IT Audit Abszurdisztánban

2. Tárgyalás

S valóban, rövid időn belül többször visszatértek és többek között az alábbiak történtek:

2.1. Első szín
Kis társaság a cég informatikáján, zárt ajtók mögött roppant érdekes dolgokról cserélnek eszmét. Jelen van az audittal megbízott cég néhány tagja, közöttük egy magát 'Etikus Hackernek' (E.H.) nevező személy, kinek elmondása szerint feladata, hogy az 'Etikus Hackelés' módszerével kívülrő és belülről kihasználható biztonsági 'réseket' keressen.

Etikus Hacker: ...mondjatok pár szót a hálózatotok felépítéséről
Helyi Informatikus: A birodalom területén több telephelye is van cégünknek, azok bérelt vonalon állnak összeköttetésben, míg minden telephelyen 100M/1000M ethernet hálózat üzemel. A telephelyek közötti komunikáció telephelyenként egy-egy router segítségével történik, amely a bérelt vonalat szolgáltató cég tulajdona és ő is üzemelteti, tartja karban...
E.H.: Az internet irányába mindenki kommunikálhat?
H.I.: Internet elérésünk a fő-fő telephelyre van bekötve, es mindenki az itt lévő routeren és tűzfalon keresztül éri el. Valamint itt a fő-fő telephelyen található a DMZ is, amiben mail szerver, web szerver lakik.
E.H.: Hogy osztjátok az IP címeket belső hálózaton?
H.I.: fix IP címek vannak, és különböző IP cím tartományokban vannak az egyes telephelyek... a fő-fő telephely a 10.1.0.0/16, az első altelephely 10.10.1.0/24, a DMZ a 192.168.1.0/24 tartományt használja, és van egy 172.30.15.0/24 tartományunk amit a fő-fő szakmai rendszer szerverei használnak.
E.H.: Ezt a szakmai rendszert minden telephely használja?
H.I.: Igen, mindenhonnan.
E.H.: Hogy érik el?
H.I.: ?? A rendszert egy JAVA kliens hálózaton keresztül éri el.
E.H.: De a szerverek nem a 10-es alhálózatban vannak...
H.I.: Nem...
E.H.: Akkor nem értem, honnan tudja a kliens, hogy merre kell menni?
H.I.: ??? Van egy router. Nem a kliens tudja, hanem a router...
E.H.: Nem értem...
H.I.: ??? (huhh...) Ha a kliens olyan IP cimre akar csatlakozni ami nem az ő alhálózatában van, akkor az adott router felé fordul...
E.H.: ... Nem értem, honnan tudja, hogy merre menjen?
H.I.:............ Hmmm... Akkor egy példa.. mondjuk a kliens a 172.30.15.1-es IP cimre akar csatlakozni...
E.H.: Ja, azt nem modtad, hogy a kliens tudja az IP címet!
H.I.: ????..... (nyelés)..... hmm... akkor félreértettük egymást... természetesen tudja...
E.H.: Akkor rendben, így már értem...
...

2.2. Második szín
Kis társaság sétál az udvaron közben kedélyesen csevegnek. Jelen van az audittal megbízott cég egyik tagja is, aki 'Etikus Hacker'.

Etikus Hacker: Kívülről már befejeztük a tesztelést...
Helyi Informatikus: És mik a tapasztalatok?
E.H.: Nem is olyan rossz.
H.I.: Ühüm.
E.H.: Viszont nagyon érdekes dolgokat lehetett megtudni a DMZ-ről..
H.I.: Aha. (?? Amit pár napja elmondtunk róla mi? - gondolja)
...

2.3. Harmadik szín
Kis társaság a cég szervertermében, zárt ajtók mögött nagyon érdekes dolgokról cserélnek eszmét. Jelen van az audittal megbízott cég egyik tagja is, aki 'Biztonsági Szakember'.

...
Biztonsági Szakember: Itt milyen szerverek találhatók?
Helyi Informatikus: Webszerver, levelező szerver, pénzügyi rendszer...
B.SZ.: A pénzügyi rendszer milyen nyelven van írva?
H.I.: ??? Ez egy vásárolt szoftver... annyit tudok róla, hogy Win2000 szerveren, MS-SQL adatbáziskezelő felett megy, de tud Oracle-t is. Lehet hogy MySQL felett is elfut, de abban nem vagyok biztos...
B.SZ.: És nem tudjátok, hogy milyen nyelven van írva.
H.I.: ... Nem.
B.SZ.: Az adatbázisban 'clear text' ben vannak az adatok?
H.I.: Nem tudom... Az adatbázishoz nem nyúlunk direktbe, nem ismerjük a struktúráját, a programon keresztül használjuk...
B.SZ.: Megnézhetném?
H.I.: ??? Hogyan?
B.SZ.: Semmi különös, van a gépen egy Totál Commander?
H.I.: Van... Tessék...
B.SZ. odalép a géphez, elindítja a TC-t majd kérdõen néz a H.I.-ra.
B.SZ.: Hol vannak az adatbázisok?
H.I.: ??? Hmm... Nem tudom pontosan, hol tartja az adatbázisokat az MS-SQL... Talán a Program Files-ben valahol...
B.SZ. vadul csattogtatja az egeret... de nem jut semmire.. kérdően néz a H.I.-re
H.I. Átveszi az egeret, belép 'Program Files'-be... tovább, majd megtalálja az adatbázis file-okat... Érdeklődéssel néz B.SZ.-re, mi lesz most?
B.SZ. Átveszi az egeret, rááll az egyik file-ra, majd F3... Win2k közli: Hozzáférés megtagadva.
B.SZ.: Na, ez nem olyan egyszerű. Úgy látszik védi magát.

3. Befejezés
Hát sok hozzáfűznivalóm nincs, eddig volt, mese volt, tán igaz sem volt. Aki nem hiszi járjon utána...