Mikael Nyström – DGC MVP Windows Server – Setup/Deployment Security Checks Mikael Nyström – DGC MVP Windows Server – Setup/Deployment

Agenda Vem är jag? Vad är ”Security Checks”? Våra sju punkter (1) Skydda företagets samtliga datorer (2) Säkerhetskopiera och skydda information (3) Surfa säkert och informera om riskerna (4) Skydda företagets nätverk (5) En säker server = en säker verksamhet (6) Säkra affärskritiska program (7) Administrera alla datorer från servern Säkerhetspolicy Sammanfattning Hej, jag heter Mikael Nyström och den här filmen handlar om Security Checks Vi kommer att titta på vad Security Checks är, dom sju kontrollpunkterna som du som partner ska genomföra hos varje kund du gör en security check för. Sen tittar vi på en säkerhetspolicy och avslutar med en sammanfattning.

Vem är jag Senior konsult – DGC Trainer Speaker Fråga Experten MVP För MS Partner och kunder genom Informator Speaker TechNet Live, Exchange Forum Fråga Experten experten@microsoft.com MVP Windows Server - Setup/Deployment ATE (Ask The Experts) TechEd 2005 Amsterdam ITProffs.se www.itproffs.se Jag heter alltså Mikael Nyström och arbetar som Senior Konsult på DGC, Jag är MVP på Windows Server och som du ser på sliden så jobbar jag med många olika saker

Vad är Security Checks? ”Vi vill tillsammans med våra partner bidra till ökad kunskap och medvetenhet om hur man bäst kan skydda sina Informations tillgångar. Vi erbjuder företagare en kostnadsfri säkerhetsgenomgång, Erbjudandet ingår som en del av Microsofts satsningar på den riksomfattande kampanjen Surfa Lugnt.” Vad är Security Checks, jo det är en satsning från Microsoft som går ut på att vissa Microsofts partner ska åka ut och besöka kunder och kontrollera sju punkter för att sedan förklara läget för kunden som sedan fattar beslut om att åtgärder, som partner får du betalt 500:- för varje security check du genomför. Det är viktigt att miljöer som du och jag leverar fungerar och är säkra annars tappar våra kunder förtroende för både teknik och vår branch. Företag i den här storleken vi riktar oss mot är inte alltid på det klara med vilket värde deras egen information har för den egna verksamheten och därför hamnar säkerhets frågor vid sidan om och tas först efter att katastrofen är ett faktuim. Det vill vi ändra på !!!

Vad är Security Checks Security Checks för småföretagare Anpassat för företag med 10-75 datorer Kriterier för att delta i Security Checks-kampanjen Registrerad partner. Partner ska delta i ett av följande event Sommarkollo seminarierna om Security Checks (i första hand) Utbildningsfilm på Marknadsbyrån (i andra hand) Material och stöd till kunden Security Guidance Center http://www.microsoft.com/sverige/smb/sgc/default.mspx. Security Toolkit CD (engelska). Mall på en säkerhetsplan Checklista för datorsäkerhet Online film som bygger på säkerhetsbroschyrens 7 steg www.microsoft.se/surfalugnt Viktiga tips för en säker och stabil IT-miljö på ditt företag! (broschyr) http://download.microsoft.com/download/7/4/4/744b13b3-3dd2-4744-b043-ce43904de58b/IT_sakerhet_foretag.pdf Ok, så mer i detalj vad är nu Security Checks, Jo Det är anpassat för förtega med ca 10 75 datorer, det kan vara fler beroende på omständigheter, du som partner avgör om det är lämpligt eller inte Det finns krav på dej som genomför en Security Check, du ska antingen deltagit på Sommarkollo seminariet eller sett den här filem och besvarat ett antall frågor korrekt för att bli godkänd partner att genomföra Security Checks Det finns en mängd matrial till ditt förfogande, ett Security Guidence Center, Ett Security Toolkit, mall på en säkerhetsplan, checklistor, filmer för slutkunder och företagare och liknande. I sliden till vänster så ser du länkarna

Vad är Security Checks Marknadsföring Marknadsbyrån Microsoft kommer att driva intensiv marknadsföring av säkerhetsgenomgångar via många kanaler. Security Checks är en del av Microsofts satsning Alla deltagande partner kommer att publiceras på en webbsida med kontaktinformation. Marknadsbyrån På Marknadsbyrån kommer all information att finnas tillgänglig. Listan kommer att finnas på www.microsoft.se/surfalugnt. Ute hos kund, går partner in via webben och fyller i ett formulär om kunden, som överförs direkt till Marknadsbyrån. Marknadsbyrån registrerar partnerns samtliga kundbesök och betalar ut ett marknadsstöd om SEK 500/styck till partner Nätverket för Surfa Lugnt Vi är ett femtontal myndigheter, organisationer och företag som står bakom satsningen om ett säkrare Internet. Microsoft kommer att marknadsföra detta intensivt och bland annat kommer dom företag som genomför Security Checks att publiceras på en websida. På marknadsbyrån kommer all information att finnas tillgängligt, som partner kommer du att att fylla i ett formulär för varje Security Check du genomför och marknasbyrån kommer sedan att betala ut 500 kronor per security check Det här en del av det som också kallas för Surfa Lugnt vilket är en satsning från flera myndigheter och företag där Microsoft är ett av dom företagen

Basinformation om nätverket Hur många datorer finns det av respektive kategori i nätverket? Vi vill ha enhetligt och så hög nivå som möjligt, blandade miljöer resulterar ofta i låg säkerhet. Dessutom blir varje typsystem unikt konfigurerat. Hur många servrar finns det av respektive kategori i nätverket? Finns det någon Windowsdomän för att hantera datorerna i nätverket? Utan domän blir det manuell konfiguration på respektive dator, jobbigt att administrera Ok, då vet du vad security checks är för något så då känns det som om det är dags att gå vidare i detaljerna. Det första vi gör är att samla basinformation om kundens miljö, för du ska kunna göra en bedöming vill du veta vad dom har för system, operativsystem, versioner servicpackar och liknande. Har dom en domän där alla datorer är medlemmar i och loggar användarna in i denna domän. Få och nya operativsystem med senaste servocepackarna samt en domän är postitiva egenskapaer

(1) Skydda företagets samtliga datorer Håll mjukvaran uppdaterad Finns det rutiner för patchhantering? Används funktionen ”Automatiska uppdateringar”? Uppenbart, utan en planerad patchhantering blir allt en gissning, automatisk inställning räcker inte, en kontrollfunktion behövs regelbundet Punkt nummer 1 Hur sköts patchhanteringen, inte alls?, ibland? Eller finns det en plan? Viktigt här är hurvida kunden aktivt patchar och kontrollerar att det faktiskt sker, att bara ställa in på automatiskt är inte tillräckligt bra. Tjänsten Automatik Update kanske har stoppat på en dator och då händer det ju inte så mycket. Om dom patchar varje dag eller en gång i veckan eller kanske till och med en gång i månaden är inte ktitiskt, det viktigaste är att det sköts regelbundet och kontrolleras

(1) Skydda företagets samtliga datorer Skydda datorerna mot skadlig kod Finns det Antivirusprogram på alla datorer i nätverket? Om antivirusprogram finns, hur ofta uppdateras det? Finns det rutiner för att kontrollera att datorerna har blivit uppdaterade? Om antivirusprogram finns, används funktioner i detta för att kontrollera om så kallat spionprogram eller trojaner finns på datorn, eller används något annat program för detta? Om antivirusprogram finns, är det möjligt att hantera systemet centralt? Virus och Spyware kan idag förändra informationen i kundens miljö. Antivirus bör också finnas längs hela kedjan, dvs. i brandvägg, e-post system, filsystem och på klienten. Installera och aktivera en brandvägg Är den personliga brandväggen aktiverad på de datorer som använder Windows XP SP2? Används det någon annan programvara som personlig brandvägg? En brandvägg bör finnas på varje enskild dator och den bör vara centralt administrerbar, detta för att skydda datorer som inte hunnit bli patchade ännu, eller för datorer som flyttas mellan olika nät Antivirus och Antispam, vid det härlaget vet dom flesta vad det innbär att inte ha det, men långt ifrån alla har det, frmaför allt är det inte säkert att skydden är uppdaterade utan är för gamla för att göra någon nytta. Antivirus och Antispam är absolut inga produkter man installerar en gång och sedan är det bra. Har man man Windows XP med SP2 så bör brandväöggen aktiveras, även om man sitter på det lokala nätverket. Det finns flera anledningar till detta och en av dessa är förebyggande, det minskar attackytan. Har man en annan brandvägg bör den kunna skötas centralt

(2) Säkerhetskopiera och skydda information Finns det rutiner för hur användarna skall säkerhetskopiera/skydda sin information på klientdatorerna? Best practices är att INTE ha data på enskilda datorer utan istället lagra på servern, men det är inte alltid möjligt, alltså måste det finnas rutiner för backup Sparar användarna sina dokument på gemensam server? Förhoppningsvis, men absolut inte självklart. Bärbara datorer, media producerande datorer har av naturliga skäl problem Tas det daglig backup av gemensam data till tex. bandmedia, optisktmedia, eller annan diskbackup lösning? Fungerande backup är grundläggande för att återställa system och information, både i händelse av systemkrasch men också om system har drabbats av virus som har manipulerat informationen Förvaras media med backup i annan lokal? Punkt nummer 2 Backup är ett kaptiel för sig, jag har under åren varit ute hos många kunder som har blivit ledsna när dom fick reda på att bandet var tomt och det finns inget att läsa tillbaka. Felaktigt konfigurerade backuplösningar ger falsk trygghet. Det finns också användare som inte litar på servern utan istället lagrar alla dokument lokalt. Det vi vill veta är hurvida det finns backup, som fungerar och att dokuemnt lagras där det tas backup.

(2) Säkerhetskopiera och skydda information Förvaras media med backup brandsäkert? Brand, stöld och intrång. Det är tex. olämpligt att band sitter kvar i en bandrobot under en hel vecka Hur ofta görs det en fullständig backup av viktig data? Hur ofta görs det en inkrementell backup av viktig data Är det lång tid mellan backuper betyder det att vi kan förlora lika mycket tid vid återläsning av data Om dokument sparas på gemensam server, finns det anpassade rättigheter för olika användare och grupper? Ingen ska ha mer behörighet än nödvändigt, det man riskerar är att personal ändrar och/eller raderar information av misstag eller avsiktligen Krypteras känslig information? Bör i första hand användas på datorer med fötter, USB minnen och liknande, men kan även användas internt. OBS, dekrypterings nycklar?, hur hanteras dom? Risken finns att krypterade dokument inte kan dekrypteras därför att nycklar saknas Vi vill också veta att det finns en backup plan och att banden eller mediat förvars på ett sånt sett att det går att lädsa tillbaka information Om kunden lagrar på servern, är du behörigheter satta på rätt sätt? Om inte kanske fel personer kan läsa eller ändra på dokument dom inte ska ha tillgång till. Att kryptera information är bra, om det görs på rätt sätt. Bärbara datorer som innehåller känslig information kan vara lämpliga kandidater för kryptering. Om kunden använder kryptering så är frågan om det är uppsatt så att man kan dekryptera informationen ifall något inträffar, annars kan stora mängder information gå förlorad därför att man har tappat bort nycklarna

(3) Surfa säkert och informera om riskerna Finns det någon policy för hur användarna får surfa på Internet? Viktigt, annars går det inte att utbilda personal i vad man får och inte får göra För detsom använder Windows XP SP2 och Internet Explorer, finns det definierat att vissa sidor tillhör olika säkerhets zoner? (tex. Intranet) Om man använder dessa funktioner, och helst styr dessa centralt kan man bestämma hur IE ska uppföra sig, zonerna påverkar även filsystemet och Outlook/Outlook Express. Finns det någon som använder servern (om det finns någon) att surfa på? Man surfar ALDRIG på en server om man är administratör, det räcker med att man råkar skriva fel i URL:n med en bokstav för att hamna på en direkt olämplig site, som sparkar igång ett flertal program. Inte bra när man samtidigt är Domän Admin. Undantaget är en terminal server. Finns det någon central Web-Proxy i nätverket? Om ja, stoppar den olämpliga sidor enligt någon spärrlista? Man bör alltid kontrollera och styra trafik ut ur nätet, genom att ha en Proxy kan man inspektera och kontrollera http Får användarna någon information/tips vad de skall tänka på när det är ute och surfar? Kunskap är makt var det någon som sa, sant. Vet man vad man håller på med så minskar riskerna klart. Utbildning fortbildning är viktigt, det visar också om företaget har en ”plan” eller om allt bara ”händer” Punkt nummer 3 Utan en policy som styr blir det svårt att förklara för användare vad som är ok och vad som inte är ok. Windows XP SP2 och IE har ett antal förbättringar, bland annat zon hateringen, används den? Att surfa på en server är bland det dummaste man kan göra, du är dels ute i det okända samtifigt som du är administratör i den lokala datorn, ingenbra kombination alls. Använder kunden en Proxy server?, om dim gör det kan den användas för att filtrera trafik och på så sätt centralt bestämma vad man kan surfa till och inte Att utbilda användare är viktigt, helst regelbundet. Kontrollera att detta sker.

(4) Skydda företagets nätverk Finns det någon central brandvägg i nätverket, som skyddar mot tex. Internet? Förklara gärna En bra början är att dom har en, men det räcker sällan, man måste faktiskt veta vad man ska släppa igenom också, en alltför vanlig konfiguration är att allt från det interna nätet mot Internet är ok, men inte tvärtom. Det gäller inte längre. Principen bör bara inget tillåts om det inte står i vår säkerhets policy att det är en del av vår verksamhet. Finns det regler för hur långa lösenorden i nätverket skall vara? Om ja, finns det krav på att lösenorden skall vara minst 8 tecken långt? För många har blanka lösenord, tänk på att det inte bara gäller användare, det kan finnas konton som används för olika tjänster också Finns det regler för hur ofta användaren måste byta lösenorden? Det är först när man visar vad man kan göra folk förstår, tex. kan jag skicka e-post i någon annans namn, skulle kunna vara så att ”jag” spyr galla över alla mina arbetskamrater, eller kanske säger upp ”mej” Om det finns något trådlöst nätverk, används någon av de inbyggda säkerhetsfunktionerna? WEP och MAC adress skydd är för privat personer, WPA med PSK är inte heller någon höjdare. Och varför måste folk visa sitt SSID? Idag är WPA att klassa som OK Punkt nummer 4 Nu är vi inne på att skydda nätverket, dom flesta tänker då på brandvägg Men att bara ”ha” en brandvägg räcker inte, ta reda på vem som har satt upp den. En brandvägg är inte säkrare än personen som gjorde konfigurationen. Regler för lösenord, korta lösenord går att gissa, helst ska dom vara fraser och längre än 14 tecken, men det är inte alltid det går. Att byta lösenord är jobbigt för användare, alltså finns det dom som har policyn att byta men i verkligehetn följs den inte, fråga om deras policy gäller samtliga konton eller bara användarnas Trådlösa nätverk kan vara på gränsen till komiska, jag tror jag sett det mesta. Det gäller att ta reda på vad dom har och vad deras trådlösanätverk ska användas till

(4) Skydda företagets nätverk Är servern konfigurerad att bara svara på de nätverksportar som ni har behov av? Alltså, desto mindre attackyta desto mindre risk Finns loggning av händelser på server, även säkerhetsloggar och auditing? Tråkigt, men kan vara nödvändigt vid senare tillfälle Finns det rutiner för att följa upp det som står i loggarna? Beskriv gärna Det här kräver att kunden har någon form av övervakning, vilket inte är så vanligt för små kunder. Men någon måste ju också kunna tolka det som står i loggen, att bara titta räcker inte Finns loggarna på någon annan server så att de finns kvar även om någon har manipulerat dem? Uppenbart, eller hur, om loggarna ligger kvar på servern så kan man ju manipulera dom också, alltså ”har det aldrig hänt” Kontrollera om servern är nedlåst, ondögiga tjänster är avstängda och om det är Windows Server 2003, är brandväggen påsalgen? Hur hanteras loggning? Om inte loggarna hanteras på rätt sätt kan det vara svårt med spårbarhet ifall det skulle behövas. Tänk på att det finns flera loggar än bara loggboken.

(5) En säker server = en säker verksamhet Är servern placerad i ett låst utrymme? Har man fysisk åtkomst kan man göra vad som helst Finns det god ventilation där servern finns? På sommaren blir det lätt varmt, glöm inte att kylanläggningar som sitter i taket på serverrummet tenderar att läcka friskt på sommaren och det är vatten som läcker  Temperatur bör också övervakas, en del UPS:er har larm på temperatur, detsamma gäller en del servrar Är det bara administratören som har fysisk tillgång till servern? Desto fler kockar desto sämre soppa. Skrivare, papper, pennor måste inte vara på samma ställe som på servern Punkt nummer 5 Var står servern? Fråga om hela miljön, ta med sånt som värmeproblem, damm, smuts, vattenproblem och likande. Vem kan fysikst peta på servern, endast ett fåtal personer bör kunna göra det.

(6) Säkra affärskritiska program Vet ni vilket program/system som är viktig för er verksamhet? Lita INTE på kunden, fråga runtomkring, ta reda på vad dom gör, vilka verktyg som används. Ett vanligt misstag är att e-post inte är viktigt, tills man stänger av det… Vet företagsledningen vilka program/system som är viktiga för verksamheten? Det är viktigt, för det handlar om vilka resurser man kan tilldela IT-avdelningen Finns det olika roller av användare som kommer åt olika information i nätverket? Det indikerar att man har en bra syn på hur säkerhet bör hanteras Punkt nummer 6 Kundens affärskritiska program, alltså vi vill veta om kunden själv förstår vad som egentligen är affärskritiskt. Ett sätt fråga är bakvänt, alltså i formen ”om jag tar bort din e-post server, skulle du då kunna bedriva din verksamt” Olika roller syftar till att man skapar kategorier av personalen och på så sett tilldelar behörigheter.

(7) Administrera alla datorer från servern Finns det rutiner för hur nya datorer skall installeras i nätverket? Man bör alltid skapa alla konton innan dom tas i bruk, så att man kan lägga dom på rätt plats, med rätt programvara och rätt inställningar och rätt behörigheter/rättigheter. Detta gäller både datorer och användare. En detalj många missar är rutiner för det motsatta, dvs. när datorer tas bort och användare slutar Installeras programvarorna på klientdatorerna med sk paketerad installation? (tex. MSI eller liknande) Manuella installationer är olämpliga, risken att man gör fel är stor och man måste vara inloggad som lokal admin, värsta tänkbara är ifall användarna installerar sina egna program, då kan dom också installera sina egna virus och spyware, inte lämpligt Om Active Directory finns, används det för att hantera inställningar och installationer på datorerna? Group Policy, nyckeln till att centralt administrera system. Är mer eller mindre ett av dom bästa verktyg som finns tillgängliga, bland annat så använder man Security Guides för Windows XP SP2 för alla inställningar Punkt nummer 7 och den sista punkten på listan Om arbestationer ska kunna bli säkra på ett effektivt sätt bör dom absolut hanteras centralt, frågan är alltså hur sköts egentligen dessa datorer. Är det kanske användrna själva som sköter om dom, alla kanske är lokala administratörer. En viktig funktion för att kunna skapa säkerhet är att använda group policy, med hjälp av GPO kan man styra och låsa ner datorer central. Används detta i dag?

Säkerhetspolicy Hur är vi organiserade och vad gör vi? Enkelhet är viktigt Människor och processer Vem gör vad och varför Infrastruktur Hur ser nätverket ut, vilka vägar in och ut finns i nätet Applikationer och information Vad har vi, vad är kritiskt osv. Mer info http://www.microsoft.com/sverige/smb/sgc/articles/itsecpolicy.mspx För att kunna arbeta med säkerhet behövs ett grund dokument som beskriver vad företaget gör och vad system ska användas till och vem som får göra vad. Det finns en länk för dej som vill ha mer infoirmation

Exempel på en Policy Företaget AB vill skydda sina tillgångar mot otillbörlig användning av utomstående. Följande information är kritisk för företagets fortlevnad: (lista på det ni kommit fram till ) Den informationen vill vi skydda genom; regelbunden säkerhetskopiering och halvårsvis återställning av information, förvaring av datamedia på avsedd plats, åtkomstkontroll, uppföljning av loggar med mera. Medarbetaransvaret är kritiskt för framgången. Företaget förstår att ansvar kommer från självförtroende och tillit. Företaget kommer därför att ha kontinuerliga utbildningar och uppföljningar för att säkerställa att varje medarbetare är trygg med den policy som är fastställd. Samverkan med extern tredje part kommer att ske för att regelbundet göra en revision kring mål bild och efterlevnad. Här kan du se ett exempel på en Policy, som du ser är den ganska enkel men ändå beskriver den hyfsat vad det går ut på. Om jag som tekniker ska sätta upp en brandvägg så kan jag med hjälp av detta dokument direkt se att jag ska slå på loggning och se till att backup fungerar.

Sammanfattning Öva på ditt eget företag innan du åker ut till kund, det är viktigt att du vet vad du håller på med. Säkerhet handlar om förtroende Var noggrann, stressa inte Förklara i enkla termer för kunden, skippa tekniken Använd färg för att förklara riskerna Punkt 1 är röd Dvs. det finns allvarliga brister som bör åtgärdas omedelbart Punkt 2 är gul Det finns brister som bör åtgärdas Punkt 3 är grön För tillfället finns inga större brister att åtgärda Detaljerad lista finns för nedladdning där övriga dokument finns För att sammanfatt det hela så finns det några saker jag vill peka på. Öva innan du åker till kund, det är mycket viktigt. Lägg märke till att beroende på vem du frågar på ditt företag kommer kanske få olika svar Säkerhet handlar mycket om förtroende och kompetens, snyggt klädd och ett korrekt uppförande är viktigt När du pratar med kunden, skippa teknik jiddret och förklara i form av risknivåer istället, alternativt kan man förklara i pengar vad det kostar att återställa systemet Ett smart sätt är att klassa varje punkt enligt en färgkod efter att du har gått igenom din security check. Du analyserar varje punkt skilt från dom andra och sätter en färg, Ett exempel: Enligt punkten 1 har kunden ingen hantering av patchar, dom har ett antivirus program på en del datorer men inte alla och brandväggen är inte på därför att dom kör Windows 2000 utan brandvägg. Den blir alltså röd utan tvekan. Mer exempel på klassningar finns för nedladdning på samma ställe som övriga dokuemt finns. Det finns också en del script för att du ska kunna göra en del av dessa kontroller i händelse av att kunden inte kan besvara frågorna själv. Jag vill att du laddar hem presentatiionen och läser igenom den ordentligt,ladda också hem chceklistan och läs igenom den innan du besvarar kontrollfråpgorna på webben som ger dej ett gokkännande att vara en Sceurity Check Partner