Flashcards
ITSicherheit2 - VL3.1
Flashcards do conjunto (59)
- 1Defense in Depthist ein Ansatz zur Cybersicherheit, bei dem eine Reihe von Verteidigungsmechanismen nacheinander aufgebaut werden, um wertvolle Daten und Informationen zu schützen
Schichten von Maßnahmen können die Wahrscheinlichkeit eines Angriffserfolgs / Single Point of Failure verringern - 2Kritische Informationswerte sind auf verschiedenen Ebenen bedrohtdurch Benutzer während Nutzung
durch Software, die Daten verarbeitet
durch Hardware, auf der sie gespeichert sind
durch Umgebung, in der sie sich befinden
bei Übertragung über die Netzwerkinfrastruktur - 3Bedrohungen kritischer Informationswerte
- 4Schwachstellen kritischer Informationswerte
- 5Prädiktive Maßnahmenden aktuellen Stand in Bezug auf die Informationssicherheit verstehen
- 6Vorbeugende MaßnahmenSchutz vor potenziellen Bedrohungen (auf technischer, organisatorischer oder Prozessebene)
- 7Erkennende Maßnahmenwenn Vorfälle passieren, diese schnell erkennen
- 8Reaktive Maßnahmenschließen an die Erkennung an und helfen, Vorfälle zu analysieren, schadensminimierend zu reagieren und die Systeme wiederherzustellen
- 9Zugriffskontrolleschränkt Zugriff auf Informationswerte auf autorisierte Personen oder Systeme ein
Allg. Use Cases: Windows/Websites einloggen
Nicht jeder Informationswert (Funktion, Daten) von beliebigen Personen/Systemen zu nutzen (nur autorisierte Personen/Systeme sollen Zugriff haben; es kann verschiedene Berechtigungsebenen geben)
Use Cases IoT: Auto -Schlüssel zum Starten, Produktion - Steuerung
Typ. Abwehrmaßnahmen: Passwörter, Chipkarten, Benutzerberechtigungen
Typ. Angriffe: Passwort knacken, Diebstahl, Netzwerk-Sniffing
auch genannt: Identitäts- und Zugriffsmanagement (IAM) - 10Subjekt (subject)aktiver (handelnder) Teil, der Zugriff auf ein Objekt oder die Daten in einem Objekt verlangt
- 11Objekt (object)passiver Teil, auf den zugegriffen wird oder der Ziel einer Handlung ist
- 12Zugriff (access)Fähigkeit eines Subjekts, etwas zu tun (z.B. Lesen, Schreiben). Auch Fluss der Informationen zwischen Subjekt und Objekt.
- 13Zugriffskontrolle (access control)Prozess der Vermittlung des Zugriffs von Subjekten auf bestimmte Objekte.
- 14Sicherheitsrichtlinien (security policy)Regelt, welcher Zugriff von Subjekten auf Objekte erlaubt ist.
- 15Drei Schritte der Zugriffskontrolle1. Identifizierung (Welche Identität wird beansprucht?)
2. Authentifizierung (Kann die Identität verifiziert werden?)
3. Autorisierung (Was darf dieses Subjekt?) - 161. IdentifizierungSubjekt liefert Informationen über eine behauptete Identität
Kontrollinstanz kann zwischen verschiedenen IDs unterscheiden (Nutzername, Kontonummer...)
Ergebnis: Zugriffskontrollinstanz weiß, welche Identität das Subjekt behauptet zu haben - 172. AuthentifizierungVerifiziert ID eines Subjekts
Authentisierung: Subjekt authentisiert sich selbst
Authentifizierung: Kontrollinstanz authentifiziert Subjekt - 183. AutorisierungZugriffskontrollinstanz hat Subjekt bereits authentifiziert
auf welche Objekte wie zugegriffen werden darf (z.B. nur lesend)
basiert auf Regeln der jeweiligen Organisation, die in einer Sicherheitsrichtlinie dokumentiert sein sollten
kann auf verschiedene Weise implementiert werden
(=> Zugriffskontrollmodelle) - 19AuthentifizierungSubjekt muss seine Identität beweisen
Verschiedene Methoden:
Wissen (something you know => Menschen), z.B. Passwort
Besitz (something you have => Menschen oder Systeme), z.B. Schlüssel
Inhärent (something you are => Menschen), Biometrie
Standort (somewhere you are => Menschen oder Systeme), physikalischer oder logischer Standort - 20Wissensbasierte AuthentifizierungFaktor, der nur dem Benutzer bekannt sein sollte
am weitesten verbreitete Methode zur Authentifizierung
gilt nicht als sicher (viele Werkzeuge um Passwörter anzugreifen, keine notwendige Disziplin für ein akzeptables Sicherheitsniveau) - 21Passwortangriffe & GegenmaßnahmenSocial Engineering (Phishing, Shoulder Surfing...) - Awareness-Schulung, Sicherheitsrichtlinien
Stehlen von Passwörtern (unsicher gespeichert, Abfangen...) - Verschlüsselung, Training, Sicherheitsrichtlinien
Passwort knacken (Brute-Force-/Wörterbuch-angriff) - Sperre/Verzögere nach n Fehlversuchen, Salting, Peppering - 22Password Crackingerlaubt es Passwörter aus Daten zu erlangen, die Rechner-Systeme gespeichert oder übertragen haben
Grund: Wiederherstellung, unautorisierten Zugriff erhalten, schwache Passwörter identifizieren, Beweise sicherstellen
Ansätze: Direkte Angriffe, Berechnung im Voraus - 23Direkte Angriffe - RatenHilfreich: Kenntnis Benutzerumfeld (=> Social Engineering)
besonders dann effektiv, wenn System "Self-Service" zum Zurücksetzen des Passworts bietet - 24Dictionary AttacksTesten einer bestimmten Menge von Passwörtern
Wörterbuch als vorgefertigte Liste von bekannten Worten
häufig erfolgreich, weil viele Benutzer kurze Passwörter wählen oder (in leicht veränderter Form) in Wörterbüchern stehen - 25Brute Force Attacksnutzen Rechen-Power
systematische Suche nach Passwort:
Online Attack: schwierig (Logging -> Sperrung/Verzögerung)
Offline Attack: am besten liegt Hash-Wert des Passworts vor -> hashen möglicher Passwörter und Vergleich mit vorhandenem Hash)
Immer erfolgreich
ABER: kann lange dauern - 26John the Ripperkostenlose SW zum Knacken von Passwörtern
unterstützt Wörterbuch-Angriff (nimmt Textstrings aus einer Wortliste und testet diese) und Brute-Force (verwendet Zeichenhäufigkeitstabellen) - 27Passwort-Topologiedie häufigsten Topologien bestehen aus u = Großbuchstabe, l = Kleinbuchstabe & d = Ziffer)
- 28Passwort Angriffe - BeispielePhishing (Fälschungen von Websites ähneln Original stark; häufige Unterschiede: URL falsch, fehlende Verschlüsselung)
Keylogger (schreibt Tastatureingaben mit) - 29Regeln für sichere PasswörterKombination verschiedener Zeichen
angemessene Lebensdauer (Empfehlung: nur bei Verdacht auf Gefährdung ändern)
nicht wiederverwenden
niemals teilen - 30Serverseitige Passwortverifizierungist Kombination aus Benutzername und Passwort gültig?
Umsetzung 1 (unsicher): Klartext von Benutzername & Passwort in der DB (Kompromittierung führt zum Diebstahl aller Konten)
Umsetzung 2 (auch nicht sicher): gehashte Passwörter in DB (Knacken mit vorberechneten Tabellen)
Umsetzung 3 (besser): Passwort + Salt hashen
Umsetzung 4 (Stand der Technik): Geheimen Schlüssel (außerhalb DB) hinzufügen (Peppering) - 31Vorberechnete TabellenEinfache Form: vorherige Berechnung der Hash-Werte des Wörterbuchs
bei Brute-Force steigt Menge der Paare von Hash-Wert & Passwort -> Kompromiss zwischen Speicherplatz und Angriffszeit notwendig (Time-Memory-Tradeoff) - 32Reduktionsfunktionbildet Hashes wieder (pseudo-)zufällig auf Passwörter ab
- 33Hash-Kettek-fache abwechselnde Anwendung von Hash-Funktion H und Reduktionsfunktion R
nur erstes und letztes Passwort wird gespeichert
ggb. Hash-Wert: abwechselnde Anwendung von R & H
-> Endwert gefunden? Passwort liegt vor dem ggb. Hash-Wert in der Kette
-> Endwert nicht gefunden? Passwort nicht in Tabelle - 34Rainbow TableVermeidung von überlappenden Ketten durch unterschiedliche Reduktionsfunktionen
Suche nach Passwort muss dies berücksichtigen - 35Schwaches Passwort-HashingPasswort-Hashing schlecht gewählt oder implementiert => System angreifbar
Bsp.: LM Hash (Passwort wird gehasht und dann in zwei Gruppen aufgeteilt) - 36Weitere passwortbezogene SicherheitsproblemeAnmeldefunktionen und deren Fehlermeldungen sollten keine Hinweise geben, die Angreifern helfen (z.B. "falscher Benutzer oder Passwort" statt "falscher Benutzer"/"falsches Passwort" / "wenn Adresse gültig, wird Reset-Link gesendet")
Prozesse und Regeln für Funktionen "Passwort vergessen" oder "Passwort zurücksetzen" (sicherer Kanal) - 37Wissensbasierte PasswörterGeheimnis, das auf einer benutzerbekannten Tatsache beruht (z.B. Geburtsname der Mutter)
oft zusätzlicher Mechanismus beim telefonischen Helpdesk-Support - 38Einmal-Passwörterwird nur einmal zur Authentifizierung verwendet
Benutzer & Server kennen dasselbe Einmal-Passwort
Verschiedene Möglichkeiten der Verteilung (z.B. TAN im Online Banking)
kombiniert "Wissen" und "Besitz" - 39Biometrische Authentifizierungverifiziert Identität basierend auf (fast) unveränderlichen und einzigartigen physiologischen Merkmalen (z.B. Fingerabdruck)
Erstmessung & Speicherung eines Referenztemplate
präsentierte Merkmale extrahieren, Template berechnen und mit Referenztemplate vergleichen (stimmt selten exakt) - 40Falsche Rückweisungsrate (FRR)Prozentsatz der autorisierten Benutzer, die vom System zurückgewiesen werden
- 41Falsche Akzeptanzrate (FAR)Prozentsatz der nicht autorisierten Benutzer, die vom System akzeptiert werden
- 42FAR vs. FRRBeeinflusst durch (konfigurierbare) Systemempfindlichkeit (Entscheidungsschwellwerte)
- 43Besitzbasierte AuthentifizierungIdentitätsnachweis durch Präsentation eines eindeutigen Gegenstands (physisch oder virtuell)
z.B. Ausweis, Krypto-Schlüssel
Gegenstand braucht besonderen Schutz - 44Sicherheits-TokenHardware-Komponente als Teil einer Authentifizierungslösung (speichert digitalen Schlüssel oder generiert Einmal-Passwort)
Beispiel: Smartcard
meistens geschützt durch einen zweiten Faktor (z.B. Pin, Biometrie) - 45Besitz eines GeheimnissesSystem muss beweisen, dass es im Besitz eines Geheimnisses ist (Challenge / Response)
im Gerät gespeichert
- 46Multi-Faktor-Authentifizierungum die Sicherheit zu erhöhen, können mehrere Faktoren kombiniert werden
- 47Modelle Zugriffskontrolleoft unterschätzt
Wer darf auf was in welcher Weise zugreifen?
z.B. DAC, MAC, RBAC, ABAC - 48Discretionary Access Control (DAC)benutzerbestimmbare Zugriffskontrolle
Systembenutzer bestimmen, welche Benutzer Zugriff auf Objekte unter ihrer Kontrolle bekommen
häufig in Form von Zugriffskontroll-Listen (Access Control Lists)
einfach & flexibel
ABER: verlässt sich auf den richtigen Umgang von Zugriffsrechten durch Objektbesitzer & denjenigen, denen Zugriff gewährt wurde - 49Mandatory Access Control (MAC)systembestimmte Zugriffskontrolle
Kontrollregeln von einer zentralen Einheit (Berechtigungen nur durch Admins änderbar)
typischerweise in Kategorien eingeteilt (ggf. +"Need to know")
Klassifizierung des Objekts (Bsp.: Vertraulich - Eingeschränkt - Intern - Öffentlich) - 50Prinzip des geringsten Privilegseinem Subjekt werden nur die Privilegien gewährt, die es für die Erfüllung seiner Aufgabe benötigt
wenn Subjekt Zugriffsrechte nicht mehr benötigt, sollten diese wieder entzogen werden - 51Role-Based Access Control (RBAC)rollenbasierte Zugriffskontrolle
Benutzer werden in Rollen eingeteilt
Zugriffsrechte werden an Rollen vergeben, nicht an einzelne Benutzer - 52Umgebung & Berechtigungum Zugriffsentscheidungen weiter zu verfeinern, können Umweltattribute berücksichtigt werden (physischer/logischer Standort, Zeitfenster, Bedrohungsstufe)
- 53Attribute-Based Access Control (ABAC)attributbasierte Zugriffskontrolle
fügt Attribute von Subjekten, Objekten, Umgebungsbedingungen dem Entscheidungsprozess hinzu - 54Berechtigungsangriffdirekte Objektreferenz (z.B. account-Parameter)
Zugriff auf Funktionen (z.B. Modifizierung der Rolle in URL) - 55SpoofingAusgeben als eine andere Person durch verfälschte Daten, um sich einen unrechtmäßigen Vorteil zu verschaffen
- 56IP-SpoofingSenden von Paketen mit gefälschter Quell-IP-Adresse
funktioniert nur in eine Richtung (Antworten an Besitzer der gefälschten IP)
Wie fälscht man eine IP-Adresse? z.B. Tools wie Nmap - 57MAC-SpoofingMAC-Adresse einer Netzwerkkarte ändern
Änderung auf Betriebssystemebene (ursprüngliche MAC kann nicht geändert werden, da in HW) - 58DNS-SpoofingFälschung von DNS-Antworten
Zuordnung zwischen Hostnamen und zugehöriger IP-Adresse fälschen
z.B. Umleitung auf gefälschte Website - 59DNS-Spoofing - Cache PoisoningAngreifer muss schneller eine passende DNS-Antwort(IP-Adresse & Port des DNS-Servers & des Hosts, Referenznr der Anfrage (16-Bit), aufzulösender Hostname) senden als eigentlicher DNS-Server
Angreifer schleust gefälschte Informationen in den Cache eines DNS-Servers (mehr Anfragen werden auf Fälschung umgeleitet)
Informações
- Descrição
- O usuário eliminou as informações de disciplina FlashCards sobre ITSicherheit2 - VL3.1, criado por Usuário eliminado em 08-07-2024.
- Criado por
- Usuário eliminado
- Visualizações
- 20
- Histórico
-
- Criado por B erry · 7 jul 2024
- Copiado por B erry · 8 jul 2024
- Avaliação