ISEC 1 - Kontext und Konzepte

Eine Befehlsfolge, die ein Wirtsprogramm zur Ausführung benötigt. Ein Virus kann andere Programme infizieren, in dem es sie so modifiziert, dass sie eine Kopie von sich selbst enthalten (?) --> mutierend

Password + Fishing

0-day-exploit, Schwachstelle die nicht bekannt ist

Irgend eine populäre Seite wie z.B. Facebook mit Banner ausstatten, die auf einen Virus verweisen

tage-, wochen-, monatelanger Angriff, Ziel: sich langsam in die Firma einnisten und die Infrastruktur ausspähen

• Verschlüsselung
• minimale Rechte (z.B. bei Abteilungswechsel Rechte sofort anpassen)
• Überwachung (monitoring) (nach verdächtigen Vorgängen ausschau halten)

• Sicherheitsrichtlinie : enthält Schutzziele und Sicherheitsmassnahmen (offizielle Vorgaben für eine Organisation, sagt aus was erlaubt ist und was nicht)
• Sicherheitsmassnahme : Methode, Werkzeug, Prozedur zur Erzwingung einer Sicherheitspolitik (Ziel: Sicherheits verletzung verhindern, verursachten Schaden begrenzen, Konsequenzen kompensieren)

Um zu vertrauen, dass Massnahmen funktionieren, benötigt es mehrere Annahmen:

• jede Massnahme wurde entworfen eine oder meherere Teile der Sicherheitsrichtlinie zu implementieren
• Alle Massnahmen zusammen implementieren alle Aspekte der Sicherheitsrichtlinie
• Massnahmen sind korrekt implementiert
• Massnhamen sind korrekt installiert und verwaltet

z.B. Richtlinie: jeder Raum ist durch einen Schlüssel gesichert. Massnahme: Wer kriegt den Schlüssel?

Vertrauen kann nicht präzise quantifiziert werden. Spezifkation, Entwurf und Implementeirung des Systems kann aber eine Grundlage bilden wie weit man einem System trauen kann.

• Spezifkation: bestimmt die Anforderungen an das System
• Design: übersetzt die Anforderungen in Komponenten, die diese realiseren
• Implementierung: erfüllt die Spezifikation

--> Sicherheitstests (penetration tests)

• Kosten-Nutzen-Analyse (Welcher maximale Schaden ann eintreffen?)
• Risikoanalyse
• Rechtliche Rahmenebdinungen

Organisatorische Probleme

• Return on investment
• Verantwortlichkeiten ("Wer muss dafür gerade stehen?"
• Mittelknappheit (Budget für Schutz)

Menschliche Probleme

• Outsider
• Insider

--> unzureichend ausgebildetes Personal, social engineering

• Informationssicherheit hängt von vielen Aspekten eines IT-Systems ab
• Bedrohungen und Gegenmassnahmen hängen von der Qualität und Verfübgbarkeit der Sicherheitsdienste ab
• Begriff des "Vertrauens" Trust ist der zentrale Begriff in der Informationssicherheit
• Die zu realisierenden Sicherheitseigenschaften definieren die Schutzziele eines Systems, welche in den Sicherheitsrichtlinien zusammengefasst sind

Legitime Zugriffe sollten immer möglich sein.

Ermöglicht im Nachhinein Urheberschaft des Zugriffes eindeutig nachzuweisen.

Zugriffe auf Ressourcen werden durch diese Schutzziele beschränkt und kontrolliert.

Der Vertrauensbegriff beschreibt keine Sicherheitseigenschaft eines Systems. Sicherheitstechnolgoien können verwendet werden, um Vertrauen in IT-Systeme aufzubauen. Vertrauen per se erhöht nicht die Sicherheit eines Systems.

Risiko bestimmt die Wahrscheinlichkeit des Eintritts eines Schadenereignisses und die Höhe des potenziellen Schadens, der dadurch hervorgerufen werden kann. Es ist also die Eigenschaft der Umgebung, in der sich das IT-System befindet.

• Datendiebstahl (Raub von Unternehmensdaten, Geschäftsgeheimnissen oder persönlichen Daten von Mitarbeitern, Kunden)
• Datenvernichtung und Blockierung der Infrastruktur
• Gelddiebstahl
• Reputationsschädigung
• Finanzieller Schaden (häufig via DDoS)

• Mitarbeiter ("das schwächste Glied") häufig PR-Mitarbeiter oder Personalmitarbeiter erhalten häufig schädliche Korrespondenz
• Social Engineering (relevante Inhalte  als Viren tarnen)
• Sicherheitslücken und Exploits (z.B. Zero-Day-Sicherheitslücken)

• Second Stages
• Defacements
• Spam
• Phishing and scams
• DOS and brute forcing

• Subjekt (Person)
• Zugriffsrecht (Recht abgelegt in DB)
• Autorisierung (Vorgang um Recht zu erhalten)

• Legitimer Kanal
• Verdeckter Kanal ("covert channel", z.B. Pagefault im RAM, SIM Stromverbrauch messen)

Was wurde evaluiert? Ganzes System vs. einzelne Komponenten. Gegen welche Art von Angriffen wurde getestet?

• funktionssicher (safety) --> tut was es tun soll (z.B. Feuer -> Feueralarm auslösen)
• informationssicher (security) --> Schutz der Informationen
• Datensicherheit (protection) --> Schutz der Daten (Bsp. bei Transport)
• Datenschutz (privacy) --> Unter welchen Umständen dürfen Daten verwendet werden?

• Verlässlichkeit (dependability)
• Vertrauen (trust)
• Zusicherung (assurance) --> nicht blind vertrauen; Zusicherung in Form von Zertifikat / Zertifizierung

• Authentizität (authenticity) Bin ich die Person für die ich mich ausgebe?
• Integrität (integrity) Sicherstellung des ursprünglichen Zustands der Daten --> digitale Signatur --> nicht modifiziert
• Vertraulichkeit (confidentiality)
• Verfügbarkeit (availability) Sind Daten bei DDoS noch verfügbar?
• Verbindlichkeit (non repudiation) Nichtabstreitbarkeit, macht der Andere das was ich verlange?
• [Anonymisierung (nicht als Mitgleid einer Gruppe erkennbar) und Pseudonymisierung (jemand weiss das Person 4711 Herr XY ist)]

Beachte: nicht in jeder Kombination möglich, z.B. Authentizität und Anonymiseurng ist ein Widerspruch 

• Erreichen bzw. Einhalten der Informationssicherheit
• und damit Schutz der Ressourcen, die in einem (IT-)System zur Verfügung gestellt werden

• autorisierter Personenkreis "need to know Prinzip"
• Existenz von Daten (z.B. Merger von zwei Firmen, Daten müssen verborgen bleiben)
• Resource Hiding

• Kryptografie (nur Menschen mit Zugang zum Schlüssel haben Zugriff)
• Systemabhängige Mechanismen

/!\ Alle Mechanismen benötigen unterstützende Systemdienste und beruhen darauf, dass diese korrekte Daten liefern. 
--> Annahmen (assumption) und Vertrauen liegen Confidentiality-Mechanismen zugrunde! 
--> Absolute Sicherheit nicht erreichbar / bezahlbar!

• Verhinderung unautorisierter Modifikation von Information (ITSEC)
• Korrektheit von Daten und korrekte Funktionsweise von Systemen (BSI)
  • korrekter Inhalt (Sachverhalte korrekt abgebildet)
  • unmodifizierter Zustand (Nachricht unverändert zugestellt, Programme / Prozesse laufen wie beabsichtigt ab)
  • temporale Korrektheit (Verzögerungen / Reihenfolgen einhalten)

• verhindern
• erkennen

Fragen:

• Was möchte ich schützen? Assets
• Warum will ich diese Assets schützen? Motivation
• Wie werde ich dies erreichen? Mechanismus oder Prozess (z.B. Mitarbeiter haftbar machen)
• Wer ist im Anwenden der Sicherheitsmassnahmen involviert? Menschen
• Wo werde ich die Sicherheitsmassnahmen einsetzen? Lokation (Firmenweit? Perimeter, nur einzelne neuralgische Punkte?)
• Wann werde ich die Sicherheitsmassnahmen eisnetzen? Zeit

• Authentisierung
• Zugriffsrechte
• Geheimhaltung
• Integrität
• Nichtabstreitbarkeit (non-repudiation)
• Referenzmonitor (eine logische Einheit (ein abstraktes Modell, oder auch eine konkrete Implementierung) die für die Kontrolle und Durchsetzung von Zugriffsrechten zuständig ist)
• Management Memory Unit (MMU) --> Macht der Chip was er soll?

• Security Recovery
• Security Audit

• Bedrohung / Gefahr
  • Bedrohung-Potenzial
  • Schwachstellen
• Schadenspotenzial
  • Werte (Vermögen, Wissen, Gegenstände, Gesundheit)
  • Quantifizierung
• Eintrittswahrscheinlichkeit

Werte sind alles, was für eine Institution wichtig ist (Vermögen, Wissen, Gegenstände, Gesundheit).

• Schwachstelle (weakness)
  • Schwäche eines Systems oder an einem Punkt, an dem ein System verwundbar werden kann
• Verwundbarkeit (vulnerability)
  • Schwachstelle, über die SICHERHEITSDIENSTE des Systems umgangen, getäuscht oder unautorisiert modifiziert werden könnnen

• Programmierfehler
• Konfigurationsfehler
• Konzeptionsfehler in Programmiersprachen
• menschlisches Fehlverhalten

• Buffer-Overflow
• Computerviren (setzen Nutzeraktion voraus, können sich nicht selbst verbreiten)
• Würmer (sind Viren, verbeiten sich automatisch im Netzwerk, Internet, übernehmen System und schicken Schadcode weiter via E-mail)
• Trojanische Pferde (sind Viren, stecken getarnt in nützlichen Programmen, protokollieren Eingaben und schicken diese Zurück an Entwickler, der sie für illegale Zwecke missbraucht, können auch Backdoor im System einrichten, häufigstes Ziel: online Banking)
• Botnetze und Spam
• mobiler Code

--> Schwachstelle + Bedrohung = Gefährdung

Industriestandard für einheitliche Namenskonvention für Sicherheitslücken und andere Schwachstellen (laufende Nummiereung, Liste der CVEs wird von MITRE Comp. und anderen verwaltet)

Zeigen auf wie einfach / aufwändig ein Angriff auf bestimmte Sicherheitslücke ist, und geben potenzielllen Schaden bei einem Angriff an

Common Vulernability Scoring System (CVSS)

• AV = Access Vector (local, adjacent (dt. angrenzend z.B. von RZ A zu RZ B), network)
• AC = Access Complexity (high, medium, low)
• Au = Authentication (multiple, single, none)
• C = Condifentiality Impact (none, partial, complete)
• I = Integrity Impact (none, partial, complete)
• A = Availability Impact (none, partial, complete)

Bsp. Vektor AV:N / AC: L / Au:N / C:P / I:P / A:C (plus Punkte für verschiedene Elemente wie Explotability, Impact und Overall Base Score)