Ankieta

Zagrożenia ogólne
Zagrożenie Znaczenie (A) Znaczenie (B) Prawdopodobieństwo (C)

1. Ludzkie błędy

Przypadkowe uszkodzenie, zmiana, ujawnienie lub nieprawidłowe sklasyfikowanie informacji

Ignorancja: nieadekwatna świadomość wymogów bezpieczeństwa, brak wytycznych dot. bezpieczeństwa, brak odpowiedniej dokumentacji, brak wiedzy

Przeciążenie: zbyt dużo lub zbyt mało administratorów systemu. Użytkownicy wywierają zbyt duży nacisk

Użytkownicy mogą nieumyślnie przekazywać informacje o miejscach podatnych na atak

Nieprawidłowa konfiguracja systemu

Nieadekwatne security policy

Security policy nie są przymusowe

Audyt bezpieczeństwa mógł ominąć coś istotnego lub po prostu się pomylił

2. Nieuczciwość: oszustwo, kradzież, defraudacja, sprzedaż poufnych informacji firmy

3. Atak socjotechniczny

Atakujący może przez telefon podać się za pracownika firmy i prosić innego pracownika lub administratora o podanie hasła oraz użytkownika itp.

Atakujący może prosić o uruchomienie „trojana”

4. Nadużycie uprawnień / zaufania

5. Nieuprawnione użycie otwartych stacji roboczych

6. Wprowadzenie nieautoryzowanego oprogramowania lub sprzętu

7. Bomby zegarowe: program ustawiony na zniszczenie systemu o określonym czasie.

8. Błędy systemu operacyjnego – niektóre systemy nie są zaprojektowane pod kątem bezpieczeństwa (win 98)

9. Błędy protokołu komunikacji: niektóre protokoły nie są projektowane, by być wyjątkowo bezpieczne, co może spowodować:

Source routing, DNS spoofing, TCP sequence guessing è unauthorised access is achievable

hijacked sessions and Authentication session / transaction replay are possible è Data is changed or copied during transmission

Denial of service, due to ICMP bombing, TCP_SYN flooding, large PING packets, etc

10. Bomby logiczne: programy ustawione w taki sposób, aby spowodować zniszczenie danych po spełnieniu określonych warunków

11. Wirusy
Zagrożenia wynikające z identyfikacji/autoryzacji

Zagrożenie

1. Atak programu „podającego się” za normalny program

2. Atak sprzętowy „udającego” normalny sprzęt

3. Atak z zewnątrz z podawaniem się za autoryzowanego użytkownika

4. Atak z wewnątrz z podaniem się za autoryzowanego użytkownika

5. Atakujący podający się za obsługę help desku