IT Security (VL8)

Question 1

Security by Design

Answer 1

Hard- und Software ist von vornherein auf Sicherheit ausgelegt.

Question 2

Hauptproblem von IT Security

Answer 2

Sicherheit nicht direkt messbar (gibt nur Metriken für Teilaspekte -> z.B. organizational/preventive measure = security training)

Question 3

Sicherheit nicht direkt messbar -> Lösung?

Answer 3

Indirekte Definition (und Messung) von IT-Sicherheit über (Teil-)Ziele —> CIA-Triad: Informationen oder Daten müssen geschützt werden. Der Zugang zu diesem muss eingeschränkt und kontrolliert werden, so dass nur autorisierten Subjekten Zugang gewährt wird.

Question 4

Confidentiality (&Maßnahme)

Answer 4

• Vertraulichkeit ist gewährleistet, wenn geschützte Daten nur von autorisierten Personen verwendet werden können
• Akzeptierte Sicherheitsmaßnahme: Verschlüsselung

Question 5

Integrity (&Maßnahme)

Answer 5

• Integrität ist gewährleistet, wenn geschützte Daten nicht unautorisiert und unbemerkt verändert werden können
• Akzeptierte Sicherheitsmaßnahme: kryptographische Methoden

Question 6

Availability (&Maßnahme)

Answer 6

• Verfügbarkeit ist gewährleistet, wenn autorisierte Subjekte ihre Berechtigungen ohne Unterbrechung ausführen können
• Akzeptierte Sicherheitsmaßnahme: Redundanzen oder Überversorgung (z.B. Backups, mehrere Server usw.)

Question 7

Nenne 4 Arten von Security Attacks

Answer 7

Interception (Abfangen), Interruption (Unterbrechung), Modification (Änderung), Fabrication (Herstellung)

Question 8

Security Attacks: Interception (Abfangen)

Answer 8

erlauben unautorisierten Benutzern den Zugriff auf Daten, Anwendungen/Umgebungen -> Bsp.: unautorisierte Dateianzeige, Canva Data Breach (Personen haben sich Zugang zu verschlüsselten Passwortdaten der australischen Grafikdesign-Maut-Website Canva verschafft)

Question 9

Security Attacks: Interruption (Unterbrechung):

Answer 9

verursachen, dass Vermögenswerte vorübergehend oder dauerhaft unbrauchbar/ nicht verfügbar sind -> Bsp.: DoS-Angriff, WannaCry (Angreifer nutzten einen Wurm, der auf Computer mit dem Microsoft-Betriebssystem abzielte)

Question 10

Security Attacks: Modification (Änderung):

Answer 10

Manipulation von Vermögens-werten -> Bsp.: Änderung von Daten in einer Datenbank, Doping Hack (Hacker drangen in die Systeme der Welt-Anti-Doping-Agentur ein und veröffentlichten die medizinischen Daten vieler berühmter Sportler)

Question 11

Security Attacks: Fabrication (Herstellung):

Answer 11

Generierung (falscher) Daten, Prozesse, Kommunikation oder Ähnliches -> Bsp.: Spoofing, Malaysia Airlines DNS spoofing attack (Hacker nutzten DNS-Spoofing-Techniken, um Verkehr von der offiziellen Website der Fluggesellschaft Malaysia Airline umzuleiten)

Question 12

Denial of Service (DoS):

Answer 12

Angriffsversuche, um das Zielsystem oder -netzwerk für autorisierte Benutzer unbrauchbar zu machen  i.d.R. durch Überflutung des Zielsystems mit Anfragen (System überlasten)-> weiter Möglichkeiten: Verursachung einer Fehlermeldung, Ausnutzung von Programmierfehlern oder Protokollschwächen

Question 13

DDoS-Angriff

Answer 13

Bei einem DDoS-Angriff (Distributed DoS) stammt eingehender Datenverkehr aus verschiedenen Quellen -> unmöglich, Angriff durch Blockieren einer ‚ einzigen Quelle zu beenden

Question 14

Spear Phishing

Answer 14

Angreifer sammeln & verwenden persönliche Infos über Ziele bestimmter Personen/
Unternehmen (im Gegensatz zu Bulk Phishing), um Erfolgswahrscheinlichkeit zu erhöhen.

Question 15

Phising Methoden (5)

Answer 15

• Whaling -> Speer-Phishing-Angriff, der sich gegen hochkarätige Ziele (CEO, CFO usw.) richtet
• Email Spoofing -> Absenderadresse einer E-Mail wird gefälscht
• Clone Phishing -> zuvor zugestellte E-Mail mit einem Anhang oder Link wird durch eine bösartige Version ersetzt & von gefälschter E-Mail-Adresse versendet
• Pharming -> Manipulation der DNS-Anforderungen von Web-Browsern (z.B. durch DNS- Spoofing), um Benutzer auf gefälschte Websites umzuleiten
• Vishing -> Versuche, Empfänger dazu zu bringen, Zugangsdaten, Passwörter, Kreditkartendaten usw. per Telefon zu übermitteln

Question 16

USB Drop Attacks:

Answer 16

Cyberkriminelle überlassen anderen USB-Geräte zum Finden & Anschließen an ihre Geräte.

Question 17

Typen von USB Drop Attacks:

Answer 17

• Malware -> Öffnen einer Datei auf dem Laufwerk aktiviert bösartigen Code
• Social Engineering -> Durch Öffnen einer Datei auf dem Laufwerk wird Benutzer auf Phishing-Site weitergeleitet (soll dazu verleiten, Anmeldedaten einzugeben)
• Human Interface Device Spoofing -> USB-Gerät täuscht angeschlossenem PC vor, dass eine Tastatur angeschlossen ist. Nachdem das Gerät angeschlossen wurde, befiehlt es PC, einem Hacker Fernzugriff zu gewähren.

Question 18

Security Awareness (Definition)

Answer 18

Sicherheitsbewusstsein = umfassendes Wissen und Verständnis der Mitarbeiter über potenzielle Probleme der Informationssicherheit und deren Auswirkungen.

Question 19

Security Awareness (Dimensionen)

Answer 19

• Information Security Awareness (ISA): Gesamtwissen und -verständnis eines Mitarbeiters über potenzielle Probleme im Zusammenhang mit der Informationssicherheit
• Information Security Policy Awareness (ISPA): Wissen und Verständnis des Mitarbeiters über die im ISP der Organisation vorgeschriebenen Anforderungen und die Ziele dieser Anforderungen (beeinflusst die Absicht zur Einhaltung)