Brontekst bekijken van Beveiliging van netwerk- en computerinfrastructuur

[[Afbeelding:ChristopheHuygens.jpg|right|200px|]]
= Lijst van afkortingen =
== Deel 1 ==
* CSP: Corporate Security Policy
* UAT: User Acceptance Testing 
* SLA: Service Level Agreement
* BCP: Business Continuity Plan
* DRP: Disaster Recovery Plan
* CITSP: Corporate Information Technology Security Policy
* GTI: Grand Travaux Inutiles (grote, nutteloze werken) => gebouwd maar niet in gebruik
* CBA: Cost-Benefit Analysis
* ORM: Operational Risk Management
* SOX: Sarbanes-Oxley Act (VS)
* HIPAA: Health Insurance Portability and Accountability Act (VS)
* SSE-CMM: Systems Security Engineering - Common/Capability Maturity Model

== Deel 2 ==
* HSM: Hardware Security Module
* PKCS: Public-Key Cryptography Standards

=2011-2012=

==20 juni NM==

# Bespreek de volgende concepten:
## state monitoring
## TCP wrapper
## Satan tool
## time based security
# Metcalfe's law (waarde van een netwerk is kwadratisch afhankelijk van het aantal gebruikers): welke invloed op beveiligingskwaliteit?
# Geef en bespreek enkele voorbeelden van externalities buiten de IT sector. Hoe kan de overheid risicovol gedrag tegengaan?
# IPSec ESP mode en NAT: problemen?
# Schets een netwerk voor veilige e-banking. Geef de PDU en protocol stack op belangrijke plaatsen in het netwerk. Bespreek in detail transactiebeveiliging. Hoe kan je DoS aanvallen stoppen/vermijden?

=2010-2011=
==27 juni NM==

# SoftwareFactory schrijft een boekhoudpakket. Is backup van de development server met nightly builds van dit pakket voor SoftwareFactory een industrieel of een operationeel risico?
# Waarom is het bepalen van softwarebeveiliging op basis van observaties door gebruikers zo moeilijk?
# Wat is "event monitoring"? Welke tools gebruiken we bijvoorbeeld hiervoor?
# Geef en illustreer 3 marktmechanismen die slechte beveiliging veroorzaken.
# Ik wil anoniem surfen. Ontwerp en een bespreek een oplossing voor dit probleem. Vergeet niet steeds de PDU's en de protocolstapel te tekenen op kritieke plaatsen in het netwerk.
# Bespreek de beveiliging van het Toledo leerplatform

==24 juni NM==
# Gegeven grafiek risk posture (anxiety and risk). "Amerikanen hebben meer schrik voor een aardbeving dan Chinezen", klopt deze uitspraak?
# Geef en bespreek voorbeelden van externaliteiten _buiten_ de IT. Wat kan de overheid doen om dit risicovol gedrag tegen te gaan?
# Metcalfe's law (waarde van een netwerk is kwadratisch afhankelijk van het aantal gebruikers): welke invloed heeft deze op beveiligingskwaliteit?
# Ontwerp een oplossing voor veilig e-banking (Je moet op kritische punten pakketten en protocolstapels tekenen). Bespreek in detail de perimeterbeveiliging. Hoe kan men zich tegen DoS-aanvallen beschermen?

=2009-2010=
==18 juni VM==
# Het bedrijf SoftwareFactory ontwikkelt een boekhoudpakket. Is de beveiliging ervan voor SoftwareFactory industrieel risico of operationeel risico.
# Kan je de softwaremarkt vergelijken met de markt van tweedehands auto's?
# Is beveiliging belangrijk voor Facebook? (pros en cons)
# Ontwerp een infrastructuur voor veilige e-banking. Teken de PDU's en de protocolstapel op alle belangrijke plaatsen. Beschrijf in detail het verloop van een transactie.
 

=2008-2009=
==31 aug 2009 VM==
# Je krijgt een text waaruit je een industriele en operationele risico's moet extraheren (finansieel context bij banken). 
# Vergelijk europees en VS-VK policies management. 
Nog een bijvraag :waarom willen ze in VS-VK responsibility vermijden (policy leidt tot toekennen van responsibilites)
# Shibboleth gebruiken voor anonymous inloggen en toch persistensie van sessie(s) behouden? Mogelijk (indien ja, dan hoe)? 
Het gaat min of meer over hoe kan je vandaag inloggen en zeg maar overmorgen uw sessie terug opvragen (persistentie).Tricky part is dat je telkens met andere nameID inlogt (want je ben anoniem!) kijk dan eens op wat er met de attributen gebeurt en dan ben je er wat verder ermee :)
# Ontwerp velige PC banking. Besprek transactie beveiliging (wat moet van een transactie beveiligd worden concreet) en netwerk perimeter + pakketen op cruciale plaatsen tekenen.
Ik maakte soort gelijk aan KBC: 2 firewalls tussen 3 tiers(klant,DMZ,backend intranet). DMZ met WS en IDS op een bastion toegenkelijk enkel via reverse proxy. WS communiceert met Application server(+app gateway draait erop) in backend tier om zo indirect een toegeng te krijgen tot DB. Ook antivirus gebruiken op de machines + automatisch updates. Authenticatie van klant en bank via certificten . SSL (dus via HTTPS port!). Het was min of meer de basis dat je verder moet goed beargumenteren en uitbreiden met je eigen ideen (bv.expliciete policy voor klanten en veel meer).

==19 juni 2009 VM==
#''Belgische banken nog steeds kraakbaar'' Bron: ZDNet<br>Beveiliger signaleert malware gericht op financiÃƒÂ«le instellingen Beveiliger signaleert malware gericht op financiÃƒÂ«le instellingen. Webcriminelen hebben het nog steeds gemunt op Belgische banken. <br>Volgens vaststellingen van beveiligingsbedrijf Panda Security is er malware in omloop die banken in ons land, maar ook in Nederland, heel gericht viseert. De ontdekking bevestigt de evolutie van de laatste maanden, waarin er meer schadelijke software opduikt die zich niet op de massa maar op specifieke groepen toelegt. Welke banken precies onder vuur liggen, wil Panda liever niet kwijt. Het probleem ligt in ons land immers gevoelig sinds een half jaar geleden bekend raakte dat in de systemen van KBC, Dexia en Argenta werd ingebroken. Net zoals toen gaat het niet om een geopend achterpoortje bij de banken, maar om een gebrekkige beveiliging bij de gebruiker. <br>Concreet gaat het om schadelijke software die zich nestelt op de computer van de gebruiker. Het programma wordt vervolgens actief wanneer het slachtoffer gaat thuisbankieren. Om de problematiek tegen te gaan, vragen banken de laatste maanden steeds meer om een actuele beveiliging door de klant. Maar zelfs daarmee glippen sommigen hackers door de mazen van het net.
## Welke elementen van industriÃƒÂ«el en operationeel risico vind je hier terug?
## Stel een oplossing voor.
# 
## Waarom is het CMMI een effectievere methode dan procedurele methode zoals ISO 17999?
## Hoe kan een persistentie sessie gemaakt worden die de anonimitiet van de user garandeert in een shiboleth omgeving ?
# KBC verandert zijn identity management van een situatie die de focus legt op de perimeter naar een airportmodel. Bespreek. Waar komt de focus te liggen.
# Je logt in bij de bank via telenet. Beschrijf de oplossing, schets de infrastructuur (hosts, routers, netwerken,...), de protocolstapels en PDUs op kritische plaatsen, de adreselementen van de PDUs op elke laag van de stapel.
--[[Gebruiker:Uvrt|Uvrt]]

=2007-2008=
==25/06/08 VM ==
# [http://nl.wikipedia.org/wiki/Rente-_en_valutamanagement#Valutarisico (wikipedia)] Het valutarisico is onder te verdelen in drie soorten: (pre-)transactie, operationeel en translatierisico: 
#* Het translatierisico ontstaat als het gevolg van transacties in buitenlandse valuta's. Daarnaast onderkent men ook een pre-transactie exposure (blootstelling aan risico), dit is het risico op potentiÃƒÂ«le transacties zoals uitstaande offertes. Het risico heeft zijn effect op resultatenrekening van de korte termijn doordat de onderneming meer of minder opbrengsten c.q. kosten heeft door een verandering in de valuta.
#* Het structureel risico is het risico dat ontstaat als gevolg van de structuur en omzet van de bedrijfsactiviteiten van een onderneming. Een goed voorbeeld van een structureel risico was het bedrijf Fokker. Deze produceerde vliegtuigen in Nederland en verkocht deze in dollars. Het resultaat bleef op lange termijn gevoelig voor een verandering van de waarde van de dollar door de opzet van de activiteiten.
#* Het translatierisico is de verandering van de intrinsieke waarde van de onderneming als gevolg van een verandering in de koers doordat bijvoorbeeld deelnemingen in vreemde valuta worden geherwaardeerd. Dit betreft bijvoorbeeld een lange termijn investering in een andere valuta dan de rapportagevaluta. Bijvoorbeeld, een Nederlandse multinational die een investering doet in een Russische onderneming kan de waardering van deze deelneming zien dalen door een devaluatie van de roebel. De oorzaak van een translatierisico ligt vaak in een ver verleden en de in te dekken cashflows in de verre toekomst. Een translatierisico heeft alleen een effect op de balans.
#* Welke elementen van industriÃƒÂ«el en operationeel risico vind je hier terug?
# Geef een aantal voorbeelden van beveiligingsmetrieken
#* voor programmatuur 
#* voor infrastructuur
# Waarom werkt de basel II richtlijn zo motiverend voor banken
# Een bedrijf heeft 1 hoofdsite en 4 kleinere site met een dynamisch adres: ontwerp een perimeter voor alle sites. Hoe gebeurt de authenticatie voor de kleine sites? Kan dit met certificaten?

Bij infrastructuurtekeningen steeds PDUs en stapel aangeven.

=2006-2007=
==22:06/07==
#Heeft een makelaar die in effecten handelt langs het internet vooral te maken met operationeel of industrieel risico?
#Hoe voorkomt Shibboleth dat je voor iedere sessie jezelf moet authenticeren, en hoe zorgt het ervoor dat permanente gegevens niet verloren gaan?
#Bespreek de verschillende onderdelen van een CSP.
#Iemand wil telebankieren. Ontwerp een veilige opstelling aan de client-zijde.
=2005-2006=
==22/08/06 VM==
#Culturele verschillen in beveiligingsbeleid en -aanpak.
#
##Geef mogelijke problemen bij GMail (of andere serverside mail)
##Overheid internet afluisteren: hoe?
#Industrieel risico in financiele wereld. Geef voorbeelden.
#Infrastructuur: e-banking

==30/06/06 VM==
#Een metriek die het operationeel risico voorspelt noemt men een risico-indicator of KRI. Illustreer elk deeldomein van OR met een voorbeeld-KRI. (Nadat de eerste persoon het grandioos verkeerd het begrepen zei prof: personnel, processes, systems, external)
#Bespreek ISO17799 - als je voldoet aan ISO17799 ben je dan ook "veilig"?
#Twee drugkartels wensen Email uit te wisselen, ontwerp de beveiligingsinfrastructuur. (beschrijf de oplossing, schets de infrastructuur (hosts, routers, netwerken,...), de protocolstapels en PDUs op kritische plaatsen, de adreselementen van de PDUs op elke laag van de stapel)
#Wat is Tacacs? Geef een korte schets van een toepassingsscenario.
==29/06/06 VM==
#Eenmaal je een operationeel risico hebt geidentificeerd, hoe kan je er dan mee omgaan?
#Wat is er zo belangrijk aan een maturity model?
#Geef een infrastructuur voor e-banking.  Geef op elk van de belangrijke punten de protocol stack en de PDUs
#Wat is radius? Schets een scenario van waar het gebruikt kan worden.

==26/06/06 VM==
#Is een beveiligingsrisico altijd een operationeel risico?
#Geef van elk van de 7 deeldomeinen van de beveiligingscontext een voorbeeld.
#Mijn bedrijf heeft 2 filialen die met huurlijnen met het internet zijn verbonden, ontwerp de beveiligingsinfrastructuur. Werkt eenzelfde oplossing ook voor thuisgebruikers die via Telenet zijn verbonden? (beschrijf de oplossing, schets de infrastructuur (hosts, routers, netwerken,...), de protocolstapels en PDUs op kritische plaatsen, de adreselementen van de PDUs op elke laag van de stapel)
#Waarom is inbraakdetectie slecht geconditioneerd als probleem?

===Antwoorden===
#Ja, beveiligingsrisico's zouden deel uitmaken van de operationele risico's, dus niets te maken met Industrie Risico (IR)
#(1.)IT - firewall (2.) Physical - overstromingen, dieven,... (3.) Environment - milieubelastend, rotsooi niet verdoezelen (4.) Human - kinderarbeid (5.) Organizational - universiteit vs. leger (6.) Administrative - hoe lang gegevens bijhouden van verhuur porno-video's ofzo (7.) Legal - business doen volgens regels van het land (SOX wet)
#infra..fra..structuur
#Beetje zeveren uit hoofdstuk 9 van handboek, zeker figuur 9.1 p.298 vermelden en uitleggen.


--Vincent

=2004-2005=
==27/06/05 VM==
1) geef voorbeeld van elk van de 7 domeinen die CSP kan omvatten

2) op welke plaats in de infrastructuur zou je antivirus componenten zetten

3) bank wil website, email en e-banking aanbieden aan klanten, ontwerp infrastructuur 
==27/06/05 NM==
1) CSP culturele verschillen van Lemoigne Triangle uitleggen tussen Amerika en Europa

2) IDS: waar in de internetperimeter?

3) bedrijf met mail/file/webserver en enkel werknemers mogen aan fileserver: ontwerp een securitydesign 
==05/07/05 VM==
1) ISO-17799/BS7799: bespreek

2) IDS bespreek problemen + oplossingen in de context van VPN.

3) Ik surf met een ADSL-aansluiting naar de Toledo-website. Geef de 
infrastructuur hiervan.

[[Categorie:mi]]