Bezpieczeństwo w sieci.



Podobne dokumenty
OFERTA Audyt i usługi doradcze związane z wdrożeniem systemu zarządzania bezpieczeństwem informacji dla jednostek administracji publicznej

Testy penetracyjne Metasploit Framework (MSF) Metody penetracji. Arkadiusz Talarczyk. 18 marca 2014

Zagrożenia bezpieczeństwa informacji. dr inż. Wojciech Winogrodzki T-Matic Grupa Computer Plus Sp. z o.o.

Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)

ZAPROSZENIE DO SKŁADANIA OFERT

Szkolenie otwarte 2016 r.

Nowoczesny Bank Spółdzielczy to bezpieczny bank. Aleksander Czarnowski AVET Information and Network Security Sp. z o.o.

Znaczenie norm ISO w znowelizowanej ustawie o ochronie danych osobowych (RODO)

Badanie bezpieczeństwa infrastruktury sieciowej

Prawa autorskie, licencje

Najważniejsze wymagania dotyczące bezpiecznego korzystania z aplikacji: Centrala. Wewnętrzne centrum danych. Sieć brzegowa.

Bezpieczeństwo IT Audyty bezpieczeństwa i testy penetracyjne

Audyty bezpieczeństwa i zgodności oprogramowania Leszek Miś RHC{A,SS,X} Linux Polska Sp. z o.o.

Kompleksowe Przygotowanie do Egzaminu CISMP

Bezpieczeństwo IT w środowisku uczelni

Polityka Bezpieczeństwa jako kluczowy element systemu informatycznego. Krzysztof Młynarski Teleinformatica

Bezpieczeństwo dziś i jutro Security InsideOut

USŁUGI AUDYTU i BEZPIECZEŃSTWA INFORMACJI

Symantec Enterprise Security. Andrzej Kontkiewicz

Polityka bezpieczeństwa przeznaczona dla administratora danych, który nie powołał administratora bezpieczeństwa informacji

POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl

Moduł 6. Dokumentacja techniczna stanowiska komputerowego

Ochrona biznesu w cyfrowej transformacji

Wybrane problemy bezpieczeństwa w systemach IT.

POLITYKA E-BEZPIECZEŃSTWA

JAK DOTRZYMAĆ KROKU HAKEROM. Tomasz Zawicki, Passus

PROFESJONALNE USŁUGI BEZPIECZEŃSTWA

Powiatowy Urząd Pracy Rybnik ul. Jankowicka 1 tel. 32/ , , fax

Bezpieczeństwo aplikacji Czy musi być aż tak źle? OWASP The OWASP Foundation

Praca w branŝy Information Security w Polsce, Europie, Azji i Ameryce Północnej, zarobki i moŝliwości rozwoju

Zgodność, fraudy i inne wyzwania oraz zagrożenia w Bankach Spółdzielczych. Aleksander Czarnowski AVET Information and Network Security Sp. z o.o.

ISO w Banku Spółdzielczym - od decyzji do realizacji

z testów penetracyjnych

POLITYKA BEZPIECZEŃSTWA OCHRONY DANYCH OSOBOWYCH w przedsiębiorstwie QBL Wojciech Śliwka Daszyńskiego 70c, Ustroń

Opis Przedmiotu Zamówienia na realizację audytów dla poszczególnych Inicjatyw i infrastruktury IT w ramach projektu euczelnia

POLITYKA PRYWATNOŚCI Konkurs wiedzy dermatologicznej dla lekarzy

Promotor: dr inż. Krzysztof Różanowski

WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends

Skuteczne rozpoznanie oraz kontrola aplikacji i użytkowników sieci - rozwiązanie Palo Alto Networks

Imię i nazwisko:. Data:...

epolska XX lat później Daniel Grabski Paweł Walczak

PRZEGLĄD WYBRANYCH METODYK AUDYTU SYSTEMÓW INFORMATYCZNYCH. Anna Sołtysik-Piorunkiewicz

MARIAN MOLSKI MAŁGORZATA ŁACHETA BEZPIECZEŃSTWO I AUDYT SYSTEMÓW INFORMATYCZNYCH

Chroń Dane Osobowe. Personal Data Protection Officer. Konrad Gałaj-Emiliańczyk

Wprowadzenie do Kaspersky Value Added Services for xsps

Opis efektów kształcenia dla modułu zajęć

Audyty bezpieczeństwa dla samorządów i firm. Gerard Frankowski, Zespół Bezpieczeństwa PCSS

Specyfikacja audytu informatycznego Urzędu Miasta Lubań

Szczegółowy opis przedmiotu zamówienia:

Załącznik nr 2 Opis wdrożonych środków organizacyjnych i technicznych służących ochronie danych osobowych

Bezpieczeństwo danych i systemów informatycznych. Wykład 1

ŚRODOWISKO KOMPUTEROWYCH SYSTEMÓW INFORMATYCZNYCH TEST PEŁNY Status obszaru: Jeszcze nie edytowany (otwarty) Opracowano 0 z 55

17-18 listopada, Warszawa

Application Security Verification Standard. Wojciech Dworakowski, SecuRing

Zarządzanie relacjami z dostawcami

Architektura bezpieczeństwa informacji w ochronie zdrowia. Warszawa, 29 listopada 2011

Luki w bezpieczeństwie aplikacji istotnym zagrożeniem dla infrastruktury krytycznej

Zapytanie ofertowe nr OR

Wprowadzenie do geoinformatyki - podstawowe pojęcia Wydział Geodezji i Kartografii Politechnika Warszawska

Wybawi się od niebezpieczeństwa jedynie ten, kto czuwa także gdy czuje się bezpieczny Publiusz Siro. Audyt bezpieczeństwa

AGENDA DZIEŃ I 9: PANEL I WPROWADZENIE DO ZMIAN W OCHRONIE DANYCH OSOBOWYCH 1. ŚRODOWISKO BEZPIECZEŃSTWA DANYCH OSOBOWYCH.

Audytowane obszary IT

Rejestracja użytkownika Bentley Często zadawane pytania techniczne

Bezpieczeństwo cybernetyczne

BEZPIECZNY BIZNES GDZIEKOLWIEK CIĘ ZAPROWADZI. Protection Service for Business

Nr sprawy: ST Poznań, Zapytanie ofertowe

Szkolenie podstawowe z zakresu bezpieczeństwa informacji BI-01

SZCZEGÓŁOWY HARMONOGRAM KURSU

Maciej Byczkowski ENSI 2017 ENSI 2017

! Retina. Wyłączny dystrybutor w Polsce

Informatyka Śledcza jako narzędzie zabezpieczania i analizy wrażliwych danych

SZCZEGÓŁOWY HARMONOGRAM KURSU DZIEŃ I WPROWADZENIE DO OCHRONY DANYCH OSOBOWYCH

OCHRONA PRZED RANSOMWARE. Konfiguracja ustawień

Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk

Budowanie polityki bezpieczeństwa zgodnie z wymogami PN ISO/IEC przy wykorzystaniu metodologii OCTAVE

Powiatowy Urząd Pracy Rybnik ul. Jankowicka 1 tel. 32/ , , fax

Zagrożenia związane z udostępnianiem aplikacji w sieci Internet

Reforma ochrony danych osobowych RODO/GDPR

Opis Przedmiotu Zamówienia na przeprowadzenie testów bezpieczeństwa systemu wspomagania nadzoru archiwalnego e-nadzór

Praktyczne aspekty zarządzania oprogramowaniem. Seminarium Zrób to SAMo Warszawa

Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji

Kurs komputerowy, Program szkolenia poziom C Klik@j bez barier-profesjonalne kursy komputerowe w Wielkopolsce, nr RPWP

Zabezpieczenia zgodnie z Załącznikiem A normy ISO/IEC 27001

Podstawy bezpieczeństwa

System Kancelaris. Zdalny dostęp do danych

Systemy zarządzania bezpieczeństwem informacji: co to jest, po co je budować i dlaczego w urzędach administracji publicznej

Insider Threat Management - czyli jak skutecznie zapobiegać zagrożeniom wewnętrznym?

Włącz autopilota w zabezpieczeniach IT

Webroot SecureAnywhere ROZWIĄZANIA DLA UŻYTKOWNIKÓW DOMOWYCH

Bezpieczeństwo aplikacji WWW. Klasyfikacja zgodna ze standardem OWASP. Zarządzanie podatnościami

OFERTA DLA MIAST, GMIN, INSTYTUCJI FINANSOWYCH I PODMIOTÓW KOMERCYJNYCH DOTYCZĄCA ZAGADNIEŃ ZWIĄZANYCH Z CYBERBEZPIECZEŃSTWEM

PLATFORMA COMARCH SECURITY. Rozwiązania Comarch dla bezpiecznego urzędu

ZASADY PRZETWARZANIA I OCHRONY DANYCH OSOBOWYCH NA UCZELNIACH WYŻSZYCH

Metodologia ochrony informacji w systemach klasy desktop oraz na urządzeniach przenośnych

ANALITYK BEZPIECZEŃSTWA IT

Welcome. to Space4GDPR. Platforma Space4GDPR jest narzędziem dedykowanym. do sprawnego zarządzania ochroną danych osobowych

Wyzwania i dobre praktyki zarządzania ryzykiem technologicznym dla obszaru cyberzagrożeń

Polityka bezpieczeństwa przetwarzania danych osobowych

Polityka ochrony danych osobowych w programie Norton Community Watch

Zapewnienie dostępu do Chmury

Transkrypt:

Bezpieczeństwo w sieci.

S.M.S Co to jest? Nieformalna organizacja mająca na celu skupiać ludzi nastawionych na aktywizm dotyczących różnych aspektów bezpieczeństwa, nie tylko w sensie cyfrowym. Bezpieczeństwo w sieci. 1

Kim jestem? Piotr pht Jasiek Konstruktywny psuj pragnący podzielić się swoją wiedzą z zakresu IT i wszelakiego psucia. Posiadający wiedze z zakresu hardware i software security, szczęśliwy posiadacz certyfikatu ACE PaloAlto. Człowiek, którego dłonie dotykały klawiatury w różnych celach nie tylko tych securitowych. Pentester, znawca technologii zarządzania podatnościami. Wyznawca ideologii hakerskiej, obrońca pozytywnego wydźwięku słowa haker a zarazem główny administrator infrastruktury sieciowej S.M.S oraz wszystkiego co zalicza się do elementów infrastruktury powierzonej pod opiekę S.M.S. Do jego zadań należy również oficjalne reprezentowanie S.M.S podczas eventów dotyczących bezpieczeństwa czy podczas rozmów biznesowo-handlowych. Bezpieczeństwo w sieci. 2

Unix po co mi to? Źródło: PCFormat Bezpieczeństwo w sieci. 3

Czym się zajmuję i jak wygląda moja praca? Bezpieczeństwo w sieci. 4

Znaczenie bezpieczeństwa informatycznego. Bezpieczeństwo w sieci. 5

I am a hacker, but who am I? Bezpieczeństwo w sieci. 6

Haker - stereotyp Haker (ang. hacker) osoba o bardzo dużych, praktycznych umiejętnościach informatycznych (lub elektronicznych), która identyfikuje się ze społecznością hakerską. Hakerzy odznaczają się bardzo dobrą orientacją w Internecie, znajomością wielu języków programowania, a także świetną znajomością systemów operacyjnych, w tym zwłaszcza z rodziny Unix (GNU/Linux, BSD itp.). Źródło: Wikipedia Bezpieczeństwo w sieci. 7

Haker - stereotyp Bezpieczeństwo w sieci. 8

Haker - stereotyp Bezpieczeństwo w sieci. 9

Pochodzenie słowa Haker Angielskie słowo hacker pochodzi od hack. Termin hack wśród studentów Massachusetts Institute of Technology w latach 60. odnosił się do płatanych żartów, takich jak np. owinięcie górującej nad kampusem uniwersyteckim kopuły folią odbijającą promienie świetlne, zmierzenie mostu dłogością ciała jednego z nich. Aby zasłużyć na to określenie żarty musiały się wyróżniać szczególną pomysłowością i stylem oraz nie przynosić szkody. Bezpieczeństwo w sieci. 10

Pochodzenie słowa Haker Miano hakera nadawali sobie wzajemnie niektórzy członkowie Tech Model Railroad Club (Modelarskiego Klubu Kolejowego) i Artificial Inteligence Laboratory działającego na tej uczelni. Część z nich przeniosła później swoje zainteresowanie na komputery można ich uważać za pierwowzór dzisiejszych hakerów. Bezpieczeństwo w sieci. 11

Pochodzenie słowa Haker Źródło: http://hacks.mit.edu/by_year/ Bezpieczeństwo w sieci. 12

Dekalog Hakera Wersja najbardziej znana. 1. Każde zabezpieczenie można złamać. 2. Włam sie tam, gdzie jeszcze nikt sie nie włamał. 3. Informacja chce być wolna. 4. Wina jest zawsze po stronie admina. 5. W sieci wszyscy są równi. 6. Jeśli nie możesz złamać hasła po prostu o nie zapytaj 7. Bądź nieprzewidywalny 8. Haker nie potrzebuje spać 9. Hakera może złapać tylko inny haker 10. Kto ma władze nad komputerem ten ma władze nad światem Bezpieczeństwo w sieci. 13

Zasady Hackingu Według MR X z filmu WhoAmI. 1. Nie ma systemu nie do złamania. 2. Celem jest niemożliwe. 3. Nie ograniczaj swojej zabawy tylko do sieci. Bezpieczeństwo w sieci. 14

Jak widziano hakerów na przestrzeni czasu. Bezpieczeństwo w sieci. 15

Haker Moja definicja? Bezpieczeństwo w sieci. 16

Haker Moja definicja Bezpieczeństwo w sieci. 17

Hackerspace Hackerspace to przestrzeń stworzona i utrzymywana przez grupę kreatywnych osób, które łączy fascynacja ogólno pojętym tworzeniem w duchu kultury hackerskiej. Przestrzeń stymuluje rozwój projektów, organizując i użyczając potrzebnych narzędzi. Hackerspace nie zna barier, jeśli masz ciekawy pomysł i szukasz ludzi chętnych do współpracy lub po prostu potrzebujesz miejsca i sprzętu zapraszamy. Źródło: http://hackerspace.pl Bezpieczeństwo w sieci. 18

Palo Alto Networks Czym jest Palo Alto Networks i co nowego wnosi? Bezpieczeństwo w sieci. 19

Palo Alto Networks Najważniejsze wymagania dotyczące bezpiecznego korzystania z aplikacji: 1. Identyfikacja aplikacji, a nie portów. Klasyfikowanie ruchu sieciowego od razu po dotarciu do zapory w celu określenia tożsamości aplikacji bez względu na protokół, szyfrowanie czy taktykę unikową. Następnie wykorzystanie tej tożsamości jako podstawy wszystkich polityk bezpieczeństwa. 2. Powiązanie używania aplikacji z tożsamością użytkowników, a nie z adresem IP, bez względu na lokalizację lub urządzenie. Wykorzystanie danych użytkowników i grup pochodzących z usług katalogowych i innych zasobów informacji o użytkownikach w celu wdrożenia spójnych polityk korzystania z aplikacji dla wszystkich użytkowników bez względu na lokalizację czy urządzenie. 3. Ochrona przed wszystkimi zagrożeniami zarówno znanymi, jak i nieznanymi. Zapobieganie znanym technikom wykorzystywania luk w zabezpieczeniach oraz działaniu oprogramowania złośliwego i szpiegującego oraz złośliwym adresom URL przy jednoczesnym analizowaniu ruchu pod kątem obecności wysoce ukierunkowanego i wcześniej nieznanego oprogramowania złośliwego, a także automatycznej ochrony przed jego działaniem. 4. Uproszczenie zarządzania politykami bezpieczeństwa. Bezpieczny dostęp do aplikacji i mniej działań administracyjnych dzięki łatwym w użyciu narzędziom graficznym, jednorodnym edytorze polityk, szablonom i grupom urządzeń. Bezpieczeństwo w sieci. 20

Palo Alto Networks Bezpieczeństwo w sieci. 21

Palo Alto Networks Bezpieczeństwo w sieci. 22

Palo Alto Networks Bezpieczeństwo w sieci. 23

Palo Alto Networks Kompletna wiedza oznacza bardziej skuteczne polityki zabezpieczeń Nowe lub nieznane aplikacje można szybko sprawdzić jednym kliknięciem, wyświetlając opis aplikacji, cechy jej aktywności i tożsamość korzystających z niej osób. Dodatkowe funkcje widoczności kategorii adresów URL, zagrożeń i wzorców danych umożliwiają uzyskanie kompletnego obrazu aktywności sieci. Nieznane aplikacje, które zwykle stanowią niewielki procent ruchu, ale są potencjalnie groźne, poddawane są kategoryzacji i analizie. Umożliwia to ustalenie, czy są one aplikacjami wewnętrznymi, niezidentyfikowanymi wcześniej aplikacjami komercyjnymi czy też aplikacjami stanowiącymi zagrożenie dla bezpieczeństwa. Najczęściej użytkownicy uzyskują dostęp do wybranych aplikacji, nierzadko potrzebnych im do realizacji codziennych zadań, co sprawia, że aplikacja, użytkownik i powiązana zawartość są ważniejsze dla firmy niż kiedykolwiek wcześniej. Dysponując bardziej kompletną wiedzą na temat elementów sieci, administratorzy mogą tworzyć polityki bezpiecznego korzystania z aplikacji. Bezpieczeństwo w sieci. 24

Palo Alto Networks Bezpieczeństwo w sieci. 25

Palo Alto Networks Bezpieczeństwo w sieci. 25

Moja przygoda z security. Jak zacząć i od czego? Po co? Gdzie mam styczność z IT security. Bezpieczeństwo w sieci. 27

Moja przygoda z security. Ciekawostka: Czy wiedziałeś, że w Internecie jest pełno map pokazujących zarejestrowane ataki cybernetyczne na żywo? Bezpieczeństwo w sieci. 28

Moja przygoda z security. Bezpieczeństwo w sieci. 29

Audyt bezpieczeństwa Audyt informatyczny proces zbierania i oceniania dowodów w celu określenia czy system informatyczny i związane z nim zasoby właściwie chronią majątek, utrzymują integralność danych i dostarczają odpowiednich i rzetelnych informacji, osiągają efektywnie cele organizacji, oszczędnie wykorzystują zasoby i stosują mechanizmy kontroli wewnętrznej, tak aby dostarczyć rozsądnego zapewnienia, że osiągane są cele operacyjne i kontrolne, oraz że chroni się przed niepożądanymi zdarzeniami lub są one na czas wykrywane a ich skutki na czas korygowane. Audyt jest prowadzony w celu stwierdzenia stopnia zgodności ocenianego systemu z określonym standardem lub normą wybraną jako punkt odniesienia. W przypadku audytu informatycznego są to normy dotyczące zarządzania procesami IT (ISO/IEC 20000, COBIT), zarządzania jakością (ISO 9001) lub bezpieczeństwem informatycznym (ISO/IEC 27001, PCI DSS, FIPS). Normy te są zwykle zbudowane w postaci list kontrolnych, co ułatwia systematyczną weryfikację wszystkich punktów. Bezpieczeństwo w sieci. 30

Testy penetracyjne Test penetracyjny proces polegający na przeprowadzeniu kontrolowanego ataku na system teleinformatyczny, mający na celu praktyczną ocenę bieżącego stanu bezpieczeństwa tego systemu, w szczególności obecności znanych podatności i odporności na próby przełamania zabezpieczeń. Polega na analizie systemu pod kątem występowania potencjalnych błędów bezpieczeństwa spowodowanych niewłaściwą konfiguracją, lukami w oprogramowaniu lub sprzęcie, słabościami w technicznych lub proceduralnych środkach zabezpieczeń, a nawet niewystarczającą świadomością użytkowników. Bezpieczeństwo w sieci. 31

Testy penetracyjne Rodzaje testów penetracyjnych Blackbox Whitebox/Clearbox Greybox Bezpieczeństwo w sieci. 32

Testy penetracyjne Gdzie szukać wiedzy? Fora tematyczne Blogi o tematyce bezpieczeństwa informatycznego Dokumentacja oprogramowania Różnego rodzaju szkolenia Bezpieczeństwo w sieci. 33

Testy penetracyjne Metodyki testów penetracyjnych Istniejące metodyki prowadzenia testów penetracyjnych opisują niezbędne czynności, zabezpieczenia prawne oraz procedury, których powinien przestrzegać zespół testujący, nie zawierają jednak szczegółów na temat konkretnych testów technicznych jakie należy wykonać: OSSTMM (Open Source Security Testing Methodology Manual) NIST SP 800-42 (Guideline on Network Security Testing, 2003) NIST SP 800-115 (Technical Guide to Information Security Testing) ISAAF (OISSG Penetration Testing Framework, 2008) P-PEN (Adam E. Patkowski, Metodyka P-PEN przeprowadzania testów penetracyjnych systemów teleinformatycznych, WAT, 2007) Bezpieczeństwo w sieci. 34

Testy penetracyjne Etapy testów penetracyjnych Testy penetracyjne dzielimy na poszczególne etapy: 1. Rekonesans 2. Wyszukiwanie podatności 3. Wykorzystywanie zidentyfikowanych podatności 4. Podnoszenie uprawnień 5. Utrzymanie zdobytego przyczółka Bezpieczeństwo w sieci. 35

Testy penetracyjne Gdzie mogę ćwiczyć swoje umiejętności? Bezpieczeństwo w sieci. 36

Znalazłem błąd Co dalej? Bezpieczeństwo w sieci. 37

Pytania. Bezpieczeństwo w sieci. 38

Kontakt https://www.facebook.com/smspolska https://twitter.com/smspoland piotr.jasiek@s-m-s.pl Bezpieczeństwo w sieci. 39