1 Aplikovaná informatika Aplikovaná informatika ZÁKLADY BEZPEČNOSTI IS ZEMÁNEK, Z. - PLUSKAL, D. Operační program Vzdělávání pro konkurenceschopnost Projekt:

Slides:



Advertisements
Podobné prezentace
Harmonogram implementace IS v běžné praxi - informatika ZMVS.
Advertisements

Kryptografie Šifrování
Podívejme se nejen na mobilní bezpečnost v širším kontextu Michal Rada Iniciativa Informatiky pro Občany.
Elektronický podpis.
Úvod do klasických a moderních metod šifrování Jaro 2008, 7. přednáška.
Přednáška č. 5 Proces návrhu databáze
Metody zabezpečení IS „Úplná struktura informační koncepce (IK) “ § 5a novely zákona č. 365/2000 Sb., o informačních systémech veřejné správy (ISVS), provedené.
Přínosy a druhy počítačových sítí. Jednou z nejvýznamnějších technologií používaných v oblasti výpočetních systémů jsou již řadu let počítačové sítě.
TEORETICKÉ OTÁZKY BEZPEČNOSTI
ÚČEL AUTOMATIZACE (c) Tralvex Yeap. All Rights Reserved.
Daniel Kardoš Ing. Daniel Kardoš
Informační a komunikační technologie
1 E - S V Ě T S E T O Č Í S T Á L E R Y C H L E J I. S T A Č Í T E M U ? Praktická realizace bezpečnostních požadavků standardů ISVS při tvorbě.
Informatika I Informatika pro 1. ročník 4 letého gymnázia
Auditorské postupy Činnosti před uzavřením smlouvy
Šifrovaná elektronická pošta Petr Hruška
Relační databáze.
ICQ. Co je ICQ? ICQ je nejpoužívanější a nejpopulárnější komunikační program. ICQ je zkratka slangového výrazu „I seek you“ (hledám tě). Slouží ke komunikaci.
Systémové pojetí hospodářské organizace 1 Bezpečnost informačních systémů - principy oblasti řešení bezpečnosti, obsah řešení bezpečnosti, digitální podpis,
Luděk Novák dubna 2006 Proč a jak řídit informační rizika ve veřejné správě.
Operační systém (OS) ICT Informační a komunikační technologie.
INFORMATIKA 4_5 5. TÝDEN HODINA.
Projekt realizace referenčního rozhraní Ing. Jan Pokorný Ministerstvo informatiky ČR ISSS, 5. dubna 2005.
Lokální počítačové sítě Novell Netware Ing. Zdeněk Votruba Technická fakulta ČZU Laboratoř výpočetních aplikací.
Petr Krčmář Vzdálený přístup k firemní síti (bezpečně)
BIS Firewall Roman Danel VŠB – TU Ostrava.
Bezpečnost informací a IS/ICT v ÚZIS ČR Minimum informační bezpečnosti pro uživatele a aktuální informace z EU ÚZIS ČR, MBI, Ing. Jana Blažková verze 4.0/2010.
Bezpečnostní pravidla při používání internetu
Historie kryptografie
Realizační tým ICZ duben 2005
ŽIVOTNÍ PROSTŘEDÍ A PRÁVO
Copyright (C) 1999 VEMA počítače a projektování, spol. s r.o.
OCHRANA DAT – JEDNODUŠE A ZCELA BEZPEČNĚ! T-Soft s.r.o. Mgr.Pavel Hejl, CSc.,
Teorie čísel a kryptografie
Informační bezpečnost jako rámec ochrany osobních údajů v orgánech veřejné správy Hradec Králové
Přístup k řešení bezpečnosti IT Nemochovský František ISSS Hradec Králové, dubna 2005.
Možnosti simulace kybernetických útoků
1 Elektronický podpis v ČR Bezpečnost IS/IT Jaroslav Malý.
počítačová BEZPEČNOST
Bezpečnost podnikové sítě EI4. Firewall 1 Firewall 2 Ochranná zeď Chrání síť před útoky zvenku Neovlivňuje samotný provoz uvnitř sítě Veškerá komunikace.
BIS Elektronický podpis Roman Danel VŠB – TU Ostrava.
Typy počítačových sítí Střední odborná škola Otrokovice Autorem materiálu a všech jeho částí, není-li uvedeno jinak, je PaedDr. Pavel.
1. 2 Zabezpečená mobilní komunikace 3 Private Circle chrání Vaši komunikaci před odposlechem či narušením. Jedná se o komplexní řešení pro zabezpečení.
Josef Petr Obor vzdělání: M/01 Informační technologie INSPIROMAT PRO TECHNICKÉ OBORY 1. ČÁST – VÝUKOVÉ MATERIÁLY URČENÉ PRO SKUPINU OBORŮ 18 INFORMAČNÍ.
Hodnocení výsledků ukončených programů VaVaI Ing. Blanka Černá, CSc., Národní agentura pro zemědělský výzkum Ing. Jan Budský Oddělení výzkumu Odbor výzkumu,
Sjednocení technologické platformy Policie ČR CZ.1.06/1.1.00/ Sjednocení technologické platformy Policie ČR CZ.1.06/1.1.00/ Projekt je.
Informační bezpečnost VY_32_INOVACE _BEZP_16. SYMETRICKÉ ŠIFRY  Používající stejný šifrovací klíč jak pro zašifrování, tak pro dešifrování.  Výhoda.
1 Aplikovaná informatika Aplikovaná informatika Případová studie bezpečnosti IS ZEMÁNEK, Z. - PLUSKAL, D. Operační program Vzdělávání pro konkurenceschopnost.
SIKP – Státní informační a komunikační politika Prezentace – aplikace vybraných zákonů ve společnosti NeXA, s.r.o. Eva Štíbrová Zdeňka Strousková Radka.
Bezpečnostní technologie I IPSec Josef Kaderka Operační program Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg.
ELEKTRONICKÉ ZABEZPEČOVACÍ SYSTÉMY. Název projektu: Nové ICT rozvíjí matematické a odborné kompetence Číslo projektu: CZ.1.07/1.5.00/ Název školy:
Informační bezpečnost – úvodní přednáška. Koncepce ochrany IS cílem je minimalizovat souhrn všech hrozeb se zvážením jejich individuální závažnosti pro.
BEZPEČNOSTNÍ TECHNOLOGIE I Operační program Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg. č.: CZ.1.01/2.2.00/ )
Název školy Střední škola, Základní škola a Mateřská škola, Karviná, p. o. Autor Mgr. Lubomír Stepek Anotace Prezence slouží k seznámení se zásadami bezpečné.
NÁZEV ŠKOLY: S0Š Net Office, spol. s r.o, Orlová Lutyně AUTOR: Bc. Petr Poledník NÁZEV: Podpora výuky v technických oborech TEMA: Počítačové systémy ČÍSLO.
Informační kriminalita Informační kriminalita l kpt. Mgr. Pavel Zmrhal 2 Dvě věci jsou nekonečné – vesmír a lidská hloupost. Tím prvním.
BEZPEČNOSTNÍ TECHNOLOGIE I Operační program Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg. č.: CZ.1.01/2.2.00/ )
Počítačová bezpečnostPočítačová bezpečnost -je obor informatiky, který se zabývá zabezpečením informací v počítačích (odhalení a zmenšení rizik spojených.
Číslo projektuCZ.1.07/ / Název školySOU a ZŠ Planá, Kostelní 129, Planá Vzdělávací oblastVzdělávání v informačních a komunikačních technologiích.
SOFTWARE Operační systémy.
SAFETY 2017 Význam a zásady fyzické bezpečnosti při ochraně (nejen) utajovaných informací. Hradec Králové duben
Cloud computing v praxi
9. Bezpečnostní pravidla při používání počítače a internetu
BEZPEČNOSTNÍ RIZIKA INTERNETU
Budování Integrovaného informačního systému Národního památkového ústavu Petr Volfík, NPÚ ÚP
Úvod do klasických a moderních metod šifrování
Městská část Praha 6 Postup příprav GDPR Ing. Jan Holický, MBA
Úvod do klasických a moderních metod šifrování
Bezpečnost práce s dokumenty
Elektronický (digitální) podpis
Transkript prezentace:

1 Aplikovaná informatika Aplikovaná informatika ZÁKLADY BEZPEČNOSTI IS ZEMÁNEK, Z. - PLUSKAL, D. Operační program Vzdělávání pro konkurenceschopnost Projekt: Vzdělávání pro bezpečnostní systém státu (reg. č.: CZ.1.01/2.2.00/ ) 1

2 2 A i 2 Základy bezpečnosti IS 1. Bezpečností informační politika organizace 2. H rozby pro aktiva IS 3. Útoky v síťovém prostředí 4. Kryptologie

3 3 Cíle přednášky 3 1. Předat studentům základní informace o bezpečnostní informační politice organizace. 2. Objasnit hrozby pro aktiva IS. 3. Popsat útoky v síťovém prostředí a protiopatření vůči bezpečnostnímu incidentu. 4. Charakterizovat kryptologii a její součásti, včetně požadavků na dobrou šifru.

4 Bezpečností informační politika organizace = je soubor zásad a pravidel, s jejichž pomocí organizace chrání svá aktiva, především počítačové sítě a informační systémy, které jsou nejzranitelnější. Bezpečnostní politika musí být kontinuálně aktualizována v souladu se změnami prostředí a zahrnuje: politiku přípustného užívání aktiv, objasnění způsobu uskutečňování a vynucování bezpečnostních opatření, specifikaci školení svých zaměstnanců v oblasti ochrany aktiv, proceduru vyhodnocení účinnosti politiky vedoucí k provedení její inovace.

5 Obecné typy bezpečnostní politiky promiskuitní promiskuitní bezpečnostní politika, není ani vlastně bezpečnostní politikou, ve svých pravidlech nikoho neomezuje a povoluje subjektům realizovat vše, i co by neměli dělat, liberální liberální - ve svých pravidlech umožňuje realizovat vše, až na výjimky, které jsou explicitně vyjmenované, opatrná opatrná - ve svých pravidlech zakazuje vše s výjimkou toho, co je explicitně povoleno (viz OKIS UO), paranoidní paranoidní - zakazuje dělat vše, co je potenciálně nebezpečné, tedy i to co by nemuselo být explicitně zakázáno.

6 Bezpečnost informačního systému Vlastnosti systému ovlivňující jeho bezpečnost: Autentizace Zajištění Autentizace (z německého Authentisierung) je proces ověření proklamované identity přistupujícího subjektu. Autorizaci Proběhne-li proces autentizace, dojde k Autorizaci (souhlas, schválení, umožnění přístupu, atp.). spolehlivosti Zachování spolehlivosti („reliability“), kdy reálné chování systému je konsistentní s chováním systému, tak jak je dokumentováno. Autentizace Autentizace (authentication) - též identifikace, neboli ztotožnění: znamená prokazování totožnosti, tj. ověření, že ten, s kým komunikujeme, je skutečně ten, se kterým si myslíme, že komunikujeme. na základě znalosti (heslo), vlastnictví (klíče od bytu, kreditní karta) nebo charakteristických vlastností (biometrické informace - např. otisky prstů).

7 Bezpečnost informačního systému Vlastnosti systému ovlivňující jeho bezpečnost: Autorizace Autorizace (authorization) - je potvrzení původu (původnosti) dat. Tedy prokázání, že data vytvořil (je jejich autorem) skutečně ten, o němž si myslíme, že je autorem. Nepopiratelnost Nepopiratelnost (non-repudiation) - souvisí s autorizací - jedná se o jistotu, že autor dat nemůže své autorství popřít (např. bankovní transakci). Aktiva Aktiva představují pro organizaci všechno, co vlastní, využívá a v budoucnu jí to přinese ekonomický prospěch (tj. například majetek, zásoby, peníze, licence, SW, HW, lidé...).

8 Selhání techniky Přírodní vlivChyba uživatele HackingTerorismus AKTIVA četnost výskytu příležitost motiv schopnosti peníze vybavení čas atraktivita aktiva počet osob stáří aktiva Povodeň… Viry… Výmaz souboru… Útok silou… … Blackout… Potenciální hrozby pro aktiva

9 faktor/ hrozba Příroda Příroda Technika TechnikaUživatelHackingTerorismus četnost výskytu xxxxx příležitost xx motiv xxx schopnosti xxx peníze x xx čas xx vybavení x xx atraktivita aktiva xx počet osob x xx stáří aktiva xxxx Potenciální hrozby pro aktiva

10 Základní hrozby na definovaných aktivech prozrazení prozrazení tajných informací - bezpečný systém nemůže povolit přístup nikomu (osobě, programu, zařízení), aniž by proběhla jejich autorizace, upravení upravení - bezpečný systém pak musí zajistit, že nedojde k porušení integrity dat neautorizovaným, náhodným nebo úmyslným způsobem, zničení zničení - bezpečný systém nesmí dovolit neautorizované zničení informací, bránění v dostupnosti bránění v dostupnosti informačního systému autorizovaným uživatelům - bezpečný systém nesmí dovolit, aby bylo autorizovaným uživatelům bráněno ve využití informačního systému a jeho zdrojů.

11 Útoky v síťovém prostředí odposlech odposlech - je útok v síti směrovaný na zcizení informace, kterou může být číslo kreditní karty, číslo účtu zákazníka, stav účtu zákazníka, platební příkaz, heslo, apod. Pro sledování a analýzu provozu útočníkem, tzv. „čmuchání“ se používá termín „sniffing“, modifikace dat modifikace dat - útok, kdy dochází k modifikaci obsahu určitých transakcí či změně uložených informací. podvody podvody - při tomto útoku využívá jedna strana principu „maškarády“, tj. vydává se za někoho jiného. Takto lze získat významné citlivé informace od důvěřivých zákazníků. Pro tento typ útoku se používá termín „spoofing“.

12 vyhledávání hesel vyhledávání hesel - odhalení hesla umožní druhé straně přístup k systému, jeho zdrojům a informacím. Ke známým útokům patří: využití „trojského koně“ využití „trojského koně“ – kde trojským koněm je program se skrytou, nedokumentovanou funkcí či efektem, který může zachytit a uložit na místo přístupné útočníkovi zadané autentizační informace, útok hrubou silou útok hrubou silou – kdy útočník se postupně pokouší zadat všechny možné kombinace hesel, a to tak dlouho, dokud správné autentizační informace nenalezne, slovníkový útok slovníkový útok – kdy útočník používá při útoku na hesla slov, která se vyskytují v jazykových slovnících, útok na heslo související s uživatelem útok na heslo související s uživatelem (tzv. sociální inženýrství) – kdy se útočník pokouší při útoku na hesla použít informace, které jsou spojeny s uživatelem, jako např. jméno, datum narození, SPZ automobilu apod. Útoky v síťovém prostředí

13 Denial of Service ( Denial of Service (česky odmítnutí služby) nebo též Distributed Denial of Service (česky distribuované odmítnutí služby) je technika útoku na internetové služby nebo stránky, při níž dochází k přehlcení požadavky a pádu nebo minimálně nefunkčnosti a nedostupnosti pro ostatní uživatele. Cíle takového útoku jsou v zásadě dva: Vnucení opakovaného resetu cílového počítače. Narušení komunikace mezi serverem a obětí tak, aby jejich komunikace byla buď zcela nemožná, nebo alespoň velmi pomalá. Útoky v síťovém prostředí

14 Projevy DDoS Definovány jsou příznaky DDoS útoku takto: Neobvyklé zpomalení služby (při otvírání souborů nebo prostém přístupu). Celková nedostupnost části nebo celých stránek. Nemožnost se ke stránkám připojit. spamu Extrémní nárůst obdrženého spamu. Splnění některých podmínek ale ještě neznamená DDoS útok, může jít o prostý výpadek zaviněný HW nebo SW samotného serveru bez cizího zavinění. Útoky v síťovém prostředí

15 Typy útoku DDoS: Všechny typy se vyznačují několika společnými charakteristikami: Zaplavení provozu na síti náhodnými daty které zabraňují protékání skutečných dat. Zabránění nebo přerušení konkrétnímu uživateli v přístupu ke službě. Narušení konfiguračního nastavení. CPU Extrémnímu zatížení CPU cílového serveru. Vsunutím chybových hlášení do sekvence instrukcí které můžou vést k pádu systému. Pád samotného operačního systému. Útoky v síťovém prostředí

16 Protiopatření vůči bezpečnostnímu incidentu preventivní preventivní - účelem je minimalizovat již příčiny možného vzniku bezpečnostního incidentu, dynamická dynamická (proaktivní) - účelem je minimalizovat možné dopady aktuálně probíhajícího bezpečnostního incidentu, včetně včasného zachycení vzniku takového incidentu, následná následná (reaktivní) - účelem je minimalizovat možné dopady proběhnuvšího bezpečnostního incidentu.

17 fyzická fyzická - účelem je fyzicky zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [uzamčení, průmyslové kamery,...] technologická technologická - účelem je technologicky (hardwarově a softwarově) zajistit aktiva tak, aby byly minimalizovány podmínky vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů [user_name/password, firewall, přístupová práva,...] administrativní administrativní - účelem je nastavovat administrativní a organizační pravidla vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, včetně jejich dopadů, [pracovní smlouvy, podnikové směrnice, přidělování přístupových práv,... Protiopatření vůči bezpečnostnímu incidentu

18 právní právní - účelem je zajistit právní podmínky přístupu k informacím a k ochraně informací podle zákonných norem a vedoucí k minimalizaci vzniku a průběhu bezpečnostních incidentů, [Ústava, trestní zákoník, zákon o ochraně osobních údajů, směrnice EU,...] etické etické – účelem je uplatnit etické zásady v informatické praxi, především při sdílení informačních zdrojů, zachování důvěrnosti přístupu do sítě, v informačních procesech, v respektování ochrany soukromých údajů a pod. Protiopatření vůči bezpečnostnímu incidentu

19 Nejčastější problémy Řešení jednoduchost hesla, odvozenina hesla, psaní hesla na snadno přístupná místa stejná hesla do různých IS nebo jejich částí fyzický přístup k datům KRYPTOGRAFIE přenášet data dostatečně zašifrovaná => použití kvalitní KRYPTOGRAFIE Řešení

20 Nejčastější pojmy Řešení Kryptologie = Kryptografie + Kryptoanalýza Kryptografie - nauka o metodách šifrování Kryptoanalýza - metody luštění šifer zabývá se návrhem šifrovacích systémů zabývá se odhalováním slabin v šifrovacích systémech kryptologie kryptoanalýza kryptografie

21 Řešen í Kryptografie – základní pojmy kryptografie doslova znamená studium tajného písma, známe je od starověku, přes Caesarovu šifru (100 př.n.l. – 44 př.n.l.), Enigmu... znamená umění udržet důvěrnou zprávu utajenou šifrování = šifrování kryptoanalýza kryptoanalýza je umění rozluštit šifru a tím pádem odhalit utajenou zprávu

22 Řešení Kryptografie – základní pojmy kryptologie je matematika pro kryptografii a kryptoanalýzu šifrovací algoritmus je funkce sestavená na matematickém základě a provádí šifrování (kryptování) a dešifrování (dekryptování) dat šifrovací klíč se dá přirovnat heslu k heslu

23 Kryptoanalytické metody - typy útoků na šifru Řešení Útok se známou šifrou (Ciphertext Only Atack) - není znám PŮVODNÍ text - nejobtížnější kryptoanalytická metoda. K výsledku lze dospět na základě rozborů pravidelností v textu šifry.

24 Kryptoanalytické metody - typy útoků na šifru Řešení Útok se známým původním textem (Known Plaintext Atack) - jsou známy: - text původní a jeho šifra. Rozborem lze odvodit klíč a šifrovací algoritmus.

25 Kryptoanalytické metody - typy útoků na šifru Řešení Útok s vybraným otevřeným textem (Chosen Plaintext Atack) - lze zvolit vstupní text a získat jeho šifru. Vhodným výběrem vstupního textu mohou být odhalena slabá místa šifrovače. Poznánka: V podstatě všechny tři metody byly použity k prolomení Enigmy!

26Řešení šifra by neměla být prolomitelná v reálném čase a s použitím „rozumných“ výdajů, šifrování by mělo proběhnout rychle. Množství práce vynaložené na šifrování a dešifrování by mělo být úměrné požadovanému stupni utajení… ŠIFROVÁNÍ – Dobrá šifra

27 ŠIFROVÁNÍ – Dobrá šifra Řešení šifrovací algoritmus by neměl obsahovat zbytečná omezení, implementace algoritmu by měla být co nejjednodušší, zprávy by se šifrováním neměly zvětšovat

28 Řešení ŠIFROVÁNÍ - KRYPTOGRAFIE

29 Řešení ŠIFROVÁNÍ - KRYPTOGRAFIE

30 Řešení Pojmem se stala ENIGMA. Enigma byla používána od počátku dvacátých let dvacátého století, nejdříve pro šifrování civilních zpráv a byla komerčně dostupná. Německo 2. světové válce Později ji začaly používat i armády a vlády některých zemí, například Německo ve 2. světové válce, později ji využívala Velká Britanie. ŠIFROVÁNÍ - KRYPTOGRAFIE

31Řešení Enigma Enigma byl přenosný šifrovací stroj (mechanismus), používaný k šifrování a dešifrování tajných údajů. Šifru již začátkem 30. let prolomili polští kryptoanalytici. Enigmy. Po obsazení Polska Německem navázali na jejich práci kryptoanalytici britští, kteří po celou dobu 2. světové války úspěšně četli tajné depeše nepřítele s pomocí Enigmy. ŠIFROVÁNÍ - KRYPTOGRAFIE

32 Řešení Byl by mylný názor, že jím vytvořené šifry jsou nerozluštitelné. Tento stroj a jeho menší modifikace používaly i některé vlády ještě v 50. letech 20. století, včetně Sovětského svazu. Ale… Existuje možných klíčů, takže pokud nepřítel nezná nastavení Enigmy, jemu tento přístroj na nic. ŠIFROVÁNÍ - KRYPTOGRAFIE

33 Úkoly do samostudia 33 Charakterizovat bezpečnostní informační politiku organizace. Charakterizovat bezpečnostní informační politiku organizace. Objasnit hrozby pro aktiva IS. Objasnit hrozby pro aktiva IS. Popsat útoky v síťovém prostředí a protiopatření vůči bezpečnostnímu incidentu. Popsat útoky v síťovém prostředí a protiopatření vůči bezpečnostnímu incidentu. Charakterizovat kryptologii a její součásti, včetně požadavků na dobrou šifru. Charakterizovat kryptologii a její součásti, včetně požadavků na dobrou šifru.