Informationssicherheit Flashcards
1
Q
Überblick
A
- Security goals: Confidentiality, Integrity, Availability
- Security mechanisms: Prevention, Detection, Recovery
- Security Threats: Disclosure, Deception, Disruption, Ursupation
2
Q
Sicherheitsziele
A
(CIA)
- Vertraulichkeit (Confidentiality) von Informationen und Ressourcen
- Integrität (Integrity) von Informationen und Ressourcen
- Verfügbarkeit (Availability) von Informationen und Ressourcen
3
Q
Grundlegende Definitionen
A
- Bedrohung (Threat) = mögliche Verletzung eines Sicherheitsziels
- Sicherheit (Security) = Schutz gegen vorsätzliche Bedrohungen
- Sicherheit (Safety) = Schutz gegen zufällige schadhafte Ereignisse / Bedrohungen
3
Q
Grundlegende Definitionen
A
- Bedrohung (Threat) = mögliche Verletzung eines Sicherheitsziels
- Sicherheit (Security) = Schutz gegen vorsätzliche Bedrohungen
- Sicherheit (Safety) = Schutz gegen zufällige schadhafte Ereignisse / Bedrohungen
4
Q
Vertraulichkeit(Confidentiality)
A
- Kernfrage: Wer darf auf welche Daten/Ressourcen zugreifen?
- Sicherheitsmaßnahmen:
Verschlüsselung der Daten, Verstecken der Ressourcen - beispielhafte Verletzungen:
Abhören des Telefongesprächs, Mitschneiden von E-Mails
5
Q
Integrität / Unverletzlichkeit (Integrity)
A
- Kernfrage: Wer darf was mit welchen Ressourcen tun?
- Sicherheitsmaßnahmen:
Autorisierung, Prüfsummen, Digitale Fingerabdrücke (fingerprints) - Beispielverletzungen:
Manipulation einer Banktransaktionsquittung, Manipulation der Dateien auf einem Computer
6
Q
Verfügbarkeit (Availability)
A
- Kernfrage: Wann und wo werden Ressourcen verwendet?
- Sicherheitsmaßnahmen:
Beschränkung, Redundanz, Load-Balancing - Beispielverletzungen:
Überlasten eines Webservers, Formatieren/Verschlüsseln einer Festplatte
7
Q
Bedrohungen und Angriffe
A
- Enthüllung (Disclosure) = unberechtigter Zugang zu Informationen
- Täuschung (Deception) = Entgegennahme falscher Daten (z. B. masquerading)
- Störung (Disruption) = Unterbrechung oder Verhinderung der richtigen Funktion
- Übernahme (Usurpation) = unberechtigte Kontrolle über Ressourcen
- Angriff (attack) = der Versuch ein Sicherheitsziel zu verletzen
oft Kombination von Schwachstellen aus verschiedenen Bedrohungsklassen
8
Q
Angriffsbeispiele
A
- snooping; disclosure; Network sniffing, Keyboard logging
- Manipulation; Deception, Disruption, Usurpation; Ändern/Umleiten des Kontrollflusses, Man-in-the-middle-Angriffe
- Spoofing; Deception, Usurpation; Address spoofing, Phishing-Angriffe
9
Q
Sicherheitsregeln und -mechanismen
A
- Policy/Regel = Aussage, was erlaubt ist und was nicht
* Mechanism = Methode oder Werkzeug zur Durchsetzung einer Policy
10
Q
Detection
A
- während des Angriffs
- Beispiele: Virenscanner (Rechner), NID (Network intrusion detection) Netzwerk
- Schwäche: Unbekannte/unsichtbare (“low-and-slow”) Angriffe
11
Q
Recovery
A
- nachdem ein Schutzziel verletzt wurde
- Beispiele: Computer-Forensik, Malware-Analyse
- Grenzen: (u.U.) schwere Schaden bereits eingetreten, Spurenverwischung, -zerstörung
12
Q
Authenzität
A
Echtheit von Personen und Ressourcen
13
Q
Accountability
A
Verknüpfung von Aktionen mit Benutzern –> non-repudiation
14
Q
Privacy
A
Sicherheit und Kontrolle über personenbezogene Daten –> Individuen und nicht Daten
15
Q
Authentifizerung
A
- Verknüpfung einer Identität mit einem Subjekt
- Bestätigungsmechanismen: (geheimes) Wissen, Besitz, Individuelle (menschliche) Eigenschaften –> Fuzziness (FAR, FRR, ERR), Aufenthaltsort
16
Q
Passwörter
A
- Authentifizierung über Wissen
- häufig in Kombination mit kryptographischen Verfahren
17
Q
Passwortprobleme
A
- Password-spoofing: Netzwerkverkehr, kompromittierte Systeme
- (online) erraten oder (offline) knacken
- menschlicher Faktor: schwache oder aufgeschriebene Passwörter
18
Q
Passwortangriffe
A
- Dictionary attack <> Salt
- Social engineering
- Hardware-Tastatureingabeprotokollierung (keylogger), auch mobile software
- sniffing
- Trojanische Pferde
- Systematisches Raten (online, offline) (cracking, grinding)
- Brute Force
19
Q
Passwortmaßnahmen
A
- Regeln und Tipps
- Regeln technisch definieren
- Passwortalterung
- SSO
- Konto blockieren nach falschen Eingaben
- Stärke überprüfen
–> reaktiv: eigene Passwörter brechen
