SIGURNOST INFORMACIJSKIH SUSTAVA

Temelji sigurnosti informacijskih sustava

Sigurnost informacija Sigurnosne prijetnje svaki dogaaj koji moe ponititi ili smanjiti

uinkovitost sustava, odnosno ograniiti ili onemoguiti ispunjenje cilja sustava ili procesa. Sigurnosni ahtjevi ovise o vrsti informacija koje elimo tititi. !a vijanje svijesti o potre"i atite#

Sigurnosna atita

atita ostvarena sueljem prema korisniku $ omoguavanje upora"e raunala samo oso"ama% unutarnji atitni mehani mi identifikacija korisnika, komunikacijski atitni mehani mi kriptiranje poruka, atita od vanjskih utjecaja&

mehaniko unitenje naprava, oteenje nastalo elementarnim nepogodama (poplava, potres, poar...) krau ureaja i medija na kojima su pohranjene informacije.

Ugroavanje sigurnosti
'groavanje sigurnosti unutar komunikacijskih kanala (spravan komunikacijski kanal

)rijetnje sigurnosti

)rislukivanje )rekidanje poruka )romjena sadraja poruka ( miljanje sadraja poruka

Sigurnosni ri ik
Sigurnosni ri

ik $ definira se kao mogunost reali acije nekog neeljenog dogaaja. *eeljeni dogaaj moe utjecati na&
povjerljivost (eng. confidentiality), integritet (eng. integrity), raspoloivost (eng. availa ility) informacijskih res ursa.

*eeljeni dogaaji
)ovjerljivost se odnosi na
atitu odreenih sadraja, odnosno informacija od "ilo kakvog namjernog ili nenamjernog otkrivanja neovlatenim oso"ama. (ntegritet mora osigurati kon istentnost informacija i onemoguiti "ilo kakve neovlatene promjene sadraja. !aspoloivosti podra umijeva da su sve relevantne informacije, u a to vremenski prihvatljivom terminu, raspoloive odgovarajuim su"jektima.

)ravna osnova sigurnosti informacijskih sustava

+akonska regulativa& )reporuka

+akon o atiti oso"nih podataka. +akon o pravu na pristup informacijama. +akon o informacijskoj sigurnosti.

emalja ,uropske unije ra voj vlastite sigurnosne politike temeljem prihvaenih meunarodnih standarda kao temelj sigurnosti

-eunarodne norme
Temelj modela atite prava na pristup informacijama ' cilju kompletne atite informacijskih sustava definirane su ra

liite norme kojima se na ra liite naine nastoje o"uhvatiti kompletni sustavi a upravljanje sigurnou, ili neki njegovi aspekti. *a meunarodnom planu ipak se najvie prihvaa (S./ (,0 12233/4S2233, to se ponajvie odnosi na ,uropu i 5apan, a donekle i 6ustraliju. *ajnovija norma koja se "avi sigurnou sustava i ra vojem sigurnosne politike (S./(,0 72881&7889.

."lici prijetnje informacijskom sadraju

*eautori
irano sluenje informacijskim sadrajem :nemar, nepanja, ne nanje, kraa, upadom u sustav; *eidentificirana promjena informacijskog sadraja :ulaskom u sustav mijenjaju se i vorni podaci, ti promijenjeni podaci postaju temelj a donoenje poslovnih odluka, ovakvu promjenu podatak je teko identificirati; 'nitenje informacijskog sadraja : fi iko unitenje raunalnih vitalnih dijelova, ara om raunalnog sustava virusom, itd;

(nformacijski sustav sastoji se od&

<ard=are :sklopovske podrke; Soft=are :programske podrke; >ife=are :ljudskih resursa; .rg=are :organi acije; *et=are :mreene komunikacije; ?ata=are :podataka koji opisuju stvarni svijet;
*a svakom od na"rojenih dijelova se moe primijeniti odgovarajui stupanj sigurnosne atite. Sve mjere atite se tre"aju organi irati na nain da se meuso"no nadopunjuju

Ciljevi i vrste napada

!astom interneta raste i
roj potencijalnih poinitelja , sve vee tehniko nanje i naprednija oprema omoguuju stvaranje naprednih softverskih alata namijenjenih lakem i "rem napadu, isto omogueno i poiniteljima s manjim nanjem da jednostavno i lako sami i vre napad. !a log jest i dostupnost i"vornih kodova programa, voljom ili ne autora, koje omoguava uvid poiniteljima u samu strukturu programa i njegove sla"osti koje mogu iskoristiti. @esta meta su agencije a atitu intelektualnog vlasnitva. <akeri vrlo "r o otkriju sigurnosne ugove# hardverska ili softverska greka do koje dola i krivnjom proi voaa, esto se otkrivaju tek nakon i laska na trite. -ogue je i npr. trojanskim konjem mijenjanje programa, pose"ice dijelova a identifikaciju i pristup sustavu kako "i sustavu mogli neovlateno pristupiti a da je pristup registriran kao legalan.

Ciljevi napada

Korisnike lozinke jer omoguuju nesmetan pristup sustavu Podaci i Info nala e pohranjeni u memoriji ili u slo"odnom tran itu kanalima Datoteke s brojevima kreditnih kartica omoguuju "esplatno/tajno kupovanje usluga/ro"e na netu Kompjuterski programi radi neovlatenog "risanja/mijenjanja/kopiranja/daljnje prodaje eb stranice i !e"s grupe neovlatena promjena sadraja stranica #nemogu$avanje kori%tenja sustava ovlateni korisnik ne moe koristiti sustav &aterijalni resursi sustava fi iki pristup s namjerom da se otete, otue, unite

'rste napada
S o"
irom na volju napadaa$ *6-5,!*( *6)6?& svjesno i hotimino S>'@65*( *6)6?& napad podu ela oso"a koja nije nala sto ini S o"i rom na uinak$ 6AT(B*(& dola i do promjene o"jekta koji se napada )6S(B*(& o"jekt nepromijenjen :pristup podacima; S o" irom na mjesto odakle dola"i napad$ '*'T6!*5(& i vodi oso"a ovlatena a pristup (S$u B6*5SA(& oso"a koja nema ovlatenje a pristup S o" irom na informacijske resurse $ *6)6? *6 ).?6TA.B*,& da se ugro i povjerljivost, cjelovitost. *6)6? *6 )!.C. .S*.B(0'& "risanje/i mjena soft=. *6)6? *6 Tehniku .S*.B(0'& na hard S o" irom na cilj napada$ -6SA(!6*5, lano predstavljanje *,.B>6DT,*. A.!(DT,*5, !,S'!S6 'SA!6E(B6*5, 'S>'C6, *,.B>6DT,*. )!(46B>56*5, (*F.!-60(56 *,.B>6DT,*6 (+-5,*6 (*F.!-60(56

-etode pristupa sustavu

?rutveni ininjering o"uhvaa "rojne i ra
novrsne naine pri"avljanja lo inki a neovlaten pristup sustavu koji su re ultat nepanje ili lakovjernosti rtve *ajpo natiji& Shoulder surfing otkrivanje lo inke fi ikim uvidom prilikom upisivanja lo inke Scavenging, ?umpster diving :strvinarenje; kopanje po tuem smeu, "eenim papirima ili "iljekama kako "i se nala lo inka -asGuerading lano predstavljanje :druga oso"a, komp.sustav;, pogotovo u sluaju t v. loupotre"e povjerenja :simuliranje sustava s kojim ovaj ima uspostavljenu ve u povjerenja;

-etode pristupa sustavu

Spoofing vie metoda u
pomo koje napadai dola e do eljenih podataka koristei sla"osti internet protokola ali i nepanje korisnika >ogin spoofing $ maska i lano predstavljanje kao ovlateni sustav, korisnik niti ne na da nije pristupio eljenom sustavu i da su njegovi podaci u rukama napadaa. He" spoofing $ maska === stranice, npr. ===.ama om.com ,$mail spoofing $ sla"osti S-T) protokola, promjenom informacija otkud je poslana pota, predstavljanje kao ovlateni korisnik te mail adrese ?*S spoofing $ traenje "rojane adrese komp, presretanje i Slanje lanih info sustavu kojeg namjerava napasti nakon ega se komunikacija preusmjerava na njegov kompjuter () spoofing $ presretanje i modifikacija () adrese, alje se lana slika sustavu koji verificira pristup pa ovaj misli da je ovlaten a pristup.

-etode pristupa sustavu

Cuessing nasumino pogaanje lo
inki a pristup, metoda pokuaj$promaaj Scanning pristup sustavu u pomo alata$progr, koriste poetnici :Har ?ialing; )rislukivanje telefonskih linija, ugraivanje prislunih ureaja u same kompjuterske centre .ptiko pijuniranje promatranjem, snimanjem o"linje grade, uvid u lo inke s ekrana kompjutera, presretanje ,- raenja s ekrana Sociali ing druenjem s aposlenicimaI Aompromitiranje ucjena, podmiivanje, iskoritavanje ljudskih sla"ostiI )rogamske manipulacije ra na programska rjeenja poput )ocket/)ass=ord Sniffera11,Trojanski konjI

Kad su pristupili sustavu nastoje pro%iriti pristup

4ro=sing pregledavanje dostupnih sadraja :potraga npr. a datotekama s lo .; 4ack/Trap door cilj je omoguiti onome tko ih je napravio neovlateni pristup komp. sustavu ao"ilaenjem redovnog postupka identifikacijei autori acije kod pristupa %ack door :stranja vrata; su preaci koji su ostavili nakon pristupa neovlateni korisnici, manipulacijama na sustavu.. &rap door : amke; su preaci koji su ostavili autori sustava radi "reg sistemskog pristupa sustavu radi popravka, updejtaI )rogrami a anali u i nad or rada prvotna namjena im je "ila upo oriti na pogreke u sustavu i manjkavosti, ali hakeri ih loupotre"ljavaju. *pr. S6T6*, (SS, S)( Super apping na iv od pomonog programa Super ap :(4- maniframe; koji omoguava sJstem admn. da ao"ie sigurnosni sustav radi to "rih popravaka$ stavljaju i van f$je sustave atite Creke u programu nesvjesne greke koje se u ra voju nisu primjetile, primjer su "rojni upadi u sustave "og sla"osti soft=area, *6S6, *6T.... a greke na ,Kploreru, *etscapeu, -icrosoft .S, sluaj cookie$ja

Daljnje radnje napadaa

-anipulacije programima neposredno koritenjem nekog programa
a npr. o"radu "a a podataka ili i mjena postojeih programa da npr. s veeg "roja rauna skida manje i nose novca i pre"acuje na svoj raun tehnika salame, ili pre"acivanje i nosa nakon druge decimale L francusko aokruivanje. )o nato je i t v. premetanje podataka ili pogrean unos podataka, pri emu do i mjene podataka dola i prije ili nakon to su uneseni u kompjuter. ?enial of service onemoguavanje ovlatenog korisnika da koristi sustav, slanjem velike koliine podataka koje e aguiti servere i onesposo"iti im normalan rad :Spamming1M, Horm;

-alicio ni programi pokretanje dovodi do neeljenih posljedica&

orm kompjutorski program% nakon pokretanja sam se umnoava na kompjuteru ili kompjutorskoj mrei s ciljem da iskoristi resurse sustava u tolikoj mjeri da ovaj ne moe normalno funkcionirati, sve dok se sadr aj multipliciranog programa ne ukloni% djeluju potpuno ne avisno i ne ugroavaju data a ra liku od virusa. B!ST,& 4acteria, !a""its, 0ra"s, 0reepers :gmi avci; (rojan )orse komp. program koji osim vidljive namjene ima i skrivenu, korisniku nepo natu, ta namjena moe "iti "e a lena ali i npr. davanje autoru "e graninih ovlasti nad sustavom "ack door. +a ra liku od ostalih dvoje T< se ne ra mnoava i ne prenose, a o njemu se radi samo u sluajevima kada je ta skrivena funkcija svjesno i namjerno "ila umetnuta u program. )odvrste T< su soft'erske om e :aktiv. pokretanjem progr.;, logike :ispunjenjem uvjeta; i vremenske :u odreeno vrijeme ili nakon isteka;. @esto se koriste i u skrivanju tragova nakon to je pristup ve ostvaren :FlJing ?utchman;.

Birusi
kompjutorski program, dio programa koji se nakon aktivacije sam

stalno ra mnoava i iri, najee napisan u asem"leru, rijetko vii je ik, prenosi preko nekog medija :0?, FloppJ..; ili preko mree. 6ktivira se pokretanjem programa, odreeni dan ili vrijeme dovodei do ra liitih "e a lenih ali i opasnih posljedica. *akon aktiviranja mogu ostati re identni, ili neaktivnost prestaje avretkom rada araenim programom. +a"rinjava njihov "roj, te da mjeseno se pojavi 188 a N8 ih samo astari.

Birusi
)rema nainu djelovanja dijelimo ih& oot sector v.& aktiviraju pokretanjem ?.S$a, para"itski v.& aktiviraju pokretanjem programa kojeg su ara ili, a rade samo pod ?.S$om, multi#partite v.& kom"inacija prethodnih dviju, macro v.& aktiviraju pokretanjem makroa :sastavni dijelovi recimo Horda, ,Kcela;. Birusi se mogu aktivirati u odreeno vrijeme :Oankee ?oodle;, odreen dan :)athogen;, datum :-ichelangelo;, nakon to je kopiran odreen "roj puta :?isk Hasher;.

Birusi
(

ra ito su opasni polimorfni virusi :PueeG; koji mijenjaju svoj o"lik kako "i avarali antivirusne prog. Aoriste se i enkripcijom kako "i prikrili svoje postojanje i tako oteali pronalaenje. .pasni i (tealth virusi :?ir; teko otkrivaju ato sto u trenu pokretanja antiv. prog. odvajaju od araenog programa da "i se nakon toga ponovno pripojili. Birusi se prenose i elektronikom potom. :Slanje velikog "roja istih ili ra liitih poruka putem e$maila s namjerom da se agui stroj primatelja kako "i sustav QpaoR. ' rok mogu "iti i ra ne reklamne ( marketinke agencije koje na takav nain reklamiraju proi vode;.

-jere atite

Aonceptualni prika mjera atite

+atita podataka
?ananje metode atite podataka podra umijevaju i radu sigurnosnih kopija Sadraji se kopiraju na vie lokacija !6(? polje 4ackup server )rijenosni mediji velikog kapaciteta )rincip je jednostavan $ podaci se pohranjuju na drugu lokaciju i u sluaju havarije se ponovno vraaju u sustav :sustav postaje ponovno funkcionalan;

)!.C!6-SA, -5,!, +6DT(T,

+atita na ra ini operacijskog sustava +atita na ra ini korisnike programske podrke Ariptiranje podataka u komunikaciji 6ntivirus alati +atitni id :Fire=all;

+atita na ra ini operacijskog sustava

Biekorisniki rad 6dministratori i korisnici :'ser; 6dministratori svakom korisniku odreuju& 'ser name korisniko ime )ass=ord lo inku +a svakog korisnika ili grupu korisnika mogu se odrediti ra Svako raunalo moe imati vie administratora i korisnika )ravilnim definiranjem ovlasti korisnika )ravilnom raspodjelom korisnika u grupe Aonfiguracijom 'ser SecuritJ )olicJ Aonfiguracijom Croup SecuritJ )olicJ

liite ovlasti

+atita na ra ini korisnikih programa

*akon odo"renog pristupa radnoj okolini :pravilan 'ser name i

)rva ra ina $ samo itanje podataka i "a e ?ruga ra ina $ promjena podataka u "a i i unos novih Trea ra ina $podaci se mogu "risati

)ass=ord; pokree se korisniki program kojim se o"avlja odreena aktivnost u informacijskom sustavu +atita korisnikih programa aporkom&