SIGURIA NË TI

Universiteti i Prizrenit

Fakulteti i Shkencave Kompjuterike

Dega: SD

20.10.2012

Nga ora e kaluar

• Përsëritje

• A ka sisteme të sigurta?

• Çfarë kuptimi ka të qenit i sigurt?

• Ç’është siguria? Jepni një përkufizim tuajin.

• Mendoni - CIA

Konceptet bazë mbi sigurinë

• Siguria e kompjuterëve – metodat e përdorura për të siguruar që sistemi është i sigurt

• Siguria e rrjetave – mbrojtja e të gjithë elementëve që ka një rrjet

• Siguria e informacionit – mbrojtja e të gjitha të dhënave kudo qofshin ato në sistem.

Modeli operacional i sigurisë

Siguria apo mbrojtja = parandalimi? Siguria apo mbrojtja = detektimi edhe përgjigjja? Mbrojtja = Parandalimi + (detektimi + përgjigjja) Por ku të aplikohet mbrojtja?

Mbrojtja në nivel të hostit

• Mbrojtja e secilës pajisje në mënyrë individuale, si p.sh. • Antivirus • Updates të SO • Host IDS apo IPS • Firewall lokal

• A mjafton?

• Kujtoni – mbrojtjen shtresore!

Mbrojtja në nivel të rrjetit

• Mbrojtja me anë të pajisjeve të rrjetit, si p.sh. • Firewall • Network IDS apo IPS • ACL

• A mjafton?

• Kush mund t’i qaset hapësirave? • Kartela digjitale • Monitorim

• A mjafton?

Mbrojtja në nivel fizik

• Dokumentacioni • Politikat • Procedurat • Standardet • Udhëzimet • Manualet • Njoftimet

• A mjafton kjo?

Mbrojtja në nivel administrativ

• Mbrojtja administrative 1

• Mbrojtja fizike 2

• Mbrojtja në nivel hosti 3

• Mbrojtja në nivel rrjeti 4

Mbrojtja disashtresore

Parime tjera bazë mbi sigurinë

• Privilegjet minimale -

– Një përdorues, aplikacion, apo proces duhet të ketë qasjet më minimale të mundshme por pa cënuar funksionalitetin.

– Vetëm qasjet që duhen, e jo më shumë se sa nevojitet.

Parime tjera bazë mbi sigurinë

• Ndarja e punëve (ang. Segregation of duties)

– Një përdorues, aplikacion, apo proces duhet të bëjë një pjesë të punës por dikush tjetër duhet ta verifikojë

– Parimi i 4 syve – kundër abuzimeve

– Mundësia e zëvendësimit në mungesë të njërit.

Parime tjera bazë mbi sigurinë

• Mohimi implicit (ang. Implicit deny)

– Një përdorues, aplikacion, apo proces duhet t’i caktohet një qasje në mënyrë eksplicite

– Çdo qasje tjetër nuk lejohet

Parime tjera bazë mbi sigurinë

• Mbrojtja shtresore (ang. Layered security) dhe diversifikimi i elementeve mbrojtëse

Parime tjera bazë mbi sigurinë

• Perimetri i sigurisë

Parime tjera bazë mbi sigurinë

• Security through obscurity

– Fshehja apo ruajtja e të dhënave në vende të pazakonta

– Emërtimi i fajlave në mënyrë çorientuese

Parime tjera bazë mbi sigurinë

• Kontrolli i qasjeve (ang. Access control) – MAC, mandatory, bazuar në shkallën e klasifikimit,

apo autorizimit – DAC, discretionary, bazuar në objektin apo subjektin

të cilit i takon. – RBAC, role-based, sipas profileve apo punëve që

kryejnë – Access control matrix & access control list (ACL)

Parime tjera bazë mbi sigurinë

• Autentikimi (ang. Authentication)

– Vërtetimi i identitetit, me:

• Diçka që je (biometrike, ADN)

• Diçka që ke (çeles)

• Diçka që di (p.sh. emri i përdoruesit, fjalëkalimin)

MBROJTJA ADMINISTRATIVE

Politikat

- Dokument bazë dhe i shkurtër

- Mesazhe të prera, pa hyrë në detaje

- Nivel i lartë

- Strategjia bazë

- I detyrueshëm të zbatohet

- Spjegon dënimet dhe pasojat e moszbatimit të rregullave

- Detyrë: Gjeni një shembull politike të sigurisë në Internet, dhe ma dërgoni me email

Standardet dhe procedurat

- Rrjedh nga politika - I detajuar - Spjegon si zbatohet politika në praktikë - Nivel i mesëm - E detyrueshme - Strategjia bazë

- Detyrë: Gjeni në internet një shembull

procedure dhe standardi të sigurisë, dhe ma dërgoni në email.

Udhëzimet

- ang. Guidelines and manuals

- Shumë i detajuar

- Spjegon si zbatohet politika dhe procedura

- Detaje teknike dhe të hollësishme

- Detyrë: Gjeni një shembull udhëzimi apo manuali të sigurisë në Internet, dhe ma dërgoni në email.

Politika në praktikë

Shembuj:

- Group policy

- Password policy

- Menaxhimi i ndryshimeve

- Klasifikimi i informacioneve

- Acceptable use policy

- Internet usage policy

- Email usage policy

- Privacy

- HR

PYETJE?

Resurset dhe citimet

• CompTIA Security+ All-in-One Exam Guide, Third Edition