EN DEL AF DANSK INDUSTRI ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING

Transkript

1 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING EN DEL AF DANSK INDUSTRI

2 Elektronisk infrastruktur Virksomhedens IT-sikre placering EN DEL AF DANSK INDUSTRI EN DEL AF DANSK INDUSTRI Januar 2005

3 Udgivet af ITEK og DI Redaktion: Henning Mortensen Tryk: Kailow Graphic ISBN:

4 Forord FORORD Enhver virksomhed er i dag en del af den elektroniske infrastruktur, som er bundet sammen via internettet. Det er blevet en betingelse for at drive og udvikle forretningen. På trods af dette er kendskabet til, hvordan elektroniske netværk fungerer, ikke særlig udbredt. Dette er uheldigt især set i lyset af, at infrastrukturen har stor betydning for virksomhedernes muligheder for at have høj grad af IT-sikkerhed. Med dette hæfte ønsker vi at give de ansatte i danske virksomheder, som har ansvaret for virksomhedens IT-systemer, en indføring i, hvordan en kommunikationsinfrastruktur fungerer på et overordnet plan. I hæftet gennemgås det, hvordan protokoller, kabler og apparater fungerer sammen for at bringe data fra en computer til en anden. Desuden indeholder hæftet eksempler på, hvordan virksomhederne kan konfigurere deres netværk. Endelig er der række anbefalinger til, hvilke overvejelser virksomheden bør gøre sig, hvis den vælger at få varetaget nogle af opgaverne af professionelle leverandører uden for virksomheden. ITEK og DI har igennem flere år beskæftiget sig med IT-sikkerhed. Arbejdet har været centreret om at bringe eksperter i IT-sikkerhed hos leverandørvirksomhederne sammen med brugere af IT-sikkerhedsløsninger med det formål at forbedre IT-sikkerheden i industriens virksomheder. Som et vigtigt led i disse bestræbelser har IT-sikkerhedsudvalget besluttet at udgive en serie publikationer om IT-sikkerhed, hvor nærværende er nummer fire. Januar 2005 Tom Togsverd Branchedirektør ITEK

5 5 Indhold INDHOLD FORORD INDHOLD VIRKSOMHEDENS PLACERING I NETTETS INFRASTRUKTUR NETTETS INFRASTRUKTUR Gennerelt om net Net-terminologi Begreber relateret til nettrafik OPBYGNING AF NETVÆRK Det helt lille netværk Det lidt større netværk Det store netværk Koncernløsningen OUTSOURCING Markedet Overvejelser Hvad kan outsources? CHECKLISTE NOTER

6 6

7 7 Virksomhedens placering i nettets infrastruktur Næsten alle virksomheder er i vore dage koblet på internettet, og mange har også et lokalt netværk inden for virksomhedens vægge. Alligevel mener de fleste virksomheder, at de ikke har behov for at vide noget om, hvordan de er placeret i det globale elektroniske netværk. Så længe man er på, og det hele virker, er der sådan set heller ikke noget galt i denne holdning. Man bruger den elektroniske infrastruktur og koncentrerer kræfterne om at drive og udvikle forretningen. Men når et eller andet går galt og det gør det før eller siden kan det være af afgørende betydning for forretningen at genetablere sine ITsystemer inden for en kort tidshorisont. Hvad koster det f.eks. virksomheden i penge og troværdighed, hvis kunderne ikke kan anvende de sædvanlige elektroniske kanaler? Hvad koster det virksomheden, hvis den i en periode ikke kan bestille råvarer elektronisk? Hvad det koster det virksomheden i lønninger, når de elektroniske produktionssystemer ikke kan kommunikere med hinanden? Der kan derfor være gode forretningsorienterede begrundelser for at beskæftige sig med virksomhedens placering i den elektroniske infrastruktur. Når noget går galt, vil virksomhedens ledelse og personale som regel kontakte den person, der har ansvaret for virksomhedens IT-systemer. Man vil stille spørgsmål af typen: Hvorfor kan min mail ikke komme frem? Hvorfor har jeg ikke adgang til mit netværksdrev? Hvorfor kommer der ikke nogen udskrift på min netværksprinter? Hvorfor har jeg ikke adgang til en given hjemmeside? Hvorfor får jeg en databasefejl, når jeg køber varer på vores leverandørers sædvanlige hjemmesider? For at kunne svare på disse spørgsmål og for at kunne løse dem er det vigtigt, at virksomheden har en person ansat, der ved VIRKSOMHEDENS PLACERING I NETTETS INFRASTRUKTUR

8 8 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING noget om virksomhedens placering i den elektroniske infrastruktur. Denne person skal kunne finde ud af, om fejlen ligger inden for det netværk, der er virksomhedens eget, om fejlen ligger på et netværk, som virksomhedens internetudbyder (Internet Service Provider, ISP) har indflydelse på, eller om fejlen ligger helt uden for virksomhedens indflydelse. Ved at have viden om dette område kan virksomheden reducere eventuelle tab og forøge sandsynligheden for ikke at miste kunder eller data. Dette hæfte behandler fire forhold. > For det første vil det på objektiv vis blive beskrevet, hvordan nettet er bygget op. Nettet omfatter i denne sammenhæng ikke kun internettet, men også virksomhedens interne net samt det net, der giver adgang til internettet. På nettet sidder en række forskellige apparater, og vi vil beskrive, hvordan disse virker. Desuden vil vi også beskrive de protokoller, som anvendes til at skabe kommunikation f.eks. i form af at hente en hjemmeside på internettet. Endelig er der til nettet relateret en række forskellige begreber, som vi ligeledes vil beskrive. > Nettet og dets tilhørende apparater såvel indenfor som udenfor virksomhedens kontrol udgør på hver deres måde et potentielt svaghedspunkt, som man kan forsøge at udnytte med henblik på at ødelægge det eller sætte det ud af drift. Dette vil forstyrre eller afbryde nettets funktion, og i dette lys udgør det en potentiel IT-sikkerhedstrussel. Vi vil beskrive hvilke svagheder, der kan udnyttes i de forskellige apparater, og beskrive hvordan, man kan minimere risikoen for et succesfuldt angreb. > På baggrund af den viden om nettets infrastruktur, som man har kunnet tilegne sig i de første kapitler i dette hæfte, vil vi komme med nogle normative betragtninger om, hvordan en virksomhed ideelt set bør indrette sin egen elektroniske infrastruktur. Der bliver givet anbefalinger til fire størrelser af netværk: Det lille netværk Det lidt større netværk Det store netværk Koncernløsningen > Mange af de forskellige former for funktionalitet, som virksomheden har brug for, behøver virksomheden ikke drive selv. Vi vil derfor slutte af med nogle overvejelser om IT-outsourcing og belyse, hvornår det kan være relevant, og hvornår man slet ikke bør gøre det. Det overordnede formål med dette hæfte kan sammenfattes til en oplysning af de IT-ansvarlige om virksomhedens placering i nettets infrastruktur suppleret med en

9 9 De andre hæfter i serien Ledelse af IT-sikkerhed for forretningens skyld anbefaling af, hvordan man mest hensigtsmæssigt kan planlægge og implementere egen IT-infrastruktur på en IT-sikkerhedsmæssig forsvarlig måde. Dele af hæftet er således på et vist teknisk niveau. I det andetkapitel gennemgås protokoller, netværk og apparater på nettet. I næste kapitel gennemgås, hvordan virksomheden kan sætte apparater og kabler sammen til at udgøre virksomhedens netværk. I det fjerde kapitel gennemgås det, hvilke overvejelser virksomheden skal gøre sig, hvis den planlægger at outsource dele af opgaveløsningen til eksterne leverandører. Hæftet afsluttes med en checkliste. I dette hæfte understreges det, at ledelsen har en forpligtelse til at tage hånd om ITsikkerheden i virksomheden som en del af den almindelige ledelse. Ledelsen skal bl.a. gennem fokus på IT-sikkerheden sikre virksomhedens økonomiske grundlag, minimere den risiko, virksomheden står overfor, og sikre, at virksomheden er en troværdig forretningspartner. I hæftet skitseres en model, som ledelsen kan anvende til at iværksætte en proces, der sikrer virksomhedens aktiver og fastholder denne sikkerhed på sigt. VIRKSOMHEDENS PLACERING I NETTETS INFRASTRUKTUR Trusler mod virksomhedens IT-sikkerhed I dette hæfte gives en ikke teknisk beskrivelse af, hvad det er for nogle trusler, virksomheden står overfor. Truslerne grupperes ud fra kategorierne: Personrelaterede trusler, Systemmæssige trusler og Trusler udenfor virksomhedens kontrol. Indenfor disse hovedkategorier falder bl.a. orme, vira, brand og opgradering. Det er formålet, at denne liste over trusler skal kunne anvendes af virksomheden som inspiration til at sikre sig bedre. Forøg virksomhedens IT-sikkerhed I dette hæfte beskrives det, hvordan virksomheden skal beskytte sig mod truslerne. Det gennemgås funktion for funktion, hvilke initiativer der skal tages i virksomheden. Herunder berøres: Risikovurdering, IT-sikkerhedspolitik, Sikkerhedsimplementering, IT-aktiver, Personaleforhold, Fysisk sikring, Styring af drift, Adgangskontrol, Nyt IT-udstyr, Beredskab, Love og kontrakter. E-business og IT-sikkerhed og ledelse Dette hæfte indeholder en gennemgang af forskellige e-business systemers funktionalitet i forhold til eksterne partnere. Det gennemgås, hvilke nye åbninger disse systemer skaber i forhold til virksomhedens interne systemer, hvilke forholdsregler virksomheden skal tage for at sikre sine data samt sin information og viden og endelig, hvilke krav en virksomhed bør stille til sine samarbejdspartnere.

10 10 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Det er især kapitlet om nettets infrastruktur, som kræver visse tekniske forudsætninger. Man skal derfor have en vis interesse i emnet eller være uddannet og/eller have en vis erfaring indenfor IT-området, hvis man skal få glæde af dette kapitel. Hæftet er det fjerde i en serie af hæfter om IT-sikkerhed, som udgives af ITEK og Dansk Industri. I de øvrige hæfter er der bl.a. fokuseret på, hvorfor ledelsen i virksomheden bør beskæftige sig med IT-sikkerhed, samt hvordan ledelsen kan iværksætte og fastholde en proces, der øger IT-sikkerheden i virksomheden. Hæfterne indeholder også informationer om, hvordan virksomheden sikrer sig mod en række trusler, hvordan virksomheden på systematisk vis kan beskæftige sig med IT-sikkerhed, og hvordan man skal indtænke IT-sikkerhed i sine e-business løsninger. Hæfterne kan læses uafhængigt af hinanden, men udgør tilsammen en helhed, som viser, hvordan virksomhederne kan beskytte sig. Helheden er tænkt således, at de fem hæfter besvarer hvert sit grundlæggende spørgsmål: > Hvordan kommer man i gang? > Hvad er det for nogle trusler, virksomhederne står overfor? > Hvordan tager man initiativer mod disse trusler? > Hvordan indgår virksomheden i nettets helhed? > Hvilke overvejelser skal virksomheden gøre sig i forhold til egne IT-systemer, der åbnes ud ad til?

11 11 Nettets infrastruktur NETTETS INFRASTRUKTUR Når vi i dette hæfte taler om nettet, skal det forstås i bredeste forstand. Et net er en forbindelse mellem to eller flere computere. Forbindelsen betyder, at de computersystemer, der er på nettet, kan kommunikere med hinanden. Net bliver hermed en forbindelse, som muliggør kommunikation mellem computersystemer. Eksempler på net inkluderer to computere, der er forbundet med et kabel imellem sig med det formål, at to brugere kan spille det samme spil. Eksempler inkluderer også mange computere forbundet til en server, hvorfra man har adgang til sine filer eller sine mails. Eksempler inkluderer også forbindelser mellem to computere, hvor forbindelsen er trådløs som f.eks. bluetooth og WAP. Når vi taler om net i dette hæfte, tænker vi imidlertid ikke blot på de fysiske forbindelser i form af kabler og apparater mellem nettene. Vi tænker også på den software, som muliggør kommunikationen mellem apparaterne. Vi vil derfor se på noget af den mest almindeligt anvendte software nemlig nogle få af de mest udbredte protokoller. Generelt om net At få en fundamental forståelse af, hvordan net hænger sammen, er af afgørende betydning for de beslutninger, der skal tages for at optimere en virksomheds IT-sikkerhed. Det er tæt forbundet til nettenes infrastruktur, der i vores terminologi inkluderer: 1. En række computere 2. De fysiske forbindelser mellem disse 3. Den software som muliggør kommunikationen Computerne Når en person ønsker at kommunikere med en anden person via en netværksforbindelse, er det en minimumsbetingelse, at der i hver ende findes en enhed som f.eks. en computer. Den ene computer kan f.eks. være en server, der indeholder en hjemmeside, som personen fra sin egen computer kaldet klienten gerne vil have adgang til. I dette tilfælde laves en klient/server forbindelse mellem de to computere. En anden mulighed er, at to klienter gerne vil kommunikere med hinanden. Dette sker f.eks. via mail, hvor to brugere

12 12 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING sender mails fra hver deres klient til hinandens servere. Det kan også ske i et såkaldt peer-to-peer netværk, hvor to klienter forbinder sig direkte til hinanden for at udveksle informationer. Uanset hvilke eksempler vi fremhæver, foregår kommunikationen via applikationer hos de to parter. Hvis man f.eks. skal hente en hjemmeside, starter man en klientapplikation kaldet en browser (f.eks. Internet Explorer eller Netscape) på klienten, og den kommunikerer så med et program på serveren. De fysiske forbindelser De to computere, der skal kommunikere med hinanden, skal naturligvis være forbundet på en eller anden måde. Dette kan f.eks. ske ved, at de er forbundet med et kabel, men kan lige så godt ske via forskellige trådløse forbindelser (Infrarød, Bluetooth, GPRS m.m). Internettet kan anskues som en stor samling kabler (fysiske og virtuelle), der forbinder de forskellige internetudbydere. Virksomheder og privatpersoner er så forbundet til en eller flere af disse internetudbydere. Software som muliggør kommunikation Kommunikationen mellem to computere muliggøres af en masse forskellig software, der kører på alle de fysiske enheder, som udgør kommunikationskanalen. Softwaren kan være af mange forskellige typer og er i mange tilfælde afhængig af det apparatur, man har opsat i virksomheden. Vi kalder sådant software for proprietært. Proprietært software kan kun anvendes imellem identiske enheder fra samme fabrikant. Andet software er standardiseret gennem internationale organer som IEEE (Institute of Electrical and Electronics Engineers), W3C (World Wide Web Consortium), IETF (Internet Engineering Task Force), ICANN (Internet Corporation of Assigned Names and Numbers) m.v. Vi kalder dette software for åbent, idet det anvender åbne standarder. Denne type software kan anvendes mellem forskellige enheder af varierende fabrikat. Den afgjort vigtigste type software er det, vi kalder protokollerne. Protokollerne har til formål at sikre, at de data, som man ønsker kommunikeret mellem to applikationer, kan sendes gennem de forskellige appa-rater. Protokollerne har hver deres servicemodel, som er bestemmende for, hvordan de lever op til deres formål. Disse inkluderer elementer som error control, flow control, multiplexing og demultiplexing samt connection setup. Vi vil se på nogle af disse services senere i bogen. Protokollerne En protokol kan defineres som et internationalt anerkendt format til transmission af data mellem to en-

13 13 heder. Når man afsender data, sker det ved at nedbryde informationerne i små pakker, som løber gennem kablerne eller transmitteres i luften via radiobølger. Når data modtages, skal det sikres, at alle pakkerne er modtaget, og at de er samlet rigtigt. Protokoller sikrer bl.a., hvilken fejlkorrektion der sker i løbet af transmissionen, hvilken kompression der anvendes, hvordan den afsendende enhed viser, at den har afsluttet transmissionen af data, og hvordan den modtagende enhed indikerer, at den har modtaget data. Der er mange forskellige typer af protokoller, der hver især har deres fordele og ulemper, hvorfor de typisk har hvert deres anvendelsesområde. De kan eksempelvis være simple, stabile eller hurtige, og disse ting foretager den enkelte programmør så en afvejning af, når der skal vælges en protokol. Ud fra et brugersynspunkt er det udelukkende afgørende, at man har de rigtige protokoller installeret på sin computer til at foretage netop de typer af kommunikation, som man ønsker. Som nævnt findes der nærmest uendeligt mange forskellige protokoller, og vi kan ikke gennemgå dem alle. I stedet vil vi se på de hyppigst anvendte protokoller og deres formål. Når data skal afsendes i et netværk, opdeles de i mindre stykker. Hvis man f.eks. skal hente en hjemmeside, henter man ikke hele siden på én gang. I stedet opdeles siden af afsenderen i små stykker kaldet pakker. Pakkerne modtages så af klienten og sættes sammen igen, således at siden kan vises i sin helhed. Dette sker for at sikre den mest effektive transport af siden. Noget tilsvarende sker, når man sender eller modtager en mail og ved alle andre former for kommunikation over net. Kun hvis datamængden er så lille, at den kan være i én pakke, sker der ikke en opdeling. Hvis en hjemmeside i øvrigt har billeder eller andet multimedie tilknyttet (f.eks. lyd), er hver af disse dele gemt i hver sin fil kaldet objekter. Objekterne opdeles hver for sig i pakker. Protokollerne har til formål at opdele data i pakker og sende dem videre. I praksis ligger der en række protokoller oven på hinanden i en stak. Vi kalder dette for protokolstakken eller blot stakken 1. NETTETS INFRASTRUKTUR

14 14 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Der er følgende lag 2 : Lag Eksempel på protokol Pakkens type Applikationslag HTTP, SMTP, FTP Message Transportlag TCP, UDP Segment Netværkslag IP Datagram Linklag Fysisk lag Pakkerne kaldes noget forskelligt afhængig af, hvilket lag de befinder sig på. Formålet med dette er, at vi kan sondre mellem hvilken type pakke, der er tale om. Vi vil bruge pakkernes navne gennem resten af dette hæfte. Lagene har hvert deres navn. Applikationslaget er f.eks. det lag, som er synligt for brugeren. På dette lag kalder brugeren protokollen direkte. F.eks. kalder brugeren http-protokollen, når der bedes om at få vist en hjemmeside. Tilsvarende kalder brugeren f.eks. SMTP-protokollen, når han beder om at afsende en mail. Andre applikationer kalder andre protokoller, når der skal kommunikeres. I applikationslaget er den mest kendte protokol nok http, der står for hyper text transfer protocol, som bruges til at kalde dokumenter af typen hyper text markup language (HTML) m.fl. Desuden simple mail transfer protocol, SMTP, som bruges til at overføre mail fra afsender til modtagers mailserver og file transfer protocol, FTP, som bruges til at sende data mellem FTP-servere og klienter 3. Frame 1. level PDU (protocol data unit) Når en applikation startes op, startes en proces på computeren. I virkeligheden er det disse processer, som kommunikerer, og ikke selve applikationerne. Applikationen vil ved opstart igangsætte en proces. Denne proces laver så en socket (også kaldet API, Application Programmers Interface), der er en slags dør ind til processen. Formålet er, at processen via døren kan lytte, om der er nogen, som vil i kontakt med den om der er nogen, der banker på døren. På den måde lytter processen på en bestemt port. På en webserver lytter processen f.eks. på port 80 for at se, om der er nogen, der banker på med et ønske om at få en hjemmeside vist. Døren har også til formål at sikre, at processen (og dermed applikationen) kan kommunikere med transportlaget, som er det lag, der ligger lige under applikationslaget. Transportlaget har til formål at sikre kommunikation mellem processerne på de forskellige hosts. Når en message modtages gennem en socket fra applikationslaget tilføjes en header, der bl.a. indeholder

15 15 kilde- og destinations portnummer. Disse bruges til at sikre, at det er de rette processer på server og klient, der taler sammen. Skabelsen af segmenter og afsendelse til netværkslaget kaldes multiplexing, og modtagelse fra netværkslaget plus levering til den rette socket kaldes demultiplexing. De vigtigste protokoller på transportlaget er TCP og UDP. UDP vil ikke blive gennemgået i noget væsentligt omfang her. TCP tilbyder foruden levering fra socket til socket også en række services. De vigtigste er Reliable Data Transfer (RDT), Flow Control og Congestion Control. RDT har til formål at sikre, at data, der ved afsendelse omsættes til 0 er og 1 taller, ikke vendes om (0 bliver til 1 og omvendt), mistes eller leveres i en anden rækkefølge end den, i hvilken de blev sendt. For at forstå hvordan RDT sikres i TCP må vi se på et billede af, hvad det er TCP laver: TCP modtager fra den afsendende applikation i ovenstående figur pakker på højre side. I den buffer, som TCP har til rådighed for afsendelsen af pakker, er der kun plads til de to midterste grupper idet vi siger, at TCP har et vindue af størrelsen N. TCP laver altså pakker og sender dem af sted. Når en pakke ryger ud af vinduet til venstre, er der plads til en ny pakke til højre. Den gruppe pakker, som er sendt af sted, udgøres af de to grupper til venstre i figuren. Når klienten modtager pakkerne, returnerer den en pakke (en acknowledgement, ACK), som bekræftelse på, at den har modtaget en pakke med data. TCP på klienten vil efter at have modtaget et ACK smide denne pakke væk fra sin buffer. Når en pakke smides væk, bliver der automatisk plads til en ny, som modtages fra applikationslaget. På den måde glider TCP s vindue mod højre, efterhånden som flere og flere pakker modtages af klienten. NETTETS INFRASTRUKTUR Har modtaget ACK Afsendt, men ikke ACK et Anvendelige, men endnu ikke afsendt Ikke anvendelige Window med størrelsen N, der glider mod højre Transportlagets TCP-protokol modtager en række messages fra applikationslaget, som det skal lave til segmenter og sende videre til netværkslaget og samtidig vil TCP sikre RDT. Det sker ved, at TCP er en såkaldt sliding window protocol. Flow control er også en funktionalitet, som sikrer, at data kommer frem på en effektiv måde, når de transporteres med TCP. Når forbindelsen mellem klient og server etableres, afsætter begge sider af forbindelsen buffere til at modtage

16 16 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING data. Hvis der kommer for mange data til disse buffere, vil de blive overfyldte med TCP-segmenter, og dermed tabes pakker. Flow control har til formål at sikre, at afsenderen ved, hvor megen plads der er ledig i bufferen, således at der ikke laves overflow i modtagerens buffer. I praksis får afsenderen denne information ved, at modtageren hver gang den kvitterer for en modtaget pakke (sender et ACK) fortæller hvor meget ledig plads, der findes i bufferen. På denne baggrund vil afsenderen ikke sende flere data, end modtageren kan nå at læse. Congestion Control sikrer, at der ikke sker overflow i de buffere, som routerne har på deres links. En router kan modtage pakker fra mange forskellige kilder og skal også videresende dem til mange forskellige modtagere. Til dette formål findes der en buffer på hvert link, som routeren har. Hvis dette link bliver overbelastet, smider routeren de pakker væk, som ikke kan være i bufferen. Dette finder afsenderens TCP ud af, fordi den ikke modtager et ACK for de afsendte pakker indenfor for et givent tidsinterval eller modtager tre ACK for en tidligere afsendt pakke 4. Hvis en af disse ting sker, vil afsenderen gætte på, at en router er overbelastet og derfor vil den sænke hastigheden, hvormed den afsender pakker. Netværkslaget har til formål at sikre kommunikation mellem de forskellige enheder på nettet. Dette sker ved, at segmenter modtages fra transportlaget og tilføjes en header, der blandt andet indeholder kilde- og destinations IP-adressen. IP-protokollen specificerer, hvordan pakkerne skal se ud, men den flytter ikke selve pakkerne. Netværkslaget er implementeret i alle routere, og det er routerne, som via deres routningstabeller sikrer, at datagrammerne kommer i den rigtige retning på vejen fra afsender til modtager. Routningstabellerne opdateres ved hjælp af forskellige routningsprotokoller, der igen er baseret på forskellige routningsalgoritmer. Det er disse routningsprotokoller, som flytter pakkerne de mest kendte er nok RIP, OSPF og BGP. Vi vil vende tilbage til routerne senere i denne bog. Den nuværende generation af IP-protokollen kaldes sommetider IPv4. En nyere version kaldet IPng (next generation) eller IPv6 er imidlertid under udvikling med henblik på at sikre, at der også i fremtiden vil være tilstrækkeligt med IP-adresser i verden og samtidig afhjælpe en række problemer med IPv4, som efterhånden er ved at være en gammel protokol. Udviklingsarbejdet er placeret hos den ene af de to store internet standardiseringsorganisationer, Internet Engineering Task Force, IETF, (den anden er Word Wide Web Consortium, w3c, I TCP/IP netværk kan den nye protokoltype

17 17 implementeres, når der købes nye routere, som er udstyret med såvel en IPv4-adresse som en IPv6-adresse. Når der så skal kommunikeres over disse nye routere, sker der det, at et IPv6-datagram pakkes ind i et IPv4-datagram og sendes igennem en IPv4-tunnel mellem to IPv4 routere. Linklaget sørger for at transportere frames mellem to netværksenheder (noder). Det er linklaget, der f.eks. sørger for at flytte pakkerne mellem netværkskortet i en given computer og hen til ISP erens router. Linklaget er implementeret i alle netværkskomponenter. Transporten sker ved, at hver netværksenhed f.eks. repeater, hub, bridge, switch og router har en eller flere unikke fysiske adresser, som man kan transportere fra og til. I praksis foregår det ved, at hver node har en unik adresse, som kaldes LAN-, MAC- eller Ethernet-adressen. Adresserne på det lokale netværk holder hver node styr på gennem en ARP-tabel, som indeholder alle de IP- og MAC-adresser, som noden har kommunikeret med indenfor en given tidsenhed. Hvis en node skal kommunikere til en anden på samme netværk, slår den op i ARPtabellen og finder MAC-adressen på den node, den vil kommunikere med. Hvis adressen ikke findes, fordi noden ikke har kommunikeret med modtagernoden indenfor et givent tidsrum, sendes en bestemt ARP-pakke til alle noderne på netværket, og den rigtige node svarer så tilbage med MAC- og IP-adresse, mens alle de øvrige noder dropper pakken. MAC-adresserne betyder altså, at den afsendende node kan sende sin frame til netop den modtager, som den ønsker. Hvis noden skal kommunikere med en node på et andet netværk f.eks. over internettet sender noden sin pakke til routeren, som så sender pakken videre til det fremmede netværk. Det fysiske lag sørger for at flytte de enkelte bit i den pakke, der skal sendes. Hvordan det sker, og hvilke protokoller der anvendes, afhænger af, hvad det er for en forbindelse, der er mellem to hosts. F.eks. kan der være tale om twisted pair kobberkabel, coaxial kabel, fiber og radiobølger. Kommunikationen på den enkelte klient går altså hele vejen ned i gennem protokolstakken, inden pakkerne forlader computeren. Hver gang man går et lag ned i stakken, tilføjes pakken en header, der indeholder forskellige informationer, som protokollerne i de forskellige lag skal bruge for at sende pakken videre. Alle lagene i stakken er implementeret i computerne i begge ender. De apparater, som pakkerne møder undervejs på internettet, implementerer lagene nedefra i større eller mindre grad: F.eks. implementerer en bridge det fysiske lag og linklaget, mens en router foruden disse to lag også implementerer netværkslaget. Dette NETTETS INFRASTRUKTUR

18 18 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING er illustreret i ovenstående figur. Vi kan opsummere det hele således: > Applikationslaget sikrer, at applikationerne kan transportere data til hinanden over et netværk > Transportlaget sikrer, at kommunikationen kan ske mellem server- og klientproces (portnumre) > Netværkslaget sikrer, at data flyttes mellem hosts (IP-adresser) > Linklaget sikrer transport mellem noderne på vej mellem afsender og modtager (MAC-adresser) > Det fysiske lag transporterer de enkelte bit mellem to noder (protokol afhængig af forbindelse) Et eksempel at hente en hjemmeside Et godt eksempel på en praktisk anvendelse af den ovenfor skitserede model er at gennemgå, hvad der sker, når en bruger forsøger at hente en hjemmeside på internettet. Vi forestiller os simplificeret en situation, hvor en bruger er koblet direkte op til en ISP (og altså ikke sidder på et virksomhedsinternt netværk). Skridtene er som følger: 1. På en webserver et sted på nettet er der startet en proces op, som har til formål at lytte efter henvendelser om at få vist en side. Processen har initieret en socket, der lytter på port 80, hvortil henvendelser fra http-protokollen kommer. 2. En bruger starter sin brugerklient i form af en browser op. Herefter indtastes hjemmesideadressen på den side, som brugeren ønsker at se. Implicit betyder det, at applikationslaget fortæller transportlaget, at det vil lave

19 19 en forbindelse til en proces på en server. Applikationslaget informerer transportlaget ved at lave en ny socket med hostname og portnummer på den webserver, man vil besøge. Portnummeret bruges til at identificere processen på webserveren. Hostnamet oversættes til en IP-adresse ved opslag i DNS (Domain Name System, som gennemgås senere 5 ). Herefter laver transportlaget TCP-forbindelsen. 3. Når ønsket om at se en hjemmeside er sendt fra transportlaget, vil man, hvis der er installeret en cacheserver, først se, om hjemmesiden er lagret her (gennemgås senere). Hvis det ikke er tilfældet, fortsætter ønsket direkte til den pågældende webserver. Når klienten henvender sig til webserveren, laver serveren en connection socket, og kommunikationen sker så gennem klientens socket og webserverens connection socket. Forbindelsen mellem disse sockets bliver til i løbet af et såkaldt threeway handshake: a) Klienten sender en SYN-pakke for at fortælle serveren, at klienten ønsker at oprette en forbindelse til serveren, b) Serveren allokerer buffere til forbindelsen og returnerer derefter en ACK-pakke til klienten for at fortælle, at den er klar til at oprette forbindelsen og c) Herefter allokerer klienten selv buffere og sender en ACKpakke til serveren. Identifikationen af SYN og ACK pakker sker ved, at bestemte variable i transportlagets TCP-header får tildelt bestemt værdier. Forbindelsen er dermed etableret, og serveren kan begynde at sende data i form af de forskellige objekter på siden til klienten. Det, at forbindelsen sættes op ved hjælp af et three way handshake, betyder, at vi siger, at TCP er connection oriented. Den anden vigtige protokol til kommunikation over internettet er UDP, og i den sendes der bare data mellem klient og server, og afsenderen håber så på, at de kommer frem UDP er dermed connectionless 6. Det skal bemærkes, at forbindelsen mellem klient og server kan være persistent eller nonpersistent. Nonpersitent vil sige, at server eller klient kan lukke TCP-forbindelsen, hver gang et objekt er afsendt, og persistent betyder, at forbindelsen vedligeholdes, indtil samtlige objekter i en anmodning er afsendt. Desuden kan forbindelse ske med eller uden pipelining. Uden pipelining betyder, at klienten først kan ønske at få en ny pakke, når den foregående pakke er blevet anerkendt (ACK ed). Pipelining betyder, at klienten løbende kan anmode om nye pakker. Det skal desuden bemærkes, at vi ovenfor har ladet som om, pak- NETTETS INFRASTRUKTUR

20 20 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING kerne blev sendt direkte mellem de to TCP-forbindelser. I virkeligheden sker der det, at applikationslagets message sendes ned gennem klientens socket til transportlaget, hvor TCP laver et segment, der sendes ned til netværkslaget, hvor der laves et IP-datagram, der sendes ned til linklaget, hvor der laves en frame, der sendes ned på det fysiske lag, hvor der laves en 1. level PDU, som afsendes fra netværkskortet. På server siden glider pakkerne tilsvarende op gennem stakken. Net-terminologi Ordet net bruges i mange forskellige sammenhænge og net er i sandhed også mange forskellige ting og kan klassificeres på mange forskellige måder. Vi vil i denne sammenhæng lave en sondring mellem infrastrukturnet og service net. Ved infrastrukturnet forstår vi de net, som udgør selve grundlaget for kommunikationen. Det vil sige: > Virksomhedsinterne netværk (LAN, WAN, VPN, trådløse netværk og metropolitan area networks) > Accessnet > Transportnet Ved de service betonede net forstås de net, som har fået et navn, fordi de har et bestemt serviceformål, men disse net kører på infrastrukturnettene > Intranet > Ekstranet > Internet Sammenhængen mellem de forskellige net kan illustreres som i figuren nedenfor: Firewall

21 21 Det skal fremhæves, at der er mange forskellige måder at opbygge et net på, og at ovenstående blot er et eksempel på, hvordan det kan gøres. Infrastruktur net Infrastrukturnet kan lettest anskues som kabler eller radiobølger, der forbinder nettets forskellige computere. Typisk er der tale om et lokalt netværk inde i virksomheden, et accessnet mellem virksomheden og den nærmeste ISP/telefoncentral, samt et transportnet fra ISP og ud i resten af verden. Vi vil nu først se lidt mere på infrastruktur nettene. Virksomhedens net I virksomheden ligger et eller flere net, som forbinder de enkelte klient-pc er og eventuelle servere. Disse net er typisk af typen LAN, local area network. Nettene sikrer, at den enkelte medarbejder har adgang til eksempelvis printer, netværksdrev og databaser. Disse net bruges f.eks. til, at medarbejderne kan dele filer og information med hinanden, kan lægge filer på steder, hvor der kan tages tape-backup og kan adskilles fra personer, som ikke har brugernavn og password og dermed ikke kan få adgang til informationer på virksomhedens servere. Udgangspunktet er, at der i en virksomhed sidder en medarbejder og arbejder ved en klient-pc. Han har på virksomhedens eget net adgang til en række forskellige funktioner og services. Typisk skal han angive et brugernavn og password for at logge ind (hvilket f.eks. administreres af en server, der har status af at være Domain Controller). Herefter har han adgang til en række services som f.eks. en printer (der administreres af en printserver), et netværksdrev hvor han kan dele filer med sine kolleger (filserver), et mailprogram (der henter mails fra en mailserver), en internetforbindelse (der giver adgang til internettet), redigering af firmaets hjemmeside (som ligger på en webserver), adgang til et intranet med informationer om virksomheden NETTETS INFRASTRUKTUR

22 22 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING (på en intranetserver), oplysninger om kunder, leverandører og medarbejdere (i en database), oplysninger om firmaets økonomi (i et serverdrevet økonomisystem) og endelig afvikling af forskellige andre applikationer, som afvikles fra en server (f.eks. statistikprogrammer). Den enkelte medarbejder har typisk kun viden om, hvor de enkelte informationer og applikationer, som han skal bruge, ligger på den lokale PC, og hvordan han bruger dem. Alt, hvad der ligger nedenunder, betragtes som værende ligegyldigt for den enkelte. Det er noget, som IT-afdelingen tager sig af. Det samme gør sig gældende for virksomhedernes ledere. Men disse ledere er ansvarlige for at prioritere, hvad det er, virksomhedens IT-afdeling skal beskæftige sig med herunder i særdeleshed, hvilke forretningsmæssige krav der er til netværket, hvilke økonomiske rammer der kan stilles til rådighed for etablering og vedligeholdelse af netværket, samt hvilken prioritet sikringen af netværket og netværksforbindelserne skal have. Hver eneste af disse netværksfunktioner kan på den ene side effektivisere arbejdet, men udgør på den anden side en potentiel trussel mod virksomhedens sikkerhed. Uden at vide, hvilke net der bruges, udfører den enkelte medarbejder altså sit eget job ganske problemfrit. LAN er, som det næsten fremgår af navnet, et netværk med begrænset geografisk udstrækning typisk til en enkelt bygning. Netværket består principielt set af et kabel, hvortil de enkelte klienter og servere er forbundet. For enden af kablet kan der være en router, som giver LAN-et adgang til en ISP og dermed internettet. På kablet kan der også være monteret nogle Access Points, som bruges til trådløs opkobling til LANet. Der er mange måder at organisere sit netværk på, og vi har nedenfor gennemgået et par af disse. Måden som noderne er forbundet på og måden, hvormed de kommunikerer med hinanden, kaldes netværkets topologi.

23 23 Fiskenetstopologi Enhver node på netværket er forbundet med en masse andre noder evt. alle andre noder. Bustopologi Alle noderne er forbundet til et centralt kabel kaldet en bus eller et backbone. NETTETS INFRASTRUKTUR Backbone Stjernetopologi Noderne er forbundet til en central node f.eks. en hub eller en switch. Ringtopologi Enhver enhed er forbundet til netop de to enheder, som er nærmest.

24 24 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Trætopologi En kombination af stjerne- og bus topologi, hvor alle stjernerne er forbundet til en central bus. Når der er mange hosts på nettet, der typisk kommunikerer samtidig, er det vigtigt, at pakkerne ikke støder sammen på netværket for når det sker, bliver pakkerne (de elektriske impulser) viklet sammen og går tabt og skal derfor genfremsendes. Dette forhold styres af protokollerne i link-laget. LANet har en række forskellige mulige protokoller til at organisere dette. En type protokoller deler kablet op i mindre dele, og hver kommunikerende part får så sin egen del at kommunikere Backbone i. Opdelingen af kablet kan ske på baggrund af frekvens, tid eller ved at tildele pakkerne en bestemt kode, som er unik for hver node på netværket. En anden type protokoller er baseret på tilfældighed. Hvis en node opdager en kollision, venter den et tilfældigt tidsrum, inden den sender framen igen. Hvis alle noder gør dette, vil de forskellige frames

25 25 ikke blive afsendt samtidig, og de vil derfor med en vis sandsynlighed glide igennem. De mest kendte af denne type protokoller er ALOHA og CSMA/ CD protokollerne (Carrier Sensing Multiple Access / Collision Detection). Sidstnævnte implementerer den omtalte tilfældige forsinkelse i afsendelse. Men hertil kommer for det første, at protokollen lytter på netværket for at høre, om der er andre, der er i gang med at sende og for det andet, at hvis noden afsender, og der efter afsendelse alligevel viser sig at være andre pakker på netværket (f.eks. fordi to noder transmitterer pakker netop samtidig), vil noden, så snart den opdager dette, afbryde sin transmission. Ethernet, som er den mest anvendte protokol til LAN i dag, er af typen CSMA/CD. En tredje og sidste type protokoller er baseret på, at de forskellige hosts på skift får lov til at sende, hvis de har noget at sende. Dette kan organiseres enten ved, at en master node tildeler transmissiontilladelse til et givent antal frames, som noden må sende, inden den skal give retten videre til den næste node eller ved, at de forskellige hosts sender et token rundt imellem sig og kun kan sende frames så længe, de er i besiddelse af det pågældende token. Hvis der er brug for en udstrækning, som er større end en enkelt bygning, kan man evt. anvende et WAN, Wide Area Network. Et WAN består af to eller flere LAN. Hermed kan LANene godt være geografisk adskilt og være forbundet via offentlige forbindelser. Accessnet Når virksomhedens computere skal have adgang til deres omverden, foregår dette altid via access-nettet. Access-nettet er det infrastruktur net, der går fra den enkelte virksomhed til det nærmeste knudepunkt f.eks. en telefoncentral. Fra centralen fortsætter trafikken videre gennem transportnettet. Centralen kan betragtes som en telefondame, der ved at forbinde mange forskellige kabler muliggør, at trafikken kan kanaliseres den rigtige vej. Centralen er således et knudepunkt for mange forskellige kabler, hvoraf to h.h.v. er virksomhedens accessnet og transportnettet. Det skal bemærkes, at forbindelsen til den nærmeste telefoncentral i dag kun er en af flere mulige forbindelser ud af virksomheden eller hjemmet. Flere og flere hjem har fået installeret andre kabelforbindelser ud af huset f.eks. i forbindelse med modtagelse af fjernsynssignaler. Disse forbindelser kan også bruges til at få adgang til internettet. Transportnettet Transportnettet anvendes fra den lokale telefoncentral og frem til den fjerne telefoncentral, som fører ind til den server, hvorpå de infor- NETTETS INFRASTRUKTUR

26 26 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING mationer, man er ude efter, ligger. Afstanden mellem den fjerne central og den fjerne server kan igen betragtes som et accessnet. Transportnettet er det net, som binder knudepunkterne sammen, og det kan således betragtes som ét stort net. I daglig tale siger man dog, at der er flere transportnet nemlig et transportnet mellem hver central. Transportnettet i sin helhed er den kvantitativt største del af internettet og benævnes nogle gange med ordet backbone. Elektroner Bølger Kabler og radiobølger Der er en række forskellige typer af net, og disses funktionsmåde betyder meget lidt for brugerne. Vi kan sondre på flere forskellige måder bl.a. jordbaseret/luftbåret og elektroner/bølger og vi ser kun på de forbindelser, der er mulige i forbindelse med Ethernet. Dette giver os følgende muligheder: Jordbaseret 10Base2 coaxial kabel 10BaseT twisted pair kobber 10 BaseT twisted pair kobber Gigabit Ethernet som fiber (lysledere) Luftbårent (trådløs) Ikke muligt Radiobølger Hardware som udgør nettet En række forskellige hardwarekomponenter udgør tilsammen et infrastrukturnet. Mest indlysende findes der klienterne, serverne, kablerne og adapteren. Men desuden findes der repeatere, hubs, bridges, switches og routere. Servere og klienter har vi allerede gennemgået. Vi har også omtalt adapteren og klientens ARP-tabel, som er grundlaget for, at pakkerne kan komme fra klient til klient og fra klient til router på et LAN. Vi vil derfor nu se på kabler, repeatere, hubs, bridges, switches og routere. De fire jordbaserede muligheder er standardiseret af IEEE som De luftbårne net er standardiseret af IEEE som , hvoraf g er den mest udbredte. I tilfældet med kobberkabler fungerer transmissionen ved, at elektroner bevæger sig gennem kablet og qua deres bevægelse får pakken til at gå fra afsender til modtager. 10Base2 coaxialkabel betyder, at kablet kan overføre 10Mbps (10 Mega bit i sekundet). Kablet kan desuden række 185 meter, inden signalet bliver så svagt, at det må regnes for tabt. Teknologien bruges hyppigt i forbindelse med en bustopologi som vist i figuren næste side.

27 27 Terminator Tee connectors Terminator NETTETS INFRASTRUKTUR 10BaseT og 100BaseT kan transmittere henholdsvis 10 og 100 Mbps og er i dag de mest udbredte Ethernetteknologier. At de er twisted pair betyder, at de faktisk består af to kabler, hvor det ene bruges til at afsende, og det andet bruges til at modtage. Kablerne bruges typisk i en stjerne topologi, som det ses i nedenstående figur: Gigabit Ethernet kan transmittere data med 1000 Mbps og derover. I tilfældet med bølger, som vi kender fra lysledere og radiobølger, er situationen lidt mere kompliceret. En signalbølge bærer værdierne 0 (en negativ halvperiode) og 1 (en positiv halvperiode), og dermed transmitteres pakken som signalbølgetoppe og -dale. Når man Hub Router

28 28 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING får brug for at sende binære signaler, kan det være relevant at vende fasen 180 grader, således at man kan få flere 0 er eller 1 er umiddelbart efter hinanden. For at sikre, at bølgen kan adskille sig fra baggrundsstøjen og ikke i for høj grad bliver degraderet af modstand, rejser signalbølgen på en såkaldt bærebølge. Dette betyder, at man kan afsende et signal med mindre effekt end ellers krævet, og dermed kan transmissionen finde sted over større afstand og med større sikkerhed. I praksis foregår det således, at man afsender en signalbølge, der har fast frekvens (konstant antal bølgetoppe i sekundet og dermed konstant afstand mellem toppene). Det er denne frekvens, man taler om, når man eksempelvis skal indstille sine digitale radiokanaler. Oven i denne lejres signalbølgen. Måden, hvorpå dette sker, afhænger af hvilken kodning, der er brugt (frekvensmodulering, fasemodulering, amplitudemodulering eller kombinationer af fase- og amplitudemodulering (QPSK)), hvilken effekt eller frekvensbånd der er til rådighed, samt hvilken bitrate (hastighed) man ønsker at sende med. Afsender (transmitter) og modtager (receiver) skal være enige om en protokol og om et starttidspunkt for at skære bærebølgen af og dermed aflæse signalbølgen. de er placeret. Bølgerne sendes ikke i en bestemt retning, men udbredes symmetrisk fra det sted afsenderen befinder sig. Bølgerne har meget vanskeligt ved at rejse igennem forskellige materialer f.eks. vil et bjerg kunne hindre bølgernes udbredelse. Til gengæld kan bølgerne godt gå gennem husvægge m.v. At bølgerne kan afskæres af f.eks. et bjerg, er en meget væsentlig forskel fra de faste netværk, vi har gennemgået. Bølgerne dør også relativt hurtigt ud, således at signalet bliver for svagt til at kunne blive opfattet af modtageren. Endelig kan to klienter godt sende til en tredje klient, uden at signalet er stærkt nok til, at de to afsendende klienter kan mærke hinandens signaler jf. nedenstående figur: Disse forhold stiller nogle helt andre krav til de trådløse protokoller end protokollerne i de faste netværk. Radiobårne net er karakteriseret ved at sende bølger ud fra det sted,

29 29 Arkitekturen i et trådløst netværk er illustreret i nedenstående figur: NETTETS INFRASTRUKTUR Acces point Acces point Vi har et fast LAN netværk, hvortil der er forbundet to såkaldte access points. Disse bruges til at transmittere og modtage radiobølger fra de mobile stationer i området. Når flere access points er forbundet, kaldes det samlet set et distributionssystem. Som i et fast netværk skal der ske en koordination af den transmission, der sker fra klienterne til et access point således, at der ikke sker kollision. Dette foretages igen af LAN-protokollen (MAC-protokollen). Men hvor denne for faste netværk var af typen CSMA/CD, er den nu af typen CSMA/CA, hvor CA betyder collision avoidance. Klienten undersøger, om kanalen er optaget af at sende en anden frame. Det sker ved, at det fysiske lag måler energiniveauet på radiofrekvensen. Hvis der er ledigt, afsender klienten sine frames. Modtageren sender så ved modtagelsen en bekræftelse af, at den har modtaget den. Det sker, fordi afsenderen ikke selv kan føle, om framen er kommet korrekt frem. Man anvender derfor i stedet kollision avoidance, hvor afsenderen først sender en RTS-pakke (Request To Send), og herefter udsender modtageren en CTS-pakke (Clear To Send). Alle andre klienter, der hører denne

30 30 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING CTS pakke, vil så afholde sig fra at transmittere i det tidsrum, det er antaget, at forsendelsen finder sted. Som nævnt har vi kun omtalt Ethernet teknologier. Der findes flere andre trådløse standarder f.eks. Bluetooth men disse vil ikke blive gennemgået her. Apparater på netværket repeatere, hubs, bridges, switches og routere Mellem kablerne sidder en række forskellige apparater, som har til formål at sikre, at signalerne ikke bliver for svage og sendes den rigtige vej gennem kablerne. Repeater Repeatere har til formål at sikre, at signalerne i kablerne ikke bliver for svage. F.eks. kan 10Base2 coaxial kablet kun række 185 meter. Hvis der er behov for mere, kan man sætte en repeater ind, som genskaber signalet (bit for bit), forstærker signalets energi/styrke og sender det videre. Hvis der f.eks. ankommer en bit med værdien 0 genskabes 0 et med forøget energi, hvorefter den sendes videre. Repeaterens eneste formål er at forøge den mulige geografiske udbredelse af et netværk. Da repeateren kun har med bits (og altså ikke f.eks. frames) at gøre, siger vi, at den kun har det fysiske lag implementeret. Repeatere kan ikke forbinde forskellige teknologier d.v.s. at f.eks. 10baseT ikke kan forbindes til 100BaseT. Hub Et andet apparat, som er meget lig en repeater, er en hub. En hub genskaber også et signal, forstærker dets energi og sender det videre. Hubs har også kun implementeret det fysiske lag. Hubs kan lige som repeatere kun forbinde den samme teknologi d.v.s. at f.eks. 10baseT ikke kan forbindes til 100BaseT. Hubs kan imidlertid bruges til at opbygge netværk. En hub, som modtager et signal på et interface (hvor kablet sættes til), vil sende signalet videre til alle sine andre interfaces. Hermed modtager alle klienter, som er tilsluttet hubben, samme signal. De modtagere, som signalet ikke var bestemt for, vil smide det bort. I figuren næste side har vi en backbone hub, som forbinder tre andre hubs. Fordelen ved dette design er, at man kan segmentere sit netværk i flere dele. Hver del udgør sit eget kollisionsdomæne d.v.s. at den kollision af bits, der måtte finde sted, isoleres til den enkelte lavere stående hub. Hubs kan dog generelt ikke gøre noget ved kollisioner et helt netværkssegment kan altså blive ubrugeligt. Backbone hubben kan automatisk opdage en situation, hvor en af de andre hubs har en fejl, og vil så koble den fra. Ulem-pen ved dette design er, at hvis backbone hubben går i stykker, vil de tre lavere stående hubs være isolerede.

31 31 Hub Backbone hub Hub Hub NETTETS INFRASTRUKTUR Afdeling A Afdeling B Afdeling C Bridge Bridges adskiller sig fra repeatere og hubs ved, at de kan kombinere forskellige link teknologier (kabler) og ved, at de opererer på link laget og ikke kun det fysiske niveau. Det betyder, at de kan en lang række ekstra ting. Vigtigst er det, at bridgen kan filtrere pakkerne, og dermed kan man segmentere sit netværk i flere dele. Hver del udgør sit kollisionsdomæne d.v.s. at de kollisioner af pakker, der måtte finde sted, isoleres til den enkelte lavere stående hub. Bridgen kan automatisk opdage, hvis en af de lavere stående hubs har en fejl, og vil så koble den fra. Hvor hubs blot sendte indgående pakker videre på alle udgående links (kabler), studerer bridgen modtager informationen placeret på linklaget og sender kun pakken videre på det rette udgående link/interface. Dette kan bridgen gøre ved at vedligeholde og konsultere sin bridge table. Tabellen indeholder bl.a. nodernes LAN-adresse og det bridge interface, som fører til noderne. Det fungerer således, at når en bridge modtager en frame på et interface, undersøger den, om modtageren sidder på samme interface. Hvis det er tilfældet, droppes/ ignoreres pakken, fordi modtageren så allerede vil have modtaget den. Hvis modtageren befinder sig på et link bag et andet interface, videresender bridgen framen via det rette udgående interface. Afsendelsen er baseret på CSMA/CD, som vi gennemgik i forbindelse med netværksskort. Tabellen holdes ved lige på den måde, at hver gang en frame modtages, opdateres bridgetabellen. Hvis en modtager endnu ikke kan findes i bridge tabellen, registrerer bridgen afsenderen i tabellen og sender bridgen framen videre til alle udgående links. På den måde er en bridge selvlærende.

32 32 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Bridges kan anvendes i nedenstående topologi. I ovenstående tilfælde er der tale om et backbone. Et backbone er forbundet til alle LAN-segmenter. De figurer, vi har set på ovenfor, har alle organiseret netværket efter en hierarkisk topologi. Det kan være uhensigtsmæssigt, fordi kommunikation på netværket så er sårbar overfor, at en enkelt komponent fejler. Derfor kan det være relevant at lave en topologi som vist i figuren næste side. I dette tilfælde kan netværket fortsat fungere, selvom den ene bridge fejler. Imidlertid er der så den ulempe, at den samme frame kan blive sendt rundt i netværket uendeligt mange gange, og til sidst vil nettet bryde helt sammen. Bridgen bør derfor gøre anvendelse af en spanning tree protocol, der muliggør, at man kan anvende ovenstående topologi, uden at man risikerer cykler. Det sker ved, at bridgene temporært spærrer nogle af linierne (som angivet på figuren) og kun åbner dem, hvis der er behov for det.

33 33 NETTETS INFRASTRUKTUR Switch Switchen har i høj grad i vore dage overtaget bridgens rolle. Switchen kan helt det samme som bridgen og adskiller sig primært fra den ved at have væsentlig flere interfaces. Den er hurtigere, og der kan forbindes mange flere klienter direkte til den. Desuden kan switchen også køre i full duplex mode altså både sende og modtage frames på det samme interface på én gang. Det betyder, at når adapteren kan forbindes direkte til switchen, og der i twisted pair kablet er én forbindelse til afsendelse og én forbindelse til modtagelse, kan der ikke ske pakkekollision. Hermed behøver man ikke CSMA/CD-protokollen i netværkskortet, og transmissionen vil derfor ske hurtigere. Nedenfor findes en figur, der viser, hvordan klienterne forbindes direkte til switchen. En af de ting der også gør switches hurtigere, er det faktum, at de un-

34 34 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING derstøtter cut through switching. Det betyder, at hele pakken ikke behøver at ankomme til det indgående interface, inden starten af pakken bliver sendt af sted på det udgående link. Router Routere er den eneste af de komponenter, der sidder ude på netværket, som foruden at implementere det fysiske lag og linklaget også implementerer netværkslaget. Når de andre komponenter videresender pakker fra afsender til modtager, baserer de sig på pakkernes LANadresser. Når routerne derimod forwarder pakker, baserer de sig på pakkernes IP-adresser. Routerne kan dermed anvendes på internettet. Routerne forwarder på baggrund af deres routningstabeller, som dannes og vedligeholdes af en routing protokol. Routningstabellerne indeholder bl.a. oplysninger om, hvilke omkostninger der er på de forskellige links mellem to routere herunder opdaterer de løbende information om, hvor belastningen er størst (og dermed hvilke veje gennem nettet der skal udgås). Der er mange måder, dette kan ske på, afhængig af routerens protokol. Protokollerne kan klassificeres på tre måder, nemlig efter om de er: > globale, og dermed har global viden om netværket, eller er decentrale og dermed ikke har viden om omkostningerne på alle links > statiske, og dermed ændrer sig meget langsomt som regel efter menneskelig intervention eller om de er dynamiske og dermed ændrer sig automatisk i takt med trafik og topologi > load-sensitive, og dermed ændrer sig i takt med trafikken eller om de ikke ser på omkostningerne og dermed er load-insensitive De algoritmer, der ofte anvendes på internettet, er dels en dynamisk global link-state algoritme og dels en dynamisk decentraliseret distance vektor algoritme. Link-state algoritmen fungerer ved, at den enkelte router oplyser alle routere på netværket om sin identitet og link omkostninger til alle links, den selv har tilknyttet. På den måde kan hver eneste router hele tiden danne sig et perfekt billede af omkostningerne fra én router til en anden fjern router. Distance vector algoritmen fungerer ved, at hver router kun får omkostninger fortalt af de routere, der sidder i direkte forbindelse med den selv. Disse routere får så deres naboroutere til at angivere deres omkostninger o.s.v. Distance vector algoritmen er således langsommere til at opdatere sin routnings-tabel end link state algoritmen. Links state beregner også alene omkostningerne i sin egen routningstabel under distance vector kan en fejlagtig router sprede fejlen over hele netværket. Disse to algoritmer er typisk baggrunden

35 35 for de protokoller, som så foretager routningen på netværk. De mest kendte protokoller er nok Routing Information Protocol (RIP), Open Shortest Path First (OSPF) og Border Gateway Protocol (BGP), hvor det er sidstnævnte, der typisk anvendes på internettet i dag. Vi har sammenlignet de forskellige netværkskomponenter nedenfor. forbindelse med virksomhedens net det er altså hjemmesider, som ikke er en del af world wide web. Udvekslingen af de data, som hjemmesider udgør, sker under anvendelse at de samme protokoller, som vi gennemgik ved adgangen til en hjemmeside. Intranettet giver således en virksomhed mulighed for at dele information på en hjemmeside NETTETS INFRASTRUKTUR Repeater Hub Bridge Switch Router Isolerede kollisionsdomæner Nej Nej Ja Ja Ja Administration/konfiguration påkrævet Nej Nej Nej Nej Ja Optimal routning Nej Nej Nej Nej Ja Cut-through Ja Ja Nej Ja Nej Kombination af forskellige teknologier Nej Nej Ja Ja Ja Servicenet En række servicebetonede net kører på infrastruktur nettene. Det gælder f.eks. intranettet, som kører indenfor virksomheden, ekstranettet, som kører mellem virksomheden og en række dedikerede brugere, som f.eks. medarbejdere uden for huset, kunder, leverandører og endelig også internettet. Intranet Intranettet er service, som virksomhedens ansatte kan få adgang til, på virksomhedens eget net. Adgangen til denne service sker altså på det, vi har kaldt LAN ovenfor. Servicen består af en række hjemmesider, der kun er adgang til i med alle medarbejdere. Dele af intranettet kan lukkes af, således at informationerne kun er tilgængelige for bestemte grupper af medarbejdere eksempelvis i form af forskellige net for afdelinger eller filialer. Intranettet indeholder typisk informationer, der har til formål at sikre vidensdeling i form af beskrivelser af produkter, procedurer og kalendere. Intranettets informationer vil typisk være placeret på en eller flere centrale servere, som man kobler op til via sin browser. Serverne vil ligesom klient-maskinerne befinde sig bag virksomhedens firewalls og er derfor et vanskeligt tilgængeligt mål for ondsindet kode og hackere.

36 36 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Serveren behøver ikke at være dedikeret til denne service, og intranetservicen kan således udmærket køre på en af de andre servere. Der kan udmærket integreres databaser på intranettet. Ekstranet og andre lukkede net Ekstranettet kan forstås som den del af virksomhedens intranet, der er åben for autoriserede samarbejdspartnere placeret geografisk uden for virksomheden. Ekstranettet giver derved virksomhederne mulighed for at dele information om bl.a. bestilling af produkter, leveringstid m.v. med kunder. Ekstranet kan være flere forskellige ting. Typisk vil nettet bestå af en fast og lukket opkobling mellem to virksomheder eller to filialer af samme virksomhed. Ingen andre end de to virksomheder vil have adgang til denne linie, som således ikke er en del af internet. Adgangen mellem de to parter skal desuden autentificeres i form af brugernavn og password. Ekstranettet er beskyttet af både hardware og software og må betragtes som den mest sikre form for lukket net. Det er imidlertid også det dyreste fordi der mellem de parter, der vil kommunikere, skal trækkes et kabel, som er dedikeret til udveksling af informationer mellem disse. Dette kaldes en fast linie. Ekstranet kan dog også med en vagere definition forstås som et net, der på baggrund af forskellige sikkerhedsniveauer og forbindelseslinier giver adgang for eksterne parter til dele af virksomhedens informationer. Et eksempel på denne type net er de såkaldte VPN-opkoblinger (Virtual Private Network). VPN-opkoblinger er baseret på, at der når behovet opstår dannes et virtuelt privat netværk, hvori der foretages krypteret udveksling af informationer mellem to virksomheder eller to filialer. Men i modsætning til tilfældet med ekstranet går datatrafikken ikke gennem et dedikeret kabel. I stedet anvendes internet som transportvej. Dette foregår ved, at man via routerne åbner en krypteret tunnel henover transportnettet. Denne tunnel bruges udelukkende til trafik mellem de to virksomheder. Data er krypteret, så kun de to parter selv kan afkode de sendte data. Til krypteringen i VPN-netværk benyttes typisk IPSec protokollen (IP Security), der er en sikker overbygning på den traditionelle (og ikke sikre) IPprotokol. IPSec stiller udover den allerede nævnte kryptering også en række andre sikkerhedsfaciliteter til rådighed, herunder sikkerhed for at afsender virkelig er den han giver sig ud for at være, samt sikkerhed for at data hverken er blevet læst eller ændret undervejs til modtageren. Udvekslingen af kommunikation fungerer, som det er illustreret i figuren næste side:

37 37 NETTETS INFRASTRUKTUR Virksomhed 1 og virksomhed 2 har indgået en aftale om at udveksle bestemte typer af informationer med hinanden. De laver derfor et net mellem hinanden. Men i stedet for at lægge et nyt kabel mellem virksomhederne bruges en bestemt andel af de eksisterende kabler. Nettet mellem de to virksomheder kan således bruges af andre virksomheder, når der ikke transmitteres mellem virksomhed 1 og 2. Dette gør løsningen billig. Samtidig er nettet lukket af hardware i form af en router i begge ender, således at ingen andre kan få adgang, mens der transmitteres. Deraf navnet Virtuelt Privat Netværk. Ideen med, at et netværk bruger et andet netværk, kaldes tunneling, fordi det er som om, der lægges en lukket tunnel ind i det første netværk. En anden type forbindelse, som også udnytter tunneling, er den såkaldte MPLS-opkobling. MPLS står for Multi Protocol Label Switching og er et initiativ under IETF ( der ved at integrere informationer fra transportlaget med informationer fra netværkslaget har til formål at simplificere og forbedre IP-udveksling. Dette sker ved, at ISP eren har bedre mulighed for at styre datastrømmene og basere dem på prioritets- og serviceprincipper. Pakker kommer ind på netværket via kantroutere (Label Edge Routers), som hver især indeholder information fra både routeren (routningstabeller), transportlaget og netværkslaget og får påsat et label, som identificerer pakken. På baggrund af disse informationer kan kantrouteren lave

38 38 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING en tunnel på internettet, som pakkerne transmitteres igennem. Hver udgående pakke får af en Label Switch Router påsat et label med den sti den skal følge (Label Switch Paths). Tunnelen er lukket på begge sider af en kantrouter. Internet Internet defineres i IT-Sikkerhedsrådets publikation IT-Sikkerhedsrådets udredning om Internet sårbarhed (p. 19) som et antal datanetværk, der er forbundet med fysiske og radiobølgebaserede netforbindelser, og som kommunikerer med hinanden ved hjælp af et fælles sprog for dataudveksling, de såkaldte Internet-protokoller, også kaldet TCP/IP-protokolsuiten.. Dette kan fortolkes således, at det er netværksforbindelserne mellem virksomhedernes netværk og andre, vi kalder internettet. Ideen bag internettet er, at der skal kunne udveksles data mellem computere, som er forbundet via net, uden at det på forhånd er bestemt, hvilken vej gennem nettet trafikken skal gå. Denne idé stammer fra den kolde krig, hvor det amerikanske forsvar vurderede, at der var behov for mange forskellige kommunikationslinier for datatrafik, således at trafikken ikke kunne lammes ved bombning af et eller få mål. Det betyder, at internettet er decentralt i sin struktur og derfor forholdsvis anarkistisk. Internettet er altså kun i sig selv et net. Men dette net kan anvendes til en lang række forskellige services herunder f.eks. e-business, digital forvaltning og e-læring. Begreber relateret til nettrafik Som supplement til de helt grundlæggende ting, der er gennemgået overfor, er der endnu nogle få funktioner på nettet, vi ikke har berørt. ISP En ISP er det firma, som sørger for, at en virksomhed eller en privat bruger kan få adgang til internettet. ISP står for Internet Service Provider eller på dansk: internetudbyder. Typisk ringer brugeren på en virksomhed via sit lokale modem op til sin ISP. Her gennemløber man først access-nettet og når så knudepunktet, der dirigerer opkaldet videre til virksomhedens ISP. Knudepunktet kan evt. være ejet af virksomhedens ISP. Når man så er i kontakt med sin ISP, kan man indtaste en hjemmeside adresse, og så hentes hjemmesiden ned som skitseret ovenfor. Blandt de danske ISP ere kan nævnes TDC, Get2net, Cybercity, Tiscali, Telia, STOFA, flere elselskaber og DSB. De fleste internetudbydere har deres eget transportnet, som består af egne kabler. Men hertil kommer, at der findes internetudbydere, som lejer transportnet af andre udbydere. F.eks. er mange boligforeninger internetudbydere, men de lejer nettet hos andre udbydere.

39 39 ISP ere cacher ofte trafikken, hvilket betyder, at de midlertidigt gemmer data hentet for én bruger i håbet om, at andre brugere vil hente de samme data. Fordelen ved dette er, at trafikken reduceres, og det betyder dels, at brugerne oplever at nettet bliver hurtigere og dels, at der spares på anvendelsen af de noget dyrere forbindelser til udlandet. Med udbredelsen af dynamiske web-sider er denne besparelse dog ikke så stor som tidligere. IX IX står for Internet exchange og er det sammenkoblingspunkt, hvor flere transportnet mødes. På hjemmesiden kan man se, hvor mange og hvilke ISP ere der har koblet deres transportnet på den danske udgave af IX en, DIX. Private virksomheder kan også blive koblet på i det omfang, de er villige til at betale. Der er typisk én IX pr. land, men enkelte større lande har flere. DIX drives af den statsejede ISP, UNI-C, der har til formål at implementere undervisningsministeriets IT-politiske målsætninger og fremstå som uddannelses- og forskningssektorens IT-spydsspidsorganisation 7. Det skal fremhæves, at DIX ens udlandsforbindelse kun anvendes til at udveksle trafik til og fra de offentlige Forsker- (højere læreanstalter og andre forskningsinstitutioner) og Sektornet (øvrige uddannelsesinstitutioner o.a.). Offentlige og private virksomheders samt privatpersoners trafik foregår via de respektive ISP eres udlandsforbindelser (egne kabler eller peerto-peer forbindelser) eller ved, at en ISP har indgået en aftale med en anden ISP om, at denne varetager udlandstrafikken. Det betyder, at ISP ernes egne net knyttes direkte sammen. For at sikre at en virksomhed kan komme på nettet, kan den lave aftaler med flere ISP er. Hvis den ene så skulle gå ned, virker den anden fortsat, og herved undgås det såkaldte Single Point of Failure problem. I større perspektiv betyder det, at nettet kun er begrænset sårbart, hvis DIX eller en større danske ISP ere går ned. Gennem bilaterale aftaler kan der være oprettet peer-to-peer forbindelse imellem de enkelte trans- NETTETS INFRASTRUKTUR

40 40 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING portnet eller via såkaldte transitnet frem til det modtagende transportnet. Trafik mellem to ISP ere skal således ikke runde DIX en. DNS, IP-adressering og routing Hver computer er i besiddelse af et IP-nummer, og det er ved hjælp af disse numre, at to computere på nettet kan finde hinanden. IP-numrene (IPv4) består af fire grupper af tal adskilt fra hinanden med et punktum. Hver gruppe indeholder maksimalt tre tal. Et eksempel er Disse tal er imidlertid vanskelige at huske, hvorfor man har givet numrene en navneoverbygning. Denne navneoverbygning hedder Domain Name System (DNS), og den anvendes til navngivning af computere (f.eks. webservere) og routning af . Med DNS får hver computer altså både et IP-nummer og et DNS-navn. Forbindelsen mellem nummer og navn varetages af internettets navneservere, der er selvstændige maskiner, som rummer et kartotek over DNS-navne med tilhørende IP-numre. Eksempelvis vil navneserveren oversætte til DNS håndteres af flere forskellige typer servere: > De lokale navneservere, der enten står hos den enkelte virksomhed eller hos virksomhedens ISP > Rod navne serverne, der er placeret ca. et dusin steder i verden > Autoritative navne servere, som er en navneserver, der altid kan oversætte en hosts hostnavn til dens IP-adresse. Disse servere står typisk hos virksomhedens ISP Når man slår en computers navn op i DNS, kan der ske tre ting. Det mest simple tilfælde er, at den lokale DNS server kan oversætte navnet til IP-adressen på baggrund af sin egen lokale DNS database. Hvis den lokale DNS server ikke kan klare opgaven, kan den få adressen på to måder. I det ene tilfælde spørger den lokale DNS server en rodserver. Hvis rodserveren ikke kan give svar, kender den i hvert fald vejen til en mellemliggende DNS server, som kan bede den autoritative server om at oversætte hostname til IP-adresse. Rodserveren kan enten selv indhente svaret og sende det til den lokale DNS server eller den kan give den lokale DNS server navnet på den mellemliggende DNS server, og så kan den lokale DNS server selv indhente svaret herfra. De to muligheder er skitseret nedenfor. Rodserveren giver altså aldrig selv et direkte svar tilbage, men peger på en mellemliggende server f.eks. en server der er ansvarlig for et top level domæne (.com,.biz eller lignende).

41 41 NETTETS INFRASTRUKTUR Håndtering af navne, domæner og IP-adresser Enhver computer på nettet skal som nævnt have en IP-adresse. ISPerne har derfor fået tildelt en række IP-numre, og når en computer kontakter sin ISP, vil ISP en tildele den konkrete computer et IP-nummer. Nogle computere (typisk web- og mailservere) vil dog altid have en eller flere egne faste IP-adresser. Navnene er inddelt i forskellige dele. Eksempelvis er sammensat af www, som er et hostnavn og di.dk, som er et domænenavn..dk er et såkaldt top level domæne, og disse findes dels som geografisk betingede med ét for hvert land (country code, cctld) og dels som fagligt fordelte (generiske, gtld) på bl. a. forretninger/ virksomheder (.com) og organisationer (.org). I nogle lande har man foretaget en underopdeling af det geografiske topdomæne. Eksempelvis er co.uk britiske firmaer og org.uk britiske organisationer. I Danmark har man ikke foretaget en sådan opdeling. Det betyder, at virksomheden typisk vil kunne erhverve sig hjemmesideadressen, virksomhedsnavn.dk. Hvis man i stedet vil have navnet virksomhedsnavn.com, kan ISP en undersøge, om det er muligt at erhverve sig dette navn. TLD erne administreres af den amerikanske virksomhed, The Internet Corporation for Assigned Names and Numbers, ICANN, Denne orga-

42 42 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING nisation tager sig af koordinationen af protokol parametre, styringen af domæne navne- og rodserversystemerne og fordeling af IP adresser. Organisationen støttes af tre hjælpeorganisationer, som giver specifik teknisk vejledning indenfor hver deres fagområde. I praksis er allokeringen af IP-adresser organiseret ved, at den lokale ISP kontakter en national organisation (i Danmark DK-Hostmaster, hvis der er tale om registrering af et cctld, som så kontakter en af de tre regionale organisationer, der tager sig af IPadresseallokering. ISPén kan, hvis der er tale om et gtld, selv kontakte de regionale organisationer. Det er for Amerika, American Registry for Internet Numbers (ARIN), for Asien, Asia-Pacific Network Information Center (APNIC) og for Europa, Réseaux IP Européens (RIPE NCC). Disse organisationer melder så deres registreringer tilbage til Internet Assigned Numbers Authority (IANA), der tidligere varetog alle de områder, som ICANN nu sidder med. IANA er nu den organisation, der på en lang række områder udfører de praktiske beslutninger, som ICANN tager. I det omfang der opstår tvister i forbindelse med allokering af navne fra DK-Hostmaster, afgøres disse af Dansk Internet Forum (DIFO), som er en forening, der er er stiftet af bl.a. DI, og som 100 pct. ejer DK-Hostmaster. DIFOs bestyrelse udpeges af Forskningsministeren, og det skal tilstræbes, at private brugere, erhvervslivet og internetbranchen er ligeligt repræsenteret. For den enkelte virksomhed er det imidlertid kun vigtigt at vide, at det er ISP en, som tager sig af denne registrering af IP-adresser. Tidsstyring Styringen af DNS, routerne og andre internet-services er afhængig af tiden, idet tiden er afgørende for, hvordan en service fungerer og/eller, hvordan data behandles. Dermed bliver ekstern påvirkning af ure i hosts et middel til at påvirke driftsstabiliteten af routere og navneservere. Tiden får desuden i stigende grad betydning, fordi korrekte tidsangivelser kan være afgørende for efterforskning af datakriminalitet eksempelvis i forbindelse med gennemgang af log-filer. I forbindelse med kryptering af data (IPSec) er det ligeledes meget vigtigt, at der er styr på tiden. Hvis en pakke modtages, inden den er afsendt (hvilket kan ske, hvis modtagerens ur er bagud i forhold til afsenderens ur), vil modtageren ikke kunne afkode de krypterede pakker. For at råde bod på disse problemer benyttes tidssynkronisering mellem hosts. Dette kan enten ske ved at udnævne en bestemt host til at være primær tidsserver eller ved at bruge tidsservere, som er tilgængelige over internettet. Kommuni-

43 43 kation med disse tidsservere over internettet sker via Network Time Protocol, som er en overbygning på TCP/IP-protocollen. Gratis tidsservere, der kan kontaktes via internettet, udbydes bl.a. via University of Michigan, og de nærmere tekniske detaljer kan findes på adressen: services/ntp.html. Web cache En webcache også kaldet en proxy server er en netværksenhed, der kan besvare ønsker om at se en hjemmeside på vegne af den server, som den ønskede side ligger på. Webcachen virker dermed som mellemmand for virksomhedens computere ud mod internettet. Fordelen ved dette er, at den server, som måske er den egentlige vært for siden, er placeret på den anden side af jorden, mens cache serveren typisk står i virksomheden eller hos ISP en. Webcaches anvendes fordi: > Det kan reducere svartiden på at hente en hjemmeside betydeligt, fordi den skal transporteres kortere > Trafikken på internettet reduceres betydeligt > Trafikken på meget eftertragtede hjemmesider reduceres betydeligt, således at den institution, der udbyder hjemmesiden, ikke skal opgradere servere og båndbredde for at følge med efterspørgslen > De lægger sig imellem en klient og en webserver således, at disse ikke kommunikerer direkte med hinanden og dermed forbedrer sikkerheden på det interne netværk. I denne betydning anvendes proxy serveren som en firewall, hvad der bliver set mere på nedenfor. En webcache fungerer på følgende måde: 1. Klientens browser er konfigureret således, at når brugeren beder om at etablere en TCPforbindelse til en hjemmeside, laves der i virkeligheden først en forbindelse til webcache med henblik på at finde ud af, om siden er lagret her 2. Webcachen undersøger, om den har lagret en kopi af hjemmesiden. I bekræftende fald returneres denne til browseren 3. Hvis webcachen ikke har det pågældende objekt lagret, laver webcachen en TCP forbindelse til den server, hvis hostadresse er angivet af browseren. Dette sker via et http ønske om at lave en TCP-forbindelse præcis som hvis det var en almindelig bruger, der fremsatte ønsket. Den webserver, som modtager ønsket, returnerer så objektet til webcachen idet det jo er den, som overfor webserveren har fremsat ønsket. 4. Når webcachen modtager objektet, gemmer det en kopi i sit eget NETTETS INFRASTRUKTUR

44 44 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING lager og forwarder desuden en kopi i en http meddelelse til den klientbrowser, der oprindeligt lavede TCP-forbindelsen til webcachen Gateway En gateway er en node på et netværk, der fungerer som indgangen til et andet netværk. En gateway er dermed mere en funktion af et stykke hardware, end det er et bestemt stykke hardware i sig selv. I de fleste virksomheder er det enten proxy-serveren eller firewallen, der fungerer som gateway. For en privat bruger er det ISP en, som udgør gatewayen. Det er gatewayen, som router trafikken fra en klient videre ud på f.eks. internettet. Hvor serveren og arbejdsstationen er hosts, gør dette sig ikke gældende for gatewayen. Gatewayen er associeret med både en router som via pakkernes headere og sin egen routningstabel bestemmer, hvor pakkerne sendes hen og en switch som angiver stien ind og ud af gatewayen. netværk f.eks. fra internettet. Udfordringen ved firewalls er at få tilpasset den rette sikkerhed dels uden at begrænse de interne brugere på netværket for meget og dels uden at få for høj grad af kompleksitet forbundet med at styre firewallen. Firewallen er kun til nytte, hvis man sikrer sig, at man har lukket Firewall Firewallen filtrerer trafikken mellem to netværk typisk et lokalt netværk og internettet og sikrer, at der kun kommer de pakker igennem de porte, som man på forhånd har besluttet sig at tillade 8. Firewallen er et af de vigtigste apparater til at sikre sig mod angreb fra personer udenfor virksomhedens

45 45 for al anden adgang end netop den, man har behov for. Det er derfor vigtigt at evaluere de forretningsmæssige behov for hvilke applikationer, der skal kunne kommunikere via internettet og dermed skal have en port stående åben i firewallen. Det er også vigtigt at vurdere, hvilke typer af pakker, man har brug for til en given kommunikation f.eks. TCP eller UDP. Når de beslutninger er taget, er det vigtigt, at firewallen konfigureres rigtigt således, at det også i praksis kun er de nødvendige porte, der står åbne. Denne opgave kan eventuelt outsources, hvis virksomheden ikke har personale med tilstrækkelig viden på dette punkt. Det er også vigtigt på længere sigt at undersøge, om de til enhver tid gældende regler fortsat gør sig gældende i praksis. I visse tilfælde vil en medarbejder ved at installere en applikation komme til at åbne et hul i virksomhedens forsvar udad til. Derfor bør der jævnligt foretages penetrationstest, som bl.a. bestemmer, om firewallen har de korrekte porte åbne og resten lukket. Firewallen må under alle omstændigheder selv være sikret, så hackere ikke kan få adgang til netværket ved at tage kontrol over firewallen. Det skal bemærkes, at firewallen er et apparat på netværket. Det er ikke en magisk ting, som løser alle sikkerhedsproblemer. Firewallen bruges til at lave restriktioner til netværket mod personer, der forsøger at trænge ind på det udefra. Den bruges ikke til at begrænse mulighederne for, at virksomhederne kan få virus ind på systemet via en diskette! Firewalls kan fås enten som hardware eller software. Hardwaremodellen er en boks, hvor firewallen sættes op lige efter den router, som router trafikken til virksomheden (typisk den sidste router hos ISP en og firewallen bliver derfor typisk det første apparat, en pakke møder på virksomhedens egen ITinfrastruktur). Firewallen kan dog også enten integreres med routeren eller med proxyserveren. Der er dermed tre typer hardware-firewalls. Den anden type er en personlig firewall, som er et stykke software, der installeres på den enkelte klient. Dette vil typisk være nyttigt for private brugere. Endelig er det muligt at få routet sin trafik igennem eksterne leverandørers firewall. Fordelen ved dette er, at trafikken overvåges løbende af personale med spidskompetencer indenfor netop at kunne afsløre, om en virksomhed er under angreb ude fra internettet. Vi vil sidst i denne publikation se lidt nærmere på outsourcing af IT-sikkerhedsløsninger. Firewalls kan også rubriceres efter, hvilken specifik funktionalitet de har. De forskellige typer firewalls fungerer nemlig på forskellig måde. Vi sondrer mellem fire typer, der dog ikke er sammenfaldende med, om der er tale om hard- eller softwarebaserede firewalls. NETTETS INFRASTRUKTUR

46 46 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Routere med elementer af firewallsikkerhed Routere har i stigende grad fået indbygget elementer af firewallsikkerhed men det er vigtigt at understrege, at der er stor forskel i funktionaliteten af de enkelte produkter, og man skal derfor før man køber en firewall eller en router gøre sig helt klart, hvilken funktionalitet apparaterne har. Det ene firewall-agtige element, routere ofte har, er Access Control Lists (ACL), som er lister over tilladte eller forbudte adresser baseret på deres oprindelse eller destination, som man kan kommunikere med. Det andet element er, at de interne IP-adresser på netværket ofte bliver gemt bag en enkelt fælles offentlig IP-adresse, som så er synlig for modtageren. Dette gør, at modtageren ikke kan få direkte at se, hvilken computer der har været afsender. Proxy server med firewallregler Når en klient beder om få vist en hjemmeside, vil den bede proxyserveren hente den for sig. Proxyserveren kan så på baggrund af de regler, som den skal efterleve, beslutte om den vil hente sidens indhold. Hvis indholdet hentes, pakkes det om, førend klienten modtager det. Det betyder, at klienten og webserveren aldrig taler direkte sammen, men i stedet taler gennem proxyserveren. Dette øger sikkerheden betydeligt, fordi webserveren ved meget lidt om klienten. Samtidig vil pakker, der bliver dømt ulovlige på grund af indhold eller ulovligt forsøg på adgang til proxyserveren, aldrig nå frem til klienten. Man kan også beskytte services på det interne netværk ved at sætte begrænsninger på de anvendelsesmuligheder og kommandoer, man kan give en applikation udefra. Denne kontrol sker på applikationsniveau, og derfor kaldes proxyserveren nogle gange en application level gateway.

47 47 Statisk pakke filtrering Firewallen kan på baggrund af en række regler filtrere på de enkelte pakker. Reglerne kan opstilles på baggrund af alle informationerne i pakkens header f.eks. modtager- og afsenderadresser, kilde- og destinationsporte og den anvendte protokoltype. Dette er vigtigt fordi, som vi har set ovenfor, vil en række applikationer lytte på bestemte porte for at høre, om der er nogle andre programmer, der vil kommunikere med dem. Hver gang man starter sådan en applikation med tilhørende proces op, risikerer man også at åbne en port ud til internettet. Firewallen kan sikre, at kun de porte, som man har et reelt (f.eks. forretningsmæssigt begrundet) behov for at bruge, står åbne. Statefull inspection En sidste måde, en firewall kan fungere på, er ved at sikre, at al ingående transmission af data er et svar på en henvendelse inde fra netværket. De individuelle forbindelser, der åbnes mellem en klient og en webserver (sessions), overvåges og tildeles deres egen port i firewallen, der bruges til den bestemte forbindelse, hvorefter den lukkes igen. Enhver pakke får kun lov til at passere igennem firewallen, hvis den er tilknyttet en bestemt forbindelse, der er initieret inde fra netværket. Dette er meget vigtigt, fordi et angreb udmærket kan startes ved, at en medarbejder har set sig sur på virksomheden eller ved, at en medarbejder i uvidenhed kommer til at dobbeltklikke på en vedhæftet fil i en mail og dermed starter et virusudbrud i virksomheden. Som det fremgår af ovenstående, virker firewallen både i forhold til ind- og udgående trafik. Man kan altså pålægge begrænsninger fra begge veje. Dette er nyttigt, hvis man skal undgå et angreb indefra netværket. I forbindelse med administration af firewallen er der to forhold, der er værd at nævne. Når firewallen skal installeres, er den ofte fra fabrikkens side blevet tildelt et standardpassword 9. Det er vigtigt at ændre dette password således, at en hacker fra internettet ikke kan tilegne sig kontrol med firewallen. Firewallen genererer en logfil, som viser hvilken trafik, der er løbet igennem den. Det er væsentligt at have faste rutiner for gennemgang af sådanne logfiler således, at det hurtigst muligt afsløres, om virksomheden er eller har været udsat for angreb. Der findes en række programmer, som kan gøre gennemgangen af logfilen lettere og evt. kombinere den med gennemgang af logfiler fra andre systemer. Det findes også programmer, som løbende overvåger log-filen, og gør opmærksom på det f.eks. via en mail eller en SMS hvis noget, der minder om et angreb, er ved at ske. NETTETS INFRASTRUKTUR

48 48 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Bokse Som det allerede er nævnt, er markedet for bokse med forskellig funktionalitet konvergeret betydeligt gennem de senere år. Dette er kombineret med, at man har set et betydeligt prisfald for disse produkter. Desuden er en række løsninger, som tidligere typisk var softwareløsninger, kommet ud at ligge på en selvstændig boks eller er blevet integreret i andre eksisterende bokse. Vi må forvente, at denne udvikling fortsætter således, at man på sigt vil kunne erhverve sig bokse, der kan fungere som både routere, firewalls og switches kombineret med, at de har spamfiltre, antivirus-, antispyware og intrusion detection software installeret 10. Det er meget vigtigt, at virksomhederne i stigende grad er opmærksomme på, præcis hvad det er, de køber, og tilegner sig viden om, hvordan det konfigureres, således at det: 1. virker efter hensigten, 2. er i overensstemmelse med virksomhedens forretning og 3. i overensstemmelse med virksomhedens sikkerhedskrav. og overvåges centralt. Tilsvarende afgiver mange af apparaterne rapporter om de ting, der sker på netværket. Disse rapporter kaldet logfiler kan typisk anvendes til at give alarmer til den systemansvarlige, hvis en given hændelse skulle indtræffe. Da disse forhold ikke direkte har noget at gøre med, hvordan nettet virker (når alt går som det skal), vil vi ikke gennemgå dem her. Blot skal det pointeres, at det er yderst nyttigt for virksomheden at styre så meget fra centralt hold som muligt, og at man på systematisk vis bør gennemgå de rapporter, der genereres fra apparaterne på netværket. Central styring Det skal bemærkes, at mange af de apparater, der findes på virksomhedens netværk, kan styres

49 49 Opbygning af netværk OPBYGNING AF NETVÆRK Vi vil nu beskrive fire typer netværk, som man kan implementere i sin virksomhed afhængig af, hvilken størrelse virksomheden har. Anbefalingerne er baserede på, at læseren har kendskab til den netværksterminologi, der er gennemgået ovenfor. Vi beskriver fire typer netværk alle med forbindelse til internet: 1. Det helt lille netværk > Lille produktionsvirksomhed > Enkelte funktionærer > Få arbejdsstationer > Netværket er seriel forbinding af maskiner eller et LAN baseret på en hub > Få computere med internetadgang og én ISP er > Én fysisk lokation 2. Det lidt større netværk > Medium produktionsvirksomhed > Nogle funktionærer > Nogle arbejdsstationer > LAN baseret på bridge eller switch > Servere: Domain controller, filserver, økonomistyring > Mail og internet outsourcet og én ISP er > Én lokation 3. Det store netværk > Stor produktionsvirksomhed > En del funktionærer > Udviklingsafdeling > En hel del arbejdsstationer > Segmenteret LAN baseret på switch > Servere: En række servere til forskellige formål herunder en til økonomistyring og en proxyserver > Mail, internet og ekstranet i DMZ og to ISP ere > Én lokation 4. Koncernløsningen > Stor produktionsvirksomhed > Mange funktionærer > Mange nationale og internationale afdelinger > Mange arbejdsstationer > WAN, central serverpark og decentrale servere > Trådløse netværk > Opkobling fra hjemmearbejdspladser (trade-off mellem familie og sikkerhed) > Opkobling fra rejsende medarbejdere > Anvendelse af gadgets og mobiltelefoner > Servere: mange med alle mulige tænkelige formål

50 50 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING > Monitorering af serverpark og produktionsudstyr via internettet > Mail og internet fra mange ISP ere i forskellige lande samt flere DMZ og DNS > Mange lokationer Man kan få god inspiration til at opbygge sin IT-infrastruktur ved at kigge på denne hjemmeside: child/1.0/wizard.asp?qid=1&langid =1&configid=43308&dmrid=1. Det helt lille netværk Det helt lille netværk består af disse komponenter: > Lille produktionsvirksomhed > Enkelte funktionærer > Få arbejdsstationer > Netværk er seriel forbinding af maskiner eller et LAN baseret på en hub > Få computere med internetadgang og én ISP er > Én fysisk lokation Et netværk af denne størrelse passer til en virksomhed, der har en direktør, to mellemledere og to sekretærer, der har hver deres computer. Desuden kan virksomheden bestå af en produktionsafdeling, der ikke har adgang til computerfaciliteter, men som udelukkende anvender maskiner til fremstilling af virksomhedens produkter. Internt i virksomheden skal de enkelte computere kunne kommunikere med hinanden. Dette sker ved, at hver computer har et netværkskort (en adapter), der er forbundet med de andre computere. En sådan forbindelse kan ske serielt, hvor netkortene forbindes direkte med hinanden. Mere hensigtsmæssigt er det at forbinde alle netkortene til en hub, fordi det går langt hurtigere og kræver færre netkort. Man kan også anvende en bridge eller en switch i stedet for en hub. Hubs udmærker sig ved at være meget billige. Hvis man regner med at udvide sit netværk inden for kortere tid, er det mest hensigtsmæssigt at købe en switch, fordi disse giver bedre driftsstabilitet og efterhånden også er blevet rimeligt billige. Bridges bruges i praksis stort set ikke mere netop fordi mange switches er blevet relativt billige og har bedre funktionalitet. For at forbinde virksomhedens netværk til internettet kræves der et modem for at få adgang til at kunne sende datatrafik igennem telefonstikket. Imidlertid må det for selv små virksomheder anbefales at få en bredbåndsadgang og en router. Det er routeren, som sender datatrafik ind og ud af virksomheden fra og til internetudbyderen og videre ud på internettet. Typisk vil routeren kunne blive leveret fra internetudbyderen. For at beskytte virksomheden mod uautoriseret indtrængen ude fra internettet må det anbefales

51 51 OPBYGNING AF NETVÆRK at sætte en firewall op. Firewallen sikrer, at uvedkommende (eller vedkommende) ikke kan få adgang til virksomhedens data ude fra internettet. Dette sker ved at blokere for kommunikation på alle de porte (og dermed alle de programmer), som virksomheden ikke anvender i sin forretning. I det konkrete tilfælde bør der lukkes for alle andre porte end port 80, som anvendes til internettrafik, og port 25, som anvendes til . Eventuelt kan man også lade port 443, som anvendes til sikker internettrafik f.eks. netbank stå åben. Ovenstående virksomhed er meget lille i med, at den ikke har nogle egentlige servere. Det betyder f.eks., at virksomhedens økonomistyringssystemer kører på en enkelt PC (der jo så optræder som server). Det er ikke hensigtsmæssigt i større virksomheder, hvor flere personer skal have adgang til data. Det er heller ikke særlig sikkert, fordi den enkelte PC, der typisk bruges til mange forskellige ting, ofte har betydeligt lavere driftsstabilitet end en server. Vi vil derfor se på, hvad der kan anbefales for en lidt større virksomhed. Det lidt større netværk Det lidt større netværk antages at bestå af disse komponenter: > Medium produktionsvirksomhed > Nogle funktionærer > Nogle arbejdsstationer > LAN baseret på bridge eller switch > Servere: Domain controller, filserver, økonomistyring > Mail og internet outsourcet og én ISP er > Én lokation I den lidt større virksomhed antages det, at der er ti computere, der nu er forbundet i et internt netværk. Alle computerne antages at anvendes til administrative opgaver således, at der ikke er en orga-

52 52 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING nisatorisk grund til at segmentere i flere netværk. Vi antager desuden, at de administrative opgaver er så store, at det er hensigtsmæssigt at introducere flere servere. Domain controlleren bruges til at holde styr på, hvilke brugere der er på systemet, hvornår de logger på, samt hvilke IP-adresser den enkelte computer får på netværket. Filserveren bruges til at lagre data, der er vigtige for virksomhedens drift. Dette kan f.eks. ske ved, at hver bruger får adgang til et bestemt netværksdrev, hvor alle kan dele data med hinanden. Hvad, der opleves som et fælles netværksdrev for brugerne, er oprettet som en fælles share på filserverens harddisk. Desuden sker det ved, at hver bruger får et personligt netværksdrev, der ligeledes er en share på filserveren. Fordelen ved at have en sådan central server til at lagre data er bl.a., at man let kan dele filer på denne måde og desuden, at der kan tages central backup af alle data, når de ligger på en central server. Endelig antager vi, at der en central server, som anvendes til økonomistyring. Fra de forskellige klienter kan data så lagres centralt på denne server, og der kan udtrækkes samlede resultater for virksomheden via denne centrale økonomistyringsserver. Internt i virksomheden skal computere og servere forbindes. Men grundet det større antal klienter og introduktionen af de tre servere må vi nu entydigt anbefale, at forbindelsen sker via en switch. Switchen er hurtigere, idet den kun sender pakker til den rette modtager, og idet den enkelte klient både kan afsende og modtage på samme tid.

53 53 Virksomhedens forbindelse ud på internettet kræver den samme netværkskonfiguration som tidligere, idet virksomheden fortsat ikke hoster nogle servere, der har med internetfunktionalitet at gøre f.eks. web-, mail, ftp- eller streamingserver. Derfor skal virksomheden blot have en router og en firewall for at få adgang til internettet. Ovenstående virksomhed er stadig ikke specielt stor. Vi vil derfor nu se, hvad der sker, hvis vi introducerer segmenter internt i virksomhedens netværk, lader virksomheden have transaktioner med omverdenen gennem et ekstranet og desuden lader den hoste sin egen mail-, web og proxyserver. Det store netværk > Stor produktionsvirksomhed > En del funktionærer > Udviklingsafdeling > En hel del arbejdsstationer > Segmenteret LAN baseret på switch > Servere: En række servere til forskellige formål herunder en til økonomistyring og en proxyserver > Mail, internet og ekstranet i DMZ + to ISP ere > Én lokation I en virksomhed der kan betegnes som stor, er det ofte nødvendigt at opdele netværket i flere segmenter. Dette kan f.eks. ske på en organisatorisk baggrund således, at de, der tilhører den samme funktion i organisationen, kommer på samme netværk. Selv om netværkene er segmenterede, kan der udmærket kommunikeres mellem dem. Segmenteringen sker for det første, fordi det er begrænset, hvor mange mennesker der effektivt kan være placeret på det samme netværk. For det andet fordi segmenteringen medfører opdeling i kollisionsdomæner, og dermed kan en del af netværket gå ned, uden at samtlige funktioner i virksomheden berøres heraf. Hvert segment kan have egne servere, og der kan desuden være adgang til servere placeret udenfor segmentet. Endelig for det tredje fordi det ofte kan være hensigtsmæssigt at adskille de computere, der skaber en masse netværkstrafik. Herved undgår virksomheden, at f.eks. regnskabsafdelingens svartider på netværket forøges i negativ grad, hvis udviklingsafdelingen er ved at overføre en stor mængde data imellem to servere. I dette tilfælde har virksomheden ikke kun én, men to ISP ere. Det kan være hensigtsmæssigt, hvis virksomheden er meget følsom i forhold til at have adgang til internet eller mail. Hvis den ene internetudbyder får tekniske vanskeligheder, går i betalingsstandsning eller hvis der opstår et kabelbrud, kan virksomheden fortsat få adgang til nettet ved at benytte den anden ISP er. OPBYGNING AF NETVÆRK

54 54 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Vi har også i den store virksomhed introduceret en proxyserver. Proxyserveren har til formål at lette klienternes adgang til internet ved at lagre hjemmesider, som hyppigt anvendes i virksomheden. Proxyserveren har også til formål at sikre, at de virksomhedsinterne IP-adresser ikke eksponeres uden for virksomheden. Hvis en klient f.eks. sender en anmodning om at få vist en hjemmeside, vil den anmode proxyserveren om at foretage anmodningen i forhold til webserveren. Webserveren ser så kun, at det er proxyserveren, der anmoder om at få vist hjemmesiden, og får aldrig direkte adgang til klienten. Proxyserveren kan så, inden den sender hjemmesiden videre til klienten, kontrollere hjemmesiden for, om den er i overensstemmelse med virksomhedens IT-sikkerhedspolitik. F.eks. kan proxyserveren konfigureres, så den ikke må vise sider, der indeholder streaming, og dermed kræver meget båndbredde. Den kan også konfigureres til ikke at vise hjemmesider, der indeholder porno. Endelig kan en række skadelige programmer sorteres fra via proxyserveren. Proxyserveren aflaster dermed firewallen på en række områder. Endelig har den store virksomhed også introduceret en demilitariseret zone (DMZ). Denne zone er introduceret, fordi virksomheden ikke længere har outsourcet sin hjemmeside og mailserver til en ekstern leverandør. I stedet har virksomheden nu taget disse serve-

55 55 re ind på sit eget netværk. Serverne er imidlertid afhængige af, at man kan kommunikere med dem ude fra internettet ved at sende mails til mailserveren og hente virksomhedens hjemmeside, der ligger på webserveren. Sådanne anmodninger, der kan komme fra personer, som er fuldstændig fremmede for virksomheden, bør kun ske til et segment af netværket, som er isoleret fra virksomhedens øvrige netværk. Virksomheden tillader derfor trafik af bestemte typer (http på port 80, og smtp på port 25) ind på dette afgrænsede segment. Men en person udefra må aldrig kunne få adgang til andre dele af netværket. Inde i virksomheden findes derfor andre servere, som kommunikerer med de servere, der står i DMZ. F.eks. står der inde i virksomheden en mailserver, som trækker de mails, der er skubbet til mailserveren i DMZ, til sig og lægger dem i den relevante postkasse. Klienterne kan derefter kigge i postkassen på den interne mailserver og få adgang til indholdet i de forskellige mails. På tilsvarende vis fungerer den ekstranetserver, der er placeret i DMZ en. Her logger en kunde ind på sin konto og afleverer en ordre. Indlogningen sker ved, at en server på et segment internt i virksomheden checker, om der er nogen, der vil logge ind. Herefter afleverer kunden sin ordre på ekstranetserveren i DMZ en, og virksomhedens økonomistyringsserver trækker den ind i virksomheden. Ekstranetserveren er en såkaldt front-endserver en server hvor data afleveres. Økonomistyringsserveren, som lagrer og bruger data, kaldes en back-end-server. Når virksomheden skal opdatere sin hjemmeside, sker dette typisk ved at opdatere en webserver, der står inde i virksomheden. Denne server skubber så informationerne ud til webserveren i DMZ en. Internt fra virksomheden kan man altså skubbe eller trække informationer ud til serverne i DMZ en. Ude fra internettet kan man kun skubbe eller trække en meget begrænset mængde informationer til serverne i DMZ en. Hvis det skønnes nødvendigt, kan hver enkelt server i DMZ en have sin egen firewall installeret. Det betyder, at man helt præcist kan definere hvilke informationer, der kan trækkes eller skubbes af hvem på et givent tidspunkt. Dette vil øge sikkerheden betydeligt. Vi kan opsummere dette til, at DMZ en i kombination med firewallen har følgende roller: > Ude fra internettet kan der foregå en stærkt begrænset kommunikation ind i DMZ en. Det er firewallen, som sætter begrænsningen. > Ude fra internettet kan der overhovedet ikke foregå nogle former for kommunikation med de øvrige segmenter af virksomhedens OPBYGNING AF NETVÆRK

56 56 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING interne netværk. Det er igen firewallen, der bestemmer dette. > Internt i virksomheden trækker de relevante servere informationer ind fra de relevante servere i DMZ en, der selv har fået informationerne skubbet til sig fra brugere på internettet. Vi har hermed identificeret fire niveauer af sikkerhed, som kan indbygges i virksomhedens netværk, i forhold til kommunikation med andre computere på internettet: > Routeren Routeren foretager den første, overordnede filtrering af data. Routerens aktiviteter er på ingen måde tilstrækkelige til, at man kan føle sig sikker med mindre routeren også har andre indbyggede funktionaliteter. > Firewallen Firewallen står for en betydelig filtrering af ind - og udgående pakker. Filtreringen er baseret på den politik, virksomheden har valgt, der skal gælde. > Firewalls i DMZ en Hver enkelt server i DMZ en kan have en personlig firewall, som yderligere specificerer præcis hvilken kommunikation, der kan ske med den pågældende server. > Proxyserveren Proxyserveren sørger for, at der ikke kan foregå direkte kommunikation mellem klienterne på det virksomhedsinterne netværk og servere på internettet. Vi vil nu udvide netværket med rejsende medarbejdere, afdelinger der fysisk er placeret på andre lokationer og trådløse netværk. Koncernløsningen > Stor produktionsvirksomhed > Mange funktionærer > Mange nationale og internationale afdelinger > Mange arbejdsstationer > WAN + central serverpark og decentrale servere > Trådløse netværk > Opkobling fra hjemmearbejdspladser (trade-off mellem familie og sikkerhed) > Opkobling fra rejsende medarbejdere > Anvendelse af gadgets og mobiltelefoner > Servere: mange med alle mulige tænkelige formål > Monitorering af serverpark og produktionsudstyr via internettet > Mail og internet fra mange ISP ere i forskellige lande, samt flere DMZ og DNS > Mange lokationer Vi ser nu på, hvordan en lille koncern kunne vælge at bygge sit netværk op. Den væsentlige organisatoriske forskel er, at virksomheden nu har to fysiske lokationer og desuden har medarbejdere, der rejser rundt i verden og dermed har behov for at koble sig op fra hoteller, internetcafeer eller hjemmet.

57 57 OPBYGNING AF NETVÆRK På den tekniske front har vi nu introduceret trådløse netværk, DNS, WAN og opkobling til virksomheden fra forskellige lokationer uden for virksomhedens fysiske udstrækning. Den væsentligste ændring er introduktion af et Wide Area Netværk (WAN). Dette netværk har til formål at binde virksomhedens to fysiske lokationer sammen. I det konkrete tilfælde består vores WAN af to LANs, men der kan sagtens være mange LANs. Når virksomheden skal etablere et sådant WAN, er der behov for tre ting: routere på kanten af alle involverede LAN s, forbindelser mellem disse routere og en sikkerhedsstrategi for WAN et.

58 58 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Vi har gennemgået routeres funktionalitet tidligere. En sammenbinding af LANs kan ske på følgende måder: Dedikeret forbindelse Den mest logisk simple mulighed er, at man trækker et kabel eller opsætter en satellit forbindelse mellem de to lokationer. Hvis der er lang afstand imellem disse lokationer, er det imidlertid en urealistisk dyr løsning, og man vil derfor stort set altid se sig nødsaget til at anvende eksisterende infrastruktur. Lejede linier Stort set al den infrastruktur, der er behov for, eksisterer i forvejen. Det er derfor en typisk anvendt mulighed at leje sig ind på denne eksisterende infrastruktur og betale for forbindelsen ud fra f.eks. den mængde af trafik, som to lokationer udveksler. Løsningen kaldes ofte en punkt-til-punkt forbindelse. I dette tilfælde lejer man typisk linien af sin ISP er og sikrer sig, at ISP eren har kontrakter med de øvrige ISP er, man har brug for på sin vej mellem de to lokationers routere. Det kan også være meget centralt at sikre, at der eksisterer en alternativ sti mellem de to systemer, hvis den ene sti skulle bryde ned. Offentlige netværk Anvendelse af offentlige netværk er den typiske måde, man i dag opsætter et WAN på. Fordelen ved denne metode er entydigt, at det er den billigste. Årsagen er, at virksomheden ikke lejer en fast forbindelse til sig selv alene. I stedet anvendes de netværk, som trafikken skal gennemløbe undervejs, til masser af anden trafik, og dermed kan der komme optimal udnyttelse af forbindelserne. En række forskellige teknologier kan anvendes til dette formål. Den første er såkaldte switched circuits, hvor routerne forbinder sig til og autentificerer hinanden, når de har behov. Herefter udveksles data, og forbindelsen lukkes igen. En anden løsning er packet switching (frame relay, ATM, MPLS, PPP m.fl.), hvor brugerne på nettet deler en fælles kommunikationsressource f.eks. et kabel. Dette sker typisk i forbindelse med den tredje løsningsmodel, hvor virksomheden opretter et virtual circuit mellem sine to lokationer. Der er her to muligheder: Enten et switched virtual circuit, hvor forbindelsen er dynamisk og baseret på behov eller et permanent virtual circuit, hvor forbindelsen mellem de to lokationer er oprettet permanent. Uanset hvilken løsning der vælges, får pakkerne en label på sig i headeren, der betyder, at de hører til en kommunikationsstrøm mellem to bestemte parter og ikke andre! Sikkerhedsstrategien for LAN et afhænger meget af den teknologiske løsning, der ligger i routere og de forbindelser, der er lavet mellem

59 59 OPBYGNING AF NETVÆRK disse. Ofte vil sikkerheden være hængt op på, at de to lokationers firewalls og routere kender hinandens IP-adresser og åbne porte og derfor ved præcist, hvem de må kommunikere med og dermed også implicit, at de ikke må kommunikere med nogen andre. Dette bør forstærkes med autentificering af brugerne i forhold til de to LANer. Desuden kan det yderligere sikres ved, at de to lokationer hver især kun må aflevere data på hertil specielt dedikerede servere i DMZ. Endelig kan man også oprette VPN forbindelser mellem de to LANer. Et andet element, som er inkluderet i koncernens infrastruktur, er, at medarbejderne har behov for at koble op fra mange forskellige lokationer i hjemmet eller fra hotelværelser med en dedikeret arbejds- PC. Dette vil typisk ske gennem en VPN (Virtual Private Network) forbindelse. I dette tilfælde skal der på forhånd være installeret en VPN-klient på medarbejderens PC. Firewallen vil så genkende den bærbare PC s indstillinger, og brugeren skal autentificere med brugernavn og password. Men det er vigtigt at understrege, at ingen af metoderne ATM, MPLS m.fl. gør kommunikationen sikker i betydningen af, at pakkerne ikke ændres (integritet), uautoriseret adgang til pakkerne (fortrolighed) eller identificerer parterne, der indgår i kommunikationen (autentifikation). Dette skal sikres med andre midler bl.a. kryptering. Rejsende medarbejdere kan også få behov for at koble op til virksomhedens netværk fra en fremmed computer ude i verden f.eks. fra en internet-café. Hvis der er behov for dette, kan virksomheden etablere en løsning, hvor medarbejderen får adgang virksomhedens netværk via en browser. Dette sker typisk ved, at medarbejderen på forhånd skal være givet: 1.) et brugernavn, 2.) et password og 3.) et token med en pinkode, der kan give et engangs-password. Medarbejderen vil så kontakte en front-end-webserver

60 60 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING i virksomhedens DMZ. Denne vil kommunikere med en intern server, der kan autentificere brugeren, som efter autentificering får adgang til alt, hvad brugernavnet normalt giver adgang til. Det er meget vigtigt, at virksomheden fastlægger præcise politikker for, hvornår noget sådant må ske, hvilke medarbejdere det må ske for og desuden, om medarbejderen skal have adgang til alle sædvanlige data fra denne type adgang. På koncernens eget net har vi desuden installeret en DNS-server og et trådløst netværk. DNS-serveren bruges til, at virksomheden selv kan foretage navneopslag og dermed gøre sig uafhængig af en ekstern leverandør. Desuden kan virksomheden også selv administrere sit eget domæne. I sidstnævnte tilfælde er det hensigtsmæssigt at sikre, at domænet er tilknyttet en IP-adresse på en back-up DNS-server, som er placeret på en lokation uden for virksomheden. Virksomhedens har desuden fået installeret et trådløst netværk (WLAN). I praksis er dette sket ved, at virksomheden har sat et access point på sit faste LAN. Trådløse enheder kan så kommunikere via dette access point. Hvis virksomheden ønsker at benytte en sådan service, skal den sikre, at punktet ikke er offentligt tilgængeligt der skal kun kunne opnås adgang, hvis man kan autentificere sin computer på virksomhedens netværk. Desuden bør virksomheden sikre, at den kommunikation, der sker via access pointet, er krypteret således, at den ikke kan opsnappes af uvedkommende. Rådet for IT-sikkerhed har skrevet en god pjece om Trådløse netværk, der kan hentes her: Mange af de løsninger, som virksomhederne kan vælge, kan det være meget vanskeligt at administrere på egen hånd. Der kan derfor være god grund til at se på de muligheder, man kan opnå ved at henvende sig til eksterne serviceleverandører.

61 61 Outsourcing OUTSOURCING Flere af de løsninger, der er skitseret i dette hæfte, kan outsources til eksterne leverandører i det omfang, det er i overensstemmelse med forretningens drift. Virksomheden bør overveje, om den med fordel bør koncentrere sig om sine faglige kompetencer og så outsource hele eller dele af driften af netværket eller IT-sikkerheden til en ekstern leverandør. Dette er af nogle blevet kaldt e-sourcing. Markedet Outsourcing er ikke noget, der er fremmed for danske virksomheder. Ifølge undersøgelsen: Globale muligheder og vækst, som ITEK og DI foretog i starten af 2004, har 68 pct. af alle virksomheder outsourcet. Stort set alle store virksomheder har outsourcet, og over halvdelen af de mindre og mellemstore virksomheder har også outsourcet. Det er fortrinsvis produktion, der outsources. Men også aktiviteter som logistik og administration bliver i stigende grad outsourcet. En væsentlig del af outsourcingen sker typisk til lavtlønslande. Men administration outsources fortrinsvis indenfor landets grænser. Lavere omkostninger, sparede investeringer og effektivisering er gode grunde til at outsource. Ser man på forventningerne til outsourcing for de kommende tre år, er det faktisk administration, som er det område, der vil blive outsourcet næstmest gennem de kommende tre år. Det er samtidig det område, hvor vi kan forvente den største vækst i outsourcing. Endelig er det det område, hvor vi kan forvente at se mest outsourcing inden for Danmarks grænser. Undersøgelser, der konkret analyserer IT-området i forhold til outsourcing, peger til gengæld i retning af, at det for nuværende er begrænset, hvad der outsources. Uni2 fik i 2004 foretaget en Marknadsanalys. Ifølge denne undersøgelse ønsker 37 pct. af alle virksomheder ikke at outsource nogle dele af deres IT. Men 10 pct. af dem, der i dag ikke outsourcer nogle dele af deres IT, vil gøre det indenfor de nærmeste år. Desuden er der 33 pct. af virksomhederne, der allerede outsourcer dele af deres IT, som ikke har planer om at outsource mere end dette i de kommende år, mens 12 pct. har planer om at outsource mere. I alt vil 22 pct. af virksomhederne altså outsource mere i

62 62 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING fremtiden. Det er meget få virksomheder, som outsourcer al IT i dag. Blandt de virksomheder, som i dag outsourcer, var der 22 pct., der outsourcede serverdrift (fil, print, database eller applikationer) og 20 pct., som havde hostet virksomhedens hjemmeside ude i byen. Ifølge UNI2 s undersøgelse er det især i forhold til spam, firewall, disaster recovery, lagring af data, virus, trådløst LAN og netværk, at der er fordele ved at købe hjælp udefra. Dette skal ses i sammenhæng med den betydelige vækst, der vil ske på området, hvor næsten halvdelen af alle virksomheder vil forøge investeringerne i IT. CSI/FBIs årlige Computer Crime and Security Survey 2004 viser, at der i USA er 37 pct. af virksomhederne, som for nuværende outsoucer nogle af de dele af IT, der vedrører IT-sikkerhed. Det må betragtes som en væsentlig andel. Overvejelser Outsourcing bør kun overvejes, i det omfang det kan understøtte forretningen. Virksomhederne bør derfor gøre sig grundige strategiske overvejelser, inden de kaster sig ud i outsourcing af IT og IT-sikkerhed. Følgende forhold bør som minimum overvejes, hvis man påtænker at outsource hele eller dele af sit IT-system: > Outsourcingens begrænsninger Ansvaret for virksomhedens ITsystemer ligger altid hos virksomhedens ledelse og kan ikke outsources. Det er kun funktionaliteten samt driften af systemerne, der kan outsources. > Kerneforretning Virksomheden kan koncentrere sig om at drive sin kerneforretning og dermed ikke bruge tid og ressourcer på alle de ting, der kun skal fungere som støtte/ hjælpemidler for forretningsdriften. > Risikobilledet ændres Outsourcing af IT ændrer risikobilledet. Uden outsourcing er det virksomheden, der bærer den fulde risiko ved, at systemer eventuelt måtte gå ned eller blive kompromitteret. Ved at outsource flytter man denne risiko til en specialistvirksomhed. Til gengæld bliver virksomhedens risiko så, at den virksomhed, der løser opgaven, kan have manglende driftsstabilitet, blive kompromitteret eller gå i betalingsstandsning. Man må dog forvente, at der er mindre sandsynlighed for, at specialistvirksomheden får tekniske problemer, og dermed reduceres risikoen. > Langsigtet risiko minimering Hvis man har indkøbt et system, som ikke længere kan anvendes grundet tekniske problemer, eller fordi forretningen ændres, har man tabt alle pengene. Så-

63 63 OUTSOURCING danne tab oplever man (afhængigt af kontraktens udformning) normalt ikke ved outsourcing. Dermed reduceres risikoen ved fejlindkøbt IT-infrastruktur. > Sparede omkostninger Typisk burde der være penge at spare ved at outsource, fordi specialistvirksomheden bør have specifikke kompetencer og ITudstyr, der er dedikeret til at løse en bestemt funktionalitet. Specialistvirksomheden burde derfor kunne drive funktionen med lavere omkostninger end virksomheden selv. Hvis der skal spares penge, skal virksomheden dog være opmærksom på ikke at købe mere funktionalitet fra specialisterne, end det netop er fornuftigt i forhold til forretningen. > Omkostningsspredning Omkostningerne til at få en bestemt funktionalitet skal i tilfældet, hvor virksomheden selv afholder dem, betales på en gang af virksomheden. I tilfældet, hvor man outsourcer, kan disse omkostninger spredes ud over varigheden af kontakten mellem virksomheden og specialistvirksomheden. > Omkostningskontrol Ved outsourcingaftaler ved man altid, hvilke omkostninger der venter næste måned for at få en given opgave udført. Dette er ikke tilfældet, hvis man løser opgaven selv, idet der sagtens kan forekomme eksogene stød til omkostningerne i form af uforudsete udgifter f.eks. manglende systemstabilitet, opgradering eller kompromittering. > Fremtidige udfordringer Virksomheden kan typisk lettere møde fremtidige udfordringer ved at have outsourcet dele af sine IT-systemer. Dette skyldes, at specialistvirksomhedens systemer og kompetencer typisk er helt up-to-date det er jo netop specialistvirksomhedens kernekompetence. Derfor vil det typisk være meget let for virksomheden at tilkøbe ny funktionalitet og samtidig være sikret mod nye typer af trusler. Dette vil give virksomheden fordele, idet den langt hurtigere kan komme til at markedsføre et nyt produkt eller markedsføre på en ny måde via en ny type system (Time-to-market fordele).

64 64 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING > Nye behov Typisk vil specialistvirksomheden også forholdsvis let kunne udvide en eksisterende løsning med nye typer forretningsbehov. Hvis man f.eks. har outsourcet en e-handelsløsning og får behov for at lave datamining på de kunder, der køber ind via sitet, kan man forholdsvis let få udvidet løsningen med et CRMmodul (Customer Relations Management). Virksomheden kan simpelthen få en ny evne langt hurtigere, end hvis den skulle ud og undersøge markedet for at anskaffe et nyt system, der skulle integreres med eksisterende systemer. > Skalerbar infrastruktur kan tilpasses markedsændringer De fleste outsourcingkontrakter indeholder aftaler om, at virksomheden kan skrue op og ned for aktiviteterne med relativt kort varsel. Virksomheden kan dermed reagere hurtigt på fluktuationer i markedet (f.eks. e-business on demand). Dette ville ikke være tilfældet, hvis virksomheden har købt egen ITinfrastruktur dimensioneret til et bestemt markedsbehov. Ved at outsource konverteres faste omkostninger til variable omkostninger, og man kan (afhængigt af kontraktens udformning) til ethvert tidspunkt maksimere nytten ved en given løsning, fordi man betaler efter forbrug. > Kompetencer Specialistvirksomheden har typisk alle de kompetencer, der skal til for at løse en given opgave. Dette er til gengæld sjældent tilfældet for den virksomhed, der skal have løst en opgave. Den skal derfor enten ud at hyre ny

65 65 arbejdskraft, efteruddanne eksisterende arbejdskraft eller affinde sig med, at den eksisterende arbejdskraft ikke løser opgaven så godt og så hurtigt, som det ellers kunne være gjort samtidig med den eksisterende arbejdskraft ikke kan varetage de opgaver, man ellers varetager. Virksomheden skal derfor beslutte i hvor høj grad, det er ønskværdigt, at IT-afdelingen bruger tid på drift af systemerne kontra innovation af systemerne. Virksomheden skal også være opmærksom på graden af innovation i egen IT-afdeling kontra innovation hos specialistvirksomheden. > Sikkerhed Outsourcede systemer vil i mange tilfælde typisk være bedre sikrede end egne systemer, fordi specialisterne følger med i netop deres egen niche, mens de fleste in-house IT-afdelinger typisk bruger den meste tid på at supportere brugere. Man kan derfor (afhængig af kontraktens udformning) være sikker på, at specialistvirksomheden sørger for at have opdateret sine systemer hurtigst muligt, og at den garanterer oppetid for sine systemer. > Service Det er de færreste virksomheder, som har døgnservice på sine ITsystemer, da det ofte kræver meget store udgifter til personale. Men de systemer, der er outsourcet, vil typisk bliver overvåget 24x7x365. Der vil også typisk være mange andre former for services tilknyttet afhængigt af kontraktens udformning. > Individuel tilpasning kontra standardprodukter Når virksomheder indkøber nye systemer, er der ofte behov for individuelle tilpasninger. Det samme gør sig gældende, når man vælger at få outsourcet en løsning. Men ofte vil nogle af de arbejdsbaserede tilrettede services, der leveres, kunne erstattes af automatiserede standardiserede services via netværk. Dette gælder f.eks. back-up, hvor den daglige rutine med at skifte bånd og placere det i brandsikker boks langt fra virksomheden kan erstattes af back-up via internettet hos specialistvirksomhed. > Kontrol Virksomheden mister en kontrol med egne systemer ved outsourcing. Men virksomheden skal tage stilling til, om dette kontrolbehov er forretningsmæssigt relevant, eller om det blot er en psykisk barriere for en potentielt mere effektiv drift. > Tillid Det er af afgørende betydning, at man har tillid til den virksom- OUTSOURCING

66 66 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING hed, man vælger at outsource til. Specialistvirksomheden bør have et godt ry, have de rette kompetencer og systemer, give en god service, stille garanti for oppetid for funktionaliteten, have en sund økonomi, have et beredskab der indeholder aftaler med en tredjepart, som kan springe til, hvis virksomheden går i betalingsstandsning eller Fordele Optimal kontrol Direkte adgang til ændringer Uafhængighed af 3. parts leverandører 100 pct. tilpasning til bruger Eget valg af hardware/software Virksomheden kan selv trimme systemerne løbende Fordele Ingen uddannelse af personale Ingen udgifter/løn til personale Ingen licensstyring Ingen daglig vedligeholdelse Ingen kompliceret konfigurering / opsætning af software Ingen udgifter til hardware Mulighed for højere sikkerhed (leverandørafhængig) Mulighed for mere avancerede systemer (leverandørafhængig) Leverandøren har 100 pct. fokus på kunden han lever jo af det Intern løsning får tekniske problemer, til enhver tid kunne retablere data eller funktionalitet, behandle data med fortrolighed og endelig have en plan for tilbagelevering af data, hvis outsourcingforholdet opsiges fra en af parterne. Vi har opsummeret nogle af fordelene og ulemperne i nedenstående figur. Ulemper Ekstern løsning Uddannelse af personale Udgifter/løn til personale Licensstyring Daglig vedligeholdelse døgnet rundt Udgifter til hardware Kompliceret konfigurering / opsætning af software Sikkerheden er overladt til personale, der også laver mange andre opgaver, og derfor vil reaktionstiden typisk være længere Ulemper Ansvaret kan alligevel ikke outsources Afhængig af ekstern leverandør Kontrollen afgivet til leverandør Tillid til ekstern leverandør Ændringer foretages af leverandør

67 67 Hvad kan outsources? Der er næsten ingen grænser for, hvad der kan outsources. Nedenfor har vi lavet en liste over nogle af de IT-tiltag, der kan outsources. Hvis virksomheden er i tvivl om, hvorvidt en bestemt ting kan outsources, kan man konsultere sin ITleverandør eller ITEKs hjemmeside på > Antivirus-styring > sikkerhedsstyring herunder spam og virusfiltrering > Firewall > Rapportering om hændelser/ overvågning > Bedre kriseberedskab disaster recovery > Intrusion detection > Sårbarhedsskanning > Lagring af data > Backup > Hosting af hjemmesider > Server hosting > Medieserver > Diverse e-business løsninger > Hosting af applikationer > Vedligehold patch > Support > Helpdesk > Databaseadministration > Opgradering > Brugeradministration > Change management > Performance målinger > Netværksdrift OUTSOURCING

68 68 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING Checkliste Dette hæfte har haft til formål at belyse, hvordan virksomhedens netværk er bygget op og desuden, hvordan dette netværk indgår i samspil med virksomhedens elektroniske omverden. Efter at have læst dette hæfte håber vi, at læseren er bibragt viden om: Netværk > Hvordan virksomheden er placeret på internettet > Hvad der sker, når virksomheden henter eller sender en hjemmeside eller en mail > Hvordan virksomhedens eget netværk fungerer > Hvilken rolle henholdsvis apparater og protokoller spiller for kommunikationen > Hvordan DNS virker > Hvilken topologi et internt netværk kan have Fiskenetstopologi Stjernetopologi Bustopologi Ringtopologi Trætopologi > Typer af netværk Intranet Ekstranet Internet Trådløst net LAN WAN Funktionalitet af hardware > Repeater > Hub > Bridge > Switch > Router > Proxy > Gateway > Firewall > Betydningen af korrekt konfiguration af hardware Outsourcing At virksomheden bør overveje: > Omkostninger > Kompetencer > Tekniske muligheder > Forretningsmæssige muligheder

69 Noter 69 NOTER 1 Man kan illustrere ideen om en stak ved et eksempel fra den fysiske verden: Når mennesker kommunikerer, starter A med en tanke, som han omsætter i et sprog. Dette oversætter hans hjerne til nogle mundbevægelser og lyde, der sætter luften i bevægelse. Modtageren oversætter på samme vis tilbage igen. På level 1 udveksler de altså luftbølger. På level 2 udveksler de lyde. På level 3 udveksler de sproget. På level 4 udveksler de ideer. Information pakkes altså ind mellem hvert lag hos afsenderen og pakkes ud igen hos modtageren. Dette svarer til, at data går ned gennem stakken hos afsender og op igen hos modtager. 2 Vi vil kalde denne model for TCP/IP-modellen. Den er en forenkling af OSI-modellens 7 lag. OSI modellen blev udviklet i 1983, som et samlede protokolsæt alle producenter og udviklere kunne benytte. Selve protokollen blev aldrig rigtigt benyttet, men modellen bag OSI benyttes til at inddele og beskrive forskellige lag i data kommunikationen. Hvert lag har sine særlige funktioner og formål. 3 Det skal bemærkes, at protokollerne også kan opdeles i henholdsvis push og pull protokoller. Push protokollerne skubber beskeder fra sig, som f.eks. når en mail afsendes fra en brugers mail-klient til en anden brugers mailserver (SMTP: Single Mail Transfer Protocol). Pull protokollerne trækker information til sig, som f.eks. når http trækker en hjemmeside til sig, eller når IMAP (Internet Mail Application Protocol og POP (Post Office Protocol) protokollerne trækker en mail ned fra mailserveren til modtagerens klient. 4 Afsenderen kan modtage tre ACK for den samme pakke, fordi modtageren kun sender ACK for den sidste pakke, den har modtaget i rækkefølge. Hvis vi antager, at der sendes en række pakker, hvoraf den første når frem, den anden tabes ved en router, og den tredje når frem, vil modtageren ved modtagelse af den tredje pakke stadig kun sende et ACK for den første pakke. 5 DNS gennemgås senere. Kort fortalt svarer IP-adressen til et telefonnum-

70 70 ELEKTRONISK INFRASTRUKTUR VIRKSOMHEDENS IT-SIKRE PLACERING mer, og DNS svarer til nummeroplysningen: Nummeroplysningen oplyser om sammenhængen mellem en persons navn og telefonnummer; DNS oplyser om sammenhængen mellem en hosts navn og dens IP-adresse. 6 For en meget pædagogisk og visuel gennemgang af hvordan en hjemmeside hentes, kan der henvises til 7 Formålet er hentet på uni-c s hjemmeside, 8 Firewallen er typisk placeret således, at den sidder i punktet mellem på den ene side internettet og på den anden side den del af netværket, som er virksomhedens eget. Virksomhedens eget netværk bør dog opdeles i en del, som er helt lukket af for omverdenen og en del, som er placeret i en demilitariseret zone (DMZ). DMZ bliver berørt senere i dette hæfte, men kan betragtes som en del af virksomhedens netværk, hvortil der fra omverdenen er begrænset adgang. F.eks. står virksomhedens webserver i denne zone, således at omverdenen kan få adgang til de informationer, der er lagret her. Firewallen sidder derfor principielt ikke kun med to forbindelser men med tre, idet DMZ bør regnes med. 9 Det skal bemærkes, at næsten alle apparater ikke kun firewalls - på netværket faktisk er udstyret med et standardpassword. Det er vigtigt, at man ændrer dette password! 10 Intrusion Detection Software anvendes på baggrund af en række opstillede regler til automatisk at vurdere, om der er ved at ske en ulovlig indtrængen på virksomhedens netværk. I givet fald vil systemet give en automatisk besked til systemets administrator.

71

72

73 EN DEL AF DANSK INDUSTRI H.C. Andersens Boulevard København V Tlf Fax [email protected] itek.di.dk I T E K B R A N C H E F Æ L L E S S K A B F O R I T-, T E L E -, E L E K T R O N I K - O G K O M M U N I K AT I O N S V I R K S O M H E D E R