Bezbednost računarskih mreža – Plan implementacije tehničkih bezbednosnih kontrola

Plan implementacije 

tehničkih bezbednosnih 

kontrola

Beograd, februar 2011.

Verzija 0.1

Sadržaj

1. Uvod........................................................................................................................................4
2. Predlog plana implementacije tehničkih bezbednosnih kontrola u informacionom sistemu 
Organizacije................................................................................................................................ 5

2.1 Predlog skupa tehničkih bezbednosnih kontrola za implementaciju................................6

2.1.1 Predlog skupa tehničkih bezbednosnih kontrola koje umanjuju rizike sa visokim 
uticajem...............................................................................................................................6
2.1.2 Predlog skupa tehničkih bezbednosnih kontrola koje umanjuju rizike sa srednjim 
uticajem...............................................................................................................................8

3. Predložene tehničke bezbednosne kontrole..........................................................................12

3.1 PKI sistem u informacionom sistemu Organizacije za interne i eksterne korisnike.......12

4.1.1 Svetska praksa uspostave PKI sistema....................................................................12
3.1.2 Predlog uspostave PKI hijerarhije na bazi Microsoftove PKI tehnologije..............13
3.1.3 Mogućnosti uspostave CA koje izdaje kvalifikovane sertifikate u informacionom 
sistemu Organizacije.........................................................................................................15
3.1.4 Konkretan predlog realizacije CA u informacionom sistemu Organizacije............17

3.2 Primena smart kartica u informacionom sistemu Organizacije......................................18

4.2.1 Opšta obeležja smart kartica....................................................................................19
3.2.2 Predlog primene templejta za sertifikate u PKI sistemu informacionog sistema 
Organizacije...................................................................................................................... 23

3.3 Projekat Corporate ID kartice u informacionom sistemu Organizacije..........................26
3.4 Višeslojna arhitektura sistema zaštite u informacionom sistemu Organizacije..............27

3.4.1 Zaštita na aplikativnom nivou..................................................................................28
3.4.2 Zaštita na transportnom nivou.................................................................................31
3.4.3 Zaštita na mrežnom nivou........................................................................................32

3.5 Jaka autentikacija korisnika i mehanizmi zaštite u informacionom sistemu Organizacije
...............................................................................................................................................32

3.5.1 Osnovne pretpostavke za realizaciju sistema bezbednosti.......................................33
3.5.2 Mehanizmi jake autentikacije korisnika u informacionom sistemu Organizacije...34
3.5.3 Mehanizmi autorizacije korisnika u informacionom sistemu Organizacije............36
3.5.4 Konkretni predlozi realizacije sistema bezbednosti u informacionom sistemu 
Organizacije...................................................................................................................... 37
3.5.5 Mehanizmi zaštite baza podataka informacionog sistema Organizacije.................40

3.6 IAM (Identity and Access Management) projekat..........................................................41

3.6.1 Uvod.........................................................................................................................41
3.6.2 Razlozi za realizaciju IAM projekta u Organizaciji................................................41
3.6.3 Osnovne funkcije standardnih IAM rešenja............................................................41
3.6.4 Predlog faza realizacije IAM projekta u informacionom sistemu Organizacije......45

3.7 BCM projekat..................................................................................................................46
3.8 NAC (Network Admission Control)...............................................................................47
3.9 Konsolidacija računarske mreže Organizacije................................................................47

3.9.1 Predlog arhitekture računarske mreže Organizacije................................................48
3.9.2 Mehanizmi zaštite kontrole pristupa........................................................................51

3.10 Korišćenje SMTP proxy servera...................................................................................53

2

1. Uvod

Ovaj dokument predstavlja plan za implementaciju tehničkih bezbednosnih kontrola i 
predstavlja izlazni rezultat faze WP3  Projekta Procena rizika na najvišem nivou u 
okviru informacionog sistema određene organizacije.

Faza WP3 Projekta se odnosi na izradu plana implementacije nedostajućih tehničkih 
kontrola na osnovu Izjave o primenljivosti, kao izlaznog rezultata faze WP2 Projekta.

4

2. Predlog plana implementacije tehničkih 
bezbednosnih kontrola u informacionom sistemu 
Organizacije

Predlog   opcija   za   tretiranje   identifikovanih   bezbednosnih   rizika   u   informacionom 
sistemu Organizacije je dat u Prilogu 7 ISMS dokumenata koji predstavljaju izlazni 
rezultat faze WP2 projekta. 

Identifikovani   i   ocenjeni   bezbednosni   rizici   u   informacionom   sistemu   Organizacije 
podeljeni su u tri kategorije, prema veličini negativnog uticaja (ocenjenog u Prilogu 5 
ISMS dokumenata) na:



Visok (high) – ocena evaluacije rizika od 300 do 450



Srednji (medium) – ocena evaluacije od 150 do 299



Nizak (low) – ocena evaluacije od 0 do 149

U Prilogu 7 ISMS dokumenata su predložena i rešenja za umanjenje identifikovanih 
rizika. Rešenja se generalno dele na predloge:



Implementacije odgovarajuće tehničke bezbednosne kontrole



Izrade odgovarajuće administrativne bezbednosne kontrole

Imajući u vidu predložene kontrole za umanjenje identifikovanih bezbednosnih rizika, 
kao   i   nivoe   negativnog   uticaja   datih   rizika,   predlažemo   realizaciju   tehničkih 
bezbednosnih kontrola u sledećim fazama:



I faza – u roku od šest meseci nakon završetka faze WP3 Projekta

o

Implementacija   tehničkih   bezbednosnih   kontrola   koje   umanjuju 
identifikovane   bezbednosne   rizike   sa   visokim   (high)   uticajem   na 
bezbednost informacionog sistema Organizacije



II faza – u roku od šest meseci nakon završetka I faze

o

Implementacija   tehničkih   bezbednosnih   kontrola   koje   umanjuju 
identifikovane bezbednosne rizike sa srednjim (medium) uticajem na 
bezbednost informacionog sistema Organizacije

Što se tiče identifikovanih bezbednosnih rizika sa niskim uticajem (Low), predlažemo 
da se isti prihvate, tj. da se ne implementiraju tehničke bezbednosne kontrole za 
njihovo umanjenje ili eliminaciju.

Izrada administrativnih bezbednosnih kontrola je predmet faze WP4.

U   nastavku   navodimo   detaljni   opis   predloženih   načina   implementacije   navedenih 
kontrola.

5

korisnika  u  organizaciji  za   pristup  operativnom  sistemu  i  aplikativnim 
informacionim sistemima

 – Implementirati Identity and Access Management 

(IAM)   sistem   u   organizaciji   za   bezbedno   upravljanje   identitetima   internih 
korisnika.



Ne   postoji   adekvatna   tehnička   bezbednosna   kontrola   po   kojoj   se 

redovno vrši pregled prava pristupa korisnika operativnom sistemu, kao 
i   aplikativnim   informacionim   sistemima   organizacije

  –   Implementirati 

Identity   and  Access  Management   (IAM)   sistem  u  organizaciji  za  bezbedno 
upravljanje identitetima internih korisnika.



Ne   postoje   adekvatne   tehničke   bezbednosne   kontrole   autentikacije 

korisnika   koje   se   koriste   za   potrebe   kontrole   udaljenog   pristupa 
informacionom sistemu organizacije

  – Implementirati interni PKI sistem u 

organizaciji   na   bazi   Microsoft   2008   Active   Directory   Certificate   Services 
tehnologije za izdavanje digitalnih sertifikata internim korisnicima i poslovnim 
saradnicima.   Implementirati   dvo-faktorsku   autentikaciju   prilikom   udaljenog 
pristupa   internih   korisnika   informacionom   sistemu   organizacije   korišćenjem 
smart   kartica   i   digitalnih   sertiifikata   za   potrebe   VPN   (IPSec)   ili   SSL-VPN 
zaštitnih tehnika pristupa.



Ne   vrši   se   promptno   izveštavanje   o   bezbednosnim   incidentima 

korišćenjem unapred definisanih kanala komunikacije

 – Uvesti obavezu i 

propisati procedure promptnog izveštavanja o bezbednosnim incidentima.



U organizaciji ne postoji organizovani (uspostavljen i održavan) poslovni 

proces ili program u cilju upravljanja kontinuitetom poslovanja

  – Uvesti 

BCM   (Business   Continuity   Management)   proces   u   organizaciji   koji 
podrazumeva   odgovarajuću   analizu   rizika   i   BIA   (Business   Impact   Analizu) 
koliko mogući incidenti prekida poslovanja mogu uticati na kritične poslovne 
procese organizacije, kao i koliko nedostatak određenog poslovnog procesa 
može negativno uticati na poslovanje organizacije.



Ne postoje BCP i DRP planovi i ne vrši se njihovo testiranje

 – Na osnovu 

BCM procesa izraditi BCP (Business Continuity Plan) za kritične procese u 
organizaciji. Takođe, na osnovu BCM procesa izraditi DRP (Disaster Recovery 
Plan) za kritične procese u organizaciji, i to pre svega za slučaj nedostatka 
ICT   sistema   organizacije.   Nakon   izrade   planova,   kreirati   plan   periodičnog 
testiranja valjanosti BCP i DRP planova. 



Nema šifrovanja podataka sa izdvojenim delovima organizacije niti sa 

određenim spoljnim organizacijama

 – Sa izdvojenim delovima organizacije 

uspostaviti site-to-site VPN (IPSec) na bazi digitalnih sertifikata. 



Pristup email serveru spolja po nešifrovanim protokolim pop3 i smtp

  – 

Razmotriti   mogućnost   obezbeđenja   da   se   mail   serveru   pristupi   od   strane 
spoljnih korisnika samo putem web maila uz uspostavljeni SSL/TLS tunel sa 
šifrovanjem. 



Postoji   mogućnost   neovlašćenog   priključivanja   u   korporativni   sistem 

organizacije   u   isturenim   odeljenjima   i   da   se   na   taj   način   pristupi 
centralnom   informacionom   sistemu

  –   Implementirati   sistem   kontrole 

pristupa   računarskoj   mreži   organizacije   (NAC   –   Network   Access   Control). 
Nakon   implementacije   ovog   sistema,   biće   uvedena   kontrola   na   krajnjim 
tačkama i biće nemoguće konektovati bilo kakav računar na računarsku mrežu 

7