322ae2ab2="norcrys"]
Nem, mert a szerver a felhasználók ellen is védve kell legyen. Kivéve, ha a root felhasználóról van szó, de ezt is ki lehet védeni pl. rsbac.
A munkaállomásokon meg ne tároljanak bizalmas adatot, illetve titkosítva és kész, nincs nagy tétje a munkaállomás hekkelésének.

Mosolyt csalt az arcomra a válaszod: :P Akár józan paraszti ésszel gondolkodva, akár az idevágó irodalmat lapozgatva az ember arra a megállapításra jut, hogy egy szerveren nem az operációs rendszer a fontos, hanem a rajta tárolt adatok elérhetősége, sértetlensége és bizalmassága. Ezeket hogy tudod biztosítani, ha pl. az Oracle adminisztrátor vagy az adott alkalmazás power user-ének, esetleg magának a mindenható rootnak a munkaállomását "meghekkelték", és minden billentyűzet leütést logolnak egy másik helyen? Ha az elindított - és legyünk nagyvonalúak - erős authentikációval belogolt user session-je felett át tudják venni az irányítást? Ugyan ez a vélemányem a titkosított fájlokról. Egyszer ki kell őket nyitnod. Vagy te olyan operációs rendszert használsz, ahol egyszerre csak egyvalaki használhatj a géped erőforrásait?

Üdv
Jo-Hans

[quote:e6e4902728="norcrys"]"Nem csak ez a két eset van. Pl. az egységsugarú user feldug egy modemet a gépére (vagy mostanában a mobilját bluetoothon), amit pillanatok alatt megtörnek. "

Volt már ilyen tapasztalatod?

Sajnos többször, és több cégnél. Normális céges IT szabályzás esetén a warez/pornó oldalak nincsenek beengedve a központi proxyn, na meg a http/https/smtp-n kívül protokollt vagy portot csak engedélyeztetés után lehet megnyitni, így a rendszergazdák és a programozók a privát melóikat nem tudták a cégtől végezni. Ez a két csoport különösen veszélyes, mert mindig meg tudják magyarázni, hogy miért nem jó nekik az egységes irodai környezet, és miért kell a saját gépükre root/administrator password. A céges mobil vagy telefon "ingyen" volt, internet előfizetése már volt, mivel administrator volt a saját gépén, tudott rá modemet konfigurálni...

[quote:e6e4902728="norcrys"]
"De ezzel az accal túl sokat csinálni nemtudnak, "

Ez a lényeg.

Nem érted. Innentől fogva a támadó belül van. Ha a rendszergazda / adatbázis adminisztrátor / power user gépe nincs legalább annyira védve, mint a szerver, akkor azokat könnyedén megtörik.

[quote:e6e4902728="norcrys"]"Mindennap megnézed, hogy a takarító személyzet nem dugott-e egy $15 értékű kis mütyürt a géped és a billentyűzeted közé?"

***** dolog, ha a takarító személyzet ilyet tesz. Persze elképzelhető ez is, de mint mondtam nem ér semmit, ha nem jelszóval azonosítunk, persze amit leír azt megkapja a hekker, de módosítani nem fog tudni.

Penetration tester ismerőseim előszeretettel használják ezt a filmbe illő módszert. Csak a takarítót kell megkenni, hogy három-négy napra legyen "beteg", és küldje az "unokaöccsét" dolgozni. Általában több hónapos melót spórolnak meg ezzel.

Az erős authentikáció meg marha jó dolog, csak ritka, mint a fehér holló. Ha pedig arra gondolsz, hogy az SSH kulcsal authentikál, és a kulcsodat passphrase védi, nos az édes kevés. A passphrase ott lehet e loggeren...

[quote:e6e4902728="norcrys"]"De olvasd el még egyszer a topic indítást: Meg van-e hekkelve a szerver, ha a user gépét meghekkelik?"

Szerintem még nincs, csak ha a root gépét hekkelik meg.

Tehát a root gépét (meg még egy csomó másikat) pontosan ugyan olyan erősen kell védeni, mint a szervert. És visszaértünk a topic indító kérdéséhez.

[quote:e6e4902728="norcrys"]"Ha emlékszel még akár a W2K akár a HL2 kódszivárgására, egyik esetben sem a központi szervert törték meg közvetlenül, hanem valakinek a munkaállomását vagy az otthoni gépét. Kell még több bizonyíték?"

Itt olyan accountot szereztek meg, amelyikkel a kódot le lehetett tölteni. Te mit tettél volna, hogy a otthoni gépekről ne lehessen letölteni a kódot?

Pl. úgy, hogy a munkaállomásokat ugyan olyan jól védtem volna, mint a szervert... (Jé, a topik indító kérdés) De ha ez semmiképpen nem működik, akkor felhúztam volna egy terminal servert fejlesztői környezettel, amire smart-card logon-nal be tud jelentkezni a fejlesztő. A terminal servert be lehet úgy állítani, hogy adat ne kerülhessen át kliens gépre (még screenshot formájában sem, hacsak a screenshotot nem független kamerával készítik) Macerás így tesztelni egy 3D-s játékot, de hát az még macerásabb, hogy boldog-boldogtalan letölthette a kész engine-t az internetről, arról nem is beszélve, hogy isten tudja, backdoorozták-e a játékot, akik hozzáfértek...

[quote:0855dc5052="johans"]
Normális céges IT szabályzás esetén a warez/pornó oldalak nincsenek beengedve a központi proxyn

Na ezt megnézném, hogyan tiltod le az összes warez/pornó oldalt!

[quote:0855dc5052="johans"]
na meg a http/https/smtp-n kívül protokollt vagy portot csak engedélyeztetés után lehet megnyitni, így a rendszergazdák és a programozók a privát melóikat nem tudták a cégtől végezni.

Elképzelem, amint csak engedélyeztetés után tud levelet küldeni tőlünk valaki. Hát, nem sokáig élnék. Naponta több száz levél jön-megy, ezt felügyelni...

[quote:0855dc5052="johans"]
A céges mobil vagy telefon "ingyen" volt, internet előfizetése már volt, mivel administrator volt a saját gépén, tudott rá modemet konfigurálni...

Azonnal kirúgni. Kész, lassan hozzászokik mindenki, hogy ez illegális cselekedet. Ja, az nem nagy biztonsági beállítás, hogy saját gépét ne tudja adminisztrálni. Vagy ha igen, akkor alá kell írni egy bizonyos doksit, hogy anyagi felelősséggel tartozik blabla. Na, akkor meggondolta volna.

[quote:0855dc5052="johans"]
[quote:0855dc5052="norcrys"]
"De ezzel az accal túl sokat csinálni nemtudnak, "

Ez a lényeg.

Nem érted. Innentől fogva a támadó belül van. Ha a rendszergazda / adatbázis adminisztrátor / power user gépe nincs legalább annyira védve, mint a szerver, akkor azokat könnyedén megtörik.

"Mint a szerver" - csak ezzel van gondom, nem a védelemmel. Az ilyen userek gépének természetesen nehezn feltörhetőnek kell lenni, de az ilyen posztra is megfelelő emberek kellenek. Anélkül mit sem ér az egész.

[quote:0855dc5052="johans"]
[quote:0855dc5052="norcrys"]"Ha emlékszel még akár a W2K akár a HL2 kódszivárgására, egyik esetben sem a központi szervert törték meg közvetlenül, hanem valakinek a munkaállomását vagy az otthoni gépét. Kell még több bizonyíték?"

Itt olyan accountot szereztek meg, amelyikkel a kódot le lehetett tölteni. Te mit tettél volna, hogy a otthoni gépekről ne lehessen letölteni a kódot?

Pl. úgy, hogy a munkaállomásokat ugyan olyan jól védtem volna, mint a szervert... (Jé, a topik indító kérdés) De ha ez semmiképpen nem működik, akkor felhúztam volna egy terminal servert fejlesztői környezettel, amire smart-card logon-nal be tud jelentkezni a fejlesztő. A terminal servert be lehet úgy állítani, hogy adat ne kerülhessen át kliens gépre (még screenshot formájában sem, hacsak a screenshotot nem független kamerával készítik) Macerás így tesztelni egy 3D-s játékot, de hát az még macerásabb, hogy boldog-boldogtalan letölthette a kész engine-t az internetről, arról nem is beszélve, hogy isten tudja, backdoorozták-e a játékot, akik hozzáfértek...

Igen, én is hasonló dologra gondoltam, van még egypár lehetőség a piacon. A lényeg, hogy nem ugyanarról beszélünk. Nem arról beszélünk, hogy milyen biztonsági előírásnak kell megfelelnie az egyes hálózatba kapcsolt gépeknek, hanem hogy általában miként védjük az usereket. Én nem extrém helyekre gondoltam, ahol a forrsákód védelme a cég létkérdése. Egy átlagos vállalat nem fog high technikát alkalmazni, csak akkorát amekkora arányos a biztonsági kockázat veszteségszámításával.
Szóval, a válaszom úgy módosítom, hogy:
- a védelem erőssége attól függ, hogy milyen userről van szó
- és attól is függ, milyen adatokat védünk
Nyilván a Nemzetbiztonsági Hivatal és a Kaszagyártó Ltd. között van egy kis különbség védelem tekintetében. Az előbbinél minden egyes gépet ugyanannyira kell védeni, míg az utóbbinál örülnek, ha egy támadó elég nehéznek találja a behatolást ahhoz, hogy ne legyen annyira fontos neki.

az erősség a benti gépeken lehet kisebb, de gondolj a belső támadóra is. Hogy ez menyire súlypont, azt neked kell eldönteni (mi van a szerveren, belső felhasználók motivációja stb.)