Kies jou skool se provinsie
|
||||
|
|
|
||
| Jou wêreld, Jou koerant | ||||
|
||||
|
|
|
||
| Jou wêreld, Jou koerant | ||||
|
Vennote
|
|
Dít is wat ons nie oor eNaTIS mog weet nie
Die verslag is sowat 200 bladsye lank. Wat hieronder volg, is die drie bladsye van die verslag wat aan Beeld gelek is: 7. Gevolgtrekking In die algemeen is bevind dat die sekerheid van die stelsels van die NaTIS- én eNaTIS-netwerke onvoldoende was. Spesifieke tekortkomings het die volgende ingesluit: Kwesbaarhede waarvoor sekerheidspleisters beskikbaar was, was teenwoordig op die stelsel, wat daarop dui dat monitering- en pleisterbestuursprosedures nie gevestig of nagekom is nie. Die volgende stelsels is in dié verband geïdentifiseer: Red Hat Linux-bedryfstelsel (Ext-Lin1 en Web1), UnixWare-bedryfstelsel (Nwsup) en ’n Apache-web-bediener (Web1). Gedokumenteerde sekerheidstandaarde ’n Gebrek aan gedokumenteerde sekerheidstandaarde is geïdentifiseer op die volgende komponente: Red Hat Linux-bedryfstelsel (Ext-Lin1 en Web1), Apache-web-bediener (Web1). Wagwoordkontroles Swak wagwoorde en wagwoordbeleide is geïdentifiseer en daar is gevind dat gebruiker-blokkasie nie geaktiveer is nie op die volgende stelsels: Red Hat Linux-bedryfstelsel (Ext-Lin1 en Web1), UnixWare-bedryfstelsel (Nwsup) en CISCO-roeteerder (RTMC). Beheer oor buite-toegang Die afstands-konfigurasie-instelling, wat aanmelde na rekeninge met leë wagwoord-gebiede toegelaat het, is op die Red Hat Linux-bedryfstelsel (Ext-Lin1 en Web1) gevind. Hierbenewens was Telnet, ’n skoonteks-protokol, steeds geaktiveer op die CISCO-roeteerder (RTMC). Sensitiewe stelsel-inligting Die Apache-web-bediener (Web1) het waardevolle inligting in die bediener-reaksievenster sigbaar gemaak, wat ’n aanvaller in staat sou stel om inligting te bekom oor die onderliggende bedryfstelsel en/of web-bediener-sagteware. Kwesbaarhede waarvoor sekerheidspleisters beskikbaar was, was op die stelsel teenwoordig, wat ’n aanduiding was dat prosedures vir moniterings- en pleisterbestuur nie in die Oracle-databasis en bedryfstelsel (DCDB1) gevestig of nagekom is nie. Oracle-databasis-regte (ontwikkelingsomgewing) Gebruikers is kragtige toegang tot die Oracle-databasis verleen wat gebruik kon word om toegang te verkry tot die bedryfstelsel. Hierbenewens is ’n kragtige hulpmiddelprogram aan alle stelselgebruikers verskaf, wat gebruik kon word om ongemagtigde toegang tot die databasis te verkry. Wagwoordbeheer Swak wagwoorde en wagwoordbeleide is gevind. In die besonder is die eNaTIS-kliënteskerm vir persoonlike rekenaars (Windows XP) opgestel met ’n blanko administrateurswagwoord, wat die kliënt-rekenaar totaal op risiko plaas. Microsoft SQL-bediener is ook bedryf en het ’n blanko wagwoord-stel gehad, wat die stelsel kwesbaar gemaak het om ernstig gekompromitteer te word. Die wagwoorde van die stam-gebruikers (root users) en Oracle-gebruikers van die HP-UX-bedryfstelsel was onvoldoende. Boonop is wagwoordhernuwing nie opgedwing nie en gebruiker-blokkasie is nie in werking gestel nie omdat die lêers vir hierdie parameters nie gedefinieer is nie en die wagwoorde is nie uitgedoof (gekodeer) nie. Gedokumenteerde sekerheidstandaarde Daar was ’n gebrek aan gedokumenteerde sekerheidstandaarde vir die databasis en die bedryfstelsel. Lêer-toestemmings Die stelsel het onbeskermde gedeelde netwerk-lêers en sensitiewe lêers met universeel-skryfbare toestemmings (world writable permissions) gehad. Die onvoldoende vordering wat gemaak is om voorheen aangemelde beheer-swakhede aan te pak, die gebrek aan gedokumenteerde sekerheidstandaarde, die gebrek aan pleisterbestuur, die voortgesette teenwoordigheid van uiters ooglopende kwesbaarhede en die feit dat die kliënt-rekenaars na die onderskeie owerhede uitgerol is met blanko administrateurswagwoorde was ’n teken van die swak gehalte van bestuur oor die NaTIS- en eNaTIS-stelsels. Hoewel die inwerkingstelling verband gehou het met die eNaTIS-stelsel, kan hierdie kwesbaarhede ook ’n negatiewe impak op die NaTIS-stelsel hê, aangesien NaTIS dieselfde infrastruktuur gebruik. Senior bestuur behoort meer toegewyde eienaarskap te neem van só ’n nasionale belegging en aanspreeklikheid daarvoor aanvaar deur ’n geskikte omgewing daar te stel waarin korrektiewe stappe gedoen kon word. 8. Bedanking
Die bestuur en personeel van die departement van vervoer wat betrokke was by die oudit word bedank vir hul samewerking en bydraes. Lees die verskeie oorspronklike uittreksels uit die eNatis-verslag.
|
|||||||||||||||||||||
 |
|||||||||||||||||||||
|
|||||||||||||||||||||
|
vind
vind jou ou skoolvriende
Kies jou skool se provinsie |
|
|
