Datasikkerhet

Question	Answer
Security Safety Certainty	Sikkerhet Trygghet Visshet
Definisjon av informasjonssikkerhet	Beskyttelse av informasjonens konfidensialitet, integritet og tilgjengelighet. (I tillegg kan andre egenskaper, f.eks. autentisitet, sporbarhet, uavviselighet og pålitelighet omfattes.)
Kilder til krav innenfor informasjonsikkerhet	Vanlig praksis: brukerautentisering o.l. Å begrense trusselrisiko til et akseptabelt nivå. Juridiske, lovbestemte, kontraktsmessige krav: f.eks. GDPR og sikkerhetsloven.
De tre typene av sikkerhetstiltak	Fysiske tiltak Tekniske tiltak Organisatoriske tiltak
De tre (andre) typene av sikkerhetstiltak	Preventive - forhindre Detektive - varsle Korrigerende - gjenopprette
Tre typene av datatilstander	Under lagring Under overføring Under prosessering
Typer autentisering	Enhet-autentisering: - Bruker-autentisering - System-autentisering Data-autentisering
IAM Identity and access management	Image: Iam (binary/octet-stream)
"Virtuelt minne"	Hver prosess bør ha et eget virtuelt minne Slik får de ikke direkte tilgang til det fysiske minnet. Dette hindrer angrep på resten av minnet med Buffer overflows.
Buffer overflow	Minnet blir overskrevet og dermed korrupt. Angriper kan legge inn egen kode. Bufferen inni stacken fylles med mer enn allokert minne og returadressen blir overskrevet, slik at egen kode kan kjøres.
Hvordan unngå buffer overflow	NX (No-execute) Stack canaries ASLR (Address space layout randomization) Sikrere kode og programmeringsspråk og statistisk analyse
NX (No execute)	Når OS ikke tillater å kjøre kode på stacken
Stack canaries	En tilfeldig verdi lagret et sted som kan sjekkes for å se om data er skrevet over.
ASLR (Address space layout randomization)	Layouten i minnet er randomisert, som gjør det vanskelig for angriper å manipulere minnet utifra generelle konvensjoner.
OS-privilegienivåer	Image: O Sprivilegier (binary/octet-stream)
Virtuell maskin	Systemsikkerhet kan økes ved bedre separasjon av prossesser via virtualisering. Man kan gi kunder hver sin VM slik at de deler den samme maskinvaren. Potensielt skadelige eksperimenter kan trygt utføres i isolerte omgivelser.
Native virtualisering	Image: Nativvirtualisering (binary/octet-stream)
Vert-virtualisering	Image: Vertvirtualiserng (binary/octet-stream)
Sikkerhetsmål for virtualisering	• Gjeste-(operativ)systemene må ikke kunne aksessere eller bli påvirket av hverandre • Gjeste-(operativ)systemene må ikke kunne påvirke hypervisor-programmet • Gjeste-(operativ)systemene må ikke kunne detektere at de er virtualisert
UEFI	...har erstattet BIOS i å ha styring over oppstart av maskinen. Image: Oppstartmeduefi (binary/octet-stream)
TPM (Trusted Platform Module)	En passiv koprosessor bygget inn i mange ulike systemer. Kan brukes til å utføre noen kryptografiske operasjoner i et beskyttet miljø. Beskyttelse av kryptonøkler (nøkler blir aldri lastet inn i minnet og/eller forblir i TPM). Beskytter mot ordbokangrep. Kan kryptere data på disk
Målt oppstart (measure boot)	UEFI og OS lagrer hash av «komponenter» som lastes og lagrer den i TPM Image: Measureboot (binary/octet-stream)
Sikker oppstart vs målt oppstart	Sikker oppstart (av UEFI) Tillitskjede basert på sertifikat lagret i firmware. Neste steg starter bare hvis korrekt signatur. Enheten starter dermed ikke hvis verifisering feiler. Nye komponenter/oppdatering må signeres og sertifikat håndteres. Målt oppstart Tillitskjede lagret i TPM. Verifiseres etter at stegene i oppstart er ferdige. En uavhengig tredjepart kan utføre verifisering (ekstern attestering)
Sidekanal	En utilsiktet kanal som avgir informasjon som skyldes den fysiske implementeringen av et system Eksempel på sidekanaler er: tidsforbruk for instruksjon i CPU kan si noe om verdi (f.eks. av enkelte bits i krypteringsnøkkel), strømforbruk, lyd, stråling
Skjult kanal	En mekanisme som ikke er designet for kommunikasjon, men som misbrukes (med vilje) for å overføre informasjon (på en måte som bryter med sikkerhetspolicy)
Intel ME (Management Engine)	Intel sin ME er en microcontroller inni CPU-en som opererer adskilt fra maskinen ellers. Den er på nivå -3. Den gjør det mulig for maskinen å boot-e og har full privilegietilgang på maskinen. Den har dessverre mye bugs.
Angrepsvektor	En kombinasjon av kommunikasjonskanal og skadelig innhold, som en angriper benytter for å angripe systemer og nettverk.
Drive-by-angrep	Når en nettside sender skadevare til klienten automatisk og uten brukerinteraksjon. Dette skjer via skjult nedlasting.
Den vanligste formen for datakriminalitet er...	Phishing, ifølge FBI (2020)
Dataorm	Skadevare som infiserer maskiner og bruker dem som vert for videre spredning. Også kalt automatisk spredning.
Leveransekjedeangrep	Når angripere infiltrerer systemer/nettverk gjennom en ekstern partner som har tilgang på/leverer komponenter som har tilgang på virksomhetens systemer og/eller data.
Skadelige eksterne enheter	F.eks. en USB som inneholder skadevare. En USB kan konfigureres som en HID-enhet (Human Interface Device), som lurer maskinen til å tro at den er et tastatur og sender inn input som utfører skadelige kommandoer.
Drop-angrep	Når angriper legger igjen USB-er med skadelig innhold der offere kan finne dem.
Virus	Skadelig kode kan legges inn i eller flettes inn i et program. Det rammer bare maskinen dersom det kjøres. Ellers er det bare "dead bytes". Rene virus er ganske uvanlige i dag.
Trojanere	...har stort sett tatt over for virus. De gir seg ut for å være et nyttig program, som egentlig inneholder skadevare. Vedlegg i phishing-e-poster er vanlig måte å spre trojanere på.
Løsepengevirus	eller "kryptovirus" krypterer alle filer på maskinen og ber om løsepenger (ofte kryptovalutta) for å dekryptere dem. Noen truer også med å offentliggjøre dataene dersom man ikke betaler.
Spionvare og reklamevare	Spionerer på bruker via f.eks. en keylogger og viser reklame for bruker. De starter som regel når systemet begynner.
Rootkit	Gir angriper uautorisert root/admin-tingangsrettigheter. Spredning skjer ofte via sosial manipulering. Rootkit er en type programvare som angriperen installerer for å skjule at vedkommende, eller skadevaren er i systemet.
Bott-programvare	Utfører automatisk kommandoer gitt fra en kommadoenhet. En maskin rammet av bott-programvare kalles en bott. Mange slike maskiner som kontrolleres av en kommandoenhet kalles et bott-nett og kan brukes til å utføre DDoS-angrep eller utvinning av kryptovalutta.
Bakdør	En skjult metode for å omgå normal autentisering og tilgangskontroll i et system. De kan installeres eller allerede finnes i systemer.
Exploit	Et program, en streng med data, en fil eller en sekvens med kommandoer som utnytter sårbarheter i en programvare, maskinvare eller annet datautstyr.
Skadelige JavaScripts	JavaScripts lastes ned automatisk og kjøres i våre nettlesere. XSS er en form for angrep via skadelig JavaScripts. Dette er altså også et drive-by-angrep.
Skadelige Office-makroer	Office-makroer brukes til å automatisere funksjoner i Office. Skadelig programvare kan gjemmes i Office-makroer. Tidligere kjørte Office-makroer automatisk, men nå må angripere lure offer til å aktivere makroene.
Fil-løs skadevare	En paraplybetegnelse for skadevare som ikke lagres på disken, men i systemminnet, som betyr at det forvinner sporløst når maskinen restarter. Exploits og skadelige JavaScripts er fil-løse.
Typer Phishing-angrep	Masse-phishing: Ment å nå flest mulig. Spyd-phishing (Sphere-phishing): Målrettet mot bestemte personer eller virksomheter Direktørsvindel (whale-phishing): Spyd-phishing rettet mot «store fisker» Klone-phishing: Kopi av legitim melding hvor lenker/vedlegg er erstattet av skadelige versjoner
Falske nettsider	Brukere kan bli villedet til å besøke en falsk nettsidef.eks. gjennom phishing-e-post, gjennom andre falskeeller infiserte nettsider eller gjennom skadereklame. Man kan sjekke nettsider ved å sjekke sertifikatet.
Direkte nettverksangrep	Direkte angrep gjøres også med angrepsverktøy som utnytter sårbarheter. Annet eks. dataormer. Var veldig vanlig før 2003, da brannmurer kom. Er på vei tilbake pga IoT.
Logisk bombe	Kode innebygd i et legitimt program, eller et program som går i bakgrunnen. Skadelige funksjonalitet aktiveres når bestemte betingelser er oppfylt, f.eks. - tilstedeværelse/fravær av en fil – bestemt dato/klokkeslett – bestemt bruker
Innebygget informasjonssikkerhet	Informasjonssikkerhet blir tatt høyde for gjennom hele livssyklusen til systemet.
Innebygget personvern	Ifølge GDPR art. 25 skal systemer minimere innsamling av personopplysninger i forhold til formålet med applikasjonen, og at applikasjoner som standardinstilling ikke skal samle inn eller behandle persondata uten de registrertes samtykke.
Dynamisk testing	Kan gjøres ved bruk av verktøy eller manuelt. Gjøres når programvaren er ferdig så man får se hvordan de ulike komponentene kjører sammen.
Penetrasjonstesting	Autoriserte forsøk på å bryte inn i systemer
Hvitbokstesting/Svartbokstesting	Hvitbokstesting er når man utfører pentesting og har kjennskap til hvordan systemet er bygget opp Svartbokstesting er når man ikke har kjennskap til systemets/nettverkets arkitektur.
Fuzz-testing	Forsøk på å fremprovosere feil i systemet ved å gi gale eller korrupte innput f.eks. Gjøres som regel med automatiske verktøy.
Sikkerhets-champion	Personen på teamet med høyest kompetanse innenfor sikkerhet, som får særskilt ansvar for å se programvaren fra perspektivet til de som jobber med sikkerhetsadministrasjon i IT-drift.
Angrepshistorier	En brukerhistorie som beskriver en angripers bruksmønster
STRIDE	Spoofing Tampering Repudiation Information disclosure Denial of service Elevation of privilege
Spoofing	Identitetstyveri Brudd på autentisitet
Tampering	Kompromittering Brudd på integritet
Repudiation	Avvisning (Om angriper kan benekte misbruk) Brudd på uavviselighet
Information disclosure	Datatyveri/lekkasje Brudd på konfidensialitet
Denial of service	Tjenestenekt Brudd på tilgjengelighet
Elevation of privilege	Utvidede tilganger Brudd på tilgangskontroll
OWASP top 10	1) Injeksjon 2) Brudd på autentisering 3) Eksponering av sensitive data 4) XML-eksterne entiteter 5) Brudd på tilgangskontroll 6) Feilkonfigurert sikkerhet 7) XSS 8) Usikker deserialisering 9) Bruk av komponenter med kjente sårbarheter 10) Utilstrekkelig logging og overvåking
OWASP ASVS	(Application security verification standard) Målestokk for sikkerhet Veiledning for sikker utvikling Kravsetting ved anskaffelse
SQL-injeksjon	Et angrep mot en database via input fra bruker (angriper) som gjør at angriper kan hente ut konfidensielle dataer eller svekke integriteten til databasen.
DevSecOps	Kombiner utvikling og drift Inkludert testing (quality assurance) Metodikken er spesielt rettet mot utvikling av skytjenester Små sykluser gjøres hele tiden
Kryptografiske funksjoner	Hash-funksjoner Krypteringsalgoritmer: -Symmetrisk chiffer: blokk og strøm -Asymmetriske algoritmer: Kryptering og Digital signatur
AES	Advanced encryption standard Mest brukte blokkchiffer for symmetrisk kryptering over nettet. Det er tre alternative størrelser: 128, 192 og 256.
Blokkchiffer	Krypterer en blokk med klartekst om til en blokk med chiffertekst i hver krypteringsoperasjon.
Strømchiffer	Krypterer en strøm av data ved å kryptere en bit av gangen. Brukes bl.a. i kryptering av mobilkommunikasjon.
Nøkkelstørrelse	Tiden det tar for fullstendig søk gjennom hele nøkkelsørrelsen. Hvis nøkkelen er på 128 bits vil en angriper måtte sjekke (128^2)/2 nøkler.
Algoritmestyrke	Hvor vanskelig det er å utføre en kryptoanalyse dersom man har både chiffertekst og klartekst.
ECB	Electronic code book En krypteringsmodus der like klartekstblokker alltid krypteres som like chifferblokker. Ikke veldig sikkert, siden man lett kan finne mønstere slik.
CTR	Counter mode En krypteringsmodus der klartekstblokker krypteres som ulike chifferblokker. Mer sikkert enn ECB og brukes f.eks i diskkryptering.
MAC	Meldingsautentiseringskode En kryptografisk hash-funksjon som tar en hemmelig nøkkel som inputparameter i tillegg til selve meldingen som skal hashes. Hash(M , K) Gjør det mulig å verifisere at en avsender er autentisk.
Asymmetrisk kryptering	Image: Asymmetrisk+Kryptering (binary/octet-stream)
CA	Certificate authority Hvis bruker kan skaffe en autentisk kopi av den offentlige nøklen til en CA kan digitalt signerte sertifikater valideres slik at vilkårlige offentlige nøkler kan mottas gjennom sertifikater på en autentisk måte. (Dette er PKI)
WYSIWYS	"What you see is what you sign" Meningen av meldingen skal være lik når man signerer som når mottaker mottar.
Diffie-Hellmann-nøkkelutveksling	For å utveksle nøkler over usikre nettverk. Sikkerheten er basert på vanskelighetsgraden av å beregne diskret logarite av store heltall i en algebraisk gruppe av heltall modulo p, der p er et primtall. En bra metode, men gir ingen form for autentisitet...
Vigenère-chiffer	En type Cæsar-chiffer der man bruker flere ulike omstokkede alfabeter på en gang i en sekvensiell rekkefølge.
Kerckhoffs-prinsippet	Utforming av apparat skal ikke kreve hemmelighold. Tap av appareatet som som utfører krypteringen skal ikke ha noe å si for sikkerheten for korrespondentene.
OTP	"One-time pad" Engangsnøkkel. Meldingen blir kryptert ett tegn av gangen med en nøkkel som er like lang som meldingen, som brukes kun én gang. Kalles ofte Vernam-chiffer.
Hvordan finne nøkkelstørrelse?	Log2(N) der N er antall ulike nøkler
Kryptonøkler er klassifisert i henhold til:	– om de er offentlige, private eller symmetriske – tiltenkt bruk – om de er statisk (langt liv) eller flyktig (kort levetid)
Kryptoperiode	Tidsperioden for godkjent bruk av en bestemt nøkkel. Kryptoperioden er viktig fordi den: – Begrenser mengden data som er beskyttet av en gitt nøkkel. – Begrenser mengden eksponering hvis en enkeltnøkkel blir kompromittert. – Begrenser bruken av en algoritme til den estimerte sikre levetiden.
Kryptoperioder	Beskyttelsesperiode: Nøkkelen brukes til å kryptere (hemmelig symmetrisk eller offentlig asymmetrisk nøkkel). Nøkkelen brukes til å generere en digital signatur (privat asymmetrisk nøkkel) Prosesseringsperiode: Nøkkelen brukes til å dekryptere (hemmelig symmetrisk eller privat asymmetrisk nøkkel). Nøkkelen brukes til å validere en digital signatur (offentlig asymmetrisk nøkkel). Hele kryptoperioden varer fra begynnelsen av beskyttelsesperioden til slutten av prosesseringsperioden
Hvordan beskytte nøkler	Aldri lagret eller overført "klart" Lage sesjonsnøkler som krypteres med en masternøkkel.
Nøkkeldestruering	Enkel sletteoperasjon på system gir fare for at nøkkelen fremdeles fins i papirkurven eller på disksektorer, så man bør overskriver minne og disk slik at det ikke etterlater restdata. Kan bruke Magnetisk «degaussing», ødelegge fysisk enhet eller destruere masternøkkel.
PKI: Infrastruktur for sikker distribusjon av offentlige nøkler	– Policyer (for å definere reglene for forvaltning av sertifikater) – Teknologier (for å generere, distribuere, lagre og validere sertifikater) – Prosedyrer (knyttet til forvaltning av sertifikater) – Tillitsmodell for offentlige nøkkelsertifikater (hvordan sertifikatene er kryptografisk knyttet til hverandre)
Hvordan generere et offentlig nøkkelsertifikat	1. Samle alle datafeltene, inkludert subjektets (domene)navn og offentlige nøkkel, i en datarecord Rec 2. Hash datarecorden 3. Signer hash-verdien 4. Legg den digitale signaturen til datarecorden Image: Pkinøkkelsertifikat (binary/octet-stream)
Hvorfor rot-CA selvsignerer	Selvsignering gir absolutt ingen sikkerhet, men... – Gir en sjekksum for å oppdage utilsiktet korrupsjon – X.509 -sertifikater har et felt for digital signatur, så et tomt felt kan føre til at programmer ikke fungerer. En selv-signatur er en måte å fylle det tomme feltet på
Strikt hierarki Image: Strikthierarki (binary/octet-stream)	Fordeler: fungerer godt i høyt strukturerte organisasjoner som militære nett. Enkel tillitsstruktur. Fungerer godt i lukket/isolert datanett Ulemper: Alle subjekt-entiteter må ha tillit til samme rot-CA. Kompromittering av rot-CA fører til totalt sammenbrudd av sikkerhet. Skalerer ikke til åpne datanett
Bruker-sentrisk PKI Image: Brukersentriskpki (binary/octet-stream)	Hver entitet signerer offentlige nøkler til andre når de er bekreftet å være autentiske. Hver bruker har sin egen "offentlige nøkkelring" Offentlige nøkler signert av andre pålitelige personer kan også betraktes som autentiske.
Internett PKI	PKI som brukes av nettlesere for https. Internett-PKI består av mange isolerte strikte hierarkier der (rot) CA- sertifikatene er installert som en del av nettleseren. Nye rot-sertifikater kan importeres av bruker eller gjennom oppdatering av programvare
OSCP og "must-staple"-protokollen	OSCP-sertifikater brukes av nettlesere for å verifiserer om et sertifikat er revokert eller ikke. Det at det er must-staple betyr at et tjenestesertifikat alltid må inneholde et OSCP-sertifikat når det sendes ut. OSCP-sertifikatet er en relativt fersk statusrapport for tjenestesertifikatet.
Kommunikasjonssikkerhet og Datasikkerhet	Sikkerheten under overføring av data og sikkerheten til hvert nettverk. og Sikkerheten som beskytter hver enkelt dataenhet mot angrep
TLS	Transport layer security (tidligere SSL) Laget for å hurtig etablere økt-nøkler for en økt. TLS trenger bare en runde med meldinger for å opprette økt-nøkkel som består av TLS-handshake og litt av TLS-record. Den langsiktige kryptonøklen er vanligvis tjenerens private signeringsnøkkel TLS krypterer brukerdata
"TLS everywhere"	web-tjenere skal alltid bruke https uansett om innholdet er sensitivt eller ikke.
HSTS	Http Strict Transport Security En teknologi som tvinger nettlesere til å bruke https. Et økende antall nettsteder bruker HSTS for å hindre bl.a. TLS-stripping.
TLS-stripping	en type MitM-angrep der angriper f.eks. setter opp et eget wifi-nett for å lure brukere. Dette nettverket oversetter brukerens http-trafikk til https, som gjør at angriper kan lese av sensitive data fra bruker.
IPSec	Internet protocol security Anvender kryptering av IP-pakker for å støtte konfidensialitet og autentisitet.
IPSec tunnel modus	Når IPSec krypterer IP-hodet i tillegg til IP-pakken, men da trenges et nytt hode for at pakken skal komme frem. Kan betraktes som et nytt lag mellom internett-laget og link-laget, siden et nytt hode legges til.
VPN	Virtual Private Network Litt som om en vertsnode har et eget beskyttet nett selvom det åpne internett er det som brukes. Man kan nevne Sky-VPN og IPSec-VPN
IPSec-VPN	Lager en kryptert forbindelse på IP-laget mellom gateway-nodene til to separate datanett.
Sky-VPN	Etablerer en kryptert forbindelse på transportlaget basert på TLS. ISP ser bare brukerens forbindelse til VPN-tjeneren, men ikke hvor den går videre.
TOR	The Onion Router Benytter tre VPN-forbindelser som ligger utenpå hverandre.
Steganografi	En melding som er vanskelig å finne, men lett å tolke. Ikke det samme som kryptering der meldingen er synlig, men vanskelig å tolke. En melding kan skjules f.eks. i en mediefil. Steganalyse er å analysere noe for å oppdage en melding skjult med stanografi.
Stegvare	Skadevare skjult med steganografi. Man kan transformere mediefiler slik at stegvare blir ødelagt med "Content threat removal"
Perimetersikkerhet	Et perimeter er skillet mellom ulike deler/segmenter av et datanett. Perimetersikkerhet går ut på å beskytte innsiden mot trusler utenifra.
ZTA	Zero Trust Architecture eller nulltillitsarkitektur Man går utifra at man ikke kan stole på noen segmenter eller noder, siden det alltid er mulig at de er blitt kompromittert.
Brannmurer	Kontrollerer trafikk mellom datanettverk. Det er alltid en brannmur mellom interne og private datanett. Det settes også typisk sett opp en eller flere brannmurer internt i datanettet. Brannmurer opererer gjerne med default-deny, som betyr at de ikke slipper data gjennom med mindre det er speisfisert at dataen er trygg.
Tilstandsløst pakkefilter	Inspiserer pakkehoder og bedømmer ut ifra IP-adressene, portnummer, transportprotokoll, type melding og hvilket grensesnitt på linklaget en pakke ankommer. Den er uvitende om tilstanden til økten mellom klient og tjener
Tilstandsbasert pakkefilter	Gjenkjenner pakker fra samme økt og kan opprette regler for hver pågående økt. Når økten avsluttes slettes reglen sammen med trafikkhistorikken. Denne typen brannmur har høy ytelse og en angriper kan åpne mange økter for å bruke opp minne og utføre tjenestenektangrep.
Applikasjonsbrannmur	Kan inspisere brukerdata i tillegg til pakkehode. Regler kan spesifiseres utifra protokoller eller spesifikke applikasjoner. Krever mye prosessering. En proxy-brannmur kalles en gateway.
IDS	Instrusjonsdeteksjon-system Varsler intrusjoner og forsøk på intrusjoner Kan være HIDS (vertsbasert) eller NIDS (nettverksbasert) Kan deles inn i signaturbasert deteksjon og anomalibasert deteksjon.
Signaturbasert deteksjon	IDS kan identifisere et angrepsmønster av nettverkstrafikk som tilsier at en itruisjon er i ferd med å skje. Gir få falske alarmer, men mange falske negative, der angrep faller gjennom
Anomalibasert deteksjon	Bruker maskinlæring for å lage en modell for normal aktivitet, som deretter sammelignes mot trafikk. Problemet er at den kan gi mange falske positive når legitim aktivitet som er ukjent for IDS-en utføres. Det har også høy prosessbelasting.
Nettverksarkitektur for sikkerhet	Alltid en ekstern brannmur, som er en gateway og router. Deles inn i flere segmenter (f.eks 2) der en er DMZ som har høy eksponering mot trusler fra internett. Den indre segmenten har produksjonssystemer og arbeidsstasjon. IDS bør være i begge segmentene. Forskjellig tillitt mellom segmenter gjør at de bør adskilles med brannmurer.
Honeypot	En applikasjon som skal avlede og oppdage forsøk på uautorisert bruk av systemer. Den ligner på en vanlig del av et system og kan lokke angriper til å tro den er ekte.
Tjærangrep (tarpit)	Er som en honeypot som har treg responstid som vil oppholde angriper.
TLS-inspeksjon	Når en gateway-brannmur splitter TLS-forbindelsen i to TLS-forbindelser og intar rollen som en proxy mellom klient og tjener. Gateway-noden har et proxy-CA som gjør at klient tror den er tjener og tjener tror den er klient. Svært inngripende i henhold til personvern og må derfor avklares for de som rammes.
Typer av autentikatorer	Noe du vet Noe du har Noe du er/gjør
Active Directory (AD)	En oversikt over alle brukerkontoer og passord til maskinen. LDAP på Linux
Passord cracking av stjålede passord-databaser	Selvom passord er hashet i databasen er det lett for angripere å cracke dem med verktøy som har generert store mengder hasher av mulige passord med bl.a. ordbokangrep. Disse kan sammenlignes for å finne klarteksten til hash-verdiene.
OTP-enheter	One Time Password F.eks. bank-id. Funker ved at brikken har en klokke som er synkron med bankens klokke. Klokken, bruker-ID og en hemmelig nøkkel brukes for å generere kode både hos bruker og hos banken.
FIDO-enheter	"Fast identity online" FIDO-enheten har en unik privat nøkkel (fra en PKI), og kan være separat smartkort/brikke eller integrert i klientterminalen. FIDO-enheten autentisere brukeren lokalt før den i sin tur autentiserer seg på vegne av brukere til en online autentiseringstjener.
Adgangs- og ID-kort	F.eks. pass eller nøkkelkort Har en spole under plastikken til å generere strøm via magnetinduksjon. Spenningen kan drive mikroprosessoren i kortet og sende radiosignaler til kortleser. Pass bruker asymmetrisk kryptering med PKI, men adgangskort kan benytte symmetrisk kryptering.
Sekundære kanaler for ID-enheter	F.eks. SMS, Simkort, epost eller en autentikator-app. Bank-ID på mobil har brukt Simkort, men ønsker nå å ikke være avhengig av teleoperatørene.
Krav til biometriskemodaliteter	Universalitet: Alle bør ha det. Særpreg: Ulike personer skal være tilstrekkelig forskjellige med hensyn til karakteristikker ved modaliteten; Permanens: Karakteristikken skal holde seg uendret over en periode; Målbarhet: Karakteristikken skal være lett å innhente og måle på en kvantitativt måte.
Biometri: Praktiske faktorer	Nøyaktighet: Nøyaktighet er uttrykt som Equal Error Rate, der en lav EER gir høy nøyaktighet. Ytelse: hastigheten på analysen, ressursene som kreves for å oppnå ønsket hastighet. Aksept: Om folk er villige til å akseptere bruken av den biometrisk modaliteten Beskyttelse mot forfalskning: Vanskelighetsgrad av å lure det biometriske systemet Trygghet: Om det biometriske systemet er trygt å bruke
Biometri: Operasjonsmoduser	Registrering: Analog innhenting av brukeres biometriske karakteristika og behandling av innhentede prøve for å generere en mal for brukeres karakteristika som lagres for senere bruk, pluss database med biometriske maler Identifikasjon (1:N, en-til-mange): innhenting av ny biometrisk prøve fra kandidat-person(er) og søk i databasen med lagrede maler for et treff basert utelukkende på innsamlede prøve(r). Autentisering (1:1, en-til-en): Innhenting av ny biometrisk prøve fra bruker for autentiseing og sammenligning av ny prøve med brukerens lagrede mal
autentiseringsmodus vs identifiseringsmodus	I autentiseringsmodus må bruker oppgi identitet før den avgir biometriprøve. Identifiseringsmodus trenger ikke å oppgi identitet, siden biometriprøven sammelignes mot hele databasen.
RAU	Det norske "Rammeverk for Autentisering og Uavviselighet" Har fire LoA (Levels of Assurance)
eIDAS	EU sin lov om elektroniske tillitstjenester. Definerer tre LoA (Levels of Assurance) Lav, betydelig og høy Erstattet RAU i 2018
LoA	Image: Lo A (binary/octet-stream)
IAM Gartners definisjon	"Identitets- og tilgangshåndtering (IAM) er sikkerhetsdisiplin
IAM konfigurasjonsfasen	1. Brukers identitet og bruker-ID registerers av autentiseringstjener (IdP) 2. IdP klargjør autentikator(er) som overføres til bruker. 3. Ressurseier autoriserer bruker ved å spesifisere tilgangspolicy og -regler i PAP (Policy Administration Point). En autoriseringspolicy kan endres over tid.
I	1. Bruker-login med bruker-ID og autentikator. 2. Bruker gjør forespørsel om tilgang til ressurs. 3. Funksjonen for tilganskontroll henter tilgangspolicy fra PAP. 4. PDP (Policy Decision Point) foretar beslutning om tilgang. 5. PEP (Policy Enforcement Point) håndhever beslutningen ved å tillate eller avvise tilgang.
Silomodell for identitetshåndtering	Tradisjonelt: Hver org forvalter et register over egne brukeridentiteter og foretar autentisering av egne brukere. Ikke veldig bra for overføring av identiteter og fører til identity overload og password fatigue hos brukere.
Føderert identitetshåndtering	Bruker-IDer og autentiseringsfunksjoner er en felles ressurs som flere tjenestetilbydere kan benytte.
S	Security Assertion Markup Language en åpen standard for utveksling av autentiserings- og autoriseringsdata mellom IdP (Identity Provider) og SP (Service Provider). XML blir brukt for å representere en security assertion. Gjør at man får tilgang til mange tjenester via én autentisering.
OAuth	Det som bl.a. Google, microsoft og facebook bruker for å dele brukerkontoer med tredjepartsapplikasjoner og/eller nettsider.
Kategorisering av identitetsføderering	1. Om navnerommet for bruker-ID forvaltes av en sentral aktør eller av mange aktører på en distribuert måte. 2. Om en føderasjon kun har én sentralisert autentiseringstjeneste for hver bruker-ID, eller om rollen som utfører autentisering av en bruker-ID er distribuert over flere aktører.
Kategorier av føderering med eksempler	Image: Kategoriavføderering (binary/octet-stream)
DAC	Navnebasert tilgangskontroll Basert på subjektnavn og objektnavn. "Subjekt X har tilgang på objekt Y med tilgangstype Z." Mest praktisk å lagre denne policyen som en del av objektprofilen.
MAC (Mandatory Access Control)	Består av: Strengt hemmelig Hemmelig Begrenset Konfidensiell (Og ugradert hvis man må spesifisere det) Ikke lese oppover og ikke skrive nedover!
RBAC	Rollebasert tilgangskontroll Brukere inntar roller med gitte autorisasjoner. F.eks. devilry der rollene er Student, Examiner og Admin.
ABAC	Attributtbasert tilgangskontroll Attributter som geografisk lokasjon, tid på døgnet, hverdag/helg eller beredskap og driftstatus kan være med på å bestemme tilgangskontroll. Er den mest generelle og fleksible modellen for tilgangskontroll og kan bruke DAC, MAC og/eller RBAC.
Styringsnivåer	1. Foretaksstyring: Risikostyring og styring av informasjonssikkerhet. 2. Ledelse av informasjonssikkerhet: Fokus på etterlevelse av lover og forskrifter. 3. Administrasjon og drift av informasjons-sikkerhet: Dagelig arbeid for å ivareta sikkerhet under drift.
Strategiske aktiviteter for informasjonssikkerhet	Risikostyring Effektiv bruk av ressurser Verdiskaping Målbarhet
Risiko contra IS-risiko	“Risiko er effekten av uvisshet rundt oppnåelse av målsettinger” “Informasjonssikkerhetsrisiko er potensialet for at en gitt trussel vil utnytte sårbarheter rundt verdier og dermed skade organisasjonen.”
Detaljert risikomodell	Image: Detaljerttrusselmodell (binary/octet-stream)
Risikonivå	(også kalt risikoeksponering) er kombinasjonen av hendelsens sannsynlighet og konsekvens. Risikonivå beregnes med risikoanalyse. Sannsynlighet x Konsekvens = risikonivå
Risiko	er en relevant kombinasjon av trussel / sårbarhet / hendelse som utgjør et brudd på KIT + P for en verdi. Risikoidentifisering er å kartlegge slike relevante kombinasjoner. Trussel+sårbarhet+verdi+hendelse = risiko
ISMS og IS-risikostyring	Image: Ism Ssyklus (binary/octet-stream)
Risikostyring	«Risikostyring for informasjonssikkerhet er å analysere hva som kan skje, og mulige konsekvenser, før man bestemmer hva som bør gjøres og når, for å redusere risikoen til et akseptabelt nivå.» (ISO/IEC 27005)
Målsettinger for risikostyring	• å få oversikt over trusler • å få oversikt over sårbarheter • å få oversikt over eksisterende risikoer • å foreslå nye sikkerhetstiltak • å vurdere restrisiko etter nye foreslåtte sikkerhetstiltak • å gi grunnlag for å kjøpe cyberforsikring • å gi grunnlag for budsjett for håndtering av risiko
Prosess for risikostyring ISO/IEC 27005	Planlegging Risikovurdering Beslutningspunkt 1: Er risikovurdering akseptabel? Risikohåndteringsplan Beslutningspunkt 2: Er håndteringsplan akseptabel? Akseptert restrisiko Gjennomfør risikohåndteringsplan (implementer sikkerhetstiltak)
Prosess for risikovurdering	Planlegging Risikoidentifisereing Risikoanalyse Risikoevaluering Beslutning om risikovurderingen er akseptabel
Risikoidentifisering	Å identifisere en risiko betyr å finne en relevant kombinasjon av en trussel, sårbarhet(er) og hendelse(r) som kan skade verdier.
Trusselmodellering	Trusselmodellering består av å identifisere, analysere og beskrive relevante angreps-scenarier. Utfordringen er å identifisere relevante trusler
Kvalitativ risikoberegning	Image: Kvalitatisrisiko (binary/octet-stream)
Relativ risikoberegning - multiplikativ	Image: Relativrisiko (binary/octet-stream)
ROI	Image: Roi (binary/octet-stream)
APT	Advanced Persistent Threat Ofte sponset av en stat. De har mye ressurser og langsiktige målsetninger. Dette gjør at de ofte går under radaren.
CKC	Cyber Kill Chain Trinnene i et målrettet langvarig angrep. "Kill" refererer til at angrepet kan stoppes på hvert steg i rekken.
CTI	Cyber threat intelligence Trusseletteretning innen cybersikkerhet og faktabasert kunnskap med praktisk nytte for å identifisere og beskytte virksomheter mot trusler. Kan deles inn i strategisk, operasjonell og teknisk.
Strategisk CTI	Generell info om en APT og typer trusler. Det produseres ved å sammenligne info fra ulike kilder. Attribusjon betyr å kunne identifisere hvilken gruppering som står bak angrep.
Operasjonell CTI	Hvilke verktøy og taktikker trusselaktører bruker. Hvilken angrepsoppskrift (TTP) som følges.
Teknisk CTI	Tekniske indikatorer ofte samlet inn via logging og monitoring av aktiviteter i systemet/nettverket.
Trafikklysprotokollen (TLP)	Hvor bredt en CTI skal kunne sirkulere Rød: Kun for navngitte mottakere Gul: Kan deles innad i org-er, men bare på behov-for-å-vite-basis. Grønn: Kan deles innen miljøet. Hvitt: Kan legges ut på nett der alle kan se.
CTI-syklus	Fokusering: Kartlegge trusler fra ulike perspektiver. Innsamling: manuelt eller automatisk. Prosessering: Kvalitetsikring av innsamlet data Analyse: Produserer info om trusler mot en sektor, applikasjoner eller angående pågående angrep. Deling: Uttrykket som formelt språk

Next up

Description

Resource summary

Similar

	Created by Aki Aki Aki over 1 year ago