Nieinwazyjne metody oceny i poprawy bezpieczeństwa systemów komputerowych bazujące na standardach DISA

• Autorzy: Kołodziejczyk Marcin

Warianty tytułu

EN

Non-intrusive assessment approach and improving security of computer systems based on DISA standards

• Języki publikacji: PL

Abstrakty

PL

Artykuł jest próbą analizy dostępnych, nieinwazyjnych metod pozwalających na całościową analizę i ocenę bezpieczeństwa systemów komputerowych. Opisane metody nie ingerują bezpośrednio w działanie gotowych systemów, skupiając się w dużej mierze na statycznej analizie systemu. Analiza taka opiera się na stwierdzeniu zgodności systemu z poszczególnymi wymaganiami bezpieczeństwa, tworzonymi przez organizację DISA. Organizacja ta swoje wymagania przedstawia w trojaki sposób: tworząc statyczne wymagania tzw. STIG'i, manualne procedury, mające pomóc w analizie bezpieczeństwa oraz skrypty automatyczne dla części systemów (tzw. SRR). Przekrój systemów objętych wymaganiami jest ogromny, zaczynając od systemów operacyjnych, idąc przez systemy bazodanowe, sieci a skończywszy na tworzonych przez programistów aplikacjach. Artykuł zawiera również krótką analizę pewnych braków, niedogodności i wad wyżej wymienionych metod oraz jest próbą odpowiedzi w jakim kierunku powinien iść ich rozwój.

EN

This article is an attempt to analyze the available, non-intrusive methods of analyzing and assessing if the overall security of computer systems. These methods do not interfere directly in the working systems, focusing largely on static analysis of the system. The analysis base on the finding of compliance with the various safety requirements, formed by the DISA organization. This organization presents its requirements in three ways: by creating the static requirements, so-called STIGs, manual procedures (checklists), helped in the analysis of the security and automated scripts for system components (SRR). The scope of the systems covered by the requirements is very big, including operating systems, database systems, the network and applications created by software developers. This article also contains a brief analysis of some shortcomings, disadvantages and drawbacks of the above-mentioned methods and is an attempt to answer for the question: what should be done in the nearest future for static security analysis.

Słowa kluczowe

PL

autentykacja; uwierzytelnianie; autoryzacja; aplikacja; baza danych; bezpieczeństwo; lista kontrolna; procedura manualna; GoldDisk; hasła; interfejs; konta użytkowników; Linux; logi; logowanie zdarzeń systemowych; Microsoft Windows; PKI; SRR; STIG; system operacyjny; Unix; wymagania

EN

authentication; authorization; application; checklist; manual procedure; database; GoldDisk; passwords; interface; Linux; logs; Microsoft Windows; network services; operating system; PKI; requirements; security; SRR; STIG; system event logging; Unix; user accounts

• Wydawca: Instytut Informatyki Uniwersytet Kazimierza Wielkiego
• Czasopismo: Studia i Materiały Informatyki Stosowanej
• Rocznik: 2010
• Tom: nr 2
• Strony: 23--30
• Opis fizyczny: Bibliogr. 9 poz., rys.

Twórcy

autor

Kołodziejczyk Marcin

• Akademia Górniczo-Hutnicza, Wydział Elektrotechniki, Automatyki, Informatyki i Elektroniki Al. Mickiewicza 30, 30-059 Kraków,

Bibliografia

• 1. Dokumenty i skrypty ze strony organizacji IASE oraz DISA: http://iase.disa.mil/stigs/stig/index.html http://iase.disa.mil/stigs/checklist/index.html http://iase.disa.mil/stigs/SRR/index.html.
• 2. Common Criteria portal: http://www.commoncriteriaportal.org/.
• 3. Informacje o FIPS 140: http://csrc.nist.gov/publications/fips/.
• 4. Marcin Kołodziejczyk - Applying of security mechanisms to low layers of OSI/ISO network model - Automatyka, wyd. AGH, Kraków 2010 (w druku, w języku angielskim).
• 5. Michael Howard, David LeBlanc, John Viega - The 19 Deadly Sins of Software Security – McGraw-Hill/Osborne, California 2005.
• 6. Alfred J. Menezes, Paul C. van Oorschot and Scott A. Vanstone - Handbook of Applied Cryptography - CRC Press 1996 (wersja online).
• 7. Marek R.Ogiela - Security of computer systems - Wydawnictwa AGH, Kraków 2002.
• 8. The Top 10 Most Critical Internet Security Threats - (2000-2001 Archive) - http://www.sans.org/top20/2000/.
• 9. Marcin Kołodziejczyk - Tablice tęczowe jako skuteczna optymalizacja algorytmu brute-force - Elektrotechnika i Elektronika, wyd. AGH, Kraków 2009/2010 (w druku).