Das Internet ist ein auf offenen Standards basierendes Bündel von Technologien, die das IAB und die IETF dokumentieren und damit sicherstellen, dass alle Softwareentwickler über eine Reihe grundlegender Referenzspezifikationen verfügen, die den Kern bilden, auf dem sie ihre Anwendungen aufbauen können. Leider hat dies den Nachteil, dass diejenigen, die böswillige Handlungen begehen wollen, ebenfalls Zugang zu eben diesen Standards und Spezifikationen haben.
Cyberkriminalität – Es ist dieser Zugang zu den technischen Spezifikationen, wie das Internet und Internet-Technologien implementiert werden, der es einem Angreifer ermöglicht, Systeme, Netzwerke und das Internet für seine eigenen Zwecke zu unterwandern. Heute verstehen wir darunter in der Regel Cyberkriminalität wie Identitätsdiebstahl, Betrug, Diebstahl, böswillige Absichten (Schädigung anderer), verschiedene Formen von Denial-of-Service-Angriffen (DoS), Phishing, Malware im Allgemeinen und das von uns allen so verhasste Spam.
Zivilisationen und Gesellschaften – Damit sich eine Zivilisation entwickeln und gedeihen kann, schaffen soziale Wesen und die Gesellschaften, denen sie angehören, verschiedene Protokolle (Regeln für akzeptable/”normale” Rollen, Verhaltensweisen, Bräuche und Umgangsformen usw.), die es ihnen ermöglichen, mit anderen Mitgliedern dieser Gesellschaft zu kommunizieren. Die Sprache ist nur eines dieser Protokolle. In dieser Hinsicht haben Menschen, Bienen, Ameisen usw. viel gemeinsam. Der wesentliche Unterschied besteht darin, dass der Mensch die Fähigkeit zur Konzeptualisierung und Virtualisierung des Denkens und des Selbst besitzt.
Wissen und Informationstechnologien – Im Laufe der Zeit hat es sich als äußerst vorteilhaft erwiesen, wenn eine Generation das Wissen, das sie geerbt, entwickelt und weiterentwickelt hat, an die nachfolgenden Generationen weitergibt. Die Bezeichnung, die wir Menschen diesen Prozessen gegeben haben, ist Informationstechnologie (IT) und ihre offensichtlichste Erscheinungsform ist heute das Internet.
Die Notwendigkeit von Initiativen zur Informationssicherheit und zum Schutz der Privatsphäre – Die Vorteile und Freiheiten, die die Informationstechnologien bieten, sind anfällig für Beschädigung, Beeinträchtigung, Unterwanderung und Zerstörung durch eine Vielzahl von sehr unterschiedlichen Bedrohungen. Die Sicherung der Informationstechnologien gegen diese Bedrohungen ist daher eine wünschenswerte Notwendigkeit und wird durch eine Vielzahl von Technologien, Verfahren und Schulungen erreicht. Ein komplizierter Faktor bei all dem ist der Schutz der Privatsphäre, und aufgrund der Verflechtung von Privatsphäre und Sicherheit ist es praktisch unmöglich, das eine zu behandeln, ohne das andere einzubeziehen.
Ziele definieren – Bevor wir Sicherheitsverfahren entwerfen und umsetzen können, ist es wichtig, dass wir zunächst die endgültigen Ziele definieren, die wir mit unseren Initiativen erreichen wollen. Hier sind einige der wichtigsten Konzepte im Zusammenhang mit der Sicherheit.
Sicherheit – Lassen Sie uns definieren, was wir unter Sicherheit und einem sicheren Zustand verstehen. Kurz gesagt: Sicherheit ist der Zustand, in dem man sicher, geschützt und frei von der Sorge um einen möglichen Verlust ist, indem man sich darauf verlassen kann, dass etwas von Wert nicht durch einen Angriff von außen oder einen Umsturz von innen weggenommen, herabgesetzt oder in irgendeiner Weise bedroht wird. Sicherheitsmaßnahmen sind Vorkehrungen, die getroffen werden, um die Sicherheit und Unversehrtheit einer Person oder Sache vor Angriffen, Gefahren oder Verbrechen zu schützen, zu erhalten oder zu verbessern, unabhängig davon, ob es sich um potenzielle oder tatsächliche Angriffe handelt.
Sicherheitsziele – Sicherheitsziele sind die vordefinierten angestrebten Schutzniveaus, Vorsichtsmaßnahmen oder Verteidigungsstrategien, die als “angemessen” und/oder “geeignet” für bestimmte “reale” Szenarien gelten. Daher unterscheiden sich die Sicherheitsziele von einer Einrichtung zur anderen beträchtlich, doch haben sie alle gemeinsam, dass sie akzeptable, vordefinierte Sicherheitsstufen in Verbindung mit einem Element akzeptabler Gefährdung(en) bieten, die normalerweise durch wirtschaftliche Faktoren wie Kosteneffizienz gewichtet werden.
Sicherheitsprüfung und -abrechnung – Bei der Sicherheitsprüfung werden Informationen über den Netz- und Ressourcenzugriff sowie über Zugriffsanfragen aufgezeichnet, in der Regel in einer Protokolldatei, einschließlich der Angabe, welche(r) Computer und/oder Benutzer die Zugriffsanfragen gestellt haben. Zu den typischerweise geprüften Kriterien gehören System-/Netzwerkressourcen, Sicherheitsereignisse, unbefugter Zugriff und Kommunikation.
Security-in-Depth und Defense-in-Depth – Security-in-Depth und Defense-in-Depth sind zwei Strategien, die sich nicht auf Systeme stützen, die entweder reale oder potenzielle Single-Point-of-Failure-Eigenschaften aufweisen. Die Grundphilosophie besteht hier darin, mehrere Schichten unterschiedlicher Verteidigungsarten zu verwenden. Ein Beispiel für Sicherheit/Defense-in-Depth wäre die Verwendung variabler Kombinationen von Kennwortauthentifizierung in Verbindung mit und ergänzend zu Smartcards, Tastaturen, biometrischen Merkmalen, digitalen Signaturen/Zertifikaten usw.
Netzwerk- und Sicherheitsinfrastruktur – Weitere Faktoren, die bei der Entwicklung und dem Aufbau einer Sicherheitsinfrastruktur in Betracht gezogen werden sollten, sind Firewalls, entmilitarisierte Zonen (DMZ), Systeme zur Erkennung von Eindringlingen und Systeme zur Verhinderung von Eindringlingen.
Sicherheitsrichtlinien – Eine Sicherheitsrichtlinie ist eine Reihe von Regeln auf Organisationsebene, die die akzeptable Nutzung von Kriterien wie Informationstechnologie-Ressourcen, akzeptable Sicherheitspraktiken, akzeptable Betriebsverfahren und Richtlinien für bewährte Praktiken usw. regeln. Zu den Richtlinien, die im Allgemeinen von allen Organisationen entwickelt und umgesetzt werden müssen, gehören Authentifizierungsrichtlinien, Passwortrichtlinien, Datenschutzrichtlinien, Umweltrichtlinien, Prüfungs- und Buchhaltungsrichtlinien, allgemeine Richtlinien zur Nutzung von Ressourcen und Vermögenswerten
Angegriffen – Ein Angriff ist die direkte oder indirekte, tatsächliche oder wahrgenommene Folge und Auswirkung von Handlungen, die von einer oder mehreren Einrichtungen mit der Absicht begangen werden, direkt oder indirekt in die Vermögenswerte, Vorrechte, Freiheiten und Rechte einer oder mehrerer anderer Einrichtungen einzudringen, sie zu kompromittieren, zu beeinträchtigen, zu kontrollieren oder nachteilig zu beeinflussen; im Allgemeinen in böswilliger Absicht, auf böswillige Weise oder zu einem bestimmten Zweck.
Bedrohungen – Eine Bedrohung ist eine Einrichtung, die mit der bewussten Absicht betrieben wird, eine Gefahr, einen Schaden, eine Beeinträchtigung oder eine unaufgeforderte Handlung zum Nachteil, zur Gefährdung oder zur Gefährdung einer anderen Einrichtung oder eines Vermögenswertes zu verursachen. Ein Exploit ist in der Regel eine Schwachstelle, die von einer Bedrohung auf unaufgeforderte, unfaire oder eigennützige Weise zum Vorteil oder in der Absicht der Bedrohung und/oder zum Nachteil oder Schaden der ausgenutzten Stelle ausgenutzt werden kann.
Zero-Day-Schwachstellen – Sicherheitsanalysten haben eine besondere Kategorie von Schwachstellen identifiziert, die als Zero-Day-Schwachstellen bekannt sind. Diese Schwachstellen werden von Sicherheitsexperten im Allgemeinen als höchst risikoreich eingestuft, da zum Zeitpunkt der ersten öffentlichen Bekanntgabe der Schwachstelle keine Patches oder Gegenmaßnahmen verfügbar sind.
