Please enable JavaScript.
Coggle requires JavaScript to display documents.
sis - Coggle Diagram
sis
Phishing
-
-
Spare phishing - Personalizacija mailova, lažne email adrese (krađa login podataka)
-
-
Najčešće imitirani: microsoft, google i amazon
Lažne poruke, stranice i drugi oblici socijalnog inž.
-
Org uloge i odgovornosti
-
-
Sig stručnjak - iskusan inžinjer odgovoran za zadatke od rukovodstva (pisanje sig. politike i provedba)
-
Viši menadžer - odgovoran za uspjeh i neuspjeh, rijetko implementira riješenja
-
Identifikacija problema
Redukcijska analiza - dekompozicija app, sustava i okoline (granice povjerljivosti, protok podataka, ulazne točke, povlaštene operacije i pojedinosti)
Određivanje prioriteta i odgovor - rangiranje i ocijenjivanje prijetnji (vrijednost x potencijalne štete)
Pasta metodologija - izrada dijagrama potencijalnih napada (el transakcije, tokovi podataka i granica povlastica)
-
Stride model - Spoofing (napad krivotvorenim identitetom), neovlašteno mijenjanj podataka, poricanje, otkrivanje info., uskračivanje usluge i povećanje privilegija
Dred rangiranje - potencijalna šteta, ponovljivost, iskorištavanje, pogođeni korisnici, otkrivanja
Kriptografija
-
-
-
-
-
Zaštita podataka: dok su spremljeni, dok putuju ili dok se obrađjuj
-
Vrste ransomware napada
Scareware - Lažni software za detekciju virusa (zaključavanje ekrana, pop-up i kupnja nepotrebnog softwera)
Leakware - prijetnja javnog objavljivanja podataka, prodaja informacija ili otkupnina
Lockers (zaključava korisnike iz sustava, nedostupnost app i podataka - otkupnina)
Ransomware kao usluga (platforma za ransomware kampanije, prodaja drugima koji napadaju)
-
-
Sigurnosne politike
-
-
Obvezan je i iz nje proizlaze, standardi, osnove i smjernice
-
-
-
-
Povjerljivost
-
-
-
Postiže se: kriptiranjem ,strogom kontrolom pristupa i klasificiranje podataka i edukacija zaposlenika
-
-
Ostale razine
-
Smjernice - preporuke kako se standardi i osnove provode (operativni vodić, prilagodljiv sustavu)
Standardi - Def. obvezne zahtjeve za korištenje hardwara, softwara, tehnologija i sig. kontrola
Procedure - detaljne upute korak po korak za implementaciju određenog sigurnosnog mahanizma, kontrole ili riješenja
Ransomware napadi
-
-
Zlonamjerni software i ucjenjivačke operacije (zaključavanje podataka, krađa i prijetnja objave)
-
-
-
Sigurnost
-
Upravljanje info. sigurnošću - okvir koji org. koriste kako bi osiguravale povjerljivost, integritet i dostupnost info. imovine
-
Integritet
Mogu ga narušiti napadači (virusi, maliciozne modifikacije) i korisnici (pogreška)
Postiže se: strogim kontrolama pristupa, autentifikacijskim procedurama, Detekcija upada, enkripcijom, ograničenja mogućnosti, provjera unosa i edukacija
-
Dostupnost
Mogu ga narušiti: kvar, napadi (Ddos) ili korisnik (previd ili nesposobnost)
Postiže se: pravilnim projektiranjem, kontrolom pristupa, praćenje performansi, korištenje vatrozida i backup sustavima
-
Identifikacija
Upisivanjem korisničkog imena, skeniranje prsta, lica, kartice
-
-
Autentikacija
Lozinka, 2 faktor autentif
Održavanje tajnosti, koristi se zajedno sa identifikacijom ali u 2 koraka
-
-
Mehanizmi zaštite
Apstrakcija (slični el. se stavljaju u grupe ili klase kojima se dodjeljuju sigurnosne kontrole, ograničenja ili dopuštenja
-
-
Vrste plana sigurnosti
Taktički plan (srednjeročni - 1 god) - Detalji postizanja ciljeva iz strateškog plana, raspisivanje zadataka za org. ciljeve
Operativni plan (kratkoročni) - vrlo detaljan temeljen na strateškim i taktičkim planovima (ažurira se tromjesečno ili mjesečno) - kako postiči ciljeve org
-
-
Vrste ključeva
Javni ključ - javno dostupan ključ u asimetričnoj kriptografiji, služi za enkripciju poruka i provjeri dig. potpisa
Privatni ključ - Tajni dio ključnog para u asimetričnoj kriptografiji. Koristi se za dešifriranje poruka ili digitalni potpis
tajni ključ (simetrični) - jedinstveni ključ koji se dijeli između pošiljatelja i primatelja u simetričnoj kriptografiji (potpuno tajan)
-
Napadi malicioznim kodom
-
Može se distribuirati: phishingom, kompromitiranim ažuriranjima, preuzimanjima i iskorištavanjem ranivosti
IoT napadi
IoT - mreža povezanih uređaja s mogućnosti prikupljanja, obrade i razmjene podataka putem neta
-
CIA trokut
-
Povjerljivost, integritet i dostupnost
Revizija
-
Log datoteke - revizorski trag za dokaz događaja. rekonstrukcija događaja za utvrđivanje greške ili kvara
-
-
Due Diligence i Due care
Due diligence - uspostava plana, politke i procesa za zaštitu org (znati što napraviti i planirati za to)
-
Modeliranje prijetnji
Proaktivni pristup - u ranim fazama razvoja sustava, tijekom početnog dizajna i upravljanja spec.
Reaktivni pristup - za riješavanje nepredviđenih problema (lov na prijetnje) - nakon što je proizvod implementiran
-