Copyright 2017 - Studia podyplomowe IT PW Ochrona Informacji w Sieciach i Systemach Teleinformatycznych: Projektowanie i Audyt Zabezpieczeń

Bloki tematyczne:

P-T-KPK - 1. Wprowadzenie do kryptografii (4w+2c)

Podstawowe kategorie szyfrów klasycznych I ich przykładowe realizacje. Szyfry podstawieniowe: monoalfabetyczne, polialfabetyczne, homofoniczne, poligramowe, szyfry permutacyjne i podstawieniowo-permutacyjne. Maszyny rotorowe i Enigma. Operacje matematyczne wykorzystywane w szyfrach klasycznych. Podstawy matematyczne budowy współczesnych algorytmów kryptograficznych. Podstawowe struktury algebraiczne: grupa, pierścień, ciało. Ciała skończone i obliczenia w ciałach skończonych. Krzywe eliptyczne. Liczby pseudolosowe i generatory liczb pseudolosowych. Testowanie generatorów liczb pseudolosowych.

Zajęcia praktyczne obejmują prezentację działania szyfrów klasycznych oraz przykładowe obliczenia w grupach i ciałach stosowanych we współczesnej kryptografii. Udostępnione i zaprezentowane zostaną również programy do statystycznej analizy ciągów binarnych przeznaczonych do celów kryptograficznych.

P-T-KPK – 2a, b. Kryptografia symetryczna i asymetryczna (8w+4c)

Omówienie trzech podstawowych klas algorytmów kryptograficznych: kryptograficznych funkcji skrótu, szyfrów symetrycznych (z uwzględnieniem podziału na algorytmy strumieniowe i blokowe) oraz szyfrów asymetrycznych (stosowanych jako szyfry z kluczem publicznym lub jako podpisy elektroniczne). Przedstawione zostaną podstawy teoretyczne budowy algorytmów należących do każdej z tych klas oraz przykłady konkretnych realizacji tych algorytmów, będące przedmiotem standardów międzynarodowych (SHA-1,2,3, DES-AES, DSA-ECDSA). Zaprezentowane zostaną tryby pracy omawianych algorytmów i ich zastosowania.

Zajęcia praktyczne obejmować będą przykłady działania elementów omawianych algorytmów, użycie pełnych algorytmów (w tym trybów pracy). Przeanalizowane także zostaną standardy specyfikujące powyższe algorytmy.

P-T-KPK – 3a, b. Protokoły kryptograficzne (10w+2c)

Omówione zostaną standardy podpisu cyfrowego, certyfikaty i infrastruktura klucza publicznego. Zaprezentowane będą podstawowe protokoły kryptograficzne, takie jak: protokoły podziału sekretu, dowód z wiedzą zerową, obliczenia rozproszone, głosowanie elektroniczne, elektroniczna gotówka i bezpieczne płatności elektroniczne. Zdefiniowane zostaną protokoły uwierzytelnienia jednostronnego i dwustronnego. Podane zostaną przykłady takich protokołów w wersji podstawowej (identyfikacja, uwierzytelnienie, autoryzacja), jak również z udziałem zaufanej trzeciej strony. Omówione zostaną podstawowe usługi bezpieczeństwa i ich rola z konstruowaniu protokołów kryptograficznych.

Zajęcia praktyczne: obejmują przykłady wykorzystania infrastruktury klucza publicznego (PKI) i certyfikatów cyfrowych.

P-T-KPK – 4a, b. Bezpieczne protokoły sieciowe (8w+4c)

Tematem wykładu będzie omówienie najpopularniejszych protokołów zabezpieczających komunikację na poziomie wszystkich warstw Internetu, to znaczy: MACsec, IPsec, SSL/TLS i Kerberos. Omówione zostaną protokoły bezpiecznego użycia kart płatniczych. Przedstawione zostaną zasady konstrukcji bezpiecznych aplikacji sieciowych, działanie bezpiecznej poczty elektronicznej oraz problematyka bezpieczeństwa serwisów internetowych.

Zajęcia praktyczne obejmują omówienie oprogramowania typu open source do obsługi bezpiecznych łączy internetowych, tj. Open PGP, Open SSL, instalacja i konfiguracja takiego oprogramowania w komputerach osobistych. Dodatkowo przedstawiony zostanie program Stunnel do tunelowania połączeń z wykorzystaniem protokołu SSL/TLS.

 

Uzyskane umiejętności:

  • podstawy matematyczne kryptografii, umiejętność wykonywania niezbędnych obliczeń
  • znajomość podstawowych algorytmów kryptograficznych i umiejętność ich wyboru do własnych zastosowań
  • umiejętność odczytania, zaprojektowania, konfigurowania i wykorzystania protokołów kryptograficznych
  • umiejętność wykorzystania protokołów bibliotecznych do zabezpieczenia poczty elektronicznej i wymiany danych
  • znajomość podstaw wykorzystania kart elektronicznych w systemach zabezpieczeń

Bloki tematyczne:

I semestr

P-T-BS -1  (6w)

Zajęcia obejmują wprowadzenie do zagadnień bezpieczeństwa sieciowego, ze szczególnym naciskiem na zagrożenia, z którymi stykają się użytkownicy Internetu. Przedstawione zostaną powszechnie występujące zagrożenia, obserwowane ataki oraz usługi bezpieczeństwa, które są wymagane dla stworzenia bezpiecznych systemów teleinformatycznych. W czasie wykładów zostaną również omówione zagrożenia, takie jak wirusy, robaki i konie trojańskie, z wyszczególnieniem różnic w ich działaniu oraz sposobów propagacji w sieci.

P-T-BS -2  (2w+4l)

Zajęcia obejmują wprowadzenie do konfiguracji urządzeń firmy Cisco, na których zostaną zrealizowane dalsze ćwiczenia laboratoryjne. W ramach tego bloku zostaną omówione podstawowe komendy umożliwiające wstępną konfigurację urządzenia, wraz z bezpiecznym zdalnym dostępem oraz podstawowymi mechanizmami utwardzania systemu (ang. hardening). Dodatkowo zostaną omówione mechanizmy logowania ważnych zdarzeń oraz zdalnego monitorowania urządzeń.

Ćwiczenia

Podstawowa konfiguracja, zdalny dostęp ssh, utwardzanie systemu, logowanie zdarzeń, monitorowanie urządzenia (SNMP)

P-T-BS -3   (2w+4l)

Głównym tematem tych zajęć jest omówienie metod rozdzielenia sieci o różnych wymaganiach bezpieczeństwa z wykorzystaniem zapory ogniowej. Podczas zajęć zostanie omówiona architektura dzisiejszych sieci z naciskiem na umieszczenie pewnych usług w strefie DMZ. Podczas ćwiczeń zostanie dokonana konfiguracja przykładowej sieci zawierającej maszyny w strefach DMZ i wewnętrznej sieci LAN. Dodatkowo zostaną omówione mechanizmy zmniejszenia wybranych zagrożeń z wykorzystaniem mechanizmów ingress i egress filetring.

Ćwiczenia

NAT, różnego rodzaju FW, budowa w labie sieci z DMZ i strefą internal

P-T-BS -4  (2w+4l)

Tematem zajęć są mechanizmy ochrony przed atakami skierowanymi na warstwę drugą modelu ISO/OSI oraz budowę nowoczesnych sieci w wykorzystaniem mechanizmu VLAN-ów. Podczas zajęć praktycznych zostaną omówione między innymi mechanizmy bezpieczeństwa takie jak port security, DHCP snooping czy dynamic arp inspection.

Ćwiczenia

Port security, DHCP snooping, dynamic arp inspection (DAI)

 

II  semestr

 

P-T-BS -1  (7w)

Zajęcia poświęcone są omówieniu mechanizmów bezpieczeństwa sieci komputerowych. Podczas zajęć zostaną przedstawione między innymi mechanizmy zapór ogniowych, systemy wykrywania włamań, jak również mechanizmy ochrony dedykowane warstwie drugiej modelu ISO/OSI. Dodatkowo omówiona zostanie architektura AAA (Authentication, Authorization and Accounting).

P-T-BS -2  (4l)

Podczas pierwszej części praktycznych zajęć laboratoryjnych zostanie przedstawiona konfiguracja podsystemu wykrywania włamań na urządzeniach sieciowych firmy Cisco. Druga część poświęcona będzie konfiguracji mechanizmu AAA umożliwiającego weryfikację logujących się użytkowników z wielu urządzeń na pojedynczym centralnym serwerze uwierzytelniającym.

Konfigurowanie systemy IDS/IPS na ruterze, Snort (?), konfiguracja AAA, 802.1X

P-T-BS -3  (7w)

Głównym tematem zajęć będzie omówienie sposobów zabezpieczania danych przesyłanych przez sieć komputerową. Podczas wykładu zostanie omówiony sposób działania protokołów SSL/TLS jak również architektury protokołu IPSec. Dodatkowo zostaną omówione aspekty bezpieczeństwo sieci bezprzewodowych i telefonii internetowej.

P-T-BS -4  (4l)

Podczas praktycznych zajęć zostanie przećwiczona konfiguracja tuneli pomiędzy urządzeniami firmy Cisco, między innymi wykorzystującymi protokoły GRE, IPSec.

P-T-BS -5  (7w)

9:30-12:45 (dwa bloki: 9:30-11:00 oraz 11:15-12:45)

„Ukrywanie informacji w sieciach” (3h wykładu + 1h demonstracji)

prof. nzw. dr hab. inż. Krzysztof Szczypiorski, Zakład Cyberbezpieczeństwa, IT PW

mgr inż. Piotr Śmietanka, Zakład Cyberbezpieczeństwa, IT PW

9:30-11:00 (2h) Wykład cz. 1

12:00-12:45 (1h) Wykład cz. 2

Metody ukrywania informacji zmieniają się wraz z rozwojem nowych form komunikacji międzyludzkiej, a co za tym idzie ewoluuje także rodzaj nośnika ukrytych danych. Współczesne rozwiązania i prace badawcze w dziedzinie steganografii (nauki o ukrywaniu informacji), koncentrują się głównie na ukrywaniu informacji w treściach multimedialnych (cyfrowych obrazach, plikach dźwiękowych, filmach wideo, przesyłanym tekście) oraz w sieciowych protokołach komunikacyjnych. W pierwszym przypadku istotą rozwiązań steganograficznych jest wbudowanie ukrytych danych w nośnik w taki sposób, żeby były one niewykrywalne przez zmysły człowieka (wzrok, słuch). W przypadku steganografii wykorzystującej jako nośnik protokoły sieciowe modyfikacji podlegają określone właściwości protokołów, takie jak zawartość pól opcjonalnych, sekwencje wysyłanych wiadomości itp. Celem tego typu steganografii jest zatem przesyłanie tajnych informacji w taki sposób, by innymi użytkownicy sieciowi nie byli świadomi faktu komunikacji pomiędzy stronami wykorzystującymi metody ukrywania informacji. Dlatego też w odniesieniu do wszystkich metod steganograficznych wykorzystujących jako nośnik ukrytych informacji ruch przesyłany w sieciach telekomunikacyjnych używa się określenia steganografii sieciowej (network steganography). W rezultacie zastosowanie steganografii sieciowej pozwala na prowadzenie ukrytej komunikacji w sieciach telekomunikacyjnych.

W ciągu ostatnich dziesięciu lat można zaobserwować bardzo intensywne zainteresowanie rozwojem steganografii sieciowej. Zaważyły na tym dwa czynniki: po pierwsze, zainteresowanie biznesu metodami zapewniania praw autorskich DRM (Digital Rights Management), po drugie, rzekome wykorzystanie metod steganograficznych przez terrorystów podczas planowania ataków na USA z 11 września 2001 roku.

Podczas wykładu zostaną omówione opracowane na Politechnice Warszawskiej nowatorskie metody steganografii sieciowej m.in. przeznaczony dla sieci WLAN system HICCUPS (Hidden Communication System for Corrupted Networks) oraz przeznaczony dla telefonii IP system LACK (Lost Audio Packets Steganograhy). Dodatkowo zostanie zaprezentowany opracowany na PW na zlecenie Sił Zbrojnych USA system TrustMAS (Trusted Communication Platform for Multi-Agent Systems) będący realizacją steganograficznego routera w środowisku wieloagentowym.

11:15-12:00 (1h) Demonstracja systemu SkyDe+: ukrywanie informacji w ruchu sieciowym Skype

SkyDe+ stanowi gruntowne rozwinięcie (wraz z adaptacją do warunków panujących w sieci Internet) metody steganograficznej SkyDe (zaproponowanej w 2012 roku przez zespół prof. Krzysztofa Szczypiorskiego). Jest to rozwiązanie steganograficzne, opierające się na modyfikacji pakietów sieciowych przenoszących dane połączenia audio aplikacji Skype.  Implementacja metody została przygotowana na platformę mobilną Android. We wrześniu 2014 roku, stworzona aplikacja otrzymała nagrodę Ministerstwa Administracji i Cyfryzacji oraz Generalnego Inspektora Ochrony Danych Osobowych, dla najlepszej aplikacji mobilnej przyjaznej prywatności.

13:30-16:00 (dwa bloki 13:30-14:30 oraz 14:45-16:00)

„Bezpieczeństwo aplikacji webowych na przykładzie Java EE” (3h wykładu z demonstracjami)

mgr Patrycja Węgrzynowicz, Wydział Matematyki, Informatyki i Mechaniki, Uniwersytet Warszawski

Technologie webowe rozwijają się bardzo intensywnie od dwóch dekad, a liczba, rozmiar i stopień skomplikowania aplikacji webowych nieprzerwanie wzrasta. Wraz z rozwojem i powszechnością tych technologii rozwijały się również techniki ataku. Udane ataki na systemy informatyczne mogą prowadzić do ujawnienia informacji, utraty integralności danych czy dostępności systemu, a to wszystko przekłada się na straty biznesowe, poczynając od utraty reputacji przez odpływ klientów do poważnych strat finansowych. To pokazuje, jak istotne jest bezpieczeństwo systemów informatycznych, w tym webowych.

Wykład skupia się na budowie bezpiecznych aplikacji webowych na przykładzie Java EE, jednej z najpopularniejszych platform do tworzenia tego typu systemów. Po wprowadzeniu w tematykę bezpieczeństwa webowego (podstawowe pojęcia, metodyka oceny podatności, dobre praktyki rozwoju oprogramowania w kontekście bezpieczeństwa) skupimy się na technicznych aspektach najpopularniejszych podatności bezpieczeństwa według fundacji Open Web Application Security Project (the OWASP Top 10). Demonstracje pozwolą lepiej zrozumieć, jak można wykorzystać poszczególne podatności bezpieczeństwa w zarządzaniu sesją, przy uwierzytelnianiu i autoryzacji, walidacji danych wejściowych oraz przy różnych typach wstrzyknięć. Przykłady zilustrują typowe błędy i braki konfiguracyjne, jak również pokażą jakich mechanizmów Java EE używać, aby budować bezpieczne aplikacje webowe.

P-T-BS – 6 (7w)

Tematem zajęć będzie omówienie sposobów zdobycia próbek różnego typu złośliwego oprogramowania oraz ich analiza. W ramach zajęć zostaną omówione szczegółowo ataki na aplikacje napisane w językach C/C++, między innymi buffer overflow, oraz format string attack. Dodatkowo zostaną omówione różne rodzaje systemów HoneyPot umożliwiających śledzenie aktywności atakujących oraz coraz częściej stosowane jako kolejne systemy ochrony.

P-T-ZB -1

W ramach zajęć zostaną zaprezentowane podstawowe zagadnienia związane z ogólno pojętym bezpieczeństwem. Przedstawiony zostanie zarys organizacji, która nie posiada wdrożonego żadnego systemu ZBI oraz charakterystyka posiadania wiedzy przez poszczególne role znajdujące się w organizacji. Przedstawione ponadto zostaną podstawowe elementy, na które należy zwrócić uwagę w przypadku podjęcia decyzji o wdrożeniu systemu zarządzania bezpieczeństwem informacji.

W dalszej kolejności omówione zostaną modele bezpieczeństwa (Bell-LaPadule, Biba, Clark-Wilson) oraz modele przydzielania uprawnień (DAC, MAC, RBAC i inne). Omówione zostaną dostępne metodyki do oceny dojrzałości organizacji oraz metodyki wytwarzania oprogramowania. Na koniec zaprezentowane zostaną tzw. antywzorce.

P-T-ZB -2

W ramach zajęć w oparciu o normę ISO 27000 zostaną szczegółowo omówione wymagania związane z wdrożeniem systemu zarządzania bezpieczeństwem informacji. Omówione zostaną aspekty związane z oceną potrzeb, analizą ryzyka oraz wyborem odpowiednich środków bezpieczeństwa. Poruszone także zostaną zagadnienia związane z oceną i zarządzaniem ryzykiem, a także postępowaniem z incydentami.

Bloki tematyczne:

P-T-ASBO - 1. Rekonesans oraz skanowanie (3w+3c).

Metodyki testowania bezpieczeństwa środowisk teleinformatycznych. Fazy przeprowadzania testów, cele i narzędzia w poszczególnych fazach. Podstawy rekonesansu systemów teleinformatycznych. Narzędzia do wykonywania rekonesansu: instalacja, konfiguracja oraz użycie oprogramowania. Wykrywanie, zapobieganie oraz utrudnianie rekonesansu.

Ćwiczenia laboratoryjne obejmują: Instalację, konfigurację oraz obsługę właściwego oprogramowania, zapoznanie się ze środowiskiem laboratoryjnym, wykonanie rekonesansu oraz analizę metadanych.

P-T-ASBO - 2. Skanowanie i bezpieczeństwo haseł (3w+3c)

Protokoły UDP/TCP/ICMP/ARP. Podstawy skanowania systemów teleinformatycznych. Zaprezentowanie technik podstawowych oraz zaawansowanych. Narzędzia do wykonywania skanowania: instalacja, konfiguracja oraz użycie oprogramowania. Automatyczne narzędzia do wykonywania testów bezpieczeństwa. Wykrywanie, zapobieganie oraz utrudnianie skanowania.

Bezpieczeństwo haseł, sposoby przechowywania haseł w systemach, odzyskiwanie hasła ze skrótu. Właściwości funkcji skrótu. Metoda słownikowa, brute force, tablice tęczowe. 

Ćwiczenia laboratoryjne obejmują: Instalację, konfigurację oraz obsługę właściwego oprogramowania. Samodzielne wykonanie serii testów. Próby złamania haseł.

P-T-ASBO - 3. Bezpieczeństwo aplikacji WEB (3w+3c)

Aplikacje WEB oraz zagrożenia ogólne. Specyficzne zagrożenia w zależności od użytej technologii. Bezpieczeństwo po stronie klienta. Bezpieczeństwo przeglądarki. Bezpieczeństwo po stronie serwera. Klasy ataków: ataki SQLI, ataki przejęcia sesji, XSS, CSRF, ataki na poufność, inne typy ataków. Najbardziej krytyczne podatności aplikacji WEB. Wyszukiwanie podatności w aplikacjach web. Automatycznie wyszukiwanie podatności.

Ćwiczenia laboratoryjne obejmują: próby ataków na wybrane aplikacje web, z uwzględnieniem różnych scenariuszy. Zaimplementowanie metod poprawiających bezpieczeństwo aplikacji. Użycie oraz modyfikowanie standardowych narzędzi używanych do testowania bezpieczeństwa aplikacji web. Stworzenie prostego narzędzia do wykorzystywania podatności.

P-T-ASBO - 4. Uzyskiwanie i utrzymanie dostępu, bezpieczne oprogramowanie (3w+3c)

Narzędzia do wykorzystywania podatności (Metasploit Framework). Narzędzia do utrzymania dostępu. Ataki ukierunkowane na różne technologie. Bezpieczeństwo systemu Android. Pojęcia dekompilacji i zaciemniania kodu. Przykłady błędów w oprogramowaniu. 

Ćwiczenia laboratoryjne obejmują: Wykorzystanie podatności z użyciem dostępnych narzędzi (Metasploit Framework). Próbę stworzenia własnych skryptów do użycia na atakowanej maszynie.

P-T-ASBO - 5. Bezpieczeństwo środowiska serwerowego oraz usług sieciowych (3w+3c)

Bezpieczeństwo systemu operacyjnego (Linux). Utwardzanie systemu: konfiguracja systemu, prawa dostępu, techniki zapobiegania atakom, limitowanie zasobów, separacja procesów. Podstawowe podatności oprogramowania oraz błędy konfiguracji środowiska uruchomieniowego. Bezpieczeństwo środowisk wirtualizacji. Wykrywanie ataków oraz zapobieganie im.

Ćwiczenia laboratoryjne obejmują: Konfigurację środowiska serwerowego w celu poprawienia jego bezpieczeństwa. Praktyczne zastosowanie środków wykrywania oraz zapobiegania atakom.

P-T-ASBO-6. Kompleksowe testy penetracyjne (3w+3c)

Przykładowe testy bezpieczeństwa różnej gamy systemów. Kompleksowe testy bezpieczeństwa. Raportowanie. Rozwiązywanie przykładowych problemów oraz zadań. Analiza przypadków.

Ćwiczenia laboratoryjne obejmują: przeprowadzenie kompleksowych testów bezpieczeństwa.

Uzyskane umiejętności:

  • rozpoznawanie zagrożeń bezpieczeństwa związanych z konfiguracją sieci i zastosowanym oprogramowaniem,
  • zapoznanie się z metodami neutralizacji powyższych zagrożeń,
  • znajomość podstaw przeprowadzania testów bezpieczeństwa w środowisku sieciowym,
  • umiejętność obsługi oraz rozwijania narzędzi do przeprowadzania testów penetracyjnych,
  • opanowanie zasad procesu dokumentowania testów bezpieczeństwa.

Bloki tematyczne:

P-T-APB - 1. 

Na początku zajęć zostaną omówione podstawy i przyczyny ochrony informacji. Następnie wprowadzony zostanie podział informacji chronionych ze szczególnym uwzględnieniem informacji prawnie chronionych, w tym tajemnic zawodowych i tajemnicy niejawnej oraz geneza ochrony informacji i powstawanie przepisów o ochronie informacji aż do ich obecnego kształtu. Przedstawione zostaną przepisy penalizujące przestępczość przeciwko ochronie informacji w prawie krajowym w tym omówienie odpowiedzialności karnej w odniesieniu do wybranych spraw sądowych.

P-T-APB - 2. 

W ramach zajęć zostaną szczegółowo omówione zagadnienia związane z ochroną informacji niejawnych, zostanie rozwinięty i poszerzony tematu tajemnic zawodowych i ochrony danych osobowych. Następnie nastąpi przedstawienie wybranych międzynarodowych regulacji z zakresu ochrony teleinformatycznej. W tej części planowana będzie dyskusja nt. różnic i wagi logowania zdarzeń i podpisu cyfrowego w systemach teleinformatycznych oraz możliwości zastosowania obu rozwiązań od strony prawnej, technologicznej i użytkowej. Następnie zostanie zaprezentowane omówienie wybranych spraw sądowych, a na koniec usystematyzowanie materiału z zajęć i przypomnienie najważniejszych informacji.