Η ασφάλεια των τερματικών – αν και αποτελεί κρίσιμο στοιχείο της αμυντικής γραμμής των πληροφοριακών συστημάτων – συχνά παραβλέπεται, με αποτέλεσμα την έκθεση των επιχειρήσεων σε κινδύνους όπως μόλυνση από ιούς, παράνομη πρόσβαση σε κρίσιμες πληροφορίες, απώλεια συσκευών κ.ά.

Τι είναι η ασφάλεια των τερματικών;
Πρόκειται για μία στρατηγική κατά την οποία το λογισμικό ασφάλειας κατανέμεται στα τερματικά αλλά υπόκειται σε κεντρική διαχείριση. Τα συστήματα ασφάλειας των τερματικών βασίζονται σε τεχνολογία client/server με τον client να εγκαθίσταται σε κάθε τερματικό, το οποίο στην περίπτωσή μας είναι κάθε ανεξάρτητο πληροφοριακό σύστημα ή συσκευή που συνδέεται στο δίκτυο της επιχείρησης και λειτουργεί ως σταθμός εργασίας ή προσωπικός υπολογιστής.

Στα τερματικά, εκτός από τους υπολογιστές γραφείου περιλαμβάνονται laptops, handhelds, smart phones, PDAs ακόμα και point-of-sales ή inventory scanners.
Αντίστοιχα, σε ένα server ή gateway φιλοξενείται το κεντροποιημένο πρόγραμμα ασφάλειας το οποίο πιστοποιεί τα στοιχεία ταυτοποίησης τερματικών και χρηστών ή στέλνει ενημερώσεις και patches κατά περίπτωση.
Το άρθρο επικεντρώνεται κυρίως σε φορητές συσκευές υπολογιστών και σε συσκευές που δεν βρίσκονται υπό τον άμεσο έλεγχο της επιχείρησης, όπως οι υπολογιστές των αεροδρομίων, από όπου οι εργαζόμενοι επικοινωνούν με την εταιρεία ή το laptop του πωλητή που συνδέεται από το χώρο του πελάτη.
Η πληθώρα των κινδύνων που απειλούν τα τερματικά έχει θορυβήσει τους υπεύθυνους ασφάλειας, ειδικά στις περιπτώσεις εταιρειών on line. Η ύπαρξη μη ελεγχόμενων τερματικών και η ολοένα αυξανόμενη χρήση τους για τέλεση επιχειρηματικών πράξεων, αναδεικνύουν την ανάγκη λήψης μέτρων για τη σωστή λειτουργία τους. Φαίνεται πως η συνταγή «ισχυρή περιμετρική ασφάλεια σε συνδυασμό με έλεγχο των υπολογιστών εντός επιχείρησης» είναι πλέον ανεπαρκής αν δεν ληφθεί μέριμνα και για την ασφάλεια των τερματικών.

Κίνδυνοι των τερματικών
Οι πιο διαδομένοι κίνδυνοι περιλαμβάνουν ιούς, δούρειους ίππους, worms ή τη μετατροπή των τερματικών σε zombie hosts -τα zombie hosts είναι μάλλον ανενεργοί σταθμοί εργασίας χωρίς ουσιαστική επίβλεψη, που καταλαμβάνονται από τους hackers και στη συνέχεια χρησιμοποιούνται για πρόσβαση στο δίκτυο της εταιρείας.
Συνεχώς όμως εμφανίζονται και νέοι τύποι απειλών που εκμεταλλεύονται τα αδύνατα σημεία των τερματικών, όπως τα γνωστά μας buffer overruns, οι ανιχνευτές πληκτρολόγησης (keystroke loggers) ή worms που μεταδίδονται μέσω on-line συνομιλιών και άμεσης ανταλλαγής μηνυμάτων.

Το πρόβλημα της ασφάλειας των τερματικών είναι σύνθετο και πρέπει να αντιμετωπιστεί σε δύο επίπεδα:

  1. Ασφάλεια του ίδιου του τερματικού: Ένας από τους κινδύνους του τερματικού είναι οι δικές του αδυναμίες. Μία συσκευή που δεν διαθέτει τα κατάλληλα εργαλεία για να εντοπίσει παράνομο λογισμικό και να αποτρέψει επιθέσεις (π.χ. antivirus, firewalls) εκθέτει σε κίνδυνο όλη την υποδομή της επιχείρησης. Μία συσκευή συνδεδεμένη στο εταιρικό δίκτυο με δυνατότητα dial up ή wireless σύνδεσης στο internet, ανοίγει διάπλατα την πόρτα σε κάθε λογής επιθέσεις. Αν επιτρέπεται η χρήση αποσπώμενων συσκευών αποθήκευσης (thumb drives, MP3 players, external drives) αυξάνεται ο κίνδυνος εγκατάστασης παράνομου λογισμικού. Συσκευές που δεν προστατεύονται σωστά (π.χ. PDAs, handhelds) μπορεί να ευθύνονται για αποκάλυψη ευαίσθητων δεδομένων ή να επιτρέψουν σε τρίτους την πρόσβαση στους πόρους της επιχείρησης.
    Στατιστικές μελέτες αποτυπώνουν την αμέλεια των επιχειρήσεων να εγκαταστήσουν στα τερματικά τους ακόμη και βασικά συστήματα ασφάλειας όπως firewalls ή antivirus ή να ενημερώνουν τα λειτουργικά συστήματα με τις τελευταίες βελτιώσεις (patch management).
  2. Ασφάλεια της επιχείρησης: Αν μία συσκευή που συνδέεται μέσω VPN στο εταιρικό δίκτυο προσβληθεί από παράνομο λογισμικό, μπορεί να επιτρέψει στους hackers να αποκτήσουν πρόσβαση στο δίκτυο ή να επιτρέψει τη διαρροή στοιχείων. Να μην παραβλέψουμε και τον κίνδυνο να ξεχαστούν δεδομένα της επιχείρησης σε δημόσιους ή κοινόχρηστους υπολογιστές που βρίσκονται εκτός γραφείου. Συσκευές συνδεμένες σε δίκτυα peer-to-peer ή όσες έχουν κοινόχρηστους φακέλους και συνδέονται στο εταιρικό δίκτυο, μπορεί να προκαλέσουν ζημιά στην επιχείρηση είτε από επιθέσεις είτε από απώλεια δεδομένων. Άλλο θέμα ασφάλειας που ανησυχεί τους υπεύθυνους είναι η κλοπή αυτών των συσκευών. Εκτός από ευαίσθητα αρχεία και δεδομένα, οι δράστες μπορεί να αποκομίσουν πολύτιμες πληροφορίες σχετικά με userid και passwords, που θα τους επιτρέψουν να εισβάλουν ανενόχλητοι στο σύστημα της επιχείρησης.
    Ο βαθμός προστασίας των τερματικών επηρεάζει την αποτελεσματική προστασία των πληροφοριακών συστημάτων της επιχείρησης. Αν οι εργαζόμενοι αφήνουν το bluetooth ανοιχτό ή το blackberry δεν προστατεύεται με password, τότε σύντομα θα υπάρξει πρόβλημα ασφάλειας.

Μέτρα προστασίας τερματικών και επιχειρήσεων
Οι υπεύθυνοι ασφάλειας έχουν στη διάθεσή τους πληθώρα εργαλείων και προϊόντων για να διασφαλίσουν τη λειτουργία των τερματικών. Μεταξύ αυτών περιλαμβάνονται προγράμματα προστασίας από παράνομο λογισμικό, firewalls, συστήματα ανίχνευσης επιθέσεων, συστήματα αυτόματης ενημέρωσης με τις βελτιώσεις στο λειτουργικό, συστήματα ελέγχου πρόσβασης από απόσταση και κλειδώματος θυρών (αυτό θα αποτρέψει τη χρήση USB) κ.λπ. Πριν παραδοθεί μία συσκευή ρυθμίζονται και κλειδώνονται οι παράμετροι ασφάλειας, ώστε εφεξής να μην επιτρέπεται καμία αλλαγή από το χρήστη.
Η εκτίμηση κινδύνων πρέπει να προηγείται οποιασδήποτε πρόσβασης στο δίκτυο της επιχείρησης από απόσταση, από εργαζομένους ή τρίτους. Αυτό θα συμβάλλει στον εντοπισμό των κινδύνων, στη βελτίωση των μηχανισμών ελέγχου και θα διασφαλίσει την ενδεδειγμένη ισορροπία μεταξύ του κόστους υλοποίησης του έργου και του επιχειρηματικού οφέλους.

Ενημέρωση! Η μαγική λέξη που ξεφυτρώνει σε κάθε συζήτηση ή κείμενο σχετικά με την ασφάλεια. Η ενημέρωση των χρηστών των τερματικών για τους κινδύνους που καραδοκούν και για το τι οφείλουν να κάνουν οι ίδιοι ώστε η χρήση των συσκευών τους να μην εκθέτει σε κίνδυνο την επιχείρηση, είναι απαραίτητο στοιχείο του συστήματος ασφάλειας. Εν τούτοις, οι περισσότεροι υπεύθυνοι ασφάλειας συμφωνούν ότι τίποτα δεν λειτουργεί καλύτερα από την επιβολή των κανονισμών. Για παράδειγμα, είναι ευκολότερο και λιγότερο επικίνδυνο να χρησιμοποιηθεί ένα εργαλείο για την κρυπτογράφηση του δίσκου, παρά να ανατεθεί στο χρήστη να κρυπτογραφήσει ο ίδιος τα ευαίσθητα δεδομένα της συσκευής του.
Η υλοποίηση του πλαίσιου ασφάλειας των τερματικών μπορεί να ξεκινήσει ως ακολούθως:
Δημιουργία πολιτικής ασφάλειας: Η πολιτική πρέπει να καθορίζει σαφώς τις απαιτήσεις ασφάλειας των τερματικών, συμπεριλαμβανομένων και αυτών που δεν βρίσκονται υπό την άμεση εποπτεία της επιχείρησης. Επιπλέον προσδιορίζει τα επίπεδα πρόσβασης από απόσταση – δηλαδή τους πόρους όπου επιτρέπεται η πρόσβαση – και τις εξουσιοδοτήσεις του χρήστη ανάλογα με τον τρόπο ταυτοποίησής του (userid και password, token ή ψηφιακό πιστοποιητικό).
Αναφορικά με την πρόσβαση των τρίτων (π.χ. συνεργάτες, προμηθευτές, agents) πρέπει να περιγράφονται όχι μόνον οι εξουσιοδοτήσεις τους αλλά και οι προδιαγραφές ασφάλειας που αυτοί πρέπει να πληρούν ώστε να θεωρούνται αποδεκτοί.
Η πολιτική πρέπει επίσης να περιγράφει και το επίπεδο της δέουσας επιμέλειας που πρέπει να εφαρμόζεται, πριν επιτραπεί η σύνδεση μιας εξωτερικής οντότητας με τους πόρους της επιχείρησης.
Εξέταση και εκτίμηση: Κάθε τερματικό εξετάζεται ώστε να εκτιμηθεί το επίπεδο επικινδυνότητάς του, σύμφωνα με την προαναφερόμενη πολιτική. Η πολιτική για παράδειγμα, πρέπει να καθορίζει τη συχνότητα ενημέρωσης του antivirus και των βελτιώσεων στο λογισμικό και κάθε συσκευή πρέπει να κατηγοριοποιείται ανάλογα με την κρισιμότητα της χρήσης της. Ομοίως πρέπει να γίνεται ανίχνευση της ακεραιότητας του τερματικού για να προσδιοριστεί το επίπεδο εμπιστοσύνης του. Η ανίχνευση πρέπει να εντοπίζει ύπαρξη παράνομου λογισμικού και αν έχουν γίνει οι απαραίτητες ρυθμίσεις των εργαλείων ασφάλειας (π.χ. firewall). Ακόμη, πρέπει να διασφαλίζεται ότι η συσκευή που χρησιμοποιείται είναι αποδεκτή. Για παράδειγμα, κάποιος που επιθυμεί να έχει πρόσβαση στα emails του, θα το κάνει με smart phone που τρέχει Symbian OS.
Ταυτοποίηση και πρόσβαση: Μετά την ολοκλήρωση της κατηγοριοποίησης των συσκευών σε κάποιο επίπεδο το οποίο τους επιτρέπει την πρόσβαση, ο χρήστης πρέπει να αποδείξει την ταυτότητά του. Οι απαιτήσεις για την ταυτοποίηση του χρήστη είναι ανάλογες με την κρισιμότητα των δεδομένων που θέλει να χρησιμοποιήσει. Εάν δώσει μόνο userid και password, η πρόσβασή του θα είναι περιορισμένη, ενώ αν διαθέτει token ή ψηφιακό πιστοποιητικό θα έχει πρόσβαση σε περισσότερες πληροφορίες. Εάν ο χρήστης δεν καλύψει τις απαιτήσεις του ελάχιστου επίπεδου ασφάλειας, η πρόσβαση απορρίπτεται.
Κατάσταση αναμονής: Εάν τελικά δεν επιτευχθεί το ελάχιστο απαιτούμενο επίπεδο ασφάλειας ή εντοπιστούν παραλείψεις, η συσκευή τίθεται σε κατάσταση αναμονής ώστε να δοθεί ο χρόνος στον υπεύθυνο ασφάλειας να αποκαταστήσει το πρόβλημα. Μετά τις όποιες ενέργειές του, επαναλαμβάνεται η διαδικασία εξέτασης και αν όλα είναι εντάξει επιτρέπεται η πρόσβαση.

Παρακολούθηση και αναφορές: Η συνεχής παρακολούθηση του δικτύου είναι απαραίτητη ώστε να είναι δυνατός ο εντοπισμός προσπαθειών σύνδεσης συσκευών που αποκλίνουν από τις προδιαγραφές ή παρουσιάζουν παράξενη συμπεριφορά. Η αναφορά των ευρημάτων αφενός μεν προειδοποιεί για τρέχοντα ή μελλοντικά προβλήματα, αφετέρου δε αποτελεί μέτρο εκτίμησης της αποτελεσματικότητας των πολιτικών ασφάλειας.
Τερματισμός/Black list: Ο υπεύθυνος ασφάλειας πρέπει να έχει τη δυνατότητα τερματισμού μίας σύνδεσης ή/και πλήρους απαγόρευσης πρόσβασης μιας συσκευής ή ενός χρήστη, αν κρίνει ότι μπορεί να προκληθεί οποιοδήποτε πρόβλημα.

Προκλήσεις
Ο προσδιορισμός και η υλοποίηση οποιασδήποτε τεχνολογικής λύσης δεν είναι εύκολη υπόθεση και καθίσταται ακόμη δυσκολότερη όταν πρόκειται για θέματα ασφάλειας. Οι προκλήσεις που κάποιος καλείται να αντιμετωπίσει κατά τη δημιουργία στρατηγικής ασφάλειας των τερματικών όπως αυτή περιγράφηκε παραπάνω, είναι πολλές:
Θέσπιση κανόνων: Το πρώτο βήμα στη διαδικασία μπορεί να αποβεί εξαντλητικό, καθώς πρέπει να εξεταστούν πολλοί συνδυασμένοι παράγοντες και αντικρουόμενα «συμφέροντα». Αυτό γίνεται ευκολότερο αν τα θέματα συνδεσιμότητας και ασφάλειας συζητηθούν και εξηγηθούν αναλυτικά στους χρήστες της επιχείρησης και ακολούθως γίνει εκτίμηση των κινδύνων. Αυτό θα έχει ως αποτέλεσμα να βρεθεί η χρυσή τομή μεταξύ του τι επιτρέπεται και ποιες είναι οι τεχνικές απαιτήσεις.
Λύσεις στα γρήγορα: Ας υποθέσουμε ότι η εξέταση ενός τερματικού εντοπίσει ότι δεν έχει γίνει ενημέρωση με τις βελτιώσεις του λογισμικού. Μία εξέλιξη θα ήταν να απομονωθεί η συσκευή και να της απαγορευτεί η σύνδεση. Αν όμως ο χρήστης πρέπει να συνδεθεί οπωσδήποτε, είναι σημαντικό να υπάρχει μία εναλλακτική λύση, όπως π.χ. να οδηγηθεί στο site της εταιρείας λογισμικού, να κατεβάσει την ενημέρωση και στη συνέχεια να του επιτραπεί η είσοδος.
Συνδυασμός λύσεων: Οι γρήγορες και αποτελεσματικές λύσεις είναι εύκολες στα λόγια αλλά δύσκολες στην εφαρμογή τους, γιατί πρέπει να διαχειρίζονται διαφορετικούς προμηθευτές και πολλά προϊόντα. Μία συσκευή συνδέεται και τρέχει McAfee ενώ μία δεύτερη Norton. Και στις δύο περιπτώσεις πρέπει να ελεγχθεί η εγκυρότητα των ενημερώσεων και αν απαιτηθεί, οι χρήστες να προωθηθούν σε διαφορετικά sites για τις διορθώσεις. Η ενοποίηση δεν ήταν ποτέ εύκολη υπόθεση.
Ωριμότητα των χρηστών: Η ισορροπία μεταξύ της ωριμότητας και εμπειρίας των χρηστών και των απαιτήσεων ασφάλειας είναι ενδιαφέρουσα πρόκληση. Οι χρήστες θα δυσανασχετούν αν η σύνδεση της συσκευής τους παίρνει αρκετό χρόνο λόγω των πολλών ελέγχων – και σίγουρα δεν θα ενθουσιαστούν αν δεν μπορέσουν να κατεβάσουν δεδομένα της εταιρείας από το σπίτι τους ή το internet cafe. Οι υποχρεώσεις και οι περιορισμοί θα πρέπει να έχουν δηλωθεί σαφώς στην πολιτική και να έχουν γίνει αποδεκτοί.

Συμπέρασμα
Με την περίμετρο των επιχειρήσεων να επεκτείνεται γοργά, την ηλεκτρονική επιχείρηση να γίνεται πραγματικότητα και με όλο και περισσότερες επιχειρήσεις να επιτρέπουν στο προσωπικό τους να εργάζεται από απόσταση χρησιμοποιώντας laptop, οι διαχειριστές ασφάλειας αρχίζουν να σκέφτονται τρόπους οριοθέτησης της περιμέτρου ασφάλειας πλησιέστερα προς τα δεδομένα και να θεωρούν οτιδήποτε άλλο ως εξωτερικό παράγοντα. Το πλαίσιο ασφαλούς διαχείρισης των τερματικών πρέπει να είναι ενεργό, ώστε αυτά να λειτουργούν σωστά και να μην αποτελούν παράγοντες κινδύνου για την επιχείρηση.

Της Ελένης Σωτηρίου
CISA, CISM