IT-Security HWZ BWI Sem 6 Teil 1 Begriffe
HWZ BWI-A12 Semester 6
HWZ BWI-A12 Semester 6
Verschlüssekte Übertragung von Passwörtern. Keine Speicherung von Passwörtern im Klartext. Gegen Wörerbuchangriffe ist eine Verlängerung des Passworts besser als die Steigerung der Komplexität
spezifische Kontrollen für betriebswirtschaftluche Anwendungen. Beinhalten manuelle und automatische Prozeduren.
Eingabekontrollen, Verarbeitungskontrollen, Ausgabekontrollen
Kontrollsummen, Bearbeitungsprüfung, Computervergleich / Konsistenzchecks, Ausführung von Kontrollsummen, Bericht ber die Verteilung
Optimaler Sicherheitslevel
BILD FOLIE 42
Fehlertolerante Computersysteme, Lastausgleich (Load Balancing), Spiegelung, Clustering, Recovery-Oriented Computing
Disaster Recovery Plannung (DRP), Business Continuity Planning (BCP)
Secret Key Verschlüsseung
Bild FOLIE 44
Vorteil: Hohe Geschwindigkeit beim Ver- und Entschlüsseln. Nachteil: Aufwendige Schlüsselverteilung
Public-Key-Verschlüsselung
BILD FOLIE 46
Authentifizierung im Rahmen der PKI-Infrastruktur
Bild FOLIE 47
Vorteil: Einfacheres Schlüsselmanagement, Nachteil: Ausführung deutlich langsamer als bei SK-Verfahren
In der Praxis werden PK- mit SK-Verfahren kombiniert, um die Verteile beider Verfahrensklassen zu nutzen.
Sensibilität der Daten, Dauer der geheimhaltung des Inhalts, gespeicherte oder übertragene Daten deren Vertraulichkeiz zu schützen ist, sind Daten aufgrund firmeneigenen oder regulatorischen Vorgaben zu schützen? Sicherheit der Umgebung in der Verschlüsselung stattfindet. Soll Hardwarwe oder Softwareverschlüsselung angewandt werden? Müssen die Implementierunen zertifiziert sein? Muss die Verschlüsselung Ende-zu-Ende oder nur von Tür-zu-Tür erfolgen?
Unternehmen müssen wissen, wie Kryptografie implementiert und betrieben wird.
Erstellung eine elektronischen Signatur
BILD FOLIE 51
Digitale Zertifikate
BILD FOLIE 52
SSL (Secure Sockets Layer) und sein Nachfolger TLS (Transport Layer Security) sind Protokolle für die sichere Informationsübertragung. Entwicklung der Authentifizierung geht weg vom puren Einsatz von UID/PW und hin zu Verfahren bei welchen zumindest zwei Faktoren (aus Wissen, haben , sein ) zusammenkommen. Wissen und haben können im Gegensatz zu sein bei Kompromittierung geändert werden
Aufbau eines VPN-Tunnels
BILD FOLIE 54
Funktionsprinzip einer Firewall
BILD FOLIO 55
Informationssysteme haben Arbeit effizienter gemacht, durch Vernetzung ist ein weitgehender Informationszugang möglich.
Störungen, Fehlern, Missbrauch
ernsthafter Verlust der Geschäftsfunktionalität
Stetig wachsende Zahl von Angriffen durch Viren, Würmer, Trojaner und Phishing
Vertrauensverlust auf Seiten Kunden wird riskiert bei keinen oder zu wenigen Massnahmen
Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit
Schutz der Nachrichteninhalte gegenüber Einsichtnahme unautorisierter Dritter. Vergeben der Identität vor dem Kommunikationspartner Anonymität). Schutz vor Dritten. Geheimhaltung des momentanen Aufenthaltsort, auch gegenüber dem Nutzbetreiber
Schutz der Nachrichteninhalte. Nachrichten sind vollständig und unverändert
Den autorisierten Benutzern stehen die Dienstleistungen und Funktionen des IT-Systems zum geforderten Zeitpunkt zur Verfügung.
Empfänger und Absender einer Nachricht sollen beweisen können dass Nachricht gesendet/empfangen wurde ((Keine Vorschläge)). Gewährleistung der Authentizität von Absendern und Empfängern von Daten. (nicht als anderer ausgeben).
keine generell geregelte Sicherheit. Instrumente existieren und ein gewünschtes Mass an Sicherheit individuell zu definieren.
Prozess, bei dem während der Anmeldung an ein System die Identität der Person, die sich anmeldet, geprüft wird.
Nach Authentifizierung wird geprüft, ob eine Person, Komponente oder Anwendung berechtigt ist, eine bestimmte Aktion durchzuführen
System aus Regeln und Massnahmen, welche die Verfügbarkeit, Vertraulichkeit und Integrität der Daten soweit wie möglich sicherstellen, indem Informationssystem vor schädlichen externen Einflüssen, technischen Fehlern, fahrlässigem erhalten und Sabotage geschützt werden.
System aus Gesetzen, Regeln und Massnahmen, die den Einzelnen davor schützen, dass Dritte unzulässiger weise personenbezogenen Daten über ihn sammeln, speichern, verarbeiten und weiterverbreiten und somit seine Persönlichkeitsrechte verletzen.
regelmässige Sicherungskopien vorhandener Datenbestände.
Wahrscheinlichkeit des eintretens eine sbestimmten Schadns und deren Folgen. Dem Wert wird gegeübergestellt, welche Massahmen welche schadnebegrenzenden Wirkungen haben und welche Kosten diese verursachen.
Richtlinie formuliert die Schutzziele und die allgemeinen Sicherheitsmassnahmen im Sinne verbindlicher Vorgaben eines Unternehmens. Sie besteht in der Regel aus einer Zusammenstellung von spezifischen Dokumenten, die Standards und Vorgaben für verschiedenen IT-Bereiche enthalten.
Hardwaredefekt, Softwarefehler, Anwenderfehler, Unberechtigte Programm und Datenänderungen, Diebstahl von Daten, Diensten und Ausrüstung, Schädliche Software, Unzureichende Sicherheitskonzepte, Schlecht konfigurierte IT-Systeme, Unsichere Vernetzung und Internetanbindung, Sicherheitserfordernisse werden nicht beachter, Unrureichende Wartung der Systeme, Sorgloser Umgang mit Passwörtern
Feuer, hohes Alter, Stromausfall, fehlende Redundanz
-
- 1 / 82
-
Flashcards
verwendet den modernen Verschlüsselungsalgorithmus AES. Zufällige Schlüssel oder Authentifizierungsprotkoll EAP können verwendet werden.
WLAN-Sicherheitsstasndards
BILD FOLIE 20
Verletzung der Vertraulichkeit geschützter elektronischer Daten. Nicht genehmigter Zugriff auf einen geschützten Computer für Betrugsdelikte. Vorsätzlicher Zugriff auf einen geschützten Computer und fahrlässige oder absichtluche Verursachung von Schaden. Bewusste Übermittlung eines Programms, Programmcodes oder von Befehlen , die vorsätzlich einen geschützten Computer schädigen. Androhung der Schädigung eines geschützten Computers
(Natur-)Katastrophen / Disaster Recovery, Cyberterrorismus und Cyberkriesführung
IT-Sicherheit ist oft Bestandteil des Risikomanagements.
Kombination aus manuellen und automatisierten Massnahmen, die dazu dienen, die Informationssysteme zu schützen. Sicherheitsmassnahmen müssen in integraler Bestandteil des Entwurft jedes IT-Systems sein. Kontrollen müssen während der gesamten Lebensdauer des Systems gemacht werden.
Gesetzliche Vorschriften und Regelungen, Risikoanalyse, Verfügbare Kontrollen der IT-Sicherheit, Integrierte Massnahmen und deren organisatorische Verankerung, Schutz des vernetzten Unternehmens, Kryptografie und Kryptoanalyse
Akzeptieren, Übetragen, Entschärfen, Vermeiden
Zentrale Komponenten eines Informationssicherheitsprogramms
FOLIE SEITE 32
Softwarekontrollen, Hardwarekontrollen, Computerbetriebskontrollen, Datensicherheitskontrollen, Implementierungskontrollen, Administrative Kontrollen
dienen der allgemeinen Überwachung von Software, um beispielsweise den unerlaubten Zugriff auf Systemsoftware oder Programme zu verhinder. Pfelge der Nutzer und ihrer Rechte in den Systemen, die Nutzung von Authentifigizerung und das Monitoring von Systemen
Kontrollen zur physischen Sicherheit sowie zur technischen Überwachung von Hardware. Computersysteme und Rechenzentren sollten gegen Feuer, extreme Tempereaturen oder Luftfeuchtigkeit geschützt sein. Unternehmen müssen zudem Vorkehrungen für Datensicherungen und den technischen Ausfall von Hardware treffen, um einen unterbrechungsfreien Betrieb sicherzustellen
überwachen die Arbei tder Computeraabteilung, um sicherzustellen, dass programmierte Prozeduren konsistent sind und korrekt auf die Speicherung und Verarbeitung von Daten angewendet werden. Sie beinhalten die Kontrolle über die Einrichtung von Arbeitsplätzen für die Computerverarbeitung sowie den Computerbetrieb, ebensi wiei Sicherungs- und Wiederherstellungsprozeduren für unregelmässig abgeschlossene Verarbeitungsschritte.
Dantesicherheitskontrollen stellen sicher, dass Informationen auf Festplatten oder andereren Datenträgern keinem unerlaubten Zugriff, Änderungen oder Beschädigungen unterliegen, während sie genutzt oder gelagert werden.
überprüfen den Systementwicklungsprozess, um sicherzustellen, dass der gesamte Prozess korrekt durchgeführt wird. Die Implementierungskontrollen stellen dabei sicher, dass zum Biepsiel im Rahemn der Entwicklung formale Kosten-Nutzne-Methoden verwendet weren, eine angemessene Anforderungsanalyse erfolgt sowie geeignete Massnahmen zur Qualitätssicherung und Dokumentation ergriffen weren.
Formalisierte Standards, Regeln, Vorgehensweisen und Richtlinien, die geswährleisten, dass die allgemeinen Kontrollen sowie spezifische Anwendungskontrollen des Unternehmens ausgeführt werden.
Alle Strategien und Prozeduren, die ein Unternehmen einsetzt, um unberechtigten Zugriff auf Systeme zu verhindern
System zur Überwachung von Anwendungssystemen und Netzwerken, um Angriffe zu erkennen
Nur in Verindung mit einer nachhaltigen Sensibiblisierung (IT-Security Awareness) kännen technische und organisatorische Massnahmen effektiv und kosteneffizient umgesetzt werden.
Sorgsame Wahl von und der Umgang mit Passwörtern sind für die Sicherheit essenziell
Benutzer wählen einfache Passwörter, Für verschiedene Systeme werden dieselben Passwörter verwendet, Benutzer schreiben Passwörter auf, Benutzer vergessen Ihre Passwörter
Syntax von Passwörtern ist auf Systemen unterschiedlich, Systeme erzwingen eine gewissen Komplexität der Passwörter, zur Benutzerfreundlichkeit können Single-Sign-On-Lösungen eingesetzt werden. Die SSO-Architektur ist nur so sicher wie das schwächste Glied
Verschlüssekte Übertragung von Passwörtern. Keine Speicherung von Passwörtern im Klartext. Gegen Wörerbuchangriffe ist eine Verlängerung des Passworts besser als die Steigerung der Komplexität
spezifische Kontrollen für betriebswirtschaftluche Anwendungen. Beinhalten manuelle und automatische Prozeduren.
Eingabekontrollen, Verarbeitungskontrollen, Ausgabekontrollen
Kontrollsummen, Bearbeitungsprüfung, Computervergleich / Konsistenzchecks, Ausführung von Kontrollsummen, Bericht ber die Verteilung
Optimaler Sicherheitslevel
BILD FOLIE 42
Fehlertolerante Computersysteme, Lastausgleich (Load Balancing), Spiegelung, Clustering, Recovery-Oriented Computing
Disaster Recovery Plannung (DRP), Business Continuity Planning (BCP)
Secret Key Verschlüsseung
Bild FOLIE 44
Vorteil: Hohe Geschwindigkeit beim Ver- und Entschlüsseln. Nachteil: Aufwendige Schlüsselverteilung
Public-Key-Verschlüsselung
BILD FOLIE 46
Authentifizierung im Rahmen der PKI-Infrastruktur
Bild FOLIE 47
Vorteil: Einfacheres Schlüsselmanagement, Nachteil: Ausführung deutlich langsamer als bei SK-Verfahren
In der Praxis werden PK- mit SK-Verfahren kombiniert, um die Verteile beider Verfahrensklassen zu nutzen.
Sensibilität der Daten, Dauer der geheimhaltung des Inhalts, gespeicherte oder übertragene Daten deren Vertraulichkeiz zu schützen ist, sind Daten aufgrund firmeneigenen oder regulatorischen Vorgaben zu schützen? Sicherheit der Umgebung in der Verschlüsselung stattfindet. Soll Hardwarwe oder Softwareverschlüsselung angewandt werden? Müssen die Implementierunen zertifiziert sein? Muss die Verschlüsselung Ende-zu-Ende oder nur von Tür-zu-Tür erfolgen?
Unternehmen müssen wissen, wie Kryptografie implementiert und betrieben wird.
Erstellung eine elektronischen Signatur
BILD FOLIE 51
Digitale Zertifikate
BILD FOLIE 52
SSL (Secure Sockets Layer) und sein Nachfolger TLS (Transport Layer Security) sind Protokolle für die sichere Informationsübertragung. Entwicklung der Authentifizierung geht weg vom puren Einsatz von UID/PW und hin zu Verfahren bei welchen zumindest zwei Faktoren (aus Wissen, haben , sein ) zusammenkommen. Wissen und haben können im Gegensatz zu sein bei Kompromittierung geändert werden
