CISSP: Certified Information System SecurityProfessional Appunti per l Esame di Certificazione

Transcript

1 CISSP: Certified Information System SecurityProfessional Appunti per l Esame di Certificazione 1 agosto 2012 Paolo Ottolino (PMP CISSP-ISSAP CISA CISM OPST ITIL)

2 ii

3 iii Prefazione Questo manuale in Italiano fornisce appunti schematici per superare l esame CISSP. Io ho superato l esame nel 2004: alcuni aggiustamenti sono stati operati al CBK (Common Body of Knowledge) negli anni. Però nessun cambiamento sostanziale è stato adottato; questo testo riflette gli aggiornamenti necessari. Indirizzamento Il CISSP certifica le necessarie competenze nella progettazione, realizzazione e manutenzione di sistemi atti ad indirizzare la sicurezza delle informazioni. Cioé, esso è stato ideato per quei professionisti che realizzano nel campo IT infrastrutture e componenti di protezione, ovvero abilitano le funzioni di sicurezza nei sistemi esistenti. Diversamente da altre certificazioni storiche del settore, il CISSP è stato pensato per chi opera fattivamente nella realizzazione di infrastrutture tecnologiche ad un livello intermedio, tattico. E indirizzato a coloro i quali siano chiamati a comprendere le esigenze strategiche di business (es. certificazioni ISACA: CISM, etc) e del relativo auditing (es. ISACA: CISA) ma tuttavia sappiano interagire proficuamente a livello operativo con gli addetti specializzati (es. certificazioni SANS: GCUX, GCIH, etc). Queste caratteristiche rendono l esame CISSP altamente tecnico e di dimensioni ragguardevoli (difatti si compone di 10 domini). La preparazione all esame risulta, quindi, più complessa di quella delle altre certificazioni rivolte ad altre figure professionali. Esame di Certificazione A partire dal 1 Settembre 2012 gli esami saranno nella forma CBT (Computer Based Test), la qual cosa comporta i seguenti vantaggi: ❼ sostenere l esame non è più vincolato alle 2 dati annuali fissate da (ISC)2 ❼ nel tempo verranno abilitate più sedi d esame; attualmente i centri Pearson/Vue abilitati sono Roma (2) e Milano (1) ❼ non è più necessario allenarsi ad annerire i pallini con precisione e rapidità, come nell esame PBT (Paper Based Text)

4 iv

5 Indice 1 Access Control Access Control Concepts AAA Definitions Identification e Authentication Authentication Factors Biometrics Password Devices Authorization Access Criteria Default to No Access Need to Know (Least Privilege) Single Sign On Scripting Kerberos SESAME Thin Clients (Dumb Terminal) Directory Services Accountability Account Event Level Audit Information Review Intrusion Detection System Honeypot Network Sniffer Protecting Audit Data Access Control Model Discretionary Access Control Mandatory Access Control Role Base (Nonmandatory) Access Control Criteri di Accesso Access Control Technique Access Control Administration Centralized Access Control RADIUS TACACS Diameter Decentralized Access Control Hybrid Access Control Methods Access Control Functionality Access Control Type Administrative Physical Controls Technical Controls v

6 vi INDICE 1.7 Access Control Best Practices Task Unauthorized Disclosure of Information Penetration Test Telecommunications and Network Security Introduction Telecommunications Standard Organization Networking Open System Interconnect Application (Layer 7) Presentation (Layer 6) Session (Layer 5) Transport (Layer 4) Network (Layer 3) Data Link (Layer2) Physical (Layer 1) Physical Layer Trasmission Definitions Network Topology Media Access Technology Token Passing Carrier Sense Multiple Access Polling Cabling Coaxial Cable Twisted Pair Cable Fiber-Optic Cable Cabling Problems Data Link Layer Local Area Network Metropolitan Area Network Wide Area Network Definitions WAN Technology MultiService Access Technology Remote Access Ethernet (IEEE 802.3) Token Ring (IEEE 802.5) FDDI (IEEE 802.8) Wireless Spread Spectrum WLAN Components Wireless Application Protocol WLAN IEEE Standards WLAN Best Practices Decalog New Wireless Standard i Network Layer Protocols Virtual Private Network Tunneling Protocol PPP Authentication Protocol Transport Layer Application Layer Network Operating System Domain Name System

7 INDICE vii Directory Services Network Devices Repeater (layer 1) Bridge (layer 2) Forwarding Tables Router (layer 3) Routing Tables Switch (layer 2+) Gateway (layer 4+) PBX Firewall Firewall Type Firewall Architecture Network Address Translation Honeypot Information Security Governance & Risk Management Security Management Concepts I 3 Principi Fondamentali della Sicurezza Availability Integrity Confidentiality Security Definitions Top-Down Approach Operational Security Model Layers Planning Horizon Business Requirement (Private vs. Military) Security Management Responsabilities Security Administration Supporting Controls Administrative Controls Technical (Logical) Controls Physical Controls Security Roles Information Owner Data Custodian User Senior Manager Security Professional Auditor Hiring Practices Risk Management Risk Analysis Quantitative Risk Analysis Asset and Information Evaluation Potential Loss per Risk Estimation Threat Analyis Loss Potential per Threat (Risk?) Recommendetion, Safeguard, Countermeasures and Action Qualitative Risk Analysis Delphi Technique Handling Risk Security Documents Strategical Goals Policies Tactical Goals

8 viii INDICE Standards Baselines Guidelines Operational Goals Procedures Information Clasification Classes Commercial Business Classification Military Classification Data CLassification Procedure Security Awareness Security Awareness Audiences Management Mid-Management Technical Department Staff Software Development Security Introduction System Development Management and Development Risk Management Change Control Software Escrow Life Cycle Phases Project Initiation Functional Design, Analysis and Planning System Design Specification Software Development Implementation/Installation Operational/Maintenance Disposal Software Development Methods WaterFall Spiral Model Joint Analysis Developer Rapid Application Developer CleanRoom Capability Maturity Model DataBase Management Definizioni DataBase Models Relational DataBase Definitions Relational DB Components Security Issues Integrity Integrity Operation OnLine Transaction Processing Confidentiality Confidentiality Tricks Application Development Methodology General Definitions Data Structure Object Oriented Concepts Software Architecture Technology Object Request Broker e CORBA

9 INDICE ix Distribuited Computing Environment COM e DCOM ODBC Object Linking ane Embedding Dynamic Data Exchange Enterprise Java Beans Expert System and Knowledge Base Systems Artficial Neural Network Java ActiveX Attacks Malware Techniques Denial of Service Timing Attack Cryptography Introduzione Breve Storia della Crittografia Antichità World War II Definizioni Obiettivi della Crittografia Ciphers Types Algorithm Based Ciphers Spy Ciphers Steganography Cryptography e Government Clipper Chip Cryptographic Principles Auguste Kerckhoff Claude Shannon Cryptographic Attack Key Discoverer (Cryptoanalysis) Attack Man-in-the-Middle Attack Dictionary Attack Replay Attack Birthday Attack Side Channel Attack Encryption Methods Symmetric Data Encryption Standard DES Blowfish Internation Data Encryption Algorithm RC4, RC5, RC Advanced Encryption Standard Mode of Operation Asymmetric (Public Key Cryptography) Rivest Shamir Adleman Elliptic Curve Cryptosystem Diffie-Hellman El Gamal Digital Signature Algortihm Knapsack Hybrid One-Way-Hash

10 x INDICE Message Authentication Code Digital Signature Hash Algorithm Digital Signature Standard Public Key Infrastructure Objectives Components Certificate Authority Registration Authority Certificate Repository Certificate Revocation List Key backup e Recovery Key History Management Timestamping Client-side Software Key Management Internet Security Multipurpose Internet Mail Extension Secure/MIME Pretty Good Privacy HTTP S-HTTP HTTPS Secure Electronic Transaction Cookie IPSec Internet Key Exchange Security Architecture & Design Introduzione BS Trust e Assurance Computer Architecture von Neumann Central Processing Unit Memory I/O Devices Processes Threats System Architecture Trusted Computing Base Best Practices Security Models Information Flow Model Information Flow Model Bell-LaPadula Model Biba Model Practical Model Graham-Denning Model Harrison-Russo-Ullman Model Misc Model Clark-Wilson Model Noninterference Model Brewer and Nash Model Security Modes of Operation System Evaluation Methods

11 INDICE xi Orange Book D: Minimal Protection C: Discretionary Protection B: Mandatory Protection A: Verified Protection Rainbow Series ITSEC Common Criteria Operational Security Operational Security Concepts Administrative Management Accountability Product Evaluation Operational Assurance Life Cycle Assurance Input/Output Control Internet Security Simple Mail Transfer Protocol Post Office Protocol Internet Message Access Protocol SMTP Relaying Fax Hack and Attack Network Map and Fingerprint Techiques Attacks Penetration Test Operation Department Unusual and Unexplained Occurrences Deviation from Standard Unscheduled Initial Program Load Business Continuity & Disaster Recovery Planning Introduction Business World Characteristics AIC Triad Definitions Threats Types Disruption Types Business Continuity Plan Goals Business Continuity Plan Basilar Steps Project Initiation Business Impact Analysis Recovery Strategy Development Recovery Plan Development Implementation Testing (Maintenance) Provided Procedures Extended Backup OffSite Hardware BackUp Software BackUp BackUp Types Backup Technologies Human Resources

12 xii INDICE Disaster Recovery Disaster Recovery Team Emergency Response Law, Regulation, Investigation & Compliance Ethics and Hackers Principles (ISC) 2 Code of Ethics Computer Ethics Institute Internet Architecture Board Generally Accepted System Security Principles MOM Motive Opportunity Means Attacks Internal Attackes External Attacks Phreaking Law Liability Types of Laws Categories of Laws Intellectual Property Laws Software Piracy Law, Directives, Regulations Health Insurance Portability and Accoutability Act (HIPAA) Gramm-Leach-Bliley Act Computer Fraud and Abuse Act Federal Privacy Act European Union Principles on Privacy Computer Security Act Security and Freedom From Encryption Federal Sentencin Guidelines Economic Espionage Act International Cooperation Effort G Interpol European Commission Investigation Computer Forensic Crime Scene Incident Response Team Chain of Custody Incident Handling Evidence Evidence Life Cycle Admisible Evidence Characteristics Evidence Categories Surveillance, Search, Seizure Surveillance Search Seizure Interrogating

13 INDICE xiii 10 Physical (Environmental) Security Introduction Physical Security Risks Physical Theft Service Interruption Physical Damage Compromised System Integrity Unauthorized Disclosure Physical Security Components Selection Process Hardware Planing Process Administrative Controls Facility Selection Facility Construction Building Issues Facility Management Facility Components Computer and Equipment Rooms Personnel Controls Pre-employment Screening Employee Maintenance Post-Employment Training Emergency Response and Procedures Technical Controls Access Controls Personnel Access Control Card Badge Intrusion Detection Alarms Monitoring (CCTV) Heating, Ventilation, Air Conditioning (HVAC) Power Supply Power Protection Electrical Power Distrurbs Fire Placement of Sensors and Detection Placement of Sprinklers Fire Protection Type of Detection Type of Suppression Backups Physical Controls Fencing Gates Bollards Locks Lighting Surveillance Facility Construction Materials

14 xiv INDICE

15 Introduzione Domini CISSP Come in tutte le certificazioni, il BoK è diviso in domini. Il CISSP è piuttosto corposo e ne annovera ben 10. Vediamoli nella tabella seguente: Dominio Access Control Telecommunication & Network Security Information Security Governance & Risk Management Software Development Security Cryptography Security Architecture & Design Operational Security Business Continuity & Disaster Recovery Planning Legal, Regulation, Investigation and Compliance Physical (Environmental) Security Acronimo AC TNS ISGRM SDS Crypt SAD OS BCDRP LRIC La figura seguente illustra l importanza relativa di ciascun dominio nei quiz d esame: PS % Nel seguito sono sinteticamente indicati i contenuti di ciascun dominio, suddivisi per tipologia: Information Security Governance & Risk Management: Gestione Strategica ed Organica della Sicurezza. Si tratta del dominio di più alto livello d astrazione; esso rappresenta il cardine centrale sul quale sono imperniati tutti gli altri 1

16 2 INDICE Policy: indica un dominio che illustra il modo di indirizzare i requisiti mandatori cui si può essere soggetti: Business Continuity & Disaster Recovery Planning: Meccanismi da adottare per garantire la Disponibilità dei Dati e della Infrastruttura IT Legal, Regulation, Investigation & Compliance: Aspetti Legali legati al mondo IT, quali ❼ normative da rispettare ❼ modalità che devono essere abilitate per l esecuzione delle investigazioni (anche con validità forense) ❼ metodi e meccanismi per eseguire il controllo di conformità Approccio: indica un insieme di conoscenze che devono essere impiegate come linea guida tecnica nella progettazione e realizzazione delle infrastrutture di sicurezza, al fine di soddisfare i requisiti che provengono dai domini relativi alle Policy (BCDRP e LRIC) Access Control: Meccanismi di segregazione dell infrastruttura, partizionamento delle risorse, ammissione d ingresso e sorveglianza Telecommunication & Network Security: Caratteristiche, Peculiarità e relativi Dispositivi per la sicurezza in ambito distribuito e di rete Security Architecture & Design: Metodi, Architetture e Modelli da adottare per comporre la struttura IT in modo sicuro Prassi: indicazioni operative, relative ai costumi, alle consuetudini ed alle usanze che devono essere introdotte nell operatività quotidiana, al fine di aumentare il livello generale di sicurezza, in modo da non inficiare quanto realizzato da un buon Approccio (AC, TNS, SAD) Operational Security: Prassi ed Istruzioni da adottare per operare nell IT in modo sicuro Software Development Security: Prassi e Metodi per lo sviluppo protetto di software. Modelli e Meccanismi per aumentare la sicurezza nel software Tecniche: domini relativi a specifiche tecnologie, capacità e competenze da padroneggiare per poter essere impiegate nella sicurezza, soprattutto come ausilio per i domini di Approccio (AC, TNS, SAD) Cryptography: Meccanismi ed algoritmi matematici di codifica dei dati, al fine di garantirne la Confidenzialità, l Integrità Physical (Environmental) Security: Aspetti di sicurezza dell ambiente fisico: ❼ anti-intrusione ❼ fuoco ed esplosione ❼ calamità naturali La figura seguente mostra graficamente le interdipendenze logiche tra i diversi domini:

17 INDICE 3 Strutturazione Quiz CISSP Domande: 250 (225 in valutazione, 25 di esperimento) Tempo: 6 ore Passing Score: determianto dinamicamente. In generale, varia, intorno al 70%-75% ( ) Quiz Response Tips Nel presente paragrafo vengono forniti dei suggerimenti di carattere generale allo scopo di determinare dei criteri per rispondere alle domande poste nei quiz, indipendentemente dall argomento trattato. Tipi di Quiz Può essere utile capire la modalità con cui è stato ideato ogni quiz (domanda + le 4 possibili risposte), nel momento in cui ci si accinge a rispondere, allo scopo di determinare quale sia i processi mentali che ci si aspetti vengano seguiti, in funzione del livello di preparazione, e non cadere in facili trabocchetti. In questa ottica i quiz Le domande possono essere classificate in vari modi, in funzione di: ❼ formulazione della domanda ❼ scelta delle 4 risposte possibili Formulazione della Domanda What-is: domanda chiara e semplice, quale delle quattro seguenti possibili risposte è giusta What-is-not: simile alla precedente ma con una o più negazioni, in modo da confondere The-Best: domanda insidiosa, si chiede quale sia la migliore delle risposte sottoelencate The-Most: domanda insidiosa, Scelta delle 4 possibili Risposte 2-Bad: vi sono due risposte palesemente non corrette, occorre scegliere fra le restanti altre due All-Valid: tutte le risposte corrispondono a concetti dell esame ma solo una interessa la domanda posta General Response Tips Very Closer Choise Letio Difficiliora Acronyms ATM: Automatic Teller Machine CAAT: Computer Assisted Audit Tecniques CobiT: Control Objectives for Information and related Technology CORBA: Common Object Request Broker Architecture CPA: Control Process Accounting (?) CSA: Control Self-Assessment

18 4 INDICE EDI: Electronic Data Interchange EFT: Electronic Found Transfer FAR: False Acceptanse Rate FRR: False Rejection Rate ISACA: Information System Audit and Control Association ITF: Integrating Test Facility IPF: Integrated Processing Facility (CED) PoS: Point of Sales SOAP: Simple Object Access Protocol SPOOL: Simultaneous Peripheral Operation On-Line