SIS1 Ispitna pitanja PDF

SIS1 Ispitna pitanja ISHOD 1 1. Objasnite sta su tri aspekta sigurnosti CIA? Objasnite dva najvaznija nacina napada na dostupnost? CIA aspekti sigurnosti su Povjerljivost (Confidentiality), Integritet (Integrity) i Dostupnost (Availability). Dva najvažnija načina napada na dostupnost s...

SIS1 Ispitna pitanja ISHOD 1 1. Objasnite sta su tri aspekta sigurnosti CIA? Objasnite dva najvaznija nacina napada na dostupnost? CIA aspekti sigurnosti su Povjerljivost (Confidentiality), Integritet (Integrity) i Dostupnost (Availability). Dva najvažnija načina napada na dostupnost su DoS napadi, koji preplavljuju sustav zahtjevima i onemogućavaju legitimnim korisnicima pristup, i DDoS napadi. 2. Sto je sigurnosni rizik? Zasto je procjena rizika vazna? Sigurnosni rizik je mogućnost da se dogodi štetni događaj koji može ugroziti informacijske resurse. Procjena rizika je važna jer omogućuje identificiranje, analizu i prioritizaciju rizika kako bi se mogli poduzeti odgovarajući koraci za njihovo smanjenje ili uklanjanje. 3. Kratko objasnite korake u procjeni rizika? Sto je rezultat procjene rizika? Koraci ukljucuju indetifikacija rizika, analiza rizika ( vjerojatnost i posljedice), izracun rizika i planiranje mjera za smanjivanje rizika. Rezultat je dokument koji identificira ključne rizike i preporuke za njihovo upravljanje. 4. Sto su kontrole? Kakve kontrole prema nacinu djelovanja postoje? Zasto je potrebno postici balans u definiranju kontrola? kontrole: procedure, prakse ili mehanizmi koji umanjuju rizik dva načina djelovanja kontrola: Umanjivanje vjerojatnosti da prijetnja iskoristi ranjivost Umanjivanje štete koja nastaje u slučaju kad prijetnja iskoristi ranjivost 5. Objasnite utjecaj Paretovog nacela na izbor sigurnosnih kontrola. Pojasnite navedeno na Australskom kontrolnom okviru. Paretovo načelo (80/20 pravilo) sugerira da 80% učinka dolazi od 20% uzroka. U kontekstu sigurnosnih kontrola, to znači da se treba usredotočiti na najvažnije rizike koji uzrokuju najveću štetu. Australski kontrolni okvir koristi ovaj princip kako bi identificirao ključne kontrole koje će najviše smanjiti rizike. 6. Koje su prednosti i nedostatci kvalitativne procjene rizika? Prednosti kvalitativne procjene rizika su jednostavnost i brzina, pogodna za subjektivne procjene i manje složene sustave. Nedostaci su manje precizne i mogu biti subjektivne, ovisno o iskustvu procjenitelja. 7. Objasnite SANS CIS Top 20. Kako je podjeljen i zasto? SANS CIS Top 20 je popis 20 kritičnih sigurnosnih kontrola koje pomažu organizacijama u  borbi protiv najčešćih napada. Podijeljen je u tri kategorije: Osnovne kontrole, Organizacijske kontrole i Napredne kontrole, kako bi se osiguralo postepeno jačanje sigurnosti. 8. Sto je prijetnja? Kratko objasnite kategorije prijetnji. Prijetnja je potencijalni uzrok neželjenog incidenta koji može nanijeti štetu informacijskom sustavu. Kategorije: Ljudske prijetnje (dogadaji koje uzrokuje covijek namjerno ili nenamjerno) Prijetnje iz okoline (npr dugotrajni ispad struje) Prirodne nepogode (poplava potres...) 9. Kratko objasnite ISO 27001. Koja je prednost korist od njegovog uvodenja? ISO 27001 je međunarodni standard za upravljanje informacijskom sigurnošću koji pruža okvir za uspostavljanje, implementaciju, održavanje i kontinuirano poboljšanje sustava upravljanja informacijskom sigurnošću (ISMS). Prednost uvođenja ISO 27001 je poboljšana sigurnost informacija, smanjenje rizika i povećanje povjerenja klijenata i partnera. Jedini omogucuje certifikaciju - previse birokratski kontrolni okvir. 1. Opisati kvalitativni izračun rizika. Subjektivna procjena rizika bez numeričkih podataka. Koristi ljestvice (npr. "niska", "srednja", "visoka") za vjerojatnost i utjecaj. Brz je, ali manje precizan od kvantitativnih metoda. 1. Pojasnite CIS Top 18 kontrolni okvir? Zašto je učinkovit? Skup 18 kritičnih sigurnosnih kontrola koje pružaju praktične smjernice za cyber sigurnost. Učinkovit je jer se fokusira na najvažnije prijetnje, jednostavan je za implementaciju i prilagodljiv različitim organizacijama. 1. Na koje sve načine je moguće tretirati rizik? Pojasnite. 1. Izbjegavanje: Eliminiranje rizika potpunim zaustavljanjem aktivnosti koje ga uzrokuju. 2. Smanjenje: Implementacija mjera za smanjenje vjerojatnosti ili utjecaja rizika. 3. Prijenos: Prenos rizika na treću stranu (npr. osiguranje). 4. Prihvaćanje: Prihvaćanje rizika ako su troškovi zaštite veći od potencijalnog gubitka. ISHOD 2 1. Sto je autentifikacija? Kratko objasnite 2fa. Proces kojim se potvrđuje korisnički identitet koji zahtijeva pristup informacijskom sustavu. 2FA (Two-Factor Authentication) je metoda autentifikacije koja zahtijeva dva različita faktora za provjeru identiteta, obično nešto što korisnik zna (lozinka) i nešto što korisnik ima (npr. jednokratni kod poslan na mobitel).  2. Sto je identifikacija? Identifikacija – proces kojim korisnik predočava informacijskom sustavu zahtijevani identitet. Najčešće se provodi pomoću jedinstvene korisničko-identifikacijske oznake (engl. User ID). identifikacija korisnika mora biti jedinstvena. Osigurati primjereno upravljanje jedinstvenim korisničko-identifikacijskim oznakama. 3. Objasnite kako radi 2FA korištenjem mobilnih aplikacija za autentikaciju? 2FA korištenjem mobilnih aplikacija: Bazirano na vremenskoj sinkronizaciji Simetrični ključ se šalje kroz QR code Temeljem jedinstvenog ključa i vremena se kreira OTP Vremenski interval obično traje 30 sekundi Telefon je autonoman u kreiranju OTP-a (ne treba veza s Internetom, SIM kartica,…) 1. Pojasnite koncept dvo-faktorske ili više faktorske autentifikacije? Dvo-faktorska autentifikacija (2FA) ili više-faktorska autentifikacija (MFA) je sigurnosni mehanizam koji zahtijeva od korisnika da pruži dva ili više dokaza (faktora) za potvrdu identiteta pri prijavi. Faktori se temelje na tri kategorije: 1. Nešto što znaš (npr. lozinka, PIN). 2. Nešto što imaš (npr. mobitel, token, pametna kartica). 3. Nešto što jesi (npr. biometrija poput otiska prsta, skeniranja lica). Primjer: Prijavljujući se u sustav, korisnik prvo unosi lozinku (nešto što zna), a zatim unosi jednokratni kod poslan na mobitel (nešto što ima). Prednost: Povećana sigurnost, jer čak i ako jedan faktor bude kompromitiran (npr. lozinka), napadaču je potreban i drugi faktor za pristup. 1. Koji je nacin auth sigurniji: mobile push notif ili slanje OTP koda putem SMS-a? Objasnite. Mobile push notifikacija je sigurnija od slanja OTP (One-Time Password) koda putem SMS-a. Razlog je što SMS poruke mogu biti presretnute ili preusmjerene, dok su push notifikacije direktno povezane s aplikacijom na uređaju, što je teže kompromitirati. NIST smatra SMS nesigurnim. Koristi se jedino zbog lakoce implementacije. 2. Objasnite koncept RBA. Koji sve cimbenici se analiziraju prilikom spajanja na neku uslugu RBA? Temeljem koje informacije ce RBA blokirati pristup? Koja je prednost? RBA (Risk-Based Authentication) je koncept koji prilagođava razinu autentifikacije temeljem rizika povezanog s prijavom. Analiziraju se čimbenici poput lokacije, uređaja, IP adrese, ponašanja korisnika i vremena prijave. Ako se otkrije neuobičajena aktivnost (npr. prijava iz nepoznate lokacije), RBA može zahtijevati dodatnu autentifikaciju ili blokirati pristup.  Prednost risk-based autentifikacije je povećana sigurnost uz smanjenu smetnju za korisnike. Sustav dinamički prilagođava razinu autentifikacije (npr. jednofaktorska ili višefaktorska) na temelju konteksta (npr. lokacija, uređaj, ponašanje). Ako je rizik nizak, korisnik se može prijaviti jednostavno, a ako je rizik visok, traži se dodatna provjera. To poboljšava korisničko iskustvo i usredotočuje resurse na visokorizične situacije. 3. Koja je uloga sigurnosne politike? Objasnite sto je bolja praksa: imati jedan dokument ili vise manjih? Uloga sigurnosne politike je definirati pravila i procedure za zaštitu informacijskih resursa. Bolja praksa je imati više manjih dokumenata, jer su lakše ažurirati, razumjeti i primijeniti na specifične dijelove organizacije. 4. Objasnite najvaznije NIST preporuke za upravljanje lozinkama te zasto su ucinkovite. 1.make your password policies user friendly and put the burden on the verifier when possible 2.Minimum 8, max najmanje 64 znaka 3.Dozvoliti sve znakove 4.Check new passwords against a dictionary of known-bad choices No password hints Knowledge-based authentication (KBA) is out (pitanja za provjeru identiteta) No more expiration without reason (najkorisniji savjet) Zašto je loša redovita promjena zaporki? 1.OUTDATED THREAT MODEL the greatest risk to your password is no longer cracking, but password harvesting. 2.BEHAVIORAL COST lost employee time and help desk tickets …the cost to corporate security culture. 3.INCREASING RISK the only behavior you are really promoting in your workforce is people are simply incrementing that number 1 at the end of their password to a number 2. 5. Objasnite odgovornost uprave voditelja sigurnosti i zaposlenika. Odgovornost uprave je osigurati resurse i podršku za sigurnosne mjere. Voditelj sigurnosti je odgovoran za implementaciju i održavanje sigurnosnih politika. Zaposlenici su odgovorni za pridržavanje tih politika i pravilno korištenje informacijskih resursa. 6. Zasto je vazno upravljati eksternalizacijom? Pojasni na primjeru SolarWinds napada. Upravljanje eksternalizacijom je važno jer vanjski dobavljači i partneri mogu predstavljati sigurnosni rizik. Primjer SolarWinds napada pokazuje kako je kompromitiran softver dobavljača omogućio  napadačima pristup brojnim organizacijama, što naglašava potrebu za rigoroznom procjenom i nadzorom vanjskih partnera. 7. Kratko objasnite najvazniju kontrolu za zastitu prijenosnih racunala. Najvažnija kontrola za zaštitu prijenosnih računala je enkripcija podataka. Enkripcija osigurava da, ako uređaj bude ukraden ili izgubljen, podaci na njemu ne mogu biti pročitani bez odgovarajućeg ključa. 1. Kratko objasnite razliku između termina sigurnosna politika i sigurnosne politike. Sigurnosne politike su skup pravila i smjernica koje definiraju kako se informacijski sustav koristi upravlja i stiti. Svrha je definirati okvir/pravila koji zaposlenici trebaju slijediti ''pravila igre'' primjerice koristenje interneta, email servisa itd. Posljedice: Pokretanje inicijativa, vodic za primjereno koristenje sustava. Ovise o tipu organizacije. Opcenito prihvacena dva izraza: Sigurnosna politika: jedan krovni dokument Sigunosne politike: Niz dokumenata. Losa praksa: imati jedan dokument koji pokriva sve 2. Tko treba odobriti krovnu politiku sigurnosti i zašto? 1. Zašto CISO treba biti izvan informatike? Koje odgovornosti ima CISO? Zašto izvan informatike? CISO treba biti neovisan od IT odjela kako bi mogao objektivno upravljati sigurnošću i rizicima, bez sukoba interesa. Sigurnost informacija nije samo tehnički problem, već strateški i poslovni, pa CISO mora imati širi pogled na cijelu organizaciju. Odgovornosti CISO-a: - Definiranje i implementacija sigurnosne strategije. - Upravljanje rizicima i incidentima. - Osiguravanje usklađenosti s propisima i standardima. - Edukacija zaposlenika o sigurnosti. - Suradnja s drugim odjelima kako bi se osigurala zaštita podataka i sustava. 2. Koja je uloga CISO u procesu eksternalizacije? Pojasnite to na primjeru Targeta. CISO je odgovoran za procjenu rizika i osiguravanje da vanjski partneri (npr. dobavljači) poštuju sigurnosne standarde organizacije. Primjer Targeta: Target je 2013. pretrpio ogroman sigurnosni incident zbog kompromitiranog vanjskog dobavljača (HVAC sustava). CISO je trebao: - Provjeriti sigurnosne prakse dobavljača. - Osigurati segmentaciju mreže kako bi spriječio širenje napada. - Nadzirati pristup dobavljača kritičnim sustavima. CISO je propustio nadzirati vanjske rizike, što je dovelo do krađe podataka o 40 milijuna korisničkih kartica. 3. Navedite primjer dobre prakse u zaštiti prijenosnih računala. - Enkripcija diska: Korištenje alata kao što je BitLocker (Windows) ili FileVault (macOS) za zaštitu podataka u slučaju krađe ili gubitka uređaja. - Redovite sigurnosne ažurirane: Instaliranje najnovijih zakrpa i ažuriranja softvera. - Zaštita lozinkom: Osiguravanje jakih lozinki i višefaktorske autentifikacije. - Sigurnosne mrežne veze: Korištenje VPN-a za pristup korporativnoj mreži. 4. Koje sve mjere fizičke zaštite se koriste za sigurnost prijenosnih i fizičkih medija? - Zaključavanje uređaja: Korištenje kabelskih brava za prijenosna računala. - Sigurnosni ormarići: Pohrana prijenosnih uređaja i medija u zaključane ormare. - Kontrola pristupa: Ograničavanje pristupa podacima samo ovlaštenim osobama (npr. RFID kartice, biometrija). - Video nadzor: Postavljanje kamera u područjima gdje se pohranjuju uređaji. - Uništenje medija: Sigurno brisanje ili fizičko uništavanje medija koji više nisu potrebni (npr. drobljenje CD-ova, diskova). ISHOD 3 1. Sto je kriptologija? Kriptologija - znanost koja objedinjuje kriptografiju i kriptoanalizu 2. Sto je kriptoanaliza? umijeće razbijanja šifri, odnosno dobivanja originalne poruke iz šifrirane poruke bez znanja ključa. 3. Objasnite kratko tehnike sifriranja. 4. Hakeri su upali u sustavi i pokupili sve podatke o korisnicima (i zaporke). Koja mjera vas moze donekle spasiti? Objasnite zasto. Ako su hakeri pokupili zaporke, korištenje soli (salt) i hash funkcija može vas donekle spasiti. Sol je nasumični podatak koji se dodaje lozinki prije hashiranja, što čini napade pretraživanjem riječnika (dictionary attacks) i tablica rainbows težim. 5. Objasnite Cesarovu sifru te navedite kojj tehnici sifriranja pripada. Cesarova šifra je jedna od najstarijih tehnika šifriranja, gdje se svako slovo u tekstu pomakne za fiksni broj mjesta u abecedi. Pripada tehnici supstitucijskog šifriranja. 6. Objasnite sta rade algoritmi sazimanja. Sto znaci otpornost na kolizije za dani algoritam sazimanja? Navedite primjere koristenja. Algoritmi sažimanja pretvaraju ulazne podatke u fiksnu duljinu izlaza (hash). Otpornost na kolizije znači da je vrlo teško pronaći dva različita ulaza koji daju isti hash. Primjeri korištenja uključuju provjeru integriteta podataka i pohranu lozinki (npr. SHA-256, MD5).  7. Kratko objasnite simetricnu i asimetricnu enkriciju. Koje su prednosti i nedostatci? Simetrična enkripcija koristi isti ključ za šifriranje i dešifriranje. Prednosti: brzina i jednostavnost. Nedostaci: problem distribucije ključa. Asimetrična enkripcija koristi par ključeva (javni i privatni). Prednosti: sigurnija distribucija ključa. Nedostaci: sporija i zahtijeva više resursa. 8. Objasnite na primjeru TLS-a kako se koristi simetricna i asimetricna enkripcija zajedno. U TLS-u, asimetrična enkripcija se koristi za sigurnu razmjenu ključa (npr. koristeći RSA), a zatim se koristi simetrična enkripcija (npr. AES) za brzu i sigurnu komunikaciju. 9. Objasnte pojam PKI. Sto je neporecivost i auteticnost? Na koji nacin je to omoguceno u PKI infrastrukturi? Objasnite lanac povjerenja. PKI (Public Key Infrastructure) je sustav za upravljanje digitalnim certifikatima i javnim ključevima. Neporecivost znači da se ne može poreći autorstvo, a autentičnost osigurava da su podaci stvarno od onoga tko tvrdi da jesu. To je omogućeno kroz digitalne certifikate i lanac povjerenja, gdje certifikati potvrđuju jedni druge do korijenskog certifikata (root CA). 1. Koje su osnovne funkcije CA, objasniti ih ukratko. - Izdavanje certifikata. - Potvrđivanje valjanosti certifikata. - Opoziv certifikata (CRL). - Upravljanje životnim ciklusom certifikata. 1. Sta je root CA i cemu sluzi te objasnite ucinkovite kontrole za zastitu root CA? Zasto root CA moze biti offline? Root CA (Certification Authority) je najviša autoriteta u PKI hijerarhiji koja izdaje i potpisuje certifikate. Učinkovite kontrole uključuju fizičku zaštitu, stroge sigurnosne procedure i ograničen pristup. Root CA može biti offline kako bi se smanjio rizik od kompromitacije. 1. Objasnite ukratko mjere zaštite za root CA. Važnost toga pojasnite na DigiNotar primjeru. Mjere zaštite: Root CA mora biti izoliran, fizički zaštićen i podvrgnut strogim sigurnosnim procedurama. - DigiNotar primjer: DigiNotar je propao nakon što su hakeri kompromitirali njegov root CA, izdali lažne certifikate i ugrozili sigurnost interneta. To pokazuje važnost zaštite root CA. 1. Sto je digitalni certifikat? Navedite najcesce primjere koristenja. Digitalni certifikat je elektronički dokument koji povezuje javni ključ s identitetom  vlasnika. Najčešći primjeri korištenja uključuju sigurnu web komunikaciju (HTTPS), e-poštu (S/MIME) i digitalno potpisivanje dokumenata. 2. Je li moguce probiti AES algoritam? Objasnite. AES (Advanced Encryption Standard) se smatra vrlo sigurnim. Teoretski, moguće ga je probiti kroz grubu silu (brute force), ali to bi zahtijevalo ogromne količine vremena i računalnih resursa, što ga čini praktički neprobojnim s trenutnom tehnologijom. 3. Zasto je DES algoritam zamjenjen s AES algoritmom? DES (Data Encryption Standard) je zamijenjen s AES jer je DES postao nesiguran zbog kratke duljine ključa (56 bita), što ga čini ranjivim na napade grubom silom. AES koristi duže ključeve (128, 192, 256 bita) i modernije tehnike, što ga čini sigurnijim i učinkovitijim. 1. Objasnite kratko tehnike šifriranja. U koju tehniku šifriranja pripada Cesarova šifra i zašto? - Simetrično šifriranje: Koristi jedan ključ za šifriranje i dešifriranje. - Asimetrično šifriranje: Koristi par ključeva (javni i privatni). - Cesarova šifra: Pripada simetričnom šifriranju jer koristi jedan ključ (pomak u abecedi) za šifriranje i dešifriranje. Primjer: Pomak od 3 pretvara "A" u "D". 2. Koje podjele kriptografskih algoritama postoje? - Simetrični algoritmi: Koriste jedan ključ (npr. AES, DES). - Asimetrični algoritmi: Koriste par ključeva (npr. RSA, ECC). - Algoritmi sažimanja: Generiraju "otisak" podataka (npr. SHA-256, MD5). 3. Objasnite kako radi simetrična kriptografija? Navedite prednosti i nedostatke. Navedite primjere korištenja. - Kako radi: Koristi jedan ključ za šifriranje i dešifriranje. - Prednosti: Brz i učinkovit za velike količine podataka. - Nedostaci: Problem sigurne razmjene ključa. - Primjeri: AES za šifriranje datoteka, SSL/TLS za sigurnu komunikaciju. 4. Objasnite kratko AES? Koliko je AES siguran? - Kako radi: Koristi blokovnu šifru s ključevima duljine 128, 192 ili 256 bita. - Sigurnost: Smatra se vrlo sigurnim, pogotovo s ključem od 256 bita. Trenutno nema poznatih učinkovitih napada na AES. 5. Objasnite kako radi asimetrična kriptografija? Navedite prednosti i nedostatke. Navedite primjere korištenja. - Kako radi: Koristi par ključeva (javni za šifriranje, privatni za dešifriranje). - Prednosti: Rješava problem razmjene ključa. - Nedostaci: Sporiji od simetrične kriptografije. - Primjeri: RSA za digitalne potpise, ECC za mobilne uređaje. 6. Objasnite kako rade algoritmi sažimanja. Što znači otpornost na kolizije za dani algoritam sažimanja? - Kako rade: Pretvaraju podatke u fiksnu duljinu "otisaka" (hash vrijednost). - Otpornost na kolizije: Teško pronaći dva različita ulaza s istim hash vrijednostima. Primjer: SHA-256 je otporan na kolizije. 7. Objasnite kako radi digitalni potpis? - Kako radi: Koristi asimetričnu kriptografiju. Pošiljatelj šifrira hash poruke svojim privatnim ključem, a primatelj dešifrira javnim ključem i uspoređuje hash vrijednosti. 8. Što je digitalni certifikat? Digitalni certifikat je elektronički dokument koji povezuje javni ključ s identitetom vlasnika. Izdaje ga Certifikacijsko tijelo (CA). 9. Što sve Web preglednik provjerava u certifikatu koji se koristi u kriptiranoj komunikaciji s Web mjestom? Preglednik provjerava - Valjanost certifikata (datum). - Izdavača (CA). - Podudaranje imena domene. - Povjerenje u CA (lanac povjerenja). 10. Objasnite neporecivost i autentičnost. - Neporecivost: Spriječava pošiljatelja da poriče slanje poruke. - Autentičnost: Osigurava da je poruka stvarno poslana od određenog pošiljatelja. 11. Što je lanac povjerenja? Lanac povjerenja je hijerarhija certifikata gdje korisnički certifikati potječu od pouzdanih CA. Korijenski CA je najviša razina povjerenja. 12. Objasniti ukratko tri komponente PKI sustava. 1. Certifikacijsko tijelo (CA): Izdaje i upravlja certifikatima. 2. Registracijsko tijelo (RA): Provjerava identitet prije izdavanja certifikata. 3. Direktorij certifikata: Pohranjuje i distribuira certifikate. ISHOD 4 1. Sto je ranjivost? Sta je 0-day ranjivost? Sta je exploit? Jesu li 0day ranjivosti ceste? Objasnite. Ranjivost je slabost u sustavu koja može biti iskorištena za nanošenje štete. 0-day  ranjivost je ranjivost koja je nepoznata proizvođaču softvera i za koju ne postoji zakrpa. Exploit je kod ili tehnika koja iskorištava ranjivost. 0-day ranjivosti nisu česte, ali su vrlo opasne jer nema zaštite dok se ne otkrije i zakrpa. 2. Sto predstavlja veci rizik za organizacije 0day ranjivost ili standardna ranjivost? Objasnite 0-day ranjivost predstavlja veći rizik jer nema dostupnih zakrpa ili obrane, dok se standardne ranjivosti mogu ublažiti ažuriranjima i zakrpama. Organizacije su bespomoćne protiv 0-day ranjivosti dok se ne otkrije i riješi. 3. Zbog cega tvrtke ne implementiraju sigurnosne zakrpe na vrijeme? Zasto je to jos uvijek izazov? Tvrtke često ne implementiraju sigurnosne zakrpe na vrijeme zbog nedostatka resursa, straha od prekida rada (downtime), kompleksnosti sustava i nepoznavanja rizika. To je izazov jer zahtijeva kontinuirano praćenje i brzo reagiranje. 4. Objasnite SQL injection te mjere zastite od istog? Na koga je usmjeren ovaj napad? SQL injection je napad gdje se u SQL upite ubacuju zlonamjerni kod kako bi se pristupilo ili manipuliralo bazom podataka. Mjere zaštite uključuju korištenje pripremljenih upita (prepared statements), validaciju ulaza i ORM (Object-Relational Mapping). Napad je usmjeren na web aplikacije koje koriste baze podataka. 5. Sta je OWASP top 10? OWASP Top 10 je lista 10 najkritičnijih sigurnosnih rizika za web aplikacije, koju objavljuje OWASP (Open Web Application Security Project). Služi kao vodič za razvoj i sigurnost aplikacija. 6. Objasnite OWASP broken access control sigurnosni rizik? Zasto Optus data breach spada u tu kategoriju rizika? OWASP Broken Access Control je sigurnosni rizik gdje korisnici mogu pristupiti resursima ili funkcionalnostima koje ne bi smjeli. Optus data breach spada u ovu kategoriju jer su neovlašteni korisnici dobili pristup osjetljivim podacima. 7. Objasnite OWASP Cryptographic Failures sigurnosni rizik te mjere zastite od istog? OWASP Cryptographic Failures su greške u korištenju kriptografije koje dovode do izlaganja osjetljivih podataka. Mjere zaštite uključuju korištenje jakih algoritama, pravilno upravljanje ključevima i enkripciju podataka u mirovanju i prijenosu. 8. Zasto je centralno biljezenje logova vazno iz perspektive sigurnosti? Centralno bilježenje logova je važno jer omogućuje praćenje i analizu sigurnosnih događaja u cijelom sustavu. Pomaže u otkrivanju i reagiranju na incidente, te pruža dokaze za forenzičku analizu. 9. Za koje je ranjivosti potrebno najprije implementirati sigurnosne zakrpe? Ranjivosti koje su najkritičnije (visok rizik) i koje su aktivno iskorištavane treba zakrpiti prve. Ovo uključuje ranjivosti koje mogu dovesti do ozbiljnih posljedica poput gubitka podataka ili prekida usluge. 10. Koja je razlika izmedju penetracijskog testiranja i procjene ranjivosti putem alata? Penetracijsko testiranje simulira stvarne napade kako bi se otkrile slabosti, dok procjena ranjivosti putem alata automatski skenira sustave za poznate ranjivosti. Pen testiranje je ručno i temeljitije, dok su alati brži ali manje svestrani. 11. Kratko objasnite Shodan. Shodan je tražilica koja pronalazi internetski povezane uređaje (npr. servere, kamere) i prikazuje informacije o njihovoj konfiguraciji i ranjivostima. Koristi se za istraživanje i otkrivanje slabosti. 12. Objasnite zasto je potrebno redovito (putem alata) provjeravati ranjivost na informacijskom sustavu? Sto sve treba svakako obuhvatiti s ovom aktivnosti? Redovita provjera ranjivosti je važna kako bi se otkrile i riješile slabosti prije nego što ih napadači iskoriste. Aktivnost treba obuhvatiti skeniranje mreže, web aplikacija, operativnih sustava i baza podataka. 13. Objasnite koncept korelacije dogadaja. Zasto je korelacija temeljena na pravilima izazov? Korelacija događaja je proces povezivanja različitih sigurnosnih događaja kako bi se identificirali štetni uzorci. Korelacija temeljena na pravilima je izazov jer zahtijeva precizna pravila i može propustiti nove ili nepoznate prijetnje. 14. Zasto Gartner smatra da tvrtke trebaju imati pristup informaciijskoj sigurnosti kao da su u stanju kontinuirane kompromitacije? Zasto je vazno sto prije otkriti neovlasteni upad u informacijski sustav? Gartner smatra da tvrtke trebaju biti spremne na kontinuiranu kompromitaciju jer su napadi sve sofisticiraniji i češći. Važno je što prije otkriti upad kako bi se smanjila šteta i spriječio daljnji prodor. 15. Sto su SIEM sustavi? Koji su zahtjevi za svaki SIEM? Koji su izazovi implementacije? Koliko su ucinkoviti? SIEM (Security Information and Event Management) sustavi prikupljaju, analiziraju i koreliraju sigurnosne događaje iz različitih izvora. Zahtjevi uključuju skalabilnost, integraciju s alatima i naprednu analitiku. Izazovi su visoki troškovi i složenost implementacije. Učinkoviti su za otkrivanje i reagiranje na incidente. 16. Objasnite kratko XDR i SIEM sustave. Koja je prednost XDR sustava? XDR (Extended Detection and Response) je naprednija verzija SIEM-a koja integrira više sigurnosnih alata i pruža bolju vidljivost i automatsko reagiranje. Prednost XDR-a je u njegovoj sposobnosti da detektira i odgovori na prijetnje na više razina (mreža, uređaji, cloud). 17. Objasnite OWASP Security Misconfiguration te mjere zastite od istog? OWASP Security Misconfiguration je rizik gdje su sigurnosne postavke neispravno konfigurirane, što otvara mogućnosti za napade. Mjere zaštite uključuju redovite audite, minimalne privilegije i automatske alate za provjeru konfiguracije. 18. Sto je red team pen testiranje? red team pen testiranje je napredna simulacija napada gdje tim (red team) pokušava probiti obranu organizacije kako bi testirao njezinu sigurnost. Cilj je identificirati slabosti i poboljšati obranu. 19. Sta su DAST i SAST alati za provjeru sigurnosti Web aplikacija? DAST (Dynamic Application Security Testing) alati testiraju web aplikacije u pokretu, dok SAST (Static Application Security Testing) alati analiziraju izvorni kod. DAST je koristan za pronalaženje runtime grešaka, dok SAST otkriva greške u kodu. 20. Objasnite faze upravljanja ranjivostima? Faze upravljanja ranjivostima uključuju: identifikaciju ranjivosti (skeniranje), procjenu rizika (prioritizacija), liječenje (zakrpe ili ublažavanje), verifikaciju (provjera rješenja) i kontinuirano praćenje (redovito skeniranje).