Bezpiecze

ń

stwo

systemów i sieci

ds

systemów i sieci

BSiS L_1 2013

Dariusz Strz

ę

ciwilk

Info

Dariusz Strz

ę

ciwilk PhD

Department of Computer Science WULS

SGGW

r. 3/43

e-mail: [e-mail]

General Info

Niedziela, godz. 19.00 s. A6

29-09, 27-10, 01-12, 05-01

Egzamin

– ocena uzyskana na te

ś

cie ko

ń

cowym

◦

Test ko

ń

cowy

(05 stycze

ń

2014)

SGGW

Literatura

Materiały pdf

Materiały cisco

CCNA Security

SNRS

SGGW

SNRS

Secure

Literatura

Marek Serafin,

Sieci VPN, Zdalna praca i

bezpiecze

ń

stwo danych

, Helion, Gliwice, 2010

William Stallings

, Kryptografia i bezpiecze

ń

stwo sieci

komputerowych

, Helion, Gliwice, 2011

SGGW

Koncepcje i metody bezpiecznej komunikacji

Matematyka szyfrów i techniki kryptologii

Literatura

William Stallings

, Kryptografia i bezpiecze

ń

stwo sieci

komputerowych

, Helion, Gliwice, 2011

Koncepcje i metody bezpiecznej komunikacji

Matematyka szyfrów i techniki kryptologii

SGGW

Literatura

William Stallings

, Kryptografia i bezpiecze

ń

stwo sieci

komputerowych

, Helion, Gliwice, 2011

Koncepcje i metody bezpiecznej komunikacji

Matematyka szyfrów i techniki kryptologii

SGGW

Literatura

Marek Serafin,

Sieci VPN, Zdalna praca i

bezpiecze

ń

stwo danych

, Helion, Gliwice, 2010

SGGW

Literatura dodatkowa

W. Stallings,

Network Security Essentials

. Prentice

Hall, 2003

J. Stokłosa, T. Bliski, T. Pankowski,

Bezpiecze

ń

stwo

danych w systemach informatycznych

. PWN, 2001

N. Ferguson, B. Schneier,

Kryptografia w praktyce

,

SGGW

N. Ferguson, B. Schneier,

Kryptografia w praktyce

,

Helion, 2004

W. R. Cheswick.

Firewalle i bezpiecze

ń

stwo w sieci

.

Helion, 2003

Literatura dodatkowa

Materiały do kursów

Security

CCNA

Security

SNRS

(Securing Networks with Routers and Switches)

IPS

(Implementing Intrusion Prevention System)

SGGW

IPS

(Implementing Intrusion Prevention System)

SNAF

(Securing Networks with ASA Foundation)

SNAA

(Securing Networks with ASA Advanced)

MARS

(Implementing Securit Monitoring, Analysis and

Respone System)

Wst

ę

p

Administratorzy sieci musz

ą

dysponowa

ć

narz

ę

dziami

,

które uniemo

ż

liwiaj

ą

niepo

żą

danym u

ż

ytkownikom

dost

ę

p do sieci

Niektóre z najcz

ę

stszych i najbardziej szkodliwych

ataków internetowych to, mi

ę

dzy innymi ataki za

SGGW

ataków internetowych to, mi

ę

dzy innymi ataki za

pomoc

ą

szkodliwego oprogramowania

, przez

odmow

ę

usług

(DoS),

przechwytywanie

danych,

podszywanie

si

ę

pod nadawc

ę

i

modyfikowanie

oraz

usuwanie

komunikatów.

Wst

ę

p

Jak zabezpiecza

ć

sieci komputerowe przed atakami?

Szczegółowa analiza bezpiecznej komunikacji

Jak nawi

ą

za

ć

bezpieczne poł

ą

czenie w ..

transakcjach handlowych,

SGGW

transakcjach handlowych,

podczas wojny,

w romansach …

Czym jest bezpiecze

ń

stwo sieci?

Alicja i Bartek, którzy chc

ą

porozumiewa

ć

si

ę

„

bezpiecznie

” - co to oznacza?

SGGW

Alicja chce, aby jej wiadomo

ść

mógł zrozumie

ć

tylko Bartek

,

mimo

ż

e komunikuj

ą

si

ę

przez

niezabezpieczone medium

, w

którym intruz mo

ż

e przechwyci

ć

, odczyta

ć

dane.

Bartek chce by

ć

pewien,

ż

e odebrana wiadomo

ść

rzeczywi

ś

cie

została

wysłana przez Alicj

ę

Wst

ę

p

Bezpiecze

ń

stwo sieci

ma wiele aspektów

Techniki, które zapewniaj

ą

szyfrowanie

i

deszyfrowanie

komunikacji,

uwierzytelnianie

porozumiewaj

ą

cych si

ę

stron oraz

integralno

ść

wiadomo

ś

ci

SGGW

wiadomo

ś

ci

Wst

ę

p

Mo

ż

emy zidentyfikowa

ć

po

żą

dane wła

ś

ciwo

ś

ci

bezpiecznej komunikacji

Integralno

ść

wiadomo

ś

ci

Bezpiecze

ń

stwo operacyjne

Uwierzytelnianie punktów ko

ń

cowych

SGGW

Uwierzytelnianie punktów ko

ń

cowych

Cel przedmiotu

Zapoznanie z

podstawowymi problemami

bezpiecze

ń

stwa systemów i sieci komputerowych

Zagro

ż

enia systemów

informatycznych w kontek

ś

cie

poufno

ś

ci, integralno

ś

ci i dost

ę

pno

ś

ci informacji

SGGW

Modele bezpiecze

ń

stwa

i klasy bezpiecze

ń

stwa

systemów informatycznych, problematyka tworzenia
polityki bezpiecze

ń

stwa systemu informatycznego

Elementy

kryptografii

, zagadnienia dotycz

ą

ce

certyfikatów i infrastruktury klucza publicznego

Cel przedmiotu

Strategie

kontroli dost

ę

pu

,

Bezpiecze

ń

stwo protokołów

komunikacyjnych i usług

aplikacyjnych.

Narz

ę

dzia analizy zabezpiecze

ń

i

monitoringu

,

SGGW

Lokalne i sieciowe systemy wykrywania ataków i
ochrony przed nimi,

Protokół

IPSec

Kryptografia w sieciach

VPN

Kryptograficzne

funkcje skrótu

Wprowadzenie do
problematyki
bezpiecze

ń

stwa

ds

bezpiecze

ń

stwa

BSiS L1 2013

KZI, D. Strz

ę

ciwilk

Bezpiecze

ń

stwo i certyfikaty IT

1. PMP – Project Management Professional $ 101,695

2. CAPM Certified Associate Project Management $ 101,103

3. ITIL v2 Foundations $ 95,415

4. CISSP Certified

Information Systems Security Professional

$94,018

SGGW

$94,018

5. CCIE - Certified Internetworking Expert - Routing and Switching
$93,500

6. CCVP - Certified Voice Professional $ 88,824

7. ITIL v3 - ITIL Master $ 86,600

8. MCSD - Microsoft Certified Solution Developer $ 84,522

9. CCNP Cisco Certified Network Professional $ 84,161

Bezpiecze

ń

stwo

Poj

ę

cia bezpiecze

ń

stwa

Brak uniwersalnej i jednoznacznej definicji poj

ę

cia

bezpiecze

ń

stwa, która pokryłaby wszystkie

oczekiwania stawiane systemom komputerowym.

Du

ż

o rozbie

ż

nych definicji

SGGW

Du

ż

o rozbie

ż

nych definicji

Bezpiecze

ń

stwo

Simson Garfinkel

, "Practical Unix and Internet

Security", II ed., O’Reilly, 2003

System komputerowy jest bezpieczny, je

ś

li jego

u

ż

ytkownik mo

ż

e na nim polega

ć

, a zainstalowane

oprogramowanie działa zgodnie ze swoj

ą

specyfikacj

ą

SGGW

oprogramowanie działa zgodnie ze swoj

ą

specyfikacj

ą

System jest bezpieczny, je

ś

li np. mo

ż

na od niego

oczekiwa

ć

,

ż

e wprowadzone na stałe dane

nie zostan

ą

utracone

, nie ulegn

ą

zniekształceniu

i nie zostan

ą

pozyskane

przez osoby nieuprawnione.

Ufamy,

ż

e system b

ę

dzie przechowywał i chronił dane.

Wiarygodno

ść

systemu

Bezpiecze

ń

stwo jest elementem szerszego kontekstu,

nazywanego

wiarygodno

ś

ci

ą

systemu

komputerowego.

Wyró

ż

nia si

ę

cztery atrybuty systemu wiarygodnego:

SGGW

dyspozycyjny

(available) = dost

ę

pny na bie

żą

co

niezawodny

(reliable) = odporny na awarie

bezpieczny

(secure) = zapewniaj

ą

cy ochron

ę

danych

bezpieczny

(safe) = bezpieczny dla otoczenia, przyjazny dla

ś

rodowiska

Znaczenie bezpiecze

ń

stwa

Wszechobecno

ść

technik komputerowych

Rola systemów informatycznych (szczególnie sieci) dla
funkcjonowania współczesnej

cywilizacji

Praktycznie brak obszarów

działalno

ś

ci człowieka

,

SGGW

Praktycznie brak obszarów

działalno

ś

ci człowieka

,

którym

ż

adne elementy techniki komputerowej (b

ą

d

ź

szerzej mikroprocesorowej) nie s

ą

obecne

Zagro

ż

enia bezpiecze

ń

stwa

Mog

ą

by

ć

przypadkowe

Wynikaj

ą

ce z nie

ś

wiadomo

ś

ci lub naiwno

ś

ci

W efekcie

celowego

działania.

Wynikaj

ą

ce z ch

ę

ci zysku, odwetu, rozgłosu …

Pochodz

ą

ce z

SGGW

Pochodz

ą

ce z

zewn

ą

trz

systemu

ze

ś

rodka

systemu

Aspekt prawny

Działania skierowane przeciwko bezpiecze

ń

stwu

komputerowemu s

ą

traktowane jako przest

ę

pstwa

W Polsce w szczególno

ś

ci maj

ą

tu zastosowanie:

artykuły 267-269 KK, artykuł 287 KK

SGGW

Przest

ę

pstwa przeciwko ochronie informacji,

Przest

ę

pstwa przeciwko mieniu

Przest

ę

pstwa przeciwko bezpiecze

ń

stwu powszechnemu

Przest

ę

pstwa przeciwko Rzeczypospolitej Polskiej

Przest

ę

pstwa przeciwko wiarygodno

ś

ci dokumentów

Podobnie wi

ę

kszo

ść

krajów europejskich

Aspekt prawny

Włamanie

do systemu komputerowego

Nieuprawnione

pozyskanie

informacji

Destrukcja

danych

i programów

Sabota

ż

(sparali

ż

owanie pracy) systemu

SGGW

Sabota

ż

(sparali

ż

owanie pracy) systemu

Aspekt prawny

Hacking komputerowy – art. 267 § 1 kk

.

Nieuprawnione wej

ś

cie do systemu komputerowego

przez naruszenie zastosowanych zabezpiecze

ń

i

manipulowanie w bazie danych jest tak

ż

e okre

ś

lane

jako włamanie do komputera oraz kradzie

ż

danych

Wa

ż

ny jest jednak

sposób przełamania

SGGW

Wa

ż

ny jest jednak

sposób przełamania

elektronicznego

, magnetycznego lub innego

szczególnego zabezpieczenia, a nie rodzaj
pokonanego zabezpieczenia.

Nie jest wi

ę

c karalne jedynie

sprawdzenie jako

ś

ci

zabezpiecze

ń

i mo

ż

liwo

ś

ci ich przełamania. Istot

ą

omawianego przest

ę

pstwa jest

uzyskanie informacji

przez hackera

.

Cele ataków

Blokowanie

komputerów lub poszczególnych usług

Przej

ę

cie poufnych

dokumentów i danych

Przechwytywanie

haseł

u

ż

ytkowników

Nieautoryzowane

zmiany konfiguracji

serwerów i

SGGW

Nieautoryzowane

zmiany konfiguracji

serwerów i

urz

ą

dze

ń

sieciowych

Zakładanie

tylnych wej

ść

Niszczenie

danych

Zdobycie rozgłosu

lub zaimponowanie znajomym

Formy ataku elektronicznego

Podszywanie

- atakuj

ą

cy (osoba, program) udaje inny

podmiot, w domy

ś

le zaufany systemowi atakowanemu,

np. fałszywy serwer www podszywa si

ę

pod znan

ą

witryn

ę

internetow

ą

Podsłuch

- pozyskanie danych składowanych,

SGGW

Podsłuch

- pozyskanie danych składowanych,

przetwarzanych lub transmitowanych w systemie (np.
przechwycenienie zabezpieczonego hasła klienta
przesyłanego do serwera)

Formy ataku elektronicznego

Odtwarzanie

- u

ż

ycie ponowne przechwyconych

wcze

ś

niej danych, np. hasła

Manipulacja

- modyfikacja danych w celu

zrekonfigurowania systemu lub wprowadzenia go do
stanu, z którego atakuj

ą

cy mo

ż

e osi

ą

gn

ąć

SGGW

stanu, z którego atakuj

ą

cy mo

ż

e osi

ą

gn

ąć

bezpo

ś

rednio lub po

ś

rednio korzy

ść

Wykorzystanie luk w systemie

- posłu

ż

enie si

ę

wiedz

ą

o znanej luce, bł

ę

dzie w systemie

Konsekwencje ataków

O

ś

mieszenie i utrata

zaufania klientów

Utrata lub zniszczenie istotnych dla firmy danych

Kradzie

ż

poufnych dokumentów

firmy

Kradzie

ż

nowych technologii

SGGW

Kradzie

ż

nowych technologii

Przerwa w działaniu

istotnych systemów

Bankructwo

firmy

Klasy ataków

Aktywne

- atakuj

ą

cy po

ś

redniczy w przetwarzaniu

danych (komunikacji) w systemie, mog

ą

c je nie tylko

odczyta

ć

, lecz równie

ż

sfałszowa

ć

czy spreparowa

ć

z

premedytacj

ą

, tak by uzyska

ć

zamierzony cel.

SGGW

Klasy ataków

Pod wzgl

ę

dem interakcji atakuj

ą

cego z atakowanym

systemem wyró

ż

niamy ataki

Pasywne / Aktywne

pasywne

- atakuj

ą

cy ma dost

ę

p do danych

SGGW

pasywne

- atakuj

ą

cy ma dost

ę

p do danych

(komunikacji) w systemie, mog

ą

c je odczyta

ć

, lecz ich

nie modyfikuje

- przykład: podsłuch komunikacji

pomi

ę

dzy legalnymi u

ż

ytkownikami systemu.

Q&A

ds

L_1A