Defend Iceland Flashcards
Hvert er meginmarkmið Defend Iceland?
Að umbreyta stafrænni öryggismenningu Íslands með því að nýta fyrirbyggjandi aðgerðir eins og bug bounty platform og lýðvirkja netöryggisþekkingu (crowdsourcing cybersecurity expertise ) til að styrkja stafræna innviði þjóðarinnar.
Hvaða þjónustu býður Defend Iceland upp á?
Defend Iceland veitir fyrirbyggjandi öryggisráðstafanir, þar með talið samkeppnishæft bug bounty platform, þjónustu siðferðilegra hakkara og samstarf við reynda öryggissérfræðinga til að greina og laga veikleika í net-, tölvu- og hugbúnaðarkerfum viðskiptavina.
Hvernig nýtir Defend Iceland siðferðilega hakkara?
Með því að virkja siðferðilega hakkara í bug bounty prógramminu sínu til að finna öryggisveikleika áður en illgjarnir aðilar geta nýtt sér þá, og þannig styrkja stafrænar varnir viðskiptavina.
Hvað er bug bounty prógramm?
Bug bounty prógramm er átak þar sem fyrirtæki verðlauna einstaklinga fyrir að tilkynna villur, sérstaklega öryggisgalla og veikleika, til að bæta öryggi kerfa þeirra.
Af hverju eru fyrirbyggjandi öryggisráðstafanir mikilvægar?
Þær hjálpa til við að finna og milda veikleika áður en þeir geta verið nýttir af tölvuþrjótum, sem minnkar hættuna á öryggisbrestum og tilheyrandi skaða.
Hvað þýðir „sókn er besta vörnin“ í netöryggi?
Að það er áhrifaríkara að leita virkan að og laga veikleika (sókn) en að treysta eingöngu á varnir eins og eldveggi og veiruvörn.
Hvernig styður Defend Iceland lítil fyrirtæki og góðgerðarsamtök?
Með því að ráðstafa hluta af þjónustutekjum sínum til að verðlauna siðferðilega hakkara sem tilkynna veikleika í kerfum þessara aðila, og þannig auka stafrænt öryggi þeirra.
Hvað er siðferðileg hökkun?
Siðferðileg hökkun felur í sér löglega innbrot í tölvur og tæki til að prófa varnir fyrirtækja, með það markmið að laga veikleika áður en þeir eru nýttir af illgjörnum aðilum.
Af hverju er stafræn öryggisvitund starfsfólks nauðsynleg?
Að tryggja að allt starfsfólk sé meðvitað um hugsanlega öryggisveikleika og fyrirbyggjandi öryggisráðstafanir er lykilatriði í að viðhalda sterkum stafrænum vörnum innan fyrirtækis.
Geturðu útskýrt muninn á veikleikamat og penetration test?
Veikleikamat greinir og forgangsraðar veikleikum í kerfi, á meðan penetration test nýtir sér þessa veikleika til að ákvarða umfang mögulegs skaða
Hvernig heldurðu þér uppfærðum um nýjustu netöryggisógnir og strauma?
Með því að fylgjast með netöryggisfréttum, taka þátt í netspjallborðum, sækja ráðstefnur og taka stöðugt þátt í námi og vottunum.
Hvað eru OWASP Top 10?
OWASP Top 10 er listi yfir alvarlegustu öryggisáhættu í vefumsóknum, skilgreindur af Open Web Application Security Project, þar með talið vandamál eins og injection gallar og cross-site scripting (XSS).
Útskýrðu hvað SQL Injection er og hvernig á að koma í veg fyrir það.
SQL Injection er kóðainnspýtingartækni sem getur eyðilagt gagnagrunn. Það er hægt að koma í veg fyrir það með því að nota undirbúnar setningar með færibreytum og innsláttarsannprófun.
Hvað er cross-site scripting (XSS)?
XSS er veikleiki sem leyfir árásarmönnum að sprauta illgjörnum skriptum inn í traustar vefsíður. Það er hægt að koma í veg fyrir það með því að hreinsa notendainntak og nota rétta úttakskóðun.
Hvernig myndirðu útskýra mikilvægi netöryggis fyrir ó tæknimenntað starfsfólk?
Með því að leggja áherslu á hvernig netöryggi verndar gögn fyrirtækisins, orðspor og viðskiptavini, og útskýra mögulegar áhættur og áhrif öryggisbresta á skiljanlegan hátt.
Hvað er zero-day veikleiki?
Zero-day veikleiki er hugbúnaðaröryggisgalli sem er óþekktur fyrir þá sem bera ábyrgð á að laga hann, og getur verið nýttur af árásarmönnum áður en lagfæring er til staðar.
Lýstu ferlinu við threat modeling.
Threat modeling felur í sér að bera kennsl á mögulegar ógnir og veikleika, meta áhættu og innleiða aðgerðir til að koma í veg fyrir eða milda öryggisógnir á kerfi.
Hvað er félagsleg verkfræði (social engineering), og hvernig er hægt að draga úr henni?
Félagsleg verkfræði er að blekkja fólk til að afhenda trúnaðarupplýsingar. Það er hægt að draga úr henni með öryggisvitundarþjálfun og ströngum staðfestingarferlum.
Útskýrðu hugtakið „defense in depth“.
Defense in depth er öryggisstefna sem notar margar varnarlínur til að vernda upplýsingar, þannig að ef ein lína bregst, halda aðrar áfram að veita vernd.
Hvernig nálgast þú áhættumat í netöryggi?
Með því að bera kennsl á eignir, meta ógnir og veikleika, ákvarða möguleg áhrif og forgangsraða áhættu til að innleiða viðeigandi öryggisstýringar.
Hver er munurinn á symmetrískri og asymmetrískri dulkóðun?
Symmetrísk dulkóðun notar sama lykil fyrir dulkóðun og afkóðun, á meðan asymmetrísk dulkóðun notar opinberan lykil fyrir dulkóðun og einkalykil fyrir afkóðun.
Hvað er CIA þríhyrningurinn í netöryggi?
CIA þríhyrningurinn stendur fyrir Trúnað (Confidentiality), Heilleika (Integrity) og Aðgengi (Availability), sem eru kjarnahugtök upplýsingatækniverndar.
Hvernig meðhöndlar þú trúnaðarupplýsingar?
Með því að fylgja stefnu fyrirtækisins, nota örugg samskiptaleiðir, dulkóða viðkvæm gögn og tryggja að aðeins viðurkenndir aðilar hafi aðgang.
Hvað er tveggja þátta auðkenning (2FA), og af hverju er hún mikilvæg?
2FA krefst tveggja forma auðkenningar áður en aðgangur er veittur, sem eykur öryggi með því að bæta við auka lagi fyrir utan lykilorð.
Útskýrðu hugtakið „minnstu forréttindi“ (least privilege).
Minnstu forréttindi þýða að veita notendum lágmarks aðgang sem þeir þurfa til að sinna starfi sínu, sem dregur úr hættu á óheimilum aðgerðum.
Hvað er eldveggur, og hvernig virkar hann?
Eldveggur er netöryggistæki sem fylgist með og síar inn- og útflæði netumferðar samkvæmt öryggisstefnu fyrirtækis.
Hvernig myndirðu tryggja öryggi vefumsóknar?
Með því að innleiða inntakssannprófun, úttakskóðun, örugga auðkenningu og lotustjórnun, nota HTTPS, reglulega öryggisprófanir og halda hugbúnaði uppfærðum.
Hvernig forgangsraðar þú veikleikum þegar þú finnur mörg vandamál?
Með því að meta alvarleika, nýtingarmöguleika, möguleg áhrif og líkur á nýtingu til að forgangsraða lagfæringum byggt á áhættustigi.
Lýstu SSL/TLS og mikilvægi þess.
SSL/TLS eru samskiptareglur til að koma á sannvottuðum og dulkóðuðum tengingum milli netengtækja, sem tryggir örugg samskipti á internetinu.
Hvað er phishing, og hvernig geta fyrirtæki varið sig gegn því?
Phishing er sviksamleg tilraun til að fá trúnaðarupplýsingar með því að þykjast vera áreiðanlegur aðili. Vörn felur í sér póstsíun, fræðslu starfsfólks og innleiðingu öryggisreglna.
Útskýrðu muninn á black box og white box prófunum.
Black box prófanir meta kerfi án vitneskju um innri virkni, á meðan white box prófanir fela í sér prófanir með fullri vitneskju um hönnun og kóða kerfisins.
Hverjar eru algengar tegundir malware?
Veirur, ormar, tróverji, ransomware, spyware, adware og rootkits.
