Specialization IB - Question 1 (Audit, laws, etc.)

Question 1

Cil auditu?

Answer 1

Zkontrolovat/zajistit, ze bezpecnostni politiky a procedury jsou dobre definovany a implementovany.

Kontrola by mela byt zajistena nezavislou treti stranou, at je audit duveryhodnejsi (nezavisla strana by mela zajistit nestrannost a ze vystup bude spis pravdivy nez klamavy)

Question 2

Jak probiha audit

Answer 2

• Rozhovory se zamestnanci ve firme
• Analyza systemu
• Testovani system v predem definovanych podminkach

Question 3

Typy testu v auditu

Answer 3

Blackbox (blind) - auditor ma k dispozici pouze verejne informace, o systemu toho nevi moc (resp. nic), Administratori vedi o auditu
Double Blind - auditor ma k dispozici pouze verejne informace, o systemu toho nevi moc (resp. nic), Administratori nevedi o auditu
Gray Box - kombinace blackbox/whitebox
White Box - auditor ma k dispozici i privatni informace o systemu

Tandem - obe strany vedi detaily testu/systemu v auditu dopredu
Reversal - Pouze auditor vi detaily o testu/systemu. Simluje utok

Question 4

Rizeni bezpecnosti (Security management)

Answer 4

ISMS (InfoSec Management System) - dokumentovy system, ktery obsahuje definovana chranena aktiva a jak bude rizena bezpecnost. Je to cyklus: plan - do - check - act

Melo by tedy dojit k analyze, navrhu (plan). Vykonej/testuj zmeny (do). Udelat review (check). Rozhodni dalsi kroky - je potreba neco zlepsit/co je treba zlepsit/je to potreba ihned? da se odlozit? (act).

Rizeni bezpecnosti musi byt site na miru firme (v souhre s cily firmy a finance zdravy), schvalene nejvyssim vedenim (aby se uvolnilo financovani) a prosazovat ji (managment hlidal dodrzovani bezpecnostnich politik, Security architect navrhnul reseni, IT team implementoval).

Question 5

Rizeni bezpecnosti (ISMS) - jake jsou dulezite standardy

Answer 5

ISO/IEC 27000 - standard definuje ucel ISMS
ISO/IEC 27001 - standard definujici detaily implementace, udrzby, zlepsovani ISMS
ISO/IEC 27002 - standard poskytujici best practices pri implementaci a udrzby ISMS

Question 6

Co je řízení rizik?

Answer 6

Procesy ktere vedou k redukci rizik na akceptovatelnou uroven. Nejlepsi moznost je eliminovat vsechny rizika, realne neni mozne (finance/technologie brani) - proto redukce.

Question 7

Jak probiha vytvareni a prosazovani Bezpecnostnich Politik?

Answer 7

1. Posuzuji se vstupni, vypracuje se deklarace politiky
2. Provedeni ohodnoceni rizik
3. Vypracovani projektu politiky
4. Implementace a prosazeni politiy (navrh a implementace ISMS)
5. Plneni cinnosti organizace v souladu s bezpecnostni politikou
6. Vyhodnoceni adekvatnosti bezpecnostnich politik
7. Znova zacit dalsi kolo od provedeni ohodnoceni rizik

Question 8

Kdo je role CISO

Answer 8

Chief of Information Security Officer
Vytvari bezpecnostni politiku, urcuje jeji cile, strategie. Informuje ridici vybor o aktualnich pracech, hrozbach, krocich. Vypracovava zpravy o bezpecnostnich incidentech pro vybor a i dalsich problemech.

Question 9

Protiopatreni

Answer 9

Pravidla definovana v bezpecnosti politice, ktera se uplatnuji pro snizeni pozadovanych rizik na pozadovanou/akceptovatelnou uroven.

Question 10

Hodnoceni bezpecnosti, co to je/standardy

Answer 10

Je hodnoceni, jestli byla dosazena uroven bezpecnosti. K hodnoceni se vyuziva standard ISO/IEC 15408 a kriteria OWASP

Question 11

Procesy hodnoceni

Answer 11

Formou auditu

Pro oficialniho ohodnoceni - auditor musi mit licenci

Question 12

Kriteria hodnoceni - co to je, kym hodnoceni probiha, k cemu je?

Answer 12

seznam podmínek které vyvíjený / kupovaný produkt nebo systém má být schopný ( musí ) plnit .

Hodnoceni probiha nezavislou duveryhodnou stranou (bud komercni licence nebo vladni organizaci)

Je to pro zakaznika pro vyber vhodneho produktu. Pro vyrobce, aby svuj produkt lepe prodaval (zarucil se za nej). Vyrobek dostane certifikat od hodnotitele

Question 13

Kriteria hodnocneni - druhy

Answer 13

Common Criteria (ISO/IEC 15408) - nejcasteji
ITSEC (IT Security Evaluation Criteria)
TCSEC (Trusted Computer System Evaluation Criteria)

Question 14

Kriteria hodnoceni CC - skala

Answer 14

Common criteria (ISO/IEC 15408)
Skala: EAL0 - EAL 7
EAL=Evaluation Assurance Level
Kazda uroven oznacuje hloubku hodnoceni
EAL0=zadna
EAL1=Nejnizssi (pouze overi na zaklade uzivatelske dokumentace)
EAL7=Nejvyssi (obsahuje vse co predchozi urovne + formalni verifikace)

Question 15

Kriteria hodnoceni CC - Dulezite pojmy

Answer 15

Common criteria (ISO/IEC 15408)
TOE = Target of Evaluation (Produkt podroben evaluaci)
ST = Security target (teoreticky koncept/cil) napr. smarcard je tamper-resistant
PP = Protection Profile (skupina bezpecnostnich pozadavku urcite skupiny TOE) napr. pouziti cipovych karet pro nepopiratelnost u podepisovani

Hodnoceni - odpovida TOE v realite teorii (ST)?
EAL (skala) udava miru duvery, ze TOE vskutku odpovida ST

ceritifakt obsahuje i popis:
* profil bezpecnosti (cipove karty, biometrika, atp)
* vlastnosti systemu (anonymita, pseudoanonymita) - obsahuje nebo ne (ano/ne hodnoceni)

Vyssi EAL neznamena vyssi bezpecnost! (muze byt TOE s EAL7 a RSA klicem 2k a TOE s EAL1 a RSA klicem 4k)

Question 16

Kriteria hodnoceni TCSEC - skala

Answer 16

CLASS D: minimal/no sec
CLASS C: Discretionary Access Control (data owners a admini muzou urcovat, kdo ma pristup k souborum)
CLASS B: system ma Mandatory Access Control (need to know basis)
CLASS A: highest (math formalism)

Question 17

Co je standard v IT, jake mame typy standardu?

Answer 17

Standard je dokument vysvetlujici domluvu na technicke specifikaci produktu/procesu

2 typy:
De facto standard (officialni, vytvoren organizaci/narodni)
De iure standard (neofficialni, vytvoren komunitou expertu)

Question 18

Standardy v oblasti IT bezpecnosti a kryptografie - de facto

Answer 18

RFC (Request For Comment) - pro internet a sitove protokoly
OWASP (Open Web Application Security Project) - pro vyvoj web aplikaci
PKCS (Public-Key Cryptography Standard by RSA Labs) - ruzne crypto standardy (jak na padding atp)

Question 19

Standardy v oblasti IT bezpecnosti a kryptografie - de iure

Answer 19

ISO (International Standardization Organization)
NIST (National Institute for Standard and Technology) - USA vlada (treba AES) - vydavaji FIPS
IEEE
CSNI (ceska narodni)
ANSI

Question 20

Legislativa tykajici se kryptologie

Answer 20

Staty (CR, EU) schvaluji vybrane sifry/hashovaci funkce, ktere lze pouzivat treba v ramci digitalnich podpisu. V CR dokument s minimalnimi pozadavky vydava NUKIB.

Schvalene jsou treba scrypt, sha-2

neschvalene sha-1

Question 21

Digitalni podpis - co potvrzuje?

Answer 21

Prvek potvrzujici shlednuti podepsaneho dokumentu (integrita + potvrzeni, ze zpravu jsem cetl/vytvoril)

Question 22

Elektronicky podpis

Answer 22

Pod elektronicky podpis spada oskenovany rucni podpis, pismena na konci mailu napsana na klavesnici, a pod.

Digitalni podpis spada tez pod elektronicky podpis

Question 23

Digitalni podpis - konstrukce

Answer 23

Spolehlivy asym alg (RSA, DSA), schvaleny/silny hash alg

Vytvori se hash zpravy, podepise se hash (priv klicem). Prijemce si overi podpis verejnym klicem

Privatni klic musi byt strezen - ukradnuti priv klice znamena, ze zpravu muze podepsat i dalsi osoba
Certifikat s klicem urcuji identitu (vime cloveka, co podepsal zpravu). Ale ukradnuty privatni klic muze tez podepsat

Question 24

Digitalni podpis - certifikat - format? k cemu verejny klic, co dosahujem spravou verejnych klicu

Answer 24

Verejnym klicem jsme schopni potvrdit, ze dokument byl podepsan privatnim klicem. Pres certifikat je mozne k verejnemu klici je mozne pripojit i dalsi informace - certifikat format x.509 (jmenom, prijmeni).

Duveru v obsah certifikatu (ze jmeno je pravdive) je potreba dal zajistit (Certifikacni Autorita, Signing party - veri tomu certifikatu, clovek ktereho znam, budu mu spis verit i ja).

Question 25

Chain of trust

Answer 25

CA root podepise certifikat, ktery podepise dalsi certifikat, ktery podepise dalsi certifikat. Overujeme kazdy certifikat v tomto retezi, jestli je spravny (je podepsany spravne, neni revoked = duverujem mu)

Question 26

Certifikacni proces (k RSA, dig podpis)

Answer 26

Odesilatel zada CA o certifikat pro svuj verejny klic
CA overi uzivatele (pres RA) a certifikat vyda (zamitne pokud neoveri)
CA ulozi certifikat do verejneho repozitare
Odesilatel podepise zpravu a pripoji certifikat
Prijemce overi podpis verejnym klicem odesilatelem. Certifikatem overi verejny klic, jestli opravdu patri odesilateli (respektivne v repozitari prislusne CA nebo lokalne)

Certifikat ma urcitou platnost

Question 27

Digitalni podpis - certifikacni autority

Answer 27

CA vydava certifikaty
Revokuje - zrusi platno certifikatu
CA je vrchol stromu (musi se nastavit, ze se jim duveruje) napr. Ceska Posta je korenovy CA

Question 28

Digitalni podpis - infrastruktura verejneho klice (PKI), kompententy, co dela

Answer 28

Komponenty PKI
* CA (Certifikacni Autorita) - poskutoval certifikacni sluzby, vydavatel certifikatu
* RA (Registracni Autorita) - Zaregistruje zadatele a overi jeho identitu
* Adresarova sluzba - seznam platnych klicu a seznam zneplatnenych (revoked) klicu (CRL - certificate revoked list)

PKI spojuje vlastnika verejneho klice s realnym subjektem vystaveni certifikatu. Certifikat je mozne overit, ze je podepsany privatnim klicem CA (a CA my verime)

Prvky PKI musi dodrzovat definovane pravidla BP, procedury. Kdyz dojde ke ztrate duvery CA, je problem

Question 29

Digitalni podpis - legislativa (TODO)

Answer 29

TODO

Question 30

Zaruceny elektronicky podpis

Answer 30

Overuje integritu zpravy - digitalni podpis bez overene identity

Question 31

Uznavana elektronicka znacka (pecet)

Answer 31

Elektronicky podpis ale je i pro pravnicke osoby, organizacni slozky statu atd. Ochrana soukromeho klice je silnejsi

certifikatu se rika systemovy certifikat

Question 32

Uznavany elektronicky podpis

Answer 32

Digitalni podpis ktery overuje integritu zpravy a certifikat ma overenou i identitu. Je vystaven fyzickym hodnotam

Question 33

Obsah certifikatu dle legislativy (kvalifikovany certifikat)

Answer 33

Jmeno prijmeni podepisujiciho
Jmeno prijmeni nebo firma podepsaneho
Unikatni cislo certifikatu
Platnost certifikatu
Omezeni

Question 34

Kdo muze poskytovat certifikacni sluzby dle legislativy

Answer 34

Firma plnici specifikovane podminky, ma akreditaci od ministertva

Question 35

Overovani uzivatelu v pocitacovych systemech - cilem, kategorie overeni

Answer 35

Primárním cílem autentizace je zabránit neautorizovaným uživatelům v používání počítačového systému . Sekundárním cílem je znalost systému , který uživatel s ním vlastně pracuje – tak , aby systém mohl řídit přístup uživatele k datům a službám podle daných pravidel .

Overeni delime do 3 kategorie
- na zaklade znalost (co kdo zna)
- na zakladne vlastnistvi (co kdo ma)
- na zaklade biometriky (co kdo je)

Metody se daji kombinovat (multi-factor authentification) - zkombinujem treba co kdo zna (heslo), s tim, co kdo ma (treba mobil - OTP)

Question 36

Priklady tajnych informaci pri overovani uzivatelu

Answer 36

Heslo (casto osolene, zahashovane - scrypt/bcrypt)
pin (4-8)

Question 37

Priklady tokeu pri overovani uzivatelu

Answer 37

Klic (fyzicky, Yubikey)
Tokeny - kalkulacky (casovy vstup)
Smart card - aktivni prvek (ma nezanedbatelnout vypocetni silu - muze tak pouzit AES, DES, RSA, Podepisovat veci)

Question 38

Biometrie - chyby/problemy s tim spojene

Answer 38

FRR - False Rejection Rate (opravnenemu uzivateli odepren pristup)
FAR - False Acceptance Rate (neopravnenemu uzivateli pristup povolen)

FTA - Fail to Acquire Rate (Nepodarilo se odebrat vzorek - nizka kvalita napr)
FTE - Fail to Enroll - nepodarilo se zaregistrovat odebrany vzorek

chybejici ruka napr.

Question 39

Priklady biometrie pri overovani uzivatelu

Answer 39

Retina scan
finger print scan
- opticky
- kapacitni
- ultrazvukovy
chuze
tlukot srdce
hlas

Question 40

Identifikacni systemy

Answer 40

Identifikaci identity - identita se hleda napric systemem (1:n). Oproti autorizaci (kde se porovnavaji identity)

pr. sejmeme otisk prstu - hledame dany otisk prstu v DB porovnavanim jeden po jednom. Nasli jsme shodu (velice podobny vzorek) = nasli jsme identitu

Je potrebna regisrace vzorku!

Question 41

Sprava identit

Answer 41

Seznam/databaze zaregistrovanych identit

Ridi a rozhoduje, jestli dany clovek (identita) je zaregistrovana a ma pripadne pristup k danemu zdroji. Mel by zabranit pristupu neautorizovanym osobam

Napr. Open LDAP (linux), Active Directory (windows), kerberos, single sign-on (SSO), SAML, Keycloack

Question 42

Co je aktivum? (asset)

Answer 42

Hodnotna cast systemu (duverne informace o zakaznicich, firemni)

Question 43

Co je Hrozba (threat)

Answer 43

Okolnosti ktere muzou poskodit system - muze byt umyslne i neumyslne

Question 44

Co je zranitelnost (Vulnerability)

Answer 44

Slabina, ktera muze byt zneuzita

Question 45

Co je risk?

Answer 45

popis hrozby - jaka je sance, jaky je dopad

Question 46

Co je utok

Answer 46

Snaha prekonat bezpecnost systemu pres zranitelnost (realiazce hrozby).

Question 47

Co je anonymita (anonymity)

Answer 47

Vlastnost systemu zajistujici uzivani zdroju/sluzeb bez zjisteni identity

Question 48

Co je pseudoanonimita (Pseudoanonymita)

Answer 48

Vlastnost systemu zajistujici uzivani zdroju/sluzeb bez zjisteni identity, ale uzivatele je mozne stale identifikovat - jsme schopni urcite, co delal (prezdivkou treba)

Question 49

Co je nespojitelnost

Answer 49

Vlastnost systemu zajistujici opakovatelne uzivani sluzby/zdroje bez moznosti spojit si tato uzivani. (vickrat si dam stahnout soubor, nikdo ostatni neni schopen zjistit, ze ty stahovani byly od jednoho cloveka)

Question 50

Co je nepozorovatelnost

Answer 50

Vlastnost systemu zajistujici, ze uziti zdroje/sluzby neni pozorovatelne ostatnimi.

Question 51

Co je Autentizace

Answer 51

Overeni identity s urcitou mirou zaruky

Question 52

Co je autorizace

Answer 52

Udeleni konkretnich prav

Question 53

Co je identifikace

Answer 53

Rozpoznani urcite entity v mnozine entity

Question 54

Co je bezpecnostni politika - BP (Security Policy - SP)

Answer 54

Dokument definujici pravidla na ochranu aktiv
* nastavuje priority (co se bude chranit, jak moco dukladne, proti cemu)
* urcuje odpovednost
* urcuje navrh a implementaci procesu

Duverhodny dokument - musi jednoznacne

Question 55

Tri typy bezpecnostnich politik

Answer 55

Organizacni - cile, zodpovedni a bezpecnostni hodnoty firmy
issue-specific (functional): detailni vysvetleni specifickych problemu (vsechny PC musi mit antivirus)
system-specific: konretni veci, pro pocitace, sit, applikace atp.
(Windows musi pouzivat AVG)

Question 56

Rizeni rizik standard

Answer 56

ISO/IEC 27005
* zahrnuje ohodnoceni rizik (risk assesment)
* zvladani rizik (risk mitigation)
* akceptaci rizik (risk acceptance)
* informovani o rizicich (risk communication)

Question 57

Ohodnoceni rizik (risk assesment)

Answer 57

Analyza rizik (hrozeb, hodnoty zasazenych aktiv, moznosti utocniku) a nasledne jejich ohodnoceni na zaklade analyzy. Cilem by melo mit seznam s riziky a informacemi, ktere by nas meli odpovedet na otazky - musime resit? je pripadna skoda vetsi nez vynalozene usili na eliminaci/redukci rizika?

Prvotni ohodnoceni muze byt orientacni - nasledne se upresnuje:
* Elementarnim ohodnocenim (analogii k podobnemu problemu)
* Neformalni (na zaklade znalosti jedincu)
* Detailni/formalni (vyuziti standardu - strukturovane metody ohodnoceni)
* Kombinace metod

Question 58

Kvantitativni analyza rizik

Answer 58

Zalozena na soucinech pravdepodobnosti utoku a skod. Casto nepresne - skoda odhadnuta; pravdepodobnost utoku tez.

Question 59

Kvalitativni analyza rizik

Answer 59

Vyuzivaji se skaly (nema numericke vyjadreni) - urci se pouze oblast. Lepe se odhaduje, ale nema horsi pro analyzu, kdyz neni numericky vyjadreno

Question 60

Zvladani rizik (risk mitigaton)

Answer 60

Snaha o dostatecne snizeni rizik za nejmensi moznou cenu. Pro velka rizika nastavit preventivni opatreni, pro mensi treba jen napravna opatreni (recovery). Nektera rizika lze i akceptovat