IT-Sicherheit/Grundfunktionen
topic - Kurzbeschreibung
Beschreibung
| Option | Beschreibung |
|---|---|
| Authentifizierung | |
| Autorisierung | |
| Backup | |
| Kryptografie | |
| Zugriffsrechte |
Baukasten
- Identifikation und Authentifikation
- Rechteverwaltung
- Rechteprüfung
- Vollständigkeitsprinzip
- Ausnahmen
- Beweissicherung
- Wiederaufbereitung
- Gewährleistung der Funktionalität
- Identifikation und Authentifikation
- Objekte / Subjekte müssen eindeutig identifizierbar sein
- Identität nachweisen können
- Abwehr von Maskierungsangriffen, unautorisierten Zugriffen
- Sicherheitsanforderungen legen fest
- ob und wenn ja, welche Subjekte zwar zu identifizieren, aber nicht zu authentifizieren sind.
- Betriebssystem
- Authentifikation nur bei Login
- Gültigkeit späterer Aktionen beruhen auf Gültigkeit dieser Kontrolle
- Internet-Banking
- Authentifikation bei jeder relevanten Aktion (TAN)
- Angabe, welche Aktionen zur Abwehr systematischer Angriffsversuche ergriffen werden
- Protokollieren, Sperrung der Kennung
- Rechteverwaltung
- Basis zur Abwehr von Bedrohung der Integrität und Vertraulichkeit
- Sicherheitsanforderungen legen Rechte für zu schützende Objekte fest
- Vergabe (UNIX: owner-Prinzip)
Wahrnehmung Rechteprüfung Zugriffskontrolle
- Vollständigkeitsprinzip
Bei welchen Aktionen muss Rechteprüfung stattfinden?
- Jeder Zugriff sollte kontrolliert werden
- Oft prüfen nur beim öffnen einer Datei
- Danach Konformitätsprüfung: Wenn lesen, dann weiterlesen.
- File Handles
- Ausnahmen
Welche Aktionen bei unautorisierten Zugriffen
permission denied
- Beweissicherung
- Nichtabstreitbarkeit
- Protokollierung
- Computer-Forensik
Wiederaufbereitung
- Maßnahmen zur Wiederaufbereitung von gemeinsam aber exklusiv nutzbaren Betriebsmitteln
Prozessor, Register, Cache
- Gewährleistung der Funktionalität
Maßnahmen zur Gewährleistung der Verfügbarkeit Abwehr von DoS Priorisierung von Funktionalitäten Einfaches Modell der Datenübertragung Passiver Angreifer: nur abhören, nicht manipulieren Bedrohung für Vertraulichkeit Aktiver Angreifer: abhören, ändern, löschen, duplizieren Bedrohung für Vertraulichkeit, Integrität, Authentizität Unterschied Authentizität/Verbindlichkeit Authentizität: Bob ist sicher, dass Daten von Alice kommen Verbindlichkeit: Bob kann dies gegenüber Dritten beweisen Modell I: Sichere Kommunikation über einen unsicheren Kanal Modell II: Schutz durch Zugangskontrolle
Bewertungskriterien
Kriterienkataloge stellen Bewertungsschema zur Verfügung Zertifikate Nationale internationale Kataloge Orange Book (US) Grünbuch (DE) ITSEC (Europa) Common Criteria (international)