Vulnerabilities and threats to the information system

1. RRaannjjiivvoossttii ii pprriijjeettnnjjee
iinnffoorrmmaacciijjsskkoogg ssuussttaavvaa
VVeelleeuuččiilliiššttee VVeelliikkaa GGoorriiccaa
Očuvanje podataka i neprekidnost poslovanja
Anđelko Markulin

2. DDeeffiinniicciijjee ppoojjmmoovvaa
prijetnje
◦ ljudske
 namjerne
 slučajne
◦ prirodne
ranjivosti – proizlaze iz slabosti:
◦ fizička sigurnost
◦ organizacija
◦ interni akti
◦ zaposlenici
◦ upravljačka struktura
◦ hardver
◦ softver
◦ informacije

3. MMeeđđuunnaarrooddnnii pprraavvnnii ookkvviirr
Predsjednik SAD-a
 2004.: Predsjednička direktiva o domovinskoj
sigurnosti 12 (HSPD-12)
Nacionalni institut za standarde i tehnologiju
SAD-a (NIST)
 2005.: Državni standard za obradu informacija
201-1 (FIPS 201-1)
 2008.: Smjernice za akreditiranje izdavatelja osobnih
identifikacijskih kartica (NIST (SP) 800-79)

4. HHrrvvaattsskkii pprraavvnnii ookkvviirr
Zakon o informacijskoj sigurnosti
 "Narodne novine", broj 79/2007
 članak 7.
 “Mjere informacijske sigurnosti propisat će se uredbom
koju donosi Vlada Republike Hrvatske...”
Uredba o mjerama informacijske sigurnosti
 "Narodne novine", broj 46/2008
 članak 54.
 “Kontrola uporabe informacijskih sustava
podrazumijeva ... provođenje analiza ranjivosti
informacijskog sustava”

5. KKoonnttrroollnnee lliissttee
Kontrolna lista za provjeru sigurnosti
konfiguracije (security configuration checklist)
◦ konfiguracijske datoteke
◦ dokumentacija
◦ preporučeni postupci
◦ pisane politike

6. KKoonnttrroollnnee lliissttee
Primjer kontrolne liste za Windows Vista i XP
(prikazano samo 11 od 229 politika)

7. AAllaattii zzaa pprroovvjjeerruu rraannjjiivvoossttii IISS--aa
Nmap
Microsoft
Baseline
Security
Analyzer
Nessus
Nikto

8. PPeenneettrraacciijjsskkoo tteessttiirraannjjee
Ciljevi testiranja
Plan testiranja
◦ naslijepo
◦ specifično
Primjer testiranja (Outscan)
◦ otkrivanje sjedišta
◦ skeniranje portova
◦ određivanje protokola
◦ određivanje operativnog sustava i aplikacije

9. Zaključak
1. Što su ranjivosti informacijskog sustava?
2. Što su kontrolne liste za provjeru sigurnosti
konfiguracije?
3. Što je penetracijski test?

10. Zaključak
1. Što su ranjivosti informacijskog sustava?
2. Što su kontrolne liste za provjeru sigurnosti
konfiguracije?
3. Što je penetracijski test?