Δημιουργία πλαισίου εργασίας στην επικοινωνία των ομάδων απόκρισης περιστατικών ασφάλειας

Abstract

Η κοινότητα της ασφάλειας πληροφοριακών συστημάτων έχει δημιουργήσει τις Ομάδες Απόκρισης σε Πληροφοριακά Περιστατικά Ασφάλειας «CSIRTs» ως ένα μηχανισμό άμυνας στις παραβιάσεις των απαιτήσεων ασφάλειας. Ο βασικός σκοπός των ομάδων είναι η μεταξύ τους επικοινωνία ώστε να συνεργαστούν και να συντονιστούν για την ανίχνευση, την ανάλυση και την απόκριση στις παραβιάσεις. Η αποστολή των οργανισμών «FIRST» και «Terena TI» είναι η παροχή ενός αποτελεσματικού και γρήγορου μηχανισμού επικοινωνίας προς τα μέλη τους. Αυτοί οι μηχανισμοί δεν ικανοποιούν όλες τις προδιαγραφές των επικοινωνιών μεταξύ των CSIRTs. Συγκεκριμένα, αποτυγχάνουν να διασφαλίσουν την ιδιωτικότητα και την ανωνυμία των CSIRTs που συμμετέχουν στην επικοινωνία. Επίσης, δεν παρέχουν κεντρική συλλογή και διανομή πληροφοριών, δε βασίζονται σε πρότυπα μορφοποίησης των πληροφοριών και δεν παρέχουν με εύχρηστο και διαφανή τρόπο τη διαχείριση των κρυπτογραφικών κλειδιών και των ψηφιακών πιστοποιητικών. Ο σκοπός της διπλωματικής διατριβής είναι ο σχεδιασμός και η υλοποίηση ενός πλαισίου εργασίας για την επικοινωνία μεταξύ των CSIRTs. Το πλαίσιο εργασίας ικανοποιεί τις προδιαγραφές μιας επιτυχημένης επικοινωνίας εξαλείφοντας τα μειονεκτήματα των υπαρχόντων μηχανισμών επικοινωνίας. Συγκεκριμένα, το πλαίσιο διασφαλίζει την ιδιωτικότητα και την ανωνυμία των CSIRTs με τη χρήση Υποδομής Δημοσίου Κλειδιού της οποίας η Αρχή Πιστοποίησης υποστηρίζει ανώνυμα ψηφιακά πιστοποιητικά. Μια ενδιάμεση οντότητα –εξυπηρετητής- θα αναλαμβάνει να διεκπεραιώσει την επικοινωνία αφού υποκρύπτονται οι εμπιστευτικές πληροφορίες των CSIRTs, όπως είναι η ταυτότητά και τα στοιχεία επικοινωνίας τους. Ο μηχανισμός επικοινωνίας βασίζεται στα πρότυπα IODEF και EISPP CAF προκειμένου να επιτύχει μια κοινή και σαφή κατανόηση των πληροφοριών. Επίσης, παρέχει ευχρηστία στη διαχείριση των κρυπτογραφικών κλειδιών και των ψηφιακών πιστοποιητικών, με διαφανή τρόπο προς τις CSIRTs.Αναλυτικά, η επικοινωνία θα υποστηρίζεται από λίστες ανακληθέντων πιστοποιητικών, από υπηρεσία δημόσιου καταλόγου της Αρχής Πιστοποίησης και από το πρωτόκολλο SSL. Επιπρόσθετα, οι διανεμημένες πληροφορίες θα αποθηκεύονται σε μια κεντρική βάση δεδομένων, παρέχοντας δυνατότητες συλλογής, διανομής, συσχέτισης και στατιστικών σε πραγματικό χρόνο.

The IT security community has developed the Computer Security Incident Response Teams «CSIRTs» as a mechanism of defense on the intrusions in the IT security requirements. The main purpose of CSIRTs is the communication between them, to cooperate and coordinate the detection, the analysis and the response in intrusions. The mission of the Forum of Incident Response and Security Teams “FIRST” and Terena Trusted Introducer “Terena TI” is the provision of an efficient and quick communication function between theirs members, but they do not fulfill all the communication specifications. In particular, the privacy and the anonymity of the CSIRTs are not ensured. Besides, the existing implementations are not based on information format standards to provide unambiguous understanding of the information, nor they provide a universal information collection and distribution. The implementations are also lacking of usability in the cryptographic keys and digital certificates management. The objective of this paper is the design and the implementation of a framework, to establish a secure communication between the CSIRTs and to overcome the disadvantages of the existing implementations. This framework introduces a Certificate Authority with anonymous certificates to ensure the privacy and the anonymity of the CSIRTs. Furthermore, due to the fact that the CSIRTs confidential information (e.g. identities, communication information) is secret, this framework introduces an intermediate entity/server to establish the communication between them. The communication function of this framework is based on the IODEF and on the EISPP CAF standards, to achieve a common and unambiguous understanding of the information. This framework also provides transparency and management usability of the cryptographic keys and the digital certificates. In particular, this framework supports certificate revocation lists, Certificate Authority public folder service and SSL protocol. Additionally, this framework introduces a centralized database for information collection, distribution, correlation and statistical analysis, in real time.