Βασικές αρχές ασφάλειας συστημάτων υπολογιστών EITC/IS/CSSF

Η προστασία συστημάτων και πληροφοριών υπολογιστών από βλάβη, κλοπή και παράνομη χρήση είναι γενικά γνωστή ως ασφάλεια συστημάτων υπολογιστών, που μερικές φορές αναφέρεται και ως ασφάλεια στον κυβερνοχώρο. Οι αύξοντες αριθμοί, τα μέτρα φυσικής ασφάλειας, η παρακολούθηση και οι συναγερμοί χρησιμοποιούνται συνήθως για την προστασία του εξοπλισμού υπολογιστή, όπως και για άλλο σημαντικό ή ευαίσθητο εξοπλισμό. Από την άλλη πλευρά, η πρόσβαση στις πληροφορίες και το σύστημα στο λογισμικό προστατεύεται χρησιμοποιώντας μια ποικιλία στρατηγικών, μερικές από τις οποίες είναι αρκετά περίπλοκες και απαιτούν επαρκείς επαγγελματικές ικανότητες.

Τέσσερις βασικοί κίνδυνοι αντιμετωπίζονται από τις διαδικασίες ασφαλείας που σχετίζονται με τις επεξεργασμένες πληροφορίες και την πρόσβαση των συστημάτων υπολογιστών:

• κλοπή δεδομένων από κυβερνητικούς υπολογιστές, όπως πνευματική ιδιοκτησία,
• Βανδαλισμός, συμπεριλαμβανομένης της χρήσης ιού υπολογιστή για την καταστροφή ή την πειρατεία δεδομένων,
• Απάτη, όπως χάκερ (ή π.χ. τραπεζικό προσωπικό) που εκτρέπουν κεφάλαια στους δικούς τους λογαριασμούς,
• Παραβίαση του απορρήτου, όπως η απόκτηση προστατευμένων προσωπικών οικονομικών ή ιατρικών δεδομένων από μια μεγάλη βάση δεδομένων χωρίς άδεια.

Η πιο βασική μέθοδος προστασίας ενός συστήματος υπολογιστή από κλοπή, βανδαλισμό, παραβίαση της ιδιωτικής ζωής και άλλη ανεύθυνη συμπεριφορά είναι η παρακολούθηση και η καταγραφή της πρόσβασης και της δραστηριότητας των διαφόρων χρηστών στο σύστημα. Αυτό συχνά επιτυγχάνεται δίνοντας σε κάθε άτομο που έχει πρόσβαση σε ένα σύστημα έναν μοναδικό κωδικό πρόσβασης. Το σύστημα υπολογιστή μπορεί στη συνέχεια να ανιχνεύσει τη χρήση αυτών των κωδικών πρόσβασης αυτόματα, σημειώνοντας πληροφορίες όπως σε ποια αρχεία έγινε πρόσβαση με ποιους κωδικούς πρόσβασης κ.λπ. Μια άλλη τεχνική ασφάλειας είναι η διατήρηση των δεδομένων ενός συστήματος σε διαφορετική συσκευή ή μέσο που είναι συνήθως απρόσιτα μέσω του συστήματος υπολογιστή. Τέλος, τα δεδομένα κρυπτογραφούνται συχνά, επιτρέποντας μόνο σε όσους διαθέτουν ένα μόνο κλειδί κρυπτογράφησης να τα αποκωδικοποιήσουν (η οποία εμπίπτει στην έννοια της κρυπτογραφίας).

Από την εισαγωγή των μόντεμ (συσκευές που επιτρέπουν στους υπολογιστές να αλληλεπιδρούν μέσω τηλεφωνικών γραμμών) στα τέλη της δεκαετίας του 1960, η ασφάλεια των υπολογιστών είναι όλο και πιο σημαντική. Στη δεκαετία του 1980, η ανάπτυξη προσωπικών υπολογιστών επιδείνωσε το πρόβλημα επιτρέποντας σε χάκερ (ανεύθυνα, τυπικά αυτοδίδακτους επαγγελματίες υπολογιστών, παρακάμπτοντας τους περιορισμούς πρόσβασης στους υπολογιστές) να έχουν παράνομη πρόσβαση σε σημαντικά συστήματα υπολογιστών από την άνεση του σπιτιού τους. Με την εκρηκτική άνοδο του Διαδικτύου στα τέλη του εικοστού και στις αρχές του εικοστού πρώτου αιώνα, η ασφάλεια των υπολογιστών έγινε μείζον μέλημα. Η ανάπτυξη βελτιωμένων συστημάτων ασφαλείας προσπαθεί να μειώσει τέτοια τρωτά σημεία, ωστόσο οι μέθοδοι εγκλήματος ηλεκτρονικών υπολογιστών εξελίσσονται πάντα, θέτοντας νέους κινδύνους.

Η ερώτηση για το τι είναι ασφαλισμένο είναι μια τεχνική για τον προσδιορισμό των ομοιοτήτων και των διαφορών στην ασφάλεια συστημάτων υπολογιστών. 

Για παράδειγμα,

• Ασφάλεια πληροφοριών είναι η προστασία των δεδομένων από μη εξουσιοδοτημένη πρόσβαση, τροποποίηση και διαγραφή.
• Η ασφάλεια εφαρμογών είναι η προστασία μιας εφαρμογής από απειλές στον κυβερνοχώρο όπως η έγχυση SQL, οι επιθέσεις DoS, οι παραβιάσεις δεδομένων κ.λπ.
• Η ασφάλεια του υπολογιστή ορίζεται ως η προστασία των συστημάτων υπολογιστών που επικοινωνούν μέσω δικτύων υπολογιστών όσον αφορά τον έλεγχο, διατηρώντας τα ενημερωμένα και διορθωμένα.
• Η ασφάλεια δικτύου ορίζεται ως η διασφάλιση τεχνολογιών λογισμικού και υλικού σε περιβάλλον δικτύωσης – η κυβερνοασφάλεια ορίζεται ως η προστασία συστημάτων υπολογιστών που επικοινωνούν μέσω δικτύων υπολογιστών όσον αφορά τον έλεγχο, διατηρώντας τα ενημερωμένα και επιδιορθωμένα.

Είναι σημαντικό να αναγνωρίσουμε τις διαφορές μεταξύ αυτών των όρων, ακόμη και αν δεν υπάρχει πάντα σαφής κατανόηση των ορισμών τους ή του βαθμού στον οποίο επικαλύπτονται ή είναι εναλλάξιμοι. Η ασφάλεια συστημάτων υπολογιστών αναφέρεται στις δικλείδες ασφαλείας που εφαρμόζονται για τη διασφάλιση της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας όλων των στοιχείων συστημάτων υπολογιστών.

Τα ακόλουθα είναι τα στοιχεία ενός συστήματος υπολογιστή που πρέπει να προστατεύονται:

• Υλικό ή τα φυσικά στοιχεία ενός συστήματος υπολογιστή, όπως η μνήμη του συστήματος και η μονάδα δίσκου.
• Το υλικολογισμικό είναι μη πτητικό λογισμικό που αποθηκεύεται μόνιμα στη μη πτητική μνήμη μιας συσκευής υλικού και είναι γενικά διαφανές στο χρήστη.
• Το λογισμικό είναι προγράμματα υπολογιστών που παρέχουν στους χρήστες υπηρεσίες όπως λειτουργικό σύστημα, επεξεργαστή κειμένου και πρόγραμμα περιήγησης ιστού, καθορίζοντας τον τρόπο λειτουργίας του υλικού για την επεξεργασία πληροφοριών ανάλογα με τους στόχους που ορίζονται από το λογισμικό.

Η Τριάδα της CIA ασχολείται κυρίως με τρεις τομείς ασφάλειας συστημάτων υπολογιστών:

• Η εμπιστευτικότητα διασφαλίζει ότι μόνο το κοινό για το οποίο απευθύνεται έχει πρόσβαση στις πληροφορίες.
• Η ακεραιότητα αναφέρεται στην αποτροπή μη εξουσιοδοτημένων μερών από την τροποποίηση των δεδομένων που υποβάλλονται σε επεξεργασία.
• Η διαθεσιμότητα αναφέρεται στη δυνατότητα αποτροπής αλλαγών δεδομένων από μη εξουσιοδοτημένα μέρη.

Οι πληροφορίες και τα εξαρτήματα του υπολογιστή πρέπει να μπορούν να χρησιμοποιηθούν, ενώ ταυτόχρονα προστατεύονται από άτομα ή λογισμικό που δεν θα πρέπει να έχουν πρόσβαση ή να τα τροποποιούν.

Οι πιο συχνές απειλές ασφάλειας συστημάτων υπολογιστών

Οι κίνδυνοι για την ασφάλεια των συστημάτων υπολογιστών είναι πιθανοί κίνδυνοι που θα μπορούσαν να διαταράξουν τη συνήθη λειτουργία του υπολογιστή σας. Καθώς ο κόσμος γίνεται πιο ψηφιακός, οι κίνδυνοι στον κυβερνοχώρο γίνονται πιο διαδεδομένοι. Οι παρακάτω είναι οι πιο επικίνδυνοι τύποι απειλών για την ασφάλεια του υπολογιστή:

• Ιοί – ένας ιός υπολογιστή είναι ένα κακόβουλο πρόγραμμα που εγκαθίσταται στον υπολογιστή του χωρίς να το γνωρίζει ο χρήστης. Αναπαράγεται και μολύνει τα δεδομένα και τα προγράμματα του χρήστη. Ο απώτερος σκοπός ενός ιού είναι να εμποδίσει τον υπολογιστή του θύματος να λειτουργήσει σωστά ή καθόλου.
• Ο ιός τύπου worm υπολογιστή – ένα worm υπολογιστή είναι ένας τύπος λογισμικού που μπορεί να αντιγραφεί από τον έναν υπολογιστή στον άλλο χωρίς την ανάγκη ανθρώπινης παρέμβασης. Επειδή ένα σκουλήκι μπορεί να αναπαραχθεί σε μεγάλους όγκους και σε υψηλές ταχύτητες, υπάρχει κίνδυνος να καταστρέψει το χώρο του σκληρού δίσκου του υπολογιστή σας.
• Phishing – ενέργεια ατόμου που παρουσιάζεται ως αξιόπιστο πρόσωπο ή οντότητα με σκοπό να κλέψει κρίσιμες οικονομικές ή προσωπικές πληροφορίες (συμπεριλαμβανομένων των διαπιστευτηρίων πρόσβασης σε συστήματα υπολογιστών) μέσω των λεγόμενων email phishing ή άμεσων μηνυμάτων. Το ηλεκτρονικό ψάρεμα είναι, δυστυχώς, απίστευτα απλό στην εκτέλεση. Ένα θύμα εξαπατάται και πιστεύει ότι η επικοινωνία από τον phisher είναι μια αυθεντική επίσημη επικοινωνία και το θύμα παρέχει ελεύθερα ευαίσθητες προσωπικές πληροφορίες.
• Botnet – ένα botnet είναι μια ομάδα υπολογιστών συνδεδεμένων με το Διαδίκτυο που έχουν μολυνθεί από έναν ιό υπολογιστή από έναν χάκερ. Ο όρος υπολογιστής ζόμπι ή bot αναφέρεται σε έναν μόνο υπολογιστή στο botnet. Ο υπολογιστής του θύματος, που είναι το bot στο botnet, θα γίνει αντικείμενο εκμετάλλευσης για κακόβουλες ενέργειες και επιθέσεις μεγαλύτερης κλίμακας όπως το DDoS ως αποτέλεσμα αυτής της απειλής.
• Rootkit – ένα rootkit είναι ένα πρόγραμμα υπολογιστή που διατηρεί προνομιακή πρόσβαση σε έναν υπολογιστή ενώ προσπαθεί να κρύψει την παρουσία του. Ο ελεγκτής του rootkit θα μπορεί να εκτελεί απομακρυσμένα αρχεία και να αλλάζει τις διαμορφώσεις συστήματος στον κεντρικό υπολογιστή μόλις εγκατασταθεί.
• Keylogger – τα keylogger, συχνά γνωστά ως keyloggers, μπορούν να παρακολουθούν τη δραστηριότητα του υπολογιστή ενός χρήστη σε πραγματικό χρόνο. Καταγράφει όλα τα πλήκτρα που εκτελούνται από το πληκτρολόγιο του χρήστη. Η χρήση ενός keylogger για την κλοπή των διαπιστευτηρίων σύνδεσης ατόμων, όπως το όνομα χρήστη και ο κωδικός πρόσβασης, είναι επίσης μια σοβαρή απειλή.

Αυτοί είναι ίσως οι πιο διαδεδομένοι κίνδυνοι ασφάλειας που μπορεί να συναντήσει κανείς πρόσφατα. Υπάρχουν περισσότερα, όπως κακόβουλο λογισμικό, wabbits, scareware, bluesnarfing και πολλά άλλα. Υπάρχουν, ευτυχώς, τεχνικές για την υπεράσπιση των συστημάτων υπολογιστών και των χρηστών τους από τέτοιες επιθέσεις.

Όλοι θέλουμε να διατηρήσουμε τα συστήματα υπολογιστών μας και τις προσωπικές ή επαγγελματικές μας πληροφορίες ιδιωτικές σε αυτήν την ψηφιακή εποχή, επομένως η ασφάλεια των συστημάτων υπολογιστών είναι απαραίτητη για την προστασία των προσωπικών μας πληροφοριών. Είναι επίσης σημαντικό να διατηρούμε τους υπολογιστές μας ασφαλείς και υγιείς, αποφεύγοντας ιούς και κακόβουλο λογισμικό να προκαλέσουν όλεθρο στην απόδοση του συστήματος.

Πρακτικές στην ασφάλεια συστημάτων υπολογιστών

Αυτές τις μέρες, οι κίνδυνοι ασφάλειας συστημάτων υπολογιστών γίνονται όλο και πιο καινοτόμοι. Για να προστατευτεί κανείς από αυτούς τους περίπλοκους και αυξανόμενους κινδύνους για την ασφάλεια των υπολογιστών και να παραμείνει ασφαλής στο διαδίκτυο, πρέπει να οπλιστεί με πληροφορίες και πόρους. Κάποιος μπορεί να λάβει τις ακόλουθες προφυλάξεις:

• Εγκατάσταση αξιόπιστου λογισμικού προστασίας από ιούς και ασφάλειας
• Επειδή ένα τείχος προστασίας λειτουργεί ως φύλακας ασφαλείας μεταξύ του Διαδικτύου και του τοπικού σας δικτύου, θα πρέπει να το ενεργοποιήσετε.
• Μείνετε ενημερωμένοι με το νεότερο λογισμικό και νέα σχετικά με τις συσκευές σας και εγκαταστήστε ενημερώσεις μόλις γίνουν διαθέσιμες.
• Εάν δεν είστε σίγουροι για την προέλευση ενός συνημμένου email, μην το ανοίξετε.
• Χρησιμοποιώντας έναν μοναδικό συνδυασμό αριθμών, γραμμάτων και τύπων πεζών-κεφαλαίων, αλλάξτε τους κωδικούς πρόσβασης σε τακτική βάση.
• Κατά την πρόσβαση στο Διαδίκτυο, να είστε προσεκτικοί με τα αναδυόμενα παράθυρα και τις λήψεις μέσω κίνησης.
• Επενδύοντας χρόνο για να μάθετε για τις βασικές αρχές της ασφάλειας των υπολογιστών και να παρακολουθείτε τις πιο πρόσφατες απειλές στον κυβερνοχώρο
• Πραγματοποιήστε καθημερινές πλήρεις σαρώσεις συστήματος και δημιουργήστε ένα τακτικό πρόγραμμα δημιουργίας αντιγράφων ασφαλείας συστήματος για να διασφαλίσετε ότι τα δεδομένα σας είναι ανακτήσιμα σε περίπτωση που το μηχάνημά σας αποτύχει.

Εκτός από αυτά, υπάρχουν πολλές άλλες επαγγελματικές προσεγγίσεις για την προστασία των συστημάτων υπολογιστών. Οι πτυχές που περιλαμβάνουν επαρκείς αρχιτεκτονικές προδιαγραφές ασφαλείας, κρυπτογράφηση και εξειδικευμένο λογισμικό μπορούν να βοηθήσουν στην προστασία των συστημάτων υπολογιστών.

Δυστυχώς, ο αριθμός των κινδύνων στον κυβερνοχώρο αυξάνεται ραγδαία και εμφανίζονται πιο περίπλοκες επιθέσεις. Για την καταπολέμηση αυτών των επιθέσεων και τον μετριασμό των κινδύνων, απαιτούνται περισσότερες επαγγελματικές και εξειδικευμένες δεξιότητες στον τομέα της κυβερνοασφάλειας.