Vypracované otázky

stikami (odhalení rizik, počet virů, reakce zákazníků,...)
Standard ISO/IEC 15408
Evaluation Criteria for IT security. Rok 2005.
Hodnotící kritéria podporující vyslovení záruky, že proces specifikace, implementace informační bezpečnosti produktu/systému byl veden přísným a standardním způsobem. Předmětem hodnocení (TOE) je konkrétní mód použití. Hodnocením podle CC (Common Criteria) se ověřuje, zda TOE vykazuje deklarované bezpečnostní vlastnosti. Dále v následující otázce. Hodnocení produktu má dvě části: hodnocení ST a hodnocení TOE
Charakterizuj obsah a funkci PP (Protection profile) a ST (Security target) v rámci ISO/IEC 15408.
PP – Profil ochran, protection profile. Jedná se o dokument obvykle vytvářený uživatelem, identifikuje požadavky na bezpečnost, definuje třídu bezpečnostních zařízení (karty). PP lze použít jako šablonu pro definici bezpečnostního cíle. Produkty mohou vlastnit certifikát vyhovění jistému PP.
ST – Dokument definující bezpečnostní vlastnosti produktu/systému (Security Functional Requirements – SFR), specifikace bezpečnostních funkcí. Součástí CC je katalog takovýchto funkcí. U produktu se obvykle hodnotí splnění zadaného ST. ST je často reklamním materiálem výrobce.
Obsah PP/ST:
Úvod, popis TOE, definice bezpečnostního problému, bezpečnostní cíle, bezpečnostní požadavky, odůvodnění bezpečnostních cílů.
4 úrovně pohledu na bezpečnostní normu ITSEC.
Jedná se o evropská hodnotící kritéria přijatá EU v roce 1995. V současnosti jsou nahrazována CC z ISO/IEC 15408, takže nemá cenu se jimi zabývat hlouběji.
Úrovně důvěryhodnosti certifikátu
Elementární – prohlížení webu
Základní – online nákupy
Běžná – ověřovaná podle důvěryhodných podkladů
Vysoce důvěryhodná – osobní registrace, důkladná lustrace
Základní dokumenty certifikační autority
Certifikační politika (CP) – pravidla vyjadřující použitelnost certifikátu pro konkrétní komunitu a/nebo třídu aplikací se shodnými požadavky na bezpečnost. Stanovuje vlastnosti a povinnosti zúčastněných stran, třídy důvěryhodnosti certifikátů a jejich typy, meze záruky a další.
Certifikační prováděcí směrnice (CPS) – detailní popis provozních procedur, standardů a praktik, které CA používá, aby vyhověla CP. Stanovuje například identifikační procedury, délky a platnost klíčů, použité algoritmy, definice procedur revokace, archivace.
Havarijní plán, bezpečnostní politiky IS, plán obnovy po bezpečnostním incidentu,...
Typická struktura dokumentů CP/CPS: Úvod, obecné požadavky na zúčastněné strany, identifikace a autentizace žadatelů, provozní požadavky, bezpečnostní opatření, profily certifikátů a CRL, správa certifikační politiky.
Vypište a charakterizujte role v PKI.
Držitel certifikátu – nejdříve žadatel o vydání certifikátu, pak entita jejíž nějaká vlastnost je certifikovaná
Uživatel certifikátu – strana spoléhající na důvěryhodnost certifikátu
Certifikační autorita – vydavatel certifikátu, poskytovatel služby
Registrační autorita – autorita provádějící pro nějakou CA proces identifikace a registrace žadatelů o certifikát
Repozitář – obsahuje privátní databázi pro zálohování a archivaci klíčů a LDAP Server (Lightweight Directory Access Protocol Server), který publikuje seznamy certifikátů a seznamy revokovaných certifikátů (CRL)
Vydavatel certifikačních politik – definuje požadavky na vytváření a ověřování certifikátů pro potřeby nějaké třídy aplikací
Schvalovatel certifikačních politik – provádí hodnocení politik a vypracovává hodnotící zprávy
Metody diseminace klíčů
Out-of-band – off-line předávání certifikátů mimo běžné komunikační cesty
On-line – vystavení certifikátů (např. LDAP)
In-band – v rámci komunikačních protokolů (např. S/MIME)
Klasifikace EPS
S elektronickými penězi X bez nich
S přímou komunikací mezi plátcem a příjemcem X bez ní
Podle vztahu mezi dobou, kdy iniciátor považuje operaci za uskutečněnou a kdy se převedou peníze: prepaid, aktuálně placené, platba uskutečněná později.
Podle možnosti identifikace účastníků
Online X offline
Podle velikosti přenášeného obnosu
Role elektronického šeku v modelu příjemce – odesilatel – banka příjemce – banka odesilatele
Elektronický šek je instrukce pro banku odesilatele, která říká, kolik peněz a na jaký účet se má převést. V praxi existují čtyři druhy platby šekem.
Deposit-and-clear – šek příjemce předá své bance a banky se vyrovnají
Cash-and-transfer – šek příjemce předá bance odesilatele a banky se vyrovnají
Lockbox – šek odesilatel předá bance příjemce a banky se vyrovnají
Fund transfer – šek odesilatel předá své bance a banky se vyrovnají
Visa 3-D Secure
Protokol elektronických transakcí. Podpora plateb kartami v e-commerce. Podpora autentizace uživatele platební karty – využívá se HTTP redirection, vše je kryptograficky chráněno. Obchodník musí používat tzv. merchant plugin na svém serveru.


Definujte:a) důvěrnostUdržování důvěrných aktiv v tajnosti, zamezení přístupu neautorizovaných subjektů, týká se též důvěrnosti komunikace.b) integritaIntegrita aktiv = aktiva nesmějí být modifikována a rušena neautorizovaným způsobem. Integrita originality = autenticita, ověřitelnost deklarovaného původu aktivac) dostupnostAktiva musí být autorizovaným subjektům přístupná.d) nepopiratelnostNepopiratelnost rozšiřuje chápání autenticity z ověření původnosti na nemožnost popření deklarovaného původu – např. nepopiratelnost přijetí a odeslání zprávy, autorství dokumentu.Charakterizujte stručně účel: a) Bezpečnostního cíleDosažení požadované minimální hladiny rizik tak, aby se zaručila požadovaná úroveň bezpečnosti.b) Bezpečnostní funkce Též funkce prosazující bezpečnost, bezpečnostní (proti)opatření, funkce prosazující plnění některého bezpečnostního cíle. Rozeznáváme funkce preventivní, heuristické, detekční a opravné.c) Bezpečnostního mechanismuAdministrativní, fyzický, logický či algoritmický prostředek implementující bezpečnostní funkci.Co je to preventivní bezpečnostní funkce?Jedná se o bezpečnostní funkci, která se užívá před samotným útokem s cílem minimalizovat riziko útoku. Příkladem budiž zamykání dveří.Co to je bezpečnosní politika?Souhrn pravidel specifikující účinný způsob uplatňování opatření potřebných pro dosažení požadované minimální úrovně rizik. BP říká co a proti čemu se chrání (bezpečnostní cíle) a jak se ochrana uplaňuje. Pokud se dodržováním BP dosáhne požadované úrovně bezpečnosti, je BP důvěryhodná.Security X safetySecurity – ochrana proti záměrným škodámSafety – ochrana proti objektině působícím vlivůmCharakterizujte stručně účel: a) Bezpečnostní politika organizaceJedná se o souhrn bezpečnostních zásad definujících způsob zabezpečení organizace jako celku. Rozprostírá se od fyzické ostrahy přes ochranu soukromí, bezpečné plnění business cílů až po ochranu lidských práv.b) Celková bezpecnostní politika Někdy se též nazývá bezpečnostní politika IT organizace. Jedná se o výběr bezpečnostních zásad a předpisů souvisejících s IT – všeobecně definuje bezpečné používání IT. Splňuje bezpečnostní politiku organizace. Stanovuje se na dobu 5 – 10 let a je v podstatě nezávislá na použitých IT.c) Systémová bezpecnostní politikaTéž bezpečnostní politika IS. Zde se již jedná o detailní normy a pravidla upravující způsob zacházení s informacemi. Specifikuje bezpečnostní opatření, způsob jejich implementace a použití. Respektuje konkrétní použité IT. Splňuje celkovou bezpečnostní politiku a platí asi 2 – 5 let.Definujte pojmy autorizace a autentizace.Autentizace je proces ověření, že entita je tou entitou, za kterou se prohlašuje.Autorizace je koncept povolení přístupu k aktivům jen těm, kteří k tomu mají oprávnění.a) Napište cyklický proces tvorby bezpečnostní politikyposouzení vstupních vlivůanalýza rizikvypracování projektu BPimplementace a prosazení BPplnění businessu pod kuratelou BPvyhodnocení adekvátnosti BPb) (Napiš 6 fází správy rizik – to jsem nenašel)Správa rizik je souhrn opatření použitých pro redukci a správu rizik. Zahrnuje celý proces implementace a provozování bezpečného systému.b) Napiš 6 fází analýzy rizik.Identifikace aktiv a stanovení jejich hodnotIdentifikace hrozebIdentifikace zranitelných místOdhad rizik – pravděpodobnost realizace útokůOdhad rizik – odhad očekávaných ztrát a dopadů útokůVypracování přehledu opatření, jejich cen,...Odhad ročních úspor při aplikaci opatření.(1 – 5 = ohodnocení rizik)Popište 4 strategie provádění analýzy rizik.a) elementarníPřevzetí opatření na základě analogie podobných systémů a ze všeobecných standardů.b) zakladníTéž neformální, kvantitativní. Provedení analýzy rizik na základě znalostní jednotlivých odborníků bez použití standardních strukturovaných metod.c) detailníProvedení AR použitím standardních strukturovaných metod ve všech šesti fázíchd) kombinovanáPoužití některé z výše uvedených metod podle toho, jak a kde je to nutné.Popis + příklady : a) dublovaní autorizaceKontrolu (audit) správnosti akce nesmí provádět osoba současně pověřená exekutivním výkonem akce. Příkladem budiž audity prováděné externí najatou společností.b) separace odpovědnostiZpřístupňování a konfigurování systémů citlivých z hlediska bezpečnosti není povoleno provádět jediné osobě individuálně. Příklady: trezor s více zámky, kryptografické klíče dělené pomocí XOR, Shamirovo (n, t)–sdílecí schéma.BCPBusiness Continuity PlanCo dělat po útoku, jak udržet kontinuitu činnosti organizace po útoku, havárii. Varianty BCP jsou Contingency Plan – plán činnosti IT po útoku (soubor scénářů, analýza incidentu) a Disaste