IT-Security HWZ BWI Sem 6 Teil 1 Begriffe
HWZ BWI-A12 Semester 6
HWZ BWI-A12 Semester 6
Verschlüssekte Übertragung von Passwörtern. Keine Speicherung von Passwörtern im Klartext. Gegen Wörerbuchangriffe ist eine Verlängerung des Passworts besser als die Steigerung der Komplexität
spezifische Kontrollen für betriebswirtschaftluche Anwendungen. Beinhalten manuelle und automatische Prozeduren.
Eingabekontrollen, Verarbeitungskontrollen, Ausgabekontrollen
Kontrollsummen, Bearbeitungsprüfung, Computervergleich / Konsistenzchecks, Ausführung von Kontrollsummen, Bericht ber die Verteilung
Optimaler Sicherheitslevel
BILD FOLIE 42
Fehlertolerante Computersysteme, Lastausgleich (Load Balancing), Spiegelung, Clustering, Recovery-Oriented Computing
Disaster Recovery Plannung (DRP), Business Continuity Planning (BCP)
Secret Key Verschlüsseung
Bild FOLIE 44
Vorteil: Hohe Geschwindigkeit beim Ver- und Entschlüsseln. Nachteil: Aufwendige Schlüsselverteilung
Public-Key-Verschlüsselung
BILD FOLIE 46
Authentifizierung im Rahmen der PKI-Infrastruktur
Bild FOLIE 47
Vorteil: Einfacheres Schlüsselmanagement, Nachteil: Ausführung deutlich langsamer als bei SK-Verfahren
In der Praxis werden PK- mit SK-Verfahren kombiniert, um die Verteile beider Verfahrensklassen zu nutzen.
Sensibilität der Daten, Dauer der geheimhaltung des Inhalts, gespeicherte oder übertragene Daten deren Vertraulichkeiz zu schützen ist, sind Daten aufgrund firmeneigenen oder regulatorischen Vorgaben zu schützen? Sicherheit der Umgebung in der Verschlüsselung stattfindet. Soll Hardwarwe oder Softwareverschlüsselung angewandt werden? Müssen die Implementierunen zertifiziert sein? Muss die Verschlüsselung Ende-zu-Ende oder nur von Tür-zu-Tür erfolgen?
Unternehmen müssen wissen, wie Kryptografie implementiert und betrieben wird.
Erstellung eine elektronischen Signatur
BILD FOLIE 51
Digitale Zertifikate
BILD FOLIE 52
SSL (Secure Sockets Layer) und sein Nachfolger TLS (Transport Layer Security) sind Protokolle für die sichere Informationsübertragung. Entwicklung der Authentifizierung geht weg vom puren Einsatz von UID/PW und hin zu Verfahren bei welchen zumindest zwei Faktoren (aus Wissen, haben , sein ) zusammenkommen. Wissen und haben können im Gegensatz zu sein bei Kompromittierung geändert werden
Aufbau eines VPN-Tunnels
BILD FOLIE 54
Funktionsprinzip einer Firewall
BILD FOLIO 55
Informationssysteme haben Arbeit effizienter gemacht, durch Vernetzung ist ein weitgehender Informationszugang möglich.
Störungen, Fehlern, Missbrauch
ernsthafter Verlust der Geschäftsfunktionalität
Stetig wachsende Zahl von Angriffen durch Viren, Würmer, Trojaner und Phishing
Vertrauensverlust auf Seiten Kunden wird riskiert bei keinen oder zu wenigen Massnahmen
Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit
Schutz der Nachrichteninhalte gegenüber Einsichtnahme unautorisierter Dritter. Vergeben der Identität vor dem Kommunikationspartner Anonymität). Schutz vor Dritten. Geheimhaltung des momentanen Aufenthaltsort, auch gegenüber dem Nutzbetreiber
Schutz der Nachrichteninhalte. Nachrichten sind vollständig und unverändert
Den autorisierten Benutzern stehen die Dienstleistungen und Funktionen des IT-Systems zum geforderten Zeitpunkt zur Verfügung.
Empfänger und Absender einer Nachricht sollen beweisen können dass Nachricht gesendet/empfangen wurde ((Keine Vorschläge)). Gewährleistung der Authentizität von Absendern und Empfängern von Daten. (nicht als anderer ausgeben).
keine generell geregelte Sicherheit. Instrumente existieren und ein gewünschtes Mass an Sicherheit individuell zu definieren.
Prozess, bei dem während der Anmeldung an ein System die Identität der Person, die sich anmeldet, geprüft wird.
Nach Authentifizierung wird geprüft, ob eine Person, Komponente oder Anwendung berechtigt ist, eine bestimmte Aktion durchzuführen
System aus Regeln und Massnahmen, welche die Verfügbarkeit, Vertraulichkeit und Integrität der Daten soweit wie möglich sicherstellen, indem Informationssystem vor schädlichen externen Einflüssen, technischen Fehlern, fahrlässigem erhalten und Sabotage geschützt werden.
System aus Gesetzen, Regeln und Massnahmen, die den Einzelnen davor schützen, dass Dritte unzulässiger weise personenbezogenen Daten über ihn sammeln, speichern, verarbeiten und weiterverbreiten und somit seine Persönlichkeitsrechte verletzen.
regelmässige Sicherungskopien vorhandener Datenbestände.
Wahrscheinlichkeit des eintretens eine sbestimmten Schadns und deren Folgen. Dem Wert wird gegeübergestellt, welche Massahmen welche schadnebegrenzenden Wirkungen haben und welche Kosten diese verursachen.
Richtlinie formuliert die Schutzziele und die allgemeinen Sicherheitsmassnahmen im Sinne verbindlicher Vorgaben eines Unternehmens. Sie besteht in der Regel aus einer Zusammenstellung von spezifischen Dokumenten, die Standards und Vorgaben für verschiedenen IT-Bereiche enthalten.
Hardwaredefekt, Softwarefehler, Anwenderfehler, Unberechtigte Programm und Datenänderungen, Diebstahl von Daten, Diensten und Ausrüstung, Schädliche Software, Unzureichende Sicherheitskonzepte, Schlecht konfigurierte IT-Systeme, Unsichere Vernetzung und Internetanbindung, Sicherheitserfordernisse werden nicht beachter, Unrureichende Wartung der Systeme, Sorgloser Umgang mit Passwörtern
Feuer, hohes Alter, Stromausfall, fehlende Redundanz
-
- 1 / 82
-
Cartes-fiches
Informationssysteme haben Arbeit effizienter gemacht, durch Vernetzung ist ein weitgehender Informationszugang möglich.
Störungen, Fehlern, Missbrauch
ernsthafter Verlust der Geschäftsfunktionalität
Stetig wachsende Zahl von Angriffen durch Viren, Würmer, Trojaner und Phishing
Vertrauensverlust auf Seiten Kunden wird riskiert bei keinen oder zu wenigen Massnahmen
Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit
Schutz der Nachrichteninhalte gegenüber Einsichtnahme unautorisierter Dritter. Vergeben der Identität vor dem Kommunikationspartner Anonymität). Schutz vor Dritten. Geheimhaltung des momentanen Aufenthaltsort, auch gegenüber dem Nutzbetreiber
Schutz der Nachrichteninhalte. Nachrichten sind vollständig und unverändert
Den autorisierten Benutzern stehen die Dienstleistungen und Funktionen des IT-Systems zum geforderten Zeitpunkt zur Verfügung.
Empfänger und Absender einer Nachricht sollen beweisen können dass Nachricht gesendet/empfangen wurde ((Keine Vorschläge)). Gewährleistung der Authentizität von Absendern und Empfängern von Daten. (nicht als anderer ausgeben).
keine generell geregelte Sicherheit. Instrumente existieren und ein gewünschtes Mass an Sicherheit individuell zu definieren.
Prozess, bei dem während der Anmeldung an ein System die Identität der Person, die sich anmeldet, geprüft wird.
Nach Authentifizierung wird geprüft, ob eine Person, Komponente oder Anwendung berechtigt ist, eine bestimmte Aktion durchzuführen
System aus Regeln und Massnahmen, welche die Verfügbarkeit, Vertraulichkeit und Integrität der Daten soweit wie möglich sicherstellen, indem Informationssystem vor schädlichen externen Einflüssen, technischen Fehlern, fahrlässigem erhalten und Sabotage geschützt werden.
System aus Gesetzen, Regeln und Massnahmen, die den Einzelnen davor schützen, dass Dritte unzulässiger weise personenbezogenen Daten über ihn sammeln, speichern, verarbeiten und weiterverbreiten und somit seine Persönlichkeitsrechte verletzen.
regelmässige Sicherungskopien vorhandener Datenbestände.
Wahrscheinlichkeit des eintretens eine sbestimmten Schadns und deren Folgen. Dem Wert wird gegeübergestellt, welche Massahmen welche schadnebegrenzenden Wirkungen haben und welche Kosten diese verursachen.
Richtlinie formuliert die Schutzziele und die allgemeinen Sicherheitsmassnahmen im Sinne verbindlicher Vorgaben eines Unternehmens. Sie besteht in der Regel aus einer Zusammenstellung von spezifischen Dokumenten, die Standards und Vorgaben für verschiedenen IT-Bereiche enthalten.
Hardwaredefekt, Softwarefehler, Anwenderfehler, Unberechtigte Programm und Datenänderungen, Diebstahl von Daten, Diensten und Ausrüstung, Schädliche Software, Unzureichende Sicherheitskonzepte, Schlecht konfigurierte IT-Systeme, Unsichere Vernetzung und Internetanbindung, Sicherheitserfordernisse werden nicht beachter, Unrureichende Wartung der Systeme, Sorgloser Umgang mit Passwörtern
Feuer, hohes Alter, Stromausfall, fehlende Redundanz
Mangelhafte Spezifikation, unzurechende Qualität der Software
Fehlerhafte Aktionen durch berechtigte Personen
Unerlaubter Zugang zu den Räumen und den Programmen
Unzureichende Analyse und Sicherungen, unzureichender Schutz von Räumen und IT-Systemem gegen Einbruch und Elementarschäden
Schädlicher Code, Schadsoftware, Viren, Trojaner, Würmer
Sicherheit hat zu geringen Stellenwert, Sicherheit wird als Eiznelprojekt durchgeführt, Voragben und Verfahren sind nicht dokumentiert und wern nicht geübt, Kontrollmechanismen und Aufklärung fehlen.
Rechtevergabe nicht stringent, zu hohe Arbeitsbelastund der Administratroen, schlechte Betriebsklima
Snesitive Systeme und Transaktionen werden kaum anders behalndelt als unkritische Systeme
Bequemlichkeit, mangelndes Verständnis, mangelhafte Schulung
Verfügbare Sicherheits-updates werden nicht getestset und eingespielt.
Bequemlichkeit, mangelnde Sensibilisierung bei normalen Benutzern, keine Änderung der Standardpasswörter bei Administratoren.
Technische Probleme, Organisatorische oder prozesstechnische Probleme, Mitarbeiter bzw. personenbezogene Probleme
Gefährdung = Bedrohung + Schwachstelle. Bedrohung allein wäre für ein perfektes IT-System nicht gefährlich. Gefährdung entstehe durch eine Schwachstelle die durch eine Bedrohung ausgenutzt werden kann
Sicherheitsprobleme von IT-Systemen
BILD FOLIE 12
In der Regel unterliegen jegliche Anpassungen der Systeme einem umfassenden Veränderungsmanagement. Ziel ist es, die Anpassungen zu dokumentieren und zu kontrollieren um problematische und fehlerhafte Auswirkungen einer Anpasung möglichst auszuschliessen bzw. rückgängig zu machen
Kommunikation über Internet ist weitaus anfälliger als über betriebsinterne Netze.
E-Mail (Viren, Würmer, Spam), Instant Messaging (Keine Verschlüsselung), Voice-over-IP (keine Verschlüsselung, DoS-Angriffe)
Drahtlose Netzwerke sind weitaus anfälliger da Funkfrequenzbänder und die Kommunikation einfach zu scannen sind. SSID (Service Set Identifierts), die die Zuganspunkte (access points) in einem WLAN identifizieren, können she einfach abgefangen werden.
Wired Equivalent Privacy: Erster Sicherheitsstandard zum Schutz von WLAN. Zur Verschlüsselung wird statischer Schlüssel mit dem RC4-Algorithmus verwendet.
MAC-Adresse der Netzwerkkarte. Nur Verbindungen von bestimmten MAC-Adressen zulasen. Nicht sicher da die MAC-Adresse einfach gefälscht oder simuliert werden kann
