SIGURNOST RAČUNALA I PODATAKA

Skripta s odgovorima na ispitna pitanja

2

Sadržaj 1. Što je informacijski sustav? .................................................................................................................. 3

2. Koji su zadaci informacijskog sustava? .................................................................................................. 3

3. Koji su najčešći oblici zloporabe informacijske tehnologije? ................................................................... 3

4. Opisati organizaciju zaštite informacijskog sustava u fazi planiranja sustava. ....................................... 4

5. Opisati organizaciju zaštite informacijskog sustava u fazi izvedbe sustava............................................... 4

6. Opisati metodologiju "dubinske obrane". ............................................................................................. 5

7. Što čini Windows operacijski sustav interesantan za napadače?............................................................. 6

8. Navesti postupke kojima se ojačava Windows radna stanica.................................................................. 6

9. Koje aplikacije se prve trebaju instalirati na ojačanu radnu stanicu? ....................................................... 6

10. Opisati postupak postavljanja Windows radne stanice na mrežu. ......................................................... 8

11. Koje su preporuke za osiguravanje fizičke sigurnosti radne stanice? ..................................................... 8

12. Navesti pravila kod postavljanja (što administrator treba unaprijed odrediti) i odabira lozinki ( kakve lozinke treba korisnik koristiti)................................................................................................................. 9

13. Koji se postupci moraju provoditi u fazi korištenja računala? ..............................................................10

14. Koji se zapisi trebaju bilježiti u sistemskim dnevnicima? .....................................................................10

15. Opisati viruse i njihove karakteristike. ...............................................................................................12

16. Opisati crve i njihove karakteristike. ..................................................................................................12

17. Opisati trojanske konje i njihove karakteristike. .................................................................................12

18. Opisati spyware i adware i navesti zašto mogu biti opasni. .................................................................13

19. Koji problemi mogu nastati kod skrivanja ekstenzije datoteka u Windowsima? ....................................13

20. Opisati napad otimanjem veze i ponovnim puštanjem sesije...............................................................13

21. Opisati metodu socijalnog inženjerstva..............................................................................................13

22. Opisati karakteristike koje Unix čine interesantnim za napadača. ........................................................15

23. Opisati karakteristike koje Unix čine sigurnim sustavom. ....................................................................15

24. Koja pravila vrijede za izbor usluga koje će Unix radna stanica pružati? ...............................................15

26. Navesti zašto su web preglednici čest cilj napadača............................................................................16

29. Što je SSL i zašto ga se koristi?...........................................................................................................17

30. Koji su postupci koje bi korisnik trebao provesti da bi osigurao web preglednik?..................................18

3

1. Što je informacijski sustav?

Informacijski sustav je dio svakog poslovnog sustava.

Njegova uloga je ospskrba svih razina poslovnog sustava sa potrebnim infromacijama

Nepohodan je za svakodnevno poslovanje.

*poslovni sustav: organizacijski sustav kojeg opisuje skup informacija o prošlosti i sadašnjosti i poslovnih procesa koji ih obrađuju

2. Koji su zadaci informacijskog sustava?

Zadaci informacijskog sustava su prikupljanje, razvrstavanje, obrada , čuvanje i

opskrba informacija svim razinama poslovnog sustava.

3. Koji su najčešći oblici zloporabe informacijske tehnologije?

Najčešći oblici zloporabe informacijske tehnologije u praksi su:

- zloporaba inače legalnih ovlasti korisnika opreme - napadi tzv. Hakera - računalni virusi - ilegalni fizički pristup opremi i podacima

- djelomično ili potpuno onesposobljavanje opreme - krađa opreme, modifikacije opreme

- ugrožavanje privatnosti korisnika informacijskog sustava

- krađa programa, tj. neovlašteno korištenje i distribucija računalnih programa i povreda autorskih prava

4

4. Opisati organizaciju zaštite informacijskog sustava u fazi

planiranja sustava.

Budući da organizacija poslovanja utječe na organizaciju zaštite sustava,

zaštita se mora planirati u fazi razvoja. Određuju se ciljevi zaštite informacijskog sustava na način:

1. Popisuju se poslovni procesi u poslovnom sustavu i određuju kritični. To su oni koji

mogu biti zloupotrebljeni te oni koji služe za ponovnu rekonstrukciju i oporavak sustava.

2. Popisuju se klase podataka koje se koriste u poslovnom sustavu; određuje se

razina potrebne zaštite i tajnosti za svaku od njih.

5. Opisati organizaciju zaštite informacijskog sustava u fazi izvedbe sustava.

U fazi izvedbe informacijskog sustava se:

- u baze podataka ugrađuju kontrole omogućene sustavom za upravljanje bazom

- Izrađuju se aplikacije i procedure, poštujući pravila zaštite definirana u fazi planiranja.

Pri uvođenju nove organizacije poslovanja uvodi se i organizacija zaštite sustava. Procjenjuju se učinci uvedene zaštite novog informacijskog sustava.

5

6. Opisati metodologiju "dubinske obrane".

"Dubinska obrana" je opća metodologija čiji je cilj usporiti i zaustaviti napadača korištenjem slojevite zaštite sustava. Ne ovisi o samo jednoj točki na kojoj se

implementira sigurnost. Ova metodologija daje administratoru vremena da otkrije napad i da reagira na njega.

• upravljanje korisnicima: praćenje i obuka korisnika je preduvjet za uspješno provođenje ostalih nivoa sigurnosti

• ojačavanje računala: osnovne instalacije operacijskih sustava su prve točke napada pa ih triba ojačati.

• odvajanje VLAN-ova: npr. nitko osim djelatnika računovodstva ne smije imati

pristup računalima za obradu plaća

• odvajanje poslužitelja: poslužitelji moraju biti u prostoru povećane sigurnosti

• WAN odvajanje: uspostaviti pristupne liste tko smije pristupati poslužiteljima

• odvajanje korisnika: pretpostaviti da su svaki korisnik i svako računalo izvan

organizacije nesigurni

• Internet perimetar: Internet ugrožava, ali najveći broj napada dolazi iznutra

6

7. Što čini Windows operacijski sustav interesantan za napadače?

Računala s Windows operacijskim sustavom predstavljaju većinu korisnika. Budući da se Windowsi lako instaliraju oni ne zahtijevaju gotovo nikakvo tehničko

znanje korisnika. Iako Windowsi pružaju korisniku ono što mu treba, sadrže i usluge ili aplikacije koje korisniku ne trebaju.

Napadači se oslanjaju na činjenicu da će korisnici ostaviti svoje Windows računalo s kupljenom instalacijom, koja uključuje sve dodatke. Napadači uzmu istu instalaciju i pokušavaju naći ranjivost. Ukoliko uspiju imaju

milijune potencijalnih žrtvi.

8. Navesti postupke kojima se ojačava Windows radna stanica.

Generalni postupak ojačavanja sustava:

• ustanoviti svrhu radne stanice (tko je koristi, u koju svrhu, gdje će stanica biti

postavljena)

• instalirati čistu verziju operacijskog sustava (dokumentirati promjene i

napraviti sliku sustava)

• ukloniti sve nepotrebne servise (ponovno dokumentirati promjene i napraviti

sliku sustava)

- korištenje vatrozida

- preuzimanje i instaliranje zakrpi - korištenje ažuriranog sustava

- isključiti sve nepotrebne servise - ne koristiti servise koji se koriste nesigurnim protokolima (telnet,ftp) - uz NFS , koristiti EFS

- onemogućiti NetBios preko TCP/IP - prava korisničkih grupa sredit

9. Koje aplikacije se prve trebaju instalirati na ojačanu radnu

stanicu?

Prvo što se treba instalirati je antivirusna aplikacija jer ukoliko se računalo zarazi,

može ga biti vrlo teško, a ponekad i nemoguće očistiti. Vrši se i instalacija osobnog vatrozida čiji je glavni zadatak da blokiraju dolazni i

odlazni promet s računala (pravilna postavka bi bila blokirati sve što dolazi i odlazi s

računala, a nakon toga pažljivo birati koji promet propustiti). Također se instalira i Secure Shell (SSH), program koji omogućava spajanje na

udaljeno računalo te osigurava veze uspostavljene preko mreže enkriptirajući sav

promet (podatke i lozinke). Ovaj program podržava RSA baziranu metodu

7

autentikacije (enkripcija i dekripcija obavlja se korištenjem odvojenih ključeva) te

podržava prosljeđivanje priključnih točaka čime mu se znatno proširuje uporaba. Instalira se Secure FTP (sFTP), klijent za prijenos datoteka između radne stanice i

FTP poslužitelja. On koristi iste enkripcijske i autentikacijske metode kao i SSH -

implementacija FTP-a preko SSH. Osim prijenosa, sFTP omogućava i brisanje datoteka, promjenu imena, stvaranje i

brisanje pretinaca te promjenu prava pristupa korisnika.

8

10. Opisati postupak postavljanja Windows radne stanice na mrežu.

Dobro ojačanu radnu stanicu na mrežu je potrebno staviti u sigurni segment (ovo podrazumijeva da je mreža već dizajnirana i konstruirana na siguran način). Računalo se treba postaviti u najsigurniji dio koji mu i dalje omogućava obavljati sve

funkcije za koje je namijenjeno.

Tipičan primjer arhitekture mreže:

Najmanje siguran dio je DMZ (demilitarizirana zona). Računala u ovom dijelu

moraju biti posebno očvrsnuta, ne smiju sadržavati nikakve osobne ili osjetljive podatke (ukoliko računalo mora pružati takve informacije, one se moraju dohvaćati

iz sigurnijeg dijela mreže u zadnji čas) i moraju imati instalirano minimum potrebnih aplikacija.

Sljedeći dio je intranet poduzeća. Najsigurniji dio je privatni segment koji sadrži osobne i osjetljive podatke.

11. Koje su preporuke za osiguravanje fizičke sigurnosti radne stanice?

Radne stanice koje se ne koriste treba osigurati. Preporučuje se isključivanje radnih stanica van radnog vremena.

Ukoliko radna stanica treba ostati uključena,preporučuje se odspojiti je s mreže (odspojiti je na vatrozidu uklanjajući mrežne konekcije, dodati pravila na vatrozidu koja onemogućavaju promet nakon radnog vremena, odspojiti kabel ili onemogućiti mrežno

sučelje). Ne dozvoliti pristup strancima.

9

12. Navesti pravila kod postavljanja (što administrator treba

unaprijed odrediti) i odabira lozinki (kakve lozinke treba korisnik koristiti).

• određeno maksimalno trajanje lozinke (90 do 180 dana)

• određeno minmalno trajanje lozinke (0 do 15 dana)

• minimalna duljina lozinke (8 do 14 znakova)

• uključena opcija da lozinka mora imati određenu kompleksnost

• pohrana lozinki korištenjem reverzibilne enkripcije mora biti isključena

• dovoljno duga (preporuka 14 znakova) – upotreba passphrase-a

• nikad ne koristiti istu lozinku na dva različita sustava

• ne koristiti lozinku koju napadač može lako pretpostaviti

lozinku treba ispravno upotrebljavati:

• lozinku treba znati samo korisnik

• ukoliko se lozinka sustavno dodjeljuje, obavezno je promijeniti

• promijeniti sve predefinirane lozinke

• sustav ne smije dozvoliti da lozinka ne postoji

• lozinka se ne smije nigdje pojaviti napisana

• ukoliko se sprema u digitalnom obliku mora bit enkriptirana

• ukoliko se lozinka mora nekome reći, mora se promijeniti čim ta potreba prođe

lozinka mora biti pravilno postavljena:

• minimum 8 znakova

• moraju biti miješana slova, brojevi i specijalni znakovi

• ne smije sadržavati: korisničko ime, vlastito ime ili prezime, telefonski broj,

jmbg/broj osobne iskaznice, adresu, datum rođenja, akronim organizacije ili radne grupe, riječ (pogotovo engleskog govornog područja), više od 4

istovrsna znaka zaredom (4 slova, 4 brojke...)...

• ne smije se moći ponovno upotrijebiti

10

13. Koji se postupci moraju provoditi u fazi korištenja

računala?

Nakon što je radna stanica ispravno instalirana i postavljena u mrežu, može se

koristiti. Pri tome je bitno koristiti je na siguran način. Ukoliko je korisnik koristi na nesiguran način, može napraviti sustav ranjivim.

• radne stanice koje se ne koriste treba osigurati (isključivanje radnih stanica

van radnog vremena ili ukoliko radna stanica treba ostati uključena, odspojiti je s mreže)

• ne dozvoliti neovlašteni pristup računalu

• antivirusna aplikacija (instalacija, konfiguracija, skeniranje, redovito

ažuriranje)

• upravljanje korisničkim računima (potrebno je povremeno provjeravati prava

korisnika)

• provjera aplikacija na sustavu (uklanjanje potencijalno opasnih aplikacija s radne stanice, redovito provjeravati zakrpe potrebnih aplikacija, upotrebljavati

sigurnije verzije aplikacije)

• minimizirati uporabu administratorskog korisničkog računa

• nametnuti sigurno korištenje podataka

• izbjegavati viruse, crve, trojance (ne otvarati poruke od nepoznatih

pošiljatelja, priloge otvarati samo ako se očekuju, ne slijediti nikakve linkove u porukama tipa: "Pogledaj ovo"...)

• lozinke ispravno upotrebljavati

• lozinka mora biti pravilno postavljena

• ograničiti upotrebu NetBIOS-a (koristi se za komunikaciju računala na

lokalnoj mreži )

• izbjegavati NULL veze (veze postavljene bez autentifikacije)

• provoditi redovitu izradu zaštitnih kopija

14. Koji se zapisi trebaju bilježiti u sistemskim dnevnicima?

Administrator bi trebao uključiti što je više moguće opcija bilježenja zapisa, a da to ne utječe na performanse sustava. Zapise je potrebno redovito pratiti. Neki od najvažnijih

zapisa su:

• zapisi podizanja sustava

• neuspjeli pokušaji pristupa

• promjenu kritičnih datoteka

• prava na kritičnim datotekama

• greške koje dojavljuju aplikacije

• dnevnici elektoničke pošte

• …

Učestalost praćenja zapisa ovisi o položaju stanice unutar mreže: Ukoliko je stranica u DMZ – dnevno

Unutar mreže, iza vatrozida – tjedno

11

U nedostupnom privatnom dijelu – mjesečno

12

15. Opisati viruse i njihove karakteristike.

Virus je dio koda koji se ubacuje u aplikaciju.

Kao i biološki virus, ne može se sam širiti, već treba aplikaciju ili datoteku koja će ga

dalje rasprostirati. Prvobitne verzije virusa zarazile bi boot sektor diskete te su se ovi virusi širili dijeljenjem disketa. Neki se virusi mogu zakačiti na korisničke datoteke, npr.

tekstualne ili tablične te iskorištavaju mogućnost pokretanja skripti unutar datoteka. Kod virusa ima ista prava kao i aplikacija koja ga udomljuje.

E-mail virusi se šire od računala do računala kao dijelovi poruke. Mogu biti prilozi

koji se moraju otvoriti ili skripte koje se same mogu pokrenuti. Isključujući

mogućnost pokretanja Visual Basic skripti, onemogućuje se i aktiviranje ovakvih virusa.

16. Opisati crve i njihove karakteristike.

Crv je kod koji ima mogućnost razmnožavanja i širenja na druga računala.

Može sadržavati i kod koji može biti destruktivan. Mora iskoristiti ranjivost na računalu da bi se pokrenuo.

Najbolja zaštita je redovito održavanje sustava instalacijom zakrpi i nadogradnji i

minimiziranje broja usluga na računalu (npr. ako radna stranica ne treba pružati

uslugu web stranica, potrebno je ukloniti IIS).

17. Opisati trojanske konje i njihove karakteristike.

Trojanski konj je program koji se maskira kao jedna aplikacija, a skriveno obavlja drugu funkciju. Korisnici vjeruju da pokreću stvarnu aplikaciju, npr. screensaver, aplikacija se zaista pokreće, ali u pozadini može obavljati cijeli niz funkcija.

Ne mogu se sami razmnožavati. Oslanjaju se na korisnike koji pristaju pokretati izvršne programe iz nepouzdanih izvora. Time to postaje više problem socijalnog

inženjeringa (kako navesti korisnika da pokrene aplikaciju).

13

18. Opisati spyware i adware i navesti zašto mogu biti opasni.

Spyware je grupa aplikacija koje skupljaju informacije o radnim stanicama i korisnicima. Informacije se šalju natrag onom tko je razvio aplikaciju s ciljem

pripreme reklama ili redizajniranja marketinških kampanja. Spyware predstavlja još veću prijetnju jer podaci sadrže informacije o osobi, npr. e-mail adresu za slanje spama ili broj telefona za anketiranje.

Izraz spyware također se odnosi i na skup aplikacija koje su namijenjene nadzoru korisničke aktivnosti u prikrivenom obliku.

Informacije koje su mogu prenijeti:

• tipke koje je korisnik pritisnuo (hvatanje lozinke ili drugih osjetljivih podataka)

• kopije poruka

• kopije instant messenger poruka

• slike ekrana

• ostale informacije (vrijeme logiranja, korištenje aplikacije, posjećene web stranice)

19. Koji problemi mogu nastati kod skrivanja ekstenzije

datoteka u Windowsima?

Windows sustavi imaju mogućnost skrivanja ekstenzije datoteke od korisnika, što bi trebalo sustav napraviti ugodnijim i prijateljskijim. Glavni problem do kojeg dolazi kod skrivanja ekstenzija je taj što korisnik može

misliti da se radi o jednom tipu datoteke, a prava ekstenzija je ostala skrivena. Stoga je preporuka isključitit skrivanje ekstenzije.

20. Opisati napad otimanjem veze i ponovnim puštanjem

sesije.

Otimanje veze (hijacking) nastaje kad se TCP/IP veza prati i hvata.

Svaka veza ima izvor i odredište. Napadač hvata promet od izvora te modificira uhvaćeni promet na način da sam napadač izgleda kao odredište.

Time se postiže da sav budući promet ide napadaču. zatim

Ponovno puštanje sesije (session replay) je vrsta napada u kojemu se veza uhvati,

snimi i zatim ponovno pušta, po potrebi modificirana.

21. Opisati metodu socijalnog inženjerstva.

Socijalno inženjerstvo je metoda kojom se dobiju vrijedne informacije o sustavu od strane osoblja. Napadač koristi malo unutrašnjih informacija da bi zadobio

povjerenje žrtve. Na taj način od žrtve dobije sve daljnje potrebne informacije.

14

Uvijek se treba pretpostaviti da će napadač uvijek željeti koristiti socijalni

inženjering. Socijalni inženjering je napad od kojeg je najteže obraniti se. Unatoč najboljoj obuci, ljudi će, u želji da posao što bolje naprave, otkriti povjerljive informacije.

15

22. Opisati karakteristike koje Unix čine interesantnim za

napadača.

Linux (kao i većina drugih Unix operacijskih sustava) je open source operacijski

sustav što znači da je proizvod dostupan zajedno sa svojim operacijskim kodom. Dostupnost koda može značiti da napadač može lakše pronaći ranjivost i iskoristiti je. S druge strane, dobronamjerni korisnici mogu ispitati kod i uočiti iste ranjivosti te

doprinijeti povećanju sigurnosti. Instalaciju je lako nabaviti jer je ona najčešće besplatna i dostupna te se upravo

zbog tog razloga ovi operacijski sustavi koriste za eksperimentiranje. Postoji velik broj alata za napad jer se većina mrežnih alata originalno razvila na Unixu, a zatim je prenesena na druge operacijske sustave.

Neki od besplatnih mrežnih alata koje napadači koriste za istraživanje ranjivosti su:

tcpdump, Ethereal, tcpreplay, nmap, Nessus i slično.

23. Opisati karakteristike koje Unix čine sigurnim sustavom.

• Postoji mnogo različitih verzija. Iako se kodovi i alati mogu lako transportirati

s jednog sustava na drugi, ranjivosti su najčešće ograničene na pojedinu implementaciju.

• Unix još uvijek nije popularan operacijski sustav za same radne stanice i osobna računala te se još uvijek pretežno koristi za poslužitelje i razvojne

platforme.

• Korisnici ovih sustava su često tehničke i stručne osobe s boljim poznavanjem sustava i sigurnosti.

• Napadači idu linijom manjeg otpora i radije napadaju sustave gdje korisnici imaju manje znanja.

• Skripte se ne mogu lako pokretati.

• Korisnička prava na datotekama ograničavaju širenje zloćudnih aplikacija.

24. Koja pravila vrijede za izbor usluga koje će Unix radna

stanica pružati?

Kod napada na Unix radnu stanicu, jedan od mogućih napada je napad na usluge

koje računalo pruža. Stoga je, da bi računalo bilo što sigurnije, potrebno limitirati broj usluga koje računalo pruža.

Razlikujemo tri kategorije usluga:

• usluge koje trebamo izbjeći ukoliko je to moguće: neke usluge su neizbježno

opasne i trebale bi biti korištene samo ukoliko nema nikakve druge zamjene (FTP,NFS,nfslock,rnaredbe)

• usluge koje možemo koristiti ukoliko je to potrebno: manja grupa usluga je

vjerojatno prihvatljiv rizik za mogućnosti koje pružaju

16

• usluge koje su vjerojatno nepotrebne: većina usluga spada u ovu kategoriju;

to su usluge koje mogu biti korisne, ali ih većina računala ne treba

25. Opisati način kontrole korisnika pomoću prava na datotekama. Korisnik će imati jedno od sljedećih prava na datoteci:

• korisnik,

• grupa

• ostali

Uobičajeno, kad korisnik izvodi program, tada je to pod istim pravima kakva ima sam korisnik.

Ponekad pokrenuti procesi moraju imati root prava iako ih je pokrenuo sam korisnik. Proces ima prava vlasnika kad je na izvršnoj datoteci postavljena set UID (SUID) zastavica.

Samo root može postavljati UID zastavicu.

26. Navesti zašto su web preglednici čest cilj napadača.

Web preglednici čine usluge na Internetu dostupnima, pogodnima i produktivnima.

Korisnici se najveći dio vremena služe web preglednicima i klijentima za elektroničku poštu. Preglednici su omogućili jednostavno korištenje usluga, a

osnovne karakteristike preglednika su pogodnost, produktivnost i popularnost. Karakteristike preglednika koje korisniku pružaju ugodnost pri korištenju donose i sigurnosne rizike. Sve to ih čini primarnim ciljem napadača.

27. Koji su rizici kojima su izloženi web preglednici?

Rizici kojima su izloženi web preglednici se mogu grupirati u sljedeće kategorije:

• nesigurni web poslužitelji: svi podaci koje korisnici unose, završavaju na poslužitelju. Može se pretpostaviti da je poslužitelj siguran, ali za to nema garancije. Korisnik se može osigurati jedino ako ne upisuje osjetljive podatke.

• preglednik može pokrenuti zloćudni kod u obliku skripti ili izvršnih datoteka

• napadač može hvatati promet na mreži: zaštitu osigurava enkripcija podataka

(korištenjem SSL-a)

• napadač može pokrenuti "man-in-the-middle" napad

17

28. Opisati cookie-je i način na koji oni mogu ugroziti sigurnost

korisnika. Cookie je uređaj za pohranu informacija kojeg stvara web poslužitelj da bi pohranio

podatke o korisniku koji posjećuje web lokaciju. To je ASCII datoteka koju poslužitelj pošalje klijentu i klijent je lokalno pohranjuje. Postoje dvije vrste cookie-ja:

• postojani: preživljava gašenje računala, a pohranjuje se u datoteci cookies.txt koju mogu čitati korisnik i administrator. Mogu sadržavati osjetljive

informacije.

• nepostojani: čuvaju se u memoriji i gube se pri nestanku napajanja

Cookie-ji ne mogu sadržavati aplikacije (viruse, crve, ...) pa ne predstavljaju sigurnosnu prijetnju, ali ugrožavaju osjetljive podatke. Ne mogu se upotrijebiti za traženje osjetljivih podataka na računalu, ali osjetljivi podaci su mogli u nekom

trenutku biti uneseni u formu na web stranici i spremljeni u cookie. Dobra je praksa isključiti cookie-je (većina lokacija radi normalno i bez cookie-ja),

vraćati cookie-je samo izvornoj domeni, prisiliti sve cookie-je da budu nepostojani te povremeno brisati sve cookie-je ukoliko je bilo postojanih.

29. Što je SSL i zašto ga se koristi?

SSL (Secure Socket Layer) je protokol koji omogućava enkripciju prometa između preglednika i poslužitelja.

Koristi enkripciju s javnim ključem za izmjenu simetričnih ključeva između klijenta i poslužitelja. Svaka transakcija koristi drugi ključ (ukoliko je enkripcija za jednu

transakciju razbijena, druge su još uvijek zaštićene). Na ovaj način se komunikacija može odvijati preko nesigurnih mreža, održava se nepovredivost prenesenih podataka, osigurava se povjerljivost te se može

poboljšati autentikacija web lokacije.

18

30. Koji su postupci koje bi korisnik trebao provesti da bi

osigurao web preglednik?

Korisnik bi trebao:

• kontinuirano pratiti zakrpe i instalirati najnovije verzije

• izbjegavati viruse i koristiti antivirusne programe

• koristiti sigurne lokacije (lokacije koje koriste SSL) i paziti na davanje informacija (JMBG, adrese, telefone, brojeve kreditnih kartica)

• koristiti sigurnosni proxy

Opće preporuke:

• pažljivo mijenjati konfiguraciju preglednika (ne postavljati automatsko otvaranje izvršnih datoteka i ne uključiti podržavanje makroa i skripti)

• nikad naslijepo otvarati programe skinute s Interneta

• posjećivati samo sigurne lokacije

• paziti na odabir početne stranice

• ne vjerovati linkovima

• izbjegavati upotrebu preglednika na računalima s osjetljivim podacima

• čuvati osobne podatke

• koristiti jače enkripcije

• upotrebljavati rjeđe korištene preglednike

• minimizirati upotrebu plugin-ova

• minimizirati upotrebu cookie-ja

• biti svjestan gdje se pohranjuju privremene datoteke

cookies :

- isključiti cookije i eventualno ih dopustiti samo za pojedine lokacije

- vraćati cookie samo izvornoj domeni - prisiliti sve cooki-je da budu nepostojani - povremeno brisati sve postojane cookie

31. Koji su razlozi da aktivni sadržaji na web poslužitelju

predstavljaju sigurnosni rizik?

Aktivni sadržaj na poslužitelju sastoji se od izvršnih datoteka koje se izvršavaju na

poslužitelju i onih koje se izvode na klijentu. One koje se izvršavaju na klijentskom računalu predstavljaju najveću potencijalnu

opasnost.