1: Einführung/Grundlagen Flashcards
Warum ist IT Sicherheit wichtig?
- Alles wird mit dem Internet verbunden
- Alles wird über Internet gesteuert
- Internet wird zu kritischen Infrastruktur
- Unmengen an Daten werden durch allgegenwärtige Sensorik generiert
Unterschied zwischen Safety und Security?
Safety: Vom System darf keine Gefährdung ausgehen
Security: Das System muss resistent gegen externe Angriffe sein
Definition IT-System
System (Hard Software) zur Erzeugung, Erfassung, Übertragung, Verteilung, Darstellung, Verarbeitung von Information
Definition: Datensicherheit/IT-Sicherheit
Zustand eines IT-Systems in dem die Risiken die beim Einsatz dessen aufgrund von Bedrohungen vorhanden sind durch angemessene Maßnahmen auf ein tragbares Maß beschränkt sind
Definition: Datenschutz
Maßnahmen die getroffen werden um Individuen vor Missbrauch beim Umgang mit personenbezogenen Informationen zu schützen & Persönlichkeitsrechte zu wahren
Definition: Verwundbarkeit
Schwachstelle des Systems über die die SIcherheitsdienste des Systems umgangen, geändert oder getäuscht werden können
Definition: Angriff
Nicht autorisierter Zugriff auf ein Asset (nutzt eine Verwundbarkeit des Systems aus)
Definition: Bedrohung
Ergibt sich aus möglichen Angriffen, die eine oder mehrere Schwachstellen eines Systems ausnutzen, um ein oder mehrere Schutzziele zu gefährden
Definition: Risiko einer Bedrohung
Wahrscheinlichkeit des Eintritts eines Schadensereignisses und die Höhe des potentiellen Schadens der daraus resultieren kann (R=W*S)
Definition: Objekt
Schützenswerte Güter/Assets
Definition: Subjekt
Subjekte können auf Objekte zugreifen
Definition: Rechte
Regeln Zugriff von Subjekten auf Objekte
Definition: Regelwerk/Policy
- Legt u.a. Rechte/Verbote fest
- Festlegen der Schutzziele und Menge von technischen und organisatorischen Regeln und Verhaltensweisen
- Festlegen von Maßnahmen zur Gewährleistung der Schutzziele –> Sichern von angestrebtem Sicherheitsniveau
- Festlegen von Verantwortlichkeiten/Rollen
Definition: Kontrolle/Enforcement
Überwachung der Einhaltung des Regelwerks
Liste von Schutzzielen
- (Daten-) Integrität
- (Informations-) Vertraulichkeit
- Verfügbarkeit
- Verbindlichkeit
- Authentizität
- Privatheit
Definition: Datenintegrität
Schutz vor unautorisierter und unbemerkter Modifikation von Daten
Maßnahmen Datenintegrität
- Regeln für zulässige/unzulässige Datenänderungen (wer darf was unter welchen Bedingungen mit welchem Objekt tun)
- Vergabe von Zugriffsrechten und Kontrolle
- Isolierung
- Manipulationserkennung
Definition: Nachrichtenintegrität
Schutz vor unautorisierter und unbemerkter Modifikation von Nachrichten
Maßnahmen Nachrichtenintegrität
- Kontrollierter Zugang zum Übertragungsweg: Separate Leitung, nur autorisierte Sender dürfen Nachrichten erzeugen
- Isolierung (separate Leitung)
- Manipulationserkennung (zB Prüfwerte, dig. Wasserzeichen)
Definition: Informationsvertraulichkeit
Schutz vor unautorisierter Informationsgewinnung
Maßnahmen Informationsvertraulichkeit
- Regeln für zulässige/unzulässige Informationsflüsse (wer darf auf welche Information zugreifen)
- Verschlüsselung von Daten
- Informationsflusskontrolle: Klassifizieren von Objekten & Subjekten, speziell: Confinement Problem : Verdekte Kanäle/Seitenkanäle
Definition: Verfügbarkeit
Schutz vor unbefugter Beeinträchtigung der Nutzbarkeit und der Funktionalität/Dienste etc
Maßnahmen Verfügbarkeit
- Regelungen (= Verpflichtungen) zur Aufzeichnung und Überwachung welche Zugriffe auf welche Objekte wann mit welchem Ressourcenverbrauch (zB Speicher) aufzeichnen
- Festlegen von Schwellenwerten, zB Überlast
Definition: Authentizität
Nachweis der Echtheit und Glaubwürdigkeit der Identität eines Objekts Subjekts
