บทท 1: ระบบร กษาความปลอดภ ยพ นฐาน

Transcription

1 บทท 1: ระบบร กษาความปลอดภ ยพ นฐาน ป ยพร น ราร กษ หล กส ตรผ เช ยวชาญด านความม นคงปลอดภ ยของระบบเคร อข ายและคอมพ วเตอร ระด บท 3 Why do we Why do we need Security? 1

2 Assets, Threats, Vulnerabilities, Risks, and Protective Measures ทร พย ส น ASSET THREAT ค กคาม VULNERABILITY จ ดอ อน PROTECTIVE MEASURES ป องก น ความเส ยง RISK ความจ าเป นท ต องม ความปลอดภ ยของข อม ล (THE NEED FOR SECURITY) At first, no or very little security. Until the importance of data was realized. Examples: Provide user id and password Encode information stored in the databases in some fashion. 4 2

3 ป จจ ยท ท าให เก ดความเส ยหายต อข อม ลในองค กร คน ฮาร ดแวร (Hardware) ซอฟต แวร (Software) โปรแกรมไวร ส (Virus Computer) ภ ยธรรมชาต ภยธรรมชาต WHAT IS SECURITY? Physical Security. Communication Security Emission Security Computer Security Network Security. Internet Security. 6 3

4 PUTTING THESE PRIMITIVES TOGETHER TO ACHIEVE CIA C I A Confidentiality การร บรองว าจะม การเก บ ข อม ลไว เป นความล บและ ผ ม ส ทธ เท าน นจ งจะเข าถ ง ข อม ลน Integrity การร บรองว าข อม ลจะไม ถ กเปล ยนแปลงหร อ ท าลายไม ว าจะเป นโดย Availability การร บรองว าข อม ลและ บร การการส อสารต าง ๆ พร อมท จะใช ได ในเวลาท ต องการใช งาน นได อ บ ต เหต หร อโดยเจตนา ต องการใช งาน megaller SECURITY TRENDS Number of attacks: increasing Sophistication of attacks: increasing Intruder knowledge: decreasing 8 4

5 หล กในการสร างความม นคงปลอดภ ย Security Management Risk Policy, Security Standard i.e. BS7799 /ISO27001, COBIT Vulnerability & Threat attack ASSETS Network Security, Physical Security Cryptography, Application and System Development, Training and awareness, BCP, etc. Availability Physical Security, Security Implementation SECURITY DOMAINS IN ISO & ISO A.5 Security Policy A.6 Organization of information security A.7 Asset management A.8 Human resources security A.9 Physical and environment security A.10 Communications and operations management A.11 Access Control A.12 Information systems acquisition, development and maintenance A.13 Information security incident management A.14 Business continuity management A.15 Compliance 5

6 INFORMATION SECURITY STANDARD AND LAWS มาตรฐานนโยบายความปลอดภ ยข อม ลคอมพ วเตอร ISO/IEC 17799:2000 ISO/IEC 17799:2005 ISO/IEC 27001:2005 BS IT Infrastructure Library BS15000/ITIL IT Governance Framework COSO CobiT กฎหมายความปลอดภย Health Information Portability and Accountability Act (HIPAA) Gramm-Leach- Bliley Act (GLB) Sarbanes- Oxley Act (SOX) 11 ATTACKS, SERVICES AND MECHANISMS Security Attack: Any action that compromises the security of information. Security Mechanism: A mechanism that is designed to detect, prevent, or recover from a security attack. Security Service: A service that enhances the security of data processing systems and information transfers. A security service makes use of one or more security mechanisms. 12 6

7 SECURITY ATTACK Any action that compromises the security of information Often threat & attack used to mean same thing Many different attacks Can be classified as Passive attacks Active attacks 13 SECURITY ATTACKS 14 7

8 SECURITY ATTACKS Interruption: This is an attack on availability Interception: This is an attack on confidentiality Modification: This is an attack on integrity Fabrication: i This is an attack on authenticity 15 SECURITY GOALS Confidentiality Authenticity Integrity Availability 16 8

9 17 PASSIVE ATTACKS Reading contents of messages Observing traffic flows Difficult to detect passive attacks Defense: to prevent their success 18 9

10 ACTIVE ATTACKS Modification or creation of data stream Four categories: modification of messages, replay, masquerade, denial of service Easy to detect but difficult to prevent Defense: detect attacks and recover from damages

11 21 ACTIVE ATTACK (3) 22 11

12 23 SECURITY SERVICES Confidentiality (privacy) Authentication (who created or sent the data) Integrity (data has not been altered) Non-repudiation (the order is final cannot deny) Access control (prevent misuse of resources) Availability (permanence, non-erasure) Denial of Service Attacks Virus that deletes files 24 12

13 X.800 SECURITY SERVICES (1) 25 X.800 SECURITY SERVICES (2) 26 13

14 X.800 SECURITY SERVICES (3) 27 X.800 SECURITY SERVICES (4) 28 14

15 SECURITY SERVICES VERSUS ATTACKS 29 X.800 SECURITY MECHANISMS (1) 30 15

16 X.800 SECURITY MECHANISMS (2) 31 X.800 SECURITY MECHANISMS (3) 32 16

17 SERVICES AND MECHANISMS 33 COMPUTER SECURITY RISKS ความเส ยงต อการเก ดความเส ยหายต อคอมพ วเตอร และข อม ล ค อเหต การณ หร อการใช งานท ก อให เก ดความเส ยหายต อฮาร ดแวร, ใ ซอฟท แวร, ข อม ล, และ ความสามารถในการประมวลผลข อม ล ร ปแบบของความเส ยงเหล าน อาจอย ในร ปของอ บ ต เหต หร อความต งใจ หากเป นความเส ยหายท เก ดจากความต งใจของบ คคลหร อกล มคน และเป นการกระท าท ผ ด กฏหมาย เราจะเร ยกว า อาชญากรรมทางอ นเทอร เน ต (computer crime หร อ cyber crime) 17

18 ร ปแบบของ COMPUTER SECURITY RISK Internet and network attacks Unauthorized access and use Hardware theft & vandalism Software theft Information theft System failure ร ปแบบของผ กระท าผ ด Hacker บคคลท บกรกเข าใช คอมพ วเตอร หร อเนทเว ร คอย างผ ดกฏหมาย บ คคลทบ กร กเขาใชคอมพวเตอรหรอเนทเวรคอยางผดกฏหมาย ม ความความร ด านคอมพ วเตอร และเนทเว ร คข นส ง Cracker เหม อน hacker และต องการเข าท าลายข อม ล, ขโมยข อม ล, หร อกระท าส งท ส อในทางประสงค ร าย ม ความความร ด านคอมพ วเตอร และเนทเว ร คข นส ง 18

19 ร ปแบบของผ กระท าผ ด (ต อ) Script kiddie เหมอน เหม อน cracker แตไมมความร ดานเทคนเคล แต ไม ม ความร ด านเทคน เค ล โดยมากจะเป นว ยร น ท ใช เคร องม อหร อซอฟต แวร ท เข ยนโดย hacker หร อ cracker ใน การบ กร กเข าใช งานคอมพ วเตอร Corporate spies บ คคลท ร บจ างบ กร กเข าจารกรรมข อม ลของบร ษ ท ฝ ายตรงข าม เพ อหว งผลความได เปร ยบ ทางด านธ รก จ ม ความความร ด านคอมพ วเตอร และเนทเว ร คข นส ง ร ปแบบของผ กระท าผ ด(ต อ) Unethical employees ล กจ างท เข าขโมยข อม ลของบร ษ ท โ เพ อหว งผลในการขายข อม ลส าค ญให ก บฝ ายตรงข าม ใ Cyberextortionist การใช เพ อข บ งค บให บ คคลหร อองค กรจ ายเง น โดยหากไม ท าตามจะท าการสร าง ความเส ยหายให ก บคอมพ วเตอร หร อเน ทเว ร ค Cyberterrorist กล มคนท ใช อ นเทอร เน ตหร อเนทเว ร คในการท าลายหร อสร างความเส ยหายให ก บคอมพ วเตอร เพ อ ผลประโยชน ทางการเม อง 19

20 CLASSICATION OF SECURITY VIOLATION Cracking Spoofing Snooping Social Engineering Denial of Service CRACKING Often called as Hacking Break through the security by using the knowledge of Software Engineer Computer Network Operating System etc. 20

21 SPOOFING Act as the others, e.g. fake e.g. sending an by pretending to be other (theoritical can be any name) fake IP: e.g. to gain accesses to the prohibit area SPOOFING Starting point for other security violation False information i protected by digital signature digital certification 21

22 SNOOPING Steal information during transmission Hardware: Packet Sniffer usually need access to the physical network Software: capture keystroke SNOOPING CONT. Other: Trashing (happened to credit card number) protected by: encryption security access control 22

23 SOCIAL ENGINEERING Talking between user and cracker Serious and Common protected by: policy knowledge of users DENIAL OF SERVICE attack the weakness of the network, e.g. spamming (mail bomb) b) spamming web request WinNuke protected by: hot fixes & patches firewall logging system 23

24 ประเด นเก ยวก บความปลอดภ ยบนเคร อข ายในป จจ บ น Virus and Worm Attacks Spyware Attacks Malware Attacks SPAM Mail Web Server Attacks Zero Day Threats Web Browser Threats SPIM P2P Phishing and Pharming Attacks 47 PHISHING 48 24

25 PHISHING 49 PHISHING 50 25

26 PHARMING 51 METHODS OF DEFENCE Encryption -----(Steganography) Software Controls (access limitations in a data base, in operating system protect each user from other users) Hardware Controls (smartcard) Policies (frequent changes of passwords) Physical Controls (locked in a secure room, case, box) 52 26

27 GENERAL RULES FOR PROTECTION software current & update HotFix & Patch th & upgrade encrypt sensitive information trainning user & administrator password & security policy monitoring: 100% monitor --> 100% secure GENERAL RULES FOR PROTECTION (CON.) Personal firewall Anti virus & Update Virus Signature AntiMalware AntiSpyware Beware of content & download Backup 27