งานนำเสนอกำลังจะดาวน์โหลด โปรดรอ

งานนำเสนอกำลังจะดาวน์โหลด โปรดรอ

บทที่ 3 การตรวจสอบ ระบบปฏิบัติการ ดร. ครรชิต มาลัยวงศ์ ราชบัณฑิต.

งานนำเสนอที่คล้ายกัน


งานนำเสนอเรื่อง: "บทที่ 3 การตรวจสอบ ระบบปฏิบัติการ ดร. ครรชิต มาลัยวงศ์ ราชบัณฑิต."— ใบสำเนางานนำเสนอ:

1 บทที่ 3 การตรวจสอบ ระบบปฏิบัติการ ดร. ครรชิต มาลัยวงศ์ ราชบัณฑิต

2 เนื้อหาคำบรรยาย  หน้าที่ของระบบปฏิบัติการ  ภัยคุกคามต่อระบบปฏิบัติการ  การใช้ไอทีในการปฏิบัติงาน

3 ระบบปฏิบัติการ  Operating System คือ ผู้จัดการการทำงานทั้งหมดของเครื่อง คอมพิวเตอร์ (และ เครือข่าย)  OS ที่สำคัญเวลานี้ได้แก่  Windows  Linux  Unix

4 หน้าที่หลักของ OS  ดูแลให้ผู้ใช้และงานประยุกต์แบ่งปันทรัพยากรคอมพิวเตอร์ เช่น ตัวประมวลผล หน่วยความจำ ฐานข้อมูล และเครื่องพิมพ์ ด้วย การยินยอมให้ผู้ใช้ที่ได้รับอนุญาตเข้าถึงทรัพยากรเหล่านี้ และ ปกป้องไม่ยอมให้ผู้ที่ไม่ได้รับอนุญาตเข้าถึง  จัดสรรลำดับการทำงานของโปรแกรมต่าง ๆ อย่างเหมาะสม ในช่วงการทำงานนั้นอาจจะมีผู้ใช้หลายคนพยายามขอใช้ ทรัพยากรที่ถูกควบคุมอยู่พร้อม ๆ กัน  ดูแลการแปลโปรแกรมจากภาษาระดับสูงเป็นภาษาเครื่อง

5 ระบบปฏิบัติการต้องควบคุมสิ่งต่อไปนี้  ป้องกันตนเองจากผู้ใช้ ต้องไม่ยอมให้โปรแกรมของผู้ใช้เข้า มาควบคุมหรือทำลายตัวมันเอง  ป้องกันผู้ใช้ไม่ให้ถูกงานของผู้อื่นเข้ามายุ่งเกี่ยวหรือทำลาย งานที่กำลังใช้คอมพิวเตอร์อยู่  ป้องกันผู้ใช้จากการถูกงานของตนเองทำลาย  ป้องกันตนเองจากการทำงานที่ผิดพลาดของตนเอง  ป้องกันตนเองจากสิ่งแวดล้อมเช่นไฟฟ้าดับ โดยจะต้อง สามารถหยุดกิจกรรมเพื่อให้กู้มาดำเนินงานต่อได้ในภายหลัง การป้องกันเหล่านี้มีอยู่ในระบบปฏิบัติการอยู่แล้ว

6 การควบคุมความมั่นคงปลอดภัยของ OS  OS security ประกอบด้วยการกำหนดนโยบายและวิธีปฏิบัติที่ ระบุว่าใครจะใช้ OS ได้ จะใช้ทรัพยากรอะไรได้บ้าง และจะใช้ ทำงานอะไร  กระบวนการ Log-on เป็นด่านแรกในการปกป้องผู้ไม่ได้รับ อนุญาต โดยผู้ใช้ต้องระบุชื่อและรหัสผ่าน  สร้างระเบียนเกี่ยวกับผู้ใช้ว่าเป็นใครและจะทำอะไรได้บ้าง  สร้างรายการควบคุมให้กับทรัพยากร เพื่อกำกับงานผู้ใช้  อนุญาตให้ผู้ใช้บางคนมีสิทธิ์ในการกำหนดสิทธิ์การใช้ ทรัพยากร

7 ภัยคุกคามต่อระบบปฏิบัติการ  ผู้มีสิทธิ์พิเศษในการกำหนดสิทธิ์ให้ผู้อื่นเช่น Sys Admin สามารถเข้าถึงและใช้ทรัพยากรต่าง ๆ ของคอมพิวเตอร์ได้อย่าง ไม่มีขีดจำกัด แต่กลับใช้สิทธิ์นี้ในการเข้าไปถึงโปรแกรม และ แฟ้มข้อมูลของผู้อื่น  บุคคลทั้งภายในและภายนอกหน่วยงาน อาจจะลองสำรวจ OS ของหน่วยงานเพื่อดูจุดอ่อนของระบบ แล้วจะได้เข้ามาใช้งาน ระบบโดยไม่ได้รับอนุญาต  บุคคลผู้จงใจ (หรือไม่จงใจ) นำไวรัสคอมพิวเตอร์หรือโปรแกรม อันตรายเข้ามาปล่อยในระบบปฏิบัติการ ภัยเหล่านี้เรามักจะคิดว่าเป็นภัยของทั้งระบบ แต่ที่จริงเป็นภัยที่ เกิดกับระบบปฏิบัติการก่อนจุดอื่น ๆ

8 การควบคุม OS  หากระบบ OS ถูกโจมตีได้ ก็จะเกิดปัญหากับงาน ประยุกต์ต่าง ๆ ที่ใช้งาน OS นั้น ดังนั้นเราจึงต้อง กำหนดการควบคุม OS ขึ้นโดยวิธี เช่น  Access Privilege Control  Password Control  Virus Control  Audit Trail Control

9 Access Privilege Control  Sys Admin อาจการมอบสิทธิพิเศษในการเข้าถึงทรัพยากร แก่บุคคลหนึ่งบุคคลใด หรือให้กับทั้งกลุ่มของบุคคลก็ได้ แต่ต้องพิจารณาหน้าที่ของผู้รับมอบสิทธิ์นั้นอย่างจริงจัง  การมอบสิทธิ์นี้มีผลกระทบต่อความมั่นคงของระบบปฏิบัติการ มาก  ฝ่ายบริหารต้องดูแลให้แน่ใจว่าแต่ละบุคคลไม่ได้รับสิทธิ์ที่ไม่ สอดคล้องกับหน้าที่ของเขา  ผู้ตรวจสอบต้องสอบทวนว่าการให้สิทธิ์นั้นตรงกับหน้าที่ความ รับผิดชอบและสอดคล้องกับนโยบายของหน่วยงาน

10 กระบวนการตรวจสอบ Access Privilege  ทบทวนนโยบายในการกำหนดฟังก์ชันงานและตรวจให้แน่ใจว่า ทำให้เกิดความมั่นคงที่เหมาะสม  ทบทวนการมอบสิทธิ์แก่ผู้ใช้และกลุ่มผู้ใช้และพิจารณาว่าการ มอบสิทธิ์นั้นเหมาะสมกับงานและตำแหน่งหน้าที่หรือไม่ นั่นคือ มอบตามความจำเป็นที่จะต้องรู้ (need to know)  ตรวจสอบประวัติบุคคลเพื่อดูว่าบุคคลนั้นได้รับการตรวจสอบ ประวัติก่อนตามนโยบายหรือไม่  ตรวจสอบประวัติว่าพนักงานได้รับทราบว่าพวกเขามีหน้าที่ความ รับผิดชอบที่จะต้องรักษาความลับของข้อมูลหรือไม่  ตรวจสอบระยะเวลาที่ยอมให้ผู้ใช้เข้าใช้คอมพิวเตอร์นั้น สอดคล้องกับหน้าที่ที่มอบหมายให้ปฏิบัติ

11 กระบวนการตรวจสอบรหัสผ่าน  รหัสผ่านเป็นด่านขั้นแรกในการป้องกันการเข้าถึง ระบบปฏิบัติการ  ปัญหาทั่วไปเกี่ยวกับรหัสผ่านก็คือ  ลืมรหัสผ่าน ทำให้เข้าไปใช้คอมพิวเตอร์ไม่ได้  ไม่เปลี่ยนรหัสผ่านเพราะกลัวว่าจะลืม  เขียนรหัสผ่านไว้บนกระดาษและแปะไว้กับจอภาพ  ใช้รหัสผ่านแบบง่าย ๆ ที่สามารถเดาได้  ผู้บริหารหน่วยงานต้องกำหนดนโยบายเกี่ยวกับ รหัสผ่านและดูแลให้ทุกคนปฏิบัติตาม

12 Password Control  ฝ่ายบริหารควรกำหนดให้ผู้ใช้คอมพิวเตอร์เปลี่ยนรหัสผ่านอยู่ เสมอ เช่น ทุกเดือน และไม่ให้ใช้รหัสผ่านที่ตั้งแบบง่าย ๆ และ สามารถเดาได้  ผู้ตรวจสอบต้องตรวจสอบว่าฝ่ายบริหารมีนโยบายที่ดีในการ กำหนดรหัสผ่านเพื่อให้มีการควบคุมระบบปฏิบัติการที่ดี

13 วิธีการตรวจสอบรหัสผ่าน  ตรวจสอบว่าผู้ใช้ทุกคนจะต้องใช้รหัสผ่าน  ตรวจสอบว่าผู้ใช้ใหม่ทุกคนได้รับคำแนะนำในการใช้รหัสผ่าน และความสำคัญของรหัสผ่าน  ทบทวนกระบวนการควบคุมรหัสผ่านเพื่อให้แน่ใจว่ามีการเปลี่ยน รหัสผ่านอยู่เสมอ  ทบทวนแฟ้มรหัสผ่านเพื่อตรวจหารหัสผ่านที่ไม่เหมาะสม  ตรวจสอบว่าแฟ้มรหัสผ่านได้รับการเข้ารหัส และกุญแจรหัสมี ความมั่นคง  ประเมินมาตรฐานรหัสผ่านทางด้านความยาว และช่วงเวลา หมดอายุ  ทบทวนนโยบายและกระบวนการปิดกั้นหากพิมพ์รหัสผ่านผิด หลาย ๆ ครั้ง

14 การควบคุมโปรแกรมอันตราย  โปรแกรมอันตรายทำให้หน่วยงานต้องสูญเสียเงิน จำนวนมหาศาล เนื่องมาจากข้อมูลถูกทำลาย คอมพิวเตอร์มีสมรรถนะต่ำลง ฮาร์ดแวร์เสียหาย ละเมิดข้อมูลส่วนบุคคล การเสียเวลาแก้ไขปัญหา  โปรแกรมอันตรายมีหลายอย่าง  ไวรัสคอมพิวเตอร์  หนอน  Logic bomb  ม้าโทรจัน  Back door

15 การลดปัญหาโปรแกรมอันตราย  ซื้อ SW จากผู้ขายที่น่าเชื่อถือ และ SW อยู่ในกล่องที่ปิดผนึก จากโรงงานอย่างเรียบร้อย  กำหนดนโยบายห้ามใช้ SW ที่ไม่ได้รับอนุญาต หรือไม่มีสิทธิ์ใน การใช้  ตรวจสอบการอัพเกรด SW ของผู้ขายให้แน่ใจว่าไม่มีไวรัสแอบ แฝงก่อนการใช้งาน  ตรวจสอบ SW สาธารณะว่าไม่มีไวรัสก่อนใช้งาน  กำหนดขั้นตอนสำหรับใช้ทั้งหน่วยงานในกรณีที่ต้องมีการ ปรับแก้ซอฟต์แวร์ที่กำลังใช้งานอยู่  จัดฝึกอบรมให้ผู้ใช้เข้าใจผลร้ายของโปรแกรมอันตราย

16 การลดปัญหาโปรแกรมอันตราย 2  ระบบปฏิบัติการจะต้องได้รับการอัพเดทให้เป็นปัจจุบันโดยการ ปรับด้วยโปรแกรม patch  ติดตั้งโปรแกรมในเครื่องที่ใช้งานเป็นเอกเทศ (stand alone) และทดสอบ ก่อนนำไปติดตั้งในเครือข่าย  สำรองแฟ้มข้อมูลสำคัญของเครื่องเอาไว้  พิจารณาการให้สิทธิ์เฉพาะการอ่านข้อมูล และเรียกโปรแกรม ทำงานเท่านั้น แต่ไม่ยอมให้เขียนหรือแก้ไขข้อมูลลงในแฟ้ม  ใช้โปรแกรมตรวจสอบไวรัส

17 การตรวจสอบการควบคุมไวรัส  ประเด็นสำคัญก็คือ การป้องกันอย่างเข้มงวดด้วยการกำหนด นโยบายและขั้นตอนการปฏิบัติงานที่ดีเพื่อลดโอกาสถูกโจมตี  ผู้ตรวจสอบจะต้องสัมภาษณ์ผู้ปฏิบัติงานในศูนย์ไอทีเพื่อดูว่า เข้าใจความสำคัญ และความเสี่ยงของการถูกโจมตีด้วย โปรแกรมอันตรายหรือไม่  ตรวจสอบว่ามีการทดสอบ SW ใหม่ในเครื่องที่ทำงานเป็น เอกเทศก่อนติดตั้งในเครือข่าย  ตรวจสอบว่าระบบป้องกันไวรัสเป็นเวอร์ชันใหม่ และติดตั้งทั้ง เครือข่าย

18 การควบคุม Audit Trail  Audit trail หมายถึงการบันทึกกิจกรรมที่เกิดกับระบบ งานประยุกต์ และผู้ใช้  ผู้บริหารต้องพิจารณาว่าจะต้องบันทึกรายละเอียดของกิจกรรม เอาไว้มากน้อยเพียงใด  การบันทึกมีสองลักษณะ  การบันทึกการคีย์ข้อมูล และคำตอบของระบบ  การบันทึกเหตุการณ์ ซึ่งประกอบด้วยการบันทึกหมายเลขผู้ใช้ที่เข้าสู่ ระบบ และระยะเวลาที่ใช้งาน โปรแกรมที่เรียกใช้และแฟ้ม ฐานข้อมูล เครื่องพิมพ์ ฯลฯ ที่ถูกใช้งาน  ประโยชน์ของ Audit trail คือ  ตรวจสอบการเข้าสู่ระบบโดยไม่ได้รับอนุญาต  ช่วยในการจำลองสร้างเหตุการณ์ขึ้นใหม่  ช่วยยืนยันความรับผิดชอบของแต่ละคน

19 การตรวจสอบ Audit Trail  วัตถุประสงค์คือต้องการแน่ใจว่า audit trail ที่จัดเก็บไว้มีความพอเพียงที่จะป้องกัน และตรวจสอบการใช้งานในทางที่ผิด การสร้างเหตุการณ์การใช้คอมพิวเตอร์ ก่อนที่ระบบจะล่ม และการวางแผนการ จัดสรรทรัพยากร

20 กระบวนการตรวจสอบ Audit Trail  ตรวจสอบว่ามีการกำหนดให้ OS จัดเก็บบันทึก audit trail  ผู้ตรวจสอบสามารถใช้ SW พิเศษเรียกบันทึกมาแสดงข้อมูล เกี่ยวกับ  ผู้ใช้ที่ไม่ได้รับอนุญาตหรือที่ถูกปฏิเสธ  ระยะเวลาที่ไม่ได้ใช้งาน  ระยะเวลาที่ผู้ใช้ กลุ่มผู้ใช้ หรือแผนก ใช้งาน  ระยะเวลา log-on ถึง log-off  Log-on ที่ไม่ผ่าน  การเข้าถึงแฟ้มหรืองานประยุกต์  กลุ่มงานดูแลความมั่นคงมีหน้าที่ต้องรายงานเกี่ยวกับการกำกับ ดูแลความมั่นคง และรายงานการละเมิดความมั่นคง ผู้ตรวจสอบ ต้องสุ่มเลือกกรณีที่มีการละเมิดมาประเมินว่ากลุ่มงานความ มั่นคงมีประสิทธิผลมากน้อยเพียงใด

21 สรุปการตรวจสอบระบบปฏิบัติการ  การตรวจสอบ OS ไม่ได้ตรวจสอบว่า OS ทำงานดีหรือไม่ แต่ ตรวจสอบว่าหน่วยงานได้มีการควบคุม OS ดีหรือไม่  ประเด็นที่ตรวจสอบก็คือ  การควบคุมการกำหนดสิทธิ์ในการใช้  การควบคุมรหัสผ่าน  การควบคุมไวรัส  การควบคุมการจัดทำ audit trail

22 ความคิดเห็นเพิ่มเติม  ศูนย์ไอทีจังหวัดยังไม่ค่อยได้ตระหนักถึงปัญหาของ ระบบปฏิบัติการ  ผู้ตรวจสอบภายใน ควรตรวจสอบเพื่อแนะนำให้ผู้บริหาร  จัดศูนย์ไอทีทำนโยบายที่ชัดเจนเกี่ยวกับการกำหนดสิทธิ์ใน การใช้ให้รอบคอบ และส่งให้ฝ่ายบริหารประกาศ  จัดทำนโยบายการใช้รหัสผ่าน  สั่งให้มีซอฟต์แวร์ตรวจจับไวรัสที่ทันสมัย  สั่งให้มีการจัดเก็บข้อมูลเกี่ยวกับการใช้ระบบ

23


ดาวน์โหลด ppt บทที่ 3 การตรวจสอบ ระบบปฏิบัติการ ดร. ครรชิต มาลัยวงศ์ ราชบัณฑิต.

งานนำเสนอที่คล้ายกัน


Ads by Google