Podstawy modelu CIA

Podstawowe elementy modelu CIA

• Zapewnienie, że dane są dostępne tylko dla uprawnionych osób/systemów.
• Kontrola gromadzonych i przechowywanych danych.
• Kategoryzacja danych według uprawnień dostępu.
• Nadawanie użytkownikom minimalnych uprawnień, stopniowo zwiększanych w razie potrzeby.
• Redukcja ryzyka błędów ludzkich, np. pracownik o ograniczonym dostępie nie może ujawnić wszystkich danych.

Integralność

• Zapewnienie, że dane nie są zmieniane ani uszkadzane przez osoby nieuprawnione.
• Kontrola integralności danych.
• Zapobieganie nieautoryzowanej modyfikacji informacji.
• Sposoby ochrony integralności:
  • Szyfrowanie danych.
  • Korzystanie z certyfikatów.
  • Rejestrowanie pełnej historii operacji na danych.

Dostępność

• Zapewnienie, że dane są dostępne dla uprawnionych użytkowników w odpowiednim czasie i miejscu.
• Zabezpieczenie na wypadek awarii sprzętu, prądu, katastrof, ataków hackerskich.
• Sposoby zapewnienia dostępności:
  • Zapasowe serwery
  • Kopie zapasowe danych
  • Plany awaryjne na wypadek awarii
  • Systemy odporne na ataki i awarie

Podstawy szyfrowania: algorytmy symetryczne i asymetryczne

• Symetryczne:
  • Wykorzystuje ten sam klucz do szyfrowania i deszyfrowania.
  • Szybkie i efektywne.
  • Wyzwaniem jest bezpieczna wymiana klucza.
  • Przykładowe algorytmy: AES, DES, 3DES.
  • Służy do szyfrowania danych przechowywanych i przekazywanych w sieciach (np VPN).
• Asymetryczne:
  • Wykorzystuje parę kluczy (publiczny i prywatny) dla każdej ze stron.
  • Klucz publiczny jest udostępniany publicznie.
  • Odbiorca używa swojego prywatnego klucza do odszyfrowania wiadomości zaszyfrowanej kluczem publicznym nadawcy.
  • Bezpieczna wymiana klucza, bo klucz publiczny może być udostępniony publicznie.
  • Wolniejsze działanie ze względu na obciążenie obliczeniowe.
  • Przykładowe algorytmy: RSA, ECC, DSA.
  • Stosowane między innymi do bezpiecznej wymiany kluczy symetrycznych, podpisów cyfrowych oraz identyfikacji.

Podpis elektroniczny i infrastruktura klucza publicznego (PKI)

• Podpis elektroniczny służy do identyfikacji osoby składającej podpis.
• Rodzaje:
  • Zwykły - np. imię i nazwisko pod emailem.
  • Zaawansowany - powiązany z osobą składającą podpis, może nie wymagać kwalifikowanego urządzenia.
  • Kwalifikowany - składany z pomocą kwalifikowanego urządzenia i kwalifikowanego certyfikatu podpisu, równoważny podpisowi własnoręcznemu.
• Działanie PKI:
  • Generowanie par kluczy użytkownika - prywatny, publiczny.
  • Żądanie certyfikatu (CSR) przez użytkownika - zawiera klucz publiczny i dane identyfikacyjne.
  • Weryfikacja tożsamości użytkownika przez Urząd Certyfikacji (CA).
  • Wydanie certyfikatu przez CA.
  • Użycie klucza prywatnego do podpisania dokumentu.
  • Weryfikacja podpisu przez odbiorcę na podstawie certyfikatu CA.

Metody uwierzytelniania

• Jednoskładnikowe: Hasło, PIN - niskie bezpieczeństwo.
• Dwuskładnikowe/wieloskładnikowe: Potrzebne są co najmniej 2 czynniki uwierzytelniające:
  • Coś, co wiesz (Knowledge): Hasło, PIN, pytanie kontrolne.
  • Coś, co posiadasz (Possession): Token, karta inteligentna, smartfon, SMS.
  • Coś, co jesteś (Inherence): Dane biometryczne, odcisk palca, rozpoznawanie twarzy.

Podstawy bezpieczeństwa fizycznego i logicznego

• Bezpieczeństwo fizyczne: Kontrola dostępu do budynków, pomieszczeń, monitoring, systemy alarmowe, ochrona środowiskowa (temperatura, wilgotność, zasilanie).
• Bezpieczeństwo logiczne: Uwierzytelnianie (weryfikacja tożsamości), autoryzacja (przyznawanie dostępu), szyfrowanie, firewall, IDS/IPS (wykrywanie i blokowanie ataków internetowych), kopie zapasowe, Disaster recovery.

Główne rodzaje cyberataków i metody obrony

• Phishing: Wyłudzanie informacji za pomocą podszywania się pod zaufane podmioty.
• Malware (wirusy, trojany, ransomware): Uszkadzanie systemu, kradzież danych, przejęcie kontroli.
• Ataki DDoS: Przeciążanie serwera poprzez wysłanie ogromnej liczby zapytań.
• Ataki Man-in-the-Middle (MITM): Przechwytywanie komunikacji między dwoma stronami z modyfikacją przesyłanych danych.
• Ataki SQL Injection, XSS, Ransomware: Infiltracja i sabotaż danych.

Metody obrony:

• Szkolenia, silne hasła, uwierzytelnianie wieloskładnikowe, aktualizacje oprogramowania, antywirusy, firewall, IDS/IPS, kopie zapasowe.

Języki skryptowe

• Typy danych: int, float, str
• Klasy i obiekty: klasa, obiekt, dziedziczenie, polimorfizm
• Struktury danych: list, tuple, dict, queue, stack
• Zasięgi zmiennych: globalny (global), lokalny (local), zamknięty (closure)
• Moduły: Plik zawierający definicje funkcji, zmiennych i klas (import, import moj_modul).
• Domknięcia: Funkcje "zapamiętujące" swoje środowisko leksykalne.
• Funkcje anonimowe (lambda): Jednowierszowe funkcje bez nazwy.

Filtrowanie i transformacja danych

• Filtrowanie: Wybór elementów spełniających warunek.
• Transformacja: Modyfikacja wartości elementów.
• Wyrażenia listowe, wyrażenia generatorowe.

Obsługa plików

• Funkcja open(), tryb otwarcia ('r', 'w'), with open() as... - automatyczne zamknięcie pliku.
• Serializacja obiektów - pickle, konwersja obiektu na bajty do zapisania do pliku.

Metody obsługi wyjątków

• try...except: Obsługa błędów.
• finally: Kod, który zawsze się wykona, niezależnie od tego, czy wystąpił błąd.
• Rodzaje wyjątków: Specjalne typy błędów.
• Właściwe użycie try...except...finally.

Dopasowanie wzorców match/case

• Alternatywa dla switch w innych językach.
• Dopasowanie na podstawie różnych wzorców (wartości, typów, rozpakowania).

Programowanie obiektowe 2

• Klasy: Definicja i tworzenie typów obiektów (własnych typów danych).
• Instancje: Obiekty tworzone na podstawie klasy (obiekty).
• Konstruktory (init): Metoda do inicjalizacji obiektów.
• Metody instancyjne: Funkcje działające na obiekcie konkretnej instancji.
• Atrybuty instancyjne: Dane związane z obiektem.
• Metody klasowe: Funkcje działające na klasie (zastosowanie @classmethod).
• Atrybuty klasowe: Dane wspólne dla wszystkich obiektów danej klasy (użycie modyfikatora @staticmethod).
• Metody statyczne: Funkcje w klasie, które nie działają na obiekcie ani klasie (@staticmethod).

Bezpieczeństwo i ochrona w systemach operacyjnych

• Ataki na hasła: bruteforce, słownikowe.
• Ataki typu man-in-the-middle: Przechwytywanie komunikacji.
• Ataki typu denial of service (DoS): Przeciążenie systemu.
• Ataki typu SQL injection, cross-site scripting (XSS): Wprowadzanie złośliwego kodu.
• Sposoby na zapobieganie atakom: Kontrola dostępu, uwierzytelnianie, szyfrowanie, zapory sieciowe, aktualizacje, silne hasła itd.

Systemy operacyjne

• Struktura systemów operacyjnych: Monolityczna, warstwowa, wirtualne maszyny.
• Zarządzanie procesami: Definicja procesu, wątki, procesy i ich stany (nowy, gotowy, uruchomiony, oczekujący, zakończony), alokacja, odzyskiwanie i ochrona zasobów.
• Synchronizacja procesów: Semaforów, muteksów, monitorów, problemy z zakleszczeniem.
• Zarządzanie pamięcią: Alokacja pamięci, wymiana (swapping), pamięć wirtualna.
• System plików: Organizacja danych w plikach i katalogach, zarządzanie przestrzenią, atrybuty plików.