LW 14 - #11.3

Question 1

wat is een van de belangrijkste preventieve maatregelen van informatiebeveiliging

Answer 1

het beheersen van de toegang

Question 2

toegangsbeheersing

Answer 2

met toegangsbeheersing wordt gezorgd dat personen de beschikking hebben over de gegevens en functies die ze nodig hebben en wordt er geprobeerd te voorkomen dat ze de beschikking hebben over de gegevens en functies die ze niet nodig hebben, of waarvan het vanwege het vertrouwelijke karakter niet wenselijk is dat ze er toegang toe hebben

Question 3

wat omvat toegangsbeheersing

Answer 3

• het specificeren van toegang
• het verlenen van toegang
• het bewaken van toegang

[in hoge mate organisatorisch van aard, de technische component speelt vooral een rol bij het verlenen en bewaken van toegang]

Question 4

het specificeren van toegang

Answer 4

.. houdt in dat er toegangsregels gedefinieerd worden

Question 5

wat wordt er in de toegangsregels beschreven?

Answer 5

welke personen/processen welke bevoegdheden (toegangsrechten) hebben mbt welke bestanden (gegevens en functies)

onderscheid in bevoegdheid

• R - Read (lezen)
• W - Write (aanmaken/wijzigen)
• E - execute (uitvoeren)

Question 6

Discretionary Access Control - DAC

Answer 6

met dit mechanisme kunnen personen aan andere personen de toegang tot bestanden verlenen of ontzeggen
[gebaseerd op een autorisatie- of toegangsmatrix]

Question 7

groepen objecten

Answer 7

.. worden zodanig gekozen dat een willekeurige persoon overal binnen een groep dezelfde bevoegdheden heeft mbt alle objecten van die groep

Question 8

groepen personen

Answer 8

.. worden zodanig gekozen dat personen met hetzelfde toegangsprofiel in 1 groep zitten

Question 9

toegangsprofiel

Answer 9

beschrijft welke toegangsrechten een persoon heeft mbt de gedefineerde objecten

Question 10

Role based acces control - RBAC

Answer 10

als toegangsprofielen worden toegekend aan rollen of functies in de organisatie

Question 11

hoe worden DAC en RBAC geïmplementeerd?

Answer 11

• het gebruik van permissiebits

- het gebruik van Access Control Lists

Question 12

waarvoor worden permissiebits gebruikt?

Answer 12

om toegangsrechten te formuleren voor bestanden en mappen

voor elk bestand/map worden 3 entiteiten onderscheiden die dus bepaalde rechten krijgen
(eigenaar/owner, werkeenheid/group, anderen/world)

Question 13

windows maakt bv gebruik van Access Control Lists -> wat is dat?

Answer 13

hierin wordt voor een bepaald bestand aangegeven wie welke toegangsrechten heeft
- dit hoeft zich niet te beperken tot entiteiten, maar kan rechten aangeven voor elke persoon of groep die bij het systeem bekend is

Question 14

DAC en RBAC zijn effectief in het beveiligen van de vertrouwelijkheid van bestanden, maar er zijn 2 tekortkomingen, welke?

Answer 14

• het gebruik van toegangsrechten gebeurt niet consistent en wordt niet goed onderhouden aangezien het de verantwoordelijkheid is van de eigenaar en niet van een Centrale autoriteit
• er kan niet voorkomen worden dat gegevens zullen weglekken uit een beveiligd bestand

Question 15

welke stappen worden er doorlopen bij het verlenen van toegang

Answer 15

• identificatie: het bepalen van een identiteit (gebruikersnaam)
• authenticatie: het verifiëren van de geclaimde identiteit (wachtwoord)
• autorisatie: het toekennen van rechten

Question 16

identificatie

Answer 16

het bepalen van de identiteit van een persoon

Question 17

wat is een probleem bij het bepalen van een identiteit in een geautomatiseerde omgeving?

Answer 17

het is eenvoudig om een identiteit te vervalsen

[het is dus nodig dat de identiteit wordt bepaald maar ook geverifieerd]

Question 18

authenticatie (bronauthenticatie)

Answer 18

het verifiëren van de identiteit van een persoon
- hierbij wordt gebruik gemaakt van een uniek kenmerk dat specifiek verbonden is aan de identiteit die geverifieerd wordt

Question 19

bij de authenticatie van een persoon bestaat het unieke kenmerk uit een of meer persoonsgebonden gegevens
welke gegevens?

Answer 19

• iets wat de persoon weet (pincode, wachtwoord)
• iets wat de persoon bezit (smartcard, token, sleutel, certificaat)
• iets wat deel uitmaakt van de persoon (biometrisch gegeven)

Question 20

noem de verschillende soorten authenticaties

Answer 20

eenfactorauthenticatie - wachtwoord
tweefactorauthenticatie - wachtwoord+code smartcard
driefactorauthenticatie/multifactorauthenticatie - 3 gegevens

Question 21

waar wordt er gebruik van gemaakt bij authenticatie?

Answer 21

cryptografische technieken - met name voor het analyseren van authenticatiekenmerken en voor het verzenden ervan

Question 22

waar hangt de kracht van cryptografische technieken voor een groot deel van af?

Answer 22

van de geheimhouding en de authenticiteit van de benodigde sleutels

Question 23

autorisatie

Answer 23

het toekennen van rechten aan personen en aan de processen die tbv deze personen geïnitieerd worden -> hiermee krijgen personen toegang tot bepaalde gegevens en functies

autorisatie is gebaseerd op toegangsprofielen, waarin gedefinieerd is welke personen toegang hebben tot bepaalde gegevens en functies

Question 24

Ist-Soll-vergelijking

Answer 24

het controleren van toegangsrechten omvat het periodiek analyseren of de uitgegeven rechten (Ist-situatie) nog wel in lijn zijn met de gewenste situatie (Soll-situatie)

Question 25

bewaken van toegang

Answer 25

omvat het detecteren van inbreuken op de toegangsregels en het registreren ervan

Question 26

er kan een onderscheid gemaakt worden van 2 soorten inbreuken

Answer 26

• feitelijke inbreuk (toegangsbeheersing gefaald)

- potentiële inbreuk (niet-gelukte inbreukpoging gedetecteerd)

Question 27

met behulp van welke manier kunnen feitelijke inbreuken gedetecteerd worden?

Answer 27

logging (bepaalde ongeautoriseerde acties worden opgemerkt)

Question 28

het detecteren van potentiële inbreuken kan beschouwd worden als

Answer 28

preventieve maatregel; waarmee men kan voorkomen dat een potentiële inbreukpleger genoeg ervaring opdoet om een feitelijke inbreuk te plegen

Question 29

authenticatie (met wachtwoord)

Answer 29

het verifiëren van de identiteit waarvoor een persoon of systeem zich uitgeeft aan de hand van een uniek kenmerk van de te verifiëren persoon of het te verifiëren systeem

Question 30

Authenticatie door wachtwoord (ww)

Kwetsbaarheden:

Answer 30

• Veel ww makkelijk te raden (door hacker)
− Naam vriend/vriendin, straatnaam, hond etc.

• Veel ww worden opgeschreven
− Door bijv. een te moeilijk ww.
− Of aan een collega geven
− Briefje op laptop

• Veel ww worden onveilig opgeslagen
− In (plain) tekst) bijv., hash is veel beter.

• Veel ww kunnen worden afgeluisterd

Question 31

Mogelijkheden tot ww-kraken:

Answer 31

• Dictionary attacks
(laat een woordenboek los op de toegangscontrole)

• Password-sniffing
(probeer ww te onderscheppen tijdens communicatie)

• Brute force
(probeer alle mogelijkheden van een string uit als ww)

Question 32

welke richtlijnen kunnen de effectiviteit verbeteren om dictonary attacks & password sniffing tegen te gaan?

Answer 32

• voor de gebruikers van de informatiesystemen (mbt het kiezen en vervangen van wachtwoorden)
• voor de systeembeheerders (mbt het aantal toegestane invoerpogingen)
• voor de wijze waarop wachtwoorden worden opgeslagen en verstuurd

Question 33

men dient ook aandacht te besteden aan het controleren van de naleving van de richtlijnen -> hoe?

Answer 33

systeembeheerders kunnen gebruik maken van hulpmiddelen als een wachtwoordchecker gebaseerd op een password dictonary

Question 34

hoe kan er voorkomen worden dat er ongeautoriseerd binnengekomen kan worden op computers bij open netwerkverbindingen?

Answer 34

eenmalige wachtwoorden OTP

Question 35

Authenticatie met token/smartcard

Answer 35

• Challenge-respons systeem
• 2-factor authenticatie
Eerste stap: gebruiksnaam en wachtwoord
Tweede stap: Google authenticator/ Sms-code/ Identifier

Question 36

authenticatie met biometrische gegevens

Answer 36

een gedrags- of lichaamskenmerk dat uniek is voor de persoon in kwestie
[stemafdruk, handpalmvorm, vingerafdruk, irispatroon etc]

Question 37

eenmalige authenticatie/ Single Sign On (SSO)

Answer 37

de gebruiker hoeft zich slechts eenmalig aan te melden bij het interne netwerk -> alle systemen kennen vervolgens degene die is ingelogd

Question 38

de gebruikte systemen moeten autorisatie door een ander

systeem ondersteunen

Answer 38

(als dat niet lukt: reduced single sign on)