���������������

CYKL SZKOLEŃ
Z OBSZARU
ZARZĄDZANIA
BEZPIECZEŃSTWEM IT

�
����� ��� ������� ������� ������� ��������� ��������������� ����������� ��� ������� ���� ������������� ������
������������� �������� ������������ �� ������������ �������� �� �������� ������������ ���������������� ����
������� ��� �� ������� ������� ������������ ���������� ���� �� ���������� ������ ����� ����������� ������������
����������������������������������������������������������������������������������������������������������
����������������������������������������������������������������������������������
�������������������������������������������������������������������������������������������������������������
�������������������
� ����� �������������� � ����� ������������� � ����������
������������������� ������ �� � ��������������
���������� ���������� ���������� � �� ����� ������
� � ������ ������
� ����� ������������
� ������������� �������� �������������� � ����� ����� ������
� � ������ ������
� ��������� �������������� �� ��������
� ��� � ����������� ���������� ��������� �����
�� � �� ������ ������ � ����� ����� ������

� �������������� ��������� ������������� � ������� ������������� ������

� �� ������ ����� � ����� ����� ������

� ����������� �������� � �����������

� ��� ����� ������
������� � ��������
���������
�������������������� ��������� ���������
�����������
��������������������������������������������
��������������
��������������������������� �������
 2/2011 (69)

DRODZY CZYTELNICY SPIS TREŚCI

6 Aktualności
Idzie luty szykuj... minifiltry. Pokonując nie tak du-
że w tym roku zaspy śnieżne oraz nie zwalniając 9 Konkurs Hakin9 i Kaspersky
na oblodzonych zakrętach oddajemy w Wasze ręce

kolejny numer naszego magazynu. Mamy nadzie-
ję, że każdy z Was znajdzie w nim coś dla siebie.
W tym wydaniu przygotowaliśmy między innymi ar-
tykuły o minifiltrach systemu Windows czy pierwszą
część artykułu pod tajemniczym tytułem – Oszu-
kać napastnika. Strzeżcie się zatem potencjalni in-
truzi! Ponadto mamy dla Was teksty o bazach da-
nych – ich bezpieczeństwie oraz o zasadach korzy-
stania z nich w świetle przepisów prawnych. Na de-
ser w naszym mroźnym numerze polecamy wziąć
udział w gorącym konkursie, w którym do wygrania
jest pięć egzemplarzy oprogramowania antywiruso-
wego Kaspersky Internet Security 2011.
Zachęcamy zatem do lektury i życzymy szczęścia
w konkursie!
Redakcja
OBRONA
10 Nadzorowanie dostępu do zawartości
woluminów w systemie Windows za pomocą
minifiltrów
Piotr Gawron
Czytelnicy zainteresowani modyfikowaniem swojego
Windowsa na pewno znają wiele sposobów na osiąga-
nie „odmiennego” zachowania systemu. W tym artyku-
le chciałbym zająć się zmodyfikowaniem odczytu za-
wartości nośników danych. Zapewne zdarzają się sytu-
acje, kiedy nie chcemy, aby możliwy był dostęp do pew-
nych informacji na nim zawartych. Atrybut read i prawa
dostępu? Może czasami ta kombinacja wystarczy, ale
dlaczego do realizacji tego zadania nie zaprząc tech-
nologii używanej między innymi przez... programy an-
tywirusowe?
16 Oszukać napastnika – cz. 1.
Poznaj podstawowe metody ukrywania
informacji o swoim systemie
Sebastian Fyda
Każdy dostępny publicznie serwer świadczy zwykle jed-
ną lub więcej usług. Każda z tych usług to pewien frag-
ment oprogramowania, które jak każde oprogramowa-
nie ma swoje błędy. Każda z usług ma też swoją cha-
rakterystyczną sygnaturę, która pozwala na określenie,
jaki software i w jakiej wersji realizuje usługę. Dzięki
publicznemu udostępnieniu tych informacji zwiększa-
my ryzyko skutecznego ataku na nasz serwer. Czasa-
mi samo ukrycie informacji wystarczy do zniechęcenia

Miesięcznik hakin9 (12 numerów w roku)
jest wydawany przez Software Press Sp. z o.o. SK
Prezes wydawnictwa: Paweł Marciniak
Dyrektor wydawniczy: Ewa Łozowicka
Redaktor prowadzący:
Adrian Gajewski adrian.gajewski@software.com.pl
Skład i łamanie:
Tomasz Kostro www.studiopoligraficzne.com
Kierownik produkcji:
Andrzej Kuca andrzej.kuca@software.com.pl
Wyróżnieni betatesterzy: Łukasz Przyjemski
Adres korespondencyjny:
Software Press Sp. z o.o. SK, ul. Bokserska 1,
02-682 Warszawa, Polska tel. +48 22 427 32 85,
+48 22 427 36 46, fax +48 22 224 24 59
www.hakin9.org/pl
Dział reklamy: adv@software.com.pl
Redakcja dokłada wszelkich starań, by publikowane w
piśmie i na towarzyszących mu nośnikach informacje
i programy były poprawne, jednakże nie bierze
odpowiedzialności za efekty wykorzystania ich; nie
gwarantuje także poprawnego działania programów
shareware, freeware i public domain.
Wszystkie znaki firmowe zawarte w piśmie są
własności odpowiednich firm.
Zostały użyte wyłącznie w celach informacyjnych.
Osoby zainteresowane współpracą
prosimy o kontakt z Redakcją.

4 2/2011
 HAKIN9 2/2011

SPIS TREŚCI

tzw. Script-kiddies, którzy z reguły poszukują serwe-
rów z konkretną wersją oprogramowania i niezdradza-
jących jakichkolwiek działań w kierunku hardeningu, ja-
ko celi swoich ataków.
20 Bezpieczeństwo baz danych
Michał Sajdak
Bazy danych często stanowią jeden z głównych ele-
mentów systemów IT: przechowują oraz udostępniają
informacje. Sama definicja bazy nie narzuca określone-
go sposobu organizacji danych, jednak obecnie najbar-
dziej rozpoznawana na rynku jest baza relacyjna oraz
związany z nią język SQL. Implementacji „SQL-owych
baz danych” są zapewne setki, choć zaledwie kilka
z nich cieszy się dużą popularnością. Takimi systema-
mi są: Oracle Database, SQL Server, DB2, MySQL czy
Postgresql. Przy okazji, warto wspomnieć, że istnieją
również inne rozwiązania – oferujące alternatywne do
wspomnianych powyżej sposoby organizacji informacji,
jak choćby obiektowa baza danych (np. ZODB) czy ba-
BEZPIECZNA FIRMA
37 Narzędzia do automatycznego audytu
bezpieczeństwa
Maciej Karmoliński
Wprowadzanie systemu automatycznego wykrywania
i zarządzania podatnościami w złożonych sieciach, jest
nowo przyjętym podejściem dużych i średnich przed-
siębiorstw na rynku europejskim. Ocena stosowanych
zabezpieczeń uległa znacznej poprawie dzięki kwar-
talnym, miesięcznym a nawet codziennym audytom,
dzięki którym mamy możliwość szybszego reagowa-
nia na powstałe luki systemu, bądź zmianę istnieją-
cego zagrożenia. Narzędzia służące automatyczne-
mu wykrywaniu podatności, pozwalają na łatwą i pre-
cyzyjną kontrolę bezpieczeństwa informacji poufnych,
która może być prowadzona przez jedną osobę dla ca-
łej firmy.

KLUB TECHNICZNY
za danych XML (np. eXist).

26 Zarządzanie bezpieczeństwem danych

osobowych. Kwestie prawne e-commerce 41 Klub Techniczny
Marcin Engelmann TriGeo SIM oraz ATOS
Dane osobowe klientów sklepu internetowego – na co

FELIETON
powinien zwrócić uwagę właściciel sklepu, żeby nie tyl-
ko działać w zgodzie z ustawą o ochronie danych oso-
bowych, ale również budować zaufanie swoich klien-
tów. Czym są dane osobowe, jak je zabezpieczyć, na 45 Odzyskiwanie danych po polsku, czyli jak
co zwrócić uwagę? nie stracić danych odzyskując je
Artur Skrouba
32 Bazy danych i zasady korzystania z nich
w świetle przepisów prawa polskiego
Dariusz Łydziński
Bazy danych i korzystanie z nich stanowią przedmiot
działalności wielu podmiotów gromadzących i prze-
twarzających dane, dlatego też często są poddawane
zagrożeniom ze strony przestępców działających we-
wnątrz firmy oraz napastników zewnętrznych, którzy
nie szukają już hakerskiej sławy, lecz są głównie zain-
teresowani korzyściami finansowymi. W każdej organi-
zacji dane są drugim najcenniejszym zasobem, zaraz
po pracownikach. Firmy są zobowiązane do ochrony
własnego personelu i klientów poprzez dołożenie na-
leżytej staranności i zapewnienie maksymalnych możli-
wych zabezpieczeń.

www.hakin9.org 5

Zatruwanie P2P
Firmy zajmujące się walką z pirac-
twem (takie jak chociażby Media-
Defender) od lat zalewają sieci
peer-to-peer fałszywymi danymi.
Mimo że techniki tego typu różnią
się od siebie, cel jest ten sam - znie-
chęcić ściągających pliki tak skutecz-
nie, aby ci poszukali sobie legalnej
alternatywy.
Działania te rozpoczęły cichą wojnę
pomiędzy “wymieniaczami plików”,
a grupami antypirackimi.
Ci pierwsi rozpoczęli blokować
znane adresy IP, które serwują fałszy-
we pliki. Serwisy, takie jak The Pirate
Bay, filtrowały zawartość, blokując
konta użytkowników wrzucających
niewłaściwe treści.
Pomimo takich działań, sieci P2P
w dalszym ciągu zalane są fałszy-
wymi plikami. Z najnowszych analiz
wynika, że prawie jedna trzecia treści
dostępnych w sieci BitTorrent jest
fałszywa. Najwyższe statystyki (30
procent fałszywych plików) notują
tak popularne portale, jak The Pirate
Bay i Mininova - podają prowadzący
badania naukowcy z Uniwersytetu
Carlosa III z Madrytu.
Amazon pomaga łamać
hasła WPA
Webhostingowa oferta Amazo-
na może pomóc cyberprzestępcom
w łamaniu haseł sieci bezprzewodo-
wych - uważa niemiecki ekspert ds.
bezpieczeństwa.
Thomas Roth twierdzi, że chmura
serwerów EC2 Amazona znacznie
ułatwia pracę narzędziom do łama-
nia haseł sieci bezprzewodowych.
Stworzone przez Rotha oprogramo-
wanie zainstalowane w chmurze
komputerów Amazona jest w stanie
przetestować w ciągu sekundy 400
tysięcy haseł.
Ekspert pragnie ujawnić wyniki
swojej pracy nad łamanie standardu
WPA-PSK podczas konferencji Black
Hat, która odbędzie się w tym mie-
siącu.
“Ludzie mówią mi, że nie da się złamać
WPA, a jeśli jest to możliwe, koszto-
wać to może sporo czasu i pieniędzy”
- twierdzi Roth. “Z taką mocą oblicze-
niową jest to łatwe, nawet korzystając
z metody brute force” - dodaje.
Złamanie jednego hasła WPA-PSK za
pomocą chmury Amazona trwa śred-
nio około sześć minut.
6 2/2011
AKTUALNOŚCI
Polacy ostrzegali IBM-a
Przeznaczony dla deweloperów serwis korporacji IBM padła ofiarą cyber-
przestępców, którzy podmienili zawartość niektórych stron - poinformował
amerykański koncern.
IBM nazwał włamanie aktem wandalizmu. Korporacja odzyskała zawar-
tość oryginalnych stron w ciągu kilku godzin, mimo tego kopia pracy cyber-
przestępców została przekopiowana w inne miejsce.
Nie utracono żadnych danych, nie doszło także do przejęcia danych oso-
bowych oraz haseł - uspokaja IBM.
Jak się okazuje, o słabych zabezpieczeniach serwisu korporację IBM in-
formowała już siedem miesięcy temu firma Ariko Security z Oświęcimia.
Tymczasowe obejście na lukę w CSS
Microsoft opublikował przejściową łatę krytycznej luki w zabezpieczeniach
Internet Explorera, która wystawiała komputery na ryzyko ataku poprzez
zdalne wykonanie kodu.
Gigant oprogramowania otrzymał do tej pory niewielką liczbę zgłoszeń
dotyczących ataków z wykorzystaniem tej luki.
“Błąd związany jest z niewłaściwym zwalnianiem pamięci podczas pra-
cy funkcji CSS w Internet Explorerze” - poinformował Microsoft. “Specjalnie
spreparowana strona internetowa może przejąć część pamięci aby wstrzyk-
nąć tam zdalny kod” - informuje dalej.
Nowa poprawka zabezpiecza przed rekurswnym ładowaniem styli CSS
w Internet Explorerze. Firma z Redmond sugeruje, aby administratorzy IT,
którzy podejrzewają atak, powinni się zastosować do zaleceń. Jest to na ra-
zie jedyny sposób ominięcia zagrożenia.
SMS-y nie są już bezpieczne
RSA przewiduje w tym roku wzrost intensywności ataków na telefony ko-
mórkowe - celem cyberprzestępców ma być przechwytywanie SMS-ów au-
toryzujących operacje bankowe.
Tokeny tego typu maja uzupełniać autoryzację użytkownika, który oprócz
podania loginu i hasła musi wprowadzić kod otrzymany od banku SMS-em.
Często w ten sposób autoryzowane są operacje bankowe.
Tego typu autoryzacja staje się coraz popularniejsza - Commonwealth
Bank of Australia ujawnia, że z takiego mechanizmu korzysta 80 procent
klientów tego banku (bank nie namawia zbytnio na takie rozwiązanie).
“Przestępca może przeprowadzić telefoniczny atak typu ‘denial-of-servi-
ce’, który unieruchomi komórkę ofiary” - tłumaczy RSA. “Wysyłany przez
bank SMS może być przechwycony i przekazany bezpośrednio to telefo-
nu cyberprzestępcy”. Raport RSA wyjaśnia, że póki co nie ma efektywnego
sposobu ochrony przed tzw. “smishingiem”.
Facebook wstrzymuje nową funkcjonalność
Facebook “tymczasowo zawiesił” wprowadzenie kontrowersyjnej funkcjonal-
ności swojego portalu, która miała udostępniać deweloperom aplikacji dane
osobowe użytkowników korzystających z niewielkich dodatków do FB.
Serwis społecznościowy wstrzymał wprowadzenie funkcjonalności trzy
dni po oficjalnym anonsie. Decyzja spowodowana została gwałtownym pro-
testem użytkowników oraz krytyką firm zajmujących się bezpieczeństwem.
Aby uzyskać dostęp do aplikacji użytkownik musi udzielić na to zgodę.
Jednakże spora grupa internautów bardzo często klika w różnego rodzaju
przyciski, nie zwracając uwagi na znajdujący się obok opis. To właśnie dla-
tego nowa funkcjonalność zwraca uwagę takich firm, jak chociażby Sophos,
który sądzi, że teraz łatwiej szerzyć się będą złośliwe aplikacje.
 Aktualności

Stuxnet mógłby być bardziej efektywny Bomba od The Pirate Bay?

Robak Stuxnet, który zaatakował kluczowe systemy związane z irańskim Zespół portalu The Pirate Bay przy-
programem nuklearnym, niszcząc sprzęt oraz opóźniając prace, jest “pełen gotowuje nową usługę wymiany
plików muzycznych.
błędów” - uważa jeden z ekspertów ds. bezpieczeństwa. TPB zarejestrował kilka lat temu
Konsultant Tom Parker zasugerował podczas swego wystąpienia na kon- domenę themusicbay.org, która do
ferencji Black Hat DC, że kod robaka nie został raczej stworzony przez je- tej pory nie była wykorzystywana.
den elitarny zespół, jak wcześniej sądzono, lecz dwie niezależne grupy. Obecnie przekierowuje ona ruch na
Parker wykorzystał do analizy kodu robaka odpowiednie narzędzie, które stronę The Pirate Bay.
wykazało znaczące różnice w jakości kodu. Zastanawia natomiast pojawienie
się nowego adresu - fear.themusica-
Stuxnet ukrył się w systemie nuklearnym w bardzo sprytny sposób, zapi-
bay.org - pusta witryna zawiera w na-
sując wcześniej telemetrię normalnych operacji, a następnie odtwarzał ją głównku tag title o treści “Coming
zespołowi monitorującemu podczas swej właściwej pracy. soon”.
Takie działania nie przekonują eksperta Neila Lawsona, który uważa, że “Przemysł muzyczny nie ma pojęcia
zastosowane metody maskowania są amatorskie. “Mam nadzieję, że robak co przygotowujemy i zaprezentuje-
nie został stworzony w USA, bo oznaczałoby to, że nasze elitarne cyber- my w ciągu najbliższych miesięcy. Od
lat zawzięcie tłumaczą nam o pirac-
służby reprezentują poziom bułgarskich nastolatków z lat 90-tych”.
twie, ale jeśli kiedykolwiek mieliby się
czegoś wystraszyć, ten czas nadcho-
Przestępcy dbają o prawa autorskie dzi” - ujawnił rzecznik The Pirate Bay.
Autorzy złośliwego oprogramowania stosują w swoich najpopularniejszych “To będzie niespodzianka na 78 uro-
produktach zabezpieczenia antypirackie chroniące ich własną pracę - in- dziny IFPI [International Federation of
formuje Symantec. Zabezpieczenia takie posiadają bardziej skomplikowa- the Phonographic Industry]” - dodaje.
ne zestawy narzędziowe. “Używają tej samej technologii DRM (Digital Ri- Botnet dla smartfonów
ghts Management), co legalne, poważne produkty” - tłumaczy Craig Scrog- Georgia Weidman to sprytna dziew-
gie, dyrektor zarządzający Symantec Pacific. “Tworzą swoje systemy DRM, czyna - dzięki jej pracy mamy do czy-
kradną te już dostępne, albo łączą oba rozwiązania” - dodaje. nienia z erą nowego typu malware
Większość klientów kupujących hakerskie zestawy narzędziowe nie po- dla komórek.
siada wystarczająco dużo wiedzy, aby poradzić sobie z zabezpieczeniami Weidman planuje prezentację swojej
pracy podczas najbliższej imprezy
DRM. A cena za tego typu produkty wzrosła dramatycznie - z 11 w 2006 ro- Schmoocon w Waszyngtonie - pod-
ku do 5800 euro obecnie. “Wysoka cena uzależniona jest od skuteczności czas wystąpienia wykorzysta ona
malware” - wyjaśnia Scroggie. trzy telefony z systemem Android.
Cóż takiego stworzyła Weidman?
Złamano zabezpieczenia aplikacji Metodę stworzenia ze smartfonów
na Windows Phone 7 węzłów botnetu.
Do zainfekowania telefonu służy
FreeMarketplace to koncept aplikacji pozwalający na darmowe pobranie i za-
stworzony przez Weidman rootkit,
instalowanie dowolnej aplikacji systemu operacyjnego Windows Phone 7. który po zainstalowaniu odpowiada
Chociaż aplikacje Marketplace są chronione przez DRM, FreeMarketpla- za wysyłanie spamu lub przeprowa-
ce usuwa te blokady, pozwalając na korzystanie z programów bez potrze- dzanie ataku DoS bez wiedzy właści-
by dokonywania opłat. ciela telefonu.
Już wkrótce po pojawieniu się platformy na rynku okazało się, że moż- “Gdy zainfekowałam telefon w swoim
laboratorium, smartfon był w stanie
na łatwo pobrać pakiety instalacyjne - pliki XAP. Klient Zune pobiera pliki
odbierać sms-y z instrukcjami, które
XML zawierające wszystkie lokalizacje pakietów, zaś zarówno pliki XML, jak po odebraniu ulegały skasowaniu.
i XAP są oferowane bez restrykcji. Dzięki temu użytkownik nie ma świa-
Niedawno na forum deweloperów XDA pojawił się post informujący w ja- domości, że jego telefon jest częścią
ki sposób można pobrać i przerobić plik XAP, aby udało się go zainstalo- botnetu” - wyjaśnia.
wać. Pomimo skasowania przez admininistrację forum posta, okazał się
on inspiracją dla pewnego dewelo-
pera, który stworzył aplikację mo-
dyfikującą pliki XAP. Autor kodu
nie dystrybuuje aplikacji, nie opi-
suje też w szczegółach jej działa-
nia. Jego intencją jest zademon-
strowanie problemu, a nie promo-
cja piractwa.
Microsoft został poinformowany
o pojawieniu się aplikacji.

www.hakin9.org 7

Użytkownicy Twittera w niebez-
pieczeństwie
Wykryto szkodnika rozprzestrzenia-
jącego się na Twitterze. Robak wyko-
rzystuje usługę Google pozwalają-
cą na skracanie odsyłaczy (goo.gl)
i nakłania niczego niepodejrzewa-
jących użytkowników do instalowa-
nia fałszywych programów antywi-
rusowych na swoich komputerach.
Robak przekierowuje użytkowników
Twittera na stronę WWW oferującą
fałszywe rozwiązanie antywiruso-
we o nazwie „Security Shield”. Cyber-
przestępcy użyli specjalnych tech-
nik, aby ukryć prawdziwy kod strony
przed bardziej wnikliwymi osobami.
„Szkodliwe odsyłacze w wiadomo-
ściach na Twitterze przekierowu-
ją użytkowników na różne domeny,
w obrębie których znajduje się strona
o nazwie ‘m28sx.html’” - mówi Nico-
las Brulez, ekspert z Kaspersky Lab.
„Ta strona z kolei przerzuca użytkow-
ników jeszcze dalej, pod adres w do-
menie zlokalizowanej na Ukrainie”.
Jakby tego było mało, domena ta
przekierowuje na inny adres IP, który
był już wcześniej wykorzystywa-
ny przez cyberprzestępców do ofe-
rowania użytkownikom fałszywych
programów antywirusowych. „Ten
adres wykonuje ostatnie przekierowa-
nie, które prowadzi wprost do strony
zawierającej szkodliwy kod”, tłuma-
czy Nicolas Brulez.
W efekcie atakowany użytkownik
widzi sfałszowaną informację o tym,
że na komputerze działają podejrza-
ne aplikacje i otrzymuje propozy-
cję uruchomienia skanowania anty-
wirusowego. Jak zwykle w takich
przypadkach, po uruchomieniu „ska-
nowania” komputer jest infekowa-
ny prawdziwymi szkodliwymi pro-
gramami, a użytkownik otrzymu-
je ofertę zakupu programu antywi-
rusowego w atrakcyjnej cenie. Pro-
gram ten oczywiście jest fałszywy,
a jego instalacja prowadzi wyłącznie
do dalszych infekcji.
Więcej newsów znajduje się
na stronie serwisu
informacyjnego Hacking.pl
http://hacking.pl.
8 2/2011
AKTUALNOŚCI
Estonia chce mieć cyberoddział
Estonia chce rekrutować specjalistów do swojej tworzonej cyberarmii.
Niewielkie nadbałtyckie państwo tworzy kadrę komputerowych specjalli-
stów - ochotników, którzy mają bronić komputerowej infrastruktury kraju.
Znany pod nazwą Cyber Defense League oddział ma składać sie ze spe-
cjalistów IT oraz inżynierów, którzy w czasie wojny będą dowodzeni przez
przedstawicieli armii.
Estonia ma dobry powód, by stworzyć tego typu oddział - jako pierwszy
kraj w historii padła ofiarą zmasowanego cyberataku. Sprawcami ataku by-
li Rosjanie, którzy wyrazili swój sprzeciw w kwestii przenoszenia pomników
pamięci żołnierzy poległych w czasie II Wojny Światowej.
Nadchodzą czasy cyberwojen
Głównodowodzący brytyjskich sił zbrojnych, generał Sir David Richards,
pragnie stworzyć specjalną jednostkę, która ma chronić Zjednoczone Kró-
lestwo przed cyberatakami.
Richards przewiduje swego rodzaju kulturową zmianę w działaniach wo-
jennych - Internet ma odgrywać równie istotne znaczenie na polu walki, co
wojska konwencjonalne. “Musimy nauczyć się bronić, przeszkadzać, atako-
wać i manewrować w cyberprzestrzeni, tak jak robimy to na lądzie, morzu,
czy w powietrzu” - tłumaczy Sir Richards.
“Wojny przyszłości zawsze będą dotyczyć cyberprzestrzeni, aby stać się
potem dominującym polem walki” - dodaje.
Sony odpowiada na złamanie PS3
Minął już ponad miesiąc od pojawienia się informacji o złamaniu przez gru-
pę Fail0verflow klucza prywatnego dla konsoli PS3.
Odkrycie to pozwala domowym deweloperom podpisywać swoje aplika-
cje i uruchamiać je na PlayStation 3. Przedstawiciele Sony przez tydzień
nie komentowali odkrycia - możliwe, że nie zwrócili uwagi na raport, albo
też uważali, że jest to luka, którą w łatwy sposób można wkrótce załatać.
Japoński producetnt wysłał do magazynu Edge swoje oficjalne stanowi-
sko: “Zostaliśmy poinformowani o fakcie złamania klucza i przyglądamy
się tej kwestii. Dokonamy naprawy oprogramowania poprzez odpowied-
nie aktualizacje sieciowe, jednakże ze względu na to, że mamy do czynie-
nia z kwestiami bezpieczeństwa, nie możemy podać dalszych szczegółów”
- wyjaśnia przedstawiciel Sony.
Jednakże grupa Fail0verflow twierdzi, że tym razem prosta aktualizacja
oprogramowania nie będzie w stanie załatać dziury, podobnie jak miało to
miejsce w przypadku kluczy USB typu PS Jailbreak.
“Cała konsola została skom-
promitowana - nie ma już spo-
sobu na naprawę. To bardzo
poważna kwestia i ktoś w So-
ny będzie miał kłopoty” - tłuma-
czą przedstawiciele grupy. We-
dług nich jedyna rada to wymia-
na sprzętu.
Jeśli informacje podane przez
Fail0verflow okażą się prawdzi-
we, po wydaniu przez Sony no-
wej wersji PS3 cena “starej”
konsoli może wzrosnąć na róż-
nego rodzaju aukcjach.
 KONKURS

KONKURS
Hakin9 i Kaspersky
Do wygrania Kaspersky Internet Security 2011

W najbliższym newsletterze Hakin9

zamieścimy pytanie odnoszące się do
jednego z tekstów z tego numeru. Wśród
prawidłowych odpowiedzi rozlosujemy
pięć programów antywirusowych
Kaspersky Internet Security 2011.

Na odpowiedzi nadesłane na adres

konkurs@software.com.pl czekamy do
8 lutego. Zwycięzców poinformujemy
drogą mailową.

Powodzenia!

www.hakin9.org 9
 OBRONA

Nadzorowanie dostępu do
zawartości woluminów w systemie
Windows za pomocą minifiltrów
Piotr Gawron

Czytelnicy zainteresowani modyfikowaniem swojego Windowsa

na pewno znają wiele sposobów na osiąganie „odmiennego”
zachowania systemu. W tym artykule chciałbym zająć się
zmodyfikowaniem odczytu zawartości nośników danych. Zapewne
zdarzają się sytuacje, kiedy nie chcemy, aby możliwy był dostęp
do pewnych informacji na nich zawartych. Atrybut read i prawa
dostępu? Może czasami ta kombinacja wystarczy, ale dlaczego do
realizacji tego zadania nie zaprząc technologii używanej między
innymi przez... programy antywirusowe?

Dowiesz się: Powinieneś wiedzieć:

• jak działają sterowniki urządzeń trybu jądra • podstawy wewnętrznej architektury systemu operacyjnego
• co to są filtry systemu plików Windows • różnice pomiędzy trybami jądra i użytkownika
• jak modyfikować w locie zawartość woluminu • podstawy programowania w C/C++

D
ane przedstawiane na ekranie komputera są
wynikiem przetwarzania wykonywanego przez
komputer na podstawie załadowanych do nie-
go programów. Ikona pliku z jego nazwą w oknie eks-
ploratora Windows świadczy o tym, że całe oprogra-
mowanie realizujące jej wyświetlenie na ekranie zo-
stało zrealizowane w sposób dający właśnie taki wy-
nik. Proces generacji wyniku graficznego zaczyna się
każdorazowo na poziomie sprzętu i przechodzi przez
wszystkie warstwy oprogramowania zwanego syste-
mem operacyjnym, swoją drogę kończąc gdzieś w kar-
cie graficznej i potem na ekranie monitora. Co można
w takim razie osiągnąć, jeśli istnieje możliwość zmo-
dyfikowania nieco tego procesu gdzieś na początko-
wym jego etapie?
Sterowniki a bezpieczeństwo
Powszechnie znanym faktem dotyczącym zabezpie-
czania urządzeń elektronicznych przed niepożądanymi
zdarzeniami i zachowaniami użytkowników jest to, że
w im niższej warstwie architektury ochrona ta jest za-
implementowana, tym prawie zawsze jest skuteczniej-
sza. W przypadku komputerów nie mamy zazwyczaj
możliwości lub umiejętności modyfikacji sprzętu, który
w przypadku produktów masowych nie jest projektowa-
ny z myślą o bezpieczeństwie (wyjątkiem niech będzie
tutaj sprzętowy moduł TPM, Trusted Platform Module).
Dla programisty, jedną z pierwszych warstw, na któ-
rej można implementować zabezpieczenia, są sterow-
niki urządzeń trybu jądra systemu. O ile zagadnienie
nie jest banalne, to na szczęście firma Microsoft uła-
twiła nieco zadanie i w zakresie instalowalnych ste-
rowników systemu plików (Installable File System Dri-
vers, IFSD) udostępniła architekturę minifiltrów. Minifil-
trom właśnie poświęcony jest ten tekst.
Podniesiony w artykule temat dość mocno wiąże się
z zagadnieniami zapewniania bezpieczeństwa infor-
macji przechowywanych na stacjach klienckich w śro-
dowisku nadzorowanym. Początkowo był jedynie czę-
ścią opracowywanej architektury monitora bezpie-
czeństwa dla stacji klienckiej (komputera), jednak sam
okazał się na tyle ciekawy i daje na tyle dużo możliwo-
ści, że doczekał się osobnej publikacji.
Sterowniki systemu plików
Ilustrując kolejne warstwy jądra Windows jako struk-

10 2/2011
Nadzorowanie dostępu do zawartości woluminów w systemie Windows za pomocą minifiltrów

turę pionową (gdzie dół to sprzęt, a góra - interfejs

użytkownika), sterowniki trybu jądra (kernel mode) od
spodu „rozmawiają” z warstwą abstrakcji sprzętu (Har-
dware Abstraction Layer, HAL), skąd już tylko jeden
krok w dół do elektroniki na płytkach drukowanych.
Oznacza to, że w przeciwieństwie do „zwykłych” apli-
kacji działających w trybie użytkownika (user mode),
oprogramowanie to ma bezpośredni i nieograniczony
dostęp do zasobów systemowych. Wprowadzenie błę-
du do sterowników kończy się najczęściej nie informa-
cją o niespodziewanym zakończeniu programu, lecz
natychmiastowym restartem komputera.
Istnieją cztery kategorie instalowalnych sterowników
systemu plików Windows:
1. Sterowniki systemu plików (File System Drivers)
– kompletny sterownik, obsługujący wszystkie
operacje umożliwiające interakcję systemu z za-
wartością dysku,
2. Sterowniki sieciowego przekierowania (Network
Redirector Drivers) – sterownik ukrywa brak bez-
pośredniego połączenia z zasobami (dysk, dru-
karka, skaner), oferując użytkownikowi funkcjo-
nalność nierozróżnialną względem tej oferowanej
przez odpowiadające zasoby lokalne,
3. Filtry systemu plików (File System Filter Drivers)
– opcjonalna nakładka na zainstalowany sterow-
nik systemu plików. W zależności od implementa-
cji, filtr może logować, obserwować, modyfikować
lub zabraniać wybranych operacji dyskowych. Po-
nieważ filtry wpinane są bezpośrednio do stosu I/
O bez uczestnictwa elementu pośredniczącego,
ich implementacja wymaga przygotowania kom-
pletnego rozwiązania współpracującego z każdym
typem żądań systemowych występującym w sto-
sie sterowników systemu plików,
4. Minifiltry systemu plików (File System Minifilter Dri-
vers) – upraszcza osiągnięcie funkcjonalności fil-
trów poprzez wprowadzenie do stosu I/O operacji
dyskowych generycznego Menedżera filtrów (Filter
Manager) i umożliwienie ładowania do niego rów-
nież generycznych minifiltrów. Poprzez zastoso-
Listing 2. Skrypt run.cmd, start usługi, start klienta, usunięcie
usługi
Rem Uruchamiam zainstalowaną usługę
sc start minispy
Rem Uruchamiam aplikację kliencką i czekam na jej
zakończenie
minispy.exe
pause
Rem Zatrzymuję i usuwam usługę minispy
sc stop minispy
sc delete minispy
wanie swoistego proxy, oszczędza żmudnej imple-
mentacji kompletnego sterownika, pozwalając jed-
nocześnie skupić się na implementacji konkretnej
funkcjonalności.
Na rysunku 1 widać uproszczoną strukturę stosu
systemu plików z załączonymi trzema minifiltrami.
Atrybut wysokości definiuje wzajemne zależności
pomiędzy kolejnymi minifiltrami. Jego wartość dekla-
ruje się w pliku *.inf służącym do instalacji sterow-
nika w systemie. Zdefiniowano ponad dwadzieścia
przedziałów adresowych wysokości dla różnego ro-
dzaju oprogramowania (antywirusowego, szyfrujące-
go dane na dysku, przezroczystego kopiowania da-
nych i inne).
Należy pamiętać, że (mini-)filtry nie są stricte ste-
rownikami urządzeń. Mają one za zadanie jedynie mo-
nitorować dyskowe operacje wejścia/wyjścia. Opera-
cje te to w szczególności:
• Tworzenie, otwieranie, zamykanie, wyliczanie pli-
ków i folderów,
• Pobieranie i ustawianie właściwości plików, folde-
rów i woluminów,
• Czytanie i pisanie danych z i do pliku.
Oprócz monitorowania, minifiltry mają bezpośredni
dostęp do danych (zawartości plików) przesyłanych

Listing 1. Skrypt postbuild.cmd, należy uruchomić po każdorazowej kompilacji

Rem Usuwam stare binaria

if exist del %PROJECT_ROOT%\filesys\miniFilter\minispy\bin\minispy.exe
if exist del %PROJECT_ROOT%\filesys\miniFilter\minispy\bin\minispy.sys
Rem Kopiuje nowe binaria do katalogu bin
copy %PROJECT_ROOT%\filesys\miniFilter\minispy\filter\objchk_win7_x86\i386\minispy.sys %PROJECT_ROOT%\filesys\
miniFilter\minispy\bin\minispy.sys
copy %PROJECT_ROOT%\filesys\miniFilter\minispy\user\objchk_win7_x86\i386\minispy.exe %PROJECT_ROOT%\filesys\
miniFilter\minispy\bin\minispy.exe

www.hakin9.org 11
 OBRONA

w żądaniach. Otwiera to całkiem spore możliwości miniFilter\, gdzie [root] to ścieżka instalacji WDK. Dla
implementacyjne. celów edukacyjnych warto zapoznać się z przykładem
Narzędzie fltmc służy do zarządzania systemem mi- minispy. Opisane dalej oprogramowanie bazuje wła-
ni-filtrów. Za jego pomocą podejrzeć można aktualnie śnie na tym kodzie. Minispy monitoruje i raportuje do
zainstalowane w systemie mini-filtry. Rysunek 2 poka- programu poziomu użytkownika wszystkie operacje
zuje mini-filtry zainstalowane na maszynie testowej. dyskowe, czyli jest elementem pasywnym. Modyfika-
Są to między innymi: minispy (opisany dalej) i dwa mi- cja będzie polegała na wprowadzeniu do przykładu ko-
ni-filtry programu antywirusowego AVG Anti-Virus Free du zmieniającego analizowane dane.
Edition 2011 (AVGIDSFilter i Avgmfx86). Liczba wystą- Kod minispy należy zaimportować jako projekt do
pień oznacza ilość woluminów, które dany minifiltr śle- dowolnego IDE (najlepiej obsługującego podpowia-
dzi, natomiast Ramka oznacza instancję Menedżera danie składni). IDE służyć ma jedynie do pisania ko-
filtrów, do którego minifiltr jest dołączony. Fltmc wyma- du, ze względu na import zmiennych środowiskowych
ga podniesionych uprawnień. kompilacji najłatwiej dokonuje się w dostarczonej
z WDK konsoli: należy przejść bezpośrednio do kata-
Przygotowanie środowiska logu z projektem i tam uruchamiać makro BCZ. Jako
Pracę z minifiltrami rozpocząć należy od pobrania i in- IDE wykorzystano program Eclipse Helios Service Re-
stalacji pakietu Windows Driver Kit (WDK). Aby spraw- lease 1 z wtyczką CDT instalującą w Eclipse perspek-
dzić, czy wszystko działa poprawnie, należy urucho- tywę C/C++.
mić odpowiednią wersję dostarczonej w pakiecie kon- Pierwszy krok to utworzenie w Eclipse pustego pro-
soli (niech będzie to x86 Checked Build Environment jektu C++. Następnie należy podlinkować (nie impor-
dla systemu Windows 7), wpisać BCZ i wcisnąć [En- tować) źródła minispy do projektu. W tym celu klika-
ter]. Jeśli uruchomiona kompilacja zakończy się powo- my opcję Import... z menu kontekstowego utworzone-
dzeniem, komputer jest gotowy do pracy. W tym mo- go projektu. W otwartym oknie dialogowym wybieramy
mencie otrzymujemy pełny zestaw narzędzi potrzeb- importowanie plików (File System), a dalej wskazuje-
nych do napisania, skompilowania i uruchomienia wła- my ścieżkę do katalogu, w którym znajduje się minispy
snego minifiltra. ([root]\7600.16385.1\src\filesys\miniFilter\minispy).
WDK dostarcza obfity zestaw przykładowych sterow- W zaawansowanych opcjach wybieramy utworze-
ników wraz z kodem źródłowym. W tym artykule zaj- nie linków zamiast skopiowania źródeł do przestrze-
miemy się katalogiem [root]\7600.16385.1\src\filesys\ ni pracy (workspace). Dzięki temu modyfikacje zapi-
sywane będą w oryginalnym katalogu, co ułatwi kom-
pilację. Aby IDE potrafiło podpowiadać składnię, nale-
����������� ���������������� ży jeszcze importować do projektu pliki nagłówkowe
����������
WDK. W tym celu otwieramy właściwości utworzonego
projektu, rozwijamy węzeł C/C++ General, wybieramy
������������ Paths and Symbols, a na końcu wybieramy zakładkę
��������������������� ����������� Includes. Do opcji Assembly dodajemy ścieżkę [root]\
����������������������� �������������
��������������� 7600.16385.1\inc\, natomiast do GNU C i C++ dodaje-
my \api, \crt i \ddk poprzedzone [root]\7600.16385.1\
inc\. W tym momencie można już dość komfortowo
���������������� ����������� pracować z kodem. Przed wprowadzeniem jakichkol-
����������������������� ���������
������������������������������ ���������������
wiek zmian zaleca się skopiowanie całego folderu mi-
����������������������������� nispy do innej lokalizacji, aby można było bez proble-
mu wrócić do oryginalnej wersji.
�����������
�����������������
���������������
Plik .inf
Plik instalacyjny .inf (minispy.inf) jest tekstowym pli-
kiem wiążącym instalowany w systemie plik sterow-
������������������������
������������������������ nika (minispy.sys) i plik programu użytkownika (mini-
������������������������ spy.exe) z tym systemem.
���������������������������
�����������������������
������� Jedną z ważniejszych sekcji pliku instalatora jest ta
określająca tryb uruchamiania minifiltra (StartType).
Dla celów testowych należy stosować tryb SERVI-
������ CE_DEMAND_START, wymuszenie dołączania wraz
ze startem systemu może w razie błędów całkowicie
Rysunek 1. Uproszczony stos IFSD unieruchomić system.

12 2/2011
Nadzorowanie dostępu do zawartości woluminów w systemie Windows za pomocą minifiltrów
Pozostałe sekcje są dość zrozumiałe, podczas mo-
dyfikacji pliku instalacyjnego należy sprawdzać do-
stępną na stronie MSDN dokumentację.
Uruchamianie minispy
W celu instalacji i uruchomienia minispy po kom-
pilacji należy utworzyć katalog (np. bin/), w którym
znajdą się następujące pliki: minispy.inf (dostarczo-
ny ze źródłami), minispy.sys (sterownik, w katalogu
[root]\7600.16385.1\src\filesys\miniFilter\minispy\filter\
objchk_win7_x86\i386) i minispy.exe (program użyt-
kownika, [...]\user\objchk_win7_x86\i386). Aby ułatwić
sobie odświeżanie plików po każdorazowej kompilacji,
można użyć prostego skryptu jak na listingu 1.
Po przejściu do utworzonego katalogu bin wybiera-
my opcję Zainstaluj z menu kontekstowego pliku mini-
spy.inf. Uruchomienie można zautomatyzować skryp-
tem jak na listingu 2 (utworzonym w katalogu bin/). Po
każdorazowym usunięciu usługi należy ją ponownie
zainstalować. Konsola, w której wykonujemy opisane
operacje, powinna być uruchomiona z podniesionymi
uprawnieniami.
Uwaga: w fazie rozwojowej nie zaleca się dołącza-
nia minifiltra do partycji systemowej. W razie błędów
może to powodować duże problemy z systemem.
Po uruchomieniu klienta (minispy.exe) i wejściu do
interaktywnego menu możemy na przykład zamonto-
wać minispy do dowolnej partycji (polecenie /a d: za-
łącza minispy do woluminu d:, zakładam jego istnie-
nie, można użyć dowolnego innego). Wyjście minifiltra
można przekierować do pliku (/f output.log). Otwórzmy
teraz w eksploratorze partycję d, następnie kilka pli-
ków i folderów. Na koniec zaleca się odłączenie mini-
filtra (/d d:). Otwieramy utworzony plik output.log. Każ-
da zarejestrowana operacja na partycji d została tam
zaraportowana jako osobny wiersz. Należy zwrócić
uwagę na kolumnę Major Operation. Występują tam
wartości typu: IRP_MJ_CREATE, IRP_MJ_CLEANUP,
IRP_MJ_CLOSE, IRP_MJ_DIRECTORY_CONTROL
i wiele innych. Od tych informacji zaczniemy modyfi-
kację naszego minifiltra.
Modyfikowanie minispy
Wróćmy do projektu w Eclipse. Jak widać, projekt po-
dzielony jest na trzy główne sekcje: filter, inc i user.
Filter to oczywiście kod minifiltra, user to program try-
Rysunek 2. Obecne w systemie mini�ltry
www.hakin9.org
Listing 3. Tablica rozszerzeń blokowanych plików
const UNICODE_STRING ExtensionsToScan[] = {
RTL_CONSTANT_STRING(L"blocked"), { 0, 0, NULL}};
Listing 4. Funkcja sprawdzająca rozszerzenia
BOOLEAN CheckExtension(__in PUNICODE_STRING
Extension) {
const UNICODE_STRING *ext;
if (Extension->Length == 0)
return FALSE;
// Sprawdzanie listy rozszerzeń
ext = ExtensionsToScan;
while (ext->Buffer != NULL) {
if (RtlCompareUnicodeString(Extension, ext,
TRUE) == 0) {
// Plik posiada "nasze" rozszerzenie
return TRUE;
}
ext++;
}
return FALSE;
}
Listing 5. Uniemożliwianie czytania pliku
FltCancelFileOpen(FltObjects->Instance, FltObjects-
>FileObject);
Data->IoStatus.Information = 0;
Data->IoStatus.Status = STATUS_ACCESS_DENIED;
bu użytkownika, natomiast inc zawiera współdzieloną
bibliotekę. Przyjęta architektura jest tylko przykładem,
minifiltr nie musi komunikować się z żadnym elemen-
tem użytkownika. Zapoznanie się z kodem jest dosko-
nałym sposobem na wdrożenie do tej technologii, bo-
wiem użyty przykład zawiera implementację komplet-
nego szkieletu architektury minifiltrów.
Inicjalizacja minifiltra dokonuje się w procedurze Dri-
verEntry (minispy.c). Wywołana tam funkcja FltRegi-
sterFilter rejestruje minifiltr do nasłuchiwania na listę
wybranych rodzajów operacji dys-
kowych (podane wcześniej wartości
Major Operation). Lista rejestracyj-
na dla minispy znajduje się w tabli-
cy CONST FLT_OPERATION_REGI-
STRATION Callbacks[] (Registration-
Data.c). Pierwszą modyfikacją bę-
dzie pozostawienie na tej liście jedy-
nie pozycji IRP_MJ_CREATE (resztę
13

należy wykomentować). Po kompila-
cji i uruchomieniu minispy okaże się,
że logujemy już tylko zdarzenia typu
IRP_MJ_CREATE.
Jak widać w liście Callbacks[], pra-
wie każdy typ operacji dyskowej po-
siada procedurę wstępną (SpyPre-
OperationCallback) i kończącą (Spy-
PostOperationCallback). Pierwsza
wykonywana jest przy wykonywaniu
zapytania do woluminu, druga przy
zwracaniu wyników ale tylko jeśli
operacja wstępna zwróciła wartość
FLT_PREOP_SUCCESS_WITH_
CALLBACK.
Dla celów demonstracyjnych za-
kłada się, że modyfikowanym kodem
blokujemy dostęp tylko do plików
z rozszerzeniem .blocked. W tym ce-
lu deklarujemy tablicę jak na listin-
gu 3 (możemy podać więcej rozsze-
rzeń).
Dodatkowo, potrzebujemy funkcji,
która będzie sprawdzać, czy odczy-
tywany plik posiada blokowane roz-
szerzenie (listing 4). Należy pamię-
tać o wcześniejszej deklaracji funk-
cji tak, aby była ona widoczna w pli-
ku minispy.c.
Poprzez odpowiednie dodanie
w funkcji wstępnej filtrowania rozsze-
rzeń zmodyfikowany minifiltr będzie
raportował już tylko funkcję IRP_
MJ_CREATE na plikach posiadają-
cych jedno z zadeklarowanych w ta-
blicy ExtensionsToScan rozszerzeń.
Jest to równoznaczne z tym, że tylko
w takich przypadkach wywoływana
jest funkcja kończąca (SpyPostOpe-
rationCallback). Wykorzystajmy ten
fakt do naszych celów.
Dodatkowe trzy linie zaraz przed
ostatnim return funkcji kończącej po-
zwalają osiągnąć nam całkowitą blo-
kadę czytania pliku (listing 5). Anali-
zę kodu pozostawiam dociekliwemu
Czytelnikowi.
Listing 6 prezentuje ciało zmody-
fikowanej funkcji SpyPreOperation-
Callback.
Rysunek 3 pokazuje wynik próby
otwarcia dokumentu w eksplorato-
rze Windows. Taki sam wynik otrzy-
mujemy w Total Commanderze (ry-
sunek 4). Zaprezentowany mecha-
14
OBRONA
Listing 6. Zmody�kowana funkcja SpyPreOperationCallback
FLT_PREOP_CALLBACK_STATUS SpyPreOperationCallback(
__inout PFLT_CALLBACK_DATA Data, __in PCFLT_RELATED_OBJECTS FltObjects,
__deref_out_opt PVOID *CompletionContext) {
PRECORD_LIST recordList;
PFLT_FILE_NAME_INFORMATION nameInfo = NULL;
PUNICODE_STRING nameToUse;
NTSTATUS status;
// Pobierz listę logów
recordList = SpyNewRecord();
// Nie udało się
if (recordList == NULL)
return FLT_PREOP_SUCCESS_NO_CALLBACK;
// Brak referencji do pliku
if (FltObjects->FileObject == NULL)
return FLT_PREOP_SUCCESS_NO_CALLBACK;
// Pobierz informacje o nazwie pliku
status = FltGetFileNameInformation(Data, FLT_FILE_NAME_NORMALIZED
| MiniSpyData.NameQueryMethod, &nameInfo);
// Sprawdź nameInfo
if (nameInfo == NULL)
return FLT_PREOP_SUCCESS_NO_CALLBACK;
// Nie udało się pobrać nazwy
if (NT_SUCCESS( status ))
nameToUse = &nameInfo->Name;
else
return FLT_PREOP_SUCCESS_NO_CALLBACK;
// Przygotuj nazwę do formy z której łatwo pobrać rozszerzenie
FltParseFileNameInformation(nameInfo);
// Sprawdź rozszerzenie
if (CheckExtension(&nameInfo->Extension) == FALSE) {
FltReleaseFileNameInformation(nameInfo);
return FLT_PREOP_SUCCESS_NO_CALLBACK;
}
// Obsługiwany typ pliku, zapisz w logu
SpySetRecordName(&(recordList->LogRecord), nameToUse);
// Zwolnij strukturę z nazwą pliku
FltReleaseFileNameInformation(nameInfo);
// Ustaw wpis w logach
SpyLogPreOperationData(Data, FltObjects, recordList);
*CompletionContext = recordList;
return FLT_PREOP_SUCCESS_WITH_CALLBACK;
}
2/2011
Nadzorowanie dostępu do zawartości woluminów w systemie Windows za pomocą minifiltrów

nizm jest usytuowany na tyle nisko

w systemie, że działa niezależnie od
zastosowanego sposobu dostępu.
Oczywiście próba dostępu do pliku
jako Administrator również nie przy-
nosi skutku.
Rysunek 3. "Nowy" minispy w eksploratorze
Debugowanie
Ze względu na niskopoziomowy cha-
rakter prezentowanego oprogramo-
wania również kwestia debugowania
wygląda trochę inaczej niż zazwy-
czaj. WDK zapewnia zestaw debug-
gerów (katalog [root]\7600.16385.1\
Debuggers). Cytując dokument de- Rysunek 4. "Nowy" minispy w Total Commander
bugger.chm z podanego katalogu:
„Kernel-mode debugging requires
a target computer and a host com-
puter. The target computer is used to
run the kernel-mode application. The
host computer is used to run the de-
bugger [...]”. Dużo prostszą (ale i bar-
dziej ograniczoną) techniką jest uży-
wanie w kodzie makr raportujących
wiadomości do jądra i przechwyty-
Rysunek 5. Wiadomości z mini�ltra w DebugView
wanie ich na przykład programem
DebugView (jako Administrator). Li-
sting 7 przedstawia kod umożliwiają- Listing 7. Wiadomości debugujące
cy to zadanie. Funkcja DbgPrint po-
siada taką samą składnię, jak popu- DbgPrint("Moja wiadomosc"); //Logowanie zwyklego ciagu znakow
larny printf. UINT wartosc = 4;
Na rysunku 5 widać wiadomości DbgPrint("wartosc = %u", wartosc); //Logowanie wartosci zmiennej
z minifiltra przechwycone przez pro-
gram DebugView.
Co dalej?
Problemy Mam nadzieję, że w tym miejscu Czytelnik ma już
Stworzenie w pełni przewidywalnego minifiltra modyfi- świadomość, że przedstawiona technologia umożliwia
kującego operacje na plikach jest dużo bardziej złożo- osiągnięcie dużo ciekawszych efektów, niż ukrywanie
ne niż wstęp zaprezentowany w artykule. Przykłado- przed systemem zawartości wybranych plików. A co by
wym problemem z przygotowaną implementacją jest było, gdyby tak w pierwszej kolejności te pliki po pro-
to, że nie da się usunąć folderu, w którym znajduje się stu... nie były widoczne?
blokowany plik. Z jednej strony może być to pożąda-
ne zachowanie. Jeśli jednak tak nie jest, należy po- PIOTR GAWRON
chylić się nad dokumentacją do minifiltrów i zaimple- Kończy studia magisterskie na Wydziale Elektroniki i Technik
mentować odpowiednią modyfikację do każdego moż- Informacyjnych Politechniki Warszawskiej. Specjalizuje się
liwego scenariusza operacji dyskowych w ramach tych w bezpieczeństwie systemów komputerowych.
nas interesujących. Kontakt: polishcode@gmail.com.

W Sieci
• IFSD http://msdn.microsoft.com/en-us/library/ff551834(VS.85).aspx
• WDK http://www.microsoft.com/whdc/Devtools/wdk/default.mspx
• Eclipse http://www.eclipse.org/downloads/packages/eclipse-ide-cc-developers/heliossr1
• DebugView http://technet.microsoft.com/en-us/sysinternals/bb896647

www.hakin9.org 15
 OBRONA

Oszukać napastnika – cz. 1.

Podstawowe metody ukrywania
informacji o systemie
Sebastian Fyda
Każdy dostępny publicznie serwer świadczy zwykle jedną lub więcej
usług. Każda z tych usług to pewien fragment oprogramowania, które
jak każde oprogramowanie ma swoje błędy. Każda z usług ma też swoją
charakterystyczną sygnaturę, która pozwala na określenie, jaki software
i w jakiej wersji realizuje usługę. Dzięki publicznemu udostępnieniu tych
informacji zwiększamy ryzyko skutecznego ataku na nasz serwer. Czasami
samo ukrycie informacji wystarczy do zniechęcenia tzw. Script-kiddies,
którzy z reguły poszukują serwerów z konkretną wersją oprogramowania
i niezdradzających jakichkolwiek działań w kierunku hardeningu, jako celi
swoich ataków.

Dowiesz się: Powinieneś wiedzieć:

• jak ukryć informacje o wersjach i parametrach usług działają- • podstawowa znajomość usług w systemach Linux
cych na Twoim serwerze

W
iększość demonów usług dostarczanych Server: Apache/2.2.16 (Debian) PHP/5.3.3-7 with Su-
wraz z Debianem, w domyślnej konfiguracji hosin-Patch mod_ssl/2.2.16 OpenSSL/0.9.8o
dość ochoczo dzieli się informacjami z poten- Vary: Accept-Encoding
cjalnym napastnikiem. Warto nieco poprawić dostarczo-
ne z dystrybucją pliki konfiguracyjne, tak aby udostęp- Łatwo zauważyć, że serwer podzielił się nie tylko
niały one możliwie małą ilość informacji. swoją nazwą i wersją, ale również wersją interpre-
tera PHP zainstalowanego w systemie (o ile w kon-
Serwer WWW – Apache2 figuracji PHP nie została ustawiona wartość expo-
Najpopularniejszą obecnie usługą jest serwer http, a do- se_php = Off) oraz wersją biblioteki OpenSSL. Po-
minującą pozycję ma tutaj software Fundacji Apache. tencjalny napastnik wie teraz, że może szukać po-
Rzućmy okiem, co zwraca serwer w domyślnej konfigu- datności dotyczących powyższego oprogramowania.
racji, jeśli wywołamy nieistniejący url (Rysunek 1). Ukrycie tych informacji jest sprawą dość trywialną.
Dodatkowo, jeśli zajrzymy w na-
główki odpowiedzi, znajdziemy do-
datkowe informacje:
Connection: Keep-Alive
Content-Encoding: gzip
Content-Length: 180
Content-Type: text/html; charset=i-
so-8859-1
Date: Mon, 24 Jan 2011 15:23:44
GMT
Keep-Alive: timeout=15, max=100 Rysunek 1. Apache2 z włączonym Server Signature

16 2/2011
 Oszukać napastnika – cz. 1. Podstawowe metody ukrywania informacji o systemie

Zajrzyjmy do fragmentu pliku /etc/apache2/conf.d/
security (Listing 1).
Jeżeli jednak zmienimy Server Tokens na Prod oraz
ServerSignature na Off, to w oknie przeglądarki zoba-
czymy (Rysunek 2). A w nagłówkach:
Connection: Keep-Alive
Content-Encoding: gzip
Content-Length: 180
Content-Type: text/html; charset=iso-8859-1
Date: Mon, 24 Jan 2011 16:15:44 GMT
Keep-Alive: timeout=15, max=98
Server: Apache
Vary: Accept-Encoding
Łatwo zauważyć, że ilość ujawnionych informacji zosta-
ła znacznie ograniczona. Dodatkowo, skoro już edytu-
jemy plik /etc/apache2/conf.d/security warto dokonać
jeszcze jednej zmiany. Odnajdujemy blok (Listing 2).
I zmieniamy TraceEnabled na Off. Nie jest to de fac-
to zdradzanie informacji, ale jest to w 99% przypadków
funkcjonalność zbędna, a wręcz może być wykorzy-
stana do ataków cross-site (polecam dokument: http:
//www.cgisecurity.com/whitehat-mirror/WH-WhitePa-
per_XST_ebook.pdf).
Kolejnym elementem w Apache, który możemy do-
datkowo zabezpieczyć, to nagłówki ETag. Służą one
do jednoznacznej identyfikacji zasobu będącego pli-
kiem. Dzięki temu, jeśli przeglądarka zechce sprawdzić
czy plik nie został zmieniony, prześle w nagłówku jego
ETag. Jeśli plik na serwerze posiada ten sam ETag, to
zostanie zwrócony kod HTTP/1.1 304: Not modified,
zamiast normalnego kodu HTTP/1.1 200 OK. i treści
pliku w ciele odpowiedzi. Domyślnie w Apache ETag
przyjmuje następującą postać np. ETag: "10c24bc-4ab-
457e1c1f" a kolejne bloki odpowiadają wartościom ino-
de-size-timestamp. Informacja o numerze I-nodu nie
pomoże w ataku na serwer Apache, ale może pomóc
w ataku na inne usługi sieciowe – np. usługa NFS (ang.
Network File System) używa numerów I-node do gene-
rowania uchwytów do plików.
Istnieją dwa rozwiązania problemu:
• Całkowita eliminacja ETag i zastąpienie go nagłów-
kami Expires lub Cache-Control
• Konfiguracja ETag eliminująca numery węzłów I-node
Pierwsza opcja wymaga użycia modułu mod_headers,
który jest standardowo dołączany z serwerem Apache.
Wówczas na końcu pliku /etc/apache2/conf.d/security
możemy dodać następujące linie:
Header unset Etag
FileETag none
W przypadku opcji drugiej, w tym samym pliku usta-
wiamy po prostu:
FileETag MTime Size
Na koniec restartujemy serwer Apache.

Listing 1.

# ServerTokens
# This directive configures what you return as the Server HTTP response
# Header. The default is 'Full' which sends information about the OS-Type
# and compiled in modules.
# Set to one of: Full | OS | Minimal | Minor | Major | Prod
# where Full conveys the most information, and Prod the least.

#ServerTokens Minimal
#ServerTokens OS
ServerTokens Full

# Optionally add a line containing the server version and virtual host
# name to server-generated pages (internal error documents, FTP directory
# listings, mod_status and mod_info output etc., but not CGI generated
# documents or custom error documents).
# Set to "EMail" to also include a mailto: link to the ServerAdmin.
# Set to one of: On | Off | EMail
#
#ServerSignature Off
ServerSignature On

www.hakin9.org 17
 OBRONA

Serwer DNS – Bind9

Bind jest z reguły pierwszym ser-
werem DNS, z jakim początkujący
administrator ma do czynienia. Do-
myślnie skonfigurowany, może nie
zwraca, aż tylu przydatnych informa-
cji co Apache, ale nawet numer (Li-
sting 3).
Informacja, która jest nam zwra-
cana, to wersja serwera Bind. Infor-
mację tę możemy łatwo ukryć edytu-
jąc plik /etc/bind/named.conf.options
i dodając w sekcji options następują-
cą linijkę:
Rysunek 2. Apache2 po wyłączeniu Server Signature

version "Windows 3.11 DNS Service"; Escape character is '^]'.

W cudzysłowie możemy podać dowolny ciąg znaków
zgodny z ISO-8859-1. Po takiej operacji i zrestartowa-
niu Binda, wykonując ponownie zapytanie dig, otrzy-
mamy następujący wynik (Listing 4).
Jak widać, ukrycie wersji powiodło się. Dobrym pomy-
słem jest podanie jakiegoś dosyć starego numeru wer-
sji, gdyż dla początkujących napastników, może podzia-
łać to jak lep na muchy, powodując tym samym, że będą
oni wypróbowywali stare, dawno zabezpieczone explo-
ity, nie wysilając się specjalnie szukaniem nowych.
220 ProFTPD 1.3.0 Server (Debian) [127.0.0.1]
Drobna zmiana w /etc/proftpd/proftpd.conf. Zmieniamy
linie, lub dodajemy, jeśli nie istnieją, aby uzyskać na-
stępującą postać:
ServerName "SomeFunnyFTPServer"
ServerIdent on "FTPD most bugged version ever"
Teraz, jeśli ponownie odpytamy serwer FTP, przedsta-
wi się on nam zupełnie inaczej.

Serwer FTP – ProFTPd user@localhost:~$ telnet localhost 21

Usługa FTP trzyma się nad wyraz dobrze, jak na ele- Trying 127.0.0.1...
ment systemu niegwarantujący żadnego bezpieczeń- Connected to localhost.localdomain.
stwa transmisji. Warto zastanowić się nad użyciem pro- Escape character is '^]'.
tokołu sftp zamiast ftp, co jak najbardziej serwer Pro-
FTPd z pomocą modułu mod_sftp potrafi obsłużyć. Jak 220 FTPD most bugged version ever
każda opisana tutaj usługa, domyślnie skonfigurowany
sewer ProFTPd informuje o swojej wersji i rodzaju dys- To tyle na początek.
trybucji systemu, na której został zainstalowany:
Część druga
user@localhost:~$ telnet localhost 21
Trying 127.0.0.1... 1. NMap i NStat – dwa przydatne narzędzia
Connected to localhost. 2. Honeypots - wprowadzenie

Listing 2.

# Allow TRACE method

#
# Set to "extended" to also reflect the request body (only for testing and
# diagnostic purposes).
#
# Set to one of: On | Off | extended SEBASTIAN FYDA
# Autor jest Starszym Administratorem
#TraceEnable Off Systemów w �rmie Janmedia Interactive
TraceEnable On z Wrocławia.
Kontakt z autorem:
sfyda@janmedia.com

18 2/2011
 Oszukać napastnika – cz. 1. Podstawowe metody ukrywania informacji o systemie

Listing 3.

user@localhost:~$ dig @localhost version.bind txt chaos

; <<>> DiG 9.7.2-P3 <<>> @localhost version.bind txt chaos
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63560
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION: ;version.bind. CH TXT

;; ANSWER SECTION: version.bind. 0 CH TXT "9.6-ESV-R1"
;; AUTHORITY SECTION: version.bind 0 CH NS version.bind.

;; Query time: 0 msec

;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Jan 24 18:39:13 2011
;; MSG SIZE rcvd: 67

Listing 4.

user@localhost:~$ dig @localhost version.bind txt chaos

; <<>> DiG 9.7.2-P3 <<>> @localhost version.bind txt chaos
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 63560
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION: ;version.bind. CH TXT

;; ANSWER SECTION: version.bind. 0 CH TXT "Windows 3.11 DNS Service"
;; AUTHORITY SECTION: version.bind 0 CH NS version.bind.

;; Query time: 0 msec

;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Jan 24 18:39:13 2011
;; MSG SIZE rcvd: 67

Reklama

19
 OBRONA

Bezpieczeństwo
baz danych
Michał Sajdak
Bazy danych często stanowią jeden z głównych elementów systemów IT:
przechowują oraz udostępniają informacje. Sama definicja bazy nie narzuca
określonego sposobu organizacji danych, jednak obecnie najbardziej
rozpoznawana na rynku jest baza relacyjna oraz związany z nią język SQL.
Implementacji „SQL-owych baz danych” są zapewne setki, choć zaledwie kilka
z nich cieszy się dużą popularnością. Takimi systemami są: Oracle Database, SQL
Server, DB2, MySQL czy Postgresql. Przy okazji, warto wspomnieć, że istnieją
również inne rozwiązania – oferujące alternatywne do wspomnianych powyżej
sposoby organizacji informacji, jak choćby obiektowa baza danych (np. ZODB)
czy baza danych XML (np. eXist).

Dowiesz się: Powinieneś wiedzieć:

• o przykładowych celach w jakich zabezpieczane są bazy da- • ogólna wiedza z dziedziny baz danych
nych
• o podstawowych zasadach zabezpieczania baz danych
• poznasz zewnętrzne źródła informacji, umożliwiające posze-
rzenie wiedzy z zakresu bezpieczeństwa baz danych

W
poniższym tekście zajmiemy się tematyką
ochrony baz danych – głównie w kontekście
baz relacyjnych. Poruszymy takie zagadnie-
nia, jak:
• ekspozycja bazy na poziomie sieci,
• poprawki bezpieczeństwa,
• użytkownicy, z których wykorzystaniem działa baza
danych,
• uprawnienia do plików bazodanowych – na pozio-
mie systemu plików,
• ograniczenie funkcjonalności oferowanych przez
bazę danych,
• logowanie (księgowanie) dostępu do bazy danych,
• ochrona kryptograficzna (szyfrowanie),
• bezpieczeństwo po stronie aplikacji korzystających
z bazy danych,
• miejsce składowania danych w systemie plików,
• kopie zapasowe.
Zanim przejdziemy do szczegółów zastanowimy się
wcześniej nad poniższym pytaniem.
Dlaczego chronimy bazę danych?
Odpowiedź na to pytanie może wydać się prosta: aby
realizować odpowiednie cele biznesowe, tj. aby sys-
tem, który wykorzystuje bazę danych, generował od-
powiednie zyski dla organizacji. Zilustrujmy to na na-
stępującym przykładzie:
Prywatna placówka medyczna posiada system
umożliwiający rejestrację pacjentów on-line. W bazie
danych przechowywane są również informacje o pa-
cjencie oraz historia jego chorób.
Zyskiem z posiadania takiej bazy może być: wygoda
pacjenta, ograniczenie dokumentacji papierowej oraz
szybsze dodarcie do określonych informacji (oszczęd-
ność czasu pracowników kliniki). Ten cel biznesowy
może być zagrożony np. przez:
• czasowy brak dostępności bazy (pacjenci nie mo-
gą się rejestrować, lekarze nie mają wglądu w hi-
storię choroby),
• utratę poufności bazy (dane dostają się w niepo-
wołane ręce; istnieje ryzyko np. złamania zapisów
Ustawy o Ochronie Danych Osobowych),

20 2/2011
 Bezpieczeństwo baz danych
• nieuprawnioną zmianę informacji w bazie (może to
spowodować chaos w działaniu placówki medycz-
nej, czy wręcz zagrozić bezpieczeństwu pacjentów).
W omówionym powyżej przykładzie odpowiednie za-
bezpieczenie bazy danych tego typu może zminima-
lizować wymienione zagrożenia, a tym samym pozy-
tywnie wpłynąć na zysk kliniki. Jako rodzaj informa-
cji wymagającej ochrony wskazaliśmy dane osobo-
we / dane medyczne. Jakie jeszcze inne dane mogą
być traktowane jako wrażliwe i wymagające ochrony?
Odpowiedź na to pytanie pozostawiamy Czytelnikowi,
jednocześnie wskazując kilka możliwości:
• Dane o charakterze finansowym (np. salda kont
bankowych, informacje płacowe, numery kart kre-
dytowych).
• Hasła dostępowe do systemów (często użytkowni-
cy posiadają takie same hasła dostępowe do wielu
systemów – zatem uzyskanie informacji o hasłach
z jednej bazy danych może prowadzić do uzyska-
nia dostępu do wielu innych systemów).
• Informacje stanowiące o przewadze konkurencyj-
nej firmy (np. dane klientów czy dostawców).
• Jakiekolwiek inne dane firmowe o charakterze po-
ufnym.
Niejako podsumowując dotychczas opisane kwestie,
spójrzmy ramowo na następujące zagadnienie doty-
czące planowania prac, dotyczących bezpieczeństwa
baz danych.
Planowanie prac związanych z bezpieczeństwem
bazy danych
Planowanie to może wyglądać następująco:
• Inwentaryzacja baz danych oraz przechowywa-
nych w nich informacji (np. opisana w powyższym
przykładzie baza przechowująca dane medyczne).
• Określenie wartości skatalogowanych baz danych
(istotne dane będziemy chcieli objąć szczególną
ochroną).
• Określenie czynników mogących zagrozić popraw-
nemu funkcjonowaniu bazy (np. zewnętrzny atak
z poziomu Internetu, awaria sprzętowa serwera,
atak z sieci LAN, itd.) wraz z prawdopodobień-
stwem wystąpienia (tzw. ryzykiem).
• Określenie odporności naszej bazy na wszelakie
zagrożenia określone powyżej (tym zagadnieniem
w głównej mierze zajmiemy się w naszym artykule).
• Rekonfiguracja bazy danych, jeśli jej odporność na
wskazane wcześniej zagrożenia jest niska.
Czytelnikowi może nasunąć się pytanie, ile czasu war-
to poświęcić na realizację całego opisanego powy-
żej procesu? Możemy odpowiedzieć – adekwatnie do
www.hakin9.org
wartości przechowywanych przez nas danych. Co to
dokładnie oznacza, Czytelnik powinien sam, we wła-
snym zakresie i analizując swój kontekst, ocenić. Za-
interesowanych takimi szacowaniami odsyłamy do za-
gadnień związanych z analizą ryzyka, a tu przechodzi-
my już do konkretnych działań, które można wykonać
przy weryfikacji bezpieczeństwa bazy danych.
Weryfikacja bezpieczeństwa bazy danych
Bezpieczeństwo bazy danych może być zagrożone
w różny sposób. Poniżej omówimy kilka kategorii za-
grożeń, na które – naszym zdaniem – warto zwrócić
uwagę. Pamiętajmy, że kompromitacja zabezpieczeń
należących do jednej grupy jest w stanie poważnie za-
grozić bezpieczeństwu całej bazy danych – zatem we-
ryfikacja bezpieczeństwa takiego systemu powinna
być wykonywana całościowo.
Każda z poniższych kategorii zawiera wypunktowa-
ne w formie pytań zalecenia, umożliwiające zaplano-
wanie we własnym zakresie audytu bezpieczeństwa
czy testów penetracyjnych bazy danych.
Ekspozycja na poziomie sieci
Baza danych często udostępniana jest w sieci (czy to
lokalnej, czy np. Internecie) – na bezpieczeństwo ba-
zy danych można więc spojrzeć tak jak na bezpieczeń-
stwo każdej innej usługi sieciowej (np. serwer webowy,
serwer poczty, serwer DNS, itd.).
Zalecenia
Sugerujemy zweryfikowanie takich elementów:
• Na jakich interfejsach sieciowych / portach nasłu-
chują usługi bazodanowe? – Niekiedy nie jest ko-
nieczne nasłuchiwanie bazy danych na wszystkich
interfejsach sieciowych albo na interfejsie dostęp-
nym do Internetu.
• Czy istnieje możliwość ataku na usługę z pozio-
mu sieci? – Mamy tu na głównie myśli podatno-
ści w obsłudze protokołu komunikacyjnego: w lo-
kalizacji tego typu podatności przydatny może być
tzw. skaner podatności; skuteczne ataki w tym
miejscu często są związane z brakiem aktualiza-
cji bezpieczeństwa bazy danych, o czym piszemy
w dalszej części tekstu.
• Czy w wykorzystywanej przez nas bazie znane są
inne specyficzne elementy charakterystyczne dla
komponentu nasłuchującego? – Np. ochrona za
pomocą hasła komponentu nasłuchującego.
Przykładowe dalsze informacje
• Bezpieczeństwo komponentu Listener w Orac-
le (do wersji 9 Oracle, domyślnie komponent ten
posiada puste hasło dostępowe umożliwiające
21
 OBRONA
przejęcie kontroli nad listenerem): http://www.net-
security.org/dl/articles/Integrigy _OracleDB_Liste-
ner_Security.pdf
• Weryfikację nasłuchiwania na określonych in-
terfejsach sieciowych można wykonać np. li-
nuksowym poleceniem: # netstat-tulpn. W tym
przypadku poniżej, usługa mysqld nasłuchu-
je jedynie na interface loopback (127.0.0.1):
tcp 0 0 127.0.0.1:3306 0.0.0.0:* LISTEN 28852/
mysqld .
• Informacje o robaku Slammer (atakującego SQL
Server): http://en.wikipedia.org/wiki/SQL_Slammer
• Przykład alertu zgłaszanego przez oprogramowa-
nie klasy IDS (intrusion detection system) – snort:
[**] [1:2003:8] MS-SQL Worm propagation attempt [**]
[Classification: Misc Attack] [Priority: 2]
04/19-23:16:14.032636 202.x.x.x:3352 -> x.x.x.x:1434
UDP TTL:116 TOS:0x0 ID:55339 IpLen:20 DgmLen:404
Len: 376
[Xref => http://vil.nai.com/vil/content/
v_99992.htm][Xref => http:
//cgi.nessus.org/plugins/
dump.php3?id=11214][Xref =>
http://cve.mitre.org/cgi-bin/
cvename.cgi?name=2002-0649][Xref
=> http://www.securityfocus.com/
bid/5311][Xref => http://
www.securityfocus.com/bid/5310].
Poprawki bezpieczeństwa
Jak wspomnieliśmy wyżej, często udane ataki na bazę
danych związane są z brakiem jej aktualizacji. W tym
przypadku idea ataku może być następująca:
• W oprogramowaniu bazy danych znajdowana jest
krytyczne luka, umożliwiająca z poziomu sieci
uzyskanie pełnej kontroli nad bazą danych.
• W Internecie udostępniony jest exploit.
• Producent bazy danych udostępnia aktualiza-
cję. Po jej wgraniu, ewentualne uruchomienie ww.
exploitu nie zakończy się sukcesem, jednak gdy
aktualizacja nie zostanie wykonana, wrogi kod
może umożliwić przejęcie kontroli nad bazą.
Zalecenia
Rozważając kwestię aktualizacji bazy danych warto
zadać sobie pytania:
• Czy posiadamy wykupiony pakiet umożliwiający
instalowanie tego typu poprawek? – W przypadku
niektórych baz danych – np. Oracle – stanowić to
może spory koszt).
• Czy aktualizacje bazy danych są wykonywane?
• Czy baza instalowana jest jako pakiet systemu
operacyjnego czy niezależnie?
22
• Czy weryfikowana jest integralność aktualizacji?
– Czy wiemy skąd pochodzą aktualizacje? Jeśli
udałoby się dostarczyć nam wrogą aktualizację
– istnieje możliwość zdalnego przejęcia kontroli
nad bazą.
• Czy aktualizacje wykonywane są ręcznie czy au-
tomatycznie? – Niekiedy same aktualizacje mo-
gą spowodować niepoprawne działanie całej bazy
danych: manualne aktualizacje pozostawiają admi-
nistratorowi możliwość szybkiej reakcji na ewentu-
alne problemy.
• Czy aktualizacje sprawdzane są wcześniej na ser-
werach testowych?
Przykładowe dalsze informacje
• Informacje o wprowadzeniu poprawek do bazy da-
nych Oracle, w tym łatających luki umożliwiają-
ce pełen, nieuwierzytelniony dostęp z poziomu
sieci: http://www.oracle.com/technology/deploy/
security/pdf/2004alert68.pdf.
Użytkownicy z wykorzystaniem, których działa baza
danych
Aby ograniczyć wpływ negatywnych skutków naru-
szenia bezpieczeństwa na cały system, warto rozwa-
żyć uprawnienia użytkownika systemu operacyjnego,
z którego wykorzystaniem uruchamiana jest baza.
Przykład:
W Internecie dostępna jest aplikacja umożliwiają-
ca dostęp do poczty elektronicznej w firmie. System
działa w oparciu o bazę danych MySQL. Baza działa
z uprawnieniami użytkownika systemu operacyjnego
root (administrator), a aplikacja wykorzystuje użytkow-
nika bazodanowego posiadającego uprawnienia admi-
nistracyjne w bazie danych. Skuteczny atak z poziomu
Internetu na aplikację prowadzi do:
• możliwości odczytu e-maili dowolnego użytkow-
nika,
• możliwości odczytu innych danych znajdujących
się w bazie danych na tym serwerze,
• możliwości pełnego dostępu do systemu operacyj-
nego (uprawnienia administracyjne) oraz atakowa-
nie dalszych systemów.
Zalecenia
• Czy użytkownik systemu operacyjnego, z które-
go wykorzystaniem uruchamiana jest usługa ba-
zodanowa, posiada uprawniania administracyjne?
– Należy unikać takiej sytuacji.
• Czy powyższy użytkownik posiada dodatkowe
uprawnienia niekoniecznie wymagane do działa-
2/2011
 Bezpieczeństwo baz danych
nia bazy danych? – Np. uprawniania od odczytu /
zapisu plików, które nie są używane przez system
bazodanowy.
• Czy istnieje możliwość interaktywnego zalogowa-
nia się na użytkownika bazodanowego, np. z wyko-
rzystaniem SSH? – Nie powinniśmy stwarzać takiej
możliwości.
Przykładowe dalsze informacje
• Unikanie uruchamiania usług SQL Server
z uprawnieniami kont administracyjnych: http://
www.sqlservercentral.com /blogs /brian_kelley/
archive/2008/06/12/avoid-domain-admin-level-ac-
counts-for-sql-server.aspx
• Konfiguracja środowiska chroot w celu ogra-
niczania ekspozycji systemu operacyjnego po
ewentualnym ataku na usługę sieciową: http://
www.securitum.pl/baza-wiedzy/publikacje/chroot-
w-praktyce
Użytkownicy bazodanowi
Kolejnym istotnym elementem przy weryfikacji bezpie-
czeństwa bazy danych jest określenie uprawnień użyt-
kowników definiowanych na poziomie bazy danych.
Dobrą praktyką jest stosowanie tutaj zasady least pri-
vileges, to znaczy uprawnienia użytkowników bazoda-
nowych powinny być najmniejszymi, które są wymaga-
ne do prawidłowego działania całości systemu.
Zalecenia
• Czy wybrani użytkownicy bazodanowi nie posia-
dają nadmiernych uprawnień? – Np. uprawnienia
administracyjne na bazie dla użytkownika bazoda-
nowego skonfigurowanego w aplikacji webowej.
• Czy w systemie wykonane jest mapowanie użytkow-
ników bazodanowych na użytkowników systemu ope-
racyjnego (popularne szczególnie w systemach Win-
dows). Jeśli tak, to czy mapowanie jest poprawne?
• Jakie konta bazodanowe mają uprawnienia admi-
nistracyjne?
• Którzy użytkownicy posiadają dostęp anonimowy
do bazy danych? – użytkownicy demo / guest / itp.
• Czy możliwy jest dostęp do bazy za pomocą użyt-
kowników / haseł domyślnych? – Np. kombinacja
DBSNMP/DBSNMP w bazie Oracle.
• Czy użytkownicy bazodanowi posiadają wystar-
czająco złożone hasła dostępowe?
Przykładowe dalsze informacje
• Zbiór informacji dotyczący tematyki haseł – ba-
za Oracle http://www.red-database-security.com/
whitepaper/oracle_passwords.html
www.hakin9.org
• Oprogramowanie cain & abel umożliwiające m.in.
łamanie hashów haseł dla wybranych baz SQL:
http://www.oxid.it/cain.html
Ograniczenie funkcjonalności oferowanych przez
bazę danych
Zgodnie z wspomnianą wcześniej zasadą least pri-
vileges zaleca się minimalizację instalowanych oraz
uruchamianych usług i funkcjonalności bazodano-
wych. W wielu przypadkach takie domyślne funkcjo-
nalności nie są wymagane do prawidłowego działa-
nia bazy.
Zalecenia
Zalecenia zależą od konkretnej implementacji bazy
danych. Dodatkowymi funkcjonalnościami mogą być
przykładowo:
• Całe usługi: np. serwer http apache, w przypadku
Oracle.
• Konkretne procedury czy grupy procedur i funkcji
bazodanowych, np. procedura xp_cmdshell w sys-
temie SQL Server umożliwiająca wykonanie pole-
cenia systemu operacyjnego, użytkownikowi bazo-
danowemu.
• Domyślnie instalowane bazy o charakterze „de-
mo”.
Przykładowe dalsze informacje
• Dokumentacja hardeningowa dla SQL Se-
rver 2005 (rozdział SQL Server Settings): https:
/ / w w w.c is ec ur i t y.or g / to o ls2 / s qls er ver / C IS _
SQL2005_Benchmark_v1.2.0.pdf
Logowanie (księgowanie) dostępu do bazy danych
Aby zapewnić systemowi właściwość zwaną rozliczal-
nością, należy w odpowiedni sposób logować (księgo-
wać) operacje wykonywane na bazie danych. Tego ty-
pu logi mogą okazać się przydatne, gdy będziemy po-
trzebowali prześledzić ewentualną historię zdarzeń
przy naruszeniu bezpieczeństwa bazy danych. W ta-
kim przypadku będziemy wiedzieć jaka operacja, kie-
dy oraz przez kogo została wykonana na bazie.
Zalecenia
• Czy próby uwierzytelnienia (udane, nieudane) są
logowane?
• Czy logowane są operacje (zapytania SQL) na ba-
zie danych?
• W jakim miejscu składowane są logi zawierające
ww. informacje? Kto ma do nich dostęp? Jak za-
pewniona jest ich integralność? Czy są wykony-
wane kopie zapasowe logów?
23
 OBRONA
• Czy logowanie następuje do bazy danych czy na
poziomie systemu operacyjnego?
• Czy księgowanie wykonywane jest jedynie lokalnie
czy również na zdalny system?
Szyfrowanie
Jako „szyfrowanie” rozumiemy w tym przypadku me-
chanizmy zapewniające poufność, integralność (trans-
misji oraz samych przechowywanych danych) a także
bezpieczne uwierzytelnienie użytkowników łączących
się z bazą. Zastosowane mechanizmy kryptograficzne
zależą od typu danych, które chronimy, a także spe-
cyfiki systemu IT, w którym dane te są przetwarzane.
Mechanizmy te możemy rozważać co najmniej w kilku
perspektywach.
Zalecenia
• Czy proces uwierzytelnienia do bazy jest odpo-
wiednio zabezpieczony? – Czy dane uwierzytel-
niające – np. hasło przesyłane są w sieci w bez-
pieczny sposób?
• Czy wszystkie dane przesyłane pomiędzy klien-
tem bazodanowym a serwerem są zaszyfrowane?
– Zapewnienie poufności i integralności transmisji.
• Czy szyfrowany dostęp do bazy jest wymuszany
na klientach bazodanowych?
• Czy dane znajdujące się w bazie danych przecho-
wywane są w formie zaszyfrowanej? – Zapewnie-
nie poufności i integralności danych.
Przykładowe dalsze informacje
• Wymuszanie szyfrowania (komunikacji klient-ser-
wer) na bazie SQL Server:
h t t p : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y/
ms189067.aspx,
h t t p : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y/
ms191192.aspx.
Bezpieczeństwo w warstwie aplikacji korzystających
z bazy danych
Tematyka związana z zagadnieniem bezpieczeństwa
aplikacji jest bardzo szeroka. W tekście jedynie za-
znaczamy jej pewne powiązanie z bezpieczeństwem
baz danych.
Jednym z częstych błędów bezpieczeństwa w apli-
kacjach wpływających na bezpieczeństwo bazy da-
nych jest podatność SQL injection. Istota problemu
polega na możliwości nieautoryzowanej zmiany za-
pytania SQL generowanego po stronie aplikacji. Takie
działanie umożliwia często atakującemu na pełen do-
stęp do bazy danych – zarówno w trybie odczytu jak
i zapisu. Niekiedy również ta droga prowadzi do otrzy-
mania dostępu na poziomie systemu operacyjnego.
24
Dla porządku, warto również w tym momencie wspo-
mnieć o innych, często spotykanych problemach, mo-
gących prowadzić do naruszenia bezpieczeństwa ba-
zy danych:
• Przechowywanie po stronie klienckiej informacji
dostępowych do serwera bazodanowego. Problem
występuje często w aplikacjach desktopowych ko-
rzystających z bazy danych– na lokalnych sta-
cjach użytkowników (np. w rejestrze systemu Win-
dows) przechowywane są login/hasło użytkownika
mającego pełen dostęp do bazy danych.
• Brak odpowiednich mechanizmów kryptograficz-
nych służących do zabezpieczenia połączenia po-
między klientem a serwerem (więcej informacji
w punkcie: „szyfrowanie” w niniejszym artykule).
Zalecenia
• Czy w aplikacji następuje odpowiednia walidacja
danych otrzymywanych od użytkowników?
• Czy aplikacja korzysta z jednego użytkownika
bazodanowego w celu łączenia się do bazy da-
nych? – W przypadku wystąpienia SQL injection
taka konfiguracja umożliwia atakującemu dostęp
do całej bazy – jest to szczególnie groźne, gdy ta-
ki użytkownik ma uprawnienia administracyjne na
bazie.
• Czy aplikacja korzysta z tzw. zapytań parametry-
zowanych w celu dostępu do danych? – Mecha-
nizm ten odpowiednio wykorzystany potrafi niemal
w 100% ochronić przed SQL injection.
• Czy po stronie klienckiej przechowywane są dane
dostępowe do serwera bazodanowego?
Przykładowe dalsze informacje
• SQL injection wg OWASP: http://www.owasp.org/
index.php/SQL_Injection
• Przykład bardziej zaawansowanych rozważań
o SQL injection: http://www.securitum.pl/baza-
wiedzy/publikacje/sql-injection-nietypowy-wariant-
ataku
Miejsce składowania danych w systemie plików
Ostatecznie baza danych przechowuje informacje na
systemie plików (choć w określonych przypadkach
dane te mogą być przechowywane np. jedynie w pa-
mięci).
Dostęp do tych plików uzyskujemy zazwyczaj nie
bezpośrednio (dostęp do pliku) tylko przy pomocy za-
pytania SQL (łącząc się z tzw. RDBMS, który między
innymi dba o uwierzytelnienie/autoryzację użytkow-
ników łączących się z bazą). Użytkownicy (zazwy-
czaj lokalni) mający dostęp do plików przetwarzanych
2/2011
 Bezpieczeństwo baz danych
przez RDBMS mogą spróbować uzyskać do nich do-
stęp bezpośredni, omijając tym samym mechanizmy
uwierzytelnienia i autoryzacji oferowane przez bazę.
Kolejną kwestią związaną z umiejscowieniem pli-
ków bazodanowych jest nieprzerwany dostęp do całej
bazy. Jeśli dostęp do danych w systemie plików (np.
z powodu awarii dysku twardego) zostanie utracony,
tracony jest również dostęp do konkretnych przetwa-
rzanych w bazie danych. Warto zatem rozważyć wdro-
żenie odpowiednich mechanizmów zapewniających
nieprzerwane działanie bazy w przypadku tego typu
awarii.
Na koniec poruszymy jeszcze jedną kwestię zwią-
zaną z dostępnością całego systemu. Otóż niekiedy
przetwarzane w bazie informacje składowane są na
tej samej partycji, co pliki wchodzące w skład syste-
mu operacyjnego, na którym uruchomiona jest baza
danych. W przypadku zapełnienia takiej partycji czę-
sto przestaje działać poprawnie cały system operacyj-
ny. Warto może zatem wydzielić osobną partycję prze-
chowującą pliki bazodanowe – niezależną od partycji
systemowej.
Zaznaczmy jeszcze, że tematyka wysokiej dostęp-
ności bazy jest bardzo szeroka – w niniejszym tekście
jedynie ją wskazujemy w kontekście plików bazodano-
wych.
Zalecenia
• Czy pliki bazodanowe znajdują się na odpowied-
nim typie systemu plików? – Umożliwiającym
nadanie odpowiednich uprawnień? np. NTFS,
a nie FAT?
• Czy pliki bazodanowe na poziomie systemu plików
są dostępne (odczyt/zapis) tylko dla użytkownika
z wykorzystaniem którego działa baza danych?
• Czy awaria miejsca przeznaczonego na składowa-
nie danych bazy powoduje niedostępność do ba-
zy danych? – Czy mamy wdrożone mechanizm ty-
pu RAID? Czy wykorzystujemy redundantnie pod-
łączoną macierz zewnętrzną?
• Czy dane składujemy na partycji oddzielnej od
systemowej?
Kopie zapasowe
Z uwagi na najczęściej dość wysoką wartość infor-
macji przetwarzanych w bazach danych konieczno-
Polecana Literatura
• Implementing Database Security and Auditing: Includes Examples for Oracle, SQL Server, DB2 UDB, Sybase - Digital Press (May 2, 2005)
• The Database Hacker's Handbook: Defending Database Servers - Wiley (July 14, 2005)
• Dokumentacje hardeningnowe The Center for Internet Security - http://cisecurity.org/
www.hakin9.org
ścią jest wykonywanie okresowych kopii bezpieczeń-
stwa bazy. Przy wykonywaniu backupów warto rozwa-
żyć kwestie łączące się z realizacją kopii zapasowych
w ogóle, a także elementy specyficzne dla samej ba-
zy danych.
Zalecenia
• Czy wykonywane są kopie zapasowe wszystkich
instancji baz danych?
• Czy wykonywana jest kopia zapasowa bazy syste-
mowej? – Często brak takiej kopii może oznaczać
problemy przy próbie przywrócenia danych z bac-
kupu.
• Czy wykonywane są testy poprawności wykony-
wania kopii zapasowych? – Próba pełnego odtwo-
rzenia bazy z wykonanej wcześniej wykonanej ko-
pii.
• Na jakie nośniki wykonywane są kopie zapasowe?
• Czy dane na zużytych nośnikach usuwa się w spo-
sób trwały?
• W jaki sposób chroni się nośniki zawierające bac-
kupy przed dostępem osób nieuprawionych?
Podsumowanie
W artykule przedstawiliśmy, naszym zdaniem, najistot-
niejsze elementy dotyczące bezpieczeństwa bazy da-
nych. Pewne aspekty – np. bezpieczeństwo fizyczne,
dostępność bazy, bezpieczeństwo sieci czy systemu
operacyjnego, na którym przetwarzane są informacje
– zostały wskazane jedynie hasłowo. Jednakże wska-
zując zalecania, staraliśmy się formułować je w na tyle
ogólnej formie, aby każdy z czytelników mógł dostoso-
wać i rozszerzyć je pod własne, specyficzne potrzeby
– każda bowiem baza danych wymaga dedykowane-
go spojrzenia na bezpieczeństwo przechowywanych
w niej informacji.
MICHAŁ SAJDAK
Prowadzi testy penetracyjne oraz szkolenia z zakresu bezpie-
czeństwa. Posiadacz certy�katu CISSP.
Obecnie pracuje w �rmie Securitum.
Kontakt: michal.sajdak@securitum.pl
25
 OBRONA
Zarządzanie bezpieczeństwem
danych osobowych.
Kwestie prawne e-commerce
Marcin Engelmann
Dane osobowe klientów sklepu internetowego – na co
powinien zwrócić uwagę właściciel sklepu, żeby nie tylko
działać w zgodzie z ustawą o ochronie danych osobowych,
ale również budować zaufanie swoich klientów. Czym są
dane osobowe, jak je zabezpieczyć, na co zwrócić uwagę?
Dowiesz się:
• jakie przepisy prawne wpływają na przetwarzanie danych w sklepie internetowym?
• jakie wymagania musi spełniać oprogramowanie sklepu internetowego
• w jaki sposób zabezpieczyć sklep internetowy przed atakami z zewnątrz
• co należy zrobić z nośnikami danych, na których znajduje się baza SQL sklepu,
a które nie są już potrzebne
C
zy właściciele sklepów internetowych są świa-
domi przepisów prawnych, które regulują kwe-
stię ochrony danych osobowych ich klientów?
Przedsiębiorcy prowadzący sklepy internetowe są,
a przynajmniej powinni być, świadomi regulacji praw-
nych, którym podlegają prowadząc taką działalność.
Jest to oczywiście kodeks cywilny oraz między innymi
ustawa z 2 marca 2000 r. o ochronie niektórych praw
konsumentów oraz odpowiedzialności za szkodę wy-
rządzoną przez produkt niebezpieczny, czy też usta-
wa z dnia 27 lipca 2002 r. o szczególnych warunkach
sprzedaży konsumenckiej. Dotyczy ich również w pew-
nym stopniu ustawa z dnia 18 lipca 2002 r. o świadcze-
niu usług drogą elektroniczną.
Istotną różnicą między prowadzeniem sprzedaży de-
talicznej w normalnym sklepie a sprzedażą przez Inter-
net jest utrata przez klienta anonimowości. W pierw-
szym przypadku sprzedawca zwykle nie pozyskuje da-
nych osobowych kupującego, jedynym dowodem za-
kupu jest paragon „na okaziciela”. Przy sprzedaży na
odległość niezbędne jest uzyskanie przynajmniej da-
nych adresowych potrzebnych do dostarczenia towaru,
a często gromadzone są również dane pomocnicze ta-
kie jak adres e-mail, numer telefonu czy różnego rodza-
ju informacje o preferencjach zakupowych klienta.
Z pewnym niepokojem można zauważyć, że kwestia
ochrony danych osobowych klientów jest bardzo czę-
26
Powinieneś wiedzieć:
• podstawowa wiedza o prowadzeniu
sklepu internetowego
sto traktowana przez właścicieli sklepów z dużą pobłaż-
liwością. Wniosek taki można wyciągnąć między inny-
mi na podstawie badania przeprowadzonego przez ser-
wis Sklepy24.pl w ramach raportu „e-Handel Polska
2009”. Ankiety zebrane z ponad 600 sklepów interne-
towych pokazują, że tylko co dziesiąty sklep zarejestro-
wał zbiór danych osobowych u Generalnego Inspekto-
ra Danych Osobowych, a jedynie połowa właścicieli ma
pewność, że centrum przetwarzania danych, w którym
znajdują się serwery obsługujące sklep jest dobrze za-
bezpieczona przed włamaniami, pożarem czy proble-
mami z zasilaniem.
Co ciekawe, badanie Eurobarometru z 2008 r. wska-
zuje, że właścicielowi sklepu internetowego powinno
szczególnie zależeć na wzbudzeniu zaufania i zapew-
nieniu rzeczywistego bezpieczeństwa danych osobo-
wych swoich klientów. Polacy są na pierwszym miejscu
w Unii Europejskiej jako deklarujący najwyższą świado-
mość praw związanych z danymi osobowymi (43% ba-
danych). Ponad połowa ankietowanych (55%) deklaro-
wała troskę o dane osobowe ujawniane w Internecie.
W dalszej części artykułu omówię najważniejsze,
z punktu widzenia przedsiębiorcy prowadzącego sklep
internetowy, zagadnienia związane z ochroną danych
osobowych klientów. Skupimy się przede wszystkim na
zagadnieniach praktycznych, z naciskiem na kwestie
techniczne (sklep internetowy to w znakomitej większo-
2/2011
 Zarządzanie bezpieczeństwem danych osobowych. Kwestie prawne e-commerce
ści przypadków system informatyczny z niewielką ilo-
ścią dokumentów papierowych). Przyjąłem również za-
łożenie, że właściciel sklepu internetowego jest równo-
cześnie administratorem danych osobowych klientów,
choć w szczególnych przypadkach należałoby również
rozpatrywać ten aspekt.
Jakie przepisy prawne wpływają
na przetwarzanie danych w sklepie
internetowym?
Najistotniejsze przepisy prawne regulujące kwestię
przetwarzania danych osobowych to ustawa oraz roz-
porządzenie poświęcone wymaganiom stawianym sys-
temom informatycznym:
• Ustawa z dnia 29 sierpnia 1997 r. o ochronie da-
nych osobowych,
• Rozporządzenie Ministra Spraw Wewnętrznych
i Administracji z dnia 29 kwietnia 2004 r. w sprawie
dokumentacji przetwarzania danych osobowych
oraz warunków technicznych i organizacyjnych, ja-
kim powinny odpowiadać urządzenia i systemy in-
formatyczne służące do przetwarzania danych oso-
bowych.
W marcu 2011 r. wchodzi w życie nowelizacja usta-
wy o ochronie danych osobowych, nie ulegają jednak
zmianie interesujące nas zagadnienia.
W dalszej części artykułu zarówno ustawa jak i zwią-
zane z nią rozporządzenia wykonawcze nazywane są
wspólnie UODO.
Czy dane osobowe to tylko imię i nazwisko
oraz adres dostawy?
Definicja danych osobowych zawarta w ustawie
o ochronie danych osobowych mówi, że dane osobo-
we to wszelkie informacje dotyczące zidentyfikowa-
nej lub możliwej do zidentyfikowania osoby fizycznej,
a więc takiej osoby, której tożsamość można określić
bezpośrednio lub pośrednio, w szczególności przez po-
wołanie się na numer identyfikacyjny albo jeden lub kil-
ka specyficznych czynników określających jej cechy fi-
zyczne, fizjologiczne, umysłowe, ekonomiczne, kulturo-
we lub społeczne. Istotne jest dodatkowe założenie, że
informacji nie uważa się za umożliwiającą określenia
tożsamości osoby, jeżeli wymagałoby to nadmiernych
kosztów lub działań.
W efekcie bezspornie typowymi danymi osobowymi,
które mogą pojawić się w sklepie internetowym będą
na przykład:
• imię i nazwisko,
• adres zamieszkania,
• przypisany numer (na przykład PESEL lub NIP),
• adres e-mail, który zawiera imię i nazwisko lub jed-
www.hakin9.org
noznacznie pozwala określić tożsamość jego po-
siadacza,
• informacje na temat stanu zdrowia czy nałogach.
Danymi osobowymi nie są informacje ogólne – na
przykład samodzielnej informacji „Jan, Wrocław” nie
można uznać za daną osobową, ponieważ zidentyfiko-
wanie osoby wymagałoby poniesienia istotnych kosz-
tów lub podjęcia nadmiernych działań.
Co ciekawe, pewne dane, które same w sobie nie są
danymi osobowymi, w powiązaniu z typowymi danymi
osobowymi stają się ich częścią. Klasyczny przypadek to
lista zamówionych przez klienta towarów. Przykładowo:
• informacja o tytule książki, liczbie sztuk i cenie nie
jest daną osobową,
• informacja o tytule książki, liczbie sztuk i cenie po-
wiązana z imieniem i nazwiskiem klienta wraz z ad-
resem dostawy staje się daną osobową.
Reasumując, może się okazać, że duża część ba-
zy danych sklepu internetowego stanowi zbiór danych
osobowych w rozumieniu UODO. Zwłaszcza jeśli mię-
dzy poszczególnymi tabelami występują powiązania
typowe dla relacyjnej bazy danych SQL.
Zbiór danych osobowych kojarzy się
z koniecznością jego rejestracji w GIODO, czy
dotyczy to każdego zbioru?
Zbiór danych osobowych to zestaw danych dostępnych
według określonych kryteriów, niezależnie od tego czy
zestaw ten jest rozproszony lub podzielony funkcjonal-
nie. Typowym zbiorem danych osobowych będzie baza
klientów, która jest wykorzystywana w celach marketin-
gowych. Jeden zbiór danych może tworzyć nawet kilka
baz danych.
Z założenia każdy zbiór danych osobowych podle-
ga obowiązkowi rejestracji w rejestrze prowadzonym
przez Generalnego Inspektora Danych Osobowych
(GIODO). Od tego obowiązku jest 14 wyjątków określo-
nych w ustawie.
W przypadku sklepu internetowego jedyny wyjątek,
który można byłoby rozważać to zwolnienie z obowiąz-
ku rejestracji danych administratorów danych osobo-
wych przetwarzanych wyłącznie w celu wystawienia
faktury, rachunku lub prowadzenia sprawozdawczości
finansowej. Ten przypadek może być jednak trudny do
zastosowania, jeśli dane są wykorzystywane na przy-
kład w celach marketingowych (wysyłka newslettera)
czy w celu obsługi reklamacji. Wystarczy jednak, że da-
ne o historii zakupów są wykorzystywane do przedsta-
wienia spersonalizowanej oferty i nie ma już możliwości
skorzystania ze zwolnienia z obowiązku rejestracji.
Rejestracja zbioru danych w GIODO jest stosunkowo
prosta, należy jednak pamiętać, że niepoprawne wy-
27
 OBRONA
pełnienie formularza rejestracji może nie tylko dopro-
wadzić do odmowy zarejestrowania zbioru, ale może
wzbudzić zainteresowanie inspektorów GIODO i spro-
wokować kontrolę firmie przedsiębiorcy prowadzące-
go sklep.
Należy pamiętać, że zwolnienie z obowiązku rejestra-
cji zbioru danych w GIODO nie zwalnia przedsiębiorcy
z obowiązku przestrzegania innych przepisów UODO.
Jakie wymagania musi spełniać
oprogramowanie sklepu internetowego?
Oprogramowanie sklepu internetowego, wraz z serwe-
rem na którym działa, to – zgodnie z definicją z ustawy
– system informatyczny. Wymagania stawiane syste-
mowi informatycznemu nie zależą od rodzaju oprogra-
mowania i dotyczą:
• oprogramowania komercyjnego i darmowego (np.
Open Source),
• gotowych pakietów i programów stworzonych na
lub dostosowanych do indywidualnych potrzeb skle-
pu,
• platform hostujących sklepy internetowe.
Zgodnie z wymaganiami UODO, każdy system infor-
matyczny, który służy do przetwarzania danych oso-
bowych, musi spełniać następujące wymagania:
• zapewniać kontrolę dostępu do danych osobowych
(na przykład wymagać podania identyfikatora użyt-
kownika i hasła oraz wprowadzać poziomy upraw-
nień, jeśli można je wyodrębnić),
• każdy użytkownik musi posiadać odrębny identy-
fikator (nie może mieć miejsca sytuacja, w której
użytkownicy korzystają ze wspólnego loginu),
• system musi być zabezpieczony przed działaniem
oprogramowania, którego celem jest uzyskanie nie-
uprawnionego dostępu,
• zmiana hasła następuje przynajmniej raz na 30 dni,
• hasło składa się z co najmniej 8 znaków, zawiera
małe i wielkie litery oraz cyfry lub znaki specjalne,
• dostęp do systemu powinien być zabezpieczony
przed zagrożeniami pochodzącymi z Internetu po-
przez wdrożenie fizycznych lub logicznych zabez-
pieczeń chroniących przed nieuprawnionym dostę-
pem (na przykład zapora ogniowa firewall) i zapew-
niają kontrolę przepływu informacji pomiędzy sys-
temem informatycznym a Internetem oraz kontrolę
działań inicjowanych z Internetu i systemu informa-
tycznego,
• system musi automatycznie odnotowywać datę
wprowadzenia danych osobowych, osobę, która je
wprowadziła, źródło danych, informację o udostęp-
nieniu danych oraz informację czy osoba wyraziła
sprzeciw wobec przetwarzania jej danych,
28
• system musi umożliwiać wyświetlenie na ekranie
oraz wydrukowanie raportu zawierającego w po-
wszechnie zrozumiałej formie (czyli np. bez specy-
ficznych dla tego programu skrótów i kodów) dane
osobowe oraz informację o dacie ich wprowadzenia
do systemu informatycznego, osobie, która je wpro-
wadziła, źródle danych, informacji o udostępnieniu
danych oraz o tym czy osoba wyraziła sprzeciw
wobec przetwarzania jej danych.
Przynajmniej część z powyższych zaleceń warto wpro-
wadzić w życie dla każdego serwisu internetowego (w
szczególności sklepu internetowego), ponieważ popra-
wią jego ogólną niezawodność i bezpieczeństwo.
Czy cała komunikacja między klientem
a sklepem internetowym powinna być
szyfrowana?
Ustawa o ochronie danych osobowych nie nakłada tak
szerokiego obowiązku zapewnienia bezpiecznego, szy-
frowanego połączenia HTTPS i certyfikatów SSL. Nie
ma też praktycznego uzasadnienia, żeby w przypadku
każdego sklepu wymagać szyfrowania całej komunika-
cji między komputerem klienta a serwerem.
UODO mówi jednak, że należy bezwzględnie sto-
sować bezpieczne połączenia HTTPS wobec danych
wykorzystywanych do uwierzytelnienia, które są prze-
syłane przez Internet (będzie to na przykład operacja
logowania się klienta do własnego konta lub obsługi
sklepu do panelu administracyjnego). Dodatkowo wła-
ściciel sklepu ma obowiązek dochowania szczególnej
staranności w zabezpieczeniu wszelkich danych oso-
bowych.
Warto więc zastosować szyfrowane połączenie
HTTPS i certyfikat SSL przynajmniej w obrębie:
• logowania się klienta do konta w sklepie interneto-
wym (informacja o identyfikatorze użytkownika i ha-
śle),
• obsługi koszyka i składania zamówienia (informacje
o zamówionych produktach, cena),
• obsługi historii zamówień oraz informacji osobi-
stych (zamówione produkty, adres dostawy),
• całego panelu administracyjnego, który służy do
zarządzania sklepem i jest wykorzystywany przez
jego obsługę.
Wykorzystanie certyfikatu SSL na serwerze pozwala
na spełnienie tych wymagań. Dane przesyłane przez
Internet nie tylko nie będą mogły zostać podsłuchane,
ale połączenie HTTPS zapewni również, że nie zosta-
ną one zmodyfikowane. Orientacyjny koszt certyfika-
tu SSL to 120zł rocznie, a więc jest niski w porówna-
niu do kosztów jednego skutecznego wyłudzenia na-
wet w małych sklepach.
2/2011
 Zarządzanie bezpieczeństwem danych osobowych. Kwestie prawne e-commerce
Jakie wymagania powinna spełniać firma
hostingowa lub centrum przetwarzania
danych, w którym znajdują się serwery
obsługujące sklep internetowy?
Wymagania dotyczące hostingu sklepu internetowego
to ciekawe zagadnienie. Oprócz wspomnianych wcze-
śniej wymagań stawianych przede wszystkim oprogra-
mowaniu, administrator danych osobowych ma obowią-
zek zapewnienia bezpieczeństwa fizycznego i środowi-
skowego przetwarzanym danym osobowym. Sklepy in-
ternetowe są najczęściej utrzymywane na:
• typowym współdzielonym hostingu (zwykle sklepy
małe lub z krótkim stażem),
• wirtualnych serwerach prywatnych VPS (sklepy
średnie),
• dedykowanych serwerach fizycznych (sklepy więk-
sze, z dłuższym stażem),
• platformie oferującej sklepy internetowe w modelu
Software as a Service (SaaS).
W większości przypadków firma obsługująca sklep in-
ternetowy nie posiada własnego centrum przetwarza-
nia danych (potocznie nazywanego serwerownią),
w którym znajdują się serwery obsługujące sklep inter-
netowy i obsługa sprzętowa jest powierzana firmie ho-
stingowej.
Centrum przetwarzania danych, w których znajdują
się serwery powinno co najmniej zapewniać:
• zabezpieczenie przed dostępem osób nieupoważ-
nionych (fizyczne zabezpieczenia takie jak odpo-
wiednie drzwi, zamki, kontrola dostępu, system
alarmowy, całodobowy monitoring, agencja ochro-
ny),
• zabezpieczenie przed pożarem, zalaniem i innymi
zagrożeniami środowiskowymi (odpowiednie czuj-
niki, system gaszenia bezpieczny dla ludzi i sprzętu
elektronicznego),
• zabezpieczenie serwerów przed utratą danych
spowodowaną awarią zasilania lub zakłóceniami
w sieci zasilającej (czyli powinno być wyposażone
w zasilacze awaryjne UPS oraz opcjonalnie gene-
ratory prądu).
Jeśli sklep internetowy nie jest utrzymywany na ser-
werach dedykowanych, ale korzysta ze zwykłego kon-
ta hostingowego lub platformy udostępniającej sklepy
w modelu SaaS, warto jednoznacznie określić za jakie
elementy zabezpieczenia odpowiada firma świadcząca
usługę, a za które właściciel sklepu. Typowym przykła-
dem jest na przykład kwestia wykonywania kopii zapa-
sowych – częstotliwość lub sposób dostępu oferowany
przez firmę hostingową może nie być wystarczający
dla zapewnienia bezpieczeństwa danych osobowych.
www.hakin9.org
W jaki sposób zabezpieczyć sklep
internetowy przed atakami z zewnątrz?
Ustawa o ochronie danych osobowych nakłada na ad-
ministratora danych osobowych obowiązek zabezpie-
czenia systemu informatycznego, między innymi przed
zagrożeniami pochodzącymi z Internetu.
W celu zabezpieczenia sklepu internetowego przed
atakami z zewnątrz warto między innymi:
• korzystać z oprogramowania, które jest ciągle roz-
wijane i jego autorzy lub producent reaguje na po-
wstawanie nowych ataków i odkrywanie błędów,
• zadbać o aktualność oprogramowania, które jest
zainstalowane zarówno na serwerach (system ope-
racyjny, oprogramowanie systemowe, aplikacja
sklep) obsługujących sklep, jak i na komputerach
„biurowych” (chociażby przeglądarka internetowa),
• stosować firewalle, które pozwolą na zablokowanie
dostępu do serwera komputerom, które służą do
przeprowadzania ataków,
• wykorzystać „firewalle aplikacyjne” (ang. Web Ap-
plication Firewall), które stanowią dodatkową war-
stwę ochrony,
• zainstalować oprogramowanie antywirusowe na
komputerach osób obsługujących sklep interneto-
wy.
Oczywiście właściciel typowego sklepu nie będzie
w stanie zabezpieczyć go przed każdym rodzajem ata-
ku. W celu zapewnienia kompleksowej ochrony mu-
si współdziałać lub wręcz w całości polegać na firmie
dostarczającej platformę hostingową, serwer lub łącze
do serwera. Wiele sieciowych, siłowych ataków wyma-
ga zastosowania zabezpieczeń na najniższych pozio-
mach sieci (na przykład odcięcie ataku DDoS, ochro-
na przed atakami polegającymi na „zatruciu” DNSów).
Warto również wykorzystać bezpieczne, szyfrowane
połączenie HTTPS i certyfikaty SSL w celu uniemożli-
wienia podsłuchania lub modyfikacji komunikacji mię-
dzy sklepem internetowym a klientem lub obsługą skle-
pu. Zabezpiecza to przed poznaniem poufnych informa-
cji przez osoby nieupoważnione lub ich zmianę.
Na co zwrócić uwagę, jeśli do bazy
klientów ma dostęp administrator serwera,
zewnętrzna agencja interaktywna i osoba
współpracująca z właścicielem sklepu na
podstawie umowy o dzieło?
Przede wszystkim każda osoba, niezależnie od rodza-
ju umowy, na podstawie której współpracuje z właści-
cielem sklepu internetowego, nawet jeśli jest pracow-
nikiem innej firmy, powinna posiadać pisemne upoważ-
nienie do przetwarzania danych osobowych klientów
sklepu. Osoba taka powinna zobowiązać się do zacho-
wania w tajemnicy danych osobowych, do których ma
29
 OBRONA
dostęp oraz informacji na temat sposobów w jaki dane
są zabezpieczone. Lista upoważnień powinna zostać
zapisana w Ewidencji osób upoważnionych do prze-
twarzania danych, również prowadzonej przez właści-
ciela sklepu.
W przypadku, kiedy dostęp do danych osobowych
uzyskuje inna firma (na przykład firma hostingowa,
agencja interaktywna, programista prowadzący własną
działalność gospodarczą, firma udostępniająca aplika-
cję internetową do wysyłania mailingów), to koniecznie
należy podpisać umowę powierzenia przetwarzania da-
nych osobowych.
Ustawa o ochronie danych osobowych stawia dwa
wymagania umowie powierzenia przetwarzania danych
osobowych. Umowa taka musi koniecznie:
• zostać zawarta w formie pisemnej,
• określać cel i zakres przetwarzania danych.
W praktyce podpisanie umowy powierzenia przetwarza-
nia danych osobowych zabezpiecza interesy właściciela
sklepu. Taka umowa nakłada bowiem na współpracują-
cą firmę obowiązek zabezpieczenia zbioru danych oso-
bowych (oczywiście w zależności do tego jakie opera-
cje na nim wykonuje) i odpowiada za poprawną realiza-
cję tych działań tak samo jak właściciel sklepu.
Brak podpisanej umowy powierzenia przetwarzania
danych osobowych mógłby sprowadzić na właścicie-
la sklepu zarzut udostępnienia danych osobowych in-
nemu podmiotowi bez posiadania jakiejkolwiek podsta-
wy prawnej.
Jakie są wymagania UODO dla kopii
zapasowych?
Przepisy UODO wymagają wykonywania kopii zapaso-
wych przetwarzanych danych osobowych oraz progra-
mów i narzędzi programowych służących do ich prze-
twarzania. Nie precyzują jednak częstotliwości czy spo-
sobu ich wykonywania – decyzje w tej sprawie pozosta-
wione są w gestii administratora danych. Warto pamię-
tać, że macierz RAID nie zastępuje kopii bezpieczeń-
stwa. Zestaw płyt DVD lub kaset do streamera wypeł-
nionych ważnymi danymi nie stanowi jeszcze kopii bez-
pieczeństwa. Niezbędne jest opracowanie procedu-
ry pozwalającej na odzyskanie danych, przeszkolenie
pracowników i wyznaczenie osób odpowiedzialnych za
cały proces. Należy również zadbać, aby dostęp do no-
śników z danymi był możliwy w określonym, maksymal-
nym czasie.
Kopie zapasowe muszą być przechowywane w miej-
scach zabezpieczających je przed nieuprawnionym
przejęciem, modyfikacją, uszkodzeniem lub zniszcze-
niem. Bezwzględnie należy zapewnić przynajmniej tak
samo dobre zabezpieczenia dla nośników danych, na
których znajdują się kopie zapasowe jak dla działającego
30
systemu informatycznego. Czyli nie powinna mieć miej-
sca sytuacja, w której serwery znajdują się w centrum
przetwarzania danych spełniającego wymagania UODO,
natomiast płyty DVD z kopiami zapasowymi przechowy-
wane są w niezabezpieczonej szafie w biurze.
Należy również pamiętać, że UODO wymaga, aby ko-
pie zapasowe zostały usunięte niezwłocznie po ustaniu
ich użyteczności. Ma to na celu zapewnienie, że dane
osobowe, które nie są już do niczego potrzebne, nie bę-
dą przechowywane nadmiernie długo.
Co należy zrobić z nośnikami danych, na
których znajduje się baza SQL sklepu, a które
nie są już potrzebne?
W trakcie działania serwisu internetowego normalne
jest, że pojawiają się nośniki danych, które zawierają
dane (niekoniecznie osobowe), które nie są już do ni-
czego potrzebne. Mogą to być stare kopie zapasowe al-
bo stary serwer, który nie jest już wykorzystywany.
Przepisy UODO w jasny sposób mówią co należy zro-
bić z nośnikami danych przeznaczonych do: likwidacji,
przekazania podmiotowi nieuprawnionemu do przetwa-
rzania danych (np. przekazanie komputera innej osobie
czy firmie) lub naprawy. Należy pozbawić nośnik wcze-
śniej zapisu danych osobowych, a w przypadku gdy nie
jest to możliwe, należy nośnik uszkodzić w sposób unie-
możliwiający jego odczytanie. W przypadku oddania do
naprawy oczywiście nie należy uszkadzać nośnika, za-
miast tego naprawa powinna odbywać się pod nadzorem
osoby upoważnionej przez administratora danych.
W przypadku usuwania informacji z dysków twardych
należy skorzystać ze specjalnego programu, który wie-
lokrotnie zapisze obszary dysku, na których znajdowały
się pliki, co uniemożliwi (lub znacząco utrudni) ich odzy-
skanie nawet w profesjonalnej firmie zajmującej się od-
zyskiwaniem danych. Płyty CD lub DVD najłatwiej jest
połamać lub skorzystać z biurowej niszczarki potrafią-
cej niszczyć również płyty.
Warto zauważyć, że wymagania UODO warto sto-
sować nie tylko do danych osobowych, ale do wszel-
kich dysków czy płyt DVD na których znajdują się dane
związane z działaniem przedsiębiorstwa.
Czy z punktu widzenia ochrony danych
osobowych istotne jest państwo, w którym
znajdują się serwery obsługujące sklep
internetowy?
Ustawa o ochronie danych osobowych rozróżnia przy-
padek przekazania danych osobowych do państwa
trzeciego. „Państwo trzecie” to państwo nienależące
do Europejskiego Obszaru Gospodarczego (kraje Unii
Europejskiej oraz Norwegia i Islandia). Przekazanie da-
nych osobowych do państwa trzeciego może nastąpić
jeżeli państwo docelowe daje gwarancję ochrony da-
nych osobowych na swoim terytorium przynajmniej ta-
2/2011
 Zarządzanie bezpieczeństwem danych osobowych. Kwestie prawne e-commerce
kiej, jaka obowiązuje w Polsce oraz w kilku innych przy-
padkach szczegółowo określonych w ustawie.
Przekazanie danych należy traktować dość szero-
ko i obejmuje ono również przekazywanie danych na
serwery właściciela sklepu zlokalizowane w państwie
trzecim.
Bez żadnych problemów można przetwarzać da-
ne osobowe klientów sklepu na serwerach zlokalizo-
wanych w dowolnym z państw Unii Europejskiej. Ze
względów praktycznych wygodnie jest, jeśli nie ma
bariery językowej między właścicielem sklepu a firmą
świadczącą usługę hostingu, dzierżawy czy kolokacji
serwera i nie ma problemu z różnicami w przepisach
między różnymi państwami.
Jakie mogą być konsekwencje dla
przedsiębiorcy, który przetwarza dane
osobowe niezgodnie z UODO?
Jednym z zadań Generalnego Inspektora Ochrony Da-
nych Osobowych jest kontrola zgodności przetwarza-
nia danych z przepisani o ochronie danych osobowych.
Realizując to zadanie inspektorzy GIODO mają prawo
do przeprowadzania kontroli podmiotów, które przetwa-
rzają dane osobowe.
Warto wiedzieć, że inspektorzy GIODO pracują w ze-
społach, w skład których wchodzą zarówno prawni-
cy jak i informatycy. Oznacza to, że kontrolujący ma-
ją kompetencje i uprawnienia pozwalające na zbadanie
systemów informatycznych i poprawności zabezpiecze-
nia serwerów.
Właściciel sklepu internetowego, który nie wypełnia
obowiązków nałożonych na niego przez UODO, mię-
dzy innymi w zakresie rejestracji zbioru danych osobo-
wych, legalności przetwarzania informacji oraz zabez-
pieczeń technicznych i organizacyjnych, może zostać
pociągnięty do odpowiedzialności:
• karnej - grzywna, ograniczenie lub pozbawienie
wolności do lat 3,
• administracyjnej - wymóg poprawienia błędów,
a nawet usunięcia zgromadzonych danych,
• dyscyplinarnej - dotyczy pracowników i może do-
prowadzić do zwolnienia dyscyplinarnego,
• odszkodowawczej - odszkodowanie w przypad-
ku naruszenia praw osoby lub wyrządzenia szkody
majątkowej lub krzywdy.
Z punktu widzenia biznesu najbardziej dotkliwe dla
sklepu internetowego może być nakazanie usunięcia
danych osobowych, które zostały zgromadzone nie-
zgodnie z wymaganiami UODO. Paraliżująco na dzia-
łanie sklepu może również wpłynąć nakazanie przez
GIODO usunięcia uchybień lub też uzupełnienia, uak-
tualnienia danych lub zastosowania dodatkowych środ-
ków zabezpieczających zgromadzone dane osobowe.
www.hakin9.org
Czy połączenie e-sklepu z innymi portalami
zagraża bezpieczeństwu danych osobowych
użytkowników?
Przede wszystkim należy ustalić czy w trakcie połącze-
nia sklepu internetowego z innymi serwisami dojdzie do
transferu danych osobowych klientów tego sklepu.
Jeśli na stronie internetowej sklepu osadzany jest je-
dynie „widget” (na przykład serwisu Facebook) z inne-
go serwisu internetowego, raczej nie spowoduje to za-
grożenia dla bezpieczeństwa danych osobowych klien-
tów sklepu.
W przypadku, kiedy następuje przekazanie danych
osobowych klienta do innego serwisu internetowego,
dochodzi do udostępnienia danych w rozumieniu prze-
pisów UODO i konieczne jest zastosowanie się do spe-
cyficznych wymagań. W szczególności oznacza to, że
użytkownik przede wszystkim powinien zgodzić się
na udostępnienie swoich danych. Oprócz tego powi-
nien zostać poinformowany o fakcie udostępnienia, ce-
lu i zakresie przekazanych danych oraz o firmie, której
dane zostały udostępnione.
W szczególnych przypadkach, jeśli integrowany ser-
wis ma specyficzne błędy, możliwe może być wykona-
nie skutecznego ataku na klienta sklepu internetowego
nawet przez „widget”. Może to doprowadzić do wycieku
danych osobowych konkretnej osoby, która jednocze-
śnie korzysta z tego serwisu i sklepu internetowego.
Podsumowanie
Zapewnienie bezpieczeństwa przetwarzania danych
osobowych klientów sklepu internetowego z pewnością
wymaga wiedzy i poświęcenia pewnej ilości czasu, że-
by poprawnie zorganizować cały proces. Nakłady te po-
winny jednak zwrócić się nie tylko w postaci spełnienia
wymagań ustawy o ochronie danych osobowych, ale ja-
ko konkretna korzyść biznesowa - w postaci zdobycia
większego zaufania klientów oraz poprawienia stabilno-
ści i bezpieczeństwa całej platformy do e-handlu, z któ-
rej korzysta przedsiębiorca. Oznacza to wymierne zyski
dzięki mniejszej liczbie awarii i przerw w działaniu skle-
pu czy uniknięcie zagrożeń i szkód związanych z wła-
maniami.
MARCIN ENGELMANN
Od 10 lat zajmuje się bezpieczeństwem informacji i systemów
informatycznych oraz ochroną danych osobowych. Posiada
doświadczenie w przeprowadzaniu audytów IT oraz wdraża-
niu polityk bezpieczeństwa (ISO 27001), jest również Certy�-
kowanym Audytorem Systemów Informatycznych (CISA) mię-
dzynarodowej organizacji ISACA. Jest właścicielem i wiodą-
cym audytorem �rmy IMAGIN IT zajmującej się doradztwem
w zakresie bezpieczeństwa informacji i systemów komputero-
wych oraz projektowaniem infrastruktury dla systemów wy-
sokiej wydajności i niezawodności.
31
 OBRONA

Bazy danych i zasady

korzystania z nich w świetle
przepisów prawa polskiego
Dariusz Łydziński
Bazy danych i korzystanie z nich stanowią przedmiot działalności
wielu podmiotów gromadzących i przetwarzających dane, dlatego też
często są poddawane zagrożeniom ze strony przestępców działających
wewnątrz firmy oraz napastników zewnętrznych, którzy nie szukają
już hakerskiej sławy, lecz są głównie zainteresowani korzyściami
finansowymi. W każdej organizacji dane są drugim najcenniejszym
zasobem, zaraz po pracownikach. Firmy są zobowiązane do
ochrony własnego personelu i klientów poprzez dołożenie należytej
staranności i zapewnienie maksymalnych możliwych zabezpieczeń.
Dowiesz się: Powinieneś wiedzieć:
• o wymaganiach dotyczących baz danych, wynikających z re- • znać podstawowe zasady ochrony danych osobowych, wyni-
gulacji prawnych kające z aktów prawnych
• o zakresie stosowanych zabezpieczeń baz danych osobowych
i przechowywanych w nich informacji
• o zasadach korzystania z baz danych osobowych

O
chrona baz danych w świetle przepisów prawa
polskiego opiera się na przepisach prawa autor-
skiego (ustawa z 4 lutego 1994 r. o prawie autor-
skim) oraz regulacjach ustawy o ochronie baz danych.
Ustawa o prawie autorskim znajduje zastosowanie do
baz, których dobór, układ i zestawienie ma charakter
twórczy. Pozbawia to możliwości objęcia ochroną zbio-
rów, w których elementy zostały ułożone alfabetycznie
czy też chronologicznie. Z uwagi na to ograniczenie,
uzupełnienie ochrony baz danych stanowią przepisy
Ustawy z dnia 27 lipca 2001 r. o ochronie baz danych.
Umożliwiają one ochronę baz danych, które nie speł-
niają przesłanek umożliwiających uznanie ich za przed-
miot prawa autorskiego.
Rodzaj podjętych przedsięwzięć oraz zakres stoso-
wanych środków ochrony jest bardzo szeroki, dlate-
go też treści zawarte w artykule nie stanowią całościo-
wej problematyki wchodzącej w jej zakres. Są jedynie
zwróceniem szczególnej uwagi na jeden z elementów
ochrony baz, którym są bazy danych osobowych.
Bazy danych osobowych są podstawą działania dzia-
łów marketingu i reklamy. Są one wykorzystywane do
prowadzenia reklamy personalnej, badań zachowań
klientów, wysyłania personalizowanych materiałów re-
klamowych i innych działań z zakresu Public Relation.
Dlatego celem artykułu jest przedstawienie elemen-
tów ochrony baz danych osobowych oraz zasad korzy-
stania z nich.
WYMAGANIA DOTYCZĄCE OCHRONY
BAZ DANYCH OSOBOWYCH W AKTACH
PRAWNYCH
Ustawa z dnia 27 lipca 2001 r.
o ochronie baz danych.
Podstawowe zasady ochrony baz danych w prawie pol-
skim zawarto w ustawie z dnia 27 lipca 2001 r. o ochro-
nie baz danych. Przedmiotem ochrony jest baza da-
nych niespełniająca cech utworów. Ustawa dotyczy baz
danych przechowywanych w dowolny sposób.

32 2/2011
 Bazy danych i zasady korzystania z nich w świetle przepisów prawa polskiego.
Należy zwrócić uwagę, na fakt, iż baza danych to
„zbiór danych lub innych elementów zgromadzonych
wedle określonej systematyki lub metody indywidual-
nie dostępnych w jakikolwiek sposób”. Jest to ważne,
gdyż nie ma znaczenia sposób jej sporządzenia i utrwa-
lenia. Ochronie podlegają nie tylko elektroniczne bazy
danych, ale również fizyczne.
Ustawa chroni interesy producenta bazy, którym mo-
że być osoba fizyczna, osoba prawna lub jednostka or-
ganizacyjna nie posiadająca osobowości prawnej, któ-
ra ponosi nakłady inwestycyjne przy tworzeniu bazy.
Producentem bazy powstałej w wyniku stosunku pracy
jest pracodawca, producentem bazy powstałej o umo-
wę o dzieło lub zlecenie jest zleceniodawca. Ochrona
przysługuje bazom danych, których producent:
• Jest obywatelem RP albo ma na jej terytorium swo-
ją siedzibę lub
• Jest obywatelem państwa członkowskiego Unii Eu-
ropejskiej albo ma miejsce stałego pobytu na tery-
torium Wspólnoty Europejskiej lub
• Jest osobą prawną założoną zgodnie z prawem
państwa członkowskiego Unii europejskiej, posia-
dającą siedzibę i zakład główny wykonywania dzia-
łalności na terytorium Wspólnoty Europejskiej.
Ustawa określa także czas obowiązywania ochro-
ny bazy danych na 15 lat od momentu jej utworze-
nia lub od momentu jej udostępnienia publicznie,
o ile udostępnienie to nastąpiło w ciągu 15 lat od jej
utworzenia.
Ustawa pozwala na korzystanie z baz danych na za-
sadzie tzw. dozwolonego użytku. Zgodnie z art. 8 Usta-
wy możliwe jest korzystanie z istotnej, co do jakości lub
ilości, części rozpowszechnionej bazy danych:
• Do własnego użytku osobistego, ale tylko z zawar-
tości nieelektronicznej bazy danych,
• W charakterze ilustracji, w celach dydaktycznych
lub badawczych, ze wskazaniem źródła, jeżeli takie
korzystanie jest uzasadnione niekomercyjnym ce-
lem, dla którego wykorzystano bazę,
• Do celów bezpieczeństwa wewnętrznego, postępo-
wania sądowego lub administracyjnego.
Ustawodawca docenił rolę tych, którzy zbierają infor-
macje, gromadzą i przetwarzają lub udostępniają prze-
twarzanie dla określonych osób i celów.
W przypadku bezprawnego korzystania z chronio-
nej bazy danych zgodnie z art. 11 Ustawy producent
ma prawo wezwać do zaprzestania z korzystania z ba-
zy, zwrotu uzyskanych korzyści finansowych, lub żądać
naprawienia wyrządzonej szkody na prawach ogólnych.
Osoba korzystająca z bazy danych chronionej podlega
karze grzywny.
www.hakin9.org
Ustawa z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych.
Zasady przetwarzania danych osobowych w zbiorach
danych a za takie możemy uznać bazy danych oso-
bowych, określa ustawa z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych oraz wydane na jej pod-
stawie akty wykonawcze – rozporządzenia Ministra
Spraw Wewnętrznych i Administracji.
Ustawa określa zasady postępowania przy przetwa-
rzaniu danych osobowych oraz prawa osób, których da-
ne są przetwarzane, niezależnie od sposobu przetwa-
rzania danych.
Ustawa narzuca na administratorów danych konkret-
ne wymagania organizacyjne i techniczne, w tym dla
baz danych osobowych. W zakresie zabezpieczeń baz
danych i przechowywanych w nich informacji Ustawa
definiuje następujące kwestie:
• Określenie pojęcia danych osobowych (art. 6).
• Określenie organów ochrony danych osobowych,
w tym wyszczególnienie praw i obowiązków General-
nego Inspektora Ochrony Danych Osobowych (GIO-
DO) i obowiązków podmiotów względem GIODO.
• Określenie zasad przetwarzania danych osobo-
wych (rozdział 3).
• Wskazanie praw osoby, której dane są przetwarza-
ne (rozdział 4).
• Aspekty zabezpieczania danych osobowych (roz-
dział 5).
• Obowiązek rejestrowania zbiorów danych osobo-
wych (rozdział 6).
• Zasady przekazywania danych osobowych do pań-
stwa trzecich (rozdział 7).
Zasady zabezpieczenia baz danych osobowych za-
równo w sposób techniczny, jak i organizacyjny zawie-
ra rozdział 5.
Najogólniej wymagania dotyczące zabezpieczeń da-
nych osobowych określa Art. 36 ust. 1 Ustawy, który
mówi, że „Administrator danych jest obowiązany zasto-
sować środki techniczne i organizacyjne zapewniające
ochronę przetwarzanych danych osobowych odpowied-
nią do zagrożeń oraz kategorii danych objętych ochro-
ną, a szczególności powinien zabezpieczyć dane przed
ich udostępnieniem osobom nieupoważnionym, za-
braniem przez osobę nieuprawnioną, przetwarzaniem
z naruszeniem ustawy oraz zmianą, utratą, uszkodze-
niem lub zniszczeniem”.
Najważniejsze wymagania dotyczące ochrony baz
danych osobowych, wynikające z ustawy to:
• Określenie aspektów identyfikacji czy w administro-
wanej bazie danych znajdują się dane osobowe.
• Określenie zakresu przetwarzania administrowa-
nych danych, identyfikacji czy jest wymagana i do-
33
 OBRONA
stępna zgoda osób, których dane dotyczą, weryfi-
kacji kompletności danych i poprawności ich prze-
twarzania ze zgłoszonym celem i zakresem.
• Określenie mechanizmów udostępniania danych
i weryfikacji rejestracji udostępniania danych. Ba-
za danych osobowych powinna umożliwiać wy-
świetlenie, wydrukowanie dla danej osoby raportu,
w którym będą uwzględnione dane takie, jak: da-
ne tej osoby, źródło pochodzenia danych, kto dopi-
sał dane do bazy, data i czas utworzenia, informa-
cje o modyfikacjach, informacje komu i kiedy i w ja-
kim zakresie dane były udostępniane.
• Określenie formatu przekazywania danych, zakre-
su i rejestrowania przekazywania danych.
• Określenie poziomu bezpieczeństwa dla każdego
ze zbiorów, nadawanie i zarządzanie upoważnie-
niami do przetwarzania danych osobowych oraz
stosowania mechanizmów rozliczalności.
• Sporządzenie dokumentacji dotyczącej sposobu
przetwarzania i zabezpieczania danych osobo-
wych.
• Określenie zasad kontroli i dostępu do obszarów
przetwarzania danych osobowych.
• Określenie fizycznych zabezpieczeń instalacji infor-
matycznych, baz danych i nośników zawierających
dane osobowe.
• Wyznaczenie osób, które będą odpowiedzialne za
fizyczne bezpieczeństwo instalacji informatycz-
nych, baz danych i nośników zawierających dane
osobowe.
• Określenie sposobu weryfikowania nadanych
uprawnień dostępu do systemów.
Art. 39a Ustawy określa, że podstawowe warunki orga-
nizacyjne jak i techniczne, jakie muszą spełniać urzą-
dzenia i systemy informatyczne służące do przetwa-
rzania danych osobowych są wskazane w Rozporzą-
dzeniu MSWiA „w sprawie dokumentacji przetwarza-
nia danych osobowych, oraz warunków technicznych
i organizacyjnych, jakim powinny odpowiadać urządze-
nia i systemy informatyczne służące do przetwarza-
nia danych osobowych”, które jest podstawowym do-
kumentem określającym wymagania techniczne do-
tyczące systemów informatycznych [2]. W załączniku
do tego rozporządzenia, są wymienione środki bezpie-
czeństwa, jakie powinny być stosowane w systemie in-
formatycznym przetwarzającym dane osobowe. Środ-
ki bezpieczeństwa zostały przypisane do trzech pozio-
mów zabezpieczeń:
• Podstawowy dla wszystkich systemów,
• Podwyższony – dla systemów przetwarzających
dane o szczególnej wartości wymienione w art. 27
Ustawy (dane wrażliwe),
• Wysoki – gdy przynajmniej jedno urządzenie sys-
34
temu informatycznego, służącego do przetwarza-
nia danych osobowych, połączone jest z siecią
publiczną.
Do najważniejszych wymagań sprecyzowanych w Roz-
porządzeniu możemy zaliczyć:
• Konieczność stosowania mechanizmów kontroli do-
stępu, przy czym jeśli do systemu ma dostęp wielu
użytkowników, to muszą mieć oni odrębne identyfi-
katory.
• Zabezpieczenie przed „działaniem oprogramowa-
nia, którego celem jest uzyskanie nieuprawnionego
dostępu do systemu informatycznego” oraz „utratą
danych spowodowaną awarią zasilania lub zakłóce-
niami w sieci zasilającej”.
• Identyfikator użytkownika, który utracił uprawnienia
do przetwarzania danych, nie może być przydzielo-
ny innej osobie.
• Wymagania dotyczące haseł:
• powinny być zmieniane nie rzadziej niż 30 dni,
• hasło powinno składać się co najmniej na po-
ziomie podstawowym z 6 znaków, na poziomie
podwyższonym i wysokim z 8 znaków i zawie-
rać małe i duże litery oraz cyfry lub znaki spe-
cjalne,
• Konieczność sporządzania kopii zapasowych da-
nych i programów je przetwarzających. Ponadto ko-
pie zapasowe należy przechowywać w miejscach
zabezpieczających je przed nieuprawnionym prze-
jęciem, modyfikacją, uszkodzeniem lub zniszcze-
niem oraz usuwać niezwłocznie po ustaniu ich uży-
teczności.
• Jeżeli dane są przetwarzane na komputerze prze-
nośnym to nakazane jest szyfrowanie danych.
• Urządzenia, dyski lub inne nośniki elektroniczne za-
wierające dane osobowe przeznaczone do likwida-
cji, naprawy lub przekazania podmiotowi nieupraw-
nionemu do przetwarzania danych osobowych po-
zbawia się wcześniej zapisu w sposób uniemożli-
wiający ich odzyskanie.
• Na poziomie wysokim należy stosować zabezpie-
czenia logiczne, które obejmują kontrolę przepływu
informacji pomiędzy systemem informatycznym ad-
ministratora danych a siecią publiczną oraz kontro-
lę działań z sieci publicznej i systemu informatycz-
nego administratora danych.
• Na poziomie wysokim należy zapewnić również
ochronę kryptograficzną wobec danych wykorzy-
stywanych do uwierzytelniania, które są przesyłane
w sieci publicznej,
Dużą rolę, w ramach bezpieczeństwa i zasad korzy-
stania z baz danych osobowych odgrywa, oprócz
wskazanych powyżej aspektów element rozliczal-
2/2011
 Bazy danych i zasady korzystania z nich w świetle przepisów prawa polskiego.
ności. Podkreślając globalny charakter przepisów
o ochronie danych osobowych należy wspomnieć
o § 7 Rozporządzenia Ministra Spraw Wewnętrz-
nych i Administracji z dnia 29 kwietnia 2004 r. w spra-
wie dokumentacji przetwarzania danych osobowych
oraz warunków technicznych i organizacyjnych, ja-
kim powinny odpowiadać urządzenia i systemy infor-
matyczne służące do przetwarzania danych osobo-
wych, w którym zostały ujęte główne wytyczne w tym
zakresie:
I. Dla każdej osoby, której dane osobowe są przetwa-
rzane w systemie informatycznym – z wyjątkiem
systemów służących do przetwarzania danych oso-
bowych ograniczonych wyłącznie do edycji tekstu
w celu udostępnienia go na piśmie – system ten za-
pewnia odnotowanie:
1) Daty pierwszego wprowadzenia danych do sys-
temu,
2) Identyfikatora użytkownika wprowadzającego
dane osobowe do systemu, chyba że dostęp
do systemu informatycznego i przetwarzanych
danych w nim danych posiada wyłącznie jedna
osoba,
3) Źródła danych, w przypadku zbierania danych,
nie od osoby, której one dotyczą,
4) Informacji o odbiorcach, w rozumieniu art. 7 pkt
6 Ustawy, którym dane osobowe zostały udo-
stępnione, dacie i zakresie tego udostępnienia,
chyba że system informatyczny używany jest
do przetwarzania danych zawartych w zbiorach
jawnych,
5) Sprzeciwu, o którym mowa w art. 32 ust. 1 pkt
8 ustawy.
II. . Odnotowanie informacji, o których mowa w ust.
1 pkt 1 i 2, następuje automatycznie po zatwierdze-
niu przez użytkownika operacji wprowadzania da-
nych.
III. Dla każdej osoby, której dane osobowe są przetwa-
rzane w systemie informatycznym, system zapew-
nia sporządzenie i wydrukowanie raportu zawiera-
jącego w powszechnie zrozumiałej formie informa-
cje, o których mowa w ust. 1.
Biorąc pod uwagę punkty 1 i 2 ustępu pierwszego
w powyższym paragrafie, od razu widać, że w syste-
mie informatycznym konieczne jest istnienie indywi-
dualnego autoryzowanego dostępu dla każdego użyt-
kownika oraz rejestracja czasu zdarzeń wygenerowa-
nych przez niego samego. Powiązanie tych dwóch
faktów wraz z wymogiem odnotowywania identy-
fikatora użytkownika wprowadzającego dane i da-
ty pierwszego wprowadzenia danych oraz automa-
tyzacji tych procesów zgodnie z ustępem drugim te-
go paragrafu, daje nam w konsekwencji brak możli-
www.hakin9.org
wości istnienia anonimowych działań użytkowników.
Świadoma odpowiedzialność użytkowników, jak rów-
nież i ich wiedza o takiej funkcjonalności systemu,
powoduje zmniejszenie zjawiska udostępniania haseł
i identyfikatorów, co ma dobry wpływ na bezpieczeń-
stwo przetwarzanych danych w bazach danych oso-
bowych.
Natomiast punkty 3, 4 i 5 ustępu pierwszego w tym
paragrafie poprawiają komfort osobom, których da-
ne osobowe są przetwarzane. Przejrzystość w zakre-
sie pochodzenia danych w bazie danych osobowych,
a także informacji komu, kiedy i w jakim zakresie dane
zostały udostępnione oraz możliwość zgłoszenia i od-
notowania sprzeciwu dotyczącego przetwarzania da-
nych osobowych stanowią o tym, że osoba której da-
ne są przetwarzane czuje się bezpieczna i wzrasta jej
poziom zaufania. Osoba, której dane osobowe są prze-
twarzane w takim systemie, mając wiedzę dotyczącą
tych aspektów, będzie mogła kontrolować sposób i ja-
kość ich przetwarzania.
ZASADY KORZYSTANIA Z BAZ DANYCH
OSOBOWYCH
Zbiory zgromadzonych danych osobowych stanowią
odrębną bazę danych w każdej organizacji zabezpie-
czonych przed dostępem osób nieuprawnionych, a tak-
że osób trzecich. Przekazywanie danych osobowych in-
nym osobom oraz instytucjom, jest dozwolone za zgo-
dą osoby, której dane dotyczą oraz gdy wymagają tego
obowiązujące przepisy prawa.
Korzystanie z baz danych osobowych związane jest
z procesami udostępniania danych oraz powierzania
baz danych do przetwarzania.
Udostępnianie danych.
Udostępnianie danych osobowych nastąpi zawsze wte-
dy, gdy administrator danych osobowych w sposób fak-
tyczny przekaże bądź inaczej umożliwi zapoznanie się
z danymi osobowymi innej osobie lub podmiotowi, któ-
ry to podmiot pełnić będzie w stosunku do tych danych
osobowych rolę administratora danych.
Procesy związane z udostępnianiem danych z baz
danych osobowych dzielą się na udostępnianie da-
nych wewnątrz organizacji oraz udostępnianie na ze-
wnątrz. Przy udostępnianiu danych wewnątrz organi-
zacji należy zwrócić uwagę, że dane można udostęp-
nić jedynie osobom posiadającym upoważnienie do
przetwarzania danych osobowych, którym dane te są
potrzebne do wykonywania ich obowiązków służbo-
wych. Udostępniając dane na zewnątrz należy zwró-
cić uwagę, czy istnieje podstawa prawna udostępnie-
nia danych osobowych. Dane powinno się udostęp-
niać innym podmiotom na ich pisemny wniosek, z po-
wołaniem się na przepis, zezwalający na otrzymywa-
nie takich danych.
35
 OBRONA

Powierzanie danych do przetwarzania. gulującego kwestie zabezpieczenia danych i w tym

Powierzenie danych do przetwarzania wiąże się z pro-
cesami zlecania czynności związanych z przetwarza-
niem danych osobowych innym podmiotom. Zlecenie
jakiekolwiek czynności przetwarzania danych w imieniu
danej organizacji musi odbywać się w drodze pisemnej
umowy. Aby przekazanie danych było działaniem legal-
nym, konieczne jest, zatem, zawarcie stosowanej umo-
wy powierzenia.
Zasady zawierania umów powierzenia określa szcze-
gółowo art. 31 Ustawy o ochronie danych osobowych.
Zgodnie z tym przepisem w treści umowy, administra-
tor danych powinien określić środki i cele przetwarza-
nia danych przez zleceniobiorcę, który z kolei może wy-
korzystywać dane w sposób określony w zawartej umo-
wie powierzenia. Podmiot, który pozyskuje w taki spo-
sób dane nie uzyskuje, więc statusu administratora i nie
może z nich dowolnie korzystać (zakaz wykorzystania
danych osobowych dla własnych celów). Przed admini-
stratorem ponosi on odpowiedzialność za przestrzega-
nie umowy powierzenia.
Podmiot, któremu powierza się dane osobowe do
przetwarzania zobowiązuje się w umowie do przetwa-
rzania danych jedynie w celu i zakresie, jak również do
zabezpieczenia danych zgodnie z art. 36 -39 Ustawy
o ochronie danych osobowych.
Podmiot, któremu powierzono przetwarzanie danych
osobowych nie jest zobowiązany do realizacji obowiąz-
ków określonych w ustawie o ochronie danych osobo-
wych (m.in. nie musi zgłaszać do rejestracji zbioru da-
nych osobowych), z wyjątkiem obowiązku zastosowa-
nia środków zabezpieczających, o których mowa w art.
36-39 u.o.d.o.
Administrator danych zobowiązany jest do wykony-
wania wszystkich obowiązków określonych w przepi-
sach o ochronie danych osobowych, w tym m.in. musi
zgłosić zbiór danych osobowych do rejestracji General-
nemu Inspektorowi Ochrony Danych Osobowych – po-
nosi odpowiedzialność administracyjną za naruszenie
przepisów o ochronie danych osobowych.
Obydwa podmioty są natomiast zobowiązane do
przestrzegania przepisów rozporządzenia wykonaw-
czego do ustawy o ochronie danych osobowych re-
zakresie ponoszą pełną odpowiedzialność wynikają-
cą z przepisów ustawy zarówno administracyjną jak
i karną.
Bazy danych osobowych obejmują dane, które pod-
legają ochronie i stanowią wartość dla firm. Kwestia
dbałości o dobra firmy, w tym i o dane osobowe oraz
skuteczne egzekwowanie ich ochrony, to w obecnych
czasach element decydujący o pozycji firmy na ryn-
ku. Żadna z poważnych firm, mając na względzie da-
ne i preferencje klientów nie jest skora do współdzie-
lenia takich informacji z konkurencją. Patrząc na ten
aspekt z drugiej strony należy pamiętać, że klient czu-
jąc się „bezpiecznie”, łatwiej buduje zaufanie do fir-
my przetwarzającej jego dane i chętniej korzysta z jej
usług. Sytuacja klienta i jakość ochrony jego danych
w firmie, daje się zauważyć przede wszystkim we fluk-
tuacji jej klientów.
Ważnymi elementami, które wynikają z dobrych prak-
tyk, a na które nacisk kładą akty prawne związane
z ochroną baz danych osobowych są:
• Bezpieczeństwo fizyczne danych osobowych prze-
twarzanych elektronicznie i tradycyjnie,
• Bezpieczeństwo systemów informatycznych, służą-
cych do przetwarzania danych osobowych,
• Bezpieczeństwo danych osobowych w oparciu
o środki organizacyjne.
Ustawa o ochronie danych osobowych stanowi w art.
1, że każdy ma prawo do ochrony dotyczących go da-
nych osobowych a przetwarzanie danych osobowych
może mieć miejsce ze względu na:
• Dobro publiczne,
• Dobro osoby, której dane dotyczą,
• Dobro osób trzecich w zakresie i trybie określonym
ustawą.
Oznacza to generalny zakaz przetwarzania danych
osobowych bez uzasadnienia i wymóg ustawowe-
go regulowania zakresu i trybu przetwarzania danych
osobowych ze względu na dobro osób trzecich.

DARIUSZ ŁYDZIŃSKI
Dariusz Łydziński - studia podyplomowe w Wyższej Szkole Menedżerskiej w Warszawie - ochrona informacji niejawnych i ad-
ministrowanie bezpieczeństwem informacji, oraz w Akademii Obrony Narodowej w Warszawie – bezpieczeństwo informacyj-
ne. Pełnomocnik ds. Bezpieczeństwa i Jakości, Szef Działu Bezpieczeństwa, Ochrony Informacji i Audytu Unizeto Technologies
SA. Zajmował i zajmuje stanowiska związane z bezpieczeństwem i ochroną danych. Ma doświadczenie w identy�kowaniu ryzy-
ka i zagrożeń występujących w związku z wykorzystywaniem systemów teleinformatycznych. Doświadczenie zawodowe w za-
kresie zapewnienia bezpieczeństwa/ochrony wielooddziałowego przedsiębiorstwa, doświadczenie w opracowywaniu polityk
i strategii zarządzania bezpieczeństwem.
Kontakt: dlydzinski@unizeto.pl
Unizeto Technologies SA - projektowanie i integracja systemów, tworzenie rozwiązań zapewniających bezpieczeństwo syste-
mów i komunikacji elektronicznej oraz zaawansowane technologicznie usługi IT, usługi certy�kacyjne związane z podpisem
elektronicznym.

36 2/2011
 Narzędzia do automatycznego audytu bezpieczeństwa
Narzędzia do
automatycznego audytu
bezpieczeństwa
Maciej Karmoliński
Wprowadzanie systemu automatycznego wykrywania i zarządzania
podatnościami w złożonych sieciach, jest nowo przyjętym podejściem
dużych i średnich przedsiębiorstw na rynku europejskim. Ocena
stosowanych zabezpieczeń uległa znacznej poprawie dzięki kwartalnym,
miesięcznym a nawet codziennym audytom, dzięki którym mamy możliwość
szybkiego reagowania na powstałe luki systemu, bądź zmianę istniejącego
zagrożenia.
Dowiesz się:
• czym są i do czego służą narzędzia do wykrywania podatności
w sieci, jakie są korzyści z ich stosowania, oraz czym różnią się
od zabezpieczeń stosowanych dotychczas w firmach.
Dzisiejsza infrastruktura sieci zmienia się bardzo
szybko. Na bieżąco dodawane są nowe serwery, usłu-
gi, połączenia i porty, a także laptopy, nośniki pamięci
i urządzenia bezprzewodowe, które prowadzą do cią-
głego i intensywnego rozwoju infrastruktury IT. Wraz
z rosnącą liczbą nowych urządzeń, wzrasta ilość po-
datności. Nie zapominajmy również, że każdego dnia
przybywa wiele nowych potencjalnych zagrożeń, dla-
tego baza wskazująca rodzaj podatności i sposoby
ich naprawy, musi być bieżąco aktualizowana. Wiele
przedsiębiorstw korzystających z tego typu urządzeń
ma zapewnione wsparcie grupy specjalistów, którzy
odpowiadają na każde pytanie 24/7.
W dzisiejszych czasach stosowanie powszechnych
środków ochrony, takich jak: firewall, programy anty-
wirusowe i IPS/IDS, jest niewystarczająco skuteczne.
Każdy potencjalny intruz próbujący dostać się do infor-
macji danej firmy, zna podatności i z łatwością potrafi
je obejść, a to dlatego, że w każdej kolejnej „nowszej
wersji”, są tak naprawdę niewielkie zmiany.
Biorąc pod uwagę ww. spostrzeżenia, proces auto-
matyzacji ma na celu minimalizację nakładu pracy dla
każdego testu oraz zwiększenie częstotliwości badań,
na tyle aby ponoszone koszta stały się opłacalne. Pod-
www.hakin9.org
Powinieneś wiedzieć:
• posiadać podstawową wiedzę w zakresie sieci i bezpieczeń-
stwa sieciowego
jęcie decyzji o zautomatyzowaniu funkcji biznesowych
w pierwszej kolejności opiera się na bardziej efektyw-
nym, skutecznym, a przede wszystkim tańszym spo-
sobie utrzymania bezpieczeństwa. Wybierając skano-
wanie podatności systemu, jako usługę automatyczną,
musimy wziąć pod uwagę trzy, bardzo ważne, czynniki:
1. Zdolność przedstawiania rozwiązań, na podstawie
dokładnej i pełnej oceny podatności.
2. Analizę danych, oraz ocenę istotnych informacji.
3. Śledzenie i raportowanie skuteczności działań łago-
dzących.Poniżej, przedstawię Państwu w jaki spo-
sób te czynniki odnoszą się do obecnie wykonywa-
nych testów bezpieczeństwa, a następnie omówię
zmieniające się role podatności w procesie tworze-
nia automatycznego wykrywania podatności.
Wyzwania narzędzi służących ocenie
bezpieczeństwa sieci
Ocena podatności sieci (ręczna lub automatyczna) jest
powszechnie uznawana za klucz uzyskania pełni bez-
pieczeństwa sieci. Oszacowanie podatności na zagro-
żenia jest wykonywane w celu określenia rzeczywistego
stanu bezpieczeństwa w środowisku sieciowym a także
37
 BEZPIECZNA FIRMA

zbadania, czy intruz, który omija lub pokonuje pierście- tą i szczegółową wiedzę techniczną z zakresu mnó-
nie zabezpieczeń (antywirus, firewall i IPS / IDS), wyko- stwa nowoczesnych technologii. Przeprowadzenie te-
rzystuje do tego element mieszczący się w danej sieci, stów podatności wymaga specjalistycznej wiedzy i na-
oraz czy mógłby wykorzystać ten element do wpływania rzędzi, pamiętając, że są one kosztowne i długotrwałe.
na poufność, dostępność i integralność informacji. Nie ma również zbyt wielu zespołów na świecie posia-
Prawie wszystkie zdarzenia utraty ważnych danych dających Certtified Information Systems Security Pro-
wynikających z zewnętrznych lub wewnętrznych ata- fessionals (CISSPs), a nie wszystkie z nich mają kwa-
ków, zostały dokonane dzięki wykorzystaniu znanej, ale lifikacje do wykonywania audytu bezpieczeństwa sieci
niezaktualizowanej na czas luki. Przez „znane „ mam na i oceny zagrożeń.
myśli, że została udokumentowana w literaturze bezpie- Coraz większa liczba narzędzi audytowych stoso-
czeństwa i jej rozwiązania są dostępne. W 2009 roku wanych przez informatyków nie posiadających od-
każde z 70 największych naruszeń bezpieczeństwa (w powiedniej wiedzy i przygotowania audytowego mo-
wyniku całkowitej straty 275 milionów rekordów) zosta- że doprowadzać do sporządzania niepełnych wnio-
ły zrealizowane poprzez manipulowanie rozpowszech- sków poaudytowych. Zwykle raporty te obejmują, aż
nionymi podatnościami, pomimo zastosowania podsta- do 20% wyników nieprawdziwych (fałszywych) i wie-
wowych narzędzi ochronnych i nadzoru wieloosobowe- lu innych „luk”, które są mało znaczące dla określonej
go personelu. infrastruktury, wymagają tylko dodatkowej pracy i pie-
To jest bardzo duże wyzwanie. A aktualnie najlepsze niędzy aby potwierdzić ich stan rzeczywisty. To do-
wyniki w praktyce wskazują, że najlepszym sposobem świadczenie i ocena zgodności w środowisku siecio-
odpowiedzi jest wykonywanie regularnej oceny podatno- wym są konieczne. Ograniczona ilość pracowników
ści poprzez identyfikację znanych luk i błędów w syste- jest potęgowana przez fakt, że bezpieczeństwo nale-
mach i zabezpieczeniach sieciowych, aby zlokalizować ży do niepokojąco dynamicznie rozwijających się dzie-
je przed potencjalnym intruzem. dzin z branży IT. Wiedza i programy, które były ostat-
nio stosowane z powodzeniem podczas testowania
Ochrona aktywów przedsiębiorstwa sieci, mogą być teraz niewystarczające ze względu na
Obecnie działy IT znajdują się w pozycji nie do pozaz- nowo wykrywane podatności.
droszczenie, jeżeli chodzi o zarządzanie coraz bar-
dziej złożonymi środowiskami sieciowymi. Infrastruk-
tury nowoczesnych przedsiębiorstw składają się z wie-
lu typów urządzeń, systemów operacyjnych i aplikacji,
które mają zróżnicowane wymagania bezpieczeństwa
i dostępu. Dlatego musiały polegać we wszystkim na
rozdrobnionych rozwiązaniach wielu producentów,
od zapobiegania włamaniom, kontroli dostępu do za-
rządzania łatkami. Taka strategia wymaga wdrażania
i obsługi macierzy niezależnych produktów oraz usług
zabezpieczających.
Nieuchronnie prowadzi to do wielowarstwowej kom-
plikacji oceny podatności firmy, co jest zarówno czaso- Rysunek 1.
chłonne, jak i kosztowne, oraz stanowi poważne obcią-
żenie działu IT, szczególnie biorąc pod uwagę dzisiej-
sze środowisko, w którym zagrożenia ze strony złośli-
wych kodów rozwija się szybciej niż kiedykolwiek wcze-
śniej. Rozwiązania VA / VM często wymagają zdolności
sprawdzania, czy dane skany są kompletne, a następ-
nie do sortowania „fałszywych trafień”. Przy tak znacz-
nych inwestycjach, wymaganych do spełnienia przez or-
ganizację do każdorazowej oceny stanu sieci, zniechę-
ca i wręcz uniemożliwia to prowadzenie częstych audy-
tów, które są podstawą wykrywania nowopowstałych luk
w zabezpieczeniach..

Zespoły ochrony przedsiębiorstwa

Ocena bezpieczeństwa w firmie wymaga odpowied-
niego zespołu, który posiada aktualną, szeroko poję- Rysunek 2.

38 2/2011
 Narzędzia do automatycznego audytu bezpieczeństwa
Utrzymanie odpowiedniego poziomu kompetencji tech-
nicznych w badaniu podatności przedsiębiorstwa wyma-
ga wielodyscyplinarnego zespołu, dobrze zorientowane-
go w niezliczonych kombinacjach sprzętu i oprogramo-
wania wykorzystywanego w sieci. Tylko nieliczne organi-
zacje mogą sobie na to pozwolić, aby poświęcić zasoby
niezbędne do skutecznego wykonywania tych działań.
Dla wszystkich organizacji utrzymanie wykwalifikowane-
go zespół bezpieczeństwa jest trudne i przede wszyst-
kim niezwykle drogie. To często wyjaśnia, dlaczego w tak
wielu firmach stosuje się konsultantów firm trzecich..
Rysunek 3.
Rysunek 4.
www.hakin9.org
Przyszłość narzędzi służących ocenie
bezpieczeństwa sieci
W związku z ciągłym pojawianiem się setek nowych
luk w zabezpieczeniach systemu operacyjnego i apli-
kacji każdego miesiąca, testowanie podatności stało
się opcją niezbędną, wymagającą dużej powtarzalności.
Dlatego najwłaściwszym rozwiązaniem jest zautomaty-
zowane narzędzie do skanowania podatności sieci, da-
jące możliwość jego zarządzania przez osoby bez spe-
cjalnych kwalifikacji. Dzisiejszym sieciom biznesowym
potrzeba dwóch rodzajów oceny usterki: analiza posta-
wy migawki bieżących sieci i ocena wszelkich
zmian w środowisku na żądanie. W niektó-
rych środowiskach może wymagać tygodnio-
wej (lub nawet codziennej) częstotliwości ba-
dań ze względu na wartość chronionych zaso-
bów i rosnącą złożoność sieci oraz prędkość,
z jaką nowe luki są wykorzystywane.
Weźmy pod uwagę, że złożoność sieci i po-
łączeń stale się zwiększa. Liczba luk odkrywa-
nych na dobę i szybkość, z jaką wykorzystują
możliwości uruchomienia szkodliwego kodu
wzrosła. Przeprowadzenie oceny wrażliwo-
ści i bezpieczeństwa sieci rocznie, co dwa la-
ta lub nawet co kwartał nie jest już wystarcza-
jącą strategią ograniczania ryzyka dla dzisiej-
szych dobrze chronionych sieci.
Podobnie, problem z utrzymaniem pozio-
mu zabezpieczeń do aktualnych luk jest obec-
nie wysoce specjalistycznym zadaniem, któ-
re może i powinno być przypisane do dedy-
kowanego rozwiązania posiadającego funkcję
aktualizacji automatycznej dla nowych zagro-
żeń i okresowego skanowania na podstawie
wstępnie opracowanego harmonogramu.
Kilka faktów na temat narzędzi
do automatycznego audytu
bezpieczeństwa
1. Urządzenie w pełni zautomatyzowane
2. Wiele z nich posiada własny, samo-
dzielny system instalacyjny
3. Przykładowe funkcje urządzeń rozmiesz-
czonych w sieci obejmują:
• Pokazują zarządzanie informacjami
• Przedstawiają skanowanie serwerów
• Skanują do sieci bezprzewodowych
(802.11a/b/g/n, GPRS, Bluetooth)
• Odkrywają, mapy i punkty dostępu bez-
przewodowego
• Nie wymagają specjalnych uprawnień lub
instalacji oprogramowania, co daje dokładny
obraz z sieci
39
 BEZPIECZNA FIRMA
Rysunek 5. Przykład wykrycia podatności o wysokim ryzyku
• W teoretycznie maksymalnej wydajności, skanowa-
nie całej sieci zajmuje mniej niż 30 minut
• Kontrola obciążenia sieciowego umożliwia skanowa-
nie bez zakłóceń użytkowników
4. Wiele posiada Interface Zarządzania i opcji konfi-
guracyjnych, które pozwalają na:
• Całkowite zarządzanie urządzeniem skanowania,
prosty w użyciu interfejs www
• Zarządzanie wieloma serwerami skanowania z jed-
nej lokalizacji
• Kontrola każdego skanowania konfiguracji serwera
w rozproszonym systemie zarządzania
• Możliwość tworzenia wielu użytkowników i przypisy-
wania im kompetencji
• Skanowanie określonych adresów IP, przeglądanie
raportów skanów, planowanie nowych itp.
• Podsumowanie stwierdzonych luk według numerów
IP urządzeń sieciowych (Rys. 1)
• Podsumowanie stwierdzonych luk według usług sie-
ciowych (Rys. 2)
• Generowanie raportów porównawczych (nowy z po-
przednim), co pozwala śledzić zmiany w stanie za-
bezpieczeń sieci
5. Każdy raport zawiera wykresy opisujące ryzyko
i rekomendacje działań naprawczych, przykładowe
fragmenty (Rys. 3, Rys. 4).
Zabezpieczanie sieci jest inwestycją
zwrotnych korzyści
Korzyści wynikające z zastosowania automatycznego
audytora podatności są przedstawione poniżej:
• Bieżąca informacja na temat zagrożeń w sieci, po-
kazująca obszary najbardziej podatne na wycią-
40
ganie tajnych informacji, oraz w stanie wysokiego
ryzyka
• Dokładne dane dotyczące oceny podatności zwięk-
sza zaufanie i reputację firmy
• Analizy i badania zagrożenia sieci, zapewniają
możliwość skupienia się na tych najbardziej kry-
tycznych, zapobiegając atakom
• Znaczące wyniki, w tym działania naprawcze
umożliwiają bardziej skuteczne rozwiązywania
problemów
• Termin realizacji prowadzone przez konsultanta na-
rażają przedsiębiorstwo w czasie między skanowa-
niami
• Bieżące koszty niezbędne do utrzymania takiego
samego poziomu bezpieczeństwa sieci są niższe ze
względu na sposób zautomatyzowany i terminowy,
w którym można przeprowadzić oceny i działania
Podsumowując, przeprowadzanie automatycznej
oceny zagrożenia w sposób bardziej systematyczny
zmniejsza szansę wykorzystania niewykrytych podat-
ności. Ręczne testy bezpieczeństwa są z natury prze-
starzałe, a w momencie dostarczania raportu, raport
ten już jest nieaktualny. Automatyczny proces ciągłego
audytowania, pojawiających się alertów i jakości wy-
ników raportu wzmacnia poziom bezpieczeństwa in-
formacji. Zwrot z inwestycji następuje bardzo szybko
ze względu na ciągłe aktualizacje oraz nowe techniki
oceny zagrożeń. Zapewnia to szybsze i skuteczne re-
agowania na incydent.
MACIEJ KARMOLIŃSKI
 WICEPREZES ZARZĄDU PROCERTIV SP. Z O.O.
Kontakt do autora: m.karmolinski@procertiv.pl
2/2011
 Systemy wspomagające zarządzanie polityką bezpieczeństwa

Systemy wspomagające
zarządzanie polityką
bezpieczeństwa
„Gartner szacuje, że 70% przypadków naruszania polityki bezpieczeństwa
prowadzących do powstawania strat w przedsiębiorstwie jest wynikiem
działań własnych pracowników.... Bez wątpienia, przedsiębiorstwa
muszą odnaleźć równowagę pomiędzy otwartym dostępem do danych,
a przerośniętym systemem bezpieczeństwa mogącym szkodzić ich interesom.”
John Pescatore, Gartner Inc.
TriGeo SIM bezpieczeństwo nie znosi przestojów) i w zasadzie nie-
realne. Z pomocą przychodzą rozwiązania typu SIEM.
Przecież w dzisiejszych czasach analiza zagrożeń i ak-
tywne reagowanie na te zagrożenia w czasie rzeczywi-
stym to nie luksus - to konieczność.

Polityka bezpieczeństwa IT w czasie rzeczywistym Co tak na prawdę oznacza SIEM?

Jak się ma Twoja sieć?
Bezpieczeństwo sieci korporacyjnej to wiele systemów
i urządzeń (zapory, programy antywirusowe i antyspa-
mowe, IDS, IPS, UTM). Każdy element infrastruktu-
ry prowadzi swój własny rejestr zdarzeń. Dziesiątki pli-
ków, setki wpisów na godzinę. To tu tak naprawdę spo-
czywa wiedza o szczelności systemu. Tu jest zapisa-
ne bezpieczeństwo sieci korporacyjnej. Wystarczy tylko
czytać wszystkie pliki z rejestracją zdarzeń – stale i na
bieżąco – i umiejętnie powiązać wpisy z różnych zaso-
bów. Arcyciekawe zadanie dla administratorów siecio-
wych - żmudne, czasochłonne, na zaraz (bo przecież
System TriGeo, produkowany przez amerykańską fir-
mę o tej samej nazwie, której platynowym dystrybuto-
rem na Polskę jest Xnet Communications Polska Sp.
z o.o., jest właśnie rozwiązaniem z obszaru SIEM czy-
li Security Information and Event Management (zarzą-
dzanie zdzarzeniami i informacjami bezpieczeństwa).
Systemy typu SIEM charakteryzują się pewnym zakre-
sem funkcjonalności dostarczanym przez różnych pro-
ducentów w inny sposób. Podstawowym zagadnieniem
produktów SIEM jest realizacja analizy w czasie rzeczy-
wistym alertów bezpieczeństwa generowanych przez
infrastrukturę informatyczną rozumianą jako urządze-
nia sieciowe, w tym stacje robocze i serwery oraz apli-
kacje. Aby dokonywać wiarygodnej analizy pod kątem
bezpieczeństwa, która będzie przedstawiała rzeczywi-
stą wartość techniczną i biznesową, system musi posia-
dać mechanizmy gromadzenia, składowania, przetwa-
rzania, korelowania danych i wreszcie odpowiedniej ich
prezentacji. Nie można też zapominać o stałym monito-
ringu elementów infrastruktury i systemie alarmowania
i raportowania.

www.hakin9.org 41
 KLUB TECHNICZNY
Dlaczego TriGeo?
TriGeo to odpowiedź na wewnętrzne zagrożenie, ob-
niżanie poziomu bezpieczeństwa przez pracowników,
próby nieautoryzowanego logowania, wykorzystanie
niebezpiecznych lub niedozwolonych aplikacji, a tak-
że kombinacji niebezpiecznych działań. System, dzię-
ki wbudowanym funkcjom analizującym i korelującym
zdarzenia w czasie rzeczywistym, przekazuje informa-
cje o ewentualnych zagrożeniach na bieżąco, a nawet
wyprzedza i blokuje niebezpieczne działania. Pozwa-
la stworzyć ramy analizy behawioralnej na poszczegól-
nych końcówkach infrastruktury sieciowej. Do admini-
stratora sieci trafia zagregowany i przeanalizowany ra-
port z logów z wszystkich urządzeń sieciowych, a nie ol-
brzymia ilość nieinterpretowanych plików. Daje to moż-
liwość koncentracji na kluczowych elementach korpora-
cyjnej polityki bezpieczeństwa sieci.
Jak to działa?
System TriGeo analizuje działanie elementów sieci na
podstawie informacji z niej pozyskanych. Dzieje się to
w ramach dwóch struktur. Pierwsza struktura oparta jest
o architekturę agentową, przeznaczoną dla systemów
42
operacyjnych Windows, Linux, MacOSX, Solaris. Inte-
gracja polega na instalacji serwisu agenta i konfiguracji
sensorów czytających dane z odpowiednich logów syste-
mu operacyjnego oraz zainstalowanych aplikacji. Druga
struktura to system bezagentowy, przeznaczony przede
wszystkim dla urządzeń sieciowych, na których nie ma
możliwości zainstalowania serwisu agenta czyli switche,
routery, firewalle sprzętowe. TriGeo jest w stanie osbłu-
żyć infrastrukturę IT składającą się nawet z 5000 koń-
cówek w ramach obu struktur. W architekturze agento-
wej dane z logów są przechwytywane przez sensory Tri-
Geo jeszcze przed zapisaniem w pliku z logiem na dys-
ku komputera, co zabezpiecza przed manipulacją i za-
pewnia działanie w czasie rzeczywistym. Zdecydowaną
zaletą struktury agentowej jest komunikacja szyfrowana
przez SSL, przyjazna dla przepustowości, niezawodna i
gwarantująca kompletność danych. W przypadku archi-
tektury bezagentowej sensory TriGeo przechwytują lo-
gi nadesłane przez urządzenia sieciowe do syslogu Tri-
Geo. Dane zebrane w ramach obu struktur, trafiające do
serwera TriGeo, są agregowane i korelowane w pamię-
ci RAM, co zapewnia realne działanie w czasie rzeczywi-
stym, następnie dla celów archiwalnych zostają zapisa-
2/2011
 Systemy wspomagające zarządzanie polityką bezpieczeństwa
ne w bazie danych serwera TriGeo. Zebrane i gromadzo-
ne dane podlegają anlizie na podstawie predefiniowa-
nych lub konfigurowanych na bieżąco reguł. System Tri-
Geo jest dostarczany z ponad 200 predefiniowanymi re-
gułami. Reguły podstawowe poszukują wystąpień okre-
ślonych zdarzeń. Część z nich domyślnie jest włączona
dzięki czemu TriGeo od razu po uruchomieniu może być
gotowe do użytku. Ciekawym rozwiązaniem jest tutaj ze-
staw reguł określanych jako NATO5. Są to rozbudowane
reguły stworzone na podstawie doświadczeń klientów,
którzy chcieli podzielić się nimi z TriGeo i przez to zostały
umieszczone w kolejnych unowocześnieniach systemu.
Nazwa pochodzi od piątego artykułu NATO mówiącego
że „napaść na jednego z członków NATO jest uznawa-
na za napaść na wszystkich członków sojuszu”. Regu-
ły NATO5 poza wyszukiwaniem wystąpień określonych
zdarzeń, mają najczęściej skonfigurowane akcje pozwa-
lające na podejmowanie przez system TriGeo automa-
tycznej reakcji na wykryte zdarzenia. Może to oznaczać
powiadomienie wybranych administratorów, ostrzeżenie
użytkownika, wylogowanie, blokowanie adresu IP, odci-
nanie od sieci, zatrzymanie lub uruchamianie procesów
czy odcinanie portów. Każdą z reguł można po prostu
włączyć, dowolnie modyfikować i kopiować wykorzystu-
jąc jako szablony dla nowych reguł. Administrator TriGeo
ma również możliwość tworzenia zupełnie nowych reguł,
spełniających jego wymagania.
Kluczowe cechy
TriGeo posiada bardzo rozbudowany i zaawansowany
zestaw funkcjonalności. Mówimy tu przede wszystkim
o analizie i korelacji logów, która jest typowym atrybu-
tem systemów SIEM. W tym jednak przypadku system
pozwala na tworzenie nieliniowych, wielowątkowych
korelacji zdarzeń w czasie rzeczywistym na podsta-
wie monitoringu wszystkich znanych protokołów trans-
misji danych. Dodatkowo dostarczono administratorom
systemów mechanizmy aktywnego reagowania. Dzię-
ki temu obsługa zdarzeń przy pomocy funkcji automa-
tycznej notyfikacji może być wykorzystywana w zależ-
ności od definicji reguł. Autetem systemu jest dostęp
do kilkudziesięciu predefiniowanych wzorców aktywne-
go reagowania. Bardzo istotną zaletą systemu TriGeo
jest również możliwość definiowania i generowania wy-
specjalizowanych raportów na pdstawie klasyfikacji in-
cydentów, przeznaczonych dla osób z różnego szcze-
bla w organizacji. Same incydenty, informacje i zdarze-
nia mogą zostać okreslone przez wagi i priorytety w za-
www.hakin9.org
lezności od poziomu zagrożenia i wartości danych. Sys-
tem TriGeo to jednak przede wszystkich rozwiązanie,
które ma wspierać działania administratorów korpora-
cyjnych sieci, a co za tym idzie zastosowano w nim sze-
reg narzędzi interakcji oraz usprawniających i ułatwiją-
cych pracę, głównie poprzez zestaw ponad 200 predefi-
niowanych reguł korelacji oraz system automatycznego
alarmowania odpowiednich osób o zaistniałych zagro-
żeniach przy pomocy różnych kanałów komunikacyj-
nych: email, telefon komórkowy, pager lub PDA.
Uznany produkt
TriGeo jest cenionym rozwiązaniem na rynku. Ugrun-
towało swoją pozycję jako Lider 2007 Gartner Magic
Quadrant dla SIEM, i corocznie zdobywa najcenniej-
sze nagrody, między innymi 2010 SC Magazine Reader
Trust Award, 2007 Gartner Best Execution of a Midmar-
ket IT Solution oraz SC Magazine Best Buy of 2010,
2009, 2008, 2007, 2006 i 2005 for Event Management.
Rozwiązanie ma wielu klientów na kluczowych ryn-
kach takich jak, usługi finansowe, służba zdrowia, in-
stytucje rządowe i media, ponieważ pozwala wypełnić
firmom narzucone z góry regulacje prawne dotyczące
standardów bezpieczeństwa. Każda firma, która prze-
chowuje rozbudowane bazy danych o klientach podle-
ga wielu regulacjom: PCI, GLBA , NCUA, FDIC, HIPAA,
SOX... TriGeo jest systemem, który w sposób rzeczywi-
sty, a nie tylko na papierze, rozwiązuje problem wywią-
zywania się z obowiązków prawnych jakie niosą ze so-
bą wymienione regulacje.
Co tak na prawdę wyróżnia TriGeo?
Raport Gartner Magic Quadrant 2010 określa system Tri-
Geo jako łatwy we wdrożeniu i zapewniający bogaty za-
sób już zintegrowanych funkcji SIEM, predefiniowanych
reguł korelacji i raportów w pełni zaspokajających po-
trzeby klientów. Raport Gartnera za zdecydowaną zaletę
systemu uznaje agenta TriGeo dla Windows, który mo-
że być skonfigurowany pod kątem aktywnego powiada-
miania. Rozwiazanie umożliwiające kontrolę portów USB
oraz monitoring offline jest również chwalone – znacznie
poszerza zakres ochrony i monitoringu. Poza elementa-
mi opisanymi przez raport GMQ na szczególną uwagę
zasługuje bardzo szeroka i rozbudowana lista kompa-
tybilnych urządzeń sieciowych, czyli tych elementów in-
frastruktury, na które nie można nanieść sieci agentów.
Okazuje się, że obszar współpracujących z TriGeo urzą-
dzeń jest znacznie większy niż jednorodne rozwiązania
jednego producenta, co sprawia, że rozwiązanie świetnie
sprawdza się w środowiskach heterogenicznych. Zdecy-
43
 KLUB TECHNICZNY
dowanie wyróżniającą cechą TriGeo jest funkcjonalność
Drag&Drop, która bardzo usprawnia pracę i ułatwia za-
rządzanie intuicyjnym systemem. Jednak największą za-
letą systemu, świadczącą o jego sile jest realizacja ana-
lizy w oparciu o przetwarzanie zdarzeń już na poziomie
pamięć RAM, a nie w bazie danych, co sprawia że sys-
tem potrafi dokonywać korelacji w czasie rzeczywistym.
Więcej informacji o produkcie na www.trigeo.pl
ATOS
Bezpieczeństwo i rewizja działań IT z szyfrowaniem
i rejestrowaniem sesji zdalnego dostępu
System ATOS, stworzony przez firmę Xnet
Communications, to odpowiedź na coraz
większe zapotrzebowanie korporacji w ob-
szarze outsourcingu IT. Jest to doskonałe
uzupełnienie systemu TriGeo w obszarze za-
rządzania polityką bezpieczeństwa IT. Pod-
czas gdy TriGeo jest swego rodzaju strażni-
kiem sieci, obserwuje środowisko, poszuku-
je anomalii, ATOS stanowi grupę reagowania
– ochrania zasoby korporacyjne, uszczelnia
bezpieczeństwo, maskuje hasła systemowe,
dostarcza narzędzia do rozwiązania proble-
mu, dokumentuje wykonane działania w po-
staci filmu i pozwala udowodnić, że reakcja
była zgodna z polityką bezpieczeństwa.
Wyobraźmy sobie sytuację w której mamy dostawcę
usług IT i korporację, która takich usług poszukuje. Zo-
staje podpisana umowa SLA czyli wydanie zgody do-
stępu do wewnętrznej infrastruktury IT korporacji. Jed-
nak podczas świadczenia usług okazuje się, że ich od-
44
biorca nie ma absolutnie żadnej udokumentowanej in-
formacji na temat tego co było robione, gdzie, przez
kogo, kiedy i co najważniejsze jak. Dzięki systemowi
ATOS znamy odpowiedzi na te pytania. Rozwiązanie
działa jak brama rejestrująca wszelkie działania mające
miejsce w wewnętrznej infrastrukturze IT zabezpiecza-
jąc zdalne sesje dostępu, monitorując pracę i zapisując
jej przebieg. Na szczególną uwagę zasługują zaawan-
sowane funkcje maskowania haseł, zapisywania filmów
z sesji i możliwość skryptowania zadań.
W rezultacie otrzymujemy zaawansowany system kon-
troli outsourcingu IT. Wiemy kiedy został dokonany ser-
wis, jak długo trwał, co zostało zrobione i na jakich ma-
szynach. System ATOS to przede wszystkim gwarancja
bezpieczeństwa. Możemy określić gdzie outsourcer mo-
że się dostać, mamy pełną kontrolę nad chwilowym do-
stępem i ukrywamy hasła systemowe udostępniając je-
dynie maski. System ATOS zezwala na wielodostęp,
dzięki czemu wielu specjalistów może pracować nad
jednym problemem co sprzyja zadaniowemu łączeniu
sił. Jest to bardzo przydatna funkcjonalność szczególnie
w przypadku konieczności integracji systemów podczas
fuzji, przejęć czy reorganizacji zasobów.
Jakie uzyskujemy korzyści? Przede wszystkim doku-
mentację – pełen zapis interakcji człowieka z maszyną.
Dokumentacja pozwala tworzyć bibliotekę wiedzy – skła-
dować know-how, wyszukiwać i odtwarzać rozwiązania.
Kolejną zaletą systemu ATOS jest możliwość tworzenia
skryptów w języku LUA. Takie rozwiązanie pozwala na
automatyzację zadań powtarzalnych, tworzenie makr do
delegowania zadań oraz dystrybucję wiedzy w organiza-
cji. Bogaty zestaw statystyk umożliwia analizę zaangażo-
wania zasobów, występowania incydentów i ich charak-
teru. Koniec końców, posiadamy system, który optyma-
lizuje koszty, daje argumenty do dyskusji o efektywności
SLA, skraca czas rozwiązywania problemów i dostarcza
dane do planowania inwestycji.
Więcej informacji o produkcie na www.xdsnet.pl/atos/
2/2011
 Odzyskiwanie danych po polsku, czyli jak nie stracić danych odzyskując je
Odzyskiwanie danych po
polsku, czyli jak nie stracić
danych odzyskując je
Artur Skrouba
Istnieją sytuacje, w których tracimy dane. Cenne dane.
Tracimy je na ogół z własnej głupoty, z braku wiedzy lub
z zaniedbania. Nasz twardy dysk przestał działać.
W takich momentach musimy zgłosić się do specjalisty od
odzyskiwania danych.
K
to to jest: specjalista od odzyskiwania danych?
Jaką szkołę trzeba skończyć bądź na jakim wy-
dziale studiować, aby posiąść taką wiedzę?
Otóż nie ma takiej szkoły (przynajmniej w Polsce) ani
takiego kierunku. Więc kto może zostać takim specja-
listą? I tu dotykamy sedna sprawy.
Po utracie cennych danych bardzo często ulega-
my panice. W konsekwencji każdy kto stwierdzi, że
może nam pomóc jawi się nam jako biblijny Mojżesz,
który może nas przeprowadzić przez wzburzone mo-
rze targających nami wątpliwościami: odzyskamy da-
ne czy nie ? I niestety – w znakomitej większości przy-
padków tenże zbawca wylewa na nas nie kubeł zim-
nej wody, ale faktycznie całe Morze Czerwone. Dia-
gnoza jest bezlitosna – danych odzyskać się nie da.
Tak po prostu.
Czy aby na pewno? Może ktoś inny da radę? Ale kto?
Kolejny znajomy? A może ktoś, kto już odzyskał kiedyś
dane. Ktoś polecony. Ok, zgadzamy się na wszystko
– tym razem musimy już zapłacić. Rozmawiamy tele-
fonicznie – Pan Henio (imię umowne) rzuca bardzo fa-
chowymi terminami, których nie rozumiemy ni w ząb.
Ale co tam, wiadomo fachowiec chyba zna się na rze-
czy. Po oddaniu dysku spokojnie czekamy na telefon
z dobrymi wiadomościami. Zaczynamy się niepokoić.
W końcu wyrok – dane są nie do odzyskania .
Odbieramy dysk – elektronika polutowana, plom-
by zdjęte, dysk otwarty. Bez cienia większych na-
dziei zwracamy się do profesjonalnej firmy zagranicz-
nej (np. Seagate w Berlinie). Po kilku dniach dosta-
jemy wyniki analizy – są porażające. Dobra informa-
cja to taka, że w dysku uszkodzeniu uległ jeden układ
www.hakin9.org
scalony – teoretyczny koszt odzyskania danych to 200
euro. Teoretyczny bo danych odzyskać się już nie da.
Mojżesz a potem Henio „złota rączka” zniszczyli plate-
ry i nadpisali głupotami obszar serwisowy dysku. Ko-
niec. Tym razem definitywny.
Inny przykład.
Kolejny przypadek. Utraciliśmy dane w wypadku (no-
men omen) upadku twardego dysku. Zgłaszamy się do
profesjonalnej firmy. Przynajmniej tak wygląda. Piękne
i okazałe laboratorium. Podpisujemy dokumenty i spo-
kojnie wracamy do codziennych zajęć. Po kilku dniach
cisza. W końcu dostajemy telefon. Dostajemy informa-
cje, że jest to wyjątkowo ciężki przypadek. Koszt od-
zyskania danych to prawie kwota pięciocyfrowa. Bar-
dzo drogo. Chyba za drogo. Spróbujemy w innej fir-
mie. Chcemy odebrać dysk. Okazuje się, że musimy
zapłacić za wykonaną analizę i rezygnację. Są także
koszty za zużyte części. Razem prawie tysiąc złotych.
Trudno – płacimy. Chcemy odzyskać dysk. Idziemy do
innej firmy – tam specjaliści rozkładają bezradnie rę-
ce. Dysk jest tak zniszczony, że danych nie można od-
zyskać. Idziemy do innej firmy. I do kolejnej. Wszędzie
to samo – dane są nie do odzyskania. Niektóre firmy,
słysząc w jakiej firmie byliśmy na początku nawet nie
chcą przyjmować dysku do analizy. Z góry wiedzą, że
danych się już nie odzyska. Załamani wracamy do fir-
my, w której byliśmy na początku. Musimy odzyskać te
dane. Zgadzamy się na kwotę, która z początku wyda-
wała nam się za wysoka. Niestety – słyszymy, że dysk
uległ znacznemu pogorszeniu w wyniku pracy innych
osób i koszt odzyskania danych wzrasta do kilkunastu
tysięcy złotych.
45
 FELIETON
Dwa różne przypadki – pierwszy, opisujący bardzo
częsty przypadek podejmowania próby odzyskania
danych przez osoby nie mające jakiegokolwiek bądź
wystarczającego o tym pojęcia. Wśród większości
osób pokutują fałszywe legendy na temat zarobków
osób zajmujących się tym w sposób zawodowy. I chy-
ba, dlatego powstają, jak grzyby po deszczu firmy re-
klamujące się jako „profesjonalne” podmioty oferujące
usługi odzyskiwania danych i to w każdym zakresie.
A tak naprawdę nie mające pojęcia o większości stan-
dardowych terminów występujących w tej branży.
Drugi przypadek – to funkcjonowanie firmy, która de-
likatnie mówiąc jest nieuczciwa (mówiąc wprost – trą-
ci kryminałem). W praktyce taka firma wcześniej czy
później źle skończy – rynek szybko zweryfikuje ją ne-
gatywnie (o ile nie zrobią tego wcześniej organy ści-
gania).
Z drugiej strony na polskim rynku funkcjonuje kil-
ka firm z tradycjami, mającymi odpowiedni warsztat,
know how oraz mogącymi się poszczycić wieloma ty-
siącami przypadków skutecznego odzyskania danych.
Są to na ogół firmy, mające udokumentowane osią-
gnięcia w postaci medali, dyplomów czy innych wyróż-
nień. Metody ich działań są przejrzyste i sprowadza-
ją się do prostej zasady: są dane – jest zapłata. Dzię-
ki swojej wiedzy mogą sobie na to pozwolić – mają
umiarkowane ceny i dużą skuteczność.
W naszym przypadku ważne jest to, aby nie wybrać
złej firmy jako podmiotu mogącego zniszczyć nasze
dane lub po prostu nas okraść.
Poniżej przedstawiamy kilka podstawowych zasad,
którymi powinniśmy się kierować przy wyborze firmy,
mającej odzyskać nasze cenne dane:
• zawsze czytajmy regulaminy, zamówienia bądź
umowy przyjęcia zleceń – szczególnie pod kątem
ukrytych dodatkowych opłat,
• sprawdzajmy doświadczenie firmy poprzez wiek
(data wpisu do KRS, wiek domeny),
• próbujmy zasięgnąć opinii wśród znajomych,
szczególnie wśród osób, pracujących w działach
IT innych firm (opinie z for internetowych traktujmy
z pewną ostrożnością ze względu na duży ruch
osób piszących pod zamówienie i robiących dobry
bądź zły PR – szczególnie dla konkurencji),
• sprawdzajmy cenniki – ceny w stylu „od 300 pln”
bez podania cen maksymalnych są dyskwalifiku-
jące,
• wybierajmy firmy, gdzie wstępna analiza jest bez-
warunkowo bezpłatna – w innym przypadku firma,
oferująca analizę bezpłatną warunkowo w prakty-
ce może nic nie robić, tylko przyjmować nośniki
i stosować zaporowe ceny za ich ewentualne od-
zyskanie – po czym żyć z samych opłat za rezy-
gnację,
46
• wybierajmy firmy posiadające wyróżnienia w po-
staci dyplomów, medali itp.,
• unikajmy firm, które podają skuteczność swoich
usług na poziomie zbliżonym do 100% (np. 95%)
- średni poziom światowych potentatów w tej bran-
ży wynosi max. niecałe 80%,
• szukajmy firm, które wykonują wstępną analizę od
ręki i bez żadnych opłat – umożliwia to podjęcie
decyzji bez pozostawiania nośnika w nieznanym
miejscu.
• w mniejszych miejscowościach nie szukajmy filii
dużych firm – jeżeli już, to kontaktujmy się bezpo-
średnio z laboratoriami,
• domagajmy się rozmowy ze specjalistą – wybie-
rajmy firmy, których specjalista wykaże zaintere-
sowanie na temat tego co się stało, jakie były oko-
liczności awarii i jej objawy – po prostu chętnie
będzie rozmawiał na ten temat i będzie w stanie
przybliżyć możliwy powód awarii oraz określić ter-
min i koszt odzyskania danych,
• unikajmy firm, które są zbiurokratyzowane – te-
go typu firmy nastawione są z reguły na masową
usługę (przez co nie zawsze dokładną),
• unikajmy, jak ognia firm, które podają ten sam fi-
zyczny adres laboratorium – na ogół oznacza to
tzw. farmę firm, które ściśle kooperują ze sobą
w celu np. podbijania ceny.
Oczywiście przestrzeganie powyższych zaleceń nie
w każdym przypadku nam zagwarantuje, że zawsze
trafimy na kogoś rzetelnego i dysponującego stosow-
ną wiedzą. Jednak te szanse zwiększą się do maksi-
mum możliwości.
ARTUR SKROUBA
Kontakt z autorem przez Redakcję
2/2011
 Zakończenie

Słowo
kończące
Drodzy Czytelnicy,

Dziękujemy za lekturę naszego magazynu.

Jeśli macie sugestie odnośnie tematów, które chcielibyście, żeby ukazały się w kolejnych
numerach, to prosimy o kontakt z Redakcją.

Aktualne informacje o najbliższym numerze znajdziesz na naszej

stronie www.hakin9.org/pl.

Następny numer dostępny on-line

ostatniego dnia lutego 2011

www.hakin9.org 47