Vypracované otázky

r Recovery Plan – plán obnovyStručně charakterizujte 3 základní fáze reakce na útok.První fáze – nastupuje tým první reakce, obvykle lidé z běžného provozu. Ti provedou ambulantní zásah a informují pracovníka odpovědného za řešení incidentu.Druhá fáze – obvykle týmy složené z jasně definovaných pracovníků, které v rámci možností uvádí IT zpět do provozu a přitom posuzují důsledky útoku.Třetí fáze – dlouhodobější činnost specializovaných týmů se speciálním vybavením pro obnovu ITAuditKontroluje definice bezpečnostních procedur a detekuje bezpečnostní díry. Dále audit procedur po narušení systému. Audit provádí nezávislý subjekt.Výše potenciálních škod na aktivech A, B, C, D je ohodnocena {1,3,2,4}. Pravděpodobnost útoku {vysoká, střední, vysoká, nízká}. Obtížnost využití zranitelných míst {nízká, střední, vysoká, vysoká}. Seřaďte aktiva z hlediska významu pro zajištění bezpečnosti.Pro každé aktivum a každé zranitelné místo se nejprve vypočte frekvence (útoku) jako součet pravděpodobnosti útoku a obtížnosti využití zranitelného místa. Každé aktivum zde má jedno zranitelné místo, takže dostáváme frekvence {2, 2, 4, 2}. Bezpečnostní skóre aktivum/hrozba obdržíme jakou součet výše potenciální škody a frekvence. Bezpečnostní skóre aktiva je nakonec rovnou soutu všech hodnot aktivum/hrozba pro dané aktivum. Protože každé aktivum má jen jednu hrozbu, platí, že skóre aktivum/hrozba je rovno skóre aktiva, a tedy tyto hodnoty jsou {3, 5, 6, 6}. Vzestupné řazení aktiv z hlediska významu je nakonec ABCD nebo ABDC.Rozdíl mezi de facto a de iure standardy.De facto standard je vyvinut na základě dohody v rámci jisté komunity. Ta před jeho vydáním odsouhlasí, že odpovídá stanoveným cílům. Příklad jsou dokumenty RFC vydávané organizací IETF.De iure standard je úmluva schválená uznávanou organizací, která je pověřena tímto posláním. Normy nejsou implicitně právně závazné. Příklady:ISO – všeobecné působeníISO/IEC – elektronika, elektrotechnikaITU – telekomunikaceCEN – evropské ISOANSI – americký národní standardizační institutIEEE – elektronika, elektrotechnika… Napište 3 mezinarodní de iure normy a uveďte oblast, ve které působí.IEEE 802.xx – standard LANISO/IEC 27001 – Information Security Management System – RequirementsISO/IEC 10118 – Hash FunctionRozdíl ISO a TR ISO, popis typů TR ISO.ISO je de iure norma vydávaná International Organisation for Standardization ISO. Zkratka TR znamená technical report – technická zpráva. Existují tři typy TR:Typ 1 – je vydáván, pokud se ve výboru nenalezla dostatečná shoda pro vydání standardu. Jednou za tři roky se reviduje, rozhodne se, zda se ISO TR stane standardem.Typ 2 – je vydáván, pokud se standardizovaný předmět technicky stále vyvíjí nebo existuje jiný důvod, proč nemůže být standardizován. Očekává se, že v budoucnosti standardizován bude. Revize jednou za tři roky.Typ 3 – je vydáván o problémech, které běžně nepodléhají standardizaci, ale návrh je natolik významný a připravený, že jeho vydání bylo shledáno jako vhodné. Obsah dokumentu obvykle není znovu posuzován, pouze pokud jsou informace shledány neplatnými či neužitečnými.Standard ISO/IEC 13335Management of information and communications technology securityKoncepty a modely tvořící základ pochopení IT bezpečnosti, techniky provádění analýzy rizik. Například také definuje možné hrozby nebo třídy zranitelných míst.Standard ISO/IEC 17779Code of practice for information security managementDoporučení, jak navrhnout, implementovat, udržovat a vylepšovat správu informační bezpečnosti v organizaci. Neřeší technické aspekty. Jedná se spíše o soubor rad pro budování bezpečného systému. Vyjde jako standard 27002.Standard ISO/IEC 27000Slovník a definice, terminologie použitá v rodině 2700x.Standard ISO/IEC 27001Information Security Management System – RequirementsObsahuje požadavky na implementaci systému správy informační bezpečnosti. Specifikuje, jak vybudovat systém, který posuzuje, implementuje, monitoruje a udržuje bezpečnostní systém organizace. Standard je detailním popisem požadavků, takže lze proti němu certifikovat. Certifikát říká: My jsme organizace kvalitně pečující o informační bezpečnost.Cyklický proces vývoje ISMS (4 fáze) podle ISO/IEC 27001.ISMS = Information Security Management System.Cyklický proces je model PDCA:Plan (zavedení ISMS) –> Do (implementace ISMS) –> Check (sledování ISMS) –> Act (vylepšení ISMS) –> Plan –> ...Standard ISO/IEC 27004Dosud veden jako ISO/IEC 17779 (leden 2008).Standard ISO/IEC 27004Information security management metrics and measurementCo a jak měřit při určování účinnosti ISMS. Metriky nemusí být striktně definované, hodnoty se získávají externími audity, ale také interními statistikami (odhalení rizik, počet virů, reakce zákazníků,...)Standard ISO/IEC 15408Evaluation Criteria for IT security. Rok 2005.Hodnotící kritéria podporující vyslovení záruky, že proces specifikace, implementace informační bezpečnosti produktu/systému byl veden přísným a standardním způsobem. Předmětem hodnocení (TOE) je konkrétní mód použití. Hodnocením podle CC (Common Criteria) se ověřuje, zda TOE vykazuje deklarované bezpečnostní vlastnosti. Dále v následující otázce. Hodnocení produktu má dvě části: hodnocení ST a hodnocení TOECharakterizuj obsah a funkci PP (Protection profile) a ST (Security target) v rámci ISO/IEC 15408.PP – Profil ochran, protection profile. Jedná se o dokument obvykle vytvářený uživatelem, identifikuje požadavky na bezpečnost, definuje třídu bezpečnostních zařízení (karty). PP lze použít jako šablonu pro definici bezpečnostního cíle. Produkty mohou vlastnit certifikát vyhovění jistému PP.ST – Dokument definující bezpečnostní vlastnosti produktu/systému (Security Functional Requirements – SFR), specifikace bezpečnostních funkcí. Součástí CC je katalog takovýchto funkcí. U produktu se obvykle hodnotí splnění zadaného ST. ST je často reklamním materiálem výrobce.Obsah PP/ST:Úvod, popis TOE, definice bezpečnostního problému, bezpečnostní cíle, bezpečnostní požadavky, odůvodnění bezpečnostních cílů.4 úrovně pohledu na bezpečnostní normu ITSEC.Jedná se o evropská hodnotící kritéria přijatá EU v roce 1995. V současnosti jsou nahrazována CC z ISO/IEC 15408, takže nemá cenu se jimi zabývat hlouběji.Úrovně důvěryhodnosti certifikátuElementární – prohlížení webuZákladní – online nákupyBěžná – ověřovaná podle důvěryhodných podkladůVysoce důvěryhodná – osobní registrace, důkladná lustraceZákladní dokumenty certifikační autorityCertifikační politika (CP) – pravidla vyjadřující použitelnost certifikátu pro konkrétní komunitu a/nebo třídu aplikací se shodnými požadavky na bezpečnost. Stanovuje vlastnosti a povinnosti zúčastněných stran, třídy důvěryhodnosti certifikátů a jejich typy, meze záruky a další.Certifikační prováděcí směrnice (CPS) – detailní popis provozních procedur, standardů a praktik, které CA používá, aby vyhověla CP. Stanovuje například identifikační procedury, délky a platnost klíčů, použité algoritmy, definice procedur revokace, archivace. Havarijní plán, bezpečnostní politiky IS, plán obnovy po bezpečnostním incidentu,... Typická struktura dokumentů CP/CPS: Úvod, obecné požadavky na zúčastněné strany, identifikace a autentizace žadatelů, provozní požadavky, bezpečnostní opatření, profily certifikátů a CRL, správa certifikační politiky.Vypište a charakterizujte role v PKI.Držitel certifikátu – nejdříve žadatel o vydání certifikátu, pak entita jejíž nějaká vlastnost je certifikovanáUživatel certifikátu – strana spoléhající na důvěryhodnost certifikátuCertifikační autorita – vydavatel certifikátu, poskytovatel službyRegistrační autorita – autorita provádějící pro nějakou CA proces identifikace a registrace žadatelů o certifikátRepozitář – obsahuje privátní databázi pro zálohování a archivaci klíčů a LDAP Server (Lightweight Directory Access Protocol Server), který publikuje seznamy certifikátů a seznamy revokovaných certifikátů (CRL)Vydavatel certifikačních politik – definuje požadavky na vytváření a ověřování certifikátů pro potřeby nějaké třídy aplikacíSchvalovatel certifikačních politik – provádí hodnocení politik a vypracovává hodnotící zprávyMetody diseminace klíčůOut-of-band – off-line předávání certifikátů mimo běžné komunikační cestyOn-line – vystavení certifikátů (např. LDAP)In-band – v rámci komunikačních protokolů (např. S/MIME)Klasifikace EPSS elektronickými penězi X bez nichS přímou komunikací mezi plátcem a příjemcem X bez níPodle vztahu mezi dobou, kdy iniciátor považuje operaci za uskutečněnou a kdy se převedou peníze: prepaid, aktuálně placené, platba uskutečněná později.Podle možnosti identifikace účastníkůOnline X offlinePodle velikosti přenášeného obnosuRole elektronického šeku v modelu příjemce – odesilatel – banka příjemce – banka odesilateleElektronický šek je instrukce pro banku odesilatele, která říká, kolik peněz a na jaký účet se má převést. V praxi existují čtyři druhy platby šekem.Deposit-and-clear – šek příjemce předá své bance a banky se vyrovnajíCash-and-transfer – šek příjemce předá bance odesilatele a banky se vyrovnajíLockbox – šek odesilatel předá bance příjemce a banky se vyrovnajíFund transfer – šek odesilatel předá své bance a banky se vyrovnajíVisa 3-D SecureProtokol elektronických transakcí. Podpora plateb kartami v e-commerce. Podpora autentizace uživatele platební karty – využívá se HTTP redirection, vše je kryptograficky chráněno. Obchodník musí používat tzv. merchant plugin na svém serveru.