Fragen Flashcards
Benennen Sie den Unterschied zwischen Safety und Security. Geben Sie für beides jeweils zwei Beispiele aus dem IT-Bereich
Informationssicherheit = Security
Betriebssicherheit = Safety
Safety Beispiele:
Konzepte iSv Security by Design
Serververlässlichkeit
Security
Keylogger, der Daten ausspäht
Gespoofte Email, mit der Aufforderung auf einen böswilligen Link zu klicken
Unterschied zwischen einer Identifikation und einer Verifikation
→ Bei der Verifikation vergleicht das System die Authentisierungsdaten einer Entität mit den im System gespeicherten Referenzdaten, die zu der entsprechenden Identität gehören. Es findet also ein 1:1-Vergleich statt
→ Bei der Identifikation geht es darum, zu identifizieren, wer derjenige ist, der sich zu authentisieren versucht. Dazu werden die Authentisierungsdaten des Nutzers mit den Referenzdaten aller registrierten Personen verglichen (1:n-Vergleich)
Biometrische Merkmale lassen sich dabei in zwei Klassen einteilen:
statische Eigenschaften, z.B. Fingerabdrücke, Iris
dynamische Eigenschaften, zB. Stimme, Tippverhalten, Handschrift.
Unterschied Authentisierung und Authentifizierung
Benutzernamen und Passwort an das System übergeben (Behauptung einer Identität). = Authentisierung.
Zum anderen muss das System prüfen, ob diese Behauptung korrekt ist (Authentifizierung)
Ziele des Web Tracking
- Wiederkennen
- Nutzer beobachten
- Nutzer Kennenlernen
- Nutzer verfolgen
Informationsfluss web Tracking
Seitenbetreiber und Browser:
- Nutzer ruft Website auf, Daten an Browser
- Seitenbetreiber liefert Inhalte mit Tracking Code aus
Nutzer und tracker 1. Tracking Code wird aktiv und stellt Verbindung zum Tracking Anbieter her 2. Tracker code wird nachgeladen 3. Browser sendet Informationen an tracker
Seitenbetreiber und tracker
- Stellt Einbettung bereit
- Tracker liefert Analyse Ergebnisse
Ausgewählte Tracking Methoden
- Browser Finger printing
- cookies auslesen
- referrer auslesen
Welche Phasen sieht der Sicherheitsprozess des BSI vor?
Initiierung eines Sicherheitsprozess Erstellung der Leitlinie Organisation eines Sicherheitskonzept Erstellung eines Sicherheitskonzept Umsetzung Sicherheitskonzept Aufrechterhaltung und Verbesserung
Welchen Zweck verfolgt der IT-Grundschutz des BSI? Wofür kann er verwendet werden?
- ein ganzheitliches Konzept für die Informationssicherheit
- dient als „Methode, Handlungsanweisung, Empfehlung und weltweit anerkannter Standard in einem“
- compatible zu ISO 27001
- enthält Empfehlungen für typische Geschäftsprozesse, Anwendungen und IT-Systeme
Auf welche Arten von Referenzdaten kann eine Authentifizierung basieren
Geheimes Wissen
persönliches Merkmal
Besitz
Wie kann man sich vor klassischen Schadprogrammen schützen?
Regel 1 Spielen Sie die neuesten Updates ein
Regel 2 Nutzen Sie Antivirensoftware
Regel 3 Öffnen Sie keine verdächtigen Mails oder deren Anhänge.
Regel 4 Gehen Sie sorgsam mit Links um (vor allem in E-Mails).
Regel 5 Denken Sie dreimal nach, ob Sie eine Software installieren wollen oder müssen
Wozu werden Botnetze eingesetzt? Nennen Sie typische Beispiele
Ddos
Social bots
Webcrawler
Welche zwei Arten der Botnet-Kontrolle wurden vorgestell
- Server so konfigurieren,dass Systemressourcen erst nach erfolgreichem Verbindungsaufbau zugewiesen werden
IP Adressen blocken
Welche zwei Arten von Angriffen auf Netze kann man unterscheiden
Passiv: Mithören (Angriff auf die Vertraulichkeit)
Aktiv: Manipulieren (Integrität, Authentizität und auch die Verbindlichkeit kompromittiert)
Welche zwei technischen Wege gibt es, um das Belauschen zu erschweren
- Topologie des Netzes ändern
- Verschlüsselung
Wie kann man XSS und SQLi verhindern?
dass über Nutzer-Eingaben kein Code eingeschleust werden kann
Nennen Sie drei wesentliche Sicherheitsrisiken, die mit Web-Tracking verbunden sind
Drittanbieter viele Daten, intransparent für Nutzer
Seitenbeteiber bettet fremden Code ein
In Verbindung mit Werbung, Werbematerial schadhaft
Nennen Sie die wesentlichen Anforderungen, die an Verfahren zur digitalen Signatur gestellt werden
Urheber Signatur zweifelsfrei festgestellt
Dokumente nicht im Nachhinein verfälschen
Signatur fur andere Objekte nutzen
Nennen Sie Beispiele für Security by Default
Passwortsetzen, nach ersten inbetriebnahme
Sicherheitskritische Features sind per default deaktiviert.
Standard Zugriffsrechte für Nutzer oder Geräte ist “none”.
Beispiele für Security by Design
sicheres Identity Management,
Verschlüsselung und die
Abschottung von (Netz-)Komponenten.
Was versteht man unter Security by Obscurity
- Sicherheit dadurch hergestellt werden soll, dass Systeme bzw. deren Funktionsweise geheim gehalten werden
Principle of economy of mechanism
dass Sicherheitsmechanismen so einfach wie möglich gestaltet werden sollten, also insbesondere auch keine impliziten Annahmen beinhalten sollten
Principle of psychological acceptability
Sicherheitsmechanismen sollten es nicht schwerer machen, auf Ressourcen zuzugreifen, als dies der Fall wäre, wenn keine Sicherheitsmechanismen vorhanden wären
Was versteht man unter multifaktorieller Authentifizierung
Kombination von Methoden
Was versteht man unter multimodaler Authentifizierung
Kombi aus verschiedenen biometrischen Merkmalen
Was sind die vier wichtigsten Grundregeln im Umgang mit Passwörtern seitens eines Identity Management Systems?
Pw verschlüsselt speichern
Pw gesichert übertragen
Komplexität einfordern
Standard pw vermeiden
Was ist der Unterschied zwischen einem Prüfplan und einem Entwicklungsplan
Prüfplan
ein Soll-Ist-Vergleich
Entwicklungplan
um die Sicherheitsanforderungen für einen geplanten Informationsverbund aufzustellen
Was ist ein Bedrohungsbaum? Wofür wird er genutzt? Aus welchen Komponenten besteht er?
-Bedrohungsanalyse-Modell
- Analyse, welche Wege für einen Angreifer aufgrund vorhandener Verwundbarkeiten lukrativ wären, um ein definiertes Angriffsziel zu erreichen
- Komponenten
Wurzeln als Angriffsziel
Knoten Zwischenziele
Zweig: Bedrohungen, die gemeinsam auftreten müssen, damit die Bedrohung eintritt, die im Wurzelknoten benannt ist
Welche Regeln im Umgang mit Zugangsdaten sollten aus Anwender-Sicht beachtet werden?
Benutzen Sie sichere Passwörter und jedes nur für einen Dienst.
Benutzen Sie Passwort-Manager.
Nennen Sie Passwörter nur in dem Kontext, für den sie erstellt wurden.
Welche Regeln im Umgang mit Zugangsdaten sollten aus Betreiber bzw. Hersteller-Sicht beachtet werden?
Speichern und übertragen Sie Passwörter nur verschlüsselt.
Leiten Sie Ihre Nutzer an, wie sie Passwörter ändern können.
