1/12/2015
2
คุณลักษณะสำคัญของ สารสนเทศ (Information) มี 3 ประการ คือ
1. เป็นข้อมูลที่ผ่านการประมวลผลแล้ว
2. มีรูปแบบที่มีประโยชน์นำไปใช้งานได้
3. มีคุณค่าสำหรับใช้ในการดำเนินงาน หรือตัดสินใจ
1/12/2015
3
#1 Virus
#2 Insider Abuse of Net Access
#3 Laptop/mobile theft
CSI/FBI Survey Report 2004
แหล่งที่มา: 2004 CSI/FBI Computer Crime and Security Survey (Computer Security Institute)
CSI/FBI Survey Report 2005
1/12/2015
4
แหล่งที่มา: 2005 CSI/FBI Computer Crime and Security Survey (Computer Security Institute)
#1 Virus
#2 Insider Abuse of Net Access
#3 Laptop/mobile theft
CSI/FBI Survey Report 2006
#1 Virus
#3 Insider Abuse of Net Access
#2 Laptop/mobile theft
1/12/2015
6
CSI/FBI Survey Report 2004
แหล่งที่มา: 2004 CSI/FBI Computer Crime and Security Survey (Computer Security Institute)
#1 Antivirus Software 99%
#3 Server-basedAccess ControlLists 71%
#2 Firewalls 98%
1/12/2015
7
CSI/FBI Survey Report 2005
แหล่งที่มา: 2005 CSI/FBI Computer Crime and Security Survey (Computer Security Institute)
#1 Firewall 97%
#3 Instrusion DetectionSystems 72%
#2 Anti-Virus Software 96%
CSI/FBI Survey Report 2006
#1 Firewall 98%
#3 Ansi-SpywareSoftwares 79%
#2 Anti-Virus Software 97%
1/12/2015
9
Integrity
Confidentiality
Availability
เป้าหมายของการรักษาความมั่นคงปลอดภัยทางสารสนเทศ
Confidentiality คือการรับรองว่าจะมีการเก็บข้อมูลไว้เป็นความลับและผู้มีสิทธิเท่านั้นจึงจะเข้าถึงข้อมูลนั้นได้
Integrity คือการรับรองว่าข้อมูลจะไม่ถูกเปลี่ยนแปลงหรือทำลายไม่ว่าจะเป็นโดย อุบัติเหตุหรือโดยเจตนา
Availability คือการรับรองว่าข้อมูลและบริการการสื่อสารต่างๆ พร้อมที่จะใช้งานได้เมื่อต้องการ
1/12/2015
10
การรักษาความลับของข้อมูล(Confidentiality)
• การป้องกันไม่ให้บุคคลที่ไม่ได้รับอนุญาต(Unauthorized User) เข้าถึงแหล่งข้อมูลได้
• ถ้ามีการเข้าถึงแหล่งข้อมูลโดยบุคคลที่ไม่ได้รับอนุญาต ก็ไม่สามารถนำไปใช้งานได้เนื่องจากมีวิธีการปกป้องความปลอดภัยของข้อมูลอย่างเพียงพอ ทำให้ไม่สามารถเข้าใจเนื้อหาของข้อมูลหรือไม่สามารถเปิดดูเนื้อหาของข้อมูลนั้นได้
การป้องกันการปลอมแปลงข้อมูล (Integrity)
• การรักษาความถูกต้องและความสมบูรณ์ของข้อมูลไว้เสมอ
• ป้องกันไม่ให้มีการเปลี่ยนแปลงแก้ไขข้อมูลโดยไม่ได้รับอนุญาต
ความพร้อมใช้งาน(Availability)
เพื่อให้ระบบนั้นสามารถที่จะทำงานได้ตามปกติและเต็มประสิทธิภาพ
ต้องมีขีดความสามารถดังนี้
• ปฏิบัติงานได้ตามปริมาณที่ต้องการได้
• ปฏิบัติงานได้ภายในเวลาที่กำหนด
Figure 1-2: Other Empirical Attack Data
Riptech
Analyzed 5.5 billion firewall log entries in300 firms in five-month period
Detected 128,678 attacks—an annual rateof 1,000 per firm
Only 39% of attacks after viruses wereremoved were directed at individual firms
11
Figure 1-2: Other Empirical Attack Data
SecurityFocus
Data from 10,000 firms in 2001
Attack Frequency
○129 million network scanning probes (13,000per firm)
○29 million website attacks (3,000 per firm)
○6 million denial-of-service attacks (600 perfirm)
12
Figure 1-2: Other Empirical Attack Data
SecurityFocus
Attack Targets
○31 million Windows-specific attacks
○22 million UNIX/LINUX attacks
○7 million Cisco IOS attacks
○All operating systems are attacked!
13
Figure 1-2: Other Empirical Attack Data
Honeynet project
Networks set up for adversaries to attack
Windows 98 PC with open shares and nopassword compromised 5 times in 4 days
LINUX PCs took 3 days on average tocompromise
14
Figure 1-3: Attack Trends
Growing Randomness in VictimSelection
In the past, large firms were targeted
Now, targeting is increasingly random
No more security through obscurity for smallfirms and individuals
15
Figure 1-3: Attack Trends
Growing Malevolence
Most early attacks were not malicious
Malicious attacks are becoming the norm
16
Figure 1-3: Attack Trends
Growing Attack Automation
Attacks are automated, rather than humanly-directed
Essentially, viruses and worms are attackrobots that travel among computers
Attack many computers in minutes or hours
17
Figure 1-4: Framework for Attackers
Elite Hackers
Hacking: intentional access withoutauthorization or in excess of authorization
Some call this cracking, not hacking, whichthey equate to any skilled computer use
Characterized by technical expertise anddogged persistence, not just a bag of tools
○Use attack scripts to automate actions, but thisis not the essence of what they do
Deviants and often part of hacker groups thatreinforce deviant behavior
18
Figure 1-4: Framework for Attackers
Script Kiddies
Use pre-written attack scripts (kiddie scripts)
Viewed as lamers and script kiddies
Large numbers make dangerous
Noise of kiddie script attacks masks moresophisticated attacks
19
Figure 1-4: Framework for Attackers
You may hear the terms “white hat” (goodguys) and “black hat” bad guys
“gray Hat” (Back and Forth between “whitehat” and “black hat”
“Black hat” hackers break in for their ownpurposes
“White hat” can mean multiple things
Strictest: Hack only by invitation as part ofvulnerability testing
Some who hack without permission but reportvulnerabilities (not for pay) also call themselveswhite hat hackers
20
Figure 1-5: Framework for Attacks
21
Attacks
Physical Access
Attacks
--
Wiretapping
Server Hacking
Vandalism
Dialog Attacks
--
Eavesdropping
Impersonation
Message Alteration
Penetration
Attacks
Social Engineering
--
Opening Attachments
Password Theft
Information Theft
Phishing
Scanning
(Probing)
Break-in
Denial of
Service
Malware
--
Viruses
Worms
1/12/2015
22
ระดับ ของ Security ที่ดีระดับ ของ Security ที่ดี
คือคือ
จุดที่ พอดี กับความต้องการของระบบจุดที่ พอดี กับความต้องการของระบบ
“Not the Best” But “Just Enough”
23
24
การพิสูจน์ตัวตน คือขั้นตอนการยืนยันความถูกต้องของหลักฐาน (Identity)ที่แสดงว่าเป็นบุคคลที่กล่าวอ้างจริงในทางปฏิบัติจะแบ่งออกเป็น 2ขั้นตอน คือ- การระบุตัวตน (Identification) คือขั้นตอนที่ผู้ใช้แสดงหลักฐานว่าตนเองคือใคร เช่น Username- การพิสูจน์ตัวตน (Authentication)คือขั้นตอนที่ตรวจสอบหลักฐานเพื่อแสดงว่าเป็นบุคคลที่กล่าวอ้างจริง เช่นPassword
Who is who?
25
การกำหนดสิทธิ์ คือขั้นตอนในการอนุญาตให้แต่ละบุคคลสามารถเข้าถึงข้อมูลหรือระบบใดได้บ้าง ก่อนอื่นต้องทราบก่อนว่าบุคคลที่กล่าวอ้างนั้นคือใครตามขั้นตอนการพิสูจน์ตัวตนและต้องให้แน่ใจด้วยว่าการพิสูจน์ตัวตนนั้นถูกต้อง
Who can access it?
26
การเข้ารหัส คือการเก็บข้อมูลด้วยวิธีการพิเศษเพื่อป้องกันข้อมูลไว้ให้ผู้ที่มีสิทธิเท่านั้น (ปกป้องข้อมูลจากบุคคลอื่นที่ไม่ได้รับอนุญาต)
Who can see it?
27
การรักษาความสมบูรณ์ คือการรับรองว่าข้อมูลจะไม่ถูกเปลี่ยนแปลงหรือทำลายไปจากต้นฉบับ (source) ไม่ว่าจะเป็นโดยบังเอิญหรือโดยเจตนา
Who can change it?
28
การตรวจสอบ คือการตรวจสอบหลักฐานทางอิเล็กทรอนิกส์ ซึ่งสามารถใช้ในการติดตามการดำเนินการเพื่อตรวจสอบความถูกต้องของการใช้งาน เช่นการตรวจสอบบัญชีชื่อผู้ใช้ โดยผู้ตรวจบัญชี ซึ่งการตรวจสอบความถูกต้องของการดำเนินการเพื่อให้แน่ใจว่าหลักฐานทางอิเล็กทรอนิกส์นั้นได้ถูกสร้างและสั่งให้ทำงานโดยบุคคลที่ได้รับอนุญาต และในการเชื่อมต่อเหตุการณ์เข้ากับบุคคลจะต้องทำการตรวจสอบหลักฐานของบุคคลนั้นด้วย ซึ่งถือเป็นหลักการพื้นฐานของขั้นตอนการทำงานของการพิสูจน์ตัวตนด้วย
Who done it?
กระบวนการในการควบคุมการเข้าถึง
1. แจกแจงรายละเอียดที่สำคัญในระบบ (Enumeration of Resources)
2. วิเคราะห์ความสำคัญและความอ่อนไหวของแหล่งข้อมูล (Sensitivity of EachResources)
3. กำหนดผู้ที่สามารถเข้าถึงแหล่งข้อมูล (Determine who should have access)
4. กำหนดสิทธ์ในการเข้าถึง (Access Permissions – Authorizations)
5. กำหนดขอบเขตในการป้องกันการเข้าถึงให้แก่แต่ละแหล่งข้อมูล (Determine Access ControlProtection for Each Resources)
30
Access Control
Access Control
Access control is the policy-driven limitationof access to systems, data, and dialogs
Prevent attackers from gaining access,stopping them if they do
31
Access Control
First Steps
Enumeration of Resources
Sensitivity of Each Resource
Next, who Should Have Access?
Can be made individual by individual
More efficient to define by roles (logged-inusers, system administrators, project teammembers, etc.)
32
Access Control
What Access Permissions(Authorizations) Should They Have?
Access permissions (authorizations) definewhether a role or individual should have anyaccess at all
If so, exactly what the role or individual shouldbe allowed to do to the resource.
Usually given as a list of permissions forusers to be able to do things (read, change,execute program, etc.) for each resource
33
Access Control
How Should Access Control BeImplemented?
For each resource, need an access protectionplan for how to implement protection inkeeping with the selected control policy
For a file on a server, for instance, limitauthorizations to a small group, harden theserver against attack, use a firewall to thwartexternal attackers, etc.
…
34
Access Control
Policy-Based Access Control andProtection
Have a specific access control policy and anaccess protection policy for each resource
Focuses attention on each resource
Guides the selection and configuration offirewalls and other protections
Guides the periodic auditing and testing ofprotection plans
35
Server Password Cracking
Hacking Root
Super accounts (can take any action in anydirectory)
Hacking root in UNIX
Super accounts in Windows (administrator)and NetWare (supervisor)
Hacking root is rare; usually can only hack anordinary user account
May be able to elevate the privileges of theuser account to take root action
36
Server Password Cracking
Physical Access Password Cracking
l0phtcrack
○Lower-case L, zero, phtcrack
○Password cracking program
○Run on a server (need physical access)
○Or copy password file and run l0phtcrack onanother machine.
○System Administrators can test the hosthardening with this program.
37
Server Password Cracking
Physical Access Password Cracking
Brute-force password guessing
○Try all possible character combinations
○Longer passwords take longer to crack
○Using more characters also takes longer
Alphabetic, no case (26 possibilities)
Alphabetic, case (52)
Alphanumeric (letters and numbers) (62)
All keyboard characters (~80)
38
Server Password Cracking
Physical Access Password Cracking
Brute Force Attacks
○Try all possible character combinations
○Slow with long passwords length
Dictionary attacks
○Try common words (“password”, “ouch,” etc.)
○There are only a few thousand of these
○Cracked very rapidly
Hybrid attacks
○Common word with single digit at end, etc.
39
Server Password Cracking
Password Policies
Good passwords
○At least 6 characters long
○Change of case not at beginning
○Digit (0 through 9) not at end
○Other keyboard character not at end
○Example: triV6#ial
40
การป้องกันรหัสผ่านสามารถทำได้โดยการใช้รหัสผ่านที่ดี เช่น
Password Protection
1. มีจำนวนอักษรหรือสัญลักษณ์ไม่น้อยกว่า 6 - 8 ตัว
2. ควรประกอบด้วย ตัวหนังสือ ตัวเลขและ สัญลักษณ์
3. ช่วงตำแหน่งที่ 2 - 6 ควรมีสัญลักษณ์อย่างน้อย 1 ตัว
4. ควรมีความแตกต่างอย่างมากจากรหัสผ่านที่เคยใช้
5. ไม่ควรใช้ชื่อผู้ใช้หรือคนใกล้ชิด
6. ไม่ใช้คำที่เป็นที่รู้จักกันโดยทั่วไปเช่น ศัพท์ในพจนานุกรม
41
Server Password Cracking
Password Policies
Password sharing policies: Generally, forbidshared passwords
○Removes ability to learn who took actions;loses accountability
○Usually is not changed often or at all becauseof need to inform all sharers
42
Server Password Cracking
Password Policies
Lost passwords
○Password resets: Help desk gives new passwordfor the account (need proved)
○Opportunities for social engineering attacks
○Leave changed password on answering machine
○Biometrics: voice print identification for requestor(but considerable false rejection rate)
43
Server Password Cracking
Password Policies
Lost passwords
○Automated password resets
Employee goes to website
Must answer a question, such as “In whatcity were you born?”
Problem of easily-guessed questions thatcan be answered with research
44
Figure 2-5: UNIX/etc/passwd File Entries
Plee:x:47:3:Pat Lee:/usr/plee/:/bin/csh
plee:6babc345d7256:47:3:Pat Lee:/usr/plee/:/bin/csh
Password
Group ID
Home Directory
User Name
User ID
GCOS
Shell
Without Shadow Password File
With Shadow Password File
The x indicates that the password is stored
in a separate shadow password file
Figure 2-5: UNIX/etc/passwd File Entries
Unfortunately, many software processesrun with root privileges and so can read thepassword file. If the attacker can take oversuch a program, the attacker will have accessto the shadow password file.
46
Figure 2-2: Server PasswordCracking
Password Policies
Windows passwords
○Obsolete LAN manager passwords (7characters maximum) should not be used
○Two 7-character strings are available but veryeasy to be cracked.
○Windows NTLM passwords are better
○Option (not default) to enforce strongpasswords
Windows Client PC Passwords
Login Password
- Bypass by hitting escape.
BIOS Password
- Remove the small battery.
Screensaver Password
- Should com quickly after user stepsaway.
48
Figure 2-6: Building Security
Building Security Basics
Single point of (normal) entry to building
Fire doors, etc.: use closed-circuit television(CCTV) and alarms to monitor them
Security centers
○Monitors for closed-circuit TV (CCTV)
○Videotapes that must be retained (Don’t reusetoo much or the quality will be bad)
○Alarms
49
Figure 2-8: Access Cards
Magnetic Stripe Cards
•บัตรเครดิต, บัตรประจำตัวนักศึกษาที่มีแถบแม่เหล็กด้านหลัง เป็นต้น
Smart Cards
Have a microprocessor and RAM
More sophisticated than mag stripe cards
Release only selected information to differentaccess devices
50
ความเป็นมาของ TCP/IP
ค.ศ.1969 Defence Advanced ResearchProjects Agency (DARPA) ต้องการพัฒนาเครือข่ายเพื่อเชื่อต่อคอมพิวเตอร์ของหน่วยทหารต่างๆ ของสหรัฐ โดยใช้ชื่อว่า Advanced Research ProjectAgency Network (ARPAnet)
ค.ศ.1983 ARPAnet ได้แบ่งเครือข่ายออกเป็น MILnet สำหรับให้บริการทางทหารอย่างเดียว และ ARPAnet ได้พัฒนาต่อเนื่องเป็นอินเตอร์เน็ต (Internet)
ต่อมาได้มีการเชื่อมต่อเครือข่าย NSFNET(National Science FoundationNetwork) เข้ากับ ARPAnet
51
Hybrid TCP/IP-OSI Architecture
Combines TCP/IP standards at layers 3-5 with
OSI standards at layers 1-2
TCP/IP
Application
Transport
Internet
OSI
Subnet Access: Use
OSI Standards Here
Hybrid TCP/IP-OSI
Application
Presentation
Session
Application
Transport
Transport
Network
Internet
Data Link
Data Link
Physical
Physical
TCP/IP Standards
52
Frames and Packets
Frames are messages at the data link layer
Packets are messages at the internet layer
Packets are carried (encapsulated) inframes
There is only a single packet that isdelivered from source to destination host
This packet is carried in a separate frame ineach network
TCP/IP Standards
53
Layer Cooperation ThroughEncapsulation on the Source Host
Application
Process
HTTP
Message
Transport
Process
HTTP
Message
TCP
Hdr
Internet
Process
HTTP
Message
TCP
Hdr
IP
Hdr
Encapsulation of HTTP
message in data field of
a TCP segment
Encapsulation of TCP
segment in data field
of an IP packet
54
Layer Cooperation ThroughEncapsulation on the Source Host
Internet
Process
Data Link
Process
Physical
Process
Encapsulation
of IP packet in
data field of
a frame
HTTP
Message
TCP
Hdr
IP
Hdr
HTTP
Message
TCP
Hdr
IP
Hdr
DL
Hdr
DL
Trlr
Converts Bits of Frame into Signals
55
Layer Cooperation ThroughEncapsulation on the Source Host
DL
Trlr
Note: The following is the final frame for supervisory TCP segments:
TCP
Hdr
IP
Hdr
DL
Hdr
56
Layer Cooperation Through Decapsulationon the Destination Host
Application
Process
HTTP
Message
Transport
Process
HTTP
Message
TCP
Hdr
Internet
Process
HTTP
Message
TCP
Hdr
IP
Hdr
Decapsulation of HTTP
message from data field of
a TCP segment
Decapsulation of TCP
segment from data field
of an IP packet
57
Layer Cooperation Through Decapsulationon the Destination Host
Internet
Process
Data Link
Process
Physical
Process
Decapsulation of IP
packet from data
field of a frame
HTTP
Message
TCP
Hdr
IP
Hdr
HTTP
Message
TCP
Hdr
IP
Hdr
DL
Hdr
DL
Hdr
Converts Signals into the Bits of the Frame
58
Internet and Transport Layers
Internet Protocol (IP)
○IP at the internet layer is unreliable — does notcorrect errors in each hop between routers
○This is good: reduces the work each routeralong the route must do so the cost of therouter itself is much cheaper.
TCP/IP Standards
59
Transport Layer Standards
Transmission Control Protocol (TCP)
○Reliable and connection-oriented service at thetransport layer
○Corrects errors
User Datagram Protocol (UDP)
○Unreliable and connectionless service at thetransport layer
○Lightweight protocol good when catching errorsis not important
TCP/IP Standards
60
Internet Protocol (IP)
Connection-Oriented Service andConnectionless Service
Connection-oriented services have distinct startsand closes (telephone calls) (ต้องทำการจองช่องทางก่อนเริ่มการส่งข้อมูล)
Connectionless services merely send messages(postal letters) (ไม่ต้องจองช่องทางก่อนการส่งข้อมูล)
IP is connectionless, TCP is connection-oriented
61
Hierarchical IP Address
Network Part (not always 16 bits)
Subnet Part (not always 8 bits)
Host Part (not always 8 bits)
Total always is 32 bits.
128.171.17.13
Host 13
128.171.17.13
CBA Subnet
(17)
UH Network(128.171)
The Internet
Class A:
Class B:
Class C:
Class D: Multicast
Class E: Research
IP Address Classes
IP Address Classes
Network
Network
Host
Host
Host
Host
Host
Host
Network
Network
Network
Network
Host
Host
Host
Host
Network
Network
Network
Network
Network
Network
Host
Host
8 bits
8 bits
8 bits
8 bits
63
IP Address Masking withNetwork and Subnet Masks
Example 1
Network Masking
Subnet Masking
IP Address
128.171.17.13
128.171.17.13
Mask
255.255.0. 0
255.255.255.0
Result
128.171.0. 0
128.171.17.0
Meaning
16-bit network part is 128.171
Combined 24-bit network plus subnetpart are 128.171.17
Example 2
IP Address
60.47.123.7
60.47.123.7
Mask
255.0.0.0
255.255.0.0
Result
60.0.0.0
60.47.0.0
Meaning
8-bit network part is 60
Combined 16-bit network plus subnetparts are 60.47
64
IP Address Spoofing
Trusted Server
60.168.4.6
Victim Server
60.168.47.47
1. Trust Relationship
2.
Attack Packet
Spoofed Source IP Address
60.168.4.6
Attacker’s Identity is
Not Revealed
Attacker’s Client PC
1.34.150.37
3. Server Accepts Attack Packet
65
Transmission Control Protocol (TCP)
Connections: Opens and Closes
Formal open and close
○Three-way open: SYN, SYN/ACK, ACK
○Normal four-way close: FIN, ACK, FIN, ACK
○Abrupt close: RST
66
Transmission Control Protocol (TCP)
Port Number
Port numbers identify applications
Well-known ports (0-1023) used by applicationsthat run as root
Registered ports (1024-49152) for otherapplications with lower authority
Ephemeral/Private/Dynamic ports (43153-65535)for Clients
○HTTP=80, Telnet=23, FTP=21 for supervision, 20for data transfer, SMTP=25
Source Port Number (16 bits)
Destination Port Number (16 bits)
End of Slides