Co v邸e skr箪v叩 s鱈泥ov箪 provoz a jak detekovat kybernetick辿 hrozby? / MARTIN KO...Security Session
油
Nelze chr叩nit to, co nen鱈 vidt. D鱈ky technologii datov箪ch tok哲 (NetFlow/IPFIX) lze dos叩hnout hlubok辿 viditelnosti do s鱈泥ov辿ho provozu. Anal箪za chov叩n鱈 s鱈t na z叩klad statistik o datov箪ch toc鱈ch odhal鱈 anom叩lie v provozu vetn dosud nezn叩m箪ch kybernetick箪ch hrozeb, kter辿 tradin鱈 zabezpeen鱈 nezastav鱈. IT profesion叩lov辿 po cel辿m svt e邸鱈 zp哲soby, jak z鱈skat kontrolu nad s鱈泥ov箪m provozem, aby mohli chr叩nit sv辿 syst辿my ped pokroil箪mi kybernetick箪mi hrozbami. Tato prezentace pibl鱈転鱈 r哲zn辿 p鱈stupy monitorov叩n鱈 po鱈taov箪ch s鱈t鱈, vysvtl鱈 principy a technologie datov箪ch tok哲 a na praktick箪ch p鱈kladech uk叩転e jej鱈ch s鱈lu pro z鱈sk叩n鱈 viditelnosti do provozu a detekci anom叩li鱈.
Semin叩 se zamil na ti d鱈l鱈 t辿mata, kter叩 by pro v叩s mohla b箪t zaj鱈mav叩 ve studiu i dal邸鱈m 転ivot a souasn se o nich (st叩le) aktu叩ln 転iv mluv鱈.
Nejd鱈ve se zamil na postupy ovov叩n鱈 toto転nosti v elektronick辿m prosted鱈, bez kter箪ch byste se nedostali ani ke sv辿 studijn鱈 agend v IS, e byla hlavn o bezpen辿 pr叩ci s hesly, ale strun jsme se dotkli i 邸ifrov叩n鱈 nebo elektornick辿ho podpisu.
Na to nav叩zala bezpenost mobiln鱈ch technologi鱈, proto転e u nich se asto vyu転鱈vaj鱈 jin辿 typy hesel (grafick辿), dotkli se ale tak辿 bezpenostn鱈ch rozd鱈l哲 Androidu a iOS a poteby bezpenostn鱈ch aplikac鱈 jako je antivir.
Proto転e dnes se asto vyu転鱈v叩 tak辿 tzv. smartbankingu, tj. ovl叩d叩n鱈 bankovn鱈ho 炭tu pomoc鱈 mobiln鱈ho za鱈zen鱈, pe邸li jsme skrz to je邸t strun k pravidl哲m bezpen辿ho nakupov叩n鱈 a prod叩v叩n鱈 pes internet.
Pehledov箪 semin叩 nep哲jde nikde zcela do hloubky, bude slou転it sp鱈邸e k z鱈sk叩n鱈 orientace ve jmenovan箪ch smrech a osvojen鱈 z叩kladn鱈ch bezpen箪ch postup哲 pi pou転鱈v叩n鱈 informan鱈ch technologi鱈.
Mobiln鱈 bankovnictv鱈 a bezpenostn鱈 rizikaPetr Dvorak
油
Co je mobiln鱈 bankovnictv鱈, jak辿 jsou jeho nejastj邸鱈 zp哲soby (SIM Toolkit, aplikace pro operan鱈 syst辿my iOS, Android, Symbian apod.). V em jsou jeho v箪hody a v em spo鱈v叩 jeho nebezpe鱈 a riziko? Je mo転n辿 dlouhodob spol辿hat na jednofaktorovou bezpenost e邸en鱈 mobiln鱈ch bankovnictv鱈?
The document is a collection of aerial photographs of London at night that showcase various landmarks and areas of the city, including the financial district, Big Ben, Oxford Circus, The Gherkin, Tower Bridge, Waterloo Station, the London Eye, Canary Wharf, Emirates Stadium, and Piccadilly Circus.
V informan鱈 spolenosti je st叩le d哲le転itj邸鱈 nejen dok叩zat naj鱈t informace a zpracovat je, ale tak辿 se chovat takov箪m zp哲sobem, abychom bhem tohoto procesu neohrozili ani sebe, ani druh辿 lidi. T辿ma bezpenosti se tak st叩v叩 z叩kladn鱈m pil鱈em informan鱈 spolenosti a je nezbytn辿 pro 転ivot v n鱈.
Pehled nejastj邸鱈ch rizik a slab箪ch m鱈st aplikace z hlediska bezpenosti, na kter辿 je dobr辿 se zamit a vysvtlen鱈 nejastj邸鱈ch typ哲 炭tok哲 a metod, jak se lze 炭inn br叩nit.
Bezpenost aplikac鱈 se st叩v叩 jednou z kl鱈ov箪ch obav bezpenostn鱈ch mana転er哲 a z鱈sk叩v叩 v箪sadn鱈 m鱈sto v kontextu celkov辿 ICT bezpenosti. Spolenost Corpus Solutions uspo叩dala semin叩 na t辿ma Modern鱈 principy aplikan鱈 bezpenosti, kde byly diskutov叩ny nkter辿 o転ehav辿 ot叩zky - Jak aplikan鱈 bezpenost pom叩h叩 chr叩nit business? Dok叩転e bezpenost aplikac鱈 generovat business p鱈nosy a u邸etit finann鱈 zdroje? Pro byste se mli zab箪vat aplikan鱈 bezpenost鱈 a jak辿 jsou souasn辿 standardy?
V r叩mci semin叩e byl pedstaven komplexn鱈 pohled na tuto problematiku vetn technick箪ch n叩stroj哲, kter辿 pom叩haj鱈 posunout aplikan鱈 bezpenost na kvalitativn novou 炭rove. Obsah semin叩e m哲転ete prostednictv鱈m prezentace shl辿dnout I vy.
Co v邸e skr箪v叩 s鱈泥ov箪 provoz a jak detekovat kybernetick辿 hrozby? / MARTIN KO...Security Session
油
Nelze chr叩nit to, co nen鱈 vidt. D鱈ky technologii datov箪ch tok哲 (NetFlow/IPFIX) lze dos叩hnout hlubok辿 viditelnosti do s鱈泥ov辿ho provozu. Anal箪za chov叩n鱈 s鱈t na z叩klad statistik o datov箪ch toc鱈ch odhal鱈 anom叩lie v provozu vetn dosud nezn叩m箪ch kybernetick箪ch hrozeb, kter辿 tradin鱈 zabezpeen鱈 nezastav鱈. IT profesion叩lov辿 po cel辿m svt e邸鱈 zp哲soby, jak z鱈skat kontrolu nad s鱈泥ov箪m provozem, aby mohli chr叩nit sv辿 syst辿my ped pokroil箪mi kybernetick箪mi hrozbami. Tato prezentace pibl鱈転鱈 r哲zn辿 p鱈stupy monitorov叩n鱈 po鱈taov箪ch s鱈t鱈, vysvtl鱈 principy a technologie datov箪ch tok哲 a na praktick箪ch p鱈kladech uk叩転e jej鱈ch s鱈lu pro z鱈sk叩n鱈 viditelnosti do provozu a detekci anom叩li鱈.
Semin叩 se zamil na ti d鱈l鱈 t辿mata, kter叩 by pro v叩s mohla b箪t zaj鱈mav叩 ve studiu i dal邸鱈m 転ivot a souasn se o nich (st叩le) aktu叩ln 転iv mluv鱈.
Nejd鱈ve se zamil na postupy ovov叩n鱈 toto転nosti v elektronick辿m prosted鱈, bez kter箪ch byste se nedostali ani ke sv辿 studijn鱈 agend v IS, e byla hlavn o bezpen辿 pr叩ci s hesly, ale strun jsme se dotkli i 邸ifrov叩n鱈 nebo elektornick辿ho podpisu.
Na to nav叩zala bezpenost mobiln鱈ch technologi鱈, proto転e u nich se asto vyu転鱈vaj鱈 jin辿 typy hesel (grafick辿), dotkli se ale tak辿 bezpenostn鱈ch rozd鱈l哲 Androidu a iOS a poteby bezpenostn鱈ch aplikac鱈 jako je antivir.
Proto転e dnes se asto vyu転鱈v叩 tak辿 tzv. smartbankingu, tj. ovl叩d叩n鱈 bankovn鱈ho 炭tu pomoc鱈 mobiln鱈ho za鱈zen鱈, pe邸li jsme skrz to je邸t strun k pravidl哲m bezpen辿ho nakupov叩n鱈 a prod叩v叩n鱈 pes internet.
Pehledov箪 semin叩 nep哲jde nikde zcela do hloubky, bude slou転it sp鱈邸e k z鱈sk叩n鱈 orientace ve jmenovan箪ch smrech a osvojen鱈 z叩kladn鱈ch bezpen箪ch postup哲 pi pou転鱈v叩n鱈 informan鱈ch technologi鱈.
Mobiln鱈 bankovnictv鱈 a bezpenostn鱈 rizikaPetr Dvorak
油
Co je mobiln鱈 bankovnictv鱈, jak辿 jsou jeho nejastj邸鱈 zp哲soby (SIM Toolkit, aplikace pro operan鱈 syst辿my iOS, Android, Symbian apod.). V em jsou jeho v箪hody a v em spo鱈v叩 jeho nebezpe鱈 a riziko? Je mo転n辿 dlouhodob spol辿hat na jednofaktorovou bezpenost e邸en鱈 mobiln鱈ch bankovnictv鱈?
The document is a collection of aerial photographs of London at night that showcase various landmarks and areas of the city, including the financial district, Big Ben, Oxford Circus, The Gherkin, Tower Bridge, Waterloo Station, the London Eye, Canary Wharf, Emirates Stadium, and Piccadilly Circus.
V informan鱈 spolenosti je st叩le d哲le転itj邸鱈 nejen dok叩zat naj鱈t informace a zpracovat je, ale tak辿 se chovat takov箪m zp哲sobem, abychom bhem tohoto procesu neohrozili ani sebe, ani druh辿 lidi. T辿ma bezpenosti se tak st叩v叩 z叩kladn鱈m pil鱈em informan鱈 spolenosti a je nezbytn辿 pro 転ivot v n鱈.
Pehled nejastj邸鱈ch rizik a slab箪ch m鱈st aplikace z hlediska bezpenosti, na kter辿 je dobr辿 se zamit a vysvtlen鱈 nejastj邸鱈ch typ哲 炭tok哲 a metod, jak se lze 炭inn br叩nit.
Bezpenost aplikac鱈 se st叩v叩 jednou z kl鱈ov箪ch obav bezpenostn鱈ch mana転er哲 a z鱈sk叩v叩 v箪sadn鱈 m鱈sto v kontextu celkov辿 ICT bezpenosti. Spolenost Corpus Solutions uspo叩dala semin叩 na t辿ma Modern鱈 principy aplikan鱈 bezpenosti, kde byly diskutov叩ny nkter辿 o転ehav辿 ot叩zky - Jak aplikan鱈 bezpenost pom叩h叩 chr叩nit business? Dok叩転e bezpenost aplikac鱈 generovat business p鱈nosy a u邸etit finann鱈 zdroje? Pro byste se mli zab箪vat aplikan鱈 bezpenost鱈 a jak辿 jsou souasn辿 standardy?
V r叩mci semin叩e byl pedstaven komplexn鱈 pohled na tuto problematiku vetn technick箪ch n叩stroj哲, kter辿 pom叩haj鱈 posunout aplikan鱈 bezpenost na kvalitativn novou 炭rove. Obsah semin叩e m哲転ete prostednictv鱈m prezentace shl辿dnout I vy.
V鱈te, 転e nev鱈te, 転e j叩 v鱈m, 転e nev鱈te?
Po pedn叩邸ce u転 budete vdt. Uk叩転u v叩m p叩r chyb, kter辿 mo転n叩 ji転 zn叩te, jen netu邸鱈te, 転e kv哲li nim zrovna v叩邸 web opou邸t鱈 data va邸e nebo va邸ich u転ivatel哲. A 転e budete bezpenost webu e邸it a転 se nco stane a 転e se je邸t nic nestalo? Jasn, tak hlavn pijte :-)
KeePass: Vyu転it鱈 ve firm叩ch a KeePass Enterprise (tvrtek, 28.7.2022)Michal ZOBEC
油
KeePass Advanced Using of Application for Administrators. Presentation from online presentation.
Pokroil辿 vyu転it鱈 aplikace KeePass pro spr叩vce. Prezentace z online pedn叩邸ky.
Link for online presentation: https://www.michalzobec.cz/zaznam-z-prednasky-keepass-vyuziti-ve-firmach-a-keepass-enterprise-ctvrtek-28-7-2022-8679
KeePass: Z叩klady, pokroil辿 vyu転it鱈 a KeePass Enterprise (tvrtek, 14.4.2022)Michal ZOBEC
油
KeePass Advanced Using of Application with global auto-type. Presentation from online presentation.
Pokroil辿 vyu転it鱈 aplikace KeePass vetn glob叩ln鱈ho samodoplov叩n鱈. Prezentace z online pedn叩邸ky.
Link for online presentation: https://www.michalzobec.cz/zaznam-z-prednasky-keepass-zaklady-pokrocile-vyuziti-a-keepass-enterprise-ctvrtek-14-4-2022-8593
Modelovani hrozeb ve vyvoji softwaru S-SDLCjuhanak
油
Threat modeling, threat assessment or threat modeling means the same. In this presentation, in czech, we are going to guide you through STRIDE methodology to identify threats (risks) in your software development.
2. 2
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
3. 3
O em pedn叩邸ka nebude!
O obecn箪ch bezpenostn鱈ch metodik叩ch
O fyzick辿m p鱈stupu osob k po鱈ta哲m, server哲m, 炭lo転i邸t鱈m dat apod.
O pravidlech, kde se maj鱈 uskladovat z叩lohovan叩 data
O tom, co je nap. redundantn鱈 zdroj, geo-
cluster, rootkit, backdoor, nebudeme e邸it problematiku firewall哲, antiviry
apod.
O hodnocen鱈 rizik, jak se takov叩 anal箪za prov叩d鱈
O s鱈le bezpenostn鱈ch mechanism哲, kl鱈哲, hesel atd.
O z叩t転ov辿m testov叩n鱈 aplikac鱈 (MS TFS, HP LoadRunner, JMeter a spol.)
O stupn鱈ch zabezpeen鱈 OS (Common Criteria)
O pr叩vn鱈 a ekonomick辿 str叩nce bezpenosti
O soci叩ln鱈m in転en箪rstv鱈 (pette si Kevina Mitnicka )
Problematika bezpenosti je velice komplexn鱈 oblast, proto se budeme na
pedn叩邸ce vnovat jen jej鱈 mal辿 叩sti
4. 4
O em pedn叩邸ka bude!
Na co si d叩t z bezpenostn鱈ho hlediska pozor pi
n叩vrhu, programov叩n鱈, testov叩n鱈, konfiguraci a provozu aplikace
ada bezpenostn鱈ch incident哲 je zp哲sobena chybou v aplikaci, jej鱈
邸patnou konfigurac鱈 nebo nastaven鱈m provozn鱈ho prosted鱈
Toto v邸echno lze relativn jednodu邸e ovlivnit!
5. 5
Co byste mli vdt o bezpenosti?
Bezpenost je nikdy nekon鱈c鱈 proces!
100% spolehliv辿 zabezpeen鱈 IS neexistuje, je nutn辿 po鱈tat se selh叩n鱈m!
Je obt鱈転n辿 pipravit aplikaci na ka転d箪 potencion叩ln鱈 炭tok
Nejslab邸鱈m l叩nkem ka転d辿ho IS je obvykle jeho u転ivatel
Zabezpeen鱈 mus鱈 b箪t integr叩ln鱈 sou叩st鱈 z叩kladn鱈ho n叩vrhu syst辿mu!
rove (m鱈ra) zabezpeen鱈 v転dy ovlivuje v箪slednou cenu aplikace
Anal箪za bezpenostn鱈ch rizik (nap. dle ISO) se proto prov叩d鱈 ve spolupr叩ci
se zadavatelem (z叩kazn鱈kem)
Nejcennj邸鱈 叩st鱈 IS jsou obvykle ulo転en叩 data!
I chybn叩 implementace bezpenostn鱈ch pravidel je lep邸鱈 ne転 転叩dn叩!
Dejte si pozor na vnitn鱈ho nep鱈tele! Je jednodu邸邸鱈 pesvdit nkoho
s vnitn鱈m opr叩vnn鱈m, ne転 to v邸echno dlat s叩m zvenku
6. 6
Program叩torsk箪 pud sebez叩chovy z叩kladn鱈 pravidla
Nikdy nevte dat哲m od klient哲!
Udlujte pouze nejnutnj邸鱈 p鱈stupov叩 pr叩va, v鱈ce 炭rovn鱈 = v鱈ce hesel
V転dy pou転鱈vejte nejjednodu邸邸鱈 e邸en鱈 (minimalismus)
Nikdy nezakl叩dejte bezpenost na utajen鱈!
Chrate citliv辿 炭daje (nap. 邸ifrov叩n鱈m), neveejn辿 informace um鱈stte
mimo veejnou oblast
Instalujte jen nejnutnj邸鱈 SW
Hl鱈dejte si bezpenostn鱈 d鱈ry v pou転鱈van辿m SW
Pesute weby na nesyst辿mov箪 disk
Sledujte logy a statistiky
7. 7
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
8. 8
Z叩kladn鱈 pojmy
Identifikace Kdo jsi?
Autentizace Proces oven鱈 identity (jm辿no a heslo, certifik叩t apod.)
Autorizace Opr叩vnn鱈 k pou転it鱈 konkr辿tn鱈 slu転by
SSO (Single Sign-On) u転ivatel se jednou pihl叩s鱈 (prok叩転e identitu)
a v r叩mci jedn辿 relace z鱈sk叩 p鱈stup k r哲zn箪m aplikac鱈m (b転n辿 u tzv.
port叩lov箪ch slu転eb)
e邸en鱈 obvykle vyu転鱈v叩 https, tzv. adres叩ov辿 slu転by (nap. LDAP, OIM)
a centr叩ln鱈 Federan鱈 server, kter箪 autentizaci u転ivatele zaji邸泥uje a vyd叩v叩
jednotliv箪m aplikac鱈m tzv. SAML token s p鱈slu邸n箪mi 炭daji o u転ivateli
Vlastn鱈 autorizaci si obvykle pro ka転d辿ho autentizovan辿ho u転ivatele zaji邸泥uje
ka転d叩 aplikace sama!
9. 9
Z叩kladn鱈 pojmy II.
Symetrick叩 komunikace spolen箪 kl鱈 pro ob strany
HMAC kontroln鱈 souet (hash) pen叩邸en箪ch informac鱈 se sol鱈 (n叩hodn辿 znaky)
Nen鱈 nepopirateln叩 (kl鱈 je zn叩m obma komunikuj鱈c鱈m stran叩m)
Nesm鱈 doj鱈t ke kompromitaci kl鱈e, pozor na vnitn鱈ho nep鱈tele!
Nez叩vis鱈 na s鱈le pou転it辿ho hash algoritmu (funguje i slab邸鱈 MD5), jde pou転鱈t GET
Asymetrick叩 komunikace pou転it鱈 dvojice RSA kl鱈哲 (private, public)
Je nepopirateln叩 (v箪jimkou je zapen鱈 doruen鱈 zpr叩vy, nedostanu odpov)
Mnohem bezpenj邸鱈 zp哲sob komunikace, ale pen叩邸鱈 se v鱈ce dat (certifik叩ty)
Je nutn辿 dobe zabezpeit 炭lo転i邸t priv叩tn鱈ch kl鱈哲, nelze pou転鱈t metodu GET
Digit叩ln鱈 certifik叩t datov叩 struktura identifikuj鱈c鱈 jej鱈ho dr転itele pi el.
komunikaci. B箪v叩 ulo転en buto v souboru nebo na HW za鱈zen鱈. Je uren
k podepisov叩n鱈 a 邸ifrov叩n鱈 dat. Podobu certifik叩t哲 stanovuje norma X.509
PKI (Public Key Infrastructure) prosted鱈, kter辿 umo転uje ochranu
informan鱈ch syst辿m哲, elektronick箪ch transakc鱈 a komunikace
Zahrnuje ve邸ker箪 software, technologie a slu転by, kter辿 vyu転鱈vaj鱈 邸ifrov叩n鱈
sveejn箪m a priv叩tn鱈m kl鱈em (podpis ve form叩tu PKCS7)
10. 10
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
11. 11
Autentizan鱈 mechanismy
C鱈lem je zajistit v邸em opr叩vnn箪m u転ivatel哲m bezpen箪 p鱈stup k poskytovan箪m
slu転b叩m a informac鱈m
V prosted鱈 webov箪ch aplikac鱈 (IS) jsou pou転鱈v叩ny nejr哲znj邸鱈 autentizan鱈
mechanismy >> vyu転鱈vaj鱈 se v nich jm辿na + hesla, adres叩ov辿
slu転by, certifik叩ty, PINy, biometriky apod.
Bezpen箪 p鱈stup zahrnuje nap.:
Oven鱈 identity u転ivatele 転叩daj鱈c鱈ho o p鱈stup
Autorizaci (opr叩vnn鱈) tohoto u転ivatele
Bezpen箪 (邸ifrovan箪, SSL) penos komunikace mezi u転ivatelem a serverem
Integritu ped叩van箪ch informac鱈 mezi komunikuj鱈c鱈mi stranami
Velmi popul叩rn鱈 a 炭inn辿 jsou v souasn辿 dob autentizan鱈 mechanismy zalo転en辿
na PKI, kdy ka転d箪 u転ivatel (a slu転ba) maj鱈 vyd叩n vlastn鱈 certifik叩t veejn辿ho kl鱈e
podepsan箪 d哲vryhodnou certifikan鱈 autoritou
http://www.ics.muni.cz/zpravodaj/articles/522.html
12. 12
Autentizan鱈 mechanismy v .NET
Basic Digest NTLM Kerb Certs Forms Passport
Nen鱈 nutno vytv叩et 炭et v AD Ne Ne Ne Ne A/N Ano Ano
Mo転nost pedat d叩l (delegovat) Ano Ne Ne Ano A/N Ano Ano
Nez叩visl辿 na OS/prohl鱈転ei klienta Ano Ne Ne Ne Ano Ano Ano
Heslo se pen叩邸鱈 邸ifrovan Ne Ano Ano Ano Ano Ne Ano
Vhodn辿 pro Internet Ano Ne Ne Ne Ano Ano Ano
Vhodn辿 pro intranet Ano Ano Ano Ano Ano Ne Ne
Michal A. Val叩邸ek pedn叩邸ka ASP.NET Security, http://www.aspnet.cz
13. 13
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
14. 14
Potencion叩ln slab叩 m鱈sta v aplikaci
Klient
Webov箪 prohl鱈転e (bugy, podsouv叩n鱈 k坦du)
Komunikace
Pou転it辿 protokoly,
Odposlech komunikace,
Pesmrov叩n鱈 komunikace,
Slab辿 邸ifrov叩n鱈
Webov箪 server
Bugy, konfigurace, logy
Aplikace a data
Autentizace, opr叩vnn鱈, 鱈zen鱈 p鱈stupu, validace vstup哲 a v箪stup哲, manipulace s datab叩z鱈
http://www.slideshare.net/DCIT/bezpenos-webovch-aplikci
15. 15
Nejastj邸鱈 chyby v zabezpeen鱈 webov箪ch aplikac鱈
The top 10 reasons Web sites get hacked Jon Brodkin (InfoWorld.com)
http://www.infoworld.com/article/07/10/05/Top-10-reasons-Web-sites-get-hacked_1.html
http://www.owasp.org/index.php/Top_10_2007
https://www.owasp.org/index.php/Top_10_2010-Main
1. Cross Site Scripting (XSS) *
2. Chyby umo転uj鱈c鱈 炭toky typu SQL/Script injection *
3. Proveden鱈 邸kodliv辿ho souboru (typu exe)
4. Nechr叩nn箪 p鱈m箪 odkaz na objekt
5. Vnucen箪 po転adavek (Cross-Site Request Forgery, CSRF) *
6. nik informac鱈 a nespr叩vn辿 o邸eten鱈 chyb *
7. Naru邸en叩 spr叩va autentizace a chr叩nn箪ch komunikac鱈
8. Nezabezpeen辿 ulo転en鱈 kryptografick箪ch dat
9. Nechr叩nn叩 komunikace
10.Nepodaen箪 z叩kaz p鱈stupu na URL
16. 16
Nejastj邸鱈 chyby v zabezpeen鱈 webov箪ch aplikac鱈 II.
Nekontrolovan箪 vstup dat od u転ivatel哲 *
Nedostaten叩 vnitn鱈 kontrola (u転ivatel辿, Broken access control, integrace)
Peteen鱈 vyrovn叩vac鱈 pamti (Buffer Overflow)
Nezabezpeen辿 炭lo転i邸t dat, p鱈stup do datab叩ze
Denial of Service (DoS) *
Clickjacking (炭tok pekr箪v叩n鱈m vizu叩ln鱈ch vrstev aplikace)
Nezabezpeen叩 konfiguran鱈 spr叩va *
Nevyu転鱈v叩n鱈 log哲 *
Pozn叩mka: Velmi ast箪 je kombinovan箪 炭tok na slab zabezpeen叩 m鱈sta aplikace!
http://zdrojak.root.cz/clanky/prehled-utoku-na-webove-aplikace/
http://www.sectheory.com/clickjacking.htm
17. 17
Nekontrolovan箪 vstup dat od u転ivatel哲
Nikdy nevte vstupn鱈m dat哲m od u転ivatel哲!
Kdokoli m哲転e poslat jak叩koliv data
Chyba (aplikace, u転ivatele), neznalost, zl箪 炭mysl
Obrana
Ped vlastn鱈m zpracov叩n鱈m vstupn鱈ch dat prov叩dt jejich d哲slednou validaci, nap.:
Pi邸lo to, co oek叩v叩m?
Odpov鱈daj鱈 typy promnn箪ch?
Co d辿lka etzc哲?
Jsou zaslan辿 hodnoty p鱈pustn辿 (鱈seln鱈ky)?
Nebyl zasl叩n njak箪 nebezpen箪 obsah (kolizn鱈 znaky, SQL p鱈kazy)?
Validaci (kontrolu) vstupn鱈ch dat lze prov叩dt na stran klienta (tady m哲転u)
a na stran serveru (a tady mus鱈m!)
18. 18
Vkl叩d叩n鱈 neautorizovan辿ho k坦du (Script/SQL Injection)
Webov叩 aplikace pou転鱈v叩 zas鱈lan辿 parametry k p鱈stupu na extern鱈 syst辿my
nebo k operan鱈mu syst辿mu.
Pokud 炭ton鱈k dok叩転e tyto parametry pozmnit (nap. SQL dotaz) a pipojit
vlastn鱈 k坦d, extern鱈 syst辿m tyto p鱈kazy spust鱈 s opr叩vnn鱈mi serveru.
Obrana
Striktn鱈 typovost dat, valid叩tory, regul叩rn鱈 v箪razy ve filtrech, HTML
encoding, kontrola vstupu i v箪stupu, pou転鱈v叩n鱈 parametr哲 pro vkl叩d叩n鱈 do SQL
p鱈kaz哲
Z叩vadn箪 obsah se do aplikace m哲転e dostat nejen ze strany u転ivatele
(formul叩), ale i prostednictv鱈m integrovan箪ch aplikac鱈 tet鱈ch stran, po鱈tejte
s t鱈m!
http://cs.wikipedia.org/wiki/SQL_injection
http://www.pooh.cz/a.asp?a=2012768
http://digiweb.ihned.cz/c4-10122900-19732020-i00000_d-sql-injection-princip-a-ochrana
http://php.vrana.cz/obrana-proti-sql-injection.php
http://videoarchiv.altairis.cz/Entry/11-sql-injection.aspx
http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/
19. 19
XSS (Cross Site Scripting)
Webov叩 aplikace m哲転e b箪t pou転ita jako mechanismus pro penesen鱈 炭toku p鱈mo
do internetov辿ho prohl鱈転ee u転ivatele >> po邸le mu z叩vadn箪 k坦d, kter箪 se
v prohl鱈転ei interpretuje.
sp邸n箪 炭tok m哲転e odhalit pihla邸ovac鱈 炭daje u転ivatele, umo転nit 炭tok
na u転ivatel哲v po鱈ta nebo podvrhnout obsah str叩nky k oklam叩n鱈 u転ivatele.
Vlo転en箪 skript (m哲転e b箪t i extern鱈) m叩 p鱈stup ke cookies a pes DOM i k obsahu
str叩nky, v jej鱈m転 kontextu b転鱈!
Obrana
Validace vstupn鱈ch dat, HTML encoding, kontrola v箪stup哲 na str叩nku apod.
http://cs.wikipedia.org/wiki/XSS
http://stoyan.cz/hacking-xss/
http://ha.ckers.org/xss.html
20. 20
Vnucen箪 po転adavek (Cross-Site Request Forgery, CSRF)
Webov箪 trojsk箪 k哲, prov叩d鱈 se skryt na pozad鱈
Zfal邸ov叩n鱈 HTTP po転adavku, nap. vlo転en鱈m skriptu do tagu pro obr叩zek apod.
Nepozorovan prov叩d鱈 pod identitou u転ivatele, kter箪 na odkaz kliknul, njakou skrytou
a vt邸inou nep鱈jemnou innost
Moc se o tomto druhu 炭toku nev鱈 povdomost u転 se posledn鱈 dob zlep邸ila
Obrana
D哲sledn叩 kontrola ve邸ker箪ch vstup哲 a v箪stup哲, kontrola hlaviky HTTP REFERRER
(odkud po転adavek pi邸el >> nen鱈 100% = spoofing), v邸echny formul叩ov辿 炭daje ped叩vat
metodou POST.
http://en.wikipedia.org/wiki/CSRF
http://zdrojak.root.cz/clanky/co-je-cross-site-request-forgery-a-jak-se-branit/
http://php.vrana.cz/cross-site-request-forgery.php
http://www.soom.cz/index.php?name=articles/show&aid=382
http://www.owasp.org/index.php/Top_10_2007-A5
http://zdrojak.root.cz/clanky/html5-nova-bezpecnostni-rizika/
21. 21
nik informac鱈, nespr叩vn辿 o邸etov叩n鱈 chyb
ton鱈k se 炭mysln pokou邸鱈 vyvol叩vat chyby, kter辿 aplikace neo邸etuje korektn
D鱈ky informac鱈m o chyb se m哲転e dostat k detailn鱈m informac鱈m o cel辿m
syst辿mu, kter辿 lze n叩sledn zneu転鱈t >> z鱈skat citliv辿 informace, zak叩zat celou
slu転bu, obej鱈t bezpenostn鱈 mechanismus nebo zp哲sobit p叩d serveru
Obrana
Validace vstupn鱈ch dat
D哲sledn o邸etovat a testovat chybov辿 stavy >> pou転鱈vat v箪jimky!
Nevypisovat chybov叩 hl叩邸en鱈 tzv. z v箪roby, ale upravit je tak, aby z nich nebylo
mo転n辿 z鱈skat informace kompromituj鱈c鱈 aplikaci
Dokumentovat nastal辿 chyby do logu a pr哲b転n prov叩dt jejich kontrolu!
http://www.owasp.org/index.php/Top_10_2007-A6
22. 22
DoS 炭tok (Denial of Service)
ton鱈k m哲転e pet鱈転it syst辿m samostatn leg叩ln鱈mi po転adavky >> dal邸鱈 opr叩vnn鱈
u転ivatel辿 nemohou slu転bu nad叩le pou転鱈vat nebo k n鱈 pistupovat
Pro distribuovan辿 DoS 炭toky (DDoS) se pou転鱈vaj鱈 s鱈t tzv. bot哲 >> atak prob鱈h叩
z nkolika stovek nebo tis鱈c哲 po鱈ta哲 najednou
Obrana
Jsou-li p鱈inou chyby v aplikaci, lze je odstranit
Pi 炭toku z jednoho m鱈sta lze pou転鱈t blokov叩n鱈 IP adresy
Jinak 100% spolehliv叩 ochrana neexistuje, zvl叩邸t u distribuovan箪ch DDoS 炭tok哲
je obrana velmi obt鱈転n叩
http://cs.wikipedia.org/wiki/DDoS
http://www.lupa.cz/serialy/utoky-typu-dos/
http://www.zive.sk/default.aspx?section=44&server=1&article=250832
http://www.root.cz/zpravicky/internet-byl-napaden-silou-40-gbps
http://www.viruslist.com/en/analysis?pubid=204792068
23. 23
Nezabezpeen叩 konfiguran鱈 spr叩va
Velk辿 konfiguran鱈 n叩roky na server (OS + instalovan箪 SW) mohou m鱈t 邸patn箪 vliv
na zabezpeen鱈 webov辿 aplikace
Mnoho konfiguran鱈ch mo転nost鱈 ovlivuje i bezpenost aplikace v p鱈pad
邸patn辿ho nastaven鱈
V鱈ce mo転nost鱈 >> v鱈ce chyb >> v鱈ce bezpenostn鱈ch dr!
Obrana
Peliv叩 (pehledn叩 a zdokumentovan叩) konfigurace prosted鱈
D哲sledn叩 eliminace v箪choz鱈ch opr叩vnn鱈, 炭t哲 a hesel
Instalujte jen nutn箪 SW!
P鱈stup ke konfiguraci maj鱈 m鱈t pouze povolan辿 osoby s vlastn鱈mi 炭ty (vnitn鱈
nep鱈tel)
Sledov叩n鱈 zmn v konfiguran鱈ch souborech, nap. syst辿mem pro 鱈zen鱈 konfigurace
(spr叩vu zdrojov辿ho k坦du, verzov叩n鱈)
http://www.aspnet.cz/articles/305-sifrovani-konfiguracnich-sekci-v-asp-net
24. 24
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
25. 25
Logy
Pr叩ce s logy je nesm鱈rn d哲le転it叩!
Logovat lze v IS t辿m cokoliv a kdykoliv (v箪voj, testov叩n鱈, provoz)
Pi vhodn辿m nastaven鱈 pravidel jsou logy v箪born箪m pomocn鱈kem pi monitorov叩n鱈
aktu叩ln鱈ch nebo mo転n箪ch budouc鱈ch nedostatk哲 v zabezpeen鱈 aplikace
Je vhodn辿 zamezit neautorizovan辿 manipulaci s logy (nap. elektronick箪m podpisem)
ast辿 chyby pi spr叩v log哲
Logy nejsou pou転鱈v叩ny
Logy jsou pou転鱈v叩ny, ale nejsou prohl鱈転eny
Logy jsou ukl叩d叩ny na p鱈li邸 kr叩tkou dobu
Jsou upednostnny jen nkter辿 logy
Jsou ignorov叩ny logy aplikac鱈
Jsou prohl鱈転eny jen ty log哲, kde v鱈me, 転e jsou probl辿my
http://www.infosecwriters.com/text_resources/pdf/Six_Mistakes_of_Log_Management_AChuvakin.pdf
26. 26
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
27. 27
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du I.
Huseby, Sverre H. Zraniteln箪 k坦d, Computer Press 2006
1. Nikdy nepodceujte s鱈lu protivn鱈ka!
2. Pokud maj鱈 akce vedlej邸鱈 efekty, pou転鱈vejte pro odesl叩n鱈 po転adavk哲 metodu POST
3. Z hlediska serveru neexistuje bezpen箪 klient!
4. Nikdy nepou転鱈vejte pro ovov叩n鱈 u転ivatele nebo pro kontrolu p鱈stupov箪ch pr叩v
hlaviku REFERER
5. Pi pihl叩邸en鱈 u転ivatele zajistte v転dy vygenerov叩n鱈 nov辿ho identifik叩toru relace!
6. Nikdy nepos鱈lejte klient哲m podrobn叩 chybov叩 hl叩邸en鱈!
7. Nezapomete identifikovat ka転d箪 metaznak ped叩van箪 do subsyst辿mu
8. Metaznaky je nutno o邸etit v転dy, kdy転 pos鱈l叩te data do dal邸鱈ho subsyst辿mu
9. V転dy, kdy転 je to mo転n辿, pos鱈lejte data oddlen od 鱈d鱈c鱈ch informac鱈
10. D叩vejte pozor na interpretaci znak哲 na v鱈ce 炭rovn鱈ch
28. 28
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du II.
11. Sna転te se ze v邸ech sil uplatovat mechanismus Defense in depth (souasn辿
zabezpeen鱈 nkolika mechanismy)
12. Nikdy slep ned哲vujte dokumentaci API (nap. vstupn鱈 data)
13. Zjistte v邸echny zdroje, odkud data do aplikace vstupuj鱈
14. Pozor na neviditelnou bezpenostn鱈 bari辿ru; nezapomete v転dy kontrolovat
v邸echny vstupy
15. Pi filtrov叩n鱈 d叩vejte pednost whitelistingu ped blacklistingem
16. Nikdy neupravujte neplatn箪 vstup, abyste z nj udlali platn箪
17. Vytv叩ejte z叩znamy i na 炭rovni aplikac鱈
18. Nikdy nepou転鱈vejte pro testov叩n鱈 zabezpeen鱈 skripty b転鱈c鱈 na stran klienta
19. Pou転鱈vejte pro vstup vytvoen箪 serverem nep鱈m箪 p鱈stup k dat哲m v転dy, kdy転 je
to mo転n辿
20. Ped叩vejte klientovi o vnitn鱈m stavu co nejm辿n informac鱈
29. 29
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du III.
21. Nepedpokl叩dejte, 転e jednotliv辿 po転adavky pich叩zej鱈 v urit辿m poad鱈
22. Prov叩djte filtrov叩n鱈 v邸ech dat, a to bez ohledu na jejich p哲vod, pedt鱈m, ne転 se
data zobraz鱈 na webov辿 str叩nce
23. Nevytv叩ejte vlastn鱈 kryptografick辿 algoritmy, pou転鱈vejte existuj鱈c鱈
24. Nikdy neukl叩dejte hesla v ne邸ifrovan辿 podob
25. Nikdy nepou転鱈vejte metodu GET v souvislosti s tajn箪mi informacemi nebo
v souvislosti s identifik叩torem relace
26. Pedpokl叩dejte, 転e se zdrojov箪 k坦d na stran serveru m哲転e ocitnout v rukou
炭ton鱈k哲
27. Bezpenost nen鱈 produkt, ale proces (nikdy nekon鱈c鱈!)
30. 30
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
31. 31
Odkazy na Internetu I.
http://crypto-world.info/
http://www.owasp.org/ OWASP (The Open Web Application Security Project)
http://kryl.info/clanek/561-bezpecnostni-audit-pres-obed
http://www.interval.cz cel叩 ada l叩nk哲 a seri叩l哲 vnovan箪ch problematice bezpenosti
http://secunia.com/
http://www.securityfocus.com/
http://www.cert.org/
http://kryl.info/clanek/429-top-15-bezpecnostnich-a-hackovacich-nastroju
http://www.xssed.com/archive/special=1/
http://www.sweb.cz/jobabroad/teorie.htm teorie spoofingu
http://www.zive.cz/Clanky/Eugen-Kaspersky-a-rok-2018-Pohoda-ci-beznadej/sc-3-a-
144454/default.aspx
http://www.dbsvet.cz/view.php?cisloclanku=2008100101
http://blog.softeu.cz/europen-bezpecnost-na-webu-2008/
33. 33
Doporuen叩 literatura
Microsoft Vytv叩鱈me zabezpeen辿 aplikace v Microsoft ASP.NET,
CP Books (Computer Press) 2004
Taylor, Art; Buege Brian; Layman Randy Hacking bez tajemstv鱈: Java a J2EE, Computer Press
2003
Huseby, Sverre H. Zraniteln箪 k坦d, Computer Press 2006
Aulds, Charles Linux administrace serveru Apache, Grada 2003
Po邸mura, Vlastimil Apache P鱈ruka spr叩vce WWW serveru,
Computer Press 2002
Dost叩lek, Libor, a kol. Velk箪 pr哲vodce protokoly TCP/IP Bezpenost, Computer Press 2003
Mitnick, Kevin Umn鱈 klamu, Helion 2003
Singh, Simon Kniha k坦d哲 a 邸ifer, Argo, Doko叩n, 2003
34. 34
Agenda
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
35. 35
Z叩vr
Je velmi d哲le転it辿 si uvdomit, 転e ka転d叩 webov叩 aplikace je potencion叩ln鱈m c鱈lem pro
炭ton鱈ky a m哲転e b箪t napadena!
Znovu: Bezpenost je nikdy nekon鱈c鱈 proces!
Nic se nem叩 peh叩nt, 炭rove zabezpeen鱈 by mla odpov鱈dat charakteru aplikace
a vynalo転en箪m n叩klad哲m. Nem叩 smysl utr叩cet v鱈ce, ne転 z鱈sk叩te.
Dobr箪 admin nemus鱈 b箪t paranoidn鱈. Ale hodn to pom叩h叩. Michal A. Val叩邸ek
36. 36
Souhrn
Bezpenost?
Z叩kladn鱈 pojmy
Autentizan鱈 mechanismy
Nejastj邸鱈 chyby v zabezpeen鱈
Logy
Pravidla pro vytv叩en鱈 bezpen辿ho k坦du
Internet, doporuen叩 literatura
Z叩vr
