...
Kartei Details
| Karten | 64 |
|---|---|
| Sprache | Deutsch |
| Kategorie | Technik |
| Stufe | Andere |
| Erstellt / Aktualisiert | 06.07.2021 / 23.11.2021 |
| Weblink |
https://card2brain.ch/box/20210706_infsecgwerderoldexams
|
| Einbinden |
<iframe src="https://card2brain.ch/box/20210706_infsecgwerderoldexams/embed" width="780" height="150" scrolling="no" frameborder="0"></iframe>
|
Lernkarteien erstellen oder kopieren
Mit einem Upgrade kannst du unlimitiert Lernkarteien erstellen oder kopieren und viele Zusatzfunktionen mehr nutzen.
Melde dich an, um alle Karten zu sehen.
Erklären sie wie im Falle einer “Baiting”-Attacke vorgegangen wird und bei welcher Arbeits-
methode sie zum Einsatz kommt.
Bei Baiting werden “interessante Applikationen” gratis oder zu einem übertrieben günsti-
gen Preis angeboten. Eine andere Möglichkeit ist das Versprechen von Features, die nicht
gehalten werden können.
Oftmals wird das Angebot mit einem Zeitdruck versehen, was die Prüfung erschweren soll.
Im Gegenzug erteilt man oft weitreichende Rechte auf die Daten des Benutzers (z.B. Face-
book, Whatsapp oder viele Gratsspiele) oder die Software installiert einen Trojaner, welcher
beim entfernen des Programmes nicht entfernt wird.
Nennen sie neben “direkt”, “Brief” und “E-Mail” mindestens drei weitere Angriffskanäle des
“Social Engineerings”
• Soziale Medien
• Chat
• Fax
• Telefon / VOIP
Welche 2 Kriterien muss ein Prozess erfüllen, damit er effektiv als Abwehr gegen Social
Engineering eingesetzt werden kann?
• Er muss Ausnahmen im Prozess Regeln und sinnvolle Schranken, wie zum Beispiel das
Vieraugen-Prinzip einführen.
• Er muss regelmässig der Realität angepasst werden.
Erklären sie worum es bei einer “Privilege Escalation” geht. Nennen sie
zusätzlich ein Beispiel.
Bei der “Privilege Escalation” werden typischerweise existierende Sicherheitsbarrieren
umgangen. Dies erfolgt entweder durch Übernahme von Rechten hochprivilegierter
Prozesse (1 Pkt) oder durch die Überwindung von Sicherheitsbarrieren (1 Pkt).
Einer der häufigsten Hilfsmittel zur “Privilege Escalation” ist der sogenannte “Buffer
Overflow” (1 Pkt).
Wichtig: Das vorhandensein eines SUID-Bittes oder das Ausführen von sudo ist keine
“Privilege Escalation”.
Nennen sie die CIA-Schutzziele (1 Pkt; Egal welche Sprache) und nenne sie
mindestens zwei zusätzliche Schutzziele (je 1 Pkt). Nenne sie zu jedem der genannten
Schutzziele je ein gutes Beispiel (je 2 Pkt)
CIA-Schutzziele:
• “Confidentiality” (Schützen vor Zugriff Unberechtigter indem Dateirechte ver-
geben werden) (1 Pkt)
• “Integrity” (Signieren von Dokumenten) (1 Pkt)
• “Availability” (Redundant aufgebaute Serversysteme) (1 Pkt)
, Zusätzliche (Beispiele):
• “Auditability” (Überprüfbarkeit/Logen von Zugriffen) (1Pkt Nennung und max
2 Pkt für Beschreibung)
• “non-repudiation” (nicht-Abstreitbarkeit; Zum Beispiel unterschreiben eines
Dokumentes) (1Pkt Nennung und max 2 Pkt für Beschreibung)
• “Accountability” (Zurechenbarkeit; Stempel eines QS-Verantwortlichen oder
einer Bestückerin an einem Werkstück) (1Pkt Nennung und max 2 Pkt für
Beschreibung)
Welche Kriterien gelten für Risiken, damit sie sinnvollerweise in einem
Risikographen eingetragen werden sollen. Nennen sie mindestens vier.
• Sie müssen wesentlich sein (Es bringt nichts Risiken einzutragen, die offensicht-
lich immer im grünen Bereich sind).
• Sie müssen durch Massnahmen homogen gesenkt werden können (Es bringt
nichts interne und externe Angriffe als ein Angriff zu klassifizieren, wenn davon
Ausgegangen wird, dass das Risiko mit einer Firewall gegen aussen gesenkt
werden soll).
• Sie müssen so gegliedert sein, das eine Aufgliederung nach Unterkriterien/-
Kategorien keinen zusätzlichen Wissensgewinn mehr bringt.
• Sie müssen quantifizierbar sein nach Schadensausmass
• Sie müssen quantifizierbar sein nach Eintretenswahrscheinlichkeit.
• Das Risiko (Schadensausmass x Eintretenswahrscheinlichkeit) muss Beeinfluss-
bar sein (Also kein Weltuntergang; Der kann auch nicht versichert werden)
Nennen sie mindestens vier Bedrohungen für ein Server in einem Ser-
verraum, die nicht auf einen Angriff zurückzuführen sind und nennen sie für jeden
mindestens einen Indikator für das Eintreten.
• Wassereinbruch (Nasse Füsse beim Betreten des Serverraums)
• Feuer (Rauchentwicklung im Serverraum)
• Stromausfall (Kein Betriebsgeräusch im Serverraum)
• Ausfall der Klimaanlage (Temperatur im Serverraum ist überdurchschnittlich
hoch)
Erklären sie den Begriff “single loss expectancy” (SLE). Zählen sie min-
destens drei Teilkriterien auf und erklären sie wie sie sich auf die SLE auswirken.
Das Schadensausmass, ist ein Wert, der die Höhe eines Schadens bemisst.
• Anschaffungswert
Falls vorhanden und bezifferbar wird dieser Wert häufig als Ausgangswert ver-
wendet.
• Alter
Alter Wein ist üblicherweise teurer als neuer Wein aber alte Computer haben
einen geringeren Wert als neue.
• Ersetzbarkeit / Wiederbeschaffbarkeit
Das Gemälde der Mona Lisa hat einen geringen Materialwert aber kann nicht
wieder beschafft werden.
Wie wird der Begriff Risiko (engl. Risk) in der Sicherheit definiert?
Risiko ist das Produkt aus Schadensausmass und Eintretenswahrscheinlichkeit.
Welche Massnamen um Zugriff auf ein IT-System zu limitieren gibt es in
den Kategorien “Netzwerk”, “Physisch” und “auf dem System”. Nennen Sie mindes-
tens zwei Massnahmen je Kategorie.
• Physisch
– Bauliche Massnahmen (Türen und Schlösser).
– Bewachung durch einen Sicherheitsdienst.
• Lokal
– Netzwerke mit Firewalls absichern.
– Einsatz eines IPS.
• Auf dem System
– Sandboxen
– Sichere Laufzeitumgebung
– Benutzerkonten mit eng umgrenzten Rechten
– Sensible Daten verschlüsseln
Nennen Sie mindestens fünf Abwehrstrategien
• Angriff entdecken
• Angriff verhindern
• Angriff erschweren
• Angriff ableiten
• Schaden kontrollieren
• Vom Angriff erholen
Erklären sie was ein Tarpit ist (3 Pkt) und nennen sie mindestens zwei
unterschiedliche Formen einer Tarpit
Tarpits sind normal aussehende Dienste, die potentielle Angreifer möglichst lange
beschäftigt halten. Sie tun dies entweder durch verlangsamen der Kommunikation
oder durch Generierung von Dummy-Daten.
• IP-Level Tarpit
• SMTP Tarpit
• Harvester Tarpit
Geben sie jeweils für die folgenden Kategorien an, ab wie vielen Bits sie
derzeit als sicher gelten (Richtwert ca. 3 Jahre). Kategorien: Elliptische Kurven, RSA-
Schlüssel, Symmetrischer Schlüssel.
(Es werden Abweichungen bis zu 49% vom richtigen Wert akzeptiert)
Tarpits sind normal aussehende Dienste, die potentielle Angreifer möglichst lange
beschäftigt halten.
• Elliptische Kurven: 224-384 Bit
• RSA-Schlüssel: 2048 Bit
• Symmetrische Schlüssel: 192 Bit
Asymmetrische Verschlüsselung hat nicht das Problem des Sicheren Schlüs-
seltransfers. Warum wird dieses Verfahren nicht überall eingesetzt und stattdessen mit
einer Kombination aus Symmetrischer und Asymmetrischer Verschlüsselung gearbei-
tet?
Asymmetrische verfahren haben einen viel grösseren Overhead. Ausserdem können sie
nicht Dinge übertragen, die ihre Schlüssellänge übersteigen (anders als bei Symmetri-
schen Verfahren haben sie keinen “Mode” sondern nur ein Padding). Der asymmetri-
sche Schlüssel kann für die Identifikation oder die Übermittlung eines symmetrischen
Schlüssels verwendet werden. Nachher wird aber aus Effizienzgründen mit symmetri-
schen Verfahren gearbeitet.
Besser noch wird aber ein symmetrischer Schlüssel über ein Schlüsseltauschverfahren
(z.B. Diffie-Hellmann) realisiert (PFS).
Erklären sie den Begriff “mutual authentication” (2 Pkt) und warum ist
eine solche Authentisierung so wichtig bei einer perfekt verschlüsselten Verbindung (4
Pkt)?
Mutual authentication ist, wenn sich beide Parteien Gegenseitig authentifizieren. Eine
Mutual authentication kann nicht mit den traditionellen Mitteln von User/Paswort
mit den aus der Vorlesung erreicht werden. Nur mit Zertifikaten ist dies möglich.
Auf diese Art und Weise kann ausgeschlossen werden, dass ein Kommunikations-
kanal mit einer möglicherweise gefährlichen, dritten Partei aufgebaut wird (MITM-
Attacke). Der am besten verschlüsselte Kanal bringt nichts, wenn nicht gewährleistet
ist, dass der richtige Kommunikationspartner am anderen Ende sitzt.
Nennen Sie drei drei gute Beispiele (keine Wiederholungen) für die Risikostrategie “Risiko-
transfer”
• Ein Risiko versichern bei einer Versicherung.
• Hochrisiko-Projekte in einer eigenen, separaten Firma ausführen lassen.
• Gewisse Handlungen an einen Partner outsourcen.
• Gewisse Risiken an den Kunden weitergeben (z.B. durch Haftungsausschluss)
Eine Firma namens ACME Limited verarbeitet Impfdaten von Spitälern und Spitalverbunden
in mehreren Ländern (USA, Deutschland, Grossbritannien, Kanada). Sie hat einen Cluster
mit einem Loadbalancer und drei Webservern, die Impfdaten auf einer MS-SQL Datenbank
abspeichern und abrufen. Der Webserver ist ein NGINX-Server und hat Squid als Reverse-
Proxy vor sich. Welches sind die zwei grössten Assets dieser Firma?
Reputation (muss vorhanden sein, sonst wäre die Lösung nicht soweit verbreitet beziehungsweise
würden Kunden schnell abwandern)
(Impf-)Daten (Hohe Klagekosten jenseits der Kosten von Hard- und Software könnten
die Folge sein. Speziell weil Medizinaldaten typischerweise besonders vom Gesetzgeber
besonders geschützt sind).
Erklären Sie die Begriffe “Vertraulichkeit” und “Vertrautheit” sowie deren Unterschied. Nen-
nen sie jeweils ein typisches Beispiel.
Das sind zwei typische Arbeitsmethoden des Social-Engineerings:
• Vertrautheit
Nähe zu jemandem über eine gemeinsame Begebenheit, ein gemeinsames Hobby oder
ein gemeinsames Gefühl (kann ein Witz sein) herstellen.
• Vertraulichkeit
Jemanden davon abhalten sich mit Drittpersonen abzusprechen, weil eine Information
vertraulich ist (z.B. börsenrelevant).
Wie heisst die typische Arbeitsweise des Social-Engineering (Verwenden Sie die Begriffe aus
dem Unterricht), wenn folgende Situation gegeben ist:
Eine Person verlangt am Telefon, dass Sie ihr eine vertrauliche Auskunft geben, weil
sie angeblich (was nicht stimmt) der/die Sekretär/in vom Direktor ist.
• Impersonation
• eventuell (bei entsprechender Begründung) “Authority” (ist etwas gesucht aber möglich)
Nennen Sie zwei unterschiedliche Attacken, bei denen die Ressource Arbeitsspeicher angegrif-
fen wird.
• A Billion Laughter
• XML External entity (wenn ein grosses File (z.B. Swapfile) eingebunden wird).
• Quine-Zipfile wenn der entpacker auf einem RAM-Drive oder im Speicher arbeitet.
Worin unterscheiden sich eine IDS und ein IPS?
Eine IPS (Intrusion Prevention System) soll verdächtige Aktionen (IoA oder IoC) auf einem
produktiven System blockieren. Ein IDS (Intrusion Detection System) soll verdächtige Ak-
tivitäten im sicheren Umfeld aufdecken.
Warum sollte beim Speichern eines Passwort immer ein Hash mit Salt verwendet werden
(2P)? Was ist die Funktion des Salts (1P)? Muss der Salt geheim gehalten werden (1P)?
Wann ändert der Salt (1P)?
• Weil es den Aufwand beim knacken der Passworte massiv erhöht (2P).
• Es reduziert/verunmöglicht den Einsatz von Rainbow-Tables und sorgt dafür, dass
gleiche Passworte nicht mehr gleich aussehen.
• Nein – er ist im Hash in Klartext enthalten.
• Bei jedem Passwort.
Erklären Sie die Funktionen von VA und RA bei einer PKI (je 2 Pkt). Was heisst VA und RA
überhaupt (je 1 Pkt für eine vollständige und richtige Bezeichnung). Welcher Schlüssel wird
bei der VA eingesetzt und wer hat ihn typischerweise unterschrieben?
• Registration Authority
Überprüft ob eine Entität berechtigt ist einen CSR zur Unterschrift zu übergeben (z.B.
wurde der geforderte Geldbetrag überwiesen oder hat die Entität die Kontrolle über
die zu signierende Domäne).
• Validation Authority
Sorgt dafür, dass zurückgezogene Zertifikate als solche erkannt werden können. Unter-
schreibt mit einem eigenen Schlüssel die CRL oder OCSP-Anfragen, damit Entitäten
belegen können, dass das Zertifikat noch nicht revoziert ist. Der Schlüssel der VA wird
typischerweise von der CA (mit ihrem privaten Schlüssel natürlich) unterschrieben. Es
wird zum beglaubigen niemals der private Schlüssel der CA verwendet.
Was sind die Hauptunterschiede zwischen einem CSR und einem Zertifikat (nennen Sie zwei
massgebliche)?
Ein Zertifikat entsteht durch Unterschrift eines CSR durch eine CA.
• Ein CSR ist nicht von einer CA unterschrieben (ein Zertifikat schon).
• Ein Zertifikat beinhaltet zusätzliche Informationen (z.B. den Ort der RA), welche im
CSR nicht vorhanden sind (falls doch werden Sie ersetzt; Siehe nächstes Beispiel).
• Ein CSR hat typischerweise kein Gültigkeitsbereich (dieser wird durch eine CA beim
überschreiben hinzugefügt oder ersetzt).
• Ein CSR hat typischerweise keine Einschränkungen. Diese werden typischerweise erst
bei Unterschrift durch die CA hinzugefügt.
Erklären Sie, was im folgenden Kommando gemacht wird (2P):
openssl x509 −req −in file1 −CA file2 −CAkey file3 − CAcreateserial −out file4 −days 500 −sha256
Was befindet sich in den Files “file1”, “file2” und “file4” (je 1P)?
Wofür wird SHA256 im vorliegenden Beispiel verwendet (1P)?
Es wird ein CSR (file1) unterschrieben mit dem CA Zertifikat (file2). Das neue, unter-
schriebene Zertifikat wird in File4 abgelegt. Der sha256-Hash wird verwendet um das Zer-
tifikat zu unterschreiben.
Nennen Sie 3 typische Funktionen einer Smartcard, ausser verschlüsseln, entschlüsseln und
signieren von Datenblöcken?
• Sicherer Zufallszahlengenerator
• Schlüsselgenerator für asymmetrische Schlüssel
• Sicherer Schlüsselspeicher (nicht zugänglich für Anwendungen ausserhalb der Smart-
card)
• Öffentlicher Lesespeicher (für die Zertifikate)
Welche zwei Eigenschaften verschlechtern sich typischerweise, wenn Sie bei einer App oder
einem Prozess die Sicherheit erhöhen (Tipp: Denken Sie an ein Dreieck)?
• Benutzbarkeit/Usability
• Funktionalität/Functionality
Nicht gewertet: “Performance” (Sicherheit muss nicht typischerweise mit einer Performance-
Degradation einhergehen; Kann bei lausigen implementation so sein, ist aber nicht typisch).
Nennen Sie zwei typische Formen ausser “Jails”, die bei einer Isolation (z.B. Prozess oder
Dateisystem)zum Einsatz kommen.
• Sandboxes
• Jails
• Container
• VMs
Ein Kollege von Ihnen schlägt vor um Heap-basierte Overflow-Attacken zu begegnen bei den
Rechnern (oder dem OS) das NX-Flag zu setzen. ist das Ihrer Meinung nach eine gute Lösung
und weshalb (2P). Was wäre eine Standard-Lösung für diese Form von Angriff? (1P)
Falls es sich um einen reinen Daten-Heap handelt, wäre es eine Möglichkeit. Bei gemischten
oder Code-Heaps aber kann das NX-Bit nicht eingesetzt werden. Die Standardlösung gegen
eine Heap-basierte Overflowattacke wäre ASLR (Address Space Layout Randomization).
Erklären Sie möglichst genau, was Canaries prüfen, wie sie Aussehen können und welche Art
von Angriffen damit detektiert werden können
Bei Canaries werden zwischen einzelnen Elementen auf dem Stack (oder allgemein im Spe-
icher) Prüfbytes mit einem wechselnden Wert eingefügt. Dieser Wert wird kontinuierlich
durch die Applikation oder das OS geprüft. Wenn der Wert dieser Prüfbits sich ändert liegt
typischerweise ein Buffer-Overflow auf dem Stack vor.
-
- 1 / 64
-
