simulation
bsc
bsc
Erweiterung BLP zur vertikalen Differenzierung?
Nutzung von Kategorien
Klassen und Compartements
Biba Modell?
BLP upside down
--> Wahrung der Integrität
Idee von Nichtbeeinflussungsmodelle?
- Partitionierung des Systems in logische Einheiten (Domänen)
- Politiken steuern wechselseitige Beeinflussung zwischen Domänen
Modellierung der Nichtbeeinflussung?
--> Nichtbeeinflussungsrelationen
Beispiel:
schreiben in Klasse öfftl beeinflusst öfftl und vertraulich
schreiben in Klasse vertraulich beeinflusst nur vertraulich
Definition Nichtbeeinflussungssicherheit?
es keine Folge von Aktionen gibt, die zu einer unzulässigen Domänenbeeinflussung führt.
Vergleich Vergleich HRU / MLS / NI anhand: Gegenstand Politikregeln, Analyseziele, Implementierung?
Zustandsmenge beim Brewer Nash Modell der CW?
ZGM
Konfliktmenge
History
Zusatz der Least Restrictive Enforcement der CW Politik?
schauen, welche Informationen bereits in Subjekte geflossen sind
Kernmodelle und Erweiterungen?
HRU, RBAC; ABAC; TAM; BLP; NI
Was ist Skippy?
Spezifikationssprache für automatenbasierte
- ZS-Modelle
- IF-Modelle
Übersetzt Spezifikation in C++ Klassen
Woraus besteht eine Skippy Sicherheitspolitik?
Was kann mit SE-Linux Policy Specification Language modelliert werden?
I/R/ABAC Modelle
MLS Modelle
NI Modelle
Konzept der SELinux PSL?
Konzept der Sprache:
- Zusammenfassen von:
- Subjekten zu Domänen
- Objekten zu Typen
- Zugriffsrechte zwischen Domänen und Typen —> Type Enforcements
- Interaktionen zwischen Domänen —> Transition
Was sind Sicherheitsmechanismen?
Sicherheitsmodelle machen Grundannahmen über Implementierungsumgebung, die von TCB sichergestellt werden müssen: korrekte Rechtsprüfung ,Authentizität, Integrität, Vertraulichkeit
==> Algorithmen und Datenstrukturen zur Implementierung der Funktionen einer TCB
Spalten und Zeilen d. Lampson'schen ZGM?
Spaltenvektoren: (zB Gästeliste für Party) existierende Rechte an einem Objekt
Zeilenvektoren: (zB Abi für Immatrikulation) sämtliche Rechte eines Subjektes
Was sind Interzeptoren?
manipulationssichere Ablaufumgebung für Sicherheitspolitiken
Fähigkeit der absoluten Kommunikationskontrolle
- Beobachtung
- Veränderung
- Verhinderung
Ziele kryptogr. Sicherheitsmechanismen?
Ziel:
Durchsetzung v. Sicherheitspolitiken
—> Authentizität v. OuS
—> Integrität und Vertraulichkeit v. OuS + Kommunikation
Ziele Krypr. Algorithmen
Herstellen v. Vorraussetzungen für die Implementierung v. Sicherheitsmodellen (Authentizität, Integrität, Vertraulichkeit von: v. Implementierung)
+
Herstellung v. Sicherheitseigenschaften (Integrität, Vertraulichkeit, Verbindlichkeit v. Komm./Dokumenten)
Wie sollen Sicherheitsarchitekturen gebaut werden?
—> Sicherheitsarchitekturen so bauen, dass TCB Funktionen in einem:
unumgehbaren (Vollständigkeit)
isolierten (Manipulationssicherheit)
vertrauenswürdigen (Korrektheit)
KERN realisiert sind
Referenzmonitor Architekturprinzipien?
RM1:
bei sämtlichen Objekt/Subjekt-Interaktionen involviert ist
—> total Mediation property
RM2:
geschützt ist vor unautorisierter Manipulation
—> tamperproofness
RM3:
hinreichend klein und wohlstrukturiert ist, um formalen Analysenmethoden zugänglich zu sein
Vertraulichkeit?
Informationen nur für autorisierten Nutzerkreis verfügbar
Integrität?
Informationen geschützt vor unberechtigter Veränderung
Verfügbarkeit?
Informationen berechtigten Nutzern in angemessener Frist zugänglich
Authentizität?
Urheber von Informationen erkennbar
Verbindlichkeit?
Kombination von Integrität und Authentizität
Unterschied Safety / Security
(Funktions-)Sicherheit (safety) Ziel: Schutz vor Schäden durch Fehlfunktionen von IT-Systemen
(IT-)Sicherheit (security) Ziel: Schutz vor Schäden durch zielgerichtete Angriffe auf IT-Systeme
Einflussfaktoren Sicherheitsanforderungen
Gesetze (BDSG, SOX)
Verträge (mit Kunden)
Zertifizierung, z. B. Signaturgesetz
firmenspezifische Richtlinien (Corporate Governance)
Vorgehen Formulierung Sicherheitsanforderungen?
Ziel Bedrohungsanalyse?
Identifikation der möglichen:
- Angriffsziele und Angreifer
- Angriffsmethoden und -techniken
Weg Bedrohungsanalyse?
Erstellung eines Bedrohungskatalogs mit:
- Identifikation potentieller Angriffsziele (wirtschaftliche Macht, Gewinn, Schaden anrichten)
- Identifikation potentieller Angreifer (proff. Organisationen, Mitarbeiter, Terroristen)
- Angriffsmethoden und -techniken
Root Kits?
1. Schwachstellen-Analyse: Suche in aktiven privilegierten Dienste, Dämonen (Webserver, sshd, …), Konfigurationsdateien —> Nutzung einer Wissensbasis (Schwachstellendatenbank)
2. Angriffsmanagement:
- Erlangen von Root-Privilegien durch Ausnutzung der Schwachstellen
- Einsatz von Nebelbomben zur Verschleierung des Angriffs
- Austausch von Original-SW durch fremde mit Hintertür + Nebelbombe (damit Zugriff in Zukunft auch stattfinden kann)
Nebelbomben?
Nebelbomben: Reinigung v. Logfiles, Verbergen von Prozessen, Verbergen von Netzwerkverbindungen… durch Ersetzen von System Utilities: netstat, ps, top, Finder…
Ziel Schwachstellenanalyse?
Identifikation :
- technischer
- organisatorischer
- menschlicher Verwundbarkeit eines IT-Systems
Arten v. Schwachstellen?
technische Schwächen:
- Spezifikationsfehler
- Implementierungsfehler
- konzeptionelle Schwächen
organisatorische Schwächen:
- Vergabe von Berechtigungen, Definition von Rollen
- Verwaltung kryptographischer Schlüssel
menschliche Schwächen:
- Bequemlichkeit
- mangelndes Problembewusstsein
- Dummheit
Ziel Risikoanalyse?
Identifikation und Klassifikation der tatsächlichen Risiken
Weg Risikoanalyse?
- Korrelation von Bedrohungen und Schwachstellen —> Risiken
- Klassifikation der Risiken nach:
- Schadenhöhe und Eintrittswahrscheinlichkeit
- Risikomatrix
Risikoklassen?
-> Vermeiden (untragbares Risiko, Funktionalität weglassen)
-> Behandeln (Reduzieren Schadenwahrscheinlichkeit durch Sicherheitspolitik
-> Tragen (akzeptieren der Risiken, Verringern Schadenausmaß z. B. Versicherung)
Definition + Ziel v. Sicherheitsmodell?
präzise + i. d. R. formale Beschreibung einer Sicherheitspolitik
Ziel: Verhalten einer Sicherheitspolitik analysieren und wesentliche Eigenschaften nachweisen zu können
Welche Zugriffssteuerungsmodelle gibt es?
Wahlfreie Zugriffsteuerungskontrolle?
-
- 1 / 53
-
Lernkarten
Vertraulichkeit?
Informationen nur für autorisierten Nutzerkreis verfügbar
Integrität?
Informationen geschützt vor unberechtigter Veränderung
Verfügbarkeit?
Informationen berechtigten Nutzern in angemessener Frist zugänglich
Authentizität?
Urheber von Informationen erkennbar
Verbindlichkeit?
Kombination von Integrität und Authentizität
Unterschied Safety / Security
(Funktions-)Sicherheit (safety) Ziel: Schutz vor Schäden durch Fehlfunktionen von IT-Systemen
(IT-)Sicherheit (security) Ziel: Schutz vor Schäden durch zielgerichtete Angriffe auf IT-Systeme
Einflussfaktoren Sicherheitsanforderungen
Gesetze (BDSG, SOX)
Verträge (mit Kunden)
Zertifizierung, z. B. Signaturgesetz
firmenspezifische Richtlinien (Corporate Governance)
Vorgehen Formulierung Sicherheitsanforderungen?
Ziel Bedrohungsanalyse?
Identifikation der möglichen:
- Angriffsziele und Angreifer
- Angriffsmethoden und -techniken
Weg Bedrohungsanalyse?
Erstellung eines Bedrohungskatalogs mit:
- Identifikation potentieller Angriffsziele (wirtschaftliche Macht, Gewinn, Schaden anrichten)
- Identifikation potentieller Angreifer (proff. Organisationen, Mitarbeiter, Terroristen)
- Angriffsmethoden und -techniken
Root Kits?
1. Schwachstellen-Analyse: Suche in aktiven privilegierten Dienste, Dämonen (Webserver, sshd, …), Konfigurationsdateien —> Nutzung einer Wissensbasis (Schwachstellendatenbank)
2. Angriffsmanagement:
- Erlangen von Root-Privilegien durch Ausnutzung der Schwachstellen
- Einsatz von Nebelbomben zur Verschleierung des Angriffs
- Austausch von Original-SW durch fremde mit Hintertür + Nebelbombe (damit Zugriff in Zukunft auch stattfinden kann)
Nebelbomben?
Nebelbomben: Reinigung v. Logfiles, Verbergen von Prozessen, Verbergen von Netzwerkverbindungen… durch Ersetzen von System Utilities: netstat, ps, top, Finder…
Ziel Schwachstellenanalyse?
Identifikation :
- technischer
- organisatorischer
- menschlicher Verwundbarkeit eines IT-Systems
Arten v. Schwachstellen?
technische Schwächen:
- Spezifikationsfehler
- Implementierungsfehler
- konzeptionelle Schwächen
organisatorische Schwächen:
- Vergabe von Berechtigungen, Definition von Rollen
- Verwaltung kryptographischer Schlüssel
menschliche Schwächen:
- Bequemlichkeit
- mangelndes Problembewusstsein
- Dummheit
Ziel Risikoanalyse?
Identifikation und Klassifikation der tatsächlichen Risiken
Weg Risikoanalyse?
- Korrelation von Bedrohungen und Schwachstellen —> Risiken
- Klassifikation der Risiken nach:
- Schadenhöhe und Eintrittswahrscheinlichkeit
- Risikomatrix
Risikoklassen?
-> Vermeiden (untragbares Risiko, Funktionalität weglassen)
-> Behandeln (Reduzieren Schadenwahrscheinlichkeit durch Sicherheitspolitik
-> Tragen (akzeptieren der Risiken, Verringern Schadenausmaß z. B. Versicherung)
Definition + Ziel v. Sicherheitsmodell?
präzise + i. d. R. formale Beschreibung einer Sicherheitspolitik
Ziel: Verhalten einer Sicherheitspolitik analysieren und wesentliche Eigenschaften nachweisen zu können
Welche Zugriffssteuerungsmodelle gibt es?
Wahlfreie Zugriffsteuerungskontrolle?
Obligatorische Zugriffssteuerungsmodelle?
Ziel HRU-Modell?
Aussagen gewinnen über:
- dynamisches Verhaltend der Rechte
- Komplexität einer solchen Analyse
- Rechtsausbreitung untersuchen
HRU-Safety?
- Zustand q eines HRU Modells heißt safe, wenn:
- ausgehend von q existiert keine Folge von Eingaben,
- die r in eine Matrixzelle einträgt, die dieses nicht schon in q enthält
—> Deep Search: Heuristik zum Nachweis, dass q nicht safe bzgl. r ist
—> Eine Eingabefolge finden, die r einträgt
Charakter von HRU?
HRU sind entweder:
- analysenschwach und ausdrucksstark (allgemeine HRUM)
- ausdrucksschwach und analysenschwach (monooperationale — nur eine Operation)
Ziel + Weg Typed Access Matrix Model (TAM)?
- Zugriffssteuerungsmodell der HRU Familie
- direkte Abbildbarkeit auf Standardmechanismen
- Implementierbarkeit
- bessere Analysierbarkeit ggü HRU Modellen
- entscheidbare Safety Eigenschaft
Weg: Einschränkung durch Typsystem
Ziel Informationsflussmodelle?
Problemnahe Formulierung von Politikregeln
—> Beschreibung von Informationsflüssen statt Zugriffsrechten
--> Nutzung von Verbänden
„Informationen dürfen von der Patientenakte zu Dr. Dorian fließen“
Denning Modell?
Klassifizierungsfunktion assoziiert Klasse zu jeder Entität: cl(Dr.Dorian) = Arzt
Idee von Hierarchische Informationsflussmodelle MLS?
- Existenz von Hierarchien in Informationsklassen: Vertraulichkeitsebenen
- S und O sind diesen Klassen zugeordnet
- S nach Vertrauenswürdigkeit
- O nach Vertraulichkeit
- —> Informationen fließen nur in eine Richtung
Umsetzung hierarchische MLS?
- Modellierung der Hierarchien durch Verbände
- Erstellung von Klassenmengen / Vertraulichkeitsklassen (öffentlich, geheim)
- Definition von Dominanzrelationen (öffentlich ≤ geheim)
- Klassifikation der Subjekte/Objekte cl(abc.txt) = öffentlich, cl(sec.txt) = geheim
Sinn und Bestandteile des Bell/LaPadula-Modell?
MLS-Modell zur Wahrung der Vertraulichkeit von Daten
- Bestandteile aus:
- Denning (Informationsflüsse + Klassen)
- ABAC (Informationsflussklassen)
- MLS (hierarchieorientierte IF-Klassen)
- HRU (dynamisches verhalten —> Zustandsautomat)
- aus Anwendungsdomäne (Vertraulichkeitshierarchie
Idee Bell Lapadula?
- Entitätenmenge SuO
- Verband definiert Informationsflüsse durch
- C : Vertraulichkeitsklassen
- ≤ : Vertraulichkeitshierarchie
- Klassifikationsfunktion für S (Vertrauenswürdigkeitsklasse) und O (Vertraulichkeitsklasse)
- Zustandsautomat modelliert Laufzeitverhalten
BLP-Sicherheit?
- m (ZGM) genau dann eine korrekte Implementierung von L und cl,
- wenn m höchstens die durch L und cl definierten Informationsflüsse zw. Entitäten SuO erlaubt
BLP Sicherheit Bestandteile?
Erweiterung BLP zur vertikalen Differenzierung?
Nutzung von Kategorien
Klassen und Compartements
Biba Modell?
BLP upside down
--> Wahrung der Integrität
Idee von Nichtbeeinflussungsmodelle?
- Partitionierung des Systems in logische Einheiten (Domänen)
- Politiken steuern wechselseitige Beeinflussung zwischen Domänen
Modellierung der Nichtbeeinflussung?
--> Nichtbeeinflussungsrelationen
Beispiel:
schreiben in Klasse öfftl beeinflusst öfftl und vertraulich
schreiben in Klasse vertraulich beeinflusst nur vertraulich
Definition Nichtbeeinflussungssicherheit?
es keine Folge von Aktionen gibt, die zu einer unzulässigen Domänenbeeinflussung führt.
Vergleich Vergleich HRU / MLS / NI anhand: Gegenstand Politikregeln, Analyseziele, Implementierung?
Zustandsmenge beim Brewer Nash Modell der CW?
ZGM
Konfliktmenge
History
