1.

Bezpieczeństwo systemów informatycznych

Zapewnienie bezpieczeństwa systemu wymaga podejścia całościowego. Ochraniać należy cały system a nie jego
poszczególne składniki, musi to wymuszać polityka bezpieczeństwa firmy. System bezpieczny powinien spełnić
następujące wymogi:

 Dostępności danych – osoby uprawnione maja do nich dostęp w żądanym czasie i miejscu
 Poufności zasobów – dane są odporne na ujawnienie przez osoby niepowołane
 Integralności – zasoby systemu są zawsze pełne i poprawne
System ochrony tworzą wszystkie środki organizacyjne, techniczne, proceduralne i fizyczne użyte do jego
zabezpieczenia. Najważniejszą jego funkcją jest zapewnienie ciągłości pracy organizacji, którą obsługuje.
Powinien więc obejmować nie tylko procedury kontrolne podczas normalnej pracy systemu ale również
sytuacje awaryjne i przywracające jego poprawne funkcjonowanie.

Posługiwanie się komputerami, a zwłaszcza pracującymi w systemach sieciowych wiąże się z powstaniem
specyficznych zagrożeń. Są to:

 Awaria systemu – system jest wart tyle ile jego najsłabsze ogniwo
 Błędy oprogramowania – nie ma programów bezbłędnie napisanych tylko istnieją błędy, o których
jeszcze nie wiemy
 „Wirusy komputerowe” – darmowe programy, o których posiadaniu dowiadujemy się, gdy jest już za
późno
 Podsłuch elektroniczny – jeden ze sposobów na obniżenie kosztów własnych
 Kradzież lub utrata danych – efekt działania współczesnego włamywacza lub niefrasobliwości
pracownika
 Zdobycie lub odgadnięcie hasła dostępu przez osobę nieuprawnioną – ułatwia realizację poprzedniego
punktu
 Błędna lub niewłaściwa obsługa programów – im większe uprawnienia tym droższa pomyłka
 Pozostawianie włączonych komputerów bez nadzoru – można też zostawić kartkę „Zaraz wracam.
Klucze pod wycieraczką.”
 Zwolnienie z pracy użytkownika o dużych uprawnieniach – Jak Kuba Bogu tak Bóg Kubie
 Choroba administratora systemu
 Naruszenie zasad licencji – darmowe są tylko wirusy
 Zmiana przepisów prawa – większą prędkość ma jedynie światło
 Niski poziom świadomości zagrożeń wśród użytkowników systemu – gwóźdź do trumny
Termin „wirusy komputerowe” jest dużym uproszczeniem. Chodzi o wszelkiego rodzaju malware – złośliwe
oprogramowanie, którego działanie polega na wykonywaniu operacji niezamierzonych przez użytkownika.

Kilka słów wyjaśnienia wymaga zagadnienie naruszenia zasad użytkowania licencji. Ustawa o ochronie praw
autorskich i pośrednich jednoznacznie reguluje zasady ochrony własności intelektualnej. Do tego dochodzi
zagadnienie licencji na posiadane programy czyli umowy na ich użytkowanie zawartej pomiędzy kupującym i
sprzedającym. Nielegalne jest zarówno użytkowanie programów na które się licencji nie posiada jak i
przekroczenie warunków licencji np. jednoczesne wykorzystanie oprogramowania na większej liczbie stanowisk
niż w umowie.

Karze za takie działanie podlega zarówno pracownik u którego takie oprogramowanie stwierdzono (jeżeli
podpisał stosowna klauzule przy zawieraniu umowy o pracę), jak i osoba wskazana w dokumentach firmy jako
odpowiedzialna za oprogramowanie oraz dyrektor lub właściciel firmy. Konsekwencje karne za tego typu
działanie sprowadza się zwykle do kar grzywny. Standardowo kara nakładana jest na firmę i stanowi
wielokrotność (10x) wartości stwierdzonego nielegalnego oprogramowania.

© Wyższa Szkoła Gospodarki w Bydgoszczy 1

W celu ochrony systemu podejmuje się działania na wielu poziomach:

Poziom logiczny

 Stworzenie systemu uprawnień i systemu haseł - ograniczenie ilości funkcji dostępnych dla
użytkownika, konieczność zmiany haseł co określony czas
 Rejestrowanie wszystkich zdarzeń w systemie – tworzony automatycznie plik zapisujący wykonywane
operacje i użytkowników którzy to robili
 Stosowanie procedur szyfrujących i podpisu elektronicznego – uniemożliwienie odczytu danych i
modyfikacji przez osoby niepowołane
 Kontrola integralności danych – zapewnienie aby były one pełne i poprawne
Poziom fizyczny

 Ograniczenie dostępu do pomieszczeń z komputerami i urządzeniami sieciowymi

 Powielenie ważnych elementów systemu – serwera, dysków twardych, urządzeń zasilających, łączy
telekomunikacyjnych itp.
 Bezpieczne przechowywanie kopii bezpieczeństwa
 Oddzielenie lokalnego serwera od środowiska zewnętrznego – mimo połączenia z innymi serwerami
lokalnymi specjalistyczne oprogramowanie dopuszcza do naszego serwera tylko te informacje których
żądamy
Poziom proceduralny

 Stosowanie zasady wszystko, co nie jest dozwolone jest zabronione

 Informowanie osoby odpowiedzialnej za bezpieczeństwo systemu o wszelkich nieprawidłowościach w
jego pracy
 Wprowadzenie limitów i ograniczeń ilościowych dla użytkownika – każdy ma dostęp tylko do tych
zasobów, które są niezbędne do jego pracy

© Wyższa Szkoła Gospodarki w Bydgoszczy 2

2. Złośliwe oprogramowanie
Jedyna oprogramowanie, jakie otrzymujemy za darmo - co nie znaczy, że za nie płacimy - to tzw. Malware.
Nazwą tą obejmujemy wszelkie aplikacje mające szkodliwe lub złośliwe działanie w stosunku do zasobów
komputera. Ze względu na sposób działania możemy wyróżnić kilka podstawowych rodzajów tego
oprogramowania.

Wirus – program lub fragment wykonalnego kodu, który

dołącza się, nadpisuje lub zamienia inny program w celu Malware
reprodukcji samego siebie bez zgody użytkownika. Tzw. Robak
Makro wirusy infekują dokumenty pakietów biurowych.

Robaki – złośliwe oprogramowanie, które rozmnażające

się tylko przez sieć. Najstarszy znany rodzaj malwaru. Nie
potrzebują programu „żywiciela” tak jak typowe wirusy. Eksploit Malware Wirus
Często powielają się pocztą elektroniczną.

Trojan – nie rozmnaża się jak wirus, ale jego działanie jest
równie szkodliwe. Ukrywa się pod nazwą lub w części
pliku, który użytkownikowi wydaje się pomocny. Oprócz
właściwego działania pliku zgodnego z jego nazwą, trojan Trojan
wykonuje operacje w tle szkodliwe dla użytkownika np.
otwiera port komputera, przez który może być dokonany
atak włamywacza. W ramach tej grupy chciałbym zwrócić uwagę na trzy rodzaje programów.

Backdoor – przejmuje kontrolę nad zainfekowanym komputerem umożliwiając wykonanie na nim

czynności administracyjnych łącznie z usuwaniem i zapisem danych. Backdoor podszywa się pod pliki i
programy, z których często korzysta użytkownik. Umożliwia administrowanie systemem operacyjnym
poprzez Internet. Wykonuje wtedy zadania wbrew wiedzy i woli ofiary.

Spyware – oprogramowanie zbierające informacje o użytkownikach komputera bez ich zgody, takie jak
informacje o odwiedzanych witrynach, hasła dostępowe itp. Występuje często jako dodatkowe i ukryte
komponenty większego programu, odporne na usuwanie i ingerencję użytkownika. Programy
szpiegujące mogą wykonywać działania bez wiedzy użytkownika - zmieniać wpisy do rejestru systemu
operacyjnego i ustawienia użytkownika. Program szpiegujący może pobierać i uruchamiać pliki pobrane
z sieci

Rootkit – jedno z najniebezpieczniejszych narzędzi hackerskich. Ogólna zasada działania opiera się na
maskowaniu obecności pewnych uruchomionych programów lub procesów systemowych (z reguły
służących hackerowi do administrowania zaatakowanym systemem). Rootkit zostaje wkompilowany lub
wstrzyknięty w istotne procedury systemowe, z reguły jest trudny do wykrycia z racji tego, że nie
występuje jako osobna aplikacja. Zainstalowanie rootkita jest najczęściej ostatnim krokiem po włamaniu
do systemu, w którym prowadzona będzie ukryta kradzież danych lub infiltracja.

Exploit – kod umożliwiający bezpośrednie włamanie do komputera ofiary, do dokonania zmian lub przejęcia
kontroli wykorzystuje się lukę w oprogramowaniu zainstalowanym na atakowanym komputerze. Exploity mogą
być użyte w atakowaniu stron internetowych, których silniki oparte są na językach skryptowych (zmiana treści
lub przejęcie kontroli administracyjnej), systemy operacyjne (serwery i końcówki klienckie) lub aplikacje
(pakiety biurowe, przeglądarki internetowe lub inne oprogramowanie).

© Wyższa Szkoła Gospodarki w Bydgoszczy 3

Przed wirusami chroni nas oprogramowanie antywirusowe. Tak naprawdę nie ma większego znaczenia, który z
systemów zostanie wykorzystany. Najbardziej istotne jest to aby system ten regularnie się aktualizował.
Program antywirusowy z bazą wirusów z poprzedniego miesiąca jest programem bezużytecznym.

Sam antywirus nie pomoże nam uchronić się przed zagrożeniami płynącymi z malware’u. Konieczne jest
również zachowanie zdrowego rozsądku podczas pracy z komputem. Banki naprawdę nie wysyłają informacji
mailowiej z prośbą o zalogowanie się na jego stronie. Nigdy w takiej sytuacji nie podajemy naszego loginu i
hasła ani nie przechodzimy na wskazaną w linku stronę. Na prośby o podanie naszych danych logowania
zawsze reagujemy tak samo – ignorujemy. Jeżeli dostaniemy nagle informację że Pamela Anderson lub Brad Pitt
zapałali do nas wielka miłością, to prawdopodobnie nie będzie to prawda i otwieranie podesłanego linka nie
wróży niczego dobrego. Kolejnym źródłem zagrożeń są wszelkiego rodzaju pamięci typu flash. Niestety
standardowe ustawienie systemu jest takie, że stara się on uruchomić znajdujące się na nim oprogramowanie.
Jest to wykorzystywane przez umieszczanie na pendrivach plików autostartu wykonujących złośliwe działanie.
Działanie to można w bardzo prosty sposób zablokować. Wystarczy trzymać wciśnięty klawisz Shift podczas
przypinania pamięci flash do naszego komputera. To samo dotyczy płyt CD i DVD, których nie do końca
jesteśmy pewni.

© Wyższa Szkoła Gospodarki w Bydgoszczy 4

3. Zasady tworzenia bezpiecznych haseł
 hasło powinno mieć przynajmniej 8 znaków
 w haśle powinny wystąpić małe i wielkie litery
 w haśle powinny wystąpić cyfry
 Nie należy zapamiętywać haseł, należy wymyślić sposób tworzenia haseł i go zapamiętać. Przykładowe
hasło:
Jk09P128aMeKxI
 Na zmianę pisane są małe i wielkie litery: Jk09P128aMeKxI,
 hasło należy do Jana Kowalskiego: Jk09P128aMeKxI,
 obowiązuje w roku 2009: Jk09P128aMeKxI,
 Kowalski siedzi w pokoju 128: Jk09P128aMeKxI,
 razem z nim w pokoju siedzą: Ania, Maciej, Ewa i Kasia: Jk09P128aMeKxI,
 hasło obowiązuje w listopadzie: Jk09P128aMeKxI
Każde hasło można bezpiecznie przechować w formie zapisanej. Wystarczy wstawić jedną literę, która w
naszych hasłach nie występuje i zapisać je małymi literami:

jck09p128amekxci

© Wyższa Szkoła Gospodarki w Bydgoszczy 5